Aktualisiertes COSO Internal Control Integrated Framework

Transkript

1

2 COSO Internal Control 2013 Accounting Aktualisiertes COSO Internal Control Integrated Framework Neues Rahmenwerk für die Gestaltung und Prüfung des IKS Dietmar Grabher Im Hinblick auf die im Mai 2013 veröffentlichte neue Fassung von COSO Internal Control stellen sich im Wesentlichen drei Fragen: Welche Unterschiede und Gemeinsamkeiten bestehen zwischen alter und neuer Fassung? Welche Auswirkungen hat die Neuauflage auf die anderen COSO-Publikationen, vor allem auf COSO Enterprise Risk Management? Welchen Nutzen bringt das neue IKS-Framework für Unternehmen? 1. COSO Internal Control 2013 Am , etwas mehr als 20 Jahre nach der Erstveröffentlichung im Jahr 1992, veröffentlichte das Committee of Sponsoring Organisations of the Treadway Commission (COSO) eine neue Fassung von Internal Control Integrated Framework. 1 COSO Internal Control gilt als der Standard für die Gestaltung und Evaluierung von Internen Kontrollsystemen (IKS) und genießt breite Akzeptanz als Grundlage der IKS-Berichterstattung gemäß Section 0 des Sarbanes-Oxley Act. COSO Internal Control 2013, mittlerweile oft New Framework genannt, besteht aus einem Executive Summary, dem eigentlichen Framework mit Anhang (Framework and Appendices) und einem Anwendungsleitfaden mit Tools für die Bewertung des IKS (Illustrative Tool for Assessing Effectiveness of a System of Internal Control). Ergänzend gibt es ein Kompendium für das IKS in der externen Finanzberichterstattung (Internal Control over External Financial Reporting [ICEFR]: A Compendium of Approaches and Examples). Alle Publikationen sind in englischer Sprache, das Executive Summary kann kostenlos auf der Website heruntergeladen werden. Im Laufe des ersten Quartals 201 wird das Institut für Interne Revision Österreich ( eine deutsche Übersetzung des Executive Summary veröffentlichen. 2. Das New Framework im Überblick Ziel der Aktualisierung von COSO Internal Control war die Adressierung der seit 1992 eingetretenen Veränderungen im wirtschaftlichen Umfeld. COSO nennt dabei u. a. die zunehmende Bedeutung von Transparenz, Good Governance und Risikoorientierung, die steigende Abhängigkeit von komplexen Technologien und die Verbreitung von ebenso komplexen wie globalen Geschäftsmodellen und Organisationsformen, von denen besonders die Outsourcing-Beziehungen hervorgehoben werden. Außerdem werden neue und kontinuierlich steigende regulatorische Anforderungen und Berichtspflichten als Gründe für die Aktualisierung genannt Gemeinsamkeiten Unverändert aus dem Old Framework übernommen wurden die Definition des IKS ebenso wie die fünf IKS-Komponenten (Control Environment, Risk Assessment, Control Activities, Information & Communication, Monitoring Activities) und die drei Zielkategorien eines IKS (Operations, Reporting, Compliance) (siehe Abb. 1). Ein weiterer unveränderter Aspekt ist die Betonung der zentralen Bedeutung der Ermessensausübung durch das Management (management judgement) bei Gestaltung, Einführung, Betrieb und Bewertung eines IKS Neuerungen Die wichtigsten Neuerungen im New Framework sind die Formulierung von Grundsätzen und Schwerpunkten eines IKS, die inhaltliche Erweiterung der Zielkategorie Reporting sowie die Klarstellung der Rolle des Zielsetzungsprozesses Grundsätze und Schwerpunkte des IKS Die wesentlichste Änderung gegenüber 1992 ist die Formulierung von 17 Grundsätzen (core principles of internal control) entlang der fünf IKS-Komponenten. Sie sollen im Sinne von fundamentalen Konzepten die Anforderungen eines effektiven IKS besser verdeutlichen. Jedem IKS-Grundsatz werden Schwerpunkte (points of focus) im Sinne von Eigenschaften bzw. Attributen zugeordnet. Bei der Bewertung eines IKS stellen die Komponenten und Grundsätze die Bewertungskriterien dar, während die Schwerpunkte als Leitlinien für die konkrete Bewertung zu verstehen sind. Das New Framework gibt aber weiterhin keinen Bewertungsprozess vor und enthält auch keine Vorgaben, welche Schwerpunkte vorhanden sein müssen. Stattdessen wird die Beurteilung, welche Bestandteile zu einem funktionsfähigen IKS gehören, weiterhin als Kernaufgabe des Managements betrachtet (management judgement). Dieses muss dabei u. a. berücksichtigen, welchen Gesetzen, Regelungen und Standards die Organisation unterliegt, welche Geschäftsaktivitäten in welchen Märkten ausgeführt werden, wie hoch die Fachkompetenz des Personals ist und wie stark das Unternehmen vom Einsatz von Technologien abhängt Inhaltliche Erweiterung der Zielkategorie Reporting Während die Zielkategorie Reporting bisher primär auf die externe Finanzberichterstattung bezogen war, fand im New Framework eine deutliche inhaltliche Erweiterung statt. Das Ziel Reporting beinhaltet nun sowohl die interne als auch die externe Berichterstattung und umfasst finanzielles ebenso wie nicht-finanzielles Reporting. Dietmar Grabher, BSc. (CIA, CISA, CRMA) ist Inhaber der MITANAND Consulting Grabher e.u. (Dornbirn) und wissenschaftlicher Mitarbeiter an der FH Vorarlberg. Jänner 201 CFOaktuell 11

3 Accounting COSO Internal Control 2013 Abb. 1: COSO Internal Control 2013 (Quelle: COSO, Internal Control Integrated Framework: Framework and Appendices, ) Die größte Auswirkung hat die Neuauflage auf die Gültigkeit des Old Framework. Dieses wird noch bis zum verfügbar sein und ab diesem Zeitpunkt durch das New Framework ersetzt Klarstellung der Rolle des Zielsetzungsprozesses Eine strukturelle Änderung betrifft den Zielsetzungsprozess, der wie bisher als unverzichtbare Voraussetzung für ein IKS betrachtet wird. Allerdings wurden die entsprechenden Ausführungen aus dem Kapitel Risk Assessment in den einleitenden Teil des Frameworks verschoben. Damit soll unterstrichen werden, dass Zielsetzung zwar Voraussetzung aber nicht Bestandteil eines IKS ist. 3. Auswirkungen auf andere COSO- Publikationen Die Auswirkungen des New Framework auf die bestehenden COSO-Publikationen sind unterschiedlich, je nachdem, ob es sich um Internal Control oder Enterprise Risk Management handelt Publikationen zu Internal Control Die größte Auswirkung hat die Neuauflage auf die Gültigkeit des Old Framework. Dieses wird noch bis zum verfügbar sein und ab diesem Zeitpunkt durch das New Framework ersetzt. Von besonderer Bedeutung ist diese Übergangsfrist für Unternehmen, die COSO Internal Control für ihre Sarbanes-Oxley-Compliance-Prozesse anwenden. Ihnen empfiehlt das COSO-Board, die Umstellung auf die neue Fassung so bald als möglich vorzunehmen und in der Übergangsperiode offenzulegen, welches Framework in der jeweiligen Berichtsperiode zur Anwendung gekommen ist. Ebenfalls nur noch bis verfügbar sein wird die Publikation Guidance on Internal Control over Financial Reporting Guidance for Smaller Public Companies aus dem Jahr Sie wird durch das Kompendium Internal Control over External Financial Reporting abgelöst. Keinen Einfluss hat das New Framework auf die Publikation Guidance on Monitoring Internal Control Systems aus dem Jahr Diese bleibt als Leitfaden zur Überwachung des IKS nach wie vor gültig COSO Enterprise Risk Management Das Zusammenspiel zwischen COSO Enterprise Risk Management und COSO Internal Control bleibt unverändert, wurde jedoch präzisiert. Die beiden Frameworks werden vom COSO-Board als sich gegenseitig ergänzend betrachtet, wobei Enterprise Risk Management den umfassenderen Ansatz darstellt, bei dem Internal Control einen integralen Bestandteil bildet. Die beiden Frameworks sollen unterschiedliche Anforderungen und Erwartungen von Stakeholdern adressieren. Als Beispiel führt COSO an, dass ein Unternehmen zwar nicht zum Betrieb eines Risikomanagementsystems, aber durchaus zum Betrieb eines IKS verpflichtet sein könnte.. Komponenten, Grundsätze und Schwerpunkte eines IKS Mit der Formulierung der 17 Grundsätze und 79 Schwerpunkte als Ergänzung zu den fünf Komponenten werden die Anforderungen und Merkmale eines IKS deutlich stärker als bisher konkretisiert..1. IKS-Komponente Control Environment Zum Control Environment gehören jene Standards, Prozesse und Strukturen, die als Basis des IKS anzusehen sind. Es umfasst fünf Grundsätze mit 21 Schwerpunkten (siehe Tab. 1). Grundsatz Nr. 2 greift Governance-Konzepte auf, die auch in der 8. EU-Richtlinie, im Unternehmensrechtsänderungsgesetz 2008 und im Österreichischen Corporate Governance Kodex enthalten sind..2. IKS-Komponente Risk Assessment Unter Risk Assessment ist jener dynamische und iterative Prozess zu verstehen, der sich mit der Identifikation und Bewertung von Risiken beschäftigt. Risk Assessment baut auf die Zielsetzung durch das Management auf und ist die Basis für Art und Umfang der Risikosteuerungsmaßnahmen. Zum Risk Assessment gehören vier Grundsätze mit 17 Schwerpunkten (vgl. Tab. 2). Grundsatz Nr. 8 betont die Notwendigkeit der Berücksichtigung von Fraud-Risiken, was in dieser Ausdrücklichkeit im Old Framework nicht der Fall war..3. IKS-Komponente Control Activities Die Komponente Control Activities umfasst alle durch Richtlinien (Policies) und Arbeitsanweisungen (Procedures) etablierten Maßnahmen zur Risikoverminderung (Mitigation). Sie können präventiven oder detektiven Charakter haben und automatisiert oder manuell ausgeführt werden. Zu den Control Activities gehören drei Grundsätze mit 16 Schwerpunkten. Grundsatz Nr. 11 unterstreicht die Bedeutung der Überwachung und Steuerung der eingesetzten Technologien, womit ausdrücklich nicht nur die IT gemeint ist, sondern alle für das Unternehmen relevanten Technologien (vgl. Tab. 3)... IKS-Komponente Information & Communication Informationen aus internen oder externen Quellen dienen der Sicherstellung der Effektivität des IKS. Kommunikation ist der laufende Prozess zur Verteilung dieser Informationen horizontal und vertikal durch die gesamte Organisation sowie zu externen Dritten. Zu Information & Communication gehören drei Grundsätze mit 1 Schwerpunkten (vgl. Tab. ). 12 CFOaktuell Jänner 201

4 COSO Internal Control 2013 Accounting Control Environment Grundsätze 1. Die Organisation bekennt sich zu Integrität und ethischen Werten. 2. Das Board of Directors (Aufsichtsgremium) ist unabhängig vom Management ( Unternehmensleitung) und überwacht Entwicklung und Leistungsfähigkeit des IKS. 3. Das Management etabliert Strukturen und Berichtslinien und regelt Zuständigkeiten 3 und Verantwortlichkeiten.. Die Organisation bekennt sich zu Rekrutierung und Entwicklung von kompetenten Mitarbeitern und fördert ihren Verbleib in der Organisation.. Die Organisation sorgt dafür, dass die Mitarbeiter ihre Verantwortung für das IKS wahrnehmen. Risk Assessment Grundsätze 6. Die Organisation setzt sich ihre Ziele in ausreichender Klarheit und ermöglicht dadurch die Identifikation und Bewertung von Risiken in Bezug auf diese Ziele. 7. Die Organisation identifiziert Risiken quer durch die Organisation und analysiert diese Risiken als Basis für die Entscheidung, wie die Risiken überwacht und gesteuert werden sollen. 8. Die Organisation berücksichtigt das Risiko von Fraud. 9. Die Organisation identifiziert und bewertet Veränderungen, die einen wesentlichen Einfluss auf das IKS haben könnten. 3 Tab. 1: Grundsätze und Schwerpunkte des Control Environment Tab. 2: Grundsätze und Schwerpunkte des Risk Assessment Control Activities Grundsätze 10. Die Organisation entwickelt und implementiert Kontrollmaßnahmen, die dazu beitragen, das Risiko auf ein akzeptables Ausmaß zu reduzieren. 11. Die Organisation entwickelt und implementiert Kontrollmaßnahmen im Hinblick auf die verwendete Technologie. 12. Die Organisation verankert Kontrollmaßnahmen durch Richtlinien und Arbeitsanweisungen. Information & Communication Grundsätze 13. Die Organisation bezieht oder erzeugt oder verwendet zweckdienliche und aussagekräftige Informationen zur Unterstützung der Funktionsfähigkeit des IKS. 1. Die Organisation verteilt Informationen intern, inklusive Informationen über Ziele und Verantwortlichkeiten für das IKS. 1. Die Organisation tauscht mit externen Dritten Informationen aus, die die Funktionsfähigkeit des IKS betreffen könnten. 6 6 Tab. 3: Grundsätze und Schwerpunkte der Control Activities Tab. : Grundsätze und Schwerpunkte von Information & Communication Monitoring Activities Grundsätze 16. Die Organisation entwickelt, implementiert und betreibt fortlaufende und/oder separate Evaluierungen zur Sicherstellung, dass die Komponenten eines IKS vorhanden sind und funktionieren. 17. Die Organisation bewertet und berichtet Schwachstellen im IKS zeitnah und zu jenen Stellen, die für die Ergreifung von Korrekturmaßnahmen zuständig sind, bei Bedarf auch Unternehmensleitung und Aufsichtsgremium. 7 Tab. : Grundsätze und Schwerpunkte der Monitoring Activities.. IKS-Komponente Monitoring Activities Die Monitoring Activities werden als fortlaufende Evaluation, als separate Aktivität oder als eine Kombination von beidem ausgeführt. Bei der Evaluierung festgestellte Schwachstellen werden an die verantwortlichen Stellen berichtet. Zu den Monitoring Activities gehören zwei Grundsätze mit elf Schwerpunkten (vgl. Tab. ).. Fazit Die abschließende Beantwortung der eingangs gestellten Fragen nach Neuerungen, Auswirkungen und Nutzen von COSO Internal Control 2013 fällt aus meiner Sicht recht eindeutig aus. Auch wenn aus dem Old Framework viele Kernelemente ins New Framework übernommen wurden, sind doch wesentliche Änderungen eingetreten. Als wichtigste sind die Erweiterung der Zielsetzung Reporting auf interne und nicht-finanzielle Berichterstattung und die Formulierung von Grundsätzen und Schwerpunkten zu den fünf IKS-Komponenten zu nennen. Das sind auch jene Neuerungen, die für die Unternehmen den größten Nutzen bedeuten. Die Betonung der Gleichwertigkeit von finanziellen und nicht-finanziellen Informationen mag für viele Unternehmen selbstverständlich sein, bei anderen könnte diese Jänner 201 CFOaktuell 13

5 Accounting COSO Internal Control 2013 inhaltliche Erweiterung der Zielkategorie Reporting durchaus ein gewisses Umdenken auslösen. Das ist richtig und wichtig, da auch Schwachstellen im Bereich nicht-finanzieller Berichterstattung letztendlich zu finanziellen Konsequenzen führen können. Man denke hier nur an Kennzahlen wie Kundenanfragen oder Kundenreklamationen. Die 17 Grundsätze und 79 Schwerpunkte stellen eine wertvolle Unterstützung bei der Gestaltung und Evaluierung eines IKS dar. Sie bilden einen einheitlichen Rahmen von Kriterien und Indikatoren zur Beurteilung, wie COSO-compliant ein IKS tatsächlich ist und an welchen Stellen Nachholbedarf besteht. Gleichzeitig sind die Grundsätze und Schwerpunkte aber ausreichend offen gestaltet, und es bleibt genug Spielraum für die Anpassung an die konkreten Erfordernisse des einzelnen Unternehmens. Wenn man COSO Internal Control 2013 als Ganzes betrachtet, kommt man zum Schluss, dass eine Umstellung auf das New Framework erstens aufgrund der positiven Neuerungen inhaltlich sinnvoll ist, und man zweitens durch das mit festgelegte Ablaufdatum des Old Framework langfristig wohl auch keine andere Wahl haben wird. Schließlich wird man sich als Unternehmen kaum nachsagen lassen wollen, dass man bei der Gestaltung seines IKS ein offiziell außer Kraft gesetztes Rahmenwerk verwendet. Dabei werden dem Sarbanes-Oxley Act unterliegende Unternehmen eher einem höheren Änderungsdruck unterliegen, da sie zumindest nach heutigem Informationsstand spätestens im Berichtsjahr 201 das New Framework anwenden müssen. Andere, namentlich europäische Unternehmen werden sich etwas mehr Zeit lassen können. Auch wenn damit im Moment für viele Unternehmen kein akuter Handlungsbedarf besteht, ist es empfehlenswert, sich frühzeitig mit der Frage auseinanderzusetzen, ob eine Umstellung auf COSO Internal Control 2013 für das eigene Unternehmen notwendig ist und zu welchem Zeitpunkt sich diese mit vernünftigem Aufwand durchführen lässt. Anmerkung (Quellen) 1 Die weiteren Ausführungen beziehen sich auf folgende COSO-Publikationen: COSO, COSO Issues Updated Internal Control Integrated Framework and Related Illustrative Dokuments, Pressemitteilung vom ; abrufbar unter: COSO%20Framework%20Release%20PR%20May%20 1%202013%20Final%20PDF.pdf (Zugriff am ); COSO, Internal Control Integrated Framework: Executive Summary; abrufbar unter: org/documents/99002p_executive_summary_final_ may20_e.pdf (Zugriff am ); COSO, Internal Control Integrated Framework: Framework and Appendices, Durham 2013; COSO, Internal Control Integrated Framework: Illustrative Tools for Assessing Effectiveness of a System of Internal Control, Durham Personalcontrolling Bereichsübergreifende Darstellung Mit aktuellen Praxisbeispielen! Personalcontrolling- Prozessmodell Niedermayr-Kruse/Waniczek/ Wickel-Kirsch 201, 112 Seiten, kart. ISBN EUR 39, Auch Als E-Book Erhältlich Preisänderungen und Irrtum vorbehalten. Preise Bücher inkl. 10% MwSt. cfo201_01_inserat_s1.indd :16:16 1 CFOaktuell Jänner 201

6 CFO aktuell-jahresabo in k l u s iv e On l in e zu g a n g un d A pp z um He f t -D o w n l o a d Ak t ion Jetzt 20% günstiger! Bestellen Sie jetzt Ihr Jahresabo Ja, ich bestelle Exemplare CFO aktuell-jahresabonnement 201 inkl. Onlinezugang und App EUR 102,0 (8. Jahrgang 201, Heft 1-6) Statt EUR 128, Das Angebot gilt nur für Neuabonnements. Alle Preise exkl. MwSt. und Versandspesen. Abbestellungen sind nur zum Ende eines Jahrganges möglich und müssen bis spätestens 30. November des Jahres schriftlich erfolgen. Unterbleibt die Abbestellung, so läuft das jeweilige Abonnement automatisch auf ein Jahr und zu den jeweils gültigen Abopreisen weiter. Preisänderung und Irrtum vorbehalten. Name/Firma Kundennummer Straße/Hausnummer PLZ/Ort Telefon (Fax) Newsletter: ja nein Datum/Unterschrift Handelsgericht Wien, FB-Nr.: 10223X, ATU , DVR: Linde Verlag Ges.m.b.H. Scheydgasse 2 PF 31, 1210 Wien Tel: Bestellen Sie online unter oder via an office@lindeverlag.at oder per Fax 01/ office@lindeverlag.at Fax: 01/