Anforderungen an Lageberichtsangaben zum IKS und RMS

Der DCGK 2022 konkretisiert ferner die Anforderungen des § 289 Abs. 4 HGB im Lagebericht, die wesentlichen Merkmale des internen Kontroll- und des Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess zu beschreiben. In der dazugehörigen Empfehlung A.5 heißt es: „Im Lagebericht sollen die wesentlichen Merkmale des gesamten internen Kontrollsystems und des Risikomanagementsystems beschrieben werden und [es] soll zur Angemessenheit und Wirksamkeit dieser Systeme Stellung genommen werden.“

Die Beschreibung der wesentlichen Merkmale des gesamten IKS und RMS inklusive des CMS kann sich dabei an den Grundelementen nach IDW PS 980 n.F., IDW PS 981 oder IDW PS 982 orientieren. Art und Umfang der Beschreibungen hängen dabei von den Zielen dieser Corporate-Governance-Systeme sowie der Struktur und Geschäftstätigkeit des Unternehmens ab.

In Bezug auf die Darstellungen zum IKS ist auch hier wichtig hervorzuheben, dass sich die Aussage auf das gesamte IKS zu beziehen hat und damit eben nicht „nur“ auf dessen rechnungslegungsbezogenen Teil. Gerade bei der erstmaligen Anwendung führt dies in der Praxis bei vielen betroffenen Unternehmen zu Unsicherheiten.

Durch den DCGK 2022 wurde im Grundsatz 4 klargestellt, dass die Angemessenheit und Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems deren interne Überwachung durch den Vorstand voraussetzen. Die geforderte Stellungnahme zur Angemessenheit und Wirksamkeit der Governance-Systeme wird sich regelmäßig darauf beziehen, worin die interne Überwachung und ggf. externe Prüfung der Systeme bestanden haben. Diese Überwachung durch den Vorstand schafft für diesen die Voraussetzung, eine Stellungnahme im Sinne der Empfehlung A.5 abgeben zu können. Die Überwachung des internen Kontrollsystems und des Risikomanagementsystems ist eine der Kernaufgaben der Internen Revision. Ergänzend zu dieser unternehmensinternen Überwachung kann von Zeit zu Zeit eine entsprechende ergänzende externe Prüfung sinnvoll und notwendig sein.

In der Berichterstattungspraxis zur Bilanzsaison 2022 enthalten die veröffentlichten Fälle vielfach „Negativformulierungen“, wie z.B. dass dem Vorstand auf Basis der Befassung mit diesen Systemen und der weiteren internen Überwachungsmaßnahmen keine Hinweise vorliegen, die gegen die Angemessenheit und Wirksamkeit dieser Systeme sprechen. Andere Unternehmen verzichten auf eine solche Negativaussage und beschränken sich auf eine reine Beschreibung der prozessunabhängigen Überwachung der Systeme durch die Interne Revision ggf. in Ergänzung um durchgeführte externe Prüfungen entlang der relevanten IDW Prüfungsstandards. Aus der Begründung der Novellierung des DCGK lässt sich eine solche Anforderung zur Abgabe eines negativen Statements oder sogar eines positiven Statements in Analogie zu einer Aussage mit „reasonable assurance“ durch einen unabhängigen Dritten nicht eindeutig ableiten. Der weitere Diskurs zwischen Unternehmensvertretern, der Kommission, den Wirtschaftsprüfern und anderen Stakeholdern wird hier zeigen, wohin sich eine „good practice“ in der Berichterstattung entwickeln wird. In der Unternehmenspraxis wird sich herausbilden, wie der Vorstand die Angemessenheit und Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems tatsächlich effektiv und effizient überwacht.

Auswirkungen für den Aufsichtsrat

Der Aufsichtsrat bzw. Prüfungsausschuss muss sich gemäß § 107 Abs. 3 Satz 2 AktG mit der Überwachung des Rechnungslegungsprozesses und der Wirksamkeit des IKS, RMS, CMS und des Internen Revisionssystems befassen. Durch die Anforderung des A.5 DCGK 2002 zur Stellungnahme im Lagebericht zur Angemessenheit und Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems wird die Bedeutung funktionierender interner Überwachungssysteme unterstrichen. Indem der Vorstand die Voraussetzungen für die Stellungnahme zur Angemessenheit und Wirksamkeit dieser Systeme schafft, versetzt er zugleich den Prüfungsausschuss in die Lage, sich nach § 107 Abs. 3 Satz 2 AktG mit der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems befassen zu können.

Für diese Überwachungsaufgabe des Prüfungsausschusses kann es sich anbieten, von den folgenden Praxisfragen auszugehen:

• Wie stellt der Vorstand die Angemessenheit und Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems in allen relevanten Bereichen und Einheiten sicher und weist dies gegenüber dem Prüfungsausschuss nach?
• Wie wird die Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems durch den Vorstand tatsächlich überwacht?

Die Basis hierfür liefert insbesondere eine Auseinandersetzung mit den durch den Vorstand initiierten Überwachungsmaßnahmen in Bezug auf IKS, RMS und CMS sowie der Arbeit der Internen Revision zur Überwachung dieser Corporate-Governance-Systeme. Diese Informationsbasis zur Verschaffung eines Bildes der Angemessenheit und Wirksamkeit von IKS und RMS inklusive CMS kann durch die gezielte Beauftragung von Externen mit Prüfungen der Corporate-Governance-Systeme gemäß der relevanten IDW Prüfungsstandards sinnvoll ergänzt werden.

Ferner wurde im Zuge des FISG den Mitgliedern des Prüfungsausschusses mit § 107 Abs. 4 Satz 4 AktG das explizite Recht eingeräumt, sich einen Überblick über die Angemessenheit und Wirksamkeit der Corporate-Governance-Systeme aus erster Hand durch direkte Ansprache der Funktionsverantwortlichen inklusive des Leiters der Internen Revision zu verschaffen.