SOX-Kontrollen: Ein praktischer Leitfaden

Die Einhaltung des SOX-Gesetzes wird selten als inspirierend empfunden, sollte es aber. Der Sarbanes-Oxley Act, der mittlerweile über 20 Jahre alt ist, hat sich zu einer bloßen Sammlung von Regeln entwickelt, die befolgt werden müssen. 

Tatsächlich handelt es sich um ein bewährtes Rahmenwerk für den Aufbau tragfähiger Finanzsysteme und langfristiger Glaubwürdigkeit. SOX basiert im Kern auf Vertrauen: dem Vertrauen, das Investorenentscheidungen leitet und den Unternehmenswert schützt.

Lassen Sie uns erläutern, was SOX-Kontrollen in der Praxis bedeuten und wie Sie sie nutzen können, um die Berichterstattung zu verbessern, Risiken zu reduzieren und Ihre finanzielle Integrität für die Zukunft zu sichern.

TL; DR SOX ist ein umfassendes System zum Schutz der finanziellen Integrität, und Schwächen können unmittelbare Auswirkungen auf den Markt haben. Wir haben die wichtigsten Kontrollarten – Geschäftsprozesse, allgemeine IT-Kontrollen, Anwendungskontrollen und Managementprüfungen – analysiert und gezeigt, wie jede einzelne eine zuverlässige Berichterstattung unterstützt. Nutzen Sie den bereitgestellten Fahrplan, von der Abgrenzung und Dokumentation bis hin zur Gap-Analyse und den Tests, um ein SOX-Programm aufzubauen, das einer kritischen Prüfung standhält.

Was sind SOX-Kontrollen?

SOX-Kontrollen sind die internen Regelwerke und Sicherheitsvorkehrungen, die Ihr Unternehmen einführt, um sicherzustellen, dass seine Finanzberichterstattung in der Gewinn- und Verlustrechnung und der Bilanz korrekt und letztendlich vertrauenswürdig ist. 

Formal handelt es sich dabei um Verfahren und Mechanismen, die börsennotierte Unternehmen gemäß dem Sarbanes-Oxley Act von 2002 (SOX) einrichten . Dieses Gesetz entstand nach einigen gravierenden Finanzkrisen Anfang der 2000er-Jahre (Enron und WorldCom sind die bekanntesten Beispiele) und hat zum Ziel, Investoren und die Öffentlichkeit mit verlässlichen Informationen zu versorgen.

Die SOX-Kontrollen lassen sich im Allgemeinen in einige wenige Hauptkategorien einteilen:

• GeschäftsprozesssteuerungHierbei handelt es sich um Kontrollmechanismen innerhalb Ihrer täglichen Finanzgeschäfte, wie z. B. die Genehmigung großer Zahlungen, die Abstimmung von Kontoauszügen oder die Überprüfung von Lagerbeständen.
• Allgemeine IT-Kontrollen (ITGCs)Fundamentale IT-Kontrollen gewährleisten eine stabile und gut verwaltete IT-Umgebung. Dazu gehören Zugriffskontrollen, Änderungsmanagement sowie Datensicherung und -wiederherstellung.
• AnwendungskontrollenDiese Angaben beziehen sich speziell auf einzelne Softwareanwendungen, die Finanzdaten verarbeiten. Beispielsweise die Überprüfung, ob ein Buchungssatz in Ihrer Buchhaltungssoftware vor der Verbuchung ordnungsgemäß autorisiert werden muss.
• Management-Review-Kontrollen (MRCs): Hierbei handelt es sich um Kontrollmechanismen, bei denen das Management Finanzinformationen prüft, um potenzielle Probleme aufzudecken, beispielsweise durch die Überprüfung monatlicher Budget-Ist-Vergleiche oder die Analyse bedeutender Transaktionen.

Welche Bedeutung haben SOX-Kontrollen bei der Finanzberichterstattung?

Die SOX-Kontrollen bieten Unternehmen eine solide Grundlage für die Erstellung verlässlicher Finanzberichte. Sie sind außerdem notwendig, um das Vertrauen der Anleger zu erhalten und die Marktstabilität zu wahren. 

Nehmen wir beispielsweise Abschnitt 302 des Sarbanes-Oxley Act (SOX) . Dieser verpflichtet CEOs und CFOs, die Richtigkeit der Finanzberichte ihres Unternehmens persönlich zu bestätigen. Dieses persönliche Interesse schärft den Fokus aller Beteiligten auf die Korrektheit der Zahlen.

Darüber hinaus eignen sich SOX-Kontrollen, insbesondere die jährliche Überprüfung gemäß Abschnitt 404 durch das Management und externe Wirtschaftsprüfer, hervorragend, um Risiken aufzudecken und zu beheben, die zu schwerwiegenden Fehlern in Finanzberichten führen könnten. Und obwohl SOX kein Cybersicherheitsgesetz im eigentlichen Sinne ist, stärken viele der darin geforderten ITGCs und Anwendungskontrollen die Sicherheit Ihrer Finanzdaten erheblich.

Sind alle SOX-Kontrollen für Ihr Unternehmen notwendig?

Wenn Sie ein börsennotiertes Unternehmen sind oder sich auf einen Börsengang vorbereiten, dann stehen die SOX-Compliance und damit auch die SOX-Kontrollen auf Ihrer Aufgabenliste. 

Als privates Unternehmen oder gemeinnützige Organisation sind Sie rechtlich nicht verpflichtet, den Sarbanes-Oxley Act (SOX) zu befolgen. Dennoch wenden viele Organisationen, die nicht strikt dem SOX unterliegen, ähnliche interne Kontrollsysteme (wie COSO oder COBIT ) an, da dies eine bewährte Praxis für das Management finanzieller Risiken und eine effiziente Unternehmensführung darstellt.

Wichtigste Compliance-Anforderungen gemäß SOX

Wenn Sie ein börsennotiertes Unternehmen sind, müssen Sie die wichtigsten Bestimmungen des Sarbanes-Oxley Acts genau kennen. Diese Bestimmungen verpflichten Unternehmen zu mehr Verantwortung, sorgen für transparentere Finanzberichterstattung und gehen gegen Unternehmens- und Bilanzierungsmanipulationen vor.

Hier ist eine Übersicht der wichtigsten Anforderungen.

• Abschnitt 302: Das ist eine wichtige Angelegenheit. Ihre obersten Führungskräfte (in der Regel der CEO und der CFO) müssen persönlich für die Richtigkeit der Finanzberichte des Unternehmens bürgen. Sie müssen außerdem bestätigen, dass die Offenlegungsmechanismen und -verfahren sowie die internen Kontrollen der Finanzberichterstattung den Anforderungen entsprechen. Sie müssen sicherstellen, dass die Berichte korrekt, fair und auf Basis identifizierter Risiken dargestellt sind.
• Abschnitt 404 (Interne Kontrolle der Finanzberichterstattung)Unternehmen müssen ihr internes Kontrollsystem für die Finanzberichterstattung (ICFR) einrichten, aufrechterhalten und regelmäßig bewerten. Das Management muss jährlich einen Bericht über die Wirksamkeit dieser Kontrollen veröffentlichen, und ein unabhängiger externer Wirtschaftsprüfer muss diese Bewertung prüfen und bestätigen. Dies ist die Grundlage des Sarbanes-Oxley Act (SOX) zur Vermeidung wesentlicher Falschdarstellungen.
• Abschnitt 906Dieser Abschnitt beschreibt die strafrechtlichen Sanktionen, die eintreten, wenn Führungskräfte wissentlich oder willentlich irreführende oder betrügerische Finanzberichte unterzeichnen. 
• Das PCAOB: SOX etablierte die Aufsichtsgremium für die Rechnungslegung von öffentlichen Unternehmen (PCAOB)Es handelt sich um den Wirtschaftsprüfer der Wirtschaftsprüfer. Er überwacht die Prüfungen börsennotierter Unternehmen, legt Prüfungsstandards fest und inspiziert Wirtschaftsprüfungsgesellschaften, um für Integrität zu sorgen und die Anleger zu schützen.
• Abschnitt 409SOX verlangt eine vollständigere und transparentere Finanzberichterstattung. Unternehmen müssen daher offenlegen, beispielsweise über außerbilanzielle Geschäfte und die Berechnung von Pro-forma-Zahlen. Zudem müssen sie alle Beteiligten unverzüglich über wesentliche Veränderungen ihrer Finanzlage oder ihres Geschäftsbetriebs informieren.
• Abschnitt 802: Unternehmen müssen alle ihre Prüfungs- und Überprüfungsunterlagen fünf Jahre lang aufbewahren. Bei Vernichtung, Veränderung oder Fälschung von Unterlagen drohen hohe Strafen.
• IT-Kontrollen (ITGCs und Anwendungskontrollen): Obwohl SOX geschrieben wurde, bevor Cybersicherheit zu dem heutigen Trendthema wurde, ist die Notwendigkeit solider IT-Kontrollen darin fest verankert.

Die IT-Kontrollen gemäß SOX gewährleisten, dass alle Systeme, die mit der Finanzberichterstattung in Berührung kommen, gut kontrolliert, korrekt und vollständig sind und keine Fehler aufweisen, die die Zahlen verfälschen könnten. Dies umfasst Kontrollen darüber, wer Zugriffsrechte hat, wie Änderungen verwaltet werden und wie die Sicherheit der Finanzdaten gewährleistet ist.

Diese Anforderungen bilden die Grundlage eines soliden SOX-Compliance-Programms. Zusammen schaffen sie einen Finanzrahmen, der für alle Beteiligten mehr Verantwortlichkeit und Transparenz bietet.

Wenn Sie das hier lesen, arbeiten Sie höchstwahrscheinlich im IT-Bereich. In diesem Fall sollten Sie den IT-Kontrollen besondere Aufmerksamkeit schenken.

Was sind SOX ITGC (IT General Controls)?

Die SOX IT General Controls (ITGCs) sind die grundlegenden Richtlinien und Verfahren, die für die IT-Umgebung einer Organisation gelten, insbesondere für jene Komponenten, die die Finanzberichterstattung unterstützen. 

Sie schaffen eine zuverlässige und sichere IT-Betriebsumgebung, die die Genauigkeit und Integrität der von Anwendungen verarbeiteten Finanzdaten unterstützt. 

ITGCs decken typischerweise folgende Bereiche ab:

1. Zugangskontrollen: Diese Kontrollmechanismen regeln, wer auf Systeme, Daten und kritische IT-Infrastruktur zugreifen darf und welche Aktionen diese Zugriffsberechtigten ausführen können. Das Prinzip der minimalen Berechtigungen ist hierbei wichtig: Benutzer sollten nur die Zugriffsrechte besitzen, die zur Erfüllung ihrer Aufgaben erforderlich sind.
2. ÄnderungsmanagementkontrollenDiese Maßnahmen sind notwendig, um sicherzustellen, dass Änderungen an Anwendungen, Datenbanken, Betriebssystemen und der Netzwerkinfrastruktur autorisiert, getestet und ordnungsgemäß implementiert werden. Unkontrollierte Änderungen führen zu Fehlern, Sicherheitslücken oder Störungen der Finanzverarbeitung.
3. IT-Betriebskontrollen: Diese Kontrollmechanismen umfassen die alltäglichen Aktivitäten, die für den reibungslosen und zuverlässigen Betrieb von IT-Systemen erforderlich sind. Dazu gehören:
   • Datensicherung und Wiederherstellung: Verfahren zur Erstellung von Backups, deren sicherer Speicherung (oft extern) und zur regelmäßigen Überprüfung der Fähigkeit, Daten und Systemfunktionen im Falle einer Katastrophe oder eines Systemausfalls wiederherzustellen.
   • Arbeitsplanung und -überwachungBei Systemen, die auf automatisierten Stapelverarbeitungsprozessen basieren, wie beispielsweise bei Finanzberechnungen zum Tagesende, sind Kontrollen erforderlich, um sicherzustellen, dass diese Aufträge korrekt geplant und erfolgreich ausgeführt werden und dass etwaige Fehler erkannt und behoben werden.
   • Problem- und Störungsmanagement: Prozesse zur Identifizierung, Protokollierung, Analyse und Behebung von IT-Vorfällen und -Problemen, die sich auf die Finanzberichterstattung auswirken könnten, zur Minimierung von Störungen und zur Verhinderung eines erneuten Auftretens.
4. Programmentwicklung und Beschaffungskontrollen: Diese Kontrollmechanismen, die zwar mitunter in das Änderungsmanagement integriert sind, konzentrieren sich darauf, wie neue Anwendungen intern entwickelt oder von Drittanbietern bezogen werden. Neue Systeme müssen die Geschäftsanforderungen erfüllen, ordnungsgemäß getestet werden und über integrierte Kontrollmechanismen verfügen, bevor sie in Betrieb genommen werden und Finanzdaten verarbeiten.

Schwächen in einem dieser ITGC-Bereiche bergen Risiken für die Finanzberichterstattung. Beispielsweise könnten unzureichende Zugriffskontrollen es Unbefugten ermöglichen, Finanzdaten zu verändern. Aus diesen Gründen prüfen externe Wirtschaftsprüfer die ITGCs im Rahmen ihrer SOX-404-Prüfung eingehend.

Wie implementiert man SOX-Kontrollen? Eine Schritt-für-Schritt-Anleitung

Die genauen Details variieren je nach Größe, Komplexität und Branche Ihres Unternehmens. Hier finden Sie eine allgemeine Anleitung zum Prozess.

Schritt 1: Planen und grenzen Sie Ihre Bemühungen ab

Beginnen Sie mit einem klaren Plan. Wir empfehlen einen Top-Down-Ansatz mit risikobasierter Vorgehensweise, der folgendermaßen aussieht:

Ermitteln Sie genau, welche Teile Ihrer Finanzberichterstattung unter SOX fallen. Weisen Sie darauf hin, welche Posten und Angaben im Jahresabschluss wesentlich sind; jene, deren fehlerhafte Darstellung die Entscheidung eines Investors beeinflussen könnte.

Sobald Sie diese Daten haben, verfolgen Sie sie zurück zu den zugrunde liegenden Geschäftsprozessen. Betrachten Sie Ihren Umsatzzyklus und wie Sie Beschaffung, Gehaltsabrechnung und andere wichtige Finanzaktivitäten abwickeln. 

Außerdem sollten Sie alle IT-Systeme, Anwendungen und Datenbanken erfassen, die diese kritischen Prozesse unterstützen.

Schritt 2: Die Risiken verstehen

Als Nächstes sollten Sie eine gründliche Risikoanalyse für jeden Prozess und jedes System durchführen, das Sie als notwendig identifiziert haben. Versetzen Sie sich in die Lage eines Detektivs und fragen Sie sich: Wo könnten Fehler auftreten oder wo könnte Betrug geschehen?

Es ist hilfreich, hier zwei Arten von Risiko zu unterscheiden: das inhärente Risiko (das Risiko, das bereits vor der Anwendung von Kontrollmaßnahmen besteht) und das Kontrollrisiko (die Wahrscheinlichkeit, dass Ihre aktuellen Kontrollmaßnahmen ein Problem nicht erkennen). 

Hier werden die Verbindungen zwischen potenziellen Fehlern in der Finanzberichterstattung und den spezifischen ITGCs und Anwendungskontrollen hergestellt, die dazu entwickelt wurden, diese zu verhindern.

Schritt 3: Kontrollmechanismen identifizieren und Abwehrmaßnahmen dokumentieren

Als Nächstes müssen Sie alle bestehenden Kontrollmaßnahmen zur Bewältigung der soeben identifizierten Risiken gründlich dokumentieren. Erstellen Sie detaillierte Prozessbeschreibungen, gegebenenfalls Flussdiagramme zur Veranschaulichung der Abläufe und Kontrollmatrizen, die Risiken den entsprechenden Kontrollmaßnahmen zuordnen. 

Beschreiben Sie für jede einzelne Kontrollmaßnahme klar deren Zweck, die konkrete Kontrollaktivität, wer für deren Durchführung verantwortlich ist, wie häufig sie durchgeführt wird und welche Art von Nachweisen sie für ihre Wirksamkeit liefert. 

Denken Sie daran, dass eine sorgfältige Dokumentation eine Kernvoraussetzung für SOX ist.

Schritt 4: Führen Sie eine Lückenanalyse durch und passen Sie die Kontrollen entsprechend an.

Anschließend beurteilen Sie, wie gut die Kontrollmaßnahmen gestaltet sind. Bereiche, in denen eine bestehende Kontrollmaßnahme ein Risiko nicht ausreichend abdeckt, sind Ihre „Lücken“. Sie müssen entweder neue Kontrollmaßnahmen entwickeln oder die bereits vorhandenen verstärken. 

Es ist auch möglich, dass Ihre gut konzipierten Kontrollmechanismen nicht effektiv funktionieren – vielleicht etwas, das bei internen Tests oder früheren Audits aufgefallen ist. In diesen Fällen müssen Sie Pläne entwickeln und umsetzen, um diese Probleme zu beheben und die Kontrollmechanismen wie vorgesehen zum Laufen zu bringen.

Schritt 5: Testen Sie Ihre Bedienelemente

Sobald alle notwendigen Korrekturen vorgenommen wurden, sollten Sie die Systeme testen. Sie müssen sicherstellen, dass sie nicht nur korrekt konstruiert sind, sondern auch in der Praxis funktionieren. 

Bei der Prüfung werden Stichproben von Transaktionen oder Kontrollaktivitäten ausgewählt und die Beweise untersucht, um sicherzustellen, dass die Kontrolle korrekt und konsequent durchgeführt wurde. 

Dafür gibt es viele Möglichkeiten: Sie könnten mit den Beteiligten sprechen, die Durchführung der Kontrolle beobachten, Dokumente und Berichte prüfen oder die Kontrollmaßnahme sogar selbst wiederholen. 

Schritt 6: Mängel bewerten und Ergebnisse einschätzen

Nach den Tests werden die Ergebnisse analysiert. Jede Abweichung einer Kontrollgruppe von der Sollleistung wird als Kontrollmangel gewertet. Diese Mängel müssen anschließend sorgfältig geprüft werden, um ihren Schweregrad zu bestimmen. 

Diese Klassifizierung ist unerlässlich, da sie vorschreibt, wie und wem die Meldungen zu erfolgen haben; typischerweise an das Management, den Prüfungsausschuss und die externen Wirtschaftsprüfer. 

Letztendlich ist das Management Ihres Unternehmens für die Berichterstattung über die Gesamteffektivität Ihres internen Kontrollsystems zur Finanzberichterstattung (ICFR) verantwortlich, einschließlich der Offenlegung aller festgestellten wesentlichen Schwächen.

Schritt 7: Kontrollmechanismen nach der Implementierung kontinuierlich überwachen und optimieren.

Sie müssen Wege finden, Ihr Kontrollumfeld kontinuierlich zu überwachen. Regelmäßige Selbstbewertungen durch die Prozessverantwortlichen, periodische Überprüfungen durch ein internes Revisionsteam und die Aktualisierung Ihrer Kontrollen bei jeder Änderung Ihrer Geschäftsprozesse oder IT-Systeme sind praktikable Maßnahmen.

Es ist außerdem ratsam, regelmäßig einen Schritt zurückzutreten und Ihr gesamtes SOX-Programm auf Verbesserungsmöglichkeiten zu überprüfen. Sie können einige manuelle Kontrollen automatisieren, um die Zuverlässigkeit zu erhöhen, oder Wege finden, Ihre Kontrollen zu vereinfachen.

Bewährte Verfahren zum Testen und Überwachen von SOX-Kontrollen

Ein ordnungsgemäßes SOX-Kontrollsystem ist ein guter Anfang, aber Sie müssen sich darauf verlassen können, dass es konsequent und effektiv funktioniert. 

Befolgen Sie diese bewährten Verfahren, um Ihre Bedienelemente sicher zu halten.

• Risikoorientiertes TestenKonzentrieren Sie Ihre Testbemühungen auf Bereiche mit hohem Risiko, die anfällig für wesentliche Falschdarstellungen sind, wie z. B. komplexe Umsatzrealisierungsprozesse, nicht standardisierte manuelle Buchungssätze und kritische Tabellenkalkulationen. Sie müssen nicht alle Kontrollen gleich stark testen. Innovative SOX-Programme priorisieren risikobasiert.
  
• Beschränken Sie sich nicht auf nur wenige Testmethoden.Kombinieren Sie verschiedene Ansätze, wie z. B. Befragungen der Verantwortlichen für die Kontrollmaßnahmen, Beobachtung von Prozessen, Dokumentenprüfung und die erneute Durchführung von Kontrollaktivitäten. Wenn Sie beispielsweise Dateneingaben für eine Materialkontrollkommission (MRC) prüfen, bestätigen Sie nicht nur, dass die Prüfung stattgefunden hat. Prüfen Sie stattdessen die systemgenerierten Berichte und führen Sie den Abgleich erneut durch, um die Genauigkeit sicherzustellen.
  
• Technologie zur Vereinfachung des Testens nutzenNutzen Sie GRC-Tools (Governance, Risk & Compliance), um Kontrolldokumentation, Arbeitsabläufe und Testschritte zu optimieren. Ergänzen Sie Ihr System durch computergestützte Prüfverfahren (CAATs), um große Datensätze effizient zu analysieren, Anomalien zu erkennen und ganze Populationen zu testen, anstatt sich nur auf Stichproben zu stützen.
  
• Führen Sie eine gründliche DokumentationStellen Sie sicher, dass Ihre Tests – von den Verfahren über die Nachweise und Ergebnisse bis hin zu den Abhilfemaßnahmen – dokumentiert sind. Dokumentieren Sie beispielsweise bei der Bewertung von Kontrollen gegenüber Drittanbietern, wie Sie SOC-1- oder SOC-2-Berichte geprüft haben, welche Kriterien Sie zur Beurteilung von Ausnahmen herangezogen haben und welche Schritte zur Behebung etwaiger Probleme unternommen wurden.
  
• Bewusstsein für KontrollabsichtenEs reicht nicht aus, lediglich die Existenz einer Kontrollmaßnahme zu bestätigen; man muss auch verstehen, warum sie existiert. Wenn man beispielsweise eine Kontrollmaßnahme auf Unternehmensebene wie eine Hinweisgeber-Hotline testet, sollte man untersuchen, wie Meldungen untersucht werden, ob Trends erfasst werden und ob Korrekturmaßnahmen ergriffen werden.