Die Prüfung des Risikofrüherkennungssystems

Nach § 91 Abs. 2 AktG hat der Vorstand geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden („Risikofrüherkennungssystem“). Diese Maßnahmen hat der Abschlussprüfer bei börsennotierten Aktiengesellschaften (§ 3 Abs. 2 AktG) gemäß § 317 Abs. 4 HGB im Rahmen der Jahresabschlussprüfung zu prüfen.

Der Abschlussprüfer stellt im Bericht zur Prüfung des Jahresabschlusses dar, ob der Vorstand die ihm nach § 91 Abs. 2 AktG obliegenden Maßnahmen in einer geeigneten Form getroffen hat und ob das danach einzurichtende Überwachungssystem seine Aufgaben erfüllen kann. Dabei muss der Abschlussprüfer auch darauf eingehen, ob Maßnahmen erforderlich sind, um das interne Überwachungssystem zu verbessern.

Im Mai 2020 hat das Institut der Wirtschaftsprüfer (IDW) eine Neufassung des Prüfungsstandards 340 „Die Prüfung des Risikofrüherkennungssystems“ (IDW PS 340 n.F.) verabschiedet. Die Neufassung des IDW PS 340 ist verpflichtend für alle Geschäftsjahre anzuwenden, die nach dem 31.12.2020 beginnen.  Damit werden die berufsständischen Regelungen zur Prüfung nach § 317 Abs.4 HGB, die im Zuge des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) seit dem Jahr 1999, also seit gut 20 Jahren, geltendes Recht sind, modernisiert.

Die Überarbeitung des IDW PS 340 erschien dem Standardsetter des Berufsstands erforderlich, um der seit der Einführung des § 91 Abs. 2 AktG durch das KonTraG und der seit der Verabschiedung des IDW PS 340 a.F. im Jahr 1999 eingetretenen Fortentwicklung der Unternehmenspraxis im Bereich der Einrichtung und Prüfung von Corporate Governance Systemen Rechnung zu tragen.  Mehr als 20 Jahre nach der erstmaligen Interpretation der sich für Unternehmen aus § 91 Abs. 2 AktG und für deren Abschlussprüfer aus § 317 Abs. 4 HGB ergebenden Pflichten, reagierte der Berufsstand einerseits auf den in 20 Jahren tatsächlich in den Unternehmen stattgefundenen (oder eben nicht ausreichenden) Fortschritt in der Ausgestaltung der Risikomanagementsysteme. Andererseits nahm das IDW die Kritik an der sehr eingeschränkten Interpretation des Berufsstands des sich aus § 317 Abs. 4 HGB ergebenden gesetzlichen Auftrags auf. Der Prüfungsgegenstand ist faktisch erweitertet, und es wird ein besseres Konsequenzenmanagement des Aufsichtsrats auf Basis der nunmehr problemorientierteren Berichterstattung angemahnt.

Die faktische Erweiterung des Prüfungsgegenstands ergibt sich aus der über den Wortlaut hinaus geänderten Interpretation des Risikofrüherkennungssystems des § 91 Abs. 2 AktG. Zwar bleiben allein bestandsgefährdende Risiken Objekt der Maßnahmen des § 91 Abs. 2 AktG. Jedoch ist es in der Praxis und in der Literatur seit Jahren Konsens, das ein Risikofrüherkennungssystem nur angemessen ist, wenn es Maßnahmen zur Identifikation, Bewertung und Steuerung flankiert mit Maßnahmen der Risikostrategie und Berichterstattung. Der IDW PS 340 a. F. entband den Abschlussprüfer insbesondere noch von der Prüfung der Risikosteuerungsmaßnahmen: „Die Reaktionen des Vorstands auf erfaßte und kommunizierte Risiken selbst sind nicht Gegenstand der Maßnahmen i.S.d. § 91 Abs. 2 AktG und damit auch nicht Gegenstand der Prüfung nach § 317 Abs. 4 HGB.“ 

Nunmehr sieht IDW PS 340 n. F. die Prüfung nach § 317 Abs. 4 HGB als Systemprüfung darauf ausgerichtet, um zu beurteilen, ob der Vorstand durch Einrichtung geeigneter Maßnahmen nach § 91 Abs. 2 AktG Vorsorge getroffen hat, den Fortbestand der Gesellschaft gefährdende Entwicklungen rechtzeitig zu identifizieren, zu bewerten, zu steuern und zu überwachen.  Zu beurteilen, ob die Risikosteuerungsmaßnahmen auch wirtschaftlich und sinnvoll sind, bleibt weiterhin nicht Gegenstand der Prüfung. 

Neben der expliziten Ausklammerung der Maßnahmen der Risikosteuerung aus dem Prüfungsumfang hielt sich der alte Standard auch dabei zurück, die Maßnahmen der Bewertung von Risiken als einen wesentlichen Bestandteil des Prüfungsurteils hervorzuheben. Zwar erfordert der alte Standard zur Beurteilung der Eignung der getroffenen Maßnahmen „eine Prüfung, ob alle wesentlichen Risiken bzw. Risikoarten vom System zutreffend (…) bewertet (…) werden.“  Jedoch genügt es, wenn der Abschlussprüfer anhand der Dokumentation des Unternehmens prüft, „ob die Erfassung und Bewertung aller identifizierten Risiken bzw. Risikoarten, die für das Unternehmen eine Bestandsgefährdung darstellen können, durch eine verantwortliche Stelle geregelt ist. Darüber hinaus hat der Abschlussprüfer auf der Grundlage der eigenen im Verlaufe der Abschlussprüfung gewonnenen Kenntnisse über die Risikosituation des Unternehmens zu prüfen, ob alle wesentlichen Risikofelder durch die identifizierten Risiken bzw. Risikoarten abgedeckt sind.“  Dies ist von der Forderung einer Prüfung und Beurteilung des implementierten Risikobewertungs- und Aggregationsverfahrens – seien es qualitative oder seien es quantitative Methoden – weit entfernt.

Obwohl nunmehr im neuen Standard die Risikobewertung – konsequenterweise als unabdingbare Voraussetzung für die Bestimmung der Bestandsgefährdung eines Risikos, der Risikoaggregation und der Risikotragfähigkeit– als Kernaufgabe des Risikofrüherkennungssystems des § 91 Abs. 2 AktG Bestandteil der Prüfung ist, ließ der Standardsetter trotz aller Kritik¹ für Unternehmen und Abschlussprüfer eine Hintertür offen, und erlaubt für die Bewertung von Risiken (weiterhin) auch qualitative Methoden.  Diese Anforderung dürften dem Grunde nach alle Risikofrüherkennungssysteme erfüllen, so dass Abschlussprüfer und Unternehmen in diesem Punkt eine Darstellung einer Systemschwäche oder Einschränkung des Prüfungsurteils auch zukünftig in aller Regel erspart bleiben dürfte. Das Festhalten des Standardsetters an der Zulässigkeit auch qualitativer Methoden trug (und trägt) dem Status quo vieler Risikomanagementsysteme in der Praxis – außerhalb der Finanzdienstleistungsbranche – Rechnung, wonach quantitative Bewertungsmethoden wenig verbreitet sind und man sich eher auf die dehnbaren qualitativen Methoden abstützt². 

Insgesamt gibt der neue Standard jetzt alle Grundelemente eines Risikofrüherkennungssystems in Anlehnung an die zur Einrichtung und Prüfung von Risikomanagement- und Compliance-Management-Systemen entwickelten Grundelemente vor , so dass damit der IDW PS 340 n.F. im Hinblick auf die seit einigen Jahren durch Literatur und IDW entwickelten Systematik der Governance-, Risiko- und Compliance-Systeme auf sicherem Fundament steht. 

Während bisher die Prüfung des Risikofrüherkennungssystems aufgrund der eher „schmalen“ Berichterstattung des Abschlussprüfers an den Aufsichtsrat, die regelmäßig nur die mit wenig Aussagekraft ausgestattete positive Darstellung des Ergebnisses der Prüfung beinhaltet, ein Schattendasein fristet, wird die Erweiterung der Berichterstattung durch den IDW PS 340 n.F. die Grundlage für eine Verbesserung der Wahrnehmung der Überwachungsaufgaben durch den Aufsichtsrat schaffen. Damit wird der Intension des § 317 Abs. 4 HGB entsprochen, den Aufsichtsrat in seinen Aufgaben zur Überwachung des Risikomanagementsystems zu unterstützen. 

Der bloße Hinweis bei vorliegenden Mängeln im Prüfungsbericht, dass die Unternehmensleitung ihrer Pflicht zur Einrichtung von Maßnahmen i.S.d. § 91 Abs. 2 AktG nicht nachgekommen ist, gehört der Vergangenheit an.  Zukünftig werden die Probleme im Risikofrüherkennungssystem im Bericht des Abschlussprüfers explizit aufgeführt, da zum einen nach § 321 Abs. 4 Satz 2 HGB darauf einzugehen ist, ob Maßnahmen erforderlich sind, um das Überwachungssystem zu verbessern.  Zum anderen ist bei wesentlichen Mängeln nunmehr expressis verbis eine „Einschränkung“ zu formulieren oder die Erklärung der Ordnungsmäßigkeit der eingerichteten Maßnahmen zu versagen. 

Damit liegt dem Aufsichtsrat ein unabhängiges Urteil und eine problemorientierte Berichterstattung zum Risikofrüherkennungssystem des Unternehmens vor, die ihn in die Lage versetzen, die erforderlichen Konsequenzen insbesondere zur Systemverbesserung einzuleiten und den Vorstand diesbezüglich anzuweisen („Follow-up“).

Vier Neuerungen des IDW PS 340 n.F. werden sich erheblich auf die bisher von Unternehmen eingerichteten Maßnahmen des Risikomanagements auswirken:

Bestandteil des Risikofrüherkennungssystems und dessen Prüfung ist nunmehr das Verfahren der Bestimmung der Risikotragfähigkeit. Als Risikotragfähigkeit wird das maximale Risikoausmaß bezeichnet, welches das Unternehmen ohne Gefährdung seines Fortbestands tragen kann.  Sie hängt u.a. von der wirtschaftlichen Lage des Unternehmens, seiner Größe und seinen Möglichkeiten zur Kapitalaufbringung ab. Bei der Bestimmung der Risikotragfähigkeit wird berücksichtigt, dass bestandsgefährdende Entwicklungen in der wirtschaftlichen Lage oder in regulatorischen und geschäftlichen Gegebenheiten begründet sein können. 

Um die Risikotragfähigkeit bestimmen zu können, sind alle identifizierten Risiken dahingehend zu analysieren und zu bewerten, ob sie einzeln oder in ihrem Zusammenwirken den Bestand des Unternehmens gefährden. Dies erfordert für die Art der Risiken angemessene Methoden der Bewertung und Aggregation. Die Risikobewertung berücksichtigt die Auswirkungen der eingeleiteten oder durchgeführten Maßnahmen des Vorstands zur Risikosteuerung, d.h. dass Gegenstand des Risikofrüherkennungssystems allein „Netto-Risiken“ sind. Die Bewertung umfasst des Weiteren die Einschätzung, ob Risiken, die isoliert betrachtet von nachrangiger Bedeutung sind, vor dem Hintergrund der Risikotragfähigkeit der Gesellschaft in ihrem Zusammenwirken im Zeitablauf zu einer bestandsgefährdenden Entwicklung führen können (Risikoaggregation). 

Nach Auffassung des IDW können zur Bewertung und Aggregation unterschiedliche anerkannte quantitative und qualitative Verfahren zur Anwendung kommen. In Abhängigkeit der individuellen Unternehmenssituation können z.B. Expertenschätzungen oder Heuristiken bis hin zu Szenarioanalysen oder IT-gestützten Simulationsverfahren angemessen sein.  

Da die Prüfung nach IDW PS 340 n.F. nunmehr fordert, die vom Unternehmen eingerichteten Regelungen zur Risikobewertung zu beurteilen und als Beurteilungsmaßstab dazu vorgibt, dass die verwendeten Bewertungsverfahren:

ergeben sich über den Umweg der vom Prüfer in diesem Zusammenhang geforderten Prüfungsnachweise erhöhte Anforderungen für die Unternehmen.

Für Unternehmen, die sich auf qualitative Methoden der Risikobewertung verlassen, wird das zukünftig bedeuten, ihre subjektiven Einschätzungen über das Ausmaß der einzelnen Risiken entweder zu objektivieren, was folglich die Einführung quantitativer Methoden nach sich ziehen würde, oder ihre Einschätzungen intersubjektiv nachvollziehbar zu gestalten, d.h. vor allem diese zu dokumentieren. Darüber hinaus wird der Prüfer zukünftig vermehrt schriftliche Erklärungen des Vorstands bzw. der für diese Schätzungen verantwortlichen Mitarbeiter als Prüfungsnachweis anfordern müssen, um die Funktionsfähigkeit des Systems zu prüfen. Vorstellbar ist, dass die Methoden zur Prüfung geschätzter Werte (IDW PS 314 n.F.) Einzug in die Prüfung des Risikofrüherkennungssystems halten werden. 

Auf der Grundlage der identifizierten und bewerteten Risiken trifft der Vorstand Entscheidungen über geeignete Mittel zur Sicherung des Fortbestands des Unternehmens (z.B. Risikovermeidung, Risikoreduktion, Risikoteilung bzw. -transfer). Die Entscheidungen zur Risikosteuerung werden für die identifizierten und bewerteten Risiken festgelegt und nachvollziehbar dokumentiert. 

Da ausschließlich Netto-Risiken Gegenstand des Risikofrüherkennungssystems sind, ist es erforderlich, dass der Abschlussprüfer auch die vom Vorstand eingerichteten Maßnahmen der Risikosteuerung in den Fokus seiner Prüfung nimmt. Dies geht – bei wortgetreuer Auslegung des IDW PS 340 a.F. – über die bisherigen Anforderungen der Prüfung des Risikofrüherkennungssystems hinaus. 

Die Prüfung der Regelungen zur Risikosteuerung kann z.B. die Analyse und Beurteilung der Konzeption und Implementierung von Risikosteuerungsmaßnahmen in Bezug auf bestandsgefährdende Risiken umfassen. Das System muss insbesondere mit hinreichender Sicherheit gewährleisten, dass die Risikosteuerungsmaßnahmen dahingehend beurteilt werden, ob die Maßnahmen

Hinsichtlich der Implementierung ist zu beurteilen, ob die Maßnahmen zur Risikosteuerung in der vorgesehenen Weise eingerichtet wurden sowie ob Anhaltspunkte vorliegen, dass das Unternehmen nicht in der Lage ist, diese Maßnahmen wie geplant durchzuführen. Eine explizite Aussage zur Angemessenheit und Wirksamkeit von einzelnen oder sämtlichen Risikosteuerungsmaßnahmen ist nicht Ziel der Prüfung, ebenso nicht eine Aussage zur Wirtschaftlichkeit getroffener Maßnahmen. 

Zur Sicherstellung der dauerhaften, personenunabhängigen Funktionsfähigkeit des Risikofrüherkennungssystems und zum Nachweis der Erfüllung der Pflichten des Vorstands nach § 91 Abs. 2 AktG ist eine Dokumentation erforderlich. Die Dokumentation gehört zu den Aufgaben des Vorstands im Anwendungsbereich von § 91 Abs. 2 AktG. 

Art und der Umfang der geforderten Dokumentation sind abhängig von den unternehmensindividuellen Gegebenheiten. Die Dokumentation der getroffenen Maßnahmen sowie deren nachhaltige Umsetzung sind Voraussetzung für die interne Überwachung der Maßnahmen und die externe Prüfung gemäß § 317 Abs. 4 HGB.

Mit IDW PS 340 n.F. ist in Bezug auf das Dokumentationserfordernis eine deutliche Verschärfung erfolgt, da der Standard im Gegensatz zum Vorgängerstandard eine angemessene Dokumentation der Durchführung aller Maßnahmen des Risikofrüherkennungssystems als zwingend ansieht. IDW PS 340 a.F. sah zwar auch das Dokumentationserfordernis vor; eine fehlende oder unvollständige Dokumentation führte nach dessen Duktus aber nur zu „Zweifeln an der dauerhaften Funktionsfähigkeit der getroffenen Maßnahmen. Zum Nachweis der kontinuierlichen Anwendung der getroffenen Maßnahmen sollten auch die laufenden Unterlagen über Risikoerkennung, -analyse und -kommunikation (…) über einen ausreichend langen Zeitraum archiviert werden.“  Fälle mangelhafter oder gänzlich fehlender Dokumentation hatte der alte Standard auch im Blick, wenn er dem Abschlussprüfer mit auf den Weg gab, bei der Feststellung der Prüfungsbereitschaft des Unternehmens auch zu berücksichtigen, ob eine Dokumentation der Maßnahmen nach § 91 Abs. 2 AktG vorliegt und ob sie für die Zwecke seiner Prüfung geeignet ist. Sollte keine oder keine ausreichende Dokumentation vorliegen, sollte der Abschlussprüfer dem Unternehmen vor Beginn der Prüfungshandlungen Gelegenheit geben, eine solche anzufertigen. In jedem Fall lag in einer fehlenden Dokumentation a priori kein wesentlicher Mangel vor.

Unterbleibt zukünftig die erforderliche Dokumentation ist nach IDW PS 340 n.F. nunmehr ein wesentlicher Gesetzesverstoß zu sehen,  der automatisch zu einer Einschränkung des Gesamturteils zum Risikofrüherkennungssystem des Unternehmens führt. 

Gemäß § 321 Abs. 4 HGB ist das Ergebnis der Prüfung nach § 317 Abs. 4 HGB in einem besonderen Teil des Prüfungsberichts darzustellen; eine Berichterstattung im Bestätigungsvermerk ist nicht zulässig. Festgestellte Mängel des Prüfers in Bezug auf die vom Vorstand nach § 91 Abs. 2 AktG getroffenen Maßnahmen haben als solche keine Auswirkung auf den Bestätigungsvermerk. Resultieren aus Mängeln der Maßnahmen nach § 91 Abs. 2 AktG jedoch wesentliche falsche Darstellungen im Abschluss oder Lagebericht oder sind aus diesem Grund für den Abschluss oder den Lagebericht keine ausreichenden geeigneten Prüfungsnachweise zu erlangen, so ist der Bestätigungsvermerk gegebenenfalls wegen Einwendungen oder wegen Prüfungshemmnissen zu modifizieren. 

Neu ist, dass der Standard eine Hilfestellung bei der Bildung des Gesamturteils gibt und klare Regeln in dessen Formulierung hat, die sich an den etablierten Regelungen des IDW PS 400 orientieren. Erstmalig ist das Gesamturteil bei wesentlichen Mängeln deutlich mit „Einschränkung“ zu titulieren und das Gesamturteil zu versagen, wenn die Mängel so wesentlich und umfassend sind, dass die vom Vorstand getroffenen Maßnahmen insgesamt nicht geeignet sind, die Fortführung der Unternehmenstätigkeit gefährdende Entwicklungen frühzeitig zu erkennen.  Das geht über den Minimalismus des Vorgängerstandards hinaus, nach dem nur das Ergebnis der Prüfung „darzustellen“ ist und im Falle des vollständigen Fehlens von Maßnahmen der Risikofrüherkennung oder einer Dokumentation derselben darauf im Prüfungsbericht „hinzuweisen“ ist.

Der für die Überwachung des Risikomanagementsystems für den Aufsichtsrat bedeutsamste Fortschritt in IDW PS 340 n.F. ist die Anweisung, dass zukünftig neben dem Prüfungsurteil auch sämtliche festgestellten wesentlichen Mängel im Prüfungsbericht darzustellen und als solche zu bezeichnen sowie die Bereiche zu nennen sind, in denen Verbesserungsbedarf besteht.  Durch die Darstellung der wesentlichen Mängel im Prüfungsbericht erhält der Aufsichtsrat wesentliche Informationen und Erkenntnisse über mögliche Fehlerquellen oder Schwachstellen in der Unternehmensorganisation. Zusätzlich zur Darstellung von Mängeln sollte der Prüfer im Prüfungsbericht auch Hinweise auf Verbesserungsmaßnahmen geben, die für Berichtsadressaten von Bedeutung sind. 

Die Neufassung des IDW PS 340 spiegelt die Weiterentwicklung bei der Einrichtung und Prüfung von Corporate-Governance-System wider und legt den Fokus auf das, was aus Unternehmenssicht tatsächlich bestandsgefährdende Entwicklungen sind. Weiterhin wird unter anderem die Verpflichtung der Unternehmen betont, die individuelle Risikotragfähigkeit als Bestandteil der Maßnahmen nach § 91 Abs. 2 AktG zu beurteilen und einer aggregierten Risikobetrachtung gegenüberzustellen.

Einige der Neuerungen sind aktuell bereits Bestandteil der unternehmerischen und prüferischen Praxis. Bei vielen Unternehmen – außerhalb der Finanzdienstleistungsbranche – hat die Neufassung des IDW PS 340 n.F. jedoch einen dringendem Handlungsbedarf im Hinblick auf die Maßnahmen der Risikobewertung und Risikoaggregation generiert.

Obwohl qualitative Methoden weiterhin erlaubt bleiben, wird der IDW PS 340 n.F. die Implementierung quantitativer Bewertungsmethoden im Risikomanagement befördern und werden qualitative Bewertungsmethoden – zumindest was die Bewertung gewöhnlicher operativer Risiken betrifft – mehr und mehr der Vergangenheit angehören.

Mit der Neufassung des Standards wird für den Aufsichtsrat die Möglichkeit geschaffen, seine Überwachungsaufgaben auf Basis der stärker problemorientierten Berichterstattung besser wahrzunehmen. Der Vorstand findet deutlich konkretere Handlungsempfehlungen zur Verbesserung der Risikomanagementsystems, die durch die (bzw. einer vom Abschlussprüfer avisierten) Aufnahme in den Bericht des Abschlussprüfers wohl oder übel den entsprechenden Handlungsdruck erzeugen werden.