ICFR, Material Weakness und Prüfervermerk: was Abschnitt 404 verlangt

Problem in der Praxis

Für IT-Verantwortliche wird die Schwelle zur Material Weakness oft erst sichtbar, wenn sie überschritten ist: Ein ITGC-Mangel, etwa unkontrollierte Programmänderungen an einem ERP-System, betrifft alle automatisierten Kontrollen auf diesem System gleichzeitig. Ob daraus ein bloßer Mangel, eine Significant Deficiency oder eine Material Weakness wird, hängt davon ab, ob eine wesentliche Falschdarstellung mit vernünftiger Möglichkeit unentdeckt bleiben kann. Diese Einstufung trifft das Management, nicht die IT; die IT muss aber früh genug liefern, was dafür nötig ist.

Ein zweites Missverständnis betrifft den Prüfervermerk: Er hängt nicht an der Börsennotierung allein, sondern am Filer-Status, und dieser ergibt sich aus Schwellen zum Streubesitz und zur Berichtshistorie.

CISO-Einordnung

Bausteine der ICFR-Pflicht:

• Pflicht und Beurteilung (17 CFR 240.13a-15(a), (c)): Erfasste Emittenten unterhalten ICFR, sobald sie für das Vorjahr einen Jahresbericht einreichen mussten oder eingereicht haben. Das Management beurteilt die Wirksamkeit zum Geschäftsjahresende unter Beteiligung von CEO und CFO anhand eines anerkannten Kontrollrahmenwerks, das von einem Gremium in einem Verfahren mit öffentlicher Kommentierung erarbeitet wurde.
• Inhalt des Managementberichts (Item 308(a) Regulation S-K; Form 20-F Item 15(b)): Verantwortungserklärung, Rahmenwerk, Beurteilung mit ausdrücklicher Aussage zur Wirksamkeit, Offenlegung festgestellter Material Weaknesses; Wirksamkeitsaussage bei Material Weakness unzulässig. Das Management muss Nachweise einschließlich Dokumentation vorhalten, die seine Beurteilung angemessen stützen (Instruction 2 zu Item 308 bzw. zu Item 15).
• Änderungen (13a-15(d), Item 308(c), Item 15(d)): wesentliche Änderungen der ICFR sind zu beurteilen und offenzulegen, bei Inlandsemittenten bezogen auf das Quartal, bei Foreign Private Issuers auf das Geschäftsjahr.
• Erstes Jahr: Neu berichtspflichtige Emittenten müssen Managementbericht und Prüfervermerk erst ab dem Jahresbericht liefern, für den im Vorjahr bereits ein Jahresbericht einzureichen war oder eingereicht wurde, und weisen im ersten Jahresbericht darauf hin (Instruction 1 zu Item 308 bzw. Item 15).

Begriffe (17 CFR 240.12b-2):

• Material Weakness: siehe oben. Significant Deficiency: weniger schwer als eine Material Weakness, aber wichtig genug für die Aufmerksamkeit der Aufsichtsverantwortlichen der Finanzberichterstattung. Nach Abschnitt 302 müssen CEO und CFO signifikante Mängel und Material Weaknesses dem Abschlussprüfer und dem Audit Committee mitteilen (15 U.S.C. 7241(a)(5)).
• Accelerated Filer: Marktwert des Streubesitzes (stimmberechtigtes und nicht stimmberechtigtes Stammkapital in den Händen Nichtverbundener, weltweit) von 75 Mio. USD oder mehr, aber unter 700 Mio. USD zum letzten Geschäftstag des zweiten Geschäftsquartals, mindestens zwölf Monate berichtspflichtig, mindestens ein Jahresbericht eingereicht und keine Berechtigung, die Regeln für Smaller Reporting Companies über deren Umsatztest zu nutzen. Large Accelerated Filer: 700 Mio. USD oder mehr bei sonst gleichen Bedingungen. Ein Accelerated Filer bleibt es, bis zum Geschäftsjahresende festgestellt wird, dass der Streubesitz zum maßgeblichen Stichtag unter 60 Mio. USD lag oder der Umsatztest der Smaller Reporting Companies greift.
• Emerging Growth Company: Jahresumsatz unter 1.235.000.000 USD im letzten Geschäftsjahr, mit weiteren Austrittsgründen.

Prüfervermerk (404(b), Item 308(b), Form 20-F Item 15(c)): Der Abschlussprüfer bestätigt die Beurteilung des Managements nach Standards des PCAOB bei Accelerated und Large Accelerated Filers, außer bei Emerging Growth Companies. Für Emittenten, die weder das eine noch das andere sind, gilt 404(b) nicht (15 U.S.C. 7262(c)); die Managementbeurteilung nach 404(a) bleibt. Der maßgebliche Prüfungsstandard des PCAOB (AS 2201) ist hier nur als Fundstelle genannt.

Umsetzungsperspektive

• Mängel früh melden: Ein ITGC-Mangel muss so früh an die Interne Kontrolle gehen, dass die Einstufung und gegebenenfalls Behebung vor dem Stichtag möglich ist.
• Breitenwirkung von ITGC-Mängeln dokumentieren: Welche Anwendungen und welche automatisierten Kontrollen hängen an dem betroffenen System?
• Kompensierende Kontrollen kennen: Manuelle Kontrollen, die einen ITGC-Mangel für bestimmte Finanzberichtsrisiken auffangen können, sollten vorab identifiziert sein.
• Nachweise für die Managementbeurteilung so ablegen, dass sie das Item-308- bzw. Item-15-Erfordernis angemessener Belege stützen.

Typische Fehler

1. ITGC-Mängel werden erst nach Jahresende gemeldet, wenn eine Behebung vor dem Stichtag nicht mehr möglich ist.
2. Die Einstufung als Material Weakness wird in der IT getroffen statt vom Management.
3. Der Filer-Status wird an der Börsennotierung statt an Streubesitz, Berichtshistorie und Umsatztest festgemacht.
4. Die Pflicht zur Managementbeurteilung wird bei Emittenten ohne Prüfervermerk für entbehrlich gehalten.
5. Die Offenlegung an Abschlussprüfer und Audit Committee nach Abschnitt 302 wird auf Material Weaknesses beschränkt, obwohl auch signifikante Mängel zu melden sind.

Risiken und Trade-offs

Eine großzügige Mängelmeldung belastet Kontrollorganisation und Prüfer mit Einzelfällen, eine zurückhaltende riskiert, dass eine Material Weakness erst spät erkannt wird und die Wirksamkeitsaussage scheitert. Automatisierte Kontrollen sind effizient, verschieben das Risiko aber auf die ITGC: Ein einziger ITGC-Mangel kann viele Kontrollen gleichzeitig entwerten.

Entscheidungspunkte

• Welche Anwendungen tragen automatisierte Kontrollen, und welche ITGC stützen sie?
• Bis wann müssen ITGC-Mängel gemeldet sein, damit eine Behebung vor dem Stichtag möglich bleibt?
• Wer stellt fest, ob ein Mangel eine Significant Deficiency oder Material Weakness ist?
• Welchen Filer-Status hat der Emittent, und wird ein Prüfervermerk zur ICFR benötigt?

Praktische Empfehlungen

1. Legen Sie einen Meldeweg und eine Frist für ITGC-Mängel an die Interne Kontrolle fest.
2. Führen Sie eine Zuordnung von Systemen zu automatisierten Kontrollen, um die Breitenwirkung eines Mangels zu bestimmen.
3. Identifizieren Sie kompensierende Kontrollen für die kritischsten Systeme vorab.
4. Lassen Sie den Filer-Status jährlich durch Finanzbereich und Recht bestätigen.
5. Stimmen Sie Nachweisform und Aufbewahrung mit Interner Kontrolle und Abschlussprüfer ab.

Relevante Normreferenzen

• 15 U.S.C. 7262 (SOX 404), 15 U.S.C. 7241(a)(5) (SOX 302).
• 17 CFR 240.13a-15(a), (c), (d), (f); 17 CFR 229.308 (Item 308); Form 20-F Item 15.
• 17 CFR 240.12b-2 (Accelerated Filer, Large Accelerated Filer, Smaller Reporting Company, Emerging Growth Company, Material Weakness, Significant Deficiency).
• PCAOB AS 2201 (nur Referenz).