Deutsche Töchter und Dienstleister von US-Emittenten in der Konzern-ICFR

Problem in der Praxis

Deutsche Töchter erhalten SOX-Anforderungen typischerweise als Kontrollmatrix der US-Zentrale, ohne dass die Herleitung erkennbar ist. Wer die Logik der Leitlinie kennt, kann gezielter verhandeln: Die Nachweistiefe richtet sich nach dem Risiko der Kontrollen am Standort, und für Kontrollen mit geringem Risiko kann eine Kombination aus Self-Assessment und zentraler Überwachung reichen.

Deutsche Dienstleister unterschätzen oft, wie existenziell die Nachweisfrage für ihren US-Kunden ist: Kann der Kunde die Kontrollen beim Dienstleister nicht belegen, gefährdet das seine Wirksamkeitsaussage, und eine Einschränkung des Prüfumfangs ist nicht zulässig. Belegen lässt sich das über einen Bericht eines Service-Auditors über die Kontrollen des Dienstleisters, über Zugang des Kunden zu diesen Kontrollen oder über kompensierende Kontrollen beim Kunden; gelingt nichts davon, muss der Kunde beurteilen, ob die Lücke eine Aussage "nicht wirksam" erfordert.

CISO-Einordnung

Konzernsicht nach der SEC-Leitlinie 33-8810, Abschnitt "Multiple Location Considerations":

• Grundsatz: Die Betrachtung der Finanzberichtsrisiken umfasst in der Regel alle Standorte und Geschäftseinheiten. Das Management kann bei der Identifikation der Risiken feststellen, dass einzelne Standorte so unbedeutend sind, dass keine weiteren Beurteilungsschritte nötig sind.
• Zentrale Kontrollen: Werden Finanzberichtsrisiken durch zentral wirkende Kontrollen adressiert, ähnelt die Beurteilung der eines Unternehmens mit einem Standort.
• Dezentrale Kontrollen: Wirken die nötigen Kontrollen an mehreren Standorten, beurteilt das Management in der Regel Nachweise über ihre Durchführung an den einzelnen Standorten. Bei geringem Risiko können Self-Assessments oder laufende Überwachung zusammen mit einer zentralen Kontrolle, die die Ergebnisse der Standorte überwacht, genügen; bei komplexen oder urteilsbehafteten Kontrollen ist mehr Nachweis nötig.
• Standortrisiken: Zu berücksichtigen sind standortspezifische Risiken und Faktoren, die alle oder die meisten Kontrollen eines Standorts zu höherem Risiko machen können; die Beurteilung erfolgt je Finanzberichtselement, nicht pauschal je Standort.

Dienstleister nach der Leitlinie, Abschnitt "Inability to Assess Certain Aspects of ICFR": Die Leitlinie beschreibt den Fall, dass ein wesentlicher Prozess an eine Service Organization ausgelagert ist, das Management Nachweise über die Wirksamkeit der dortigen Kontrollen braucht, der Dienstleister aber weder einen Bericht eines Service-Auditors über Ausgestaltung und Wirksamkeit seiner Kontrollen (in der Leitlinie von 2007 als "Type 2 SAS 70 report" bezeichnet) noch Zugang gewährt und keine kompensierenden Kontrollen bestehen. Da der Managementbericht keine Einschränkung des Prüfumfangs enthalten darf, muss das Management entscheiden, ob die Lücke so erheblich ist, dass die ICFR als nicht wirksam zu bezeichnen ist.

Prüfungsgesellschaften: Eine ausländische Prüfungsgesellschaft, die einen Prüfungsbericht für einen Emittenten erstellt, unterliegt SOX und den Regeln von PCAOB und SEC wie eine US-Gesellschaft; das PCAOB kann per Regel auch Gesellschaften, die keinen Bericht erteilen, aber eine wesentliche Rolle bei seiner Erstellung spielen, entsprechend behandeln (15 U.S.C. 7216(a)). Ob das im Einzelfall auf den Prüfer einer deutschen Tochter zutrifft, richtet sich nach Regeln des PCAOB, die hier nicht ausgewertet sind.

Umsetzungsperspektive

• Deutsche Tochter: die Zuordnung der lokalen Prozesse und Systeme zu den Finanzberichtsrisiken des Konzerns nachvollziehen und mit der Zentrale klären, welche Kontrollen zentral und welche lokal wirken.
• Für lokal wirkende Kontrollen die Risikoeinstufung erfragen; sie bestimmt die Nachweistiefe.
• Dienstleister: frühzeitig klären, ob US-Kunden ihre ICFR auf die Leistungen stützen, und eine Nachweisstrategie festlegen (unabhängiger Bericht über die Kontrollen oder Prüfzugang).
• Vertragsgestaltung: Pflichten zur Bereitstellung von Nachweisen und zur Information über Kontrollmängel vertraglich regeln.
• Kompensierende Kontrollen beim Kunden mitdenken: Was kann der Kunde selbst kontrollieren, wenn ein Nachweis fehlt?

Typische Fehler

1. Die deutsche Tochter hält die Konzernvorgaben für überzogen, weil sie selbst nicht börsennotiert ist, und liefert Nachweise unvollständig.
2. Für alle lokalen Kontrollen wird die gleiche Nachweistiefe angesetzt, statt nach Risiko zu unterscheiden.
3. Ein Dienstleister verweigert Prüfzugang und hat keinen unabhängigen Bericht über seine Kontrollen.
4. Ein Dienstleister legt einen Bericht vor, der die für den Kunden relevanten Prozesse nicht abdeckt.
5. Kontrollmängel beim Dienstleister werden dem Kunden nicht oder zu spät mitgeteilt.

Risiken und Trade-offs

Für Töchter ist eine weitgehende Zentralisierung von Kontrollen effizient, verlagert aber Abhängigkeit auf zentrale Systeme. Lokale Kontrollen erhöhen die Nachweislast am Standort. Für Dienstleister bindet ein regelmäßiger unabhängiger Bericht über die Kontrollen Budget, ersetzt aber viele Einzelprüfungen durch Kunden; einzelne Prüfzugänge sind flexibel, skalieren aber schlecht und greifen in den Betrieb ein.

Entscheidungspunkte

• Welche lokalen Prozesse und Systeme sind für die Konzern-ICFR relevant, und welche Kontrollen wirken lokal?
• Wie hoch ist das Risiko der lokalen Kontrollen, und welche Nachweistiefe folgt daraus?
• Stützen US-Kunden ihre ICFR auf unsere Leistungen, und wie liefern wir Nachweise?
• Wie werden Kontrollmängel an Konzern oder Kunden gemeldet?

Praktische Empfehlungen

1. Lassen Sie sich von der Konzernzentrale die Zuordnung lokaler Kontrollen zu Finanzberichtsrisiken und deren Risikoeinstufung geben.
2. Richten Sie die Nachweistiefe nach dem Risiko der jeweiligen Kontrolle aus.
3. Legen Sie als Dienstleister eine Nachweisstrategie für US-Kunden fest, bevor die erste Anfrage kommt.
4. Prüfen Sie, ob ein vorhandener Bericht über Ihre Kontrollen die für den Kunden relevanten Prozesse abdeckt.
5. Regeln Sie Nachweis- und Meldepflichten vertraglich.

Relevante Normreferenzen

• SEC Release 33-8810 (2007), Abschnitte "Multiple Location Considerations" und "Inability to Assess Certain Aspects of ICFR" mit Fußnoten 45, 54 und 55.
• 17 CFR 229.308(a)(3) und Form 20-F Item 15(b)(3) (ausdrückliche Wirksamkeitsaussage).
• 15 U.S.C. 7216(a) (ausländische Prüfungsgesellschaften).
• PCAOB AS 2201 (nur Referenz); zu SOC-Berichten als Dienstleisternachweis siehe soc2-Track.