SOX im Überblick: wann der Sarbanes-Oxley Act deutsche Unternehmen erreicht

Problem in der Praxis

In deutschen Konzernen mit US-Mutter kommt SOX meist als Anforderungsliste aus der US-Zentrale an: Kontrollbeschreibungen, Testnachweise, Fristen. Die IT-Abteilung der deutschen Tochter erlebt das als fremdes Regime neben ISO 27001, BSI-Vorgaben oder DORA. Dabei gerät aus dem Blick, dass SOX kein IT-Sicherheitsstandard ist, sondern auf die Verlässlichkeit der Finanzberichterstattung zielt: Relevant sind nur die IT-Kontrollen, die Finanzberichtsrisiken adressieren oder auf denen solche Kontrollen beruhen.

Umgekehrt unterschätzen deutsche Emittenten mit US-Notierung gelegentlich, dass die SOX-Pflichten für Foreign Private Issuers nicht abgeschwächt, sondern im Wesentlichen inhaltsgleich auf Form 20-F übertragen sind.

CISO-Einordnung

Die drei tragenden Vorschriften:

• Abschnitt 302 (15 U.S.C. 7241): Principal Executive und Principal Financial Officer zertifizieren jeden Jahres- und Quartalsbericht, unter anderem zur Verantwortung für die internen Kontrollen, zu deren Wirksamkeitsbeurteilung und zur Offenlegung signifikanter Mängel und Material Weaknesses gegenüber Abschlussprüfer und Audit Committee. Eine Sitzverlegung ins Ausland schwächt diese Pflicht nicht (Abs. b).
• Abschnitt 404 (15 U.S.C. 7262): Der Jahresbericht enthält einen Internal Control Report mit der Verantwortung des Managements und seiner Beurteilung der Wirksamkeit zum Geschäftsjahresende; der Abschlussprüfer bestätigt diese Beurteilung (404(b)), außer bei Emerging Growth Companies und bei Emittenten, die weder Large Accelerated noch Accelerated Filer sind (404(c)). Neu berichtspflichtige Emittenten liefern Managementbericht und Prüfervermerk erst ab dem Jahresbericht, für den im Vorjahr bereits ein Jahresbericht einzureichen war oder eingereicht wurde (Instruction 1 zu Item 308 bzw. zu Form 20-F Item 15).
• Abschnitt 906 (18 U.S.C. 1350): schriftliche Erklärung von CEO und CFO zu jedem periodischen Bericht mit Abschlüssen, strafbewehrt.

Die SEC setzt das in 17 CFR 240.13a-15 um: Jeder erfasste Emittent unterhält Disclosure Controls and Procedures und, sobald er einen Jahresbericht eingereicht hat oder einreichen musste, ICFR; das Management beurteilt die ICFR jährlich anhand eines anerkannten Rahmenwerks, das in einem Verfahren mit öffentlicher Kommentierung entstanden ist. Die ICFR ist ein Prozess, der hinreichende Sicherheit über die Verlässlichkeit der Finanzberichterstattung schaffen soll, einschließlich der Verhinderung oder rechtzeitigen Aufdeckung unbefugter Verfügungen über Vermögenswerte mit wesentlicher Wirkung auf den Abschluss (13a-15(f)).

Die drei Konstellationen für deutsche Unternehmen:

• Deutscher SEC-Emittent. Ein deutsches Unternehmen ist in der Regel Foreign Private Issuer; das ist es nicht, wenn zum letzten Geschäftstag des zweiten Quartals mehr als 50 Prozent der stimmberechtigten Wertpapiere von US-Ansässigen gehalten werden und zusätzlich eines von drei US-Merkmalen vorliegt (Mehrheit der Executive Officers oder Directors US-Bürger oder -Ansässige, mehr als 50 Prozent der Vermögenswerte in den USA, Verwaltung hauptsächlich in den USA) (17 CFR 240.3b-4(c)). Der Foreign Private Issuer berichtet auf Form 20-F; dessen Item 15 enthält die ICFR-Berichtspflichten inhaltsgleich zu Item 308 der Inlandsemittenten. Details in sox-itgc-002 und sox-itgc-005.
• Deutsche Tochter eines US-Emittenten. Sie hat keine eigene SEC-Berichtspflicht, aber ihre Prozesse und Systeme gehören zur ICFR des Konzerns; die SEC-Leitlinie verlangt, Finanzberichtsrisiken grundsätzlich über alle Standorte und Geschäftseinheiten zu betrachten (sox-itgc-004).
• Deutscher Dienstleister. Lagert ein US-Emittent einen wesentlichen Prozess aus, muss er die Kontrollen beim Dienstleister belegen können, sonst kann seine ICFR als nicht wirksam gelten (sox-itgc-004).

Daneben stehen seit 2023 die SEC-Pflichten zur Offenlegung von Cyberrisiken und wesentlichen Cybervorfällen (sox-itgc-006); sie sind kein Teil von SOX, betreffen aber dieselben Emittenten und dieselben Kontroll- und Berichtswege.

Umsetzungsperspektive

• Konstellation bestimmen: Emittent, Tochter eines Emittenten oder Dienstleister, und für welchen Konzern beziehungsweise Kunden.
• Den ITGC-Umfang aus den Finanzberichtsrisiken ableiten, nicht aus dem ISMS: welche Anwendungen tragen automatisierte Finanzkontrollen oder liefern Daten für sie?
• Die Nachweisführung so aufsetzen, dass sie in die Beurteilung des Konzerns oder Kunden einfließen kann (Kontrollbeschreibung, Durchführungsnachweis, Änderungs- und Zugriffsprotokolle).
• ISMS und SOX-ITGC verzahnen: dieselben Prozesse (Change-, Zugriffs-, Betriebsmanagement) mit einer gemeinsamen Nachweisbasis bedienen.

Typische Fehler

1. SOX wird als IT-Sicherheitsstandard behandelt, und der ITGC-Umfang umfasst die gesamte IT statt der finanzberichtsrelevanten Systeme.
2. Eine deutsche Tochter hält sich für nicht betroffen, weil sie selbst nicht börsennotiert ist.
3. Ein deutscher Emittent erwartet für Form 20-F geringere ICFR-Pflichten als für Inlandsemittenten.
4. Ein Dienstleister kann seinem US-Kunden keine belastbaren Kontrollnachweise liefern.
5. Cyber-Offenlegung und ICFR werden in getrennten Organisationseinheiten ohne Abstimmung bearbeitet.

Risiken und Trade-offs

Ein eigenständiges SOX-Programm neben ISMS und Datenschutz schafft Doppelarbeit; eine vollständige Integration riskiert, die engere Finanzberichtsperspektive zu verwässern. Für Dienstleister ist abzuwägen, ob sie Kunden Prüfzugang gewähren oder Berichte eines unabhängigen Prüfers über ihre Kontrollen vorlegen; Letzteres skaliert besser, kostet aber eine regelmäßige Prüfung.

Entscheidungspunkte

• In welcher der drei Konstellationen befindet sich das Unternehmen, und für wen?
• Welche Anwendungen und Systeme sind finanzberichtsrelevant und tragen automatisierte Kontrollen?
• Wer verantwortet die ITGC und ihre Nachweise?
• Wie werden ISMS-, SOX- und Cyber-Offenlegungsprozesse abgestimmt?

Praktische Empfehlungen

1. Halten Sie schriftlich fest, in welcher Konstellation SOX das Unternehmen erreicht.
2. Leiten Sie den ITGC-Umfang aus den finanzberichtsrelevanten Anwendungen ab.
3. Bauen Sie eine gemeinsame Nachweisbasis für Change-, Zugriffs- und Betriebsprozesse.
4. Klären Sie mit Konzern oder Kunden früh, welche Nachweise in welcher Form erwartet werden.
5. Verbinden Sie die ITGC-Verantwortung mit dem Prozess der Cyber-Offenlegung.

Relevante Normreferenzen

• Sarbanes-Oxley Act of 2002 (Pub. L. 107-204): Abschnitt 302 (15 U.S.C. 7241), Abschnitt 404 (15 U.S.C. 7262), Abschnitt 906 (18 U.S.C. 1350).
• 17 CFR 240.13a-15 (Controls and procedures), 240.3b-4 (Foreign Private Issuer), 229.308 (Item 308), Form 20-F Item 15.
• SEC Release 33-8810 (2007), Interpretive Guidance zur Managementbeurteilung.
• PCAOB AS 2201 als Prüfungsstandard des Abschlussprüfers (nur Referenz).