Zertifizierungen nach SOX 302 und 906: was CEO und CFO unterschreiben

Problem in der Praxis

Zertifizierungen werden häufig als Formalie im Berichtsprozess behandelt. Für die Unterzeichner sind sie persönlich und strafbewehrt, und sie dürfen nicht durch Bevollmächtigte unterschrieben werden (17 CFR 240.13a-14(c)). Deshalb bauen Emittenten Unterzertifizierungskaskaden auf, in denen Verantwortliche aus Fachbereichen, Tochtergesellschaften und IT bestätigen, was in ihrer Verantwortung liegt. Für den CISO stellt sich die Frage, was er in einer solchen Kaskade bestätigen kann und welche Informationen er rechtzeitig liefern muss.

CISO-Einordnung

Inhalt der Zertifizierung nach Abschnitt 302 (15 U.S.C. 7241(a)), auf Managementebene:

• Prüfung des Berichts durch den Unterzeichner;
• nach seinem Wissen keine unrichtige Darstellung einer wesentlichen Tatsache und kein Weglassen einer wesentlichen Tatsache, das die Angaben irreführend macht;
• nach seinem Wissen angemessene Darstellung der Finanzlage und der Ergebnisse in allen wesentlichen Belangen;
• Verantwortung für Einrichtung und Aufrechterhaltung interner Kontrollen, deren Ausgestaltung so, dass wesentliche Informationen über Emittent und konsolidierte Tochtergesellschaften den Unterzeichnern bekannt werden, Beurteilung der Wirksamkeit und Darstellung der Ergebnisse im Bericht;
• Offenlegung gegenüber Abschlussprüfer und Audit Committee: alle signifikanten Mängel in Ausgestaltung oder Betrieb der internen Kontrollen, die die Fähigkeit zur Erfassung, Verarbeitung, Zusammenfassung und Berichterstattung von Finanzdaten beeinträchtigen können, identifizierte Material Weaknesses, sowie jeder Betrug, ob wesentlich oder nicht, an dem Management oder Beschäftigte mit wesentlicher Rolle in den internen Kontrollen beteiligt sind;
• Angabe, ob nach der Beurteilung wesentliche Änderungen der internen Kontrollen eingetreten sind, einschließlich Korrekturmaßnahmen.

Eine Sitzverlegung ins Ausland oder eine vergleichbare Transaktion mindert die rechtliche Wirkung dieser Zertifizierung nicht (15 U.S.C. 7241(b)).

Umsetzung durch die SEC (17 CFR 240.13a-14): Berichte auf Form 10-Q, 10-K, 20-F und 40-F nach Section 13(a) enthalten die Zertifizierungen als Exhibit; jeder periodische Bericht mit Abschlüssen wird von den Erklärungen nach 18 U.S.C. 1350 begleitet; Unterzeichnung durch Bevollmächtigte ist ausgeschlossen.

Abschnitt 906 (18 U.S.C. 1350): Die Erklärung bestätigt, dass der Bericht den Anforderungen von Section 13(a) oder 15(d) des Exchange Act vollständig entspricht und die Informationen die Finanzlage und die Ergebnisse in allen wesentlichen Belangen angemessen darstellen. Wer die Erklärung abgibt und weiß, dass der Bericht nicht allen Anforderungen entspricht, kann mit bis zu 1.000.000 USD und/oder bis zu 10 Jahren Freiheitsstrafe bestraft werden; bei vorsätzlicher ("willfully") Abgabe mit bis zu 5.000.000 USD und/oder bis zu 20 Jahren.

Bezug zu den Disclosure Controls (17 CFR 240.13a-15(e)): Diese Kontrollen sollen sicherstellen, dass offenlegungspflichtige Informationen fristgerecht erfasst, verarbeitet, zusammengefasst und berichtet und an CEO und CFO weitergegeben werden. Foreign Private Issuers beurteilen sie zum Geschäftsjahresende, Inlandsemittenten zum Quartalsende (13a-15(b)).

Umsetzungsperspektive

• Meldeweg für ITGC-Mängel und wesentliche Sicherheitsvorfälle an die Stelle festlegen, die die Zertifizierung vorbereitet.
• In einer Unterzertifizierungskaskade nur bestätigen, was im eigenen Verantwortungsbereich liegt und belegt ist; Einschränkungen ausdrücklich formulieren.
• Termine abstimmen: Informationen müssen vor dem Abschluss der Beurteilung zum Stichtag vorliegen.
• Betrugsverdacht mit Bezug zu Personen in kontrollrelevanten Rollen, etwa Administratoren von Finanzsystemen, in den Meldeweg einbeziehen.

Typische Fehler

1. Die IT liefert ihre Bestätigung pauschal, ohne Belege und ohne Einschränkungen.
2. Signifikante IT-Kontrollmängel werden nur intern behoben und nicht an die Zertifizierungsstelle gemeldet.
3. Betrugsfälle unterhalb der Wesentlichkeit werden nicht gemeldet, obwohl Abschnitt 302 jeden Betrug mit Beteiligung des Managements oder anderer Beschäftigter mit wesentlicher Rolle in den internen Kontrollen erfasst.
4. Unterzeichnung wird delegiert, obwohl 240.13a-14(c) Bevollmächtigung ausschließt.
5. Ein deutscher Foreign Private Issuer nimmt an, die Zertifizierungspflichten träfen nur Inlandsemittenten.

Risiken und Trade-offs

Eine dichte Unterzertifizierungskaskade schafft Transparenz und Verantwortlichkeit, kann aber zur Formalie verkommen, wenn Bestätigungen ohne Belege gegeben werden. Zu viele Einschränkungen machen die Kaskade wertlos, zu wenige setzen die Unterzeichner einem Risiko aus. Entscheidend ist ein Meldeweg, der Mängel und Vorfälle früh und vollständig nach oben bringt.

Entscheidungspunkte

• Welche Informationen aus der IT braucht die Zertifizierung, und bis wann?
• Wer bestätigt in der Kaskade was, und auf welcher Belegbasis?
• Wie werden Betrugsverdachtsfälle mit IT-Bezug gemeldet?
• Wie ist der Meldeweg mit der Cyber-Offenlegung abgestimmt?

Praktische Empfehlungen

1. Definieren Sie einen formalen Meldeweg für ITGC-Mängel und wesentliche Vorfälle an die Zertifizierungsstelle.
2. Bestätigen Sie in Unterzertifizierungen nur Belegtes und formulieren Sie Einschränkungen ausdrücklich.
3. Planen Sie die Lieferung der IT-Informationen vor dem Beurteilungsstichtag.
4. Beziehen Sie Personen mit Administratorrechten auf Finanzsystemen in die Betrugsmeldung ein.
5. Verzahnen Sie Disclosure Controls, ICFR und Cyber-Offenlegung in einem gemeinsamen Kalender.

Relevante Normreferenzen

• 15 U.S.C. 7241 (SOX 302); 18 U.S.C. 1350 (SOX 906).
• 17 CFR 240.13a-14 (Certification), 240.13a-15(b), (e) (Disclosure Controls).