Im Gesetz zur Modernisierung des Bilanzrechts (Bilmog) hat das Bundesministerium der Justiz (BMJ) nun die Forderungen der 8. EU-Richtlinie (vulgo "Eurosox") umgesetzt. Für die Mehrzahl der betroffenen Unternehmen bedeutet das: Ihr nächster Geschäftsabschluss muss sich in einigen Punkten transparenter darstellen als der letzte (siehe : "Sind Sie auf EuroSOX vorbereitet?")
Die Berater wittern hier das Geschäft des Jahres. Doch jenseits des Hype sollten sich vor allem börsennotierte Unternehmen, aber auch Kliniken, Versorgungsdienstleister und Monopolbetriebe ernsthaft mit dem Thema beschäftigen. Wie Exagon Consulting mit Sitz in Kerpen herausgefunden hat, tun sie das bislang eher lustlos (siehe: "CIOs nehmen EuroSOX auf die leichte Schulter"). Dabei müssten vor allem die IT-Verantwortlichen allmählich mit den Vorbereitungen beginnen.
Der Schnelltest zeigt die Tendenz an
Um die Unternehmen für das EuroSOX-Thema zu sensibilisieren, hat Exagon einen zwölf Fragen umfassenden "Schnelltest" entwickelt, der, so Geschäftsführer Joachim Fremmer, "tendenziellen Aufschluss" darüber geben soll, wie dringend und umfangreich der Handlungsbedarf des jeweiligen Unternehmens ist. Er sieht folgendermaßen aus:
-
Kennen Sie die genauen Anforderungen von EuroSOX, und wissen Sie, ob sie auf Ihr Unternehmen zutreffen?
-
Gibt es eine interne Projektgruppe für EuroSOX, in der konforme Finanzberichts-Prozesse geplant und umgesetzt werden?
-
Reichen die bestehenden Revisionsverfahren für die Anforderungen von EuroSOX aus?
-
Herrscht innerhalb der IT ein ausreichendes Verständnis für die internen Kontrollverfahren und für die Prozesse zur Finanzberichtserstattung?
-
Sind Ihre IT-Organisation und die IT-Prozesse ausreichend transparent, damit sich wirksame Kontrollen implementieren lassen?
-
Haben Sie bereits alle IT-Systeme identifiziert, die für EuroSOX von Bedeutung sind?
-
Wurden diese IT-Systeme ausreichend im Hinblick auf ihr Risikopotenzial analysiert?
-
Wissen Sie genau, wo Sie in der IT die Controls für die verschiedenen Kontrollebenen (General IT Controls, Application Controls, Company Level Controls) setzen müssen?
-
Sind diese Controls inhaltlich schon anforderungsgerecht definiert?
-
Haben Sie die Zuständigkeit und Qualifizierung der damit befassten Mitarbeiter hinreichend genau geplant?
-
Bestehen präzise Verfahren zur Dokumentation und zum Testing aller Controls?
-
Sind die Controls hinsichtlich Lokalisierung, Wirksamkeit und Dokumentation detailliert mit dem Wirtschaftsprüfer abgestimmt?
Wie Exagon-Chef Fremmer einschränkt, kann ein solcher Text nur "initiale Bedeutung" haben. Er dürfte also nicht als umfassendes Bewertungsraster missverstanden werden. Allerdings könnten die IT-Verantwortlichen diesen Test durchaus nutzen, um intern und gegenüber den Wirtschaftsprüfern die richtigen Fragen zu stellen. (qua)