|
SOX – Sarbanes-Oxley Act / Internes Kontrollsystem (Abschnitt 404)
Themenbeschreibung
Unter dem Stichwort SOX wird ein US-amerikanisches Gesetz verstanden, das zur Verbesserung der Corporate Governance und Berichterstattung eingeführt wurde. Zentrales Thema ist die Beurteilung interner Kontrollsysteme im Rahmen der Erstellung ordnungsgemäßer Geschäftsabschlüsse (Abschnitt 404). Gesetze mit vergleichbaren Zielen und Inhalten sind mittlerweile auch über die Grenzen der USA hinaus verabschiedet worden, u.a. in Europa.
Um die Gesetzesanforderungen zu erfüllen, setzen Unternehmen umfassende und zeitaufwändige Programme auf. Die Finanzberichterstattung und alle damit verbundenen Geschäftsprozesse müssen analysiert und dokumentiert werden. Der Nachweis ist zu erbringen, dass die Risiken der Falschberichterstattung beherrscht werden. Dazu werden Kontrollmechanismen bzw. -aktivitäten in den Prozessen etabliert und dokumentiert. Für Unternehmen stellt die Dokumentation der Prozesse, Risiken und Kontrollmechanismen eine große Herausforderung dar. Neben dem hohen Aufwand zur Erfüllung der SOX-Compliance entstehen für Unternehmen aber auch Chancen. Durch eine prozessorientierte Herangehensweise kann parallel die Verschlankung der Geschäftsprozesse angestrebt werden. Weiterhin wird durch eine Verbindung zu bestehenden Kontroll- und Risikomanagementsystemen die Geschäftssteuerung verbessert.
Einsatz von AMADEE 3.0
Das Geschäftsprozessmanagement liefert einen Beitrag zum Nachweis funktionsfähiger interner Kontrollsysteme. Mit AMADEE 3.0 dokumentieren Sie Ihre SOX-kritischen Geschäftsprozesse. Aufgaben, Verantwortlichkeiten, Informationsflüsse und Kontrollmaßnahmen werden transparent. In fünf aufeinander folgenden Schritten gelangen Sie zur SOX-konformen Dokumentation Ihrer Prozesse:
1) Bestimmung des Umfangs des Kontrollsystems
Im ersten Schritt identifizieren Sie die signifikanten Positionen in den Finanzberichten. Sie klären anschließend, welche Organisationseinheiten Services bzw. Prozesse ausführen, die Einfluss auf diese Finanzpositionen nehmen. Die Prozesse stammen entweder direkt aus dem Berichtswesen oder aus operativen Bereichen wie Einkauf, Vertrieb, Lagerhaltung oder IT.
2) Risiko-Aufstellung
In Zusammenarbeit mit den beteiligten Organisationseinheiten identifizieren und bewerten Sie alle Risiken, die eine ordnungsgemäße Finanzberichterstattung gefährden. Parallel nehmen Sie alle Services auf, in denen diese Risiken auftreten können. Nach diesem Schritt lassen sich die Risiken sowohl den Positionen in den Finanzberichten als auch den Services zuordnen.
3) Prozessanalyse
In diesem Schritt führen Sie eine detaillierte Prozessanalyse durch. In ServiceMaps werden Kontrollmaßnahmen platziert und beschrieben. Die Kontrollmaßnahmen dienen der Minderung bzw. Behebung von Risiken, die in diesem Prozess auftreten können. Werden Risiken im Prozess nicht beherrscht oder Richtlinien des Unternehmens missachtet, führt dies zu Governance-Schwachstellen.
4) Prozess-Redesign und Umsetzung
Sind die Governance-Schwachstellen identifiziert und transparent gemacht, können Sie im nächsten Schritt behoben werden. Die Prozesse werden um zusätzliche Kontrollaktivitäten bzw. -mechanismen ergänzt. Durch Automatisierung können die Kontrollaufgaben effizient ausgeführt oder unterstützt werden. Spätestens mit Abschluss des Redesigns sind die Prozesse des internen Kontrollsystems vollständig dokumentiert.
5) Kontinuierliche Pflege der Dokumentation
Durch interne Audits und Tests prüfen Sie die Wirksamkeit des Kontrollsystems. Noch vorhandene Schwächen in den Prozessen werden ausgeräumt. Auch das externe Audit kann zu neuen Anforderungen im Prozess-Design führen. In diesem Schritt stellen Sie sicher, dass neue Anforderungen frühzeitig umgesetzt und die Dokumente aktualisiert werden.