Die neuen Tabellenkalkulations-Risikomanagement-Probleme der Sarbanes-Oxley-Compliance

27. Februar 2018

Aufsichtsbehörden und Wirtschaftsprüfer nehmen Tabellenkalkulationen, die Teil geschäftskritischer Prozesse sind, immer genauer unter die Lupe.

Die Sarbanes-Oxley-Gesetz von 2002 (SOX) ist seit vielen Jahren in Kraft, und die in den USA börsennotierten Unternehmen sind sehr erfahren in der Einhaltung dieses Gesetzes. Dies zeigt, dass die Kosten und der Aufwand für die Einhaltung der SOX-Vorschriften in den letzten Jahren zurückgegangen sind, da sie zum "normalen Geschäft" geworden sind.

In den letzten Jahren sind die Kosten und der Aufwand für die SOX-Compliance jedoch wieder gestiegen. Ein Protiviti-Bericht aus dem Jahr 2017 mit dem Titel "Fine-tuning SOX Costs, Hours and Controls" (Feinabstimmung der SOX-Kosten, -Stunden und -Kontrollen) stellt fest, dass bei zwei von drei Unternehmen die SOX-Compliance-Stunden seit 2016 um mehr als 10 Prozent gestiegen sind.

Eine wichtige Änderung ist, dass das US Public Company Accounting Oversight Board (PCAOB) bei der Überwachung der US-amerikanischen Wirtschaftsprüfungsbranche sehr viel strenger geworden ist, vor allem was Versäumnisse bei der Prüfung und Verstöße gegen die Qualitätsstandards des Boards angeht. Angesichts möglicher Bußgelder in Millionenhöhe verdoppeln die Prüfer ihre Anstrengungen bei der Überprüfung der internen Prüfungskontrollen ihrer Kunden, die ein zentrales Element des SOX sind. Folglich weiten die Prüfer ihren Prüfungsumfang auf Geschäftsprozesse aus, die in hohem Maße auf Tabellenkalkulationen basieren.

In der Vergangenheit hat die Einhaltung der SOX-Bestimmungen die Unternehmen dazu ermutigt, zentralisierte IT-Systeme zu nutzen, in denen die Kontrollen zur Einhaltung der SOX-Bestimmungen für die Geschäftsprozesse "out-of-the-box" verfügbar sind. Die Prüfer haben diese Kontrollen und Ergebnisse im Rahmen ihrer Prüfungen überprüft. CEOs und CFOs haben diese Berichte und Kontrollen genutzt, um Aktionärsberichte zu unterzeichnen, die mit den Vorschriften übereinstimmen, und so die potenziell schwerwiegenden Strafen für die Nichteinhaltung zu vermeiden.

Die Herausforderungen des SOX für die Tabellenkalkulation

Tabellenkalkulationen sind für Unternehmen nach wie vor von unschätzbarem Wert, denn sie sind einfach zu handhaben, flexibel und bieten leistungsstarke Funktionen. Tabellenkalkulationen helfen ihnen, agil zu bleiben, neue Erkenntnisse zu gewinnen, die Entwicklung ihres Unternehmens zu modellieren sowie genaue und zeitnahe Berichte zu erstellen.

Im Hinblick auf die Einhaltung der SOX-Bestimmungen kann diese Leistung und Flexibilität eine Quelle von Problemen sein, wenn der Tabellenkalkulationsbestand nicht effektiv verwaltet wird. Das funktioniert auf zwei Arten.

Erstens bedeutet die Flexibilität von Tabellenkalkulationen, dass schnell Fehler auftreten können, die die Genauigkeit der Ergebnisse erheblich beeinträchtigen können. Das Risiko von Tabellenkalkulationen kann erheblich sein, wenn komplexe Formeln oder Makros verwendet werden oder wenn eine Kalkulationstabelle mit anderen Tabellenkalkulationen oder anderen Anwendungen oder Datenquellen verknüpft ist.

Im Rahmen von SOX können diese Ergebnisse leicht zu Berichtsfehlern führen, die die Qualität der Finanzberichte beeinträchtigen können. Viele Unternehmen mussten ihre Gewinne aufgrund von Berechnungsfehlern in ihren Quartals- oder Jahresberichten neu ausweisen. Dies kann eine Reihe von Problemen in Bezug auf den Ruf, die Vorschriften, den Handel und die Rechtslage mit sich bringen.

Ein weiteres Problem besteht darin, dass der Mangel an Kontrollen für die Datenverwaltung und das Risikomanagement in Excel-Liegenschaften die Corporate Officers daran hindert, die Ergebnisse als korrektes Abbild der Unternehmensergebnisse abzusegnen. Dies kann dazu führen, dass sie sich den erheblichen Sanktionen aussetzen, die die Gesetzgebung vorsieht.

Im Rahmen des SOX müssen Unternehmen sicherstellen, dass ihre auf Tabellenkalkulationen basierenden Geschäftsprozesse über das gleiche Maß an Managementkontrolle verfügen wie die hochgradig kontrollierten und gewarteten Unternehmenssysteme - ohne dabei auf die wertvollen Funktionen, die Flexibilität und den reinen Geschäftswert zu verzichten, die Tabellenkalkulationen den Benutzern und dem Unternehmen gleichermaßen bieten. Ein unternehmensweites Risikomanagement für Tabellenkalkulationen kann ihnen helfen, die Quadratur des Kreises zu schaffen, indem sie diese betriebliche Flexibilität beibehalten und gleichzeitig die SOX-Vorschriften vollständig einhalten.