SOX-Compliance – Alles, was Sie darüber wissen sollten

Der Sarbanes-Oxley Act wurde eingeführt, um die Offenlegung von Finanzdaten zu verbessern und Investoren und Kunden vor Bilanzierungsfehlern und betrügerischen Geschäftspraktiken in Unternehmen zu schützen und somit sicherzustellen, dass sich Skandale wie Enron oder WorldCom in Zukunft nicht wiederholen können. Das Gesetz befasst sich auch mit Themen wie der Unabhängigkeit von Wirtschaftsprüfern, Corporate Governance sowie der Prüfung und Bewertung interner Kontrollen.

Um den vielen SOX-Compliance-Anforderungen gerecht zu werden müssen Unternehmen sich einem SOX-Compliance-Audit unterziehen. Bei dieser Prüfung wird das Unternehmen, mitsamt seinen Finanzabschlüssen und vor allem seinen internen Kontrollen, von externen Auditoren geprüft und bewertet. Die Durchsetzung des SOX-Act obliegt der Securities and Exchange Commission (SEC) bzw. dem Public Company Accounting Oversight Board (PCAOB).

Obwohl SOX keine IT-bezogenen Vorgaben an sich festlegt, hat das Gesetz erheblichen Einfluss auf die Art und Weise, wie IT-Abteilungen börsennotierter Unternehmen mit elektronischen Daten umgehen (müssen). Das liegt daran, dass die vom Gesetz betroffenen Finanzdaten durch IT-Systeme verarbeitet und gespeichert werden. Die Aufgabe von Wirtschaftsprüfern besteht daher unter anderem auch darin, die im Unternehmen bestehende IT-Infrastruktur sowie die dazugehörigen Kontrollmechanismen zu überprüfen und zu bewerten, ob diese angemessen und korrekt sind oder nicht.

Einer jener Bilanzierungsskandale, der zur Einführung des Sarbanes-Oxley-Acts führte, war der berühmte Enron-Skandal im Jahr 2001. Durch das Ausnutzen von Schlupflöchern und der Verwendung von Methoden zur Bilanzfälschung konnte das Unternehmen Milliarden von Dollar an Schulden vor Investoren und Prüfern verheimlichen. Allerdings führten diese fragwürdigen Methoden letztendlich zum Konkurs des Unternehmens sowie dem Verlust von etlichen Milliarden an Rente und Aktien der Aktieninhaber.

Mit in den Abgrund riss Enron den Wirtschaftsprüfungskonzern Arthur Andersen, der in diesem Zusammenhang vor einem Interessenskonflikt stand: einerseits war das Unternehmen nämlich für die Buchhaltung (Accounting) von Enron zuständig, gleichzeitig aber auch für die Prüfung von dessen Finanzberichten (Auditing).

Ebenso war Arthur Andersen in den WorldCom-Skandal verwickelt, der ein Jahr später folgte und sich als größter Fall von Finanzbetrug in der Geschichte Amerikas bis zu diesem Zeitpunkt entpuppte.

In Anbetracht der enormen Auswirkungen dieser und ähnlicher Skandale im gleichen Zeitraum beschloss der US-Kongress, dass es längst an der Zeit war, strengere Gesetze zur Finanzverwaltung und für interne Kontrollen, sowie besser regulierte Prüfungsmethoden einzuführen. Um das Vertrauen von Anlegern wiederherzustellen und den Aktienmarkt wiederzubeleben, wurde das Sarbanes-Oxley Gesetz verabschiedet.

Den Compliance-Anforderungen von SOX gerecht zu werden ist ein streng überwachtes, vielschichtiges und komplexes Unterfangen, das eine strikte Zusammenarbeit und Kooperation von unterschiedlichen Abteilungen und Einheiten in Firmen verlangt.

Nicht alle Unternehmen unterliegen den SOX-Compliance-Anforderungen. Das Gesetz betrifft im Grunde alle in den USA börsennotierten Unternehmen, einschließlich deren Tochtergesellschaften.

Weiters betrifft SOX auch Steuerberatungsfirmen, die für die Wirtschaftsprüfung von Unternehmen, welche SOX unterliegen, zuständig sind. Das heißt Kanzleien, die mit der Buchhaltung einer Firma beauftragt sind dürfen nicht gleichzeitig für die Finanzaudits zuständig sein (so wie es in den frühen 2000er Jahren bei Arthur Andersen der Fall war).

Der Sarbanes-Oxley Act betrifft auch ausländische Unternehmen, die in den USA börsennotiert sind.

Privatunternehmen und Unternehmen mit einem Jahresumsatz von weniger als 100 Millionen US-Dollar sind nicht verpflichtet, die SOX-Compliance-Anforderungen einzuhalten. Allerdings sollten Firmen, die vor haben an die Börse zu gehen, sich frühzeitig und gründlich auf die Erfüllung des Gesetzes vorbereiten.

Der Sarbanes-Oxley Act ist ein komplexes Gesetz mit vielen Anforderungen an unterschiedliche Abteilungen und Entscheidungsträger in Unternehmen. Der Akt besteht aus 11 Titles, also Titeln, die alle wiederum in Sections, also Abschnitte, unterteilt sind. Diese befassen sich mit Themen wie der Unabhängigkeit von Wirtschaftsprüfern, Unternehmenshaftung und Betrug, bis hin zu internen Kontrollen. Außerdem schreibt das SOX-Gesetz auch Strafen für u.a. Betrug und Datenmanipulation vor.

Der Begriff SOX-Compliance bezieht sich hauptsächlich auf die jährlich stattfindende Prüfung, bei der Börsenunternehmen ihre jährlichen Finanzberichte offenlegen und nachweisen müssen, dass diese korrekt sind. Zusätzlich müssen diese Finanzberichte einen so-genannten Internal Control Report, also einen Bericht bezüglich der vorhandenen internen Kontrollen, beinhalten, der ebenfalls von einem externen Auditor überprüft werden muss.

SOX und IT-Compliance

Die Abschnitte 302 und 404 gelten allgemein als die wichtigsten Bestimmungen für SOX-Compliance in Bezug auf die IT, wobei auch die Abschnitte 401, 409, 802, 902 und 906 eine Rolle spielen. Klicken Sie auf einen Abschnitt unten, um mehr darüber zu erfahren.

Der Preis für die Nichteinhaltung der SOX-Compliance-Anforderungen ist sehr hoch. CEOs und CFOs, die absichtlich gefälschte Dokumente vorlegen, drohen Bußgeldstrafen von bis zu 5 Millionen US-Dollar oder Haftstrafen von bis zu 20 Jahren – oder beides. Inkorrekte Dokumente, die irrtümlich bzw. unabsichtlich eingereicht wurden, können zu Geldstrafen von bis zu einer Million US-Dollar und/oder 10 Jahren Gefängnis führen. Außerdem können Unternehmen, die gegen die SOX-Vorgaben verstoßen, von der Börse genommen werden.

Der Begriff SOX Compliance bezieht sich auf die jährliche Wirtschaftsprüfung, der sich börsennotierte Unternehmen unterziehen müssen. Diese Unternehmen sind verpflichtet, einen externen Auditor zu engagieren, der prüfen muss, ob:

Außerdem dürfen externe Auditoren Mitarbeiter befragen, um zu verifizieren, dass deren Aufgaben auch tatsächlich mit ihren Tätigkeitsbeschreibungen übereinstimmen und ob sie bezüglich dem Umgang mit sensiblen Daten sowie Finanzdaten entsprechend geschult wurden.

Die Ergebnisse aus diesen Audits werden dann den Aktionären und der Öffentlichkeit zur Verfügung gestellt. SOX-Compliance bezieht sich also nicht auf die bloßen Zahlen im Jahresabschluss, sondern auch zunehmend auf die Kontrollen, Richtlinien und Verfahren, die Unternehmen zum Schutz sensibler Daten einrichten müssen.

Und genau hier überschneiden sich die Anforderungen des Sarbanes-Oxley-Act mit den Anforderungen von IT-Sicherheit. Denn welchen Nutzen haben Finanzkontrollen, wenn dabei nicht berücksichtigt wird, ob Menschen Zugriff auf manipulierbare sensible Daten haben?

Die Abschnitte 302, 404 und 409 des Sarbanes-Oxley-Act schreiben börsennotierten Unternehmen vor, die folgenden IT-Parameter genau zu überwachen, zu protokollieren und regelmäßig zu überprüfen:

SOX-Auditoren untersuchen daher die folgenden vier Kernelemente:

Systeme zur Protokollierung und Überwachung solcher Aktivitäten müssen einen so-genannten Audit-Trail über Zugriffe auf sensible Daten liefern. Die Überprüfung interner Kontrollen macht daher oft den größten Teil eines SOX-Compliance-Audits aus. Während der Prüfung werden IT-Ressourcen, wie z.B. PCs und andere Formen von Hardware und elektronischen Geräten, die zur Verarbeitung von Finanzdaten verwendet werden, gründlich begutachtet.

Es ist weder möglich, sich auf die Einhaltung der SOX-Compliance-Richtlinien und die damit verbundenen Audits innerhalb von wenigen Tagen oder Wochen vorzubereiten, noch ist es notwendig. Es wird Unternehmen für gewöhnlich ausreichend Zeit eingeräumt, sich ordentlich auf die Vorgaben des Sarbanes-Oxley-Act einzustellen.

Daher ist es nicht nur sinnvoll, sondern auch erwünscht, dass sich Unternehmen eine langfristige Strategie zur Erfüllung der SOX-Compliance-Anforderungen überlegen. Am besten beraten sind Firmen damit, in eine gut durchdachte Software-Lösung zu investieren, die Ihnen lästige und zeitraubende manuelle Arbeiten abnimmt und ihre sensiblen Finanzdaten vor unbefugtem Zugriff schützt.

Außerdem müssen Unternehmen auch gewährleisten, dass Ihre internen Prüfsysteme und ihr Reporting auf dem neuesten Stand sind und funktionieren. Nur so können sie sicher sein, dass jegliches Dokument, das von externen Prüfer gefordert wird, auch sofort bereitgestellt werden kann.

Richtige Checklisten, die man einfach von oben bis unten abarbeiten kann, um SOX-Compliance zu gewährleisten, gibt es leider nicht – bzw. wären diese auch sinnlos, da jede Firma anders ist und jedes Audit anders abläuft.

Sie können sich jedoch folgende Fragen stellen, um eine Vorstellung davon zu bekommen, ob Sie auf dem richtigen Weg sind, die SOX-Compliance-Anforderungen zu erfüllen:

Es gibt Tools, die Ihnen dabei helfen können, den Überblick über diese und andere Fragen im Zusammenhang mit der Einhaltung von SOX-Compliance-Richtlinien zu behalten. Da SOX sowohl physische als auch elektronische Aufzeichnungen betrifft, könnte daher ein Identity- und Access-Management-Tool genau das Richtige für Sie sein.

Abgesehen davon, dass Sie nicht im Gefängnis landen oder hohe Geldstrafen für die Nichteinhaltung der Vorschriften zahlen müssen, bringt die Einhaltung der SOX-Compliance-Richtlinien Ihnen viele weitere Vorteile: