Aufmerksamkeit ausrichten

In den letzten Jahren hat sich der Trend, bestimmte Funktionen und Prozesse im Unternehmen an externe Dienstleister oder konzerninterne Shared Service Center auszulagern, sichtlich verstärkt. Dabei stehen nicht nur Unterstützungsprozesse, wie beispielsweise die Buchhaltung, sondern auch wertschöpfende Prozesse im Fokus der Auslagerung. Ungebrochen ist dieser Trend bei IT-bezogenen Funktionen und Prozessen, wie dem Betrieb von IT-Systemen.
Mit der Auslagerung von Geschäftsprozessen gehen Veränderungen im internen Kontrollsystem (IKS) einher. Der direkte Einfluss auf den ausgelagerten Prozess schwindet, wodurch ein Kontrollverlust entsteht. Dabei gilt jedoch der Grundsatz, dass das die ausgelagerten Prozesse betreffende IKS sowie die Ordnungsmäßigkeit der Buchführung in der Verantwortung des auslagernden Unternehmens verbleiben. Insofern ist ein besonderer Fokus auf die Schnittstelle zwischen auslagerndem Unternehmen und Dienstleistungsunternehmen zu legen.

Konsequenzen für die Abschlussprüfung

Mit den Auswirkungen und insbesondere den Risiken einer Auslagerung auf den Jahresabschluss für das IKS hat sich der Abschlussprüfer auseinanderzusetzen. Das Institut der Wirtschaftsprüfer (IDW) hat sich schon frühzeitig mit den Auswirkungen solcher Auslagerungen auf die Ab­schluss­prü­fung beschäftigt und hierzu verschiedene Verlautbarungen veröffentlicht. Der IDW-Prüfungsstandard „Die Prüfung des internen Kontrollsystems (IKS) bei Dienst­leis­tungs­un­ter­neh­men“ (IDW PS 951 n. F.) liegt seit Oktober 2013 in einer überarbeiteten Fassung vor. Dieser behandelt die Prüfungsdurchführung sowie die entsprechende Berichterstattung. International haben sich der ISAE 3402 sowie der US-Standard SSAE 16 etabliert, wobei die jeweilige Anwendung sich meist am Ort der Serviceerbringung und/oder am Kundenkreis des Dienstleisters orientiert.

Wie mit solchen Prüfungsergebnissen umzugehen ist, regelt der IDW PS 331 („Abschlussprüfung bei teilweiser Auslagerung der Rechnungslegung auf Dienstleistungsunternehmen“), wobei sich dieser aktuell in der Überarbeitung befindet und voraussichtlich Mitte dieses Jahres im Entwurf veröffentlicht werden soll. Im Kern geht es um die Auswirkungen einer Auslagerung auf das (rechnungslegungsbezogene) IKS des zu prüfenden Unternehmens und um die zur Gewährleistung der Funktionsfähigkeit des IKS eingerichteten Kontrollen. Die Buchführung als Abbild der Geschäftsvorfälle eines Unternehmens wird nunmehr nicht allein durch das Unternehmen selbst sichergestellt, sondern gegebenenfalls auch durch den externen Dienstleister. Auslagerungsprojekte und deren Umsetzung bergen neben den Chancen auch Risiken. In der Praxis ist insbesondere im Mittelstand kaum ein idealtypisches Vorgehen bei der Umsetzung anzutreffen. Dabei wird oft vernachlässigt, dass insbesondere das Vertragswerk, mit dem die Grundlage für die zukünftige Zusammenarbeit gelegt wird, eine entscheidende Rolle spielt. Häufig wird nicht bedacht, entsprechende Prüfrechte im Vertrag zu verankern. Zudem sind Instrumente und Informationen festzulegen, wie das auslagernde Unternehmen den Dienstleister beziehungsweise dessen Dienstleistungen überwachen und steuern kann. Ein weiterer wichtiger Aspekt sind Regelungen zum Datenschutz, insbesondere bei grenzüberschreitenden Auslagerungen. Weiterhin muss auch hier bereits ein Szenario für die Vertragsbeendigung sowie das Rückholen von Daten und der Prozesse bedacht werden. Dieser Aspekt wird meist nicht bedacht. Sofern es sich um eine Auslagerung mit Bezug zur Buchführung und Rechnungslegung handelt, empfiehlt es sich, den Abschlussprüfer zum frühestmöglichen Zeitpunkt in entsprechende Überlegungen projektbegleitend einzubinden. Ansonsten sollten zum Beginn der Ab­schluss­prü­fung (Vorprüfung) relevante Informationen vorliegen, damit der Abschlussprüfer das Outsourcing-Projekt prüferisch bereits würdigen und die Auswirkungen auf das IKS des Mandanten beurteilen kann. Die Beurteilung der Auswirkungen ist abhängig von Art und Umfang der erbrachten Dienstleistungen einschließlich der Art und Wesentlichkeit der Geschäftsvorfälle. Zur Gewinnung eines Verständnisses können beispielsweise Vertragsdokumente, eine Berichterstattung nach IDW PS 951 (s. hierzu ausführlich Farr in DATEV magazin 07/2014) oder Prüfungsergebnisse Dritter (interne Revision) herangezogen werden. Sind keine weiterführenden Informationen verfügbar, bedarf es im Zweifelsfall eigener Prüfungshandlungen bei dem Dienstleister.
Sofern das auslagernde Unternehmen korrespondierende Kontrollen angemessen und wirksam eingerichtet hat, kann sich der Abschlussprüfer auch ausschließlich auf die Kontrollhandlungen des Auslagernden stützen. Dies bedeutet auch, dass es keiner Berichterstattung nach IDW PS 951 bedarf.

Sonstige Berichte, Zertifikate/Bescheinigungen

Sofern eine Berichterstattung nach internationalen Standards (beispielsweise ISAE 3402, SSAE 16) vor­liegt, ist zu beachten, dass zur Ergebnisverwertung er­gän­zen­de Prüfungshandlungen erforderlich sind, die insbesondere eine Aussage zur Ord­nungs­mä­ßig­keit der Buchführung enthalten. Bei der Ein­be­zieh­ung von Berichten der internen Revision (des aus­la­gern­den Unternehmens) oder Auf­sichts­be­hör­den sind insbesondere Ziel, Umfang und Qualität der Prüfung und Be­richt­er­stat­tung zu beachten. Regelmäßig werden dem Ab­schluss­prü­fer auch ISO-Zertifikate (zum Beispiel ISO 27001) in Bezug auf die Aus­la­ge­rung vorgelegt. Da die Prüfung nach ISO-Normen jedoch nicht darauf ausgerichtet ist, Prüfungsaussagen zur Rechnungslegung oder zur Ordnungsmäßigkeit der Buchführung zu treffen, kann ein solches Zertifikat allenfalls als Arbeit eines Sachverständigen gemäß IDW PS 322 n. F. in Betracht kommen. Sind die Kontrollen beim Dienst­leis­tungs­un­ter­neh­men wirksam, kann eine Reduktion der aussagebezogenen Prüfungshandlungen erfolgen. Ergibt sich im Rahmen der Aufbau-/Funktionsprüfung, dass die Kontrollen unwirksam sind, muss eine Ausweitung der aus­sa­ge­be­zo­ge­nen Prüfungshandlungen erfolgen.

Berichterstattung des Abschlussprüfers

Die grundsätzlichen Pflichten zur Berichterstattung richten sich nach IDW PS 450. Ergeben sich aus der Prüfung der Auslagerung des rechnungslegungsbezogenen IKS des Mandanten keinerlei Auswirkungen auf die Rechnungslegung, muss beispielsweise keine Bezugnahme auf die Tätigkeit eines Prüfers des Dienstleistungsunternehmens erfolgen, da die Pflicht zur (eigenen) Erlangung ausreichender und angemessener Prüfungsnachweise besteht. Ist eine ausreichende und angemessene Erlangung von Prüfungsnachweisen (in Bezug auf die Auslagerung) nicht möglich, ist nach IDW PS 400 eine Einschränkung oder Versagung des Bestätigungsvermerks in Ab­hän­gig­keit von den möglichen Auswirkungen auf den Abschluss und deren Wesentlichkeit in Betracht zu ziehen.

Trend Cloud Computing

Ein wichtiger Trend ist die zunehmende Nutzung von Cloud Computing, einer Dienst­leis­tungs­form, bei der IT-Ressourcen über das Internet genutzt werden. Hierbei wird ein Pool von Ressourcen, welcher von allen Anwendern genutzt wird, so zusammengestellt, dass eine physikalische beziehungsweise geografische Ortung der genutzten IT-Ressource eventuell nicht möglich ist. Die Kapazität der Dienstleistung kann zudem bedarfsorientiert durch das Zufügen oder Wegnehmen von IT-Ressourcen jederzeit und schnell erhöht beziehungsweise reduziert werden, das heißt es ergibt sich eine hohe Skalierbarkeit. Die Risiken hieraus für den Aus­la­gern­den und somit auch für dessen Abschlussprüfer werden insbesondere durch die Mehr­man­dan­ten­nut­zung tendenziell erhöht, womit die beim Dienstleister eingerichteten Kontrollen eine größere Bedeutung für die Ordnungsmäßigkeit der Rechnungslegung des auslagernden Unternehmens bekommen. Herausforderungen ergeben sich auch für den Datenschutz, da der Ort der Dienstleistungen beziehungsweise auch der Datenspeicherung in anderen Ländern und somit gegebenenfalls in anderen Rechtsräumen erfolgt. Eine Konkretisierung der han­dels­recht­li­chen Anforderungen in Bezug auf die Führung der Handelsbüchern mittels IT-gestützter Systeme bei der Auslagerung von rechnungslegungsrelevanten Dienstleistungen und somit auch eine Betrachtung der damit im Zusammenhang stehenden möglichen Risiken für die Einhaltung der GoB beim Einsatz von Cloud Computing hat das IDW mit seinem Entwurf der Stellungnahme zur Rechnungslegung „Grundsätze ordnungsmäßiger Buchführung bei Auslagerung von rech­nungs­le­gungs­re­le­van­ten Dienstleistungen einschließlich Cloud Computing (IDW ERS FAIT 5)“ mit Datum 4. November 2014 veröffentlicht.