Prävention: Wie lassen sich finanzielle Schäden verhindern?

Fehler sind menschlich, können jedoch zu finanziellen Schäden für die Unternehmen führen. Kosten entstehen ihnen auch dann, wenn sie Opfer von Wirtschaftskriminalität werden. Unsere Expert*innen zeigen, wie sich die Risiken durch eine gute Präventionsstrategie minimieren lassen – und welche Rolle Wirtschaftsprüfer*innen hierbei spielen.

Was versteht man unter Prävention und warum ist sie so wichtig für die Unternehmen?

Kurt Kuckelmanns: Prävention in Unternehmen umfasst alle Maßnahmen, die darauf abzielen, Risiken, Schäden und unerwünschte Ereignisse zu vermeiden oder zu minimieren. Hierbei bezieht sie sich im Wesentlichen auf zwei Hauptbereiche: auf die Vermeidung von Prozessfehlern und auf die Verhinderung von wirtschaftskriminellen Handlungen.

Eine aktuelle Studie des US-Softwareunternehmens Splunk und der Beratungsgesellschaft Oxford Economics hat ergeben, dass jährlich ein finanzieller Schaden von rund 400 Milliarden US-Dollar durch IT-Ausfälle entsteht. 44 Prozent der IT-Probleme werden durch menschliches Versagen verursacht. Hierbei geht es beispielsweise um Anwendungsprobleme oder andere Fehler, wie sie tagtäglich vorkommen und wie sie jedem passieren können. Die restlichen 56 Prozent entfallen auf Sicherheitsvorfälle wie Phishing-Angriffe.

Das Bundeskriminalamt (BKA) beziffert den Schaden, der durch wirtschaftskriminelle Handlungen entsteht, in seinem „Bundeslagebild 2023“ auf rund 2,7 Milliarden Euro. Die tatsächliche Summe dürfte gleichwohl deutlich höher liegen, da das BKA die Kosten, die den Unternehmen durch Vertrauensverlust und Imageschädigung entstehen, nicht miteinberechnet hat. Zudem erstatten viele Unternehmen keine Anzeige, um ihre Reputation zu schützen.

Es ist wichtig zu verstehen, dass sich eine nachhaltig wirksame Prävention kontinuierlich weiterentwickeln muss. So unterliegen Prozesse, aber auch die Regulatorik einem ständigen Wandel – das hat auch Auswirkungen auf die Kontrollmaßnahmen.

An was denken Sie bei diesen Prozessen und der angesprochenen Regulatorik konkret?

Dorothea Kretschmar: Ein wichtiger Treiber bei der Unternehmensentwicklung ist aktuell der Einsatz Künstlicher Intelligenz (KI). Dadurch verändern sich viele Prozesse und darauf basierend auch angemessene Kontrollmaßnahmen. Dazu gehört, dass die Unternehmen die europäische Verordnung über künstliche Intelligenz, den sogenannten AI-Act, berücksichtigen müssen, die im August 2024 in Kraft getreten ist. Wichtig ist, dass sich die Verantwortlichen in den Unternehmen auch über die Schattenseiten der KI bewusst sind. So führen die neuen, intelligenten Tools nicht nur zu einer Arbeitserleichterung für Mitarbeiter*innen in den Unternehmen, sondern auch für Wirtschaftskriminelle. Entsprechend müssen die Prozesse und Kontrollen nicht nur auf die KI angepasst werden, Mitarbeiter*innen müssen auch mit Blick auf die neuen Gefahren sensibilisiert werden. 

Ein weiteres Beispiel ist die Corporate Sustainability Reporting Directive: Die neuen Berichtspflichten stellen viele Unternehmen vor große Herausforderungen, da bisher keine oder wenige Prozesse für die Datenerhebung vorhanden sind. Die Sustainability Manager*innen müssen diese Prozesse ausbauen und im Anschluss geeignete Präventionskonzepte entwickeln und implementieren.

Eine wasserdichte Lösung zur Fehlervermeidung gibt es nicht

Die Reduzierung von Fehlern ist einer von zwei Hauptbereichen Ihrer Arbeit. So wichtig Präventionsmaßnahmen hierbei sind – müssen Fehler nicht in einem gewissen Maße auch zugelassen werden, um Innovationen zu ermöglichen?

Kurt Kuckelmanns: Kein Kontrollsystem und – by the way – auch kein Compliance Management System, das die Gesamtheit der in einer Organisation eingerichteten Maßnahmen, Strukturen und Prozesse umfasst, um Regelkonformität sicherzustellen, kann alle Fehler verhindern. Eine wasserdichte Lösung gibt es also nicht. Insbesondere, weil sich Prozesse immer weiterentwickeln. Darüber hinaus müssen Abläufe effizient und damit wirtschaftlich bleiben. Ein Übermaß an Kontrollen führt nicht nur zu sperrigen Prozessen, sondern schadet auch der Akzeptanz in der Belegschaft. Das kann dazu führen, dass Mitarbeiter*innen die Kontrollen absichtlich umgehen.

Prävention setzt sich daher nicht das Ziel, dass Mitarbeiter*innen gar keine Fehler mehr machen. Stattdessen geht es um die Reduzierung von Flüchtigkeits- und Anwendungsfehlern. Zudem ist es wichtig, diese Fehler früh zu erkennen, damit die Verantwortlichen gegensteuern können. Je länger Fehler oder Sicherheitslücken bestehen, umso größer wird das daraus resultierende Risiko und der potenzielle Schaden.

Wie lassen sich die prozessualen Fehler also minimieren?     

Dorothea Kretschmar: Wirksame Präventionsmaßnahmen beziehen sich auf mehrere Risikodimensionen, insbesondere auf die spezifischen Unternehmensrisiken. Diese werden wiederum von der Unternehmenskultur, der Unternehmensgröße und der Branche beeinflusst – das macht die Präventionsmaßnahmen höchst individuell. Wirksamer Schutz ergibt sich grundsätzlich durch die Kombination verschiedener Maßnahmen. Dazu gehören insbesondere die Standardisierung und Automatisierung von Abläufen, wenn das möglich ist. Darüber hinaus sind regelmäßige Qualitätskontrollen wichtig, um die aktuellen Prozesse und Präventionsmaßnahmen regelmäßig zu überprüfen, zu bewerten und auch zu verbessern. Auch die Einführung eines Risikomanagementsystems und dadurch die Identifizierung und Bewertung von Gefährdungspotenzialen und ihrer Ursachen ist unerlässlich. Des Weiteren ist es wichtig, die Mitarbeiter*innen zu schulen und für mögliche Gefahren zu sensibilisieren.

Unternehmenskultur soll Mitarbeiter*innen sensibilisieren

Beim zweiten Präventionsbereich geht es um vorbeugende Maßnahmen gegen Wirtschaftskriminalität. Wie sollte man hier vorgehen?

Kurt Kuckelmanns: Zahlreiche Maßnahmen sind äquivalent mit denen, die auch bei der Eindämmung der Prozessfehler zum Einsatz kommen. Ergänzend empfiehlt es sich, ein wirksames Fraud Risk Management zu etablieren, etwa durch eine starke Revision oder den Aufbau einer eigenen auf Wirtschaftskriminalität ausgelegten Ermittlungseinheit. Wie bei der Fehlervermeidung ist es darüber hinaus sehr wichtig, dass die Verantwortlichen die Mitarbeiter*innen im Hinblick auf potenzielle Gefahren sensibilisieren. Eine kritische Grundhaltung ist nicht nur in der Wirtschaftsprüfung wichtig. In Zeiten der Deep Fakes ist es in allen Bereichen essenziell, sich der relevanten Risiken bewusst zu sein. Nur so können Mitarbeiter*innen aktiv bei der Prävention unterstützen.

Darüber hinaus ist die Aufdeckung Teil einer wirksamen Prävention. So überwachen Spezialist*innen  heikle Prozesse beispielsweise im Rahmen eines „Continuous Monitoring“ und unterziehen diese bei Auffälligkeiten einer gesonderten Sichtung. Das geht händisch, besser aber digital. Zentral ist zudem die Etablierung einer Unternehmenskultur, die es Mitarbeiter*innen nicht nur ermöglicht, Fehler und Auffälligkeiten zu melden, sondern auch Vorschläge einzureichen, um Prozesse sicher zu machen. Als erste und letzte Präventionsinstanz ist der Mensch also ein sehr wichtiger Ansatzpunkt.

Welche Rolle spielt es, Wirtschaftskriminalität möglichst frühzeitig zu erkennen?

Dorothea Kretschmar: Je früher kriminelle Handlungen detektiert werden, umso schneller können die Verantwortlichen Gegenmaßnahmen einleiten. Und früher heißt in diesem Bereich immer besser: Denn je schneller reagiert wird, umso geringer sind in der Regel die Schäden.

Die meisten wirtschaftskriminellen Vorgänge werden dabei durch interne oder externe Hinweisgeber aufgedeckt. Durch das Hinweisgeberschutzgesetz ist der Ausbau von entsprechenden Meldestellen für Unternehmen ab 50 Angestellte verpflichtend. Auch hier müssen die Mitarbeiter*innen geschult werden, damit diese Systeme bekannt, akzeptiert und genutzt werden.

Man könnte den Eindruck gewinnen, die gesamte Prävention stecke gewissermaßen in der Etablierung von Prozessen und der Kontrolle dieser Abläufe. Reicht das wirklich aus für eine lebendige Präventionsarbeit?

Kurt Kuckelmanns: Unter dem Strich ist mit der Implementierung der richtigen Verfahren und der auf sie bezogenen Validierungsmechanismen schon jede Menge erreicht. Und doch gebe ich Ihnen recht: Die ausschließliche Anwendung von kontrollbasierten Ansätzen ist unzureichend, um Fehler und wirtschaftskriminelle Handlungen zu minimieren. Mitarbeiter*innen müssen auch darüber hinaus in der Lage sein, sich anbahnende Risiken zu erkennen. Und das geht nicht, wenn alle nur stumpf nach Schema F arbeiten – sie müssen auch auf ihr Bauchgefühl hören.

Man muss bedenken, dass Wirtschaftskriminalität trotz aller Sicherheitsschranken oftmals über Jahre hinweg unentdeckt bleibt. Der Grund ist, dass es oft die Kriminellen sind, die die Sicherheitslücken am besten kennen und die zudem ganz genau wissen, wie man die entsprechenden Kontrollsysteme umgeht. Oft sind es sogar Führungskräfte, die ihre Position bewusst ausnutzen. Umso wichtiger ist es, dass Kolleg*innen die Warnzeichen registrieren, das Risiko identifizieren und auch entsprechend handeln. Das meinen wir, wenn wir von „Risikosensibilisierung“ sprechen.

Wie lässt sich eine solche Risikosensibilisierung am besten erreichen?

Kurt Kuckelmanns: Am geeignetsten sind Schulungen, die auch gemeinsame und offene Diskussionen über unterschiedliche Sichtweisen und Situationen zum Thema zulassen. Eine solche Schulung sollte sich im Wesentlichen das Ziel setzen, möglichst viele Mitarbeiter*innen für Fehler und wirtschaftskriminelle Risiken zu sensibilisieren. Wichtige Fragen, die besprochen werden sollten, sind: Wie erkenne ich Risiken und Red Flags? Welche Konsequenzen hat mein Handeln? Wann sollte ich Unregelmäßigkeiten melden? Welche Kanäle stehen hierbei zur Verfügung? Welche Personen sind ansprechbar?

Genauso wichtig dürfte es sein, mit Blick auf die etablierten Kontrollmechanismen für mehr Verständnis in der Belegschaft zu sorgen. Es darf nicht der Eindruck entstehen, dass Präventionsmaßnahmen nur mehr sinnlose Bürokratie produzieren und die Teams von ihrer eigentlichen Arbeit abhalten.

Wirtschaftsprüfung ersetzt keine Kontrolle der Präventionssysteme

Kommen wir zum Schluss zur Wirtschaftsprüfung: Welche Rolle spielen die Präventionssysteme bei der Jahresabschlussprüfung?

Dorothea Kretschmar: Präventionssysteme umfassen unter anderem das Interne Kontrollsystem (IKS), das Compliance-Management-System und Risikomanagement-Prozesse. Sie sind somit die Summe aller getroffenen Maßnahmen, um Fraud und Fehler zu verhindern. In der Jahresabschlussprüfung spielen diese Systeme eine wichtige Rolle. Der*die Wirtschaftsprüfer*in muss beurteilen, ob das Unternehmen angemessene Maßnahmen umgesetzt hat, um die Verlässlichkeit der Finanzberichterstattung sicherzustellen. Ein gut funktionierendes Präventionssystem kann dazu führen, dass der*die Prüfer*in dem IKS vertraut und so weniger umfangreiche Prüfungshandlungen durchführen muss. Stellen sich die Systeme hingegen als unzureichend oder fehlerhaft heraus, erhöht sich das Risiko, und die Verantwortlichen müssen detailliertere Prüfungen durchführen, um sich von der Ordnungsmäßigkeit des Jahresabschlusses zu überzeugen.

Implementierte Präventionssysteme tragen also dazu bei, Fehler und Manipulationen in der Finanzberichterstattung zu verhindern und können so den Prüfungsaufwand beeinflussen. Ein wirksames System erleichtert die Arbeit des*der Prüfer*in, während mangelhafte Kontrollen zu intensiveren Prüfungen und möglicherweise zu kritischen Feststellungen im Testat führen können.

Woher wissen die Prüfer*innen, wie wirksam die Präventionssysteme der Unternehmen sind?

Dorothea Kretschmar: Zunächst verschaffen sich die Prüfer*innen einen Überblick: Welche Kontrollen gibt es überhaupt? Dazu sprechen sie mit Verantwortlichen, lesen Dokumentationen und schauen sich Prozesse an, um auf dieser Basis die Angemessenheit der etablierten Kontrollen zu beurteilen. Danach testen sie, ob diese Kontrollen auch in der Praxis wirken. Das können sie auf verschiedene Weise tun. Bei der Inspektion von Stichproben überprüfen sie einzelne Fälle aus der Buchhaltung, um zu sehen, ob die Kontrollen richtig angewendet wurden. Eine andere Möglichkeit ist es, gezielt „Testfälle“ einzusetzen. Auf diese Weise eruieren sie, ob das System Probleme erkennt und meldet. So stellen die Prüfer*innen sicher, dass die Kontrollen auch wirklich gelebt werden und das jeweilige Risiko wirkungsvoll reduzieren.

Keine der genannten Methoden stellt dabei eine vollumfängliche Prüfung der Präventionssysteme dar. Eine solche Prüfung ist gleichwohl möglich – und sie ist auch sinnvoll. Hierbei handelt es sich aber nicht um eine sogenannte „Vorbehaltsaufgabe“ von Wirtschaftsprüfer*innen. Das bedeutet: Nicht nur Wirtschaftsprüfer*innen dürfen die Systeme kontrollieren – auch wenn diese aufgrund ihrer Fähigkeiten und Kenntnisse dazu hervorragend qualifiziert sind. 

Frau Kretschmar, Herr Kuckelmanns, vielen Dank für das Gespräch.

Für weitere Themen rund um die Wirtschaftsprüfung und Forvis Mazars folgen Sie uns auch auf LinkedIn.