Von Sabine Wadewitz, Frankfurt

Die Corona-Pandemie greift tief in die Abläufe in Unternehmen ein. Das trifft auch zentrale Aufgaben wie die interne Revision. Die verordneten Reise- und Kontaktbeschränkungen erschweren es, dass Belege und Inventar vor Ort in Augenschein genommen werden können. Governance-Pflichten sind jedoch gesetzlich verankert und wichtige Überwachungsaufgaben können nicht vertagt oder abgeschwächt werden, ohne die Leitungsorgane im Konzern Haftungsrisiken auszusetzen.

Aufsichtsräte seien auf funktionierende Governance- und Compliance-Systeme im Unternehmen angewiesen, um ihre Funktion zu erfüllen, betont Ulf Lipske, Head of Internal Audit der Wirtschaftsprüfungs- und Beratungsgesellschaft KPMG in Deutschland. Eine professionell arbeitende Revisionsstelle sie dabei von großer Bedeutung. Die Pandemie stelle keinen Ausnahmezustand dar, der die Sorgfaltspflichten der Leitungsorgane einschränke oder als Begründung für unterlassene Revisionsarbeiten herangezogen werden könne.

Die Reisebeschränkungen im Lockdown bringen es mit sich, dass Instrumente eingesetzt werden müssen, die virtuelle Revisionsprüfungen ermöglichen – ohne Abstriche zu machen. „Remote Audits müssen qualitativ vergleichbar sein mit Arbeiten, die vor Ort durchgeführt werden“, erklärt Lipske im Gespräch mit der Börsen-Zeitung. Auch in Pandemiezeiten werde kein Anleger Verständnis haben, wenn die interne Revision keine belastbaren Ergebnisse hervorbringe.

Die Abteilung interne Revision hat als Stabsfunktion mit direkter Anbindung an die Geschäftsleitung die Aufgabe, als neutrale und unabhängige Stelle Funktionsbereiche des Unternehmens zu überprüfen. Meistens hat die interne Revision auch eine Berichtslinie an den Aufsichtsrat oder ein anderes Aufsichtsorgan im Unternehmen. Wirtschaftsprüfungs- und Beratungsunternehmen können dabei unterschiedliche Rollen übernehmen. Sie werden von Firmen ohne eigene Revisionsabteilung mit dieser Aufgabe betraut. Genauso ist es möglich, dass sie eine vorhandene Revision unterstützen. In einer anderen Variante agieren sie als Prüfer der internen Revision. Das läuft neben der „normalen“ Abschlussprüfung ab und kann aber auch getrennt davon einem separat bestellten Prüfer übertragen werden.

Mit der politischen Aufarbeitung des Wirecard-Skandals werden die Anforderungen an die interne Überwachung verschärft. Das geplante Gesetz zur Stärkung der Finanzmarktintegrität (FISG) sieht neue Regeln für das Risikomanagement und das interne Kontrollsystem vor. Die Wichtigkeit dieser Instrumente wird dadurch betont, dass dem Aufsichtsrat beziehungsweise Prüfungsausschuss im Verhältnis mit der Leitung der internen Revision, des Risikomanagements sowie des internen Kontrollsystems ein direktes Auskunftsrecht eingeräumt werden soll, erklärt Dirk Salewski, Senior Manager und Experte für Internal Audit im Bereich Risk & Compliance Services der KPMG. „Das zeigt die steigende Relevanz wirksamer Überwachungsmethoden“, ergänzt er.

Die Berater heben hervor, dass sich Audit-Themen mit der Pandemie keinesfalls verringert, sondern erweitert haben. Es gibt zusätzliche Aspekte, die in er Analyse berücksichtigt werden müssen. Die Arbeit im Homeoffice könne mit den Abläufen bei Anwesenheit im Büro nur bedingt verglichen werden. Dabei stehe die interne Revision vor der Frage, wie Prüfungsnachweise erbracht werden, wenn Dokumente nicht direkt im Original eingesehen werden können. Genau so ist zu klären, ob eine physische Ortsbegehung digital ersetzt werden kann.

Mit der Pandemie hat sich aus Sicht der Berater bewiesen, dass Remote Audit funktioniert. Doch es gibt Grenzen. „Man kann vieles aus der Entfernung prüfen, es gibt aber auch Bereiche, für die eine Prüfung vor Ort notwendig bleibt“, sagt Salewski. „Wir sind davon überzeugt, dass in Zukunft die interne Revision in einer hybriden Form durchgeführt wird, mit einem größeren Anteil als bisher an Prüfungsleistungen, die ‚remote‘, also nicht vor Ort durchgeführt werden“, ergänzt der Berater. Man wird sich in den Unternehmen genau überlegen, was zwangsläufig vor Ort zu prüfen ist und welche Prüfungsleistungen genauso gut aus dem Büro oder aus dem Homeworking möglich sind. Gespräche werden auch in Zukunft über Videokonferenzen geführt werden können, Finanzkennzahlen digital analysiert werden. Man werde sich in der Prüfung am Ort allein darauf konzentrieren, was durch Präsenz zusätzlichen Nutzen garantiert. Dabei wird es eine Rolle spielen, dass Unternehmen ihre Prozesse mit den Erfahrungen aus der Pandemie weiter digitalisieren und nicht zum Status quo vor Corona zurückkehren werden.

Grenzen der Remote-Prüfung sieht Lipske mit Blick auf die Frage, ob man für alle wichtigen Themen der internen Revision die notwendigen Prüfungsnachweise erstellen kann. Auf Basis dieser Belege muss sich der Verantwortliche ein Urteil bilden, um dann über weitere Handlungen und Maßnahmen entscheiden zu können. Die Beteiligten werden in manchen Fällen nicht darum herumkommen, bestimmte Originaldokumente direkt in physischer Anwesenheit in Augenschein zu nehmen, sagt Lipske. Manches Schreiben könne zwar in die Kamera gehalten oder per Briefpost angefordert werden, doch das sei bei besonders kritischen Themen nicht ausreichend zur Absicherung der Validität. Auch Inventar und Anlagebestand sollten vor Ort begutachtet werden.

Nicht zu unterschätzen sind nach Einschätzung der Berater indes auch die Eindrücke, die man aus Mimik und Körpersprache gewinnen kann. Es mache einen Unterschied, ob man in einem Team ein Gespräch persönlich führe und sich gemeinsam in einem Raum aufhalte oder sich über eine Videokonferenz zusammenschalte. Ob jemand nervös mit dem Fuß wippt oder sich unwohl in seiner Haut fühlt, ist erheblich deutlicher in physischer Anwesenheit zu erkennen. Die Körpersprache sei für das Prüfungsurteil nicht zu vernachlässigen.

Genauso nehme man am Ort kritisch wahr, in welchem Zustand die Gebäude sind, ob das Lager aufgeräumt ist, wie die Beschäftigten miteinander umgehen oder welchen Fuhrpark das Management unterhält. „Die Kultur eines Unternehmens ist ein enormer Erfolgsfaktor, inwieweit die Governance eines Unternehmens auch tatsächlich gelebt wird“, sagt Lipske. Das bleibe in einer Remote Audit etwas auf der Strecke.

Kommt es zu einer forensischen Prüfung, hält er es für unvermeidlich, dass die Beteiligten sich im persönlichen Gespräch gegenübersitzen. „Je kritischer etwas ist, desto mehr muss man es vor Ort in Augenschein nehmen“, fasst es Salewski zusammen.