Interne Kontrollen, SOX und die persönliche Haftung des CFO

# Interne Kontrollen, SOX und die persönliche Haftung des CFO

Am 25. Mai 2006 sprach eine Bundesjury in Houston Jeffrey Skilling in 19 Anklagepunkten und Kenneth Lay in 10 Punkten schuldig. Lay starb sechs Wochen später vor der Urteilsverkündung; Skilling verbüßte 12 Jahre in einem Bundesgefängnis. Das Urteil, das jeden amtierenden CFO umtreiben sollte, fiel jedoch vier Jahre früher: Scott Sullivan, CFO von WorldCom, bekannte sich des Wertpapierbetrugs schuldig, nachdem ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → 3,8 Milliarden Dollar an Leitungskosten als Vermögenswerte aktiviert hatte. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → saß fünf Jahre. Sein CEO, Bernie Ebbers, starb im Gefängnis. Der Sarbanes-Oxley Act von 2002 war die Antwort des Kongresses, und ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → tat etwas, was das amerikanische Gesellschaftsrecht davor selten getan hatte: ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → machte die Unterschrift des CFO und dessen Freiheit zum Pfand für die Zahlen.

Vierundzwanzig Jahre später, 2026, zählt diese Unterschrift noch immer. Allein in den letzten achtzehn Monaten hat die SEC Verfahren gegen Finanzvorstände bei Newell Brands, View Inc. und einer Reihe von SPAC-Sponsoren wegen Kontrollversagen und Zertifizierungsfragen eingeleitet. Die Bußgelder treffen das Unternehmen. Das strafrechtliche Risiko ist persönlich.

Warum SOX persönlich ist, und warum das alles verändert

Section 302 des Sarbanes-Oxley Act verlangt, dass CEO und CFO in jedem 10-Q und 10-KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen → persönlich bestätigen, dass sie den Bericht geprüft haben, dass ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → keine wesentlichen Falschangaben enthält, dass die Finanzberichte die Lage des Unternehmens zutreffend darstellen und, entscheidend, dass sie für die Einrichtung und Aufrechterhaltung interner Kontrollen verantwortlich sind und alle wesentlichen Schwächen gegenüber Abschlussprüfern und Audit Committee offengelegt haben.

Section 906 geht weiter. Eine wissentlich falsche Zertifizierung bringt bis zu 1 Million Dollar Geldstrafe und 10 Jahre Haft. Eine vorsätzlich falsche Zertifizierung: 5 Millionen Dollar und 20 Jahre. Das sind keine theoretischen Strafen. 2018 haben sich die CFO von Hertz, Elyse Douglas, und weitere Führungskräfte mit der SEC auf Rückforderungen nach SOX Section 304 verglichen, nachdem das Unternehmen Erträge von 235 Millionen Dollar aus den Jahren 2012-2014 neu ausgewiesen hatte. Douglas zahlte persönlich über 200.000 Dollar an Boni zurück, und sie wurde nie wegen Betrugs angeklagt. SOX 304 hat einen Aufhänger der strikten Haftung: Kommt es aufgrund von Fehlverhalten zu einer wesentlichen Neuausweisung, gibt der CFO die im betreffenden Zeitraum verdienten Boni heraus, *auch wenn der CFO das Fehlverhalten nicht begangen hat*.

Lesen Sie das zweimal. Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Vergütung wegen des Betrugs einer anderen Person verlieren, wenn die Neuausweisung mit Fehlverhalten im Unternehmen zusammenhängt. Genau so ist SOX gebaut: Es macht den CFO zur menschlichen Firewall.

Die drei Unterschriften, die Sie tatsächlich leisten

Wenn ein CFO ein 10-KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen → unterschreibt, gibt ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → drei verschiedene Bestätigungen ab, die viele Finanzvorstände vermischen:

1. Die Zahlen stimmen (Section 302(a)(2), (3)), zutreffende Darstellung, nicht nur GAAP-Konformität.

2. Die Kontrollen funktionieren (Section 302(a)(4) und Section 404), Disclosure Controls und ICFR sind wirksam ausgestaltet und im Einsatz.

3. Sie haben den Prüfern alles gesagt (Section 302(a)(5)), alle signifikanten Mängel, wesentlichen Schwächen und jeder Betrug mit Beteiligung des Managements sind offengelegt.

Am dritten Punkt enden Karrieren. Im SEC-Verfahren gegen View Inc. von 2023 ging es um einen CFO, der eine bekannte Problematik bei der Rückstellung für Garantieverpflichtungen dem Audit Committee nicht offengelegt haben soll. Das Unternehmen wies neu aus. Der CFO wurde persönlich angeklagt.

Das COSO-Framework: von der Bürokratie zum Betriebssystem

Das Framework des Committee of Sponsoring Organizations (COSO), zuletzt 2013 aktualisiert und derzeit in Überarbeitung zur Integration von Cyber und ESG für 2026, ist der De-facto-Standard für die Ausgestaltung der ICFR. Jeder Big-Four-Prüfer nutzt es. Jede PCAOB-Inspektion setzt es voraus. Wer COSO nicht flüssig spricht, kann keine Audit-Committee-Sitzung führen.

Das Framework hat fünf Komponenten und 17 Prinzipien. Lernen Sie die fünf. Wissen Sie, dass es die 17 gibt.

Die fünf Komponenten, was sie am Dienstag tatsächlich bedeuten

1. Kontrollumfeld. Das ist „tone at the top“, aber konkreter: Integrität, ethische Werte und Kompetenz der Menschen. Nach dem Wirecard-Zusammenbruch 2020, bei dem 1,9 Milliarden Euro Cash auf philippinischen Bankkonten einfach nicht existierten, zeigte die Aufarbeitung, dass EY drei Jahre lang keine unabhängige Bestätigung der Bankguthaben eingeholt hatte. Das Kontrollumfeld war verfallen, weil niemand mehr glaubte, dass die Kontrollen zählen. Wirecard-CEO Markus Braun verbüßt inzwischen eine mehrjährige Strafe; CFO Burkhard Ley wurde verhaftet.

2. Risikobeurteilung. Hier trifft COSO auf Ihr Enterprise-Risk-Register. Das Prinzip: Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen nicht kontrollieren, was Sie nicht als Risiko identifiziert haben. 2026, mit den nun in über 140 Jurisdiktionen operativen GloBE-Regeln der OECD (Pillar Two) und der CSRD-Berichterstattung im zweiten vollen Jahr für große EU-Einheiten, hat sich das Universum der Risiken in der Finanzberichterstattung deutlich erweitert. Wenn Ihre Risikobeurteilung seit der Einführung der Leasingbilanzierung nach IFRS 16 nicht aktualisiert wurde, ist sie veraltet.

3. Kontrollaktivitäten. Die eigentlichen Kontrollen, Abstimmungen, Genehmigungen, Funktionstrennung, Systemzugriffskontrollen. Sie teilen sich in präventive (Genehmigung von Bestellanforderungen) und aufdeckende (Abweichungsanalyse zum Monatsende).

4. Information und Kommunikation. Die Leitungen: wie Finanzdaten von den Quellsystemen über das Hauptbuch in die Offenlegungen fließen. Nach COVID, mit inzwischen dauerhaft remote durchgeführten Abschlussprozessen in den meisten Häusern, ist diese Komponente erneut unter Druck geraten. Die SEC-Leitlinie von 2024 zu KI-generierten Offenlegungen hat eine weitere Dimension hinzugefügt.

5. Überwachungsaktivitäten. Interne Revision, Selbstbeurteilungen des Managements, Continuous Controls Monitoring. Das ist es, was Ihnen sagt, ob die anderen vier funktionieren.

Walkthroughs, Key Controls und die 80/20-Regel der SOX-Compliance

Was Ihnen kein Lehrbuch sagt: SOX-Compliance heißt nicht, jede Kontrolle zu dokumentieren. Es geht darum, Key Controls zu identifizieren, typischerweise 150-400 in einem Mid-Cap, 800+ in einem großen multinationalen Konzern, die Risiken von Falschdarstellungen in signifikanten Konten und Offenlegungen wesentlich mindern.

Der Auditing Standard 2201 des PCAOB verlangt von Prüfern einen Top-down- und risikobasierten Ansatz. Ihre Aufgabe als CFO ist es, sicherzustellen, dass Ihr SOX-Team genauso arbeitet. Drei diagnostische Fragen für Montagmorgen:

• Wie viele Key Controls haben wir, und zeigt die Zahl nach oben oder nach unten? Über 500 in einem Mid-Cap deutet auf Over-Engineering und aufgeblähte Prüfungskosten hin. Unter 150 in einem komplexen multinationalen Konzern deutet auf einen zu engen Scope hin.
• Wie groß ist unser Remediation-Backlog? Offene Mängel, die älter als zwei Quartale sind, sind ein Warnsignal, das das Audit Committee sehen sollte.
• Wann haben wir zuletzt eine Fraud-Risk-Beurteilung speziell zur Umsatzrealisierung durchgeführt? Umsatz ist die Nummer 1 unter den Ursachen für Neuausweisungen, 36 % aller PCAOB-Restatement-Themen seit 2015.

Wenn Kontrollen versagen: die Anatomie einer wesentlichen Schwäche

Eine wesentliche Schwäche ist ein Mangel oder eine Kombination von Mängeln, bei der eine hinreichende Möglichkeit besteht, dass eine wesentliche Falschdarstellung nicht rechtzeitig verhindert oder aufgedeckt wird. Legen Sie eine in Ihrem 10-KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen → offen, und innerhalb von 48 Stunden passieren drei Dinge: Ihre Aktie fällt im Durchschnitt um 3-6 % (Audit Analytics, Daten 2024), Ihre D&O-Prämie steigt zur Erneuerung, und Ihre Prüfungshonorare erhöhen sich im Folgejahr um 15-30 %.

Der Fall Under Armour: ein Kontrollversagen in Zeitlupe

Zwischen Q3 2015 und Q4 2016 betrieben der damalige CFO von Under Armour, Chip Molloy, und die Finanzführung, was die SEC später „pull-forward“-Verkäufe nannte: 408 Millionen Dollar Umsatz wurden aus kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünftigen Quartalen in laufende Quartale vorgezogen, um Analystenerwartungen zu erfüllen. Im Mai 2021 verglich sich die SEC mit dem Unternehmen über 9 Millionen Dollar. Under Armour räumte kein Fehlverhalten ein.

Die Lehre liegt aber in der Kontrollgeschichte. Under Armours Kontrollen über Umsatzabgrenzung und die Erfassung von Kundenzugeständnissen waren nicht darauf ausgelegt, das Muster eines Management Override an der Spitze der Vertriebsorganisation zu erkennen. Die Kontrollen existierten auf dem Papier. Sie waren nicht für das tatsächliche Risiko ausgestaltet.

Das ist die Falle. Sie können ein vollständig dokumentiertes SOX-Programm, ein unqualifiziertes ICFR-Testat und dennoch ein wesentliches Kontrollversagen haben, weil die Kontrollen nicht auf die richtigen Risiken gerichtet waren. Die SEC hat seit den Leitlinien aus der SolarWinds-Ära 2020 klargemacht, dass Standardformulierungen bei Disclosure Controls dem MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßstab nicht genügen.

Die 154-Millionen-Dollar-Lektion von Macy's (2024)

Im November 2024 gab Macy's bekannt, dass ein einzelner Mitarbeiter über fast drei Jahre bis zu 154 Millionen Dollar an Lieferkosten durch fehlerhafte Buchungen verborgen hatte. Der Betrug wurde bei routinemäßigen Abstimmungsarbeiten entdeckt, nicht durch das Kontrollsystem. Macy's musste die Veröffentlichung der Q3-Zahlen verschieben, die Aktie fiel bei der Ankündigung um 3,5 %, und das Unternehmen setzte eine unabhängige Untersuchung an.

Auffällig: Das war kein Milliarden-Enron. Das war ein Mitarbeiter der mittleren Ebene, eine Kostenkategorie, fast drei Jahre unentdeckt. Die Kontrolllücke war einfach: unzureichende Prüfung von Buchungen unterhalb einer Wesentlichkeitsschwelle, die der Mitarbeiter kannte. Jeder CFO, der das liest, sollte fragen: Wo liegt unsere Schwelle für die Prüfung manueller Buchungen, und sagt uns das Täterprofil aus der Betrugsliteratur, dass unsere Schwelle zu hoch ist?

Das Playbook für Montagmorgen

Theorie ist billig. Hier ist, was ein CFO tatsächlich tut, damit SOX eine gelebte Disziplin ist und kein Compliance-Häkchen.

1. Übernehmen Sie die Sub-Certification-Kaskade

Section 302 verlangt Ihre Unterschrift. Aber Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen nicht alles persönlich verifizieren. CFOs mit Best Practice betreiben eine Sub-Certification-Kaskade: Jeder Controller, jeder Finanzverantwortliche einer Geschäftseinheit und jeder Owner eines Schlüsselprozesses unterzeichnet quartalsweise eine Sub-Zertifizierung, die sich zu Ihrer verdichtet. Die Sub-Zertifizierung sollte explizite Fragen enthalten: Ist Ihnen Betrug bekannt? Kontrollversagen? Management Override? Nahestehende-Parteien-Transaktionen, die noch nicht offengelegt sind?

Wenn Sie 302 ohne eine Sub-Cert-Pyramide unter sich unterschreiben, sind Sie exponiert.

2. Führen Sie quartalsweise Disclosure Committees

Die SEC verlangt Disclosure Controls and Procedures (DCPs), die Kontrollen darüber, was *gesagt* wird, nicht nur darüber, was *gezählt* wird. Eine Sitzung des Disclosure Committee vor jeder Einreichung, mit Legal, IR, FP&A, technischer Rechnungslegung und interner Revision, ist heute Standard. Protokolle sollten geführt werden. Entscheidungen sollten dokumentiert werden.

3. Testen Sie den Whistleblower-Kanal unter Druck

Section 301 verlangt einen anonymen Meldeweg für Anliegen zur Rechnungslegung. Das Whistleblower-Programm nach Dodd-Frank hat seit 2012 über 2 Milliarden Dollar an Hinweisgeber ausgezahlt, mit Prämien von bis zu 279 Millionen Dollar. Die Daten der SEC zeigen, dass Hinweise inzwischen die größte Einzelquelle für Enforcement-Verfahren bei Bilanzbetrug sind. Wenn Ihre Hotline im vergangenen Jahr in einem Unternehmen mit 10.000 Mitarbeitenden null Hinweise erhalten hat, haben Sie ein Kulturproblem, keine saubere Bilanz.

4. Verlangen Sie eine echte Wesentlichkeitsdiskussion

SAB 99 und SAB 108 verlangen quantitative und qualitative Wesentlichkeitsbeurteilungen. CFOs, die das vollständig an den Controller delegieren, verpassen einen der ermessensintensivsten Bereiche der Finanzberichterstattung. Ein Fehler von 5 Millionen Dollar kann gegen ein Jahresergebnis von 500 Millionen Dollar quantitativ unwesentlich sein, qualitativ aber wesentlich, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → einen Verlust in einen Gewinn verwandelt, einen Kreditcovenant berührt oder die Vergütung des Managements beeinflusst.

5. Bringen Sie die D&O-Versicherung in Ordnung

2026, mit steigendem cyberbedingtem Restatement-Risiko und weiterhin erhöhten Einreichungsquoten von Securities Class Actions gegen Finanzvorstände, sollte Ihre D&O-Deckung jährlich gegen Ihre persönliche Exponierung nach SOX 302, 304, 906 und der erweiterten Clawback-Regel der SEC nach Section 10D-1 (geltend für Geschäftsjahre, die nach Oktober 2023 beginnen) überprüft werden. Side-A-Deckung, die