Inhaltsübersicht I. Begriff und Nutzen II. Ausgestaltung III. Besonderheiten der Prüfung I. Begriff und Nutzen 1. Begriff Aufgrund der Unsicherheit künftiger Entwicklungen ist jede unternehmerische Aktivität mit Chancen und Risiken verbunden. Risikomanagement dient dazu, „ Risiken bewusst und zielorientiert einzugehen und die eingegangenen Risiken zu kontrollieren, zu steuern und zu limitieren “ (Biermann, 1998, S. 5). Allgemeine Beachtung erfuhr das Risikomanagement durch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), das die Verantwortung der mit der Kontrolle der Unternehmen befassten Personen präzisierte. Gegenstand und Umfang der Pr durch den AP, die Berichtspflichten des Unternehmens im (Konzern-)Lagebericht sowie des AP im Prüfungsbericht wurden entsprechend ausgerichtet. Der Vorstand muss ein Risikofrüherkennungssystem einrichten und über Risiken der künftigen Entwicklung im Lagebericht berichten; der AR hat dies mit Unterstützung des AP zu überwachen. Hierzu muss der AP bei seiner Jahresabschlussprüfung auch das RFS und die Risikoberichterstattung im Lagebericht untersuchen und hierüber im Prüfungsbericht an den AR berichten. Der Begriff „ Risikomanagementsystem “ wird nicht einheitlich verstanden, oft werden die Begriffe Risikomanagement- und Risikofrüherkennungssystem synonym verwendet. Im Folgenden soll das Risikofrüherkennungssystem i.S.d. § 91 II AktG als Teil eines umfassenden Risikomanagementsystems verstanden werden. Nach dem durch das KonTraG neu eingeführten § 91 II AktG hat der Vorstand jeder AG „ geeignete Maßnahmen zu treffen, insbes. ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden “ . Diese geeigneten Maßnahmen, die hier als RFS bezeichnet werden, betreffen (nur) die Organisationspflichten des Vorstandes zur Einrichtung eines RFS, nicht auch die Maßnahmen zur Risikobewältigung (IDW PS 340.4, 340.6). Das um die Risikobewältigungsmaßnahmen ergänzte RFS soll als Risikomanagementsystem bezeichnet werden. Die Risikobewältigung kann in der Risikoüberwälzung auf Dritte, der Risikoverminderung oder der Risikovermeidung bestehen. Auch das bewusste Selbsttragen eines Risikos ist eine Form der Risikobewältigung, wenn dieses Risiko bei allen Folgeentscheidungen berücksichtigt wird. Im Folgenden wird nur das RFS behandelt, weil sich die Prüfungspflicht des AP nach § 317 IV HGB nur hierauf bezieht. 2. Nutzen Ein RFS bietet der Unternehmensleitung fundierte Entscheidungsgrundlagen. Dies korrespondiert mit der im KonTraG nach § 147 II AktG vereinfachten Möglichkeit, den Vorstand für Fehlentscheidungen haften zu lassen. Zwar steht Vorständen für unternehmerische Entscheidungen ein haftungsfreier Ermessenspielraum zu, weshalb die Geschäftsführung, insbes. die Maßnahmen zur Risikobewältigung, i.d.R. nicht Gegenstand der Abschlussprüfung sind. Unternehmerische Entscheidungen müssen aber ausreichend vorbereitet und ihre Wirkungen überwacht werden, ansonsten kann sich eine persönliche Haftung nach den §§ 76, 93, 91 II AktG ergeben. Daher gehört die Einrichtung und Überwachung eines RFS zu den haftungsbewährten Vorstandspflichten, die Überwachung der Einrichtung zu denen des AR. Entsprechend muss der AP als „ Assistent des Aufsichtsrates “ das RFS bei amtlich notierten AG nach § 317 IV HGB ansonsten insoweit prüfen, wie dies zur Beurteilung der Fortbestandsprognose sowie der im Lagebericht erforderlichen Berichterstattung über künftige Risiken notwendig ist. Die regelmäßige, systematische Früherkennung und Berichterstattung von Risiken kann den Entscheidungsprozess im Unternehmen wesentlich fördern. Einerseits bilden die identifizierten Risiken eine zusätzliche Entscheidungsgrundlage, andererseits werden die mit einer Entscheidung möglicherweise verbundenen Risiken antizipiert und explizit bei der Entscheidungsfindung berücksichtigt. Entsprechend ermöglicht ein RFS neben der Sicherung des Unternehmens auch eine Steigerung seines Marktwertes sowie eine Reduzierung der Volatilität des Jahresergebnisses bzw. des Cashflows (Glaum, /Förschle, 2000). Während im angelsächsischen Raum diese Zwecke der Erhöhung des Shareholder Value dominieren, will das KonTraG – ausgelöst durch größere Unternehmenskrisen – durch die Verbesserung des Systems der Unternehmensüberwachung vor allem den Fortbestand der Unternehmen sichern (Stakeholder-Ansatz). II. Ausgestaltung 1. Allgemeines Zentraler Teil des RFS nach § 91 II AktG ist die Früherkennung fortbestandsgefährdender Entwicklungen. Je nach Unternehmensgröße, -art und -struktur bilden ein Internes Kontrollsystem (IKS), eine Interne Revision oder das Controlling Elemente des RFS. Die konkrete Ausgestaltung des RFS hat unter Berücksichtigung des Unternehmensziels sowie der jeweiligen Größe, Branche und Komplexität des Unternehmens, seiner Organisation, seiner Risikosituation und ggf. auch seiner finanziellen Lage zu erfolgen. Sie hängt ferner von der Definition des „ Risikos “ ab, die mangels gesetzlicher Vorgaben (BT-Drs. 13/9712) im Wege der Auslegung anhand des Gesetzeszwecks unter Beachtung betriebswirtschaftlicher Gesichtspunkte zu ermitteln ist (Lück, 1999). Da das KonTraG vor allem den Fortbestand des Unternehmens sichern will (oben I.2.), ist ein Risiko zumindest „ die Möglichkeit ungünstiger künftiger Entwicklungen “ (IDW PS 340.3). Betriebswirtschaftlich wird auch das Nichterkennen von Chancen als Risiko gesehen (Baetge, J./Schulze, 1998). Obwohl auch ein auf Chancen gerichtetes RFS aus vielen Gründen empfehlenswert ist, ist gesetzlich verpflichtend wohl nur die Ausrichtung auf negative Zielabweichungen (Brebeck, /Hermann, 1997). Zur Erfüllung der Anforderungen des § 91 II AktG genügt es zunächst, wenn das RFS die systematische Erfassung und Steuerung aller bestandsgefährdenden Risiken ermöglicht. Bestandsgefährdend sind Risiken, die eine Überschuldung oder Illiquidität auslösen können (Giese, 1998). Diese Definition, nach der bereits relative Nettovermögensminderungen gegenüber dem erwarteten Wert und nicht erst ein Jahresfehlbetrag ein Risiko sind (Baetge, J./Schulze, 1998), wird im Folgenden zugrunde gelegt. In der Praxis orientieren sich Grenzwerte oft am bilanziellen Eigenkapital (Eggemann, /Konradt, 2000). Da einzeln betrachtet nicht unwesentliche Risiken kumuliert oder in Wechselwirkung mit anderen bestandsgefährdend werden können, sind auch sie in das RFS einzubeziehen. Ferner sollte berücksichtigt werden, dass infolge der Änderungen des HGB durch das KonTraG im Lagebericht nunmehr eine Berichterstattung über wesentliche Risiken der künftigen Entwicklung zu erfolgen hat. Um die Vollständigkeit dieser Berichterstattung zu gewährleisten, ist es erforderlich oder zumindest zweckmäßig, das RFS nicht nur auf bestandsgefährdende, sondern auch auf wesentliche Risiken auszurichten. Die Überwachung dieser Risiken muss systematisch sein. Dies bedeutet, dass idealerweise in einem sog. Regelkreislauf (unten II.3.) alle Risikofelder dauerhaft erfasst werden. Die in vielen Gesellschaften historisch gewachsenen „ Insel “ -Lösungen, die nur klassische Risiken wie Markt- und Kreditrisiken erfassen, sind daher auszuweiten und zu vernetzen. Hierüber hinaus muss ein RFS auch bisher nicht absehbare Risiken bspw. auf neu entstehenden Risikofeldern ebenso erfassen können wie Risiken, die sich im Zeitablauf verändern und erst hierdurch bestandsgefährdend oder wesentlich i.S.d. Lageberichts werden. 2. Geltungsbereich Die Einrichtung eines RFS wird zusehends ein rechtsformunabhängiger Grundsatz ordnungsmäßiger Geschäftsführung (Böcking, /Orth, C. 1999). § 91 II AktG gilt zwar nur für AG – unabhängig von deren Größe und Prüfungspflichtigkeit – , jedoch müssen z.B. Kredit- und Finanzdienstleistungsinstitute – rechtsformunabhängig – nach § 25a I Nr. 1 KWG über ein RFS verfügen; gleiches gilt für Unternehmen, die der Prüfungspflicht nach § 53 HGrG unterliegen (IDW PS 720). Da § 91 II AktG die allgemeine Leitungsaufgabe des Vorstands präzisiert (oben I.1.,2.), bildet er einen Sorgfaltsmaßstab, dem sich jedenfalls GmbH-Geschäftsführer nicht entziehen können, weil für sie grundsätzlich dieselben Sorgfaltspflichten wie für Vorstandsmitglieder einer AG gelten (Klar, 1997). Zumindest die GmbH muss damit ein RFS haben (BT-Drs. 13/9712). Ferner muss die Leitung des Mutterunternehmens eines Konzerns im Rahmen ihrer Überwachungs- und Organisationspflichten und gesellschaftsrechtlichen Informations- und Einflussmöglichkeiten sicherstellen, dass in ihr RFS die nachgeordneten Konzernunternehmen einbezogen sind (BT-Drs. 13/9712). I.d.R. genügt ein einheitliches System, um die Belange der Konzernunternehmen und des Mutterunternehmens zu erfüllen. Aus Konzernsicht muss das RFS gewährleisten, dass für die Konzernspitze wesentliche Risiken bei den Konzernunternehmen so früh erkannt werden, dass die Konzernleitung wirksam reagieren kann. Die Verpflichtung der Geschäftsleitung nachgeordneter Konzerngesellschaften, ein eigenes RFS einzurichten, dessen Bezugsgröße die Wesentlichkeitsgrenze bzw. Bestandsgefährdung dieser Unternehmen ist, bleibt hiervon unberührt. 3. Regelkreislauf Die wesentlichen Elemente eines RFS sind die Risikoanalyse, die Risikokommunikation und die Überwachung (IDW PS 340.4.). Diese sollten in einem Regelkreislauf angeordnet sein, der permanent durchlaufen wird (Lück, 1998). Die Risikobewältigung, die nicht zu den Maßnahmen des § 91 II AktG zählt, ergänzt das RFS zu einem umfassenden Risikomanagementsystem. Sie ist in der Praxis Teil des Regelkreislaufs. Das RFS ist entsprechend der Größe und Komplexität des Unternehmens angemessen zu organisieren und zu dokumentieren, um personenunabhängig, unternehmens- bzw. konzernweit und dauerhaft funktions- und prüffähig zu sein. Dies kann bspw. durch Organisationspläne, Risikohandbücher oder Risikorichtlinien geschehen. Die Dokumentation dient auch dem Nachweis der Erfüllung der Pflichten der Geschäftsleitung. Für die Wirksamkeit des RFS sind die im Unternehmen vorhandene Risikokultur und Risikopolitik sowie das Risikobewusstsein der Mitarbeiter entscheidend. Risikofrüherkennung ist Aufgabe eines jeden Mitarbeiters in seinem Bereich. Daher sollten für die einzelnen Aufgaben hierarchisch abgestufte Verantwortlichkeiten definiert werden. Die Geschäftsleitung sollte zunächst ein entsprechendes Steuerungsumfeld schaffen und die Risikokultur fördern. Dies geschieht, indem den Mitarbeitern die Unternehmensziele und zugehörigen Erfolgsfaktoren sowie die Notwendigkeit der Risikofrüherkennung bspw. in Workshops vermittelt werden. a) Unternehmensziele und Erfolgsfaktoren Die unternehmenspolitischen Zielsetzungen (z.B. Rentabilitäts- und Cashflow-Ziffern, Marktanteilsquoten) und die zugehörigen kritischen Erfolgsfaktoren sind die Basis einer systematischen Risikofrüherkennung, weil Risiken mögliche negative Abweichungen der Handlungsergebnisse von den Handlungszielen sind. Die Unternehmensleitung legt das Chance-/Risikoverhältnis bzw. den Wagnisgrad in ihrer Unternehmensstrategie fest. Die Unternehmensziele und zugehörigen Erfolgsfaktoren werden top-down kommuniziert und präzisiert, indem für jede Unternehmensebene aus den Oberzielen entsprechende Unterziele abgeleitet werden. Diese für alle Unternehmensbereiche und Hierarchieebenen definierten Maßstäbe sind Grundlage für die Identifikation von wesentlichen und bestandsgefährdenden Risiken der jeweiligen Organisationseinheit. b) Risikoanalyse Die Geschäftsleitung muss jederzeit über eine aktuelle und vollständige Übersicht aller wesentlichen und bestandsgefährdenden Risiken verfügen. Dies bedingt eine systematische und laufende Risikoanalyse des Unternehmens, insbes. seiner Geschäftsabläufe. Das gesamte Unternehmen einschließlich sämtlicher betrieblicher Prozesse und Funktionsbereiche sowie Hierarchiestufen ist auf wesentliche und fortbestandsgefährdende Risiken zu untersuchen. Die Risikoanalyse sollte in die einzelnen Geschäftsabläufe integriert werden und zugleich Bestandteil des allgemeinen Steuerungsinstrumentariums des Unternehmens sein. Das Management gibt die Informationsgewinnungsverfahren vor und benennt in den jeweiligen Unternehmensbereichen Hauptverantwortliche für die Risikoidentifikation. Mögliche Methoden zur Identifikation von Risiken sind bspw. Analyseverfahren, Befragungen, Benchmarking, Dokumenten-Analysen, Risiko-Fragebögen und Risiko-Workshops. Mit ihrer Hilfe können die bekannten Risiken zunächst inventarisiert, dann können Risikobereiche abgegrenzt und einzelne Risiken in überschaubare Subrisiken gebrochen werden, über die dann laufend Informationen zu erheben sind. Die Risikolandschaft eines Unternehmens hängt bspw. von der Branche und der Markstellung ab. Es können u.a. interne und externe oder strategische und operative Risiken unterschieden werden. Interne Risiken resultieren aus Faktoren wie Personal, Sachmittel und Organisation, wohingegen externe Risiken auf Faktoren wie den Verhältnissen am Beschaffungsmarkt oder den rechtlichen und politischen Rahmenbedingungen beruhen. Letztere sind vom Unternehmen meist nur eingeschränkt beeinflussbar. Strategische Risiken bestehen darin, die falsche Unternehmensausrichtung zu wählen; operative Risiken in Sachverhalten, die negative Auswirkungen auf die bestehenden Geschäftsprozesse haben können. Um Risiken frühzeitig zu erkennen, lassen sich für vordefinierbare Risiken jedenfalls im operativen Bereich Frühwarnindikatoren (Lück, 1999) festlegen. Anhand solcher finanziellen wie nicht-finanziellen Kennzahlen können bestimmte Risiken permanent daraufhin überwacht werden, ob sie sich im vordefinierten Toleranzbereich befinden (zum Konzept der Balanced Scorecard Kaplan, /Norton, 1997). Dies ermöglicht eine zeitgerechte Risikoidentifikation. Beispiele für mögliche Frühwarnindikatoren sind etwa die Ausschussquote in der Produktion, die Investitionsquote oder der Marktanteil. Nicht vordefinierbare Risiken können hingegen nur rechtzeitig identifiziert werden, wenn die Mitarbeiter „ wachsam “ und geschult sind. Die Risikobewertung dient dazu, unwesentliche von wesentlichen oder bestandsgefährdenden Risiken abzugrenzen und Handlungsbedarfe zu identifizieren. Der Handlungsbedarf richtet sich neben dem voraussichtlichen Eintrittszeitpunkt eines Risikos wesentlich nach seinem Erwartungswert, also dem Produkt von Eintrittswahrscheinlichkeit und möglicher Schadenshöhe (IDW PS 340.10). Hierbei sind Risikointerdependenzen, insbes. Kumulationen und Wechselwirkungen, zu berücksichtigen. Dies sollte auf der jeweils übergeordneten Unternehmensebene geschehen, weil nur hier beurteilt werden kann, ob sich einzelne Risiken aufheben, verstärken oder unabhängig voneinander verhalten. Die Bewertung der Risiken ist zunächst brutto vorzunehmen. In einem zweiten Schritt sind die beabsichtigten oder eingeleiteten Maßnahmen zur Risikobewältigung einzubeziehen, die Risiken werden netto bewertet. Ergibt sich ein Restrisiko, bestimmt dessen Höhe die weiteren Maßnahmen zur Risikobewältigung. Chancen dürfen nicht kompensierend berücksichtigt werden. Die Brutto-Bewertung stellt sicher, dass die übergeordnete Entscheidungsebene über Risiken informiert wird, die erhebliche Auswirkungen auf das Unternehmen haben können, wenn die prognostizierten Wirkungen der Risikobewältigungsmaßnahmen nicht oder nicht im erwarteten Umfang eintreten. Zur Unterstützung der Ermittlung des möglichen Risikoerwartungswertes und damit der Auswirkungen eines Risikos für das Unternehmen können bspw. Szenariorechnungen, Sensitivitätsanalysen oder Risikosimulationen (etwa mittels der Monte-Carlo-Methode) durchgeführt werden. Zeitpunkt und Umfang der Verfahren sind von der Art des spezifischen Risikos abhängig, bspw. kann das Betriebsrisiko im Chemiebereich nur durch eine kontinuierliche, konzernweite Überwachung und Analyse von Fehlern erfasst und gesteuert werden. Das Kalkulationsrisiko für Großprojekte in der Bauwirtschaft umfasst hingegen vor allem hohe technische Anfangs-(Verzögerungen) und später Gewährleistungsrisiken (Vertragsrisiken), die wirksam nur vor Projektbeginn durch umfangreiche audits erfasst und gesteuert werden können. Die jeweiligen Verfahrensweisen sollten in einer konzernweit verbindlichen Risikorichtlinie festgelegt werden. Insbesondere in Konzernen ist zumindest die Einordnung der Risiken in fest definierte Wertklassen unverzichtbar, da sonst eine Aggregation der Einzelrisiken der einzelnen Konzernunternehmen auf Ebene des Mutterunternehmens kaum möglich ist. Die Wesentlichkeitsgrenzen sind in jedem Konzernunternehmen individuell zu definieren, weil ein Risiko mit einer bestimmten Schadenshöhe für ein kleineres Konzernunternehmen wesentlich oder bestandsgefährdend, für ein größeres Konzernunternehmen hingegen noch unbedeutend sein kann. Rein qualitative Risikobewertungen (bspw. niedrig, mittel, hoch) reichen nicht, weil Risiken nur anhand von konkreten Wertgrößen auf der nächsthöheren Konzernebene sinnvoll zusammengefasst und in ihren möglichen Auswirkungen bewertet werden können. c) Risikokommunikation Die Risikokommunikation sichert den Informationsfluss. Die Berichtswege und -abläufe müssen gewährleisten, dass die Entscheidungsträger auf erkannte Risiken rechtzeitig reagieren können. Insbes. Informationen über bestandsgefährdende Risiken müssen zeitnah zur Geschäftsführung gelangen. Sinnvollerweise wird das schriftliche Risikoreporting in die allgemeinen Reportingprozesse und ein umfassendes Management-Informations-System integriert. Hiervon und von der Kommunikationsbereitschaft der betroffenen Mitarbeiter hängt die Wirksamkeit der Risikokommunikation und damit des gesamten RFS entscheidend ab. Der Berichtsrhythmus kann vom jeweiligen Erwartungswert eines Risikos abhängig gemacht werden. Risiken, die häufigen Veränderungen unterliegen, bedürfen tendenziell einer häufigeren Berichterstattung als konstante Risiken. Nicht vordefinierbare Risiken werden durch eine Ad hoc-Publizität erfasst. Auslöser einer Risikomeldung können unternehmensspezifische Schwellenwerte (quantitative Wertgrößen), aber auch andere Kriterien sein (Vogler, /Gundert, 1998). Anhand dieser Werte kann auch der Berichtsadressat festgelegt werden. Der übergeordnete Risikoverantwortliche muss eine Gesamtsicht der Risikosituation gewinnen, indem er die Vollständigkeit der Risikoinformationen überprüft und Risikointerdependenzen analysiert. Dieser Prozess erstreckt sich über alle Unternehmensbereiche, in Konzernen führt er bis zur Geschäftsführung des Mutterunternehmens. d) Überwachung Das RFS muss kontinuierlich angewendet werden und sich den ständig wandelnden internen wie externen Bedingungen permanent anpassen, um dauerhaft funktionsfähig zu sein. Die Maßnahmen zur Risikoidentifikation, Risikobewertung und Risikokommunikation sowie der umfassende Einsatz des RFS müssen daher regelmäßig überwacht werden. Die Überwachung kann mittels laufender, in die normalen betrieblichen Abläufe integrierter, prozessabhängiger, oder mittels prozessunabhängiger Überwachungsmaßnahmen geschehen (Lück, 1999). Letztere werden regelmäßig durch die Interne Revision wahrgenommen (Brebeck, 2001), die insbes. die Eignung des Systems zur Frühwarnung beurteilt (Amling, /Bischof, 1999). Existiert keine Interne Revision, sind die entsprechenden Überwachungsvorgänge durch andere geeignete Personen zu gewährleisten; dies können auch externe Dienstleister sein (Scharpf, 1997). III. Besonderheiten der Prüfung 1. Allgemeines Die Pr des RFS ist wie seine Ausgestaltung aufgrund der individuellen Risikolandschaften ebenfalls unternehmensindividuell. Selbst bei Unternehmen einer Branche sind erhebliche Unterschiede feststellbar. Auch die Bestimmung der Wesentlichkeitsgrenzen zur Abgrenzung bestandsgefährdender und wesentlicher Risiken ist unternehmensindividuell. Daher ist das analytische Urteilsvermögen des AP bei der Pr des RFS in besonderem Maße gefragt. 2. Prüfungsanlässe RFS werden vom AP aufgrund einer gesetzlichen Pflicht, einer freiwilligen vertraglichen Erweiterung der Jahresabschlussprüfung oder aufgrund eines Sonderauftrags geprüft. Ferner kann die risikoorientierte Pr des JA und Lageberichts es erfordern, das RFS zu untersuchen (mittelbare Pr – Brebeck, /Förschle, 1999). Ausdrücklich verpflichtet § 317 IV HGB nur den AP von AG, die Aktien mit amtlicher Notierung ausgegeben haben, zur Pr, ob der Vorstand die ihm nach § 91 II AktG obliegenden Maßnahmen in geeigneter Form getroffen hat und ob das danach einzurichtende Überwachungssystem seine Aufgaben erfüllen kann. Die Norm ist nicht analogiefähig (Klar, 1997), ihr unterliegen somit weder AG, deren Aktien am Geregelten Markt oder im Freiverkehr gehandelt werden, noch Gesellschaften anderer Rechtsform. Nur bei der nach § 53 HGrG und § 53 GenG angeordneten Pr der Ordnungsmäßigkeit der Geschäftsführung ist auch das RFS zu prüfen (Böcking, /Orth, C. 1998a; IDW PS 720). Gem. § 321 I Satz 3 HGB hat der AP über schwerwiegende Gesetzesverstöße der gesetzlichen Vertreter des Unternehmens, die er „ bei Durchführung der Pr “ feststellt, zu berichten. Die Nichteinrichtung eines RFS ist für alle Gesellschaften, die ein RFS einrichten müssen (oben II. 2.), ein schwerwiegender Gesetzesverstoß, der nach § 321 I Satz 3 HGB im Vorweg-Abschnitt des Prüfungsberichts aufzuzeigen ist. Da derartige Verstöße bei der Abschlussprüfung nicht gezielt zu suchen sind, besteht nach § 321 I Satz 3 HGB aber keine Pflicht zur Pr des RFS. Eine Prüfungspflicht des RFS kann sich bei der Pr der der Erstellung des Jahresabschlusses zugrunde liegenden Fortbestandsprognose ergeben. Der AP muss im Wege einer Plausibilitätsprüfung untersuchen, ob alle verfügbaren Informationen verwendet wurden, die grundlegenden Annahmen realistisch und widerspruchsfrei sind sowie die Prognoseverfahren richtig gehandhabt wurden. Dies umfasst die Beurteilung der Vollständigkeit der aus dem RFS stammenden, der Fortbestandsprognose zugrunde liegenden Informationen. Meist erfordert die Pr der Angemessenheit der Fortbestandsprognose aber nur eine überblicksartige Pr des RFS. Eine umfassende Prüfungspflicht des RFS ergibt sich eher bei der Pr der im Lage- bzw. Konzerlagebericht nach § 289 I bzw. § 315 I HGB von den gesetzlichen Vertretern abzugebenden Beurteilung der Risiken der künftigen Entwicklung (Risikobericht). Berichtspflichtig sind nur wesentliche Risiken, also solche, die entweder bestandsgefährdend sein oder zumindest die Vermögens-, Finanz- und Ertragslage wesentlich beeinflussen können. Sie sind im Risikobericht so aufzuführen, zu erläutern und zu quantifizieren, dass der Adressat ihre Eintrittswahrscheinlichkeit abschätzen kann (Baetge, J./Schulze, 1998). Entsprechend fordert § 317 II Satz 2 HGB vom AP die Pr, ob die Risiken der künftigen Entwicklung im Lagebericht „ zutreffend “ dargestellt, also vor allem vollständig und plausibel sind (Böcking, /Orth, C. 1998a). Da die Ermittlung und Analyse dieser Risiken meist mittels eines RFS nach § 91 II AktG erfolgt (Baetge, /Linßen, 2000), muss sich der AP ein Verständnis dieses Systems verschaffen und seine Angemessenheit und Wirksamkeit untersuchen. Die Pr des Lageberichts erfordert damit zumindest eine (Grob-) Analyse des RFS (Schindler, /Rabenhorst, 1998). Der Umfang der erforderlichen Prüfungshandlungen hängt u.a. davon ab, ob im Lagebericht eine Brutto- oder eine Nettodarstellung der Risiken gewählt wird (oben II.3.b.). Bei einer Nettodarstellung muss zusätzlich zur Vollständigkeit beurteilt werden, ob die beschriebenen Risikobewältigungsmaßnahmen tatsächlich ergriffen wurden und geeignet sind, die Risikoauswirkungen wie beschrieben zu verringern. Erklärt ein Unternehmen im Lagebericht über die Pflichtangaben nach § 289 HGB hinaus, es verfüge über ein geeignetes und wirksames RFS nach § 91 II AktG, bewirkt dies – unabhängig vom Bestehen einer Prüfungspflicht nach § 317 IV HGB – dessen vollumfängliche Pr. Denn nach den §§ 317, 321 und 322 HGB sind auch alle freiwilligen Angaben im Lagebericht uneingeschränkt in die Pr einzubeziehen (IDW PS 350.4 u. 350.6). Daher müssen auch im Lagebericht – zulässigerweise (Dörner, /Bischof, 1999) – dargestellte Chancen der künftigen Entwicklung zumindest auf Plausibilität geprüft werden. Schließlich kann die Pr des RFS auch freiwillig mit dem AP vereinbart werden. Dies geschieht oft bei Unternehmen, bei denen keine unmittelbare gesetzliche Pflicht zur Pr des RFS existiert, die aber dennoch zu dessen Einrichtung verpflichtet sind. Der Prüfungsauftrag für Pflichtprüfungen oder für freiwillige Prüfungen des Jahresabschlusses wird hierdurch um die Pr des RFS erweitert (IDW PS 340.2); im Zweifel sind freiwillige Prüfungen Teil der Jahresabschlussprüfung (Gelhausen, H.-F. 1999). Entsprechend gelten die Grundsätze und Maßstäbe der gesetzlichen Pflichtprüfung (§ 317 IV HGB) uneingeschränkt. Auch muss über die Pr nach § 321 IV HGB analog in einem besonderen Teil des Prüfungsberichts berichtet werden (IDW PS 450.16). 3. Prüfungsgegenstand, -art, -umfang Die Verpflichtung zur Pr des RFS steht im Einklang mit der Weiterentwicklung des risikoorientierten Prüfungsansatzes zum geschäftsrisikoorientierten Prüfungsansatz bzw. vom financial audit zum business audit. Die Elemente des geschäftsrisikoorientierten Prüfungsansatzes sind die Basis der Pr des RFS. Diese ist eine Systemprüfung und keine Geschäftsführungsprüfung (IDW PS 340.19). „ Seitens des Abschlussprüfers kann lediglich eine Beurteilung über die Fähigkeit zur Aufdeckung wesentlicher Risiken erfolgen bzw. gefordert werden “ (Böcking, /Orth, C. 1998b, S. 360). „ Die Reaktionen des Vorstands auf erfasste und kommunizierte Risiken selbst sind nicht Gegenstand der Maßnahmen i.S.d. § 91 II AktG und damit auch nicht Gegenstand der Pr nach § 317 IV HGB. Ebenso gehört die Beurteilung, ob die von den nachgeordneten Entscheidungsträgern eingeleiteten oder durchgeführten Handlungen zur Risikobewältigung bzw. der Verzicht auf solche sachgerecht oder wirtschaftlich sinnvoll ist, nicht zur Pr des Risikofrüherkennungssystems “ (IDW PS 340.6). Bei der Pr des RFS nach § 317 IV HGB muss der AP feststellen, ob das System die Risikoanalyse (Identifikation und Bewertung), die Risikokommunikation und die Überwachung unternehmensweit und permanent für alle relevanten Risiken sicherstellt. Dies gilt auch, wenn zum Prüfungszeitpunkt keine wesentlichen oder bestandsgefährdenden Risiken bestehen. Auf Verbesserungsbedarf muss der AP – allerdings nicht konkret – hinweisen (§ 321 IV Satz 2 HGB). In Konzernen gehört die konzernweite Pr des RFS zur Pr des JA des Mutterunternehmens, nicht zu der des Konzernabschlusses, weil die Verantwortung für die konzernweite Einrichtung beim Vorstand des Mutterunternehmens liegt. „ Im Falle hinreichender fachlicher Kompetenz und beruflicher Qualifikation der Prüfer von Tochterunternehmen können deren Feststellungen aufgrund einer nach § 317 Absatz 4 HGB oder einer vertraglichen Erweiterung des Prüfungsauftrags durchgeführten Pr des Risikofrüherkennungssystems (vom AP des Mutterunternehmens) verwertet werden “ (IDW PS 340.37; der Klammerzusatz wurde ergänzt). Die Pr des RFS lässt den Prüfungsaufwand zwangsläufig ansteigen. Sie ist umfangreicher als die im Rahmen der Jahresabschlussprüfung vorzunehmende Pr des Internen Kontrollsystems (Böcking, /Orth, C. 1998b). Obwohl sie jährlich durchzuführen ist, darf der AP unter bestimmten Voraussetzungen auf vorherigen Prüfungsergebnissen aufsetzen und jährlich neue Prüfungsschwerpunkte entsprechend der jeweiligen Risikolage setzen (IDW PS 240.13). Systemveränderungen und wesentliche neue Geschäftsprozesse bzw. -felder müssen allerdings stets umfassend analysiert werden. Grundsätzlich kann der AP auch mit der Internen Revision zusammenarbeiten, sofern diese gewissen Qualitätsanforderungen entspricht (Brebeck, 2001). Bei der Pr nach § 317 IV HGB ist aber zu beachten, dass die Interne Revision Teil des RFS und daher selbst Prüfungsgegenstand ist. a) Prüfungsziele Das übergeordnete Ziel der Pr des RFS und der anschließenden Berichterstattung besteht darin, dem AR durch zusätzliche Informationen zur Risikolage und zum RFS verbesserte Kontrollmöglichkeiten zu geben (BT-Drs. 13/9712). Hierfür muss der Abschussprüfer feststellen, ob ein RFS besteht (Vorhandensein), ob es geeignet (Eignung) und ob es funktionsfähig ist (Wirksamkeit). Die hieraus fließenden Prüfungshandlungen umfassen die Prüfungsplanung, die Bestandsaufnahme, die Beurteilung der Eignung und der Wirksamkeit. Damit ist die Pr auf die Funktionsfähigkeit eines Systems ausgerichtet. b) Prüfungsplanung Die Planung der Pr des RFS in sachlicher, personeller und zeitlicher Hinsicht ist Bestandteil der allgemeinen Prüfungsplanung. Sie dient der ziel- und zeitgerechten sowie wirtschaftlichen Durchführung der Pr. Der AP soll zunächst ein umfassendes Bild des Unternehmens und dessen Umfeldes sowie einen groben Überblick über das RFS gewinnen. Dies dient u.a. der vorläufigen Einschätzung der Risikolage des Unternehmens (IDW PS 230). Wichtig sind bspw. die Vorgaben der Unternehmensleitung zur Risikofrüherkennung, die Unternehmensstrategie und branchentypische Risiken (IDW PS 230.7 i.V.m. Anhang). Informationen können bspw. durch Gespräche mit Führungskräften, Analysen finanzwirtschaftlicher Informationen, Betriebsbesichtigungen oder die Einsichtnahme in in- und externe Unterlagen beschafft werden. Die Prüfungsstrategie und das Prüfungsprogramm sind u.a. davon abhängig, inwieweit das RFS in die allgemeinen Geschäftsprozesse und Prozesse zur Unternehmensteuerung inklusive der strategischen und operativen Planung integriert ist (Integrationskonzept) oder parallel zu diesen zusätzlich (Separationskonzept) oder in einer Mischform etabliert wurde. Üblich sind aus Kosten- und Praktikabilitätsgründen Mischformen (Eggemann, /Konradt, 2000). Eigenständige Risikoausschüsse, Risk Manager oder bspw. eine gesonderte Systemdokumentation (Risikohandbuch) entsprechen dem Separationskonzept und erleichtern die Bestandsaufnahme sowie die Eignungsprüfung. Beim Integrationskonzept sind die jeweiligen Prozessverantwortlichen hingegen zugleich für die zugehörige Risikofrüherkennung verantwortlich, eine gesonderte Aufbauorganisation fehlt. Aufgrund dieser Einbindung existiert häufig keine geschlossene Dokumentation des RFS. Dies erschwert die Bestandsaufnahme und Eignungsprüfung. In der Praxis existieren eigenständige Systeme oft nur für spezielle Risikofelder, bspw. das Umwelt-, Qualitäts-, Sicherheits- oder Gesundheitsmanagement. I.d.R. sind nur sie dokumentiert, teilweise auch zertifiziert. Die Pr des RFS findet günstigstenfalls schwerpunktmäßig in einer Vor- oder Zwischenprüfung statt, weil ihre Ergebnisse dann der weiteren Pr des Jahresabschlusses und Lageberichts zugrunde gelegt werden können. In der Hauptprüfung sind dann vor allem zwischenzeitlich erfolgte Systemveränderungen und die vollständige und korrekte Erfassung der relevanten Risiken zum Abschlussstichtag zu untersuchen. c) Bestandsaufnahme Bei der Bestandsaufnahme muss der AP den in der Planungsphase gewonnenen Eindruck des RFS mittels Detailinformationen vertiefen, verifizieren und ggf. anpassen. Zu betrachten sind die - Unternehmensziele, - Risikopolitik, - das Risikobewusstsein aller betroffenen Mitarbeiter sowie - die Aufbau- und Ablauforganisation des RFS. Anhand dieser Informationen ist festzustellen, ob ein RFS nach § 91 II AktG besteht und ob es sich auf alle Unternehmensbereiche und -ebenen und im Konzern auch auf alle Konzernunternehmen erstreckt. Fehlt eine angemessene Dokumentation, hat der AP auf deren Erstellung hinzuwirken und sie notfalls selbst anzufertigen. Ob ein RFS ohne Dokumentation § 91 II AktG genügt, ist allerdings sehr zweifelhaft (Ludewig, 1998); ggf. kann mit dem Unternehmen vereinbart werden, dass der AP im Rahmen eines gesondert zu vergütenden Zusatzauftrags zur Abschlussprüfung als vorweggenommene Prüfungshandlung das Risikofrüherkennungssystem des Unternehmens vollständig aufnimmt und für den Mandanten hierüber eine Dokumentation erstellt. Selbst bei vollständiger Dokumentation muss der AP i.d.R. zusätzlich Befragungen der Geschäftsleitung und weiterer Mitarbeiter des Unternehmens durchführen, insbesondere um Informationen über die Unternehmensziele, die Risikopolitik und das Risikobewusstsein zu erhalten. d) Eignungsprüfung Aufbauend auf der Bestandsaufnahme des RFS hat der AP zu beurteilen, ob die festgestellten Maßnahmen zur Risikofrüherkennung geeignet sind, die gesetzlichen Anforderungen zu erfüllen. Das RFS ist unternehmens- bzw. konzernweit daraufhin zu analysieren, ob - die bestandsgefährdenden und sonstigen wesentlichen Risiken vollständig identifiziert werden, - die vom Unternehmen vorgenommene Bewertung der Risiken intersubjektiv nachvollziehbar ist, - die relevanten Risikoinformationen zeitgerecht (frühzeitig) an die Entscheidungsträger kommuniziert werden und ob - das RFS ausreichend überwacht wird. Die Durchführung dieser Prüfungshandlungen, insbes. der Umfang von Einzelfallprüfungen, hängt von der bestehenden Dokumentation ab. Fehlt diese, kann die unternehmens- bzw. konzernweit einheitliche Anwendung des RFS und damit seine Eignung insgesamt zweifelhaft sein. Ist das RFS in die Unternehmensprozesse integriert, kann oft zumindest auf eine Dokumentation des Instrumentariums zur Unternehmenssteuerung, bspw. eine Darstellung der Grundzüge des verfolgten Konzepts zur wertorientierten Unternehmensführung, zurückgegriffen werden. Der AP untersucht dann, ob und wie Risiken Eingang in den Prozess der strategischen und operativen Planung sowie das allgemeine Reporting finden. Zur Beurteilung der Vollständigkeit der Risikoidentifikation muss der AP untersuchen, ob alle relevanten internen wie externen Risikobereiche berücksichtigt werden. Dies bedingt eine gute Branchen- und Unternehmenskenntnis. Zudem ist zu beurteilen, ob geeignete Frühwarnindikatoren für die einzelnen Risikobereiche existieren und dauerhaft eingesetzt werden. Dies ist neben einem ausgeprägten Risikobewusstsein der Mitarbeiter sowohl für die Vollständigkeit der Risikoidentifikation als auch eine zeitgerechte Risikokommunikation wichtig. Eine hundertprozentige Sicherheit ist allerdings auch durch Frühwarnindikatoren, die selbst „ schwache Signale “ erfassen, nicht zu erreichen (Giese, 1998). Ferner muss der AP die Risikobewertung nachvollziehen und auf Plausibilität und Widerspruchsfreiheit prüfen. Das verwendete Prognosemodell muss sachgerecht und richtig gehandhabt, alle verfügbaren relevanten Informationen müssen verwendet und Interdependenzen berücksichtigt worden sein. Hierfür sind ihm Planungsrechnungen, Sensitivitätsanalysen, Szenariorechnungen u.Ä. offen zu legen. Um der jeder Bewertung innewohnenden Subjektivität Rechnung zu tragen, muss er feststellen, ob die Bewertung ermessensfehler- und willkürfrei ist. Der AP muss allerdings nicht „ die Schätzung der Unternehmensleitung durch seine eigene subjektive (nicht begründbare) Schätzung ? ersetzen “ (Giese, 1998, S. 456). Vom Unternehmen nicht quantifizierte Risiken sind durch zusätzliche Prüfungshandlungen einzustufen, um Gewissheit darüber zu erlangen, dass alle wesentlichen Risiken ordnungsgemäß erfasst worden sind. Die Eignung der Risikokommunikation bemisst sich danach, ob angesichts der aufbau- und ablauforganisatorischen Vorkehrungen alle relevanten Risiken vollständig und so frühzeitig an die Entscheidungsträger kommuniziert werden, dass diese wirksame Maßnahmen zur Risikobewältigung einleiten können. Hierfür sind die Kommunikationswege und -prozesse, insbesondere die Angemessenheit der Berichtsperiodizitäten im Vergleich zur Bedeutung des jeweiligen Risikos zu analysieren. Ferner muss die Notwendigkeit und ggf. Existenz einer Ad hoc-Publizität beurteilt werden. Schließlich sind die Prozesse der Überwachung des RFS daraufhin zu untersuchen, ob sie die Risikofrüherkennung fortwährend sicherstellen. Übernimmt die Interne Revision die Überwachungsfunktionen, ist auch sie Gegenstand der Pr des AP. Dann sind ihre personelle und qualitative Ausstattung sowie die ihr zugewiesenen Aufgaben bei der Risikofrüherkennung auf ihre Angemessenheit hin zu analysieren. Anhaltspunkte bietet vor allem ihr Prüfprogramm. Ergänzend sind die integrierten Kontrollen und sonstigen Maßnahmen (Managementkontrollen) zur Überwachung des RFS heranzuziehen. Abschließend muss der AP beurteilen, ob die Verantwortlichkeiten im RFS zweckentsprechend definiert wurden und von den Betroffenen „ gelebt “ werden. e) Wirksamkeitsanalyse Die Pr der Wirksamkeit des RFS vervollständigt die Pr des RFS. Sie dient der Feststellung, ob die Maßnahmen zur Risikofrüherkennung tatsächlich funktionsfähig sind und ob sie kontinuierlich und unternehmens- bzw. konzernweit angewendet werden. Hierzu dienen Einzelfallprüfungen durch Stichprobentests. Für ausgewählte wesentliche Risiken wird die Ausgestaltung der einzelnen Elemente des RFS konkret nachvollzogen und so das Ergebnis der Systemprüfung verifiziert. Prüfungshandlungen sind bspw. Befragungen, Beobachtungen, Prüfungen von erfolgten Vorgängen und die Durchsicht von Unterlagen zur Risikoidentifikation, -bewertung und -kommunikation sowie die Analyse von Prüfungsberichten bzw. Arbeitspapieren der Internen Revision (IDW PS 340.31). Hierfür ist wiederum das Vorliegen einer angemessenen Systemdokumentation bedeutsam; erneut führt „ eine fehlende oder unvollständige Dokumentation ? zu Zweifeln an der dauerhaften Funktionsfähigkeit der getroffenen Maßnahmen “ (IDW PS 340.18). Insbesondere ist ohne Dokumentation zweifelhaft, ob die einzelnen Maßnahmen im Prozess der Risikofrüherkennung unternehmens- bzw. konzernweit einheitlich und permanent durchgeführt werden. Der Umfang und die Intensität der erforderlichen Einzelfallprüfungen hängt allerdings weniger von der Dokumentation als von der Anzahl der bestandsgefährdenden oder sonstigen wesentlichen Risiken ab. 4. Prüfungsbericht und Bestätigungsvermerk a) Prüfungsbericht Das Ergebnis der Pr des RFS nach § 317 IV HGB ist nach § 321 IV HGB in einem besonderen Teil des Prüfungsberichts darzustellen. Insbesondere ist auszuführen, ob das RFS in geeigneter Weise eingerichtet worden ist und ob es seine Aufgaben wirksam erfüllen kann. Zusätzlich ist zu vermerken, ob und in welchen Bereichen Maßnahmen zu seiner Verbesserung erforderlich sind; konkrete Verbesserungsvorschläge sind aber nicht erforderlich (IDW PS 450.84). Das RFS selbst muss im Prüfungsbericht nicht dargestellt werden. Insbes. bei Erstprüfungen kann dies aber in Grundzügen empfehlenswert sein, auch um die Kontrollmöglichkeiten des AR zu verbessern. Die Berichterstattung über die Pr des RFS von Mutterunternehmen erfolgt zwingend im Prüfungsbericht zu seinem Jahresabschluss und nicht im Prüfungsbericht zum Konzernabschluss, weil die Einrichtung eines konzernweiten RFS dem Vorstand des Mutterunternehmens obliegt. Entsprechend ist das RFS bei der Konzernabschlussprüfung nicht zu prüfen. Die Berichterstattung kann aber, bspw. auf Wunsch des Mutterunternehmens, zusätzlich in den Prüfungsbericht zum Konzernabschluss aufgenommen werden. Die aufgezeigten Grundsätze gelten auch für die Berichterstattung bei freiwilliger Pr des RFS analog § 317 IV HGB. Die Berichterstattung zum RFS kann ggf. auch nach § 321 I Satz 3 HGB wegen eines schwerwiegenden Verstoßes der gesetzlichen Vertreter des Unternehmens gegen das Gesetz verpflichtend sein. Denn die Nichteinrichtung – nicht aber bereits Mängel oder Lücken – eines RFS ist ein schwerwiegender Verstoß gegen die gesetzlichen Pflichten der Geschäftsführer des Unternehmens aus § 91 II AktG. Dieser ist nach § 321 I Satz 3 HGB im Vorweg-Abschnitt des Prüfungsberichts aufzuzeigen (IDW PS 450.84). Mängel und Lücken können im Management Letter aufgeführt werden. Erfolgt lediglich eine mittelbare Pr des RFS, bspw. im Rahmen der Pr des Lageberichts, muss der AP im Prüfungsbericht nicht auf das Vorhandensein, die Angemessenheit und die Wirksamkeit des RFS eingehen. Allerdings geht die Pr des RFS mittelbar ein in die Berichterstattung des Abschlussprüfers nach § 321 I Satz 2 HGB zur Beurteilung der Lage des Unternehmens durch die gesetzlichen Vertreter, insbesondere deren Beurteilung des Fortbestandes und der künftigen Entwicklung des Unternehmens. Gleiches gilt für das von § 321 I Satz 3 HGB geforderte Urteil darüber, ob bei Durchführung der Pr Tatsachen festgestellt worden sind, die den Bestand des geprüften Unternehmens gefährden oder seine Entwicklung wesentlich beeinträchtigen können. b) Bestätigungsvermerk Fehlt ein RFS oder ist es nicht ausreichend bzw. nicht während des gesamten Untersuchungszeitraums funktionsfähig gewesen, hat dies grundsätzlich keine Auswirkungen auf den Bestätigungsvermerk (IDW PS 400.11 u. 400.72). Denn die Berichterstattung erfolgt ausschließlich für den AR (im Prüfungsbericht) und nicht für die Öffentlichkeit. Allerdings ist der BestV einzuschränken, wenn aufgrund der Mängel des RFS die Darstellung der Risiken der künftigen Entwicklung im Lagebericht nicht angemessen ist. Gleiches gilt, wenn ein fehlendes oder mangelhaftes RFS dazu führt, dass der Nachweis über die Fortführung des Unternehmens nicht erbracht werden kann oder die Ordnungsmäßigkeit der Buchführung fraglich ist (IDW PS 400.72). Ferner muss der AP nach § 322 II Satz 2 HGB im BestV auf die fortbestandsgefährdenden Risiken gesondert eingehen und nach § 322 III Satz 2 HGB angeben, ob die Risiken der künftigen Entwicklung zutreffend im Lagebericht dargestellt sind. In diesen Fällen ist das RFS selbst zwar nicht Gegenstand der Berichtspflicht, wohl aber die aus seiner Pr gewonnenen diesbezüglichen Erkenntnisse. Literatur: Amling, T./Bischof, S. : KonTraG und Interne Revision – unter besonderer Berücksichtigung der Internationalisierung des Berufsstandes, in: ZIR 1999, H. 2, S. 44 – 60 Baetge, J./Linßen, T. : „ Risiken der künftigen Entwicklung “ nach KonTraG 1999, in: Wertorientierte Konzernführung, Kapitalmarktorientierte Rechnungslegung und integrierte Unternehmenssteuerung, hrsg. v. Küting, K./Weber, C.-P., Stuttgart 2000, S. 9 – 34 Baetge, J./Schulze, D. : Möglichkeiten der Objektivierung der Lageberichterstattung über „ Risiken der künftigen Entwicklung “ , in: DB 1998, S. 937 – 948 Biermann, B. : Modernes Risikomanagement in Banken, in: Handbuch des Risikomanagements, hrsg. v. Eller, R., Stuttgart 1998, S. 4 – 23 Böcking, H.-J./Orth, C. : Offene Fragen und Systemwidrigkeiten bei den neuen Rechnungslegungs- und Prüfungsvorschriften des KonTraG und des KapAEG, in: DB 1998a, S. 1873 – 1879 Böcking, H.-J./Orth, C. : Kann das „ Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) “ einen Beitrag zur Verringerung der Erwartungslücke leisten?, in: WPg 1998b, S. 351 – 364 Böcking, H.-J./Orth, C. : Mehr Kontrolle und Transparenz im Unternehmensbereich durch eine Verbesserung der Qualität der Abschlußprüfung, in: BFuP 1999, S. 418 – 436 Brebeck, F. : Zusammenarbeit von Interner Revision und Abschlußprüfer, in: Lexikon der Internen Revision, hrsg. v. Lück, W., München/Wien 2001, S. 380 – 383 Brebeck, F./Förschle, G. : Gegenstand und Umfang der Abschlußprüfung nach Inkrafttreten des KonTraG, in: Das Kontroll- und Transparenzgesetz, Herausforderung und Chancen für das Risikomanagement, hrsg. v. Saitz, B./Braun, F., Wiesbaden 1999, S. 171 – 193 Brebeck, F./Hermann, D. : Zur Forderung des KonTraG-Entwurfs nach einem Frühwarnsystem und zu den Konsequenzen für die Jahres- und Konzernabschlußprüfung, in: WPg 1997, S. 381 – 391 Dörner, D./Bischof, S. : Zweifelsfragen zur Berichterstattung über die Risiken der künftigen Entwicklung im Lagebericht, in: WPg 1999, S. 445 – 455 Eggemann, G./Konradt, T. : Risikomanagement durch KonTraG aus dem Blickwinkel des Wirtschaftsprüfers, in: BB 2000, S. 503 – 509 Gelhausen, H.-F. : Aufsichtsrat und Abschlußprüfer – eine Zweckgemeinschaft, in: BFuP 1999, S. 390 – 406 Giese, R. : Die Prüfung des Risikofrüherkennungssystems einer Unternehmung durch den Abschlußprüfer gemäß KonTraG, in: WPg 1998, S. 451 – 458 Glaum, M./Förschle, G. : Finanzwirtschaftliches Risikomanagement deutscher Industrie- und Handelsunterenhmen (Industriestudie), Frankfurt am Main 2000 Kaplan, R. S./Norton, D. P. : Balanced Scorecard, Stuttgart 1997 Klar, M. : Auswirkungen des Gesetzesvorhabens zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) auf die Prüfung von Nicht-Aktiengesellschaften, in: DB 1997, S. 685 – 688 Lück, W. : Der Umgang mit unternehmerischen Risiken durch ein Überwachungssystem – Anforderungen durch das KonTraG und Umsetzung in der betrieblichen Praxis, in: DB 1998, S. 1925 – 1930 Lück, W. : Betriebswirtschaftliche Aspekte der Einrichtung eines Überwachungssystems und eines Risikomanagementsystems, in: Reform des Aktienrechts, der Rechnungslegung und Prüfung, hrsg. v. Dörner, D./Menold, D./Pfitzer, N., Stuttgart 1999, S. 140 – 176 Ludewig, R. : Gedanken zur Berichterstattung des Abschlußprüfers nach der Neufassung des § 321 HGB, in: WPg 1998, S. 595 – 600 Scharpf, P. : Die Sorgfaltspflicht eines Geschäftsführers einer GmbH, in: DB 1997, S. 737 – 743 Schindler, J./Rabenhorst, D. : Auswirkungen des KonTraG auf die Abschlußprüfung, in: BB 1998, S. 1886 – 1893, 1939 – 1944 Vogler, M./Gundert, M. : Einführung von Risikomanagementsystemen, in: DB 1998, S. 2377 – 2383