SOX-Kontrollen getestet und bereit für den Prüfer
Risiko-Kontroll-Matrix, Tests und Zertifizierungen nach Section 302 und 404 auf einer Plattform, ohne Nachweisen per E-Mail hinterherzulaufen.
Was SOX ist und was von Ihnen verlangt wird
Der Sarbanes-Oxley Act wurde 2002 in den USA verabschiedet, um Anleger nach den Bilanzskandalen jener Jahre zu schützen. Er verpflichtet in den USA börsennotierte Unternehmen, die Verlässlichkeit ihrer Finanzberichterstattung nachzuweisen und zu belegen, dass das zugrunde liegende interne Kontrollsystem wirkt. Ist Ihr Konzern dort notiert, fällt auch Ihre Tochtergesellschaft in den Anwendungsbereich.
Am aufwendigsten ist Section 404: Das Management beurteilt jedes Jahr das interne Kontrollsystem über die Finanzberichterstattung, und bei den größten Unternehmen gibt der Abschlussprüfer ein eigenes Urteil ab. Dafür braucht es dokumentierte Kontrollen, Tests mit Nachweisen und sauber klassifizierte Mängel.
- Gesetz
- Sarbanes-Oxley Act, USA, 2002
- Aufsicht
- Die SEC; das PCAOB beaufsichtigt die Prüfer
- Gilt für
- In den USA notierte Unternehmen und ihre Töchter, auch ausländische
- Rahmenwerk
- Meist COSO 2013, Internal Control
- Turnus
- Quartalsweise Zertifizierung und jährliche Beurteilung
1
Scoping
Sie legen die wesentlichen Konten und Prozesse fest und bewerten jeweils das Fehlerrisiko.
2
Dokumentation
Sie beschreiben die Prozesse und bauen die Risiko-Kontroll-Matrix auf.
3
Tests
Sie testen Design und Wirksamkeit jeder Schlüsselkontrolle und sichern den Nachweis.
4
Zertifizierung
Das Management unterzeichnet, der Abschlussprüfer prüft das Ergebnis.
Die drei wichtigsten Sections
302
Zertifizierung durch das Management
CEO und CFO bestätigen die Abschlüsse und die Kontrollen über die Informationen, die sie in jedem periodischen Bericht veröffentlichen.
404
Beurteilung des IKS
Das Management beurteilt jedes Jahr das interne Kontrollsystem über die Finanzberichterstattung. Bei den größten Unternehmen gibt der Abschlussprüfer sein Urteil ab.
906
Strafrechtliche Haftung
Wer wissentlich eine falsche Zertifizierung unterschreibt, riskiert Geldstrafen und Freiheitsstrafen.
SOX vorbereiten mit GlobalSuite®
Vom Scoping bis zur Zertifizierung an einem Ort, jede Kontrolle mit Verantwortlichem, Test und Nachweis verknüpft.
Compliance›SOX›Scoping
Wesentliche ProzesseGeschäftsjahr 2026 · 4 Prozesse im Scope
CodeProzessKontoRisiko
PR-01
Umsatz und Forderungen
Umsatzrealisierung
UmsatzerlöseHochPR-02
Einkauf und Zahlungen
Rechnungen und Lieferanten
VerbindlichkeitenMittelPR-03
Lohn und Gehalt
Eintritte, Austritte, Zahlungen
PersonalMittelPR-04
Abschluss
Manuelle Buchungen und Anpassungen
DiverseHochCompliance›SOX›Risiko-Kontroll-Matrix
Schlüsselkontrollen38 Kontrollen · 21 Schlüssel
KontrolleVerantwortlichTurnusArt
Bankabstimmung geprüftJRJ. RamosMonatlichManuell
Freigabe manueller BuchungenMRM. RuizTäglichManuell
Auftragssperre ohne KreditlimitALA. LópezLaufendAutomatisch
Review der ERP-ZugriffeCPC. PérezQuartalsweiseManuell
Compliance›SOX›Wirksamkeitstests
16
Ohne Abweichung
3
Mit Abweichung
2
Offen
TestErgebnisDatum
Bankabstimmung · Stichprobe 2 MonateWirksam14. Okt.
Manuelle Buchungen · Stichprobe 251 Abweichung9. Okt.
Review der ERP-Zugriffe · Q3Wirksam2. Okt.
Berechnung der RückstellungenOffen—
Compliance›SOX›Mängel
Mängel und Behebung3 offen · Geschäftsjahresende im Dezember
CodeMangelEinstufungStatus
DF-01
Buchung ohne Freigabe
Kontrolle manueller Buchungen
MangelIn ArbeitDF-02
Generischer Nutzer im ERP
Funktionstrennung
SignifikantOffenDF-03
Verspätete Abstimmung
Treasury
MangelGeschlossenEine Kontrolle, mehrere Normen
Dieselbe Kontrolle deckt SOX, Ihr rechnungslegungsbezogenes IKS und Ihre interne Revision ab. Sie dokumentieren und testen sie nur einmal.
Sub-Zertifizierungen in Kaskade
Jeder Prozessverantwortliche zeichnet seinen Teil ab, bevor das Management unterschreibt. Wer was wann unterzeichnet hat, bleibt nachvollziehbar.
Der Prüfer findet alles
Tests, Stichproben und Nachweise nach Kontrolle geordnet, damit der Abschlussprüfer nicht jedes Dokument einzeln anfordern muss.
SOX passt zu dem, was Sie schon tun
SOX
Scoping, Kontrollmatrix, Tests, Mängel und Zertifizierungen nach Section 302 und 404.
Sie sind hierInterne Revision
Planen und führen Sie Ihre Audits mit denselben Tests und Nachweisen wie für SOX durch.
Zur Lösung →Risikomanagement
Die Risiken der Finanzberichterstattung in der Risikolandkarte des gesamten Unternehmens.
Zur Lösung →Compliance
Die SOX-Pflichten zusammen mit allen anderen Normen, die der Konzern erfüllen muss.
Zur Lösung →
Häufige Fragen zu SOX
Für wen gilt SOX?
Für Unternehmen, die bei der SEC registriert sind, weil sie in den USA notiert sind, auch für ausländische. Tochtergesellschaften dieser Konzerne, auch in Deutschland, müssen ihre Kontrollen in der Regel dokumentieren und testen, damit der Konzern zertifizieren kann.
Was verlangt Section 404 genau?
Das Management muss jedes Jahr die Wirksamkeit des internen Kontrollsystems über die Finanzberichterstattung beurteilen und darüber im Jahresbericht berichten. Bei größeren Unternehmen gibt zusätzlich der Abschlussprüfer ein Urteil über dieses Kontrollsystem ab.
Was unterscheidet einen signifikanten Mangel von einer Material Weakness?
Eine Material Weakness liegt vor, wenn mit hinreichender Wahrscheinlichkeit eine wesentliche Falschdarstellung im Abschluss nicht rechtzeitig verhindert oder aufgedeckt wird. Ein signifikanter Mangel wiegt weniger schwer, ist aber wichtig genug, um ihn den Aufsichtsgremien des Unternehmens zu melden.
Welches Kontrollrahmenwerk wird genutzt?
Die meisten Unternehmen arbeiten mit COSO 2013, dem integrierten Rahmenwerk für interne Kontrollen von COSO. Es ist auch die Referenz für viele lokale Vorgaben zum rechnungslegungsbezogenen IKS, sodass sich ein Großteil der Arbeit doppelt nutzen lässt.
Lässt sich SOX in Tabellen führen?
Ja, und so fangen viele Unternehmen an. Schwierig wird es mit mehreren Töchtern, Hunderten von Kontrollen und einem Prüfer, der jedes Jahr Nachweise anfordert. Wer Kontrollen, Tests und Mängel an einem Ort hält, vermeidet doppelte Versionen und verlorene Informationen. Mehr Hintergrund finden Sie in unserem Artikel Was ist SOX, der Sarbanes-Oxley Act?.
Gehen Sie ins SOX-Audit
mit allem getestet.
Wir zeigen Ihnen Ihre Kontrollmatrix und Ihre Tests in GlobalSuite®.