BilMoG: Beschreibung von internen Kontroll­ und Risikomanagementsystemen im Lagebericht

Seit 2009 nach den Neuerungen des Bilanzrechtsmodernisierungsgesetzes (BilMoG) sind die Vorschriften zum Inhalt des Lageberichts für kapitalmarktorientierte Unternehmen geändert bzw. erweitert worden. Gemäß § 289 Abs. 5 HGB werden kapitalmarktorientierte Kapitalgesellschaften im Sinne von § 264d HGB verpflichtet, die wesentlichen Merkmale des internen Kontroll (IKS) - und internen Risikomanagementsystems(RMS) im Hinblick auf den Rechnungslegungsprozess zu beschreiben. Diese Berichtspflicht erstreckt sich auch auf den Konzernlagebericht, sofern eines der in den Konzernabschluss einbezogenen Tochterunternehmen oder das Mutterunternehmen kapitalmarktorientiert im Sinne des § 264d HGB (§ 315 Abs. 2 Nr. 5 HGB) ist.

Die Vorschrift des § 289 Abs. 5 impliziert nicht die Verpflichtung zur Einrichtung eines internen Kontroll- und des internen Risikomanagementsystems. Besteht allerdings kein internes RMS, ist dies im Lagebericht offenzulegen. Ein Lagebericht ist jedoch zusammen mit dem Jahresabschluss im elektronischen Bundesanzeiger zu veröffentlichen. Sind keine oder nur grobe Ausführungen zum internen Kontroll- und Risikomanagementsystems enthalten, kann diese Tatsache bei den Adressaten des Jahresabschlusses (z.B. Banken, Kunden oder Lieferanten) einen negativen Eindruck hinterlassen.

Struktur und Inhalt

Der Fokus des Berichts liegt einerseits auf den wesentlichen Merkmalen des Systems und andererseits auf der Darstellung im Hinblick auf die Rechnungslegung. Das Gesetz enthält wenig konkrete Hinweise zur inhaltlichen Ausgestaltung und zum Umfang der erforderlichen Berichterstattung. In der Praxis hat sich die an den Verlautbarungen des DRS  (DRS 15 „Lageberichterstattung“,  DRS 5 „Risikoberichterstattung) orientierte Darstellung bewährt und durchgesetzt.


Nach DRSC soll die Beschreibung der wesentlichen Merkmale des IKS und RMS insbesondere folgende Inhalte abdecken:

Begriffsbestimmungen und Elemente des internen Kontroll- und Risikomanagementsystems

Das Unternehmen sollte zunächst notwendige Begriffsbestimmungen, Elemente des internen Kontroll- und Risikomanagementsystems, die Zielsetzung der zu beschreibenden Systeme sowie bei der Firma eingerichtete Rahmenwerke (z.B. COSO ERM, COSO IKS, Turnbull) darstellen, um das Verständnis des Abschlussadressaten für die Systeme zu erleichtern.

Nach den Ausführungen in der Regierungsbegründung ist über das interne Kontrollsystem als Bestandteil des internen Risikomanagementsystems zu berichten. Hierbei kann beispielweise auf die bereits im DRSC enthaltene Definition des RMS zurückgegriffen werden. Nach DRSC ist das RMS ein „nachvollziehbares, alle Unternehmensaktivitäten umfassendes System, das auf Basis einer definierten Risikostrategie ein systematisches und permanentes Vorgehen mit folgenden Elementen umfasst: Identifikation, Analyse, Bewertung, Steuerung, Dokumentation und Kommunikation von Risiken sowie die Überwachung dieser Aktivitäten“.

Organisatorischer Aufbau

Für die Beschreibung des IKS und RMS ist eine Beschreibung der Strukturen und Prozesse von grundlegender Bedeutung. Abhängig von dem organisatorischen Aufbau im zur Lageberichterstattung verpflichteten Unternehmen bzw. Organisationseinbindung der berichtenden Einheit kann die Darstellung der Organisationsstruktur für das RMS bzw. IKS einheitlich oder nach einzelnen Bereichen (Rechnungslegungsprozess, betriebliche Abläufe) getrennt erfolgen. Zu unterscheiden ist hierbei regelmäßig zwischen prozessintegrierten und prozessunabhängigen Kontrollen.

Bei der Beschreibung der Prozesse des RMS kann z.B. eine Beschreibung der Prozesse zur Risikoidentifizierung, -bewertung und Entscheidung über die Risikoakzeptanz des Unternehmens, bzw. zur Risikophilosophie des Unternehmens erfolgen. In Bezug auf die Rechnungslegungsprozesse wird allgemein eine Beschreibung der Prozesse zur Identifizierung von Rechnungslegungsrisiken sowie zur Beurteilung der Wesentlichkeit von potentiellen Fehlaussagen im Jahresabschluss erwartet, z.B. Bilanzierungsrichtlinien , Ablauf der (Konzern-)Abschlusserstellung , Organisation und Kontrolle der Buchhaltung.

Festlegung der wesentlichen Risiken  und Darstellung der Maßnahmen zur Sicherstellung der Wirksamkeit des internen Kontroll- und Risikomanagementsystems

Hierbei ist wichtig, dass die finanzieller Risiken immer nur als Gefahren aus fehlerhaften Darstellungen in den Finanzdaten betrachtet werden. Die zu festgelegten und berichtenden Risiken der zukünftigen Entwicklung sind nach § 289 Abs. 1, § 315 Abs. 1 HGB im Zusammenhang mit den jeweils ergriffenen Maßnahmen zu beschreiben. Im Einzelnen werden Angaben zu folgenden Themen erwarten:

• Maßnahmen zur Begrenzung erkannter Risiken
• Maßnahmen zur Identifizierung und Bewertung von Risiken
• Maßnahmen zur Überprüfung erkannter Risiken hinsichtlich ihres Einflusses auf den Abschluss.

Ein Beispiel des ausführlichen Lageberichts finden sie auf der Website der Commerzbank. 

letzte Änderung E.R. am 17.02.2023 Autor(en):  Anna Werner