Corporate Governance und Sarbanes-Oxley Act - Haftungsrechtliche Anforderungen an die Unternehmensleitung und Risikomanagement von Aktiengesellschaften

Diplomarbeit von Florian Wiemken, Jan Markus Hempel

Einleitung:

Vorstände von Aktiengesellschaften agieren als Treuhänder fremden Vermögens. Um Anleger und Gläubiger zu schützen haben sie bei ihrem Handeln und der Organisation des Unternehmens bestimmte gesetzliche Vorschriften zu beachten. Jedoch beschäftigten sich bis Mitte der neunziger Jahre weder das Schrifttum noch die Rechtsprechung wesentlich mit der Frage der persönlichen Haftung der Vorstandsmitglieder für Fehlentscheidungen oder Pflichtverletzungen. Eine Pflichtverletzung, die zu einem Schaden bei der Gesellschaft führte, wurde in der Regel lediglich personalpolitisch sanktioniert. Die betroffenen Unternehmen sahen dabei zumindest dann von der Geltendmachung weiterer Ansprüche wie Schadensersatz oder der Strafanzeige ab, sofern der Verantwortliche keine unakzeptablen Abfindungsforderungen stellte. Verständlicherweise stehen vor allem die Vorstandsmitglieder selbst weitergehenden Forderungen kritisch gegenüber und verweisen auf eine Einschränkung der unternehmerischen Freiheit. Allerdings lassen sich auch im juristischen Schrifttum Stimmen finden, die personalpolitische Konsequenzen als „im Großen und Ganzen“ ausreichend ansahen.

Beginnend in der zweiten Hälfte der neunziger Jahre setzte dann allerdings eine schnell an Fahrt gewinnende Bewegung ein. Die zahlreichen Bilanzierungsskandale und Unternehmenszusammenbrüche in jüngerer Zeit haben etlichen Anlegern große Verluste beschert und insgesamt das Vertrauen in die weltweiten Kapitalmärkte empfindlich erschüttert. Hinzu kam, dass international vergleichbare Standards für die Verantwortung der Unternehmensleitung fehlten, obwohl die Unternehmen durch die Globalisierung der Märkte zunehmend international verflechtet sind.

Um diesen Entwicklungen entgegenzuwirken haben Gesetzgeber und Börsenaufsichtsbehörden erhebliche Anstrengungen in Form von neuen Gesetzen und Vorschriften unternommen. Gesetzgebung und Rechtsprechung haben die Haftungsvoraussetzungen nicht nur konkretisiert, sondern vor allem auch zu Lasten der Unternehmensleitung verschärft. Bei vielen Unternehmensinsolvenzen stellte sich im nachhinein heraus, dass die Krise absehbar und abwendbar gewesen wäre, wenn die Aufsichtsratsmitglieder ihre Überwachungsaufgabe gewissenhaft wahrgenommen hätten. Aus diesem Grund ist auch die Haftung des Aufsichtsrats der Aktiengesellschaft in den Blickpunkt der öffentlichen Diskussion geraten.

Die nach wie vor andauernden Aktivitäten des Gesetzgebers sind Teil der international geführten Diskussion um Standards guter Unternehmensführung und Unternehmenskontrolle (Corporate Governance). Die Diskussion hat ausgehend von den USA mittlerweile auch Europa und Deutschland erfasst. Auffällig hierbei ist die Tendenz, neben der Gesellschaft als juristischer Person auch die Organmitglieder selbst zivil- und strafrechtlich in Haftung nehmen zu wollen, wenn sie ihre Sorgfaltspflichten verletzt haben. Die Haftung der Unternehmensleitung hat damit komplexere und vor allem für die betroffenen Vorstands- und Aufsichtsratsmitglieder immer schwieriger zu überblickende Ausmaße angenommen. Obwohl die Preise spezieller Haftpflichtpolicen in jüngster Zeit explodiert sind und hohe Selbstbeteiligungen vorsehen, sind sich viele Vorstände und Aufsichtsräte ihrer Pflichten und der Haftungsrisiken, die sie durch ihre Funktion in der Gesellschaft persönlich treffen, nicht hinreichend bewusst.

Vor diesem Hintergrund stellt die vorliegende Arbeit im zweiten Kapitel zunächst die Struktur, Systematik und wichtigsten Tatbestände der Organhaftung der Aktiengesellschaft dar. Hiermit wird die Grundlage für das Verständnis der im Zuge der Corporate Governance-Diskussion entstandenen neueren Entwicklungen gelegt.

Eines der Hauptanliegen der Corporate Governance-Bewegung ist es, wirksame Mittel und Anreize zu finden, weitere Fälle von Missmanagement in Zukunft zu verhindern. Die Einführung und Durchsetzung der persönlichen Haftung der Organmitglieder kann dabei aber lediglich eines der Instrumente sein, um sicherzustellen, dass Vorstands- und Aufsichtsratsmitglieder ihre Funktion ordnungsgemäß wahrnehmen. Das zweite wesentliche Element präventiver Art ist ein effektives, in der eigenen Unternehmenskultur verankertes internes Kontrollsystem, das Schwachstellen verhindert oder zumindest frühzeitig erkennt und es den Verantwortlichen ermöglicht, noch rechtzeitig Gegenmaßnahmen einzuleiten. So verpflichtet das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) den Vorstand von Aktiengesellschaften „geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden“.

Bestandsgefährdend kann für ein Unternehmen eine Vielzahl ganz unterschiedlicher Entwicklungen sein. Auch können sich einzelne Risiken durch gegenseitige Wechselwirkungen erst zu bestandsgefährdenden Entwicklungen ausbilden. Im Schrifttum wird daher immer wieder gefordert, das Überwachungssystem in ein unternehmensweites Risikomanagementsystem einzubetten. Unklar und umstritten ist hierbei allerdings, wie ein solches Risikomanagementsystem ausgestaltet sein muss, da das Gesetz hierzu keine konkreten Angaben macht. Eine genaue Vorstellung der gesetzlichen Anforderungen ist jedoch entscheidend für die Organmitglieder, um sich nicht selbst wegen einer Sorgfaltspflichtverletzung durch Unterlassen haftbar zu machen. Aus diesem Grund stellt die Arbeit im dritten Kapitel die relevanten neueren Gesetze, die in den vergangenen zehn Jahren im Rahmen der Corporate Governance-Diskussion entstanden sind, vor. Ziel der Untersuchung ist es, die Pflicht zur Einrichtung eines Risikomanagementsystems herauszuarbeiten und Anhaltspunkte für dessen Ausgestaltung zu finden. Durch eine chronologische Darstellung, die die einzelnen Gesetzesinitiativen jeweils in den Gesamtkontext der Diskussion um Corporate Governance einordnet, soll außerdem gezeigt werden, mit welcher Dynamik sich die persönliche Haftungssituation der Organmitglieder mittlerweile verändert und welche Rolle hierbei dem Risikomanagement zukommt.

Wesentliche Impulse und Anregungen für die Weiterentwicklung des deutschen Modells der Unternehmenskontrolle kamen mit dem US-amerikanischen Sarbanes-Oxley Act, der deshalb anschließend im vierten Kapitel vorgestellt wird. Der Sarbanes-Oxley Act verpflichtet auch deutsche Unternehmen, die an US-Börsen notiert sind, für nach dem 15. Juli 2006 endende Geschäftsjahre ein internes Kontrollsystem über die Finanzberichterstattung einzuführen, dieses zu dokumentieren und die Wirksamkeit jährlich von Abschlussprüfern testieren zu lassen. Weiterhin sind Chief Executive Officer (CEO) und Chief Financial Officer (CFO) eines Unternehmens verpflichtet, den Jahresabschluss und sonstige Berichte der Gesellschaft persönlich zu zertifizieren. Die Bestätigung der Korrektheit bezieht sich dabei auch auf das Vorhandensein sowie die Effektivität interner Kontrollmechanismen und wird durch die Androhung von bis zu 20 Jahren Gefängnis strafrechtlich flankiert. Im weiteren Verlauf zeigt die Arbeit auf, wie ein Risikomanagementsystem, welches den haftungsrechtlichen Anforderungen gerecht wird, im Unternehmen umgesetzt werden kann. Hierzu werden Best Practise-Standards und Referenzmodelle vorgestellt. Der Fokus soll dabei konkret auf den Umgang mit Risiken gelegt werden, die sich aus dem Einsatz von unternehmensweiten Informationssystemen und deren Technologie ergeben. Hierfür gibt es vier Gründe.

Erstens ist wirtschaftlicher Erfolg von Unternehmen heute mehr denn je auf zuverlässige und sichere Informationstechnologie (IT) angewiesen, da die Geschäftsprozesse über vernetzte IT-Systeme ausgeführt und abgebildet werden. Die Wettbewerbsvorteile, die sich mit dem effizienten Einsatz von IT erzielen lassen, haben allerdings einen Preis: Die Sicherheit der IT-Systeme ist ein wachsendes Risiko und eine Schwachstelle für viele Unternehmen. Die Auswirkungen von Störungen oder Angriffen auf ein Informationssystem sind nicht nur in finanziellen Verlusten zu sehen – sie können unter Umständen sogar den Fortbestand des gesamten Unternehmens bedrohen. Zweitens wird auch der überwiegende Teil der im Unternehmen einzurichtenden internen Kontrollmechanismen in automatisierter Form in der Unternehmenssoftware zu implementieren sein. Die IT-Sicherheit ist daher Voraussetzung für die Wirksamkeit und Verlässlichkeit dieser Kontrollmechanismen.

Drittens hängt auch die Finanzberichterstattung des Hauses entscheidend von einem ordnungsgemäß funktionierenden Informations- und Kontrollsystem ab, da die Geschäftsvorgänge elektronisch erfasst werden und diese Daten dann dem internen und externen Rechnungswesen zugrunde liegen. Insbesondere für kapitalmarktorientierte Aktiengesellschaften stellen sowohl der Sarbanes-Oxley Act wie auch die deutschen Gesetze besonders hohe Anforderungen an die Richtigkeit der Finanzberichterstattung. Neben den direkten, inhärenten Risiken aus dem Einsatz von IT ergeben sich daher weitere indirekte Risiken für Vorstände und Aufsichtsräte bei der Finanzberichterstattung. Schließlich ist die IT-Sicherheit auch ein Bestandteil bei der Bestimmung der Kreditwürdigkeit eines Unternehmens. So fordert die neue Baseler Eigenkapitalvereinbarung („Basel II“) die Offenlegung operationeller IT-Risiken und deren Unterlegung mit Eigenkapital.

Die IT-Sicherheit ist als ein Kernstück des unternehmenseigenen Risikomanagements zu sehen, was wiederum zentrale Bedeutung für die Finanzberichterstattung hat, von dessen Richtigkeit das Funktionieren der weltweiten Kapitalmärkte und damit letztlich ein wesentlicher Teil der Volkswirtschaft abhängt. Vor diesem Hintergrund setzt die Arbeit im fünften Kapitel fort mit einer kurzen Darstellung der Anforderungen an die IT-Sicherheit aus technischer und rechtlicher Sicht. Anschließend wird im sechsten und siebten Kapitel gezeigt, wie der Umgang mit IT-Risiken in ein unternehmensweites Risikomanagementsystem gesetzeskonform eingebunden werden kann und welche weiteren Risikovermeidungsstrategien den Organmitgliedern zur Verfügung stehen.

Inhaltsverzeichnis: