die Festlegung der Verantwortlichkeiten für die Tax Compliance-Kommunikation sowie die Bestimmung der Verantwortlichkeiten bei Schnittstellen zwischen der Steuerabteilung, dem Risikomanagement, dem Compliance Officer und der internen Revision Aufgaben im Rahmen der Tax Compliance-Kommunikation darstellen. Die Dokumentation von Art und Umfang der Tax Compliance-Kommunikation sollte beispielsweise in einer Organisations- oder Steuerrichtlinie erfolgen.[142]
112
Das Grundelement Tax Compliance-Überwachung und Verbesserung umfasst die Durchführung von Überwachungsmaßnahmen beispielsweise hinsichtlich der Einhaltung der Maßnahmen des Tax Compliance-Programms, der Überprüfung der Prozessabläufe, der Wahrnehmung notwendiger Schulungs- bzw. Fortbildungsmaßnahmen oder der Schnittstellen zu externen Dienstleistern. Grundlage der Überwachungstätigkeiten ist eine geeignete Dokumentation des Tax CMS. Führen die Überwachungsaktivitäten zur Feststellung von Mängeln im Tax CMS, sind diese an das Management bzw. die verantwortlichen Stellen zu berichten und Zuwiderhandlungen ggf. zu sanktionieren. Zudem sind Verbesserungsmaßnahmen zu ergreifen, um Mängel zu beseitigen bzw. künftige Regelverstöße zu vermeiden. Um eine wirksame Überwachung des Tax CMS zu erzielen, sind verschiedene Aspekte wie beispielsweise die Festlegung der Zuständigkeiten, die Entwicklung eines Überwachungsplans, die Bereitstellung ausreichender Ressourcen sowie die Berichterstattung über die Ergebnisse der Überwachungsmaßnahmen zu berücksichtigen und durchzuführen. Sind steuerliche Pflichten des Unternehmens auf externe Dienstleister übertragen, sind diese ebenfalls Bestandteil der Tax Compliance-Organisation. Daher hat das Unternehmen im Rahmen der Tax Compliance-Überwachung sicherzustellen, dass der Dritte vollständig über die Anforderungen an die auf ihn übertragenen Tätigkeiten aufgeklärt und zu deren Erfüllung vertraglich verpflichtet worden ist sowie die zur Durchführung der Tätigkeiten erforderlichen Informationen vollständig und rechtzeitig erhält. Darüber hinaus muss das Unternehmen die Arbeitsergebnisse einer Plausibilitätskontrolle unterziehen und die Tätigkeit des Dienstleisters angemessen überwachen.[143]
113
Wie bereits einleitend dargestellt, hängt die konkrete Ausgestaltung des Tax CMS insbesondere von den festgelegten Tax Compliance-Zielen, der Unternehmensgröße sowie der Komplexität (Art und Umfang) der Geschäftstätigkeit ab.[144] Hinsichtlich der einzelnen Grundelemente des Tax CMS bedeutet dies, dass sämtliche Elemente auf einem Mindeststandard implementiert sein sollten, aber jedes einzelne Element je nach den individuellen Gegebenheiten der Unternehmen sehr unterschiedlich ausgestaltet sein kann.
b) Tax CMS-Beschreibung
114
Zum Nachweis der Existenz eines Tax CMS sollten Unternehmen eine Tax CMS-Beschreibung erstellen. Die Tax CMS-Beschreibung soll zudem als zentrale Dokumentation des vorhandenen Tax CMS eine konsistente Anwendung und personenunabhängige Funktion des Tax CMS gewährleisten. Demzufolge sollte die Tax CMS-Beschreibung inhaltlich die Konzeption des Tax CMS sowie seine Grundsätze und Maßnahmen darstellen. Wesentlicher Gegenstand der Tax CMS-Beschreibung sollte daher die Darstellung sämtlicher Grundelemente des Tax CMS sein. Darüber hinaus sind die Tax CMS-Grundsätze in der Tax CMS-Beschreibung zu konkretisieren.[145] Aufgrund der in ihr enthaltenen Aussagen über die Grundsätze und Maßnahmen des Tax CMS, welche Gegenstand einer Prüfung des Tax CMS in analoger Anwendung des IDW PS 980 sind, ist die Tax CMS-Beschreibung die Voraussetzung und Basis für eine Prüfung des Tax CMS gem. IDW PS 980.[146]
1. Beziehungsgeflecht der Management- und Kontrollsysteme
115
Nachdem in den vorhergehenden Rn. 5–102 die Definitionen, Aufgaben und Strukturen von IKS, RMS, RFS, CMS und Tax CMS dargelegt wurden, soll nunmehr das Verhältnis der Systeme zueinander und deren Einordnung in die Unternehmensorganisation diskutiert werden. Die Einbettung des Tax CMS wird dabei gesondert in den nachfolgenden Rn. 123 ff. aufgezeigt.
116
Das unternehmensweite Managementsystem stellt ein Instrument zur Steuerung von Unternehmen dar. Als sozioökonomisches System handelt es sich bei einem Managementsystem nicht um ein greifbares Gebilde, sondern vielmehr um die „Gesamtheit von formalen Strukturen und konkreten Durchführungen“.[147] Als Aufgabe des Managementsystems kann die Unterstützung und Koordinierung der unternehmensweiten Planungs-, Durchführungs- und Kontrollprozesse bezeichnet werden. Das Managementsystem ist dabei auf sämtliche Funktionen und Bereiche von Unternehmen ausgerichtet.[148]
117
Das Risikomanagementsystem kann als Subsystem des unternehmensweiten Managementsystems eingeordnet werden.[149] Da es die Erreichung sämtlicher Unternehmensziele unterstützen soll und dabei sowohl auf die Gesamtorganisation als auch auf sämtliche Geschäftsbereiche, Geschäftseinheiten und Niederlassungen Anwendung findet, stellt es ein organisations- und funktionsübergreifendes System dar. Gegenstand des RMS sind dabei sämtliche Risiken des Unternehmens.[150]
118
Das Risikofrüherkennungssystem zielt auf die Früherkennung bestandsgefährdender Entwicklungen ab. Somit finden die Maßnahmen des RFS nicht auf sämtliche Risiken des Unternehmens, sondern lediglich auf den abgrenzbaren Teilbereich der bestandsgefährdenden Risiken Anwendung. Demzufolge kann das RFS als ein Subsystem des RMS bezeichnet werden.[151]
119
Die organisatorische Einordnung des IKS innerhalb des unternehmensweiten Managementsystems lässt sich gut anhand der Ziel- und Aufgabenstellung sowie der Komponenten des IKS auf Basis von COSO I vornehmen. Wie in Rn. 8 ff. dargelegt, ist die Aufgabe des IKS, eine hinreichende Sicherheit hinsichtlich des Erreichens der Unternehmensziele Wirksamkeit und Wirtschaftlichkeit der operativen Geschäftstätigkeit, Ordnungsmäßigkeit und Verlässlichkeit der finanziellen und nicht-finanziellen Unternehmensberichterstattung sowie Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften zu gewährleisten. Damit deckt das IKS drei von vier Zielstellungen des RMS ab. Für das RMS werden gem. COSO II die Zielsetzungen des IKS um den Bereich Strategie erweitert. Die Unterschiede zwischen IKS und RMS werden auch bei Betrachtung der jeweiligen Systemkomponenten anhand des sog. COSO-Würfels[152] deutlich. Während die fünf Komponenten (1) Kontrollumfeld, (2) Risikobeurteilung, (3) Kontrollaktivitäten, (4) Information und Kommunikation sowie (5) Überwachung als Grundelemente in beiden Systemen Bestandteil des Sollkonzepts sind, wird das Sollkonzept des RMS noch um die drei Komponenten Zielsetzung, Ereignisidentifikation und Risikosteuerung erweitert.[153] Der Vergleich der Sollkonzepte für IKS und RMS zeigt, dass gem. den COSO-Modellen sämtliche Ziele, Aufgaben und Komponenten des IKS auch Bestandteil des RMS sind, das RMS jedoch noch zusätzliche Ziele, Aufgaben und Komponenten aufweist. Demzufolge kann das IKS als reines Überwachungs- und Kontrollsystem somit ebenfalls als Subsystem des RMS eingestuft werden.[154]
120
Die Einordnung des CMS innerhalb des unternehmensweiten Managementsystems stellt sich etwas schwieriger dar, da die Verflechtung zu den anderen Systemen nicht unidirektional, sondern multidirektional verläuft. Da primäres Ziel des CMS die Sicherstellung der Regelkonformität – sowohl im Hinblick auf gesetzliche Vorschriften als auch auf unternehmensinterne Richtlinien – ist, sind folglich auch die rechtlichen Unternehmensrisiken ein Regelungsgegenstand des CMS. Da das RMS die Steuerung sämtlicher Unternehmensrisiken – folglich auch das Risiko des Regelverstoßes und somit der rechtlichen Unternehmensrisiken – umfasst, stellt das CMS insoweit ein Element des Risikomanagements dar.[155] Abgeleitet aus § 93 Abs. 1 AktG und § 91 Abs. 2 AktG ist die Verpflichtung zur Implementierung eines angemessenen Risikomanagement- und