Defizite im Risikomanagement deutscher Unternehmen: Erkenntnisse aus dem Fall Wirecard und Implikationen für die Abschlussprüfung

Zusammenfassung Die Analyse des Geschäftsberichts (Risikoberichts) zeigt, dass das Risikomanagementsystem der Wirecard AG gravierende Defizite aufwies. Man muss basierend auf den öffentlich verfügbaren Daten davon ausgehen, dass sich aus den gesetzlichen Bestimmungen nach §§ 91 und 93 AktG ergebende Anforderungen nicht erfüllt waren. Wie bei vielen anderen Unternehmen ist z. B. nicht erkennbar, dass eine Risikoaggregation durch eine geeignete Methode stattgefunden hat. Ohne eine solche Risikoaggregation ist die Frühidentifikation von „bestandsgefährdenden Entwicklungen“ aus Kombinationseffekten von Einzelrisiken nicht möglich. Trotz dieser Defizite ist allerdings nicht erkennbar, dass eine kausale Verbindung mit der späteren Insolvenz besteht. Viele der Schwächen sind auch bei anderen börsennotierten Gesellschaften „üblich“ und daher kein Indiz dafür, dass das Unternehmen einem besonderen Insolvenzrisiko, speziell durch Betrug von Vorstandsmitgliedern, ausgesetzt war. Die nach dem „alten“ IDW Prüfungsstandard 340 durchgeführte Prüfung des Risikomanagements durch EY hat bestehende „schwerwiegende Mängel“ offenbar akzeptiert. Solche Schwächen der Abschlussprüfung findet man jedoch auch bei vielen anderen Unternehmen, was empirische Studien belegen. Im vorliegenden Fall bedeutet dies, dass die gravierenden Defizite der Abschlussprüfung durch EY auch im Bereich der Prüfung des Risikofrüherkennungssystems eindeutig erkennbar waren.