Internes Kontrollsystem für finanzielle und operative Prozesse
Das IKS von METRO definiert konzernweite Mindestvorgaben zur Ausgestaltung des internen Kontrollsystems für finanzielle Prozesse (z. B. rechnungslegungsbezogene und steuerliche Prozesse) und operative Prozesse (z. B. Einkaufsprozesse und Prozesse in den Märkten) für die METRO AG und ihre Tochtergesellschaften. Diese Vorgaben umfassen u. a. das Kontrolldesign, die Kontrollausführung, die Überprüfung der Wirksamkeit der Kontrollen und die Berichterstattung über die Wirksamkeitsanalysen. Das Kontrollrahmenwerk von METRO, das lokale Kontrolldesign der Gesellschaften, die Kontrolldurchführung und -dokumentation sowie die Wirksamkeitsanalysen der Tochtergesellschaften werden in dem zentralen IT-Tool myGRC dokumentiert.
IFRS-Bilanzierungsrichtlinie
Eine konzernweit gültige und von allen in den Konzernabschluss einbezogenen Gesellschaften verpflichtend anzuwendende IFRS-Bilanzierungsrichtlinie stellt für den gesamten METRO Konzern die einheitliche Bilanzierung sicher. Die Richtlinie wird regelmäßig durch den Bereich Corporate Accounting & Controlling aktualisiert. Die Geschäftsführung jedes wesentlichen Konzernunternehmens ist dazu verpflichtet, zu jedem Berichtsstichtag die Einhaltung der Richtlinienvorgaben in einer formalen Erklärung zu bestätigen.
Rechnungslegungsprozesse der in den Konzernabschluss einbezogenen Unternehmen
Die Einzelabschlusserstellung der in den Konzernabschluss einzubeziehenden Unternehmen erfolgt grundsätzlich in SAP-basierten Rechnungslegungssystemen (SAP FI). Durch die Abgrenzung von Verantwortungsbereichen und eindeutige Rollenzuteilungen werden zum einen klar definierte Zuständigkeiten für die einzelnen Abschlusserstellungstätigkeiten sichergestellt. Zum anderen ist eine Funktionstrennung gegeben, durch die mögliche Interessenkollisionen unterbunden werden. Ein großer Teil der Konzernunternehmen erstellt die Einzelabschlüsse unter Zugrundelegung eines zentral gepflegten Kontenplans nach einheitlichen Buchungsvorgaben.
Zur Vermeidung von Risiken bezüglich der Nichteinhaltung von Bilanzierungsregeln, Fristen oder Terminen sowie zur Dokumentation der im Rahmen der Einzel- und Konzernabschlusserstellung nach IFRS durchzuführenden Arbeitsschritte stehen Planungswerkzeuge zur Verfügung, mit denen die Arbeitsabläufe inhaltlich und zeitlich überwacht werden können. Die Terminierung und Kontrolle notwendiger Meilensteine und Aktivitäten sowie die Ausgestaltung gesellschaftsindividueller interner Kontrollen im Rahmen der Einzelabschlusserstellung liegen in der Verantwortung der Geschäftsführung der jeweiligen Einzelgesellschaft.
Rechnungslegungsprozesse im Rahmen der Konsolidierung
Die Zusammenführung der rechnungslegungsbezogenen Geschäftsdaten im Rahmen der Konzernberichterstattung erfolgt durch ein zentrales Konsolidierungssystem (CCH Tagetik), in das ausnahmslos alle konsolidierten Konzernunternehmen von METRO eingebunden sind. In diesem System ist ein einheitlicher Kontenplan hinterlegt, der von allen einbezogenen Unternehmen unter Berücksichtigung der IFRS-Bilanzierungsrichtlinie anzuwenden ist. Im Anschluss an die Übertragung der Einzelabschlussdaten in das Konsolidierungssystem werden diese einer automatisierten Plausibilitätsprüfung vor dem Hintergrund rechnungswesenspezifischer Zusammenhänge und Abhängigkeiten unterzogen. Sollte das System im Rahmen dieser Validierungen Fehler- oder Warnmeldungen erzeugen, sind diese vom Einzelabschlussverantwortlichen vor Weitergabe der Daten an die Konsolidierungsstelle entsprechend zu bearbeiten.
Die Prozesse und Kontrollen im Rahmen der Konzernabschlusserstellung schließen die Vollständigkeitsprüfung des Konsolidierungskreises, die Überprüfung der pünktlichen, vollständigen und korrekten Datenabgabe, die Vermeidung ungewollter Datenänderungen und die vollständige und fehlerfreie Durchführung der typischen Konsolidierungsschritte ein. Letztere werden sowohl systemtechnischen als auch manuellen Kontrollen unterzogen. Für die Konsolidierungsmaßnahmen gelten automatisierte Plausibilitätsprüfungen (Validierungen), wie sie analog auch für die Einzelabschlussdaten vorgesehen sind.
IT-Sicherheit
Um die Sicherheit der Informationstechnik (IT) zu gewährleisten, sind Zugriffsregelungen in den rechnungslegungsbezogenen EDV-Systemen definiert. Die Berechtigungen zur Nutzung werden zentral verwaltet und unterliegen üblichen Freigabemechanismen. Jedes in den Konzernabschluss einbezogene Unternehmen unterliegt den Regeln der IT-Sicherheit, die in entsprechenden Richtlinien zusammengefasst sind und deren Einhaltung die interne Revision konzernweit überwacht.
Berichterstattung zum RMS und IKS
Alle im Rahmen der RMS-, IKS- und CMS-Berichterstattung gewonnenen Erkenntnisse münden in der GRC-Berichterstattung. Sie ermöglicht eine Gesamtbetrachtung der Chancen- und Risikosituation unseres Unternehmens sowie eine Einschätzung zur Effektivität der ergriffenen Maßnahmen. Der GRC-Bericht umfasst
- die Einschätzung des Managements der METRO AG zur Effektivität der Governance-Management-Teilsysteme,
- das Chancen- und Risikoprofil von METRO und
- die Empfehlungen zu Risikosteuerungsmaßnahmen und zur Optimierung des Governance-Ansatzes.
Der Vorstand informiert den Aufsichtsrat und den Prüfungsausschuss fortlaufend zum Chancen- und Risikomanagement. Halbjährlich erhält der Aufsichtsrat einen schriftlichen Bericht über die Organisation und Ausrichtung des RMS und des IKS sowie die aktuelle Chancen- und Risikosituation.
Bei plötzlich auftretenden, gravierenden Risiken für die Vermögens-, Finanz- oder Ertragslage wird ein Eilmeldesystem genutzt, sodass der Vorstand der METRO AG direkt und unverzüglich alle notwendigen Informationen erhält.
Überwachung und Verbesserung des RMS und IKS
Der Aufsichtsrat der METRO AG ist nach § 107 Abs. 3 AktG verantwortlich für die Überwachung der Governance-Managementsysteme. Insbesondere die GRC-Berichterstattung ermöglicht es dem Aufsichtsrat, seinen Pflichten nachzukommen. Gemäß den Vorschriften des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) unterzieht der Abschlussprüfer das Risikofrüherkennungssystem einer periodischen Beurteilung. Das Ergebnis dieser Prüfung legt er dem Vorstand und dem Aufsichtsrat vor.
Zentrale Elemente der internen Überwachung sind die Prüfung der Effektivität durch die interne Revision auf Grundlage risikoorientierter Jahresrevisionsplanungen sowie die Selbsteinschätzung der Wirksamkeit der Managementsysteme durch die Geschäftsführungen.
Die Abteilung Group Governance hat Kontrollen zur Überwachung des RMS und IKS entwickelt, die sie selbst durchführt und im zentralen IT-Tool myGRC dokumentiert. Eine dieser Kontrollen beinhaltet die jährliche systematische Auswertung aller unterjährigen Erkenntnisse, wie sie sich z. B. aus Revisionsergebnissen, Feststellungen von externen Prüfern und dem Feedback durch die Nutzer ergeben. So werden die Managementsysteme stetig verbessert.