Das interne Kontroll- und Risikomanagementsystem im Lagebericht beschreiben

Wer die Beschreibung schuldet

Der Wortlaut ist knapp: Kapitalgesellschaften im Sinn des § 264d HGB haben im Lagebericht die wesentlichen Merkmale des internen Kontroll- und des Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess zu beschreiben (§ 289 Abs. 4 HGB). Kapitalmarktorientiert ist eine Gesellschaft, wenn sie mit von ihr ausgegebenen Wertpapieren einen organisierten Markt in Anspruch nimmt oder die Zulassung dazu beantragt hat. Wertpapiere sind dabei nicht nur Aktien, sondern auch Anleihen und Genussscheine — deshalb trifft die Pflicht auch eine GmbH, deren Anleihe im regulierten Markt notiert.

Für alle anderen mittelgroßen und großen Gesellschaften ist die Beschreibung freiwillig. Bei börsennotierten Aktiengesellschaften kommt eine organisationsrechtliche Pflicht hinzu: Ihr Vorstand muss ein im Hinblick auf Umfang der Geschäftstätigkeit und Risikolage angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einrichten (§ 91 Abs. 3 AktG). Der Lagebericht beschreibt davon nach dem HGB aber nur den Teil, der die Rechnungslegung betrifft.

Was „im Hinblick auf den Rechnungslegungsprozess“ abgrenzt

Gemeint ist der Weg von der Erfassung eines Geschäftsvorfalls bis zum aufgestellten Jahresabschluss und Lagebericht: Belegfluss, Buchung, Abstimmung von Nebenbüchern, Bewertung, Abschlussbuchungen, Anhangangaben und die Zahlen, die in den Lagebericht übernommen werden. Das interne Kontrollsystem umfasst die Regeln und Kontrollen, die Fehler in diesem Weg verhindern oder aufdecken. Das Risikomanagementsystem im Sinne der Vorschrift ist der Teil, der Risiken für eine fehlerhafte Rechnungslegung erkennt und bewertet — etwa neue Bilanzierungsvorschriften, ungewöhnliche Geschäfte oder schwierige Schätzungen.

Nicht gemeint ist das gesamte unternehmerische Risikomanagement. Welche Markt-, Liquiditäts- oder Betriebsrisiken die Gesellschaft sieht und wie sie damit umgeht, gehört in den Chancen- und Risikobericht nach § 289 Abs. 1 Satz 4 HGB. Viele Gesellschaften stellen beide Teile nebeneinander; wichtig ist, dass der Leser erkennt, welcher Text die Rechnungslegung betrifft.

„Wesentliche Merkmale“ heißt: Der Abschnitt beschreibt die Struktur, nicht jede einzelne Kontrolle. Ein Leser soll verstehen, wer verantwortlich ist, wie der Abschlussprozess organisiert ist, welche Kontrollarten es gibt und wer sie überwacht. DRS 20 konkretisiert die Anforderungen; Regeln, die nur kapitalmarktorientierte Unternehmen betreffen, sind dort mit einem vorangestellten „K“ gekennzeichnet.

Die Bausteine einer vollständigen Beschreibung

Beispiel: so kann der Abschnitt lauten

Ein Formulierungsbeispiel für eine fiktive Emittentin mit einer börsennotierten Anleihe — kein Mustertext zum Übernehmen ohne Abgleich mit Ihren tatsächlichen Abläufen.

Beispiel: „Die Geschäftsführung trägt die Gesamtverantwortung für das interne Kontroll- und Risikomanagementsystem im Hinblick auf den Rechnungslegungsprozess. Das Rechnungswesen ist zentral am Sitz der Gesellschaft organisiert und dem Finanzbereich unterstellt; die Lohnabrechnung ist an einen externen Dienstleister ausgelagert, dessen Ergebnisse monatlich abgestimmt werden. Grundlage der Abschlusserstellung sind eine Bilanzierungsrichtlinie, ein Kontenplan mit Kontierungsvorgaben und ein Abschlusskalender, der Aufgaben, Verantwortliche und Termine festlegt.

Buchungen ab einem festgelegten Betrag sowie alle manuellen Abschlussbuchungen unterliegen dem Vier-Augen-Prinzip. Haupt- und Nebenbücher werden monatlich abgestimmt, Bankkonten täglich. Für Pensionsrückstellungen holt die Gesellschaft versicherungsmathematische Gutachten ein; Annahmen zu sonstigen Rückstellungen und Wertberichtigungen werden dokumentiert und von der kaufmännischen Leitung freigegeben. Das Berechtigungskonzept des Buchhaltungssystems trennt Erfassung, Freigabe und Zahlungsverkehr.

Neue gesetzliche Vorschriften und ungewöhnliche Geschäftsvorfälle werden vor dem Abschluss auf ihre bilanziellen Folgen untersucht. Die Interne Revision prüft ausgewählte Teilprozesse der Rechnungslegung nach einem jährlichen Prüfungsplan und berichtet der Geschäftsführung und dem Prüfungsausschuss. Ein internes Kontrollsystem kann Fehler nicht mit absoluter Sicherheit ausschließen.“

Wirksamkeitsurteil: was der Kodex zusätzlich empfiehlt

Das HGB verlangt eine Beschreibung, kein Urteil. Der Deutsche Corporate Governance Kodex in der Fassung vom 28. April 2022 geht weiter: Nach Empfehlung A.5 sollen im Lagebericht die wesentlichen Merkmale des gesamten internen Kontrollsystems und des Risikomanagementsystems beschrieben werden, und es soll zur Angemessenheit und Wirksamkeit dieser Systeme Stellung genommen werden. Das reicht über die Rechnungslegung hinaus und betrifft börsennotierte Gesellschaften, die nach § 161 AktG erklären, ob sie dem Kodex folgen. Weichen sie ab, begründen sie das in der Entsprechenserklärung.

In der Prüfungspraxis werden solche Stellungnahmen bislang meist nicht inhaltlich geprüft; das IDW hat Ende 2023 in einem Positionspapier beschrieben, dass sie dann im Lagebericht als ungeprüft zu kennzeichnen sind. Die Regierungskommission hat im August 2026 einen Entwurf zur Überarbeitung des Kodex veröffentlicht. Prüfen Sie vor der Aufstellung, welche Kodexfassung Ihrer Entsprechenserklärung zugrunde liegt, und stimmen Sie die Kennzeichnung mit Ihrem Abschlussprüfer ab.

Typische Schwächen von IKS-Beschreibungen

• Textbaustein ohne Bezug zur Gesellschaft: Der Abschnitt passt wortgleich auf jedes Unternehmen und nennt weder Organisation noch Systeme.
• Vermischung mit dem Risikobericht: Markt- und Betriebsrisiken stehen im IKS-Abschnitt, während die Kontrollen des Abschlussprozesses fehlen.
• Ausgelagerte Prozesse fehlen: Lohnabrechnung, Buchhaltung oder Zahlungsverkehr laufen bei Dienstleistern, die Beschreibung erwähnt das nicht.
• Widerspruch zum Prüfer: In der Bilanzsitzung meldet der Abschlussprüfer wesentliche Kontrollschwächen im Abschlussprozess (§ 171 Abs. 1 Satz 2 AktG), während der Lagebericht ein lückenloses System beschreibt.
• Unverändert seit Jahren: Systemwechsel, neue Standorte oder ein neuer Dienstleister haben keinen Niederschlag gefunden.

So geht es mit lagebericht.io

• Welche Abschnitte gelten, steuern 24 Abschnittsregeln für Pflicht-, bedingte und freiwillige Angaben
• Nach dem Entwurf: 20 feste Textprüfungen mit DRS-20-Bezug, ergänzt um eine KI-Durchsicht auf Pflichtangaben und Inhaltstiefe
• Kommentare, Änderungsverfolgung, Zuweisung und Freigabe je Abschnitt — etwa für Rechnungswesen, Interne Revision und Vorstand
• Preis: 1.000 € je Geschäftsjahr und Gesellschaft, Zahlung per Rechnung, Freischaltung nach Zahlungseingang; die Registrierung kostet nichts

Mit lagebericht.io entsteht der Lagebericht einer Gesellschaft für jeweils ein Geschäftsjahr, aufgebaut nach § 289 HGB und DRS 20. Ist die Gesellschaft als kapitalmarktorientiert erfasst, ist der Abschnitt zum internen Kontroll- und Risikomanagementsystem als Pflichtabschnitt gesetzt. Ein Fragebogen erfasst Funktionstrennung, Abstimmungen, IT-Kontrollen, ERP-System und externe Berater; vorhandene Vorjahresangaben belegen passende Antworten vor, offene Angaben werden als [BITTE ERGÄNZEN] markiert. Die Formulierung übernimmt ein großes Sprachmodell — welche Kontrollen es bei Ihnen tatsächlich gibt, beantworten Sie selbst.

Häufige Fragen

Muss eine GmbH ihr internes Kontrollsystem im Lagebericht beschreiben?

Nur wenn sie kapitalmarktorientiert ist, etwa weil eine von ihr ausgegebene Anleihe im regulierten Markt zugelassen ist oder die Zulassung beantragt wurde. Für alle anderen mittelgroßen und großen GmbH ist die Beschreibung freiwillig. Wer sie freiwillig aufnimmt, sollte sie genauso sorgfältig fassen, denn sie ist Teil des geprüften Lageberichts.

Muss der Lagebericht bestätigen, dass das IKS wirksam ist?

Nach dem HGB nicht — § 289 Abs. 4 verlangt nur eine Beschreibung der wesentlichen Merkmale. Börsennotierten Gesellschaften empfiehlt der Corporate Governance Kodex in der Fassung 2022 (A.5), zusätzlich zur Angemessenheit und Wirksamkeit Stellung zu nehmen. Wer der Empfehlung nicht folgt, erklärt und begründet das in der Entsprechenserklärung nach § 161 AktG.

Wo steht die IKS-Beschreibung im Lagebericht?

Das Gesetz schreibt keinen Ort vor. Üblich ist ein eigener Abschnitt im Umfeld des Chancen- und Risikoberichts, mit einer Überschrift, die den Bezug zum Rechnungslegungsprozess erkennen lässt. Entscheidend ist, dass der Leser den Pflichtteil findet und ihn vom allgemeinen Risikomanagement unterscheiden kann.

Prüft der Abschlussprüfer die Beschreibung des IKS?

Ja, als Teil des Lageberichts. Nach § 317 Abs. 2 HGB prüft er, ob der Lagebericht mit dem Jahresabschluss und seinen Prüfungserkenntnissen in Einklang steht und die gesetzlichen Vorschriften beachtet sind. Eine gesonderte Wirksamkeitsprüfung des Kontrollsystems ist damit nicht verbunden; Erkenntnisse aus der Prüfung des Abschlussprozesses fließen aber in sein Urteil ein.

Gilt die Pflicht auch, wenn unsere Aktien nur im Freiverkehr gehandelt werden?

Nein. Der Freiverkehr ist kein organisierter Markt im Sinne des § 2 Abs. 11 WpHG, auf den § 264d HGB abstellt. Die Gesellschaft ist dann nicht kapitalmarktorientiert, und § 289 Abs. 4 HGB greift nicht. Eine freiwillige Beschreibung kann für Anleger trotzdem sinnvoll sein.

Wie ausführlich muss die IKS-Beschreibung sein?

Sie muss die wesentlichen Merkmale so darstellen, dass ein Leser Verantwortung, Organisation, Kontrollarten, IT-Unterstützung und Überwachung versteht. Ein Katalog einzelner Kontrollen ist nicht verlangt. Je komplexer Organisation und Geschäft, desto mehr Text braucht es — eine Gesellschaft mit mehreren Standorten und ausgelagerten Prozessen beschreibt mehr als eine Emittentin mit zentraler Buchhaltung.

Quellen und Rechtsstand

Primärquellen für die zentralen Aussagen dieser Seite. Öffnen Sie im Zweifel immer die aktuelle Fassung.

• § 289 HGB — Abs. 4: Beschreibung des internen Kontroll- und Risikomanagementsystems bei kapitalmarktorientierten Gesellschaften
• § 264d HGB — Begriff der kapitalmarktorientierten Kapitalgesellschaft
• § 91 AktG — Abs. 3: angemessenes und wirksames IKS und Risikomanagementsystem bei börsennotierten Gesellschaften
• § 107 AktG — Abs. 3 und 4: Prüfungsausschuss und Überwachung des Rechnungslegungsprozesses
• § 171 AktG — Abs. 1 Satz 2: Bericht des Abschlussprüfers über wesentliche Schwächen des IKS
• Deutscher Corporate Governance Kodex 2022 — Grundsatz 4 und Empfehlung A.5 zur Lageberichtsangabe über IKS und Risikomanagementsystem

Den IKS-Abschnitt aus Ihren Angaben entwerfen

lagebericht.io setzt die Pflichtabschnitte nach den Merkmalen Ihrer Gesellschaft und führt mit Fragen durch Funktionstrennung, Abstimmungen und IT-Kontrollen. Registrierung kostenlos, 1.000 € je Geschäftsjahr und Gesellschaft per Rechnung.