Internes Kontroll- und Risikomanagementsystem (§ 91)

Kurzdefinition: § 91 Abs. 3 AktG verpflichtet den Vorstand einer börsennotierten Gesellschaft, über die Früherkennung bestandsgefährdender Entwicklungen hinaus ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten. Die Pflicht wurde durch das Finanzmarktintegritätsstärkungsgesetz (FISG) eingefügt und macht ein funktionierendes IKS und Risikomanagement — Cyberrisiken eingeschlossen — zur ausdrücklichen Vorstandsaufgabe. [N-AktG-91]

Der Normwortlaut

§ 91 Abs. 3 AktG bestimmt: „Der Vorstand einer börsennotierten Gesellschaft hat darüber hinaus ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten.“ Nach § 91 Abs. 2 AktG hat der Vorstand zudem geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem, damit bestandsgefährdende Entwicklungen früh erkannt werden. [N-AktG-91]

Wen trifft die Pflicht des § 91 Abs. 3 AktG?

Den Vorstand börsennotierter Gesellschaften. Die Pflicht zur Einrichtung eines internen Kontroll- und Risikomanagementsystems gilt nach § 91 Abs. 3 AktG ausdrücklich für börsennotierte Gesellschaften. [N-AktG-91]

Was verlangt die Vorschrift?

Ein angemessenes und wirksames System. Der Vorstand muss ein internes Kontrollsystem und ein Risikomanagementsystem einrichten, das im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessen und wirksam ist. Der Maßstab ist unternehmensspezifisch. [N-AktG-91]

Wie unterscheidet sich Abs. 3 von Abs. 2?

Im Gegenstand. § 91 Abs. 2 AktG betrifft das Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen; § 91 Abs. 3 AktG verlangt darüber hinaus ein internes Kontroll- und Risikomanagementsystem. Beide Pflichten stehen nebeneinander. [N-AktG-91]

Sind Cyberrisiken erfasst?

Ja. Das interne Kontroll- und Risikomanagementsystem hat sich an der Risikolage des Unternehmens auszurichten; IT- und Cyberrisiken gehören dazu. Ein wirksames System muss diese Risiken erfassen und steuern. [N-AktG-91]

Woher stammt die Pflicht?

Aus dem FISG. § 91 Abs. 3 AktG wurde durch das Finanzmarktintegritätsstärkungsgesetz eingefügt und hat die zuvor überwiegend anerkannte Organisationspflicht ausdrücklich gesetzlich verankert. [N-AktG-91]

Häufige Fehlannahmen

„Ein IKS ist gesetzlich nicht vorgeschrieben.“ Bei börsennotierten Gesellschaften doch. § 91 Abs. 3 AktG verlangt es ausdrücklich. [N-AktG-91]
„Abs. 2 und Abs. 3 regeln dasselbe.“ Nein. Abs. 2 betrifft die Früherkennung, Abs. 3 das interne Kontroll- und Risikomanagementsystem. [N-AktG-91]
„Das System muss für alle Unternehmen gleich sein.“ Nein. Es ist an Umfang der Geschäftstätigkeit und Risikolage auszurichten. [N-AktG-91]
„Cyberrisiken fallen nicht darunter.“ Doch. Sie gehören zur Risikolage, die das System abzudecken hat. [N-AktG-91]
„Die Pflicht trifft jede Aktiengesellschaft.“ Nein. § 91 Abs. 3 AktG gilt für börsennotierte Gesellschaften. [N-AktG-91]
„Ein formal vorhandenes System genügt.“ Nein. Es muss angemessen und wirksam sein. [N-AktG-91]

Was die Geschäftsleitung tun sollte

System einrichten. Ein internes Kontroll- und Risikomanagementsystem aufbauen, das zur Risikolage passt.
Cyberrisiken integrieren. IT- und Cyberrisiken ausdrücklich in das System aufnehmen.
Wirksamkeit prüfen. Angemessenheit und Wirksamkeit regelmäßig überprüfen.
Prüfungsausschuss einbinden. Die Wirksamkeit im Prüfungsausschuss des Aufsichtsrats behandeln.

Für die Geschäftsleitung

Mit § 91 Abs. 3 AktG ist das interne Kontroll- und Risikomanagementsystem für börsennotierte Gesellschaften ausdrückliche Vorstandspflicht — Cyberrisiken eingeschlossen. Für die Leitung heißt das, ein wirksames, zur Risikolage passendes System zu betreiben und seine Wirksamkeit belegen zu können.