Praxishandbuch Steuerkontrollsystem

1. S. 236Vorbemerkung

Vor Projektbeginn ist es wichtig, einen strukturierten Ablauf für die Implementierung eines Steuerkontrollsystems sicherzustellen. Insbesondere sind dabei Überlegungen hinsichtlich der erforderlichen Steuerkontrollsystem-Elemente, des Zeitrahmens für die Projektumsetzung sowie der benötigten personellen Ressourcen anzustellen.

Ein strukturierter Ablauf begünstigt eine erfolgreiche Umsetzung des Steuerkontrollsystem-Projektes im Unternehmen und verhindert, dass das Projekt„im Sand verläuft“ und es somit zu keinen frustrierten Aufwendungen im Unternehmen kommt.

Nachfolgend wird ein Überblick über einen in der Praxis bewährten Ablauf einer Steuerkontrollsystem-Implementierung gegeben. Abschließend erfolgen noch Praxistipps hinsichtlich des Zeitrahmens für die Implementierung eines Steuerkontrollsystems.

2. Vorgehensweise bei der Implementierung eines Steuerkontrollsystems

2.1. Überblick

Hat sich ein Unternehmen für die Implementierung eines Steuerkontrollsystems entschieden, ist in einem ersten Schritt ein Projektteam, bestehend aus Mitarbeitern des Unternehmens und externen Beratern, zusammenzustellen. Ist dies erfolgt, hat es sich in der Praxis bewährt, mit der Erhebung des aktuellen Status des Steuerkontrollsystems zu beginnen (Gap-Analyse). Darauf aufbauend sind die identifizierten Lücken zu schließen. Dazu gehören die Erstellung einer Steuerrichtlinie sowie die Identifikation und Dokumentation wesentlicher Risiken in der Risiko-Kontroll-Matrix und das Setzen adäquater Steuerungs- und Kontrollmaßnahmen. Danach kann das Steuerkontrollsystem im Unternehmen implementiert werden. Parallel zur Implementierung oder nach Fertigstellung des Steuerkontrollsystems kann ein Gutachten zur Angemessenheit des Steuerkontrollsystems von einem Steuerberater oder Wirtschaftsprüfer eingeholt werden.

Dieser Ablauf ist nachfolgend grafisch dargestellt und wird in den folgenden Kapiteln näher beschrieben.

S. 237

Abb 1: Ablauf Implementierung Steuerkontrollsystem

2.2. Zusammenstellen eines Projektteams

Personalressourcen sind ein wichtiger Erfolgsfaktor für die Implementierung eines Steuerkontrollsystems. Bevor man das Steuerkontrollsystem-Projekt startet, ist es daher zu empfehlen, ein Projektteam zusammenzustellen, das gemeinsam das Projekt umsetzt.

Bei der Nominierung von Unternehmensmitarbeitern in das Projektteam ist zu berücksichtigen, dass ein Steuerkontrollsystem-Projekt neben steuerlichem Fachwissen auch Know-how im Bereich Rechnungswesen, Buchhaltung, IT und allenfalls bei IKS-Themen erfordert. Auch wenn nicht alle Personen des Projektteams in zeitlich gleichem Umfang im Rahmen des Projektes involviert sein werden, ist es vorteilhaft, das Projektteam breit aufzustellen.

Dem Projektteam sollten auch externe Berater angehören. Dabei wird es sich in der Regel um einen Steuerberater handeln, der bereits Praxiserfahrungen im Bereich der Implementierung eines Steuerkontrollsystems hat und somit entsprechendes Know-how in das Projekt einbringt. Hier empfiehlt es sich, eine Steuerberatungskanzlei beizuziehen, die insbesondere auch über entsprechendes Prozessmanagement- und IT-Know-how verfügt.

2.3. S. 238Status- bzw Gap-Analyse

In einem ersten Schritt ist eine Bestandsanalyse der im Unternehmen vorhandenen Maßnahmen zur Sicherung steuerrelevanter Prozesse vorzunehmen. Dabei sind insbesondere folgende Punkte von der Steuerabteilung des Unternehmens sowie vom beigezogenen Steuerberater einer Überprüfung zu unterziehen. Die Steuerabteilung bringt dabei ihr Know-how über die Organisation ein, der Steuerberater seine einschlägige Projekterfahrung.

• Erhebung der Abteilungen und Mitarbeiter, die steuerlich relevante Informationen erzeugen bzw verarbeiten

• Bestehen Regelungen und Dokumentationen über Schnittstellen von der (den) steuerverantwortlichen Person(en) im Unternehmen zu diesen Abteilungen in Bezug auf steuerrelevante Informationen?

• Gibt es klar definierte Verantwortlichkeiten und Abläufe für steuerrelevante Tätigkeiten im Unternehmen und werden diese dokumentiert?

• Werden externe Personen (zB externer Steuerberater und Shared-Service-Center im Konzern) in steuerrelevante Prozesse eingebunden?

• Welche steuerrelevanten Risken sind bekannt und strukturiert dokumentiert?

• Welche Maßnahmen und Kontrollen gibt es hinsichtlich der identifizierten steuerrelevanten Risiken?

• Sind die gesetzten Maßnahmen und Kontrollen zur Minimierung steuerrelevanter Risiken nachvollziehbar, angemessen und wirksam?

• Analyse etwaig bestehender steuerlich relevanter Handbücher, Richtlinien, Checklisten und Arbeitsanweisungen.

• Analyse der steuerbezogenen IT-Landschaft.

• Gibt es Schulungen zu steuerrelevanten Themen?

Nach Erhebung des Ist-Status kann auf Basis der gewonnenen Informationen eine Einschätzung des Reifegrades des Steuerkontrollsystems im Unternehmen vorgenommen werden. Dabei kann nach dem folgenden Modell (angelehnt an das CMM-Modell) vorgegangen werden:

S. 239

Abb 2: Reifegrad Steuerkontrollsystem

Zur Statusanalyse im Detail sei an dieser Stelle auf das Kapitel 17 verwiesen.

2.4. Steuerrichtlinie

Ist die Statusanalyse abgeschlossen, können in einem nächsten Schritt die fehlenden Steuerkontrollsystem-Elemente erstellt werden. Dabei kann mit der Steuerrichtlinie begonnen werden. Diese kann aber auch parallel zu den nachfolgenden Phasen, Risikobeurteilung und Maßnahmen zur Risikosteuerung, ausgearbeitet werden.

In der Steuerrichtlinie sind die Grundelemente und so auch die Ziele des Steuerkontrollsystems zu beschreiben sowie Verantwortlichkeiten zu definieren. Dies ist oft ein gesondertes Dokument. Darin kann im Einzelnen hinsichtlich der erforderlichen Elemente auch auf andere Dokumente (zB Prozessbeschreibungen) verwiesen werden. Der Umfang der Steuerrichtlinie ist von den betrieblichen Anforderungen abhängig, wie insbesondere Unternehmensgröße, ‑komplexität und Internationalität.

S. 240Will das Unternehmen in die Begleitende Kontrolle, hat die Richtlinie aber jedenfalls die in § 11 der SKS-PV vorgesehenen Inhalte abzudecken. Auch bei Einführung eines Steuerkontrollsystems ohne Teilnahme an der Begleitenden Kontrolle ist es zu empfehlen, sich an den Vorgaben des § 11 SKS-PV zu orientieren.

Zudem sollte in der Steuerrichtlinie festgehalten werden, über welche Steuer- und Abgabenarten sich der Wirkungsbereich des Steuerkontrollsystems erstreckt. Neben den von der Begleitenden Kontrolle umfassten Steuer- und Abgabenarten gem § 153e Abs 1 BAO kann ein Steuerkontrollsystem auch zB lohn- und gehaltsabhängige Abgaben, Zoll und Verkehrsteuern enthalten.

Für die Erstellung der Steuerrichtlinie können vom Steuerberater Vorlagen zur Verfügung gestellt werden. Von Unternehmensseite sind unternehmensspezifische Aussagen zu den einzelnen Elementen der Steuerrichtlinie zu liefern. Dazu gehört insbesondere die Darstellung des Unternehmens bzw des Kontrollverbundes (zB Aufbau- und Ablauforganisation des Unternehmens, Aufgaben und Aufbau der Steuerfunktion).

Detailliertere Ausführungen zur Steuerrichtlinie sind dem Kapitel 18 zu entnehmen.

2.5. Risikobeurteilung

Bei einem Steuerkontrollsystem geht es in erster Linie um das Management steuerrelevanter Risiken. In dieser Phase der Steuerkontrollsystem-Implementierung sind dafür die steuerrelevanten Risiken im Unternehmen zu identifizieren, zu analysieren, zu bewerten und anschließend zu dokumentieren. Die Dokumentation hat in einer dafür vorgesehenen Risiko-Kontroll-Matrix (RKM) zu erfolgen.

Im Rahmen der Risikoidentifikation werden zunächst die steuerlich relevanten (Arbeits-) Prozesse im Unternehmen erhoben. Entlang der festgestellten steuerlich relevanten Prozesse im Unternehmen (innerhalb und außerhalb der Steuerabteilung bzw Steuerfunktion) werden dann konkrete steuerliche Einzelrisiken identifiziert.

Der beigezogene Berater wird in dieser Phase zusätzlich mit einem umfassenden Risikokatalog unterstützen, der eine Vielzahl möglicher (abstrakter) steuerlicher Risiken für alle im Unternehmen relevanten Abgaben enthält. Auch wird er sich anhand vorliegender Unterlagen (wie zB Steuererklärungen, Prüfbericht zum Jahresabschluss, Niederschriften zur Außenprüfung) einen Überblick über die steuerlichen Themen des Unternehmens verschaffen.

In der Praxis hat es sich als sinnvoll erwiesen, in einem Workshop des Projektteams anhand der vorliegenden Unterlagen und Informationen die bestehenden und möglichen Risiken im Unternehmen zu identifizieren und zu analysieren. Darauf basierend hat das Projektteam einen finalen unternehmensspezifischen Risikokatalog zu erarbeiten. Dabei sind ergänzend Interviews von Mitarbeitern aus abgabenrelevanten Unternehmensbereichen sinnvoll.

S. 241Gerade bei der Identifizierung und Analyse der steuerlichen Risiken im Unternehmen ist die Beiziehung eines Steuerberaters vorteilhaft, da dieser sämtliche Geschäftsprozesse im Hinblick auf steuerliche Risiken kritisch hinterfragen wird und somit einer „Betriebsblindheit“ der unternehmensinternen Mitarbeiter vorgebeugt wird.

Nach erfolgter Risikoidentifizierung und ‑analyse sind sämtliche erhobenen steuerlichen Risiken in der RKM zu dokumentieren und ist eine Bewertung der dokumentierten Risiken vorzunehmen. Auch bei der Risikobewertung wird der beigezogene Berater mit Vorschlägen für Bewertungsmodelle unterstützen. Das ausgewählte Bewertungsmodell ist dann gemeinsam im Projektteam an die Spezifika des Unternehmens anzupassen. Für nähere Ausführungen zur Risikoanalyse, Risikobewertung und RKM sei auf die Kapitel 20, 21 bzw 25 verwiesen.

2.6. Maßnahmen zur Risikosteuerung

Um ein Entstehen der im vorherigen Implementierungsschritt identifizierten steuerlichen Risiken zu vermeiden, sind für jedes in der RKM dokumentierte Risiko Steuerungs- und Kontrollmaßnahmen festzulegen. Deren Umfang und Arten hängen von den Ergebnissen der Risikobeurteilung ab. Je höher der Grad des Risikos, desto genauer ist bei der Bestimmung der Maßnahmen zur Risikoabdeckung vorzugehen.

Im Kammerfachgutachten zu Erstellung eines Gutachtens zum Steuerkontrollsystem werden beispielhaft je nach Grad des Risikos folgende Steuerungs- und Kontrollmaßnahmen angeführt:

• Niedriges Risiko: Festlegung von Grundsätzen, wie Richtlinien, Handbücher, Checklisten, Arbeitsanweisungen.

• Mittleres Risiko: zusätzlich Festlegung von Maßnahmen, wie Schulungen, Trainings, Webinare, Kommunikation von Grundsätzen.

• Hohes Risiko: zusätzlich Festlegung von Kontrollen, wie Vier-Augen-Prinzip, Stichproben, automatisierte Kontrollen.

An dieser Stelle ist anhand der in der Statusanalyse durchgeführten Erhebungen zu überprüfen, welche im Unternehmen bereits bestehenden Kontrollmaßnahmen welches identifizierte Risiko abdecken. Hinsichtlich jener Risiken, für die noch keine Kontrollmaßnahmen vorhanden sind, sind Kontrollmaßnahmen noch gesondert zu implementieren. Der beigezogene Berater kann hierbei im Rahmen der Erstellung der Kontrollmaßnahmen unterstützen (zB auch mittels Vorlagen für Arbeitsanweisungen, die noch an die unternehmensspezifischen Anforderungen angepasst werden).

Für den Fall, dass die für das jeweilige Risiko definierten Kontrollen nicht eingehalten werden, sind in dieser Implementierungsphase auch Sanktions- und Präventionsmaßnahmen zu überlegen. Das sind im Vorhinein festgelegte Reaktionen des Unternehmens auf festgestellte steuerliche Regelverstöße, also Maßnahmen, die vom Unternehmen im Falle eines Verstoßes gegen steuerrechtliche Vorschriften zu ergreifen sind. Das Ziel der S. 242Maßnahmen ist, die Auswirkungen des Verstoßes auf das Unternehmen möglichst gering zu halten und die Wiederholung gleicher oder ähnlicher Verstöße in Zukunft zu vermeiden. Auch hier wird der externe Berater mit seiner Projekterfahrung bei der Konzeption geeigneter Maßnahmen unterstützen.

2.7. Projektbegleitende Begutachtung

Die Teilnahme an der Begleitenden Kontrolle erfordert, dass das Steuerkontrollsystem von einem Wirtschaftsprüfer oder Steuerberater begutachtet ist. Will ein Unternehmen an der Begleitenden Kontrolle teilnehmen, so ist es möglich, nach Fertigstellung sämtlicher Steuerkontrollsystem-Elemente die Begutachtung vorzunehmen. In der Praxis hat es sich in manchen Konstellationen als sinnvoll erwiesen, die Begutachtung parallel zur Erstellung der einzelnen Steuerkontrollsystem-Elemente durchzuführen. Das heißt nach Abschluss jedes der in den vorangegangenen Punkten angeführten Bereiche wird das jeweilige Steuerkontrollsystem-Element zur Begutachtung an den Wirtschaftsprüfer oder Steuerberater übermittelt.

Diese Vorgehensweise hat den Vorteil, dass nach der Erstellung eines jeden einzelnen Steuerkontrollsystem-Elements ein zeitnahes Feedback vom Gutachter erfolgt. Vor allem bei Feststellungen des Gutachters in der Anfangsphase können diese für die weiteren Steuerkontrollsystem-Elemente gleich berücksichtigt und Folgefehler somit vermieden werden. Auch wenn ein Unternehmen möglichst rasch in die Begleitende Kontrolle wechseln möchte, kann durch die projektbegleitende Begutachtung der Zeitraum von der Planung bis zur Begutachtung des Steuerkontrollsystems kurz gehalten werden.

Weitergehende Ausführungen zur projektbegleitenden Begutachtung sind dem Kapitel 29 zu entnehmen.

2.8. Operative Umsetzung im Unternehmen

Sind sämtliche für das Steuerkontrollsystem erforderlichen Elemente fertig gestellt, kann mit der operativen Umsetzung des Steuerkontrollsystems im Unternehmen begonnen werden.

Generell empfiehlt es sich bei der operativen Umsetzung, in einem ersten Schritt das finale Steuerkontrollsystem den Mitarbeitern aus den abgabenrelevanten Unternehmensbereichen vorzustellen. Anschließend ist jeder Mitarbeiter hinsichtlich der in seinen abgabenrelevanten Arbeitsprozessen vorzunehmenden Kontrollmaßnahmen zu schulen.

Für diese Phase ist ausreichend Zeit einzuplanen, damit hier die Mitarbeiter auf das neue „System“ geschult werden können. Nur wenn jeder involvierte Mitarbeiter die von ihm vorzunehmenden Kontrollen und seine Verantwortung kennt und sich etwaiger Sanktionsmaßnahmen bewusst ist, kann das Steuerkontrollsystem im Unternehmen tatsächlich gelebt und ein Mehrwert für das Unternehmen geschaffen werden.

Der externe Berater kann bei der Präsentation des Steuerkontrollsystems sowie den Schulungen beigezogen werden als auch mit seiner Projekterfahrung im Veränderungsmanagement (change process) unterstützen.

S. 243Gerade in Unternehmen, die noch über kein oder kein sehr ausgeprägtes IKS verfügen, kann ein Steuerkontrollsystem eine umfassende Veränderung in den betrieblichen Abläufen mit sich bringen. Insbesondere in diesem Fall ist in Unternehmen auch mit einem entsprechenden Veränderungsmanagement zu reagieren und verstärkt auf Kommunikation und Schulungen zu setzen.

Bei der operativen Umsetzung ist auch abzuwägen, ob die abgabenrelevanten Prozesse, die identifizierten Risiken und die erforderlichen Kontrollen mittels einer Softwarelösung dokumentiert werden. Es ist hier von Vorteil, wenn der beigezogene Steuerberater über eigene Softwarelösungen oder Kooperationen mit Softwareherstellern sowie entsprechendes Implementierungs-Know-how verfügt. Zur softwarebasierten Unterstützung bei Implementierung und Betrieb des Steuerkontrollsystems siehe weiterführend in diesem Band Kapitel 26.

3. Praxistipps zum Zeitrahmen der Implementierung eines Steuerkontrollsystems

Der Zeitrahmen, in dem ein Steuerkontrollsystem in einem Unternehmen implementiert werden kann, ist abhängig von der Unternehmensgröße und den zur Verfügung stehenden personellen Ressourcen. In der Regel werden für die Steuerkontrollsystem-Implementierung keine zusätzlichen Personalkapazitäten geschaffen bzw zur Verfügung gestellt.

Bei der Festlegung eines Zeitrahmens für die Umsetzung des Steuerkontrollsystem-Projektes sind realistische Vorgaben essenziell. Ein zu enger Zeitrahmen birgt das Risiko des Scheiterns, da Mitarbeiter aufgrund des Zeitdrucks überfordert sein könnten. Bei einem zu großzügigen Zeitrahmen besteht hingegen das Risiko, dass sich das Projekt verläuft und zu verlorenen Kosten führt.

An den bisherigen Praxiserfahrungen hat sich gezeigt, dass ein Zeitrahmen von rund einem Jahr bei mittelgroßen und großen Gesellschaften realistisch für die Implementierung eines Steuerkontrollsystems ist.

Bei eingeschränkten personellen und zeitlichen Ressourcen kann es sich empfehlen, das Steuerkontrollsystem schrittweise einzuführen. Dies könnte so ausgestaltet werden, dass man das Steuerkontrollsystem schrittweise nach Steuerarten und bei schrittweiser Ausrollung auf Konzerngesellschaften umsetzt. Beginnen sollte man dabei mit den wichtigsten Steuerarten (in der Regel Körperschaftsteuer und Umsatzsteuer) und der größten Konzerngesellschaft. Diese schrittweise Vorgehensweise ist natürlich dann nicht zielführend, wenn eine möglichst rasche Aufnahme in die Begleitende Kontrolle angestrebt wird. Ist eine solche das Ziel und sind die dafür erforderlichen personellen Ressourcen knapp, empfiehlt es sich, zusätzliche Ressourcen im Unternehmen zur Verfügung zu stellen.