Risikoanalyse bei der Einführung von Tax Compliance Mana ... / 4 Aufnahme der bestehenden Strukturen des innerbetrieblichen Kontrollsystems (TCMS)

Nachdem bereits ein Überblick über das Geschäftsmodell des Unternehmens besteht und Schwerpunkte der Risikoanalyse gesetzt wurden, werden nun im Wege einer Mitarbeiterbefragung die wesentlichen Informationen zu steuerlichen Vorgängen und Prozessen abgefragt. Erster Ansprechpartner hierfür ist die Steuer- und/oder Buchhaltungsabteilung des Unternehmens. Die Mitarbeiter der Steuer- und/oder Buchhaltungsabteilung sollten im Idealfall zu allen steuerlich relevanten Sachverhalten innerhalb des Unternehmens Auskünfte geben können sowie Zugriff auf die meisten steuerlich relevanten Dokumente haben. Ferner sind bei den Mitarbeitern der Steuer- und Buchhaltungsabteilung Auskünfte zu den Prozessen betreffend die Erstellung von Steuererklärungen und -anmeldungen, Steuerzahlung und Fristenkontrolle zu erfragen.

Da – wie oben dargestellt – zahlreiche andere Bereiche des Unternehmens Berührungspunkte zu steuerlich relevanten Sachverhalten haben, ist die Befragung auch auf Mitarbeiter anderer Unternehmensbereiche auszudehnen. Zur vollständigen Aufnahme der den steuerlichen Sachverhalten zugrunde liegenden Prozesse und der bereits vorhandenen Kontrollstrukturen ist es unumgänglich, auch die anderen Bereiche des Unternehmens zu befragen.

So ist es z. B. im Bereich der Analyse der umsatzsteuerlichen Risiken im Rahmen des Vorsteuerabzugs (vgl. Beispiel 1) auch notwendig, die für den Einkauf zuständigen Mitarbeiter und die Mitarbeiter der Buchhaltung einzubeziehen.

Praxis-Beispiel

Beispiel 1

Ergibt sich im Rahmen der ersten Risikoanalyse im Bereich Umsatzsteuer, dass Eingangsrechnungen nicht die Voraussetzungen einer ordnungsgemäßen Rechnung nach §§ 14, 14a UStG erfüllen und daher der Vorsteuerabzug aus diesen Rechnungen zu Unrecht geltend gemacht wurde, ist weiter zu analysieren, wo die Ursachen für diese Fehler liegen.

Dazu muss untersucht werden, wie der Prozess von der Beauftragung der Leistung über den Eingang der Rechnung sowie deren buchhalterischen Erfassung bis hin zum Ausfüllen der Umsatzsteuer-Voranmeldung, gestaltet ist. Dabei sind zum einen die einzelnen Prozessschritte zu erfassen. Zum anderen ist zu erfassen, welche Personen oder Funktionen die Verantwortung für den einzelnen Prozessschritt tragen. Dies kann zum Beispiel in Form einer strukturierten Erfassung der Abläufe in grafischer Form (siehe Abb. 4), ergänzt durch eine Risiko-Kontroll-Matrix (Abb. 5) erfolgen. Im Anschluss an die Aufnahme der Abläufe und Kontrollen kann analysiert werden, in welchem Bereich die Verantwortung für die steuerliche Prüfung der Eingangsrechnung liegt und warum nicht erkannt wurde, dass die Rechnungen nicht die gesetzlichen Voraussetzungen erfüllen.

Praxis-Beispiel

Beispiel 2

Aus dem Gespräch mit der Geschäftsleitung ergibt sich u. a., dass seit dem Jahr 2020 der Umsatz aus grenzüberschreitenden Lieferungen an Unternehmen innerhalb der Europäischen Union ("innergemeinschaftliche Lieferungen") stark angestiegen ist. Die letzte Betriebsprüfung, die die Jahre 2017 bis 2019 zum Gegenstand hatte, hat sich – aufgrund der damals noch untergeordneten Bedeutung – nicht näher mit den grenzüberschreitenden Lieferungen befasst.

Aus den aufgeführten Informationen kann der Schluss für die Risikoanalyse gezogen werden, dass ein Schwerpunkt der umsatzsteuerlichen Prüfung bei den grenzüberschreitenden Lieferungen gesetzt werden sollte.

Es empfiehlt sich, die jeweiligen Prozesse und Kontrollen strukturiert zu dokumentieren, insbesondere auch, um Anpassungsbedarfe in den Prozessen zu ermitteln und als Basis für die Dokumentation des im weiteren Projektverlauf eingerichteten bzw. angepassten TCMS.

Zur Dokumentation empfehlen sich Prozess-Flowcharts, in denen wesentliche Prozessschritte, Entscheidungen sowie Kontrollen und eingesetzte IT-Systeme inklusive der jeweiligen Verantwortlichkeiten dargestellt werden.

Abb. 4: Beispiel eines Prozess-Flowcharts zur grafischen Dokumentation relevanter Prozesse

Für die Dokumentation der Kontrollstrukturen hat sich die Form der Risiko-Kontroll-Matrix bewährt, in denen die Kontrollen nach Art, Häufigkeit und Verantwortung dokumentiert und bewertet werden können.

Abb. 5: Beispiel einer Risiko-Kontrollmatrix

Für die Gespräche zur Erfassung der Prozesse und Kontrollstrukturen mit den Mitarbeitern der Abteilungen wird in der Regel auf relativ umfangreiche Fragelisten zurückgegriffen. Das bloße Ausgeben von Fragebögen kann nach der bisherigen Erfahrung der Verfasser die Befragung der Mitarbeiter nicht ersetzen. Dies trifft insbesondere bei Mitarbeitern außerhalb von Buchhaltung und Steuerabteilung zu. Zudem können die wesentlichen Schwachstellen häufig auch erst durch eine entsprechende Lenkung des Gesprächs und zielgerichtetes Nachfragen aufgedeckt werden.

Praxis-Beispiel

Weiterführung Beispiel 2

In Beispiel 2 werden die in Bezug auf die Hinterlegung und Prüfung der Umsatzsteuer-Identifikationsnummern ("UStID") der Empfänger der innergemeinschaftlichen Lieferungen^[1] adressierten Fragen wie folgt beantwortet:

Adressat	Frage	Antwort
St...