Bankbestätigungen ausschließlich unter Einbindung einer digitalen Plattform

Die Bank eines Abschlussprüfungsmandanten hat angekündigt, Bankbestätigungen ausschließlich unter Einbindung einer digitalen Plattform namens confirmation.com bereitzustellen; der Prozess der Einholung der Bankbestätigungen soll vollständig digital gestaltet sein. Was muss ich berufsrechtlich und fachlich beachten?

Was berufsrechtlich zu beachten ist

Bei confirmation.com handelt es sich um einen Dienstleister, der anbietet, dass Bankbestätigungen auf digitalem Weg eingeholt werden können. Die digitale Plattform „schiebt sich“ zwischen das zu prüfende Unternehmen, dessen Bank und den Abschlussprüfer.

Auch wenn der Wunsch, einen externen IT-Dienstleister für die Einholung von Bankbestätigungen einzubinden, von der Bank ausgeht (Digitalisierung und damit Verschlankung der Arbeitsprozesse), sind die Vertragsbedingungen von confirmation.com so ausgestaltet, dass es sich um einen Dienstleister des Abschlussprüfers nach § 50a Abs. 1 Satz 2 WPO handelt: Der Abschlussprüfer registriert sich bei confirmation.com. Löst er eine Anfrage zur Einholung einer Bankbestätigung aus, wird zunächst über die Plattform beim zu prüfenden Unternehmen dessen Zustimmung zur Erteilung der Saldenbestätigung eingeholt. Wenn das Unternehmen zustimmt, erhält die Bank die Anfrage. Sie stellt die Saldenbestätigung aus und stellt sie in der Plattform zur Verfügung. Der Abschlussprüfer erhält eine Nachricht und kann sie abrufen. Für diese Dienstleistung entrichtet der Abschlussprüfer ein Entgelt. Bei dieser Ausgestaltung der rechtlichen Verhältnisse wird somit ein Vertrag zwischen confirmation.com und dem Abschlussprüfer geschlossen.

Dabei sind die berufsrechtlichen Anforderungen des § 50a WPO zu beachten.

So bedarf es nach § 50a Abs. 3 WPO eines Vertrages mit dem Dienstleister in Textform, in dem

• der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten ist,
• der Dienstleister zu verpflichten ist, dass er sich nur insoweit Kenntnis von fremden Geheimnissen verschafft, als dies zur Vertragserfüllung erforderlich ist, und
• festzulegen ist, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.

Die WPK hat in Gesprächen mit Vertretern von confirmation.com erreicht, dass diese Anforderungen an den Vertrag mit dem Abschlussprüfer in die Allgemeinen Geschäftsbedingungen von confirmation.com aufgenommen wurden („User Agreements“ > „For Requesters of Confirmations“ > „8.5. Supplemental Terms with German Auditors/Sworn Accountants“). Nach Auffassung der WPK ist damit den Anforderungen des § 50a Abs. 3 WPO Genüge getan.

Daneben besteht für den Abschlussprüfer unter anderem auch die Pflicht, seinen Dienstleister sorgfältig auszuwählen und die Zusammenarbeit unverzüglich zu beenden, wenn dieser die Einhaltung der Vorgaben des § 50a Abs. 3 WPO nicht mehr gewährleisten kann (§ 50a Abs. 2 WPO). Diese Anforderungen dürften aber im laufenden Betrieb unproblematisch sein.

Folgende zusätzlichen Informationen aus den Gesprächen mit confirmation.com (Stand: Sommer 2021), die sich auf das Verfahren beziehen, können den Mitgliedern der WPK zur Verfügung gestellt werden:

• Zur Frage, wie Confirmation.com prozessual sicherstellt, dass die Daten (Saldenbestätigungen der Banken) von der Bank stammen und beim Übertragungsprozess nicht manipuliert werden können, wurde seitens confirmation.com erläutert, dass es sich um eine reine Softwarelösung handele. Es sollen SMS- beziehungsweise E-Mail-basierte Token mit dem technischen Standard „SAML 2.0 based Single Sign On (SSO)“ zum Einsatz kommen, während alle Übertragungswege verschlüsselt sein sollen.
• In Bezug auf den Übertragungsprozess und den Ausschluss von Manipulationen scheinen damit normale technische Sicherheitsstandards angewandt zu werden. Alle teilnehmenden Banken wurden von confirmation.com überprüft. Die Bankbestätigungen werden von den Banken und dort von bestimmten, ausgewählten Mitarbeitern erstellt und über die Plattform dem Abschlussprüfer zur Verfügung gestellt.
• Zur Frage, ob eine Validierung des Prozesses durch einen unabhängigen Dritten erfolgt, wurde auf die regelmäßige Validierung des Prozesses durch unabhängige Dritte und auf entsprechende SOC-Berichte erwiesen.

Zu weiteren Einzelheiten wird auf den Praxishinweis der WPK „Mitwirkung Dritter an der Berufsausübung (§§ 50, 50a WPO)“, Stand 26. Juli 2018 sowie auf die Auslegungshilfe des IDW vom 7. Februar 2018 (Hilfestellung zur Beauftragung von Dienstleistern) verwiesen.

Was fachlich zu beachten ist

Derzeit sind keine Anhaltspunkte ersichtlich, die einer Nutzung von confirmation.com unter fachlichen Gesichtspunkten entgegenstehen.

Wegen der Pflicht zur gewissenhaften Berufsausübung muss zunächst sichergestellt sein, dass der Abschlussprüfer frei über Art und Umfang der einzuholenden Informationen bestimmen und sich selbst ein Urteil bilden kann. Dies wird durch die Nutzung der von confirmation.com betriebenen digitalen Plattform zur Einholung zur Saldenbestätigung nicht vorgegeben oder eingeschränkt.

Für die Einholung von Bankbestätigungen sind allgemein die einschlägigen fachlichen Verlautbarungen zugrunde zu legen (beispielsweise ISA 505, IDW PS 302 n. F.). Danach hat der Abschlussprüfer die Kontrolle über das Bestätigungsverfahren zu bewahren. Dies umfasst

• die Festlegung der einzuholenden Informationen,
• die Auswahl des geeigneten Dritten,
• die Ausgestaltung der Bestätigungsanfragen,
• die Versendung der Anfragen sowie eventueller Folgeanfragen.

Bei der Nutzung von confirmation.com wird die Anforderung von Bankbestätigungen vom Abschlussprüfer initiiert. Die Bestätigungen werden ihm auf der Plattform direkt von der Bank zur Verfügung gestellt. Insofern ist eine Kontrolle über das Verfahren gegeben.

Bei der Auswahl der einzuholenden Informationen bestehen grundsätzlich auch keine Einschränkungen. Confirmation.com ermöglicht in einem vorgegebenen Rahmen, die Inhalte der Saldenbestätigung auszuwählen. Zusätzlich lassen sich weitere Unterlagen über der Anfrage beigefügte Dokumente anfordern.

Zu beachten ist, dass der Abschlussprüfer Antworten auf Bestätigungsanfragen auf ihre Verlässlichkeit hin zu würdigen hat. Diese Verpflichtung gilt auch bei Bestätigungen, welche über externe Dienstleister bereitgestellt werden (ISA 500 Tz. 10, IDW PS 302 n. F. Tz. 14).