SOX
SOX ist ein US-amerikanisches Gesetz aus dem Jahr 2002, das börsennotierte Unternehmen zu strengen Regeln bei der Finanzbuchhaltung und internen Kontrollen verpflichtet. Es entstand als Reaktion auf große Bilanzskandale und gilt heute als Maßstab für verlässliche Unternehmensberichterstattung.
SOX steht für den Sarbanes-Oxley Act, ein Bundesgesetz der Vereinigten Staaten, das im Jahr 2002 in Kraft trat. Es wurde verabschiedet, nachdem große amerikanische Unternehmen wie Enron und WorldCom ihre Bilanzen gefälscht hatten und daraufhin zusammenbrachen — mit massiven Verlusten für Hunderttausende Anleger. Das Gesetz ist nach seinen zwei Urhebern im US-Kongress benannt: dem Senator Paul Sarbanes und dem Abgeordneten Michael Oxley. Es verpflichtet alle Unternehmen, die an einer US-Börse gelistet sind, ihre internen Abläufe rund um die Buchführung streng zu dokumentieren und regelmäßig zu prüfen. Damit gilt SOX nicht nur für amerikanische Firmen, sondern für jedes Unternehmen weltweit, das US-Aktien ausgibt.
SOX als Reaktion auf Bilanzskandale
Vor 2002 konnten Unternehmensvorstände Zahlen in Jahresberichten veröffentlichen, ohne persönlich dafür geradezustehen. Wenn die Zahlen falsch waren, war es schwer, einzelne Personen haftbar zu machen. SOX änderte das grundlegend. Der Vorstandsvorsitzende und der Finanzchef eines Unternehmens müssen die Richtigkeit ihrer Finanzberichte seitdem persönlich und schriftlich bestätigen. Wer dabei wissentlich lügt, riskiert bis zu 20 Jahre Gefängnis. Das war ein Signal: Zahlen in Geschäftsberichten sind keine Schätzungen, sondern Versprechen.
Auch externe Prüfer — sogenannte Wirtschaftsprüfer — wurden stärker reguliert. Sie dürfen das Unternehmen, das sie prüfen, nicht gleichzeitig umfangreich beraten. Dieser Interessenkonflikt hatte bei Enron eine Rolle gespielt: Das Prüfungsunternehmen Arthur Andersen hatte Enron geprüft und gleichzeitig lukrative Beratungsaufträge von Enron erhalten — und beide Firmen verschwanden infolge des Skandals vom Markt.
Was SOX in der Praxis verlangt
Der bekannteste Abschnitt von SOX ist Section 404. Er verlangt, dass ein Unternehmen jedes Jahr dokumentiert, wie seine internen Kontrollsysteme für die Finanzberichterstattung aufgebaut sind — und ob sie funktionieren. Konkret bedeutet das: Wer darf Zahlungen freigeben? Welche Vier-Augen-Prinzipien gibt es? Wie wird verhindert, dass eine einzelne Person Buchungen manipuliert? Diese Fragen müssen schriftlich beantwortet und von einem unabhängigen Prüfer bestätigt werden.
Für IT-Abteilungen hat SOX erhebliche Folgen. Systeme, die Finanzdaten verarbeiten oder speichern, müssen lückenlos protokollieren, wer wann welche Daten verändert hat. Unbefugte Zugriffe müssen erkannt und gemeldet werden. Das ist der Grund, warum viele Unternehmen strikte Regeln dafür haben, wer auf bestimmte Datenbanken zugreifen darf — SOX zwingt sie dazu. Ein Verstoß gegen diese Anforderungen kann dazu führen, dass das gesamte Testat, also die Bestätigung des Prüfers, verweigert wird.
Kleinere Unternehmen können von einzelnen Anforderungen befreit sein. Grundsätzlich gilt: Je größer und je stärker an US-Märkten tätig, desto vollständiger greift SOX.
SOX in Tech-News und KI-Debatten
SOX taucht in Tech-Medien häufig im Zusammenhang mit KI und Automatisierung auf. Wenn ein Unternehmen KI-Systeme einsetzt, um Buchungen zu erstellen oder Finanzberichte zu generieren, stellt sich die Frage: Wer trägt die Verantwortung, wenn das System Fehler macht? SOX beantwortet das klar — der Vorstand unterschreibt, also haftet der Vorstand. Das bremst manche Unternehmen dabei, KI unbeaufsichtigt in Finanzprozesse einzubinden.
Auch Cloud-Dienste und Software-as-a-Service-Anbieter werden durch SOX beeinflusst. Wenn ein Unternehmen seine Buchhaltungssoftware in der Cloud betreibt, muss es nachweisen können, dass auch der Cloud-Anbieter die nötigen Sicherheits- und Zugriffskontrollen einhält. Große Anbieter wie Amazon Web Services oder Microsoft Azure werben deshalb gezielt damit, SOX-konforme Infrastruktur zu liefern — das ist für viele ihrer Unternehmenskunden eine Kaufvoraussetzung.
Wer in Wirtschaftsnachrichten liest, dass ein Unternehmen « Schwächen in seinen internen Kontrollen » gemeldet hat, ist fast immer im SOX-Kontext. Solche Meldungen können den Aktienkurs bewegen, weil Anleger sie als Warnsignal werten: Wenn ein Unternehmen seine eigenen Prozesse nicht im Griff hat, wie verlässlich sind dann seine Zahlen?