Risikomanagement und interne Kontrollen der Nachhaltigkeitsberichterstattung

Mit Hilfe des Risikomanagementsystems (RMS) und des standardisierten Internen Kontrollsystems (IKS) des Volkswagen Konzerns sollen potenzielle Risiken frühzeitig erkannt werden, um mit geeigneten Maßnahmen gegenzusteuern und so drohenden Schaden für das Unternehmen abwenden und eine Bestandsgefährdung ausschließen zu können. Das standardisierte IKS wurde in den letzten Jahren zur besseren Absicherung von Prozessrisiken entwickelt und in wesentlichen Gesellschaften etabliert. In 26 Kontrollkatalogen werden den Konzerngesellschaften im Betrachtungsumfang Vorgaben im Hinblick auf abzudeckende Prozessrisiken und Kontrollziele gemacht, um die Wertschöpfungskette standardisiert abzusichern. Inhaltlich sind neben den Themen zur Finanzberichterstattung beispielsweise Prozessrisiken in der Entwicklung oder der Produktion, im Bereich Compliance sowie für Nachhaltigkeitsthemen adressiert. Jährlich erfolgt eine risikoorientierte Überprüfung der in das standardisierte IKS einzubeziehenden Gesellschaften. Die Kontrollkataloge werden in regelmäßigen Abständen auf ihre Aktualität geprüft und erweitert.

Zur Erfüllung der Anforderungen an die Nachhaltigkeitsberichterstattung und zur Absicherung des zugehörigen Berichtsprozesses wurden im Berichtsjahr im Rahmen einer Risikoanalyse wesentliche Risiken entlang des Berichtsprozesses identifiziert und mitigierende interne Kontrollen anhand eines Kontrollkatalogs für den Nachhaltigkeitsberichterstattungsprozess im standardisierten IKS implementiert.

Hierbei wurden die Bestandteile des Berichtsprozesses von der Absicherung der Vollständigkeit und Richtigkeit des Berichtsumfangs, über die Wesentlichkeitsanalyse, die identifizierten Chancen, Risiken und Auswirkungen bis hin zur Vollständigkeit und Richtigkeit der Darstellung in der externen Berichterstattung als Risiken identifiziert und vollständig als abzudeckende Prozessrisiken in den Kontrollkatalog aufgenommen.

Für das Risiko der fehlerhaften Berechnung, Erfassung oder Weiterverarbeitung von Datenpunkten wurde ein risikoorientiertes Konzept aufgesetzt, das unter anderem Aspekte wie die Komplexität der Datengenerierung berücksichtigt. Abhängig von der Risikoeinstufung der Datenpunkte erfolgt eine Aufnahme in den zentralen Ansatz des standardisierten IKS beziehungsweise verbleibt eine dezentrale Dokumentation.

Die regelmäßige Überprüfung der identifizierten wesentlichen Risiken entlang des Berichtsprozesses, die dazugehörigen Kontrollen, die Identifikation potenzieller Kontrollschwächen und deren Behebung sowie die entsprechende Berichterstattung erfolgen im Rahmen der Prozesse des standardisierten IKS. Vierteljährlich erfolgt eine Berichterstattung an den Konzernvorstand sowie den Prüfungsausschuss des Aufsichtsrats zum Abarbeitungsstand der identifizierten Kontrollschwächen. Weiterführende Informationen zum Risikomanagementansatz finden sich unter „Vorgehensweise und Ergebnisse der doppelten Wesentlichkeitsanalyse“.