RISIKOFAKTOREN UND RISIKOMANAGEMENT

Das Risikomanagement

Als weltweit agierendes Unternehmen sind wir im Rahmen unserer breit gefächerten Geschäftstätigkeiten verschiedenen Risiken ausgesetzt. Wir definieren Risiken im weitesten Sinne als die Gefahr, unsere finanziellen, operativen oder strategischen Ziele nicht wie geplant zu erreichen. Um den Unternehmenserfolg langfristig zu sichern, ist es daher unerlässlich, die Risiken effektiv zu identifizieren, zu analysieren und durch geeignete Steuerungsmaßnahmen zu beseitigen oder zu begrenzen. Wir verfügen über ein umfassendes Risikomanagement-System, mit dem wir Risiken frühzeitig erkennen und analysieren und entsprechende Maßnahmen ergreifen können. Dieses System ist als integraler Bestandteil unserer Geschäftsprozesse unternehmensweit implementiert, umfasst eine Vielzahl von Kontrollmechanismen und ist ein wesentliches Element der unternehmerischen Entscheidungsprozesse. Hierzu gehören unter anderem die Erfassung, Überwachung und Steuerung der internen Unternehmensprozesse und Geschäftsrisiken, diverse Management- und Kontrollsysteme, ein konzernweit einheitlicher Planungsprozess sowie eine umfassende Risikoberichterstattung. Um die Effektivität unseres Risikomanagements sicherzustellen und die Aggregation von Risiken sowie eine transparente Berichterstattung zu ermöglichen, haben wir uns für einen unternehmensweit einheitlichen, integrierten Ansatz zum Management von Unternehmensrisiken entschieden. Daher ist das Risikomanagement unternehmensweit in der Organisation Global Governance, Risk, and Compliance (GRC) mit direkter Berichtslinie zum Finanzvorstand der SAP AG zusammengefasst. Hinsichtlich des Risikomanagements hat diese Organisation den Auftrag,

• kontinuierlich die Risiken aller wesentlichen Geschäftstätigkeiten mittels eines einheitlichen methodischen Ansatzes zu identifizieren und zu bewerten,
• die Umsetzung der festgelegten Gegensteuerungsmaßnahmen zu überwachen,
• der Unternehmensleitung regelmäßig über Risiken zu berichten,
• eine risikoangepasste globale Versicherungsstrategie als ein Mittel zur Risikobewältigung zu überwachen sowie
• die Einhaltung der Vorschriften zur Einrichtung und Überwachung eines effektiven internen Kontrollsystems über die Finanzberichterstattung gemäß Section 404 des Sarbanes-Oxley Act zu sichern.

Als in Deutschland ansässige Aktiengesellschaft, deren Wertpapiere an einer US-amerikanischen Börse notiert sind, unterliegt SAP den Rechtsvorschriften zur Unternehmensführung sowohl des deutschen als auch des US-amerikanischen Rechtssystems. Gemäß den Anforderungen der US-amerikanischen Section 404 des Sarbanes-Oxley Act haben wir eine Einschätzung der Effektivität unseres internen Kontrollsystems für die Finanzberichterstattung vorgenommen. Diese ergab, dass unser rechnungslegungsrelevantes Kontrollsystem zum 31. Dezember 2006 beziehungsweise 31. Dezember 2007 funktionsfähig war. Darüber hinaus haben wir für das Geschäftsjahr 2008 erstmals die Beurteilung der Effektivität in Anlehnung an den PCAOB Auditing Standard No. 5 durchgeführt. Diese ergab bis zum 10. März 2009 keine Anhaltspunkte dafür, dass das Kontrollsystem zum 31. Dezember 2008 nicht funktionsfähig war. Die zentralen Geschäftsprozesse der SAP AG und der wichtigsten Konzerngesellschaften sowie die darin enthaltenen Kontrollen haben wir entsprechend den oben genannten Anforderungen dokumentiert. Die Konzernrevision sowie Prozessexperten beurteilen fortwährend die Prozesse und deren Dokumentation. Sie testen ebenfalls die Prozesskontrollen hinsichtlich ihrer Konzeption und Effektivität. Auch der konzernweit gültige Verhaltenskodex für Mitarbeiter und Vorstände (Code of Business Conduct) sowie die Überwachung des Vorstands durch den Aufsichtsrat sind beispielsweise Bestandteile dieses Risikomanagement-Systems.

Unser Risikomanagement-System basiert auf einem einheitlichen Risikomanagement-Konzept, dem sogenannten Global Risk Management Framework. Dieses Framework, das unter anderem die Einhaltung der Anforderungen des US-amerikanischen Sarbanes-Oxley Act sicherstellt, haben wir gemäß internationalen Empfehlungen entwickelt und umgesetzt. Das Global Risk Management Framework besteht aus fünf Hauptbestandteilen:

• einer unternehmensweiten, vom SAP-Vorstand erlassenen Risikomanagement-Richtlinie,
• der Risikomanagement-Organisation als Teil der GRC-Organisation,
• einem unternehmensweit einheitlichen Risikomanagement-Prozessmodell,
• einer SAP-weit implementierten Software für die Unterstützung der Risikomanagement-Prozesse und
• einer unternehmensweiten, kaskadierenden Risikoberichterstattung.

Die Risikomanagement-Richtlinie sowie das Risikomanagement-Prozessmodell der SAP überprüfen wir jährlich und passen sie bei Bedarf an. Die Einhaltung der Risikomanagement-Richtlinie wird durch zielgerichtete Prüfungen der Konzernrevision (Global Internal Audit Service, GIAS) kontrolliert. Die interne Revision prüft regelmäßig die Sicherheit des Risikomanagement-Systems und die Effizienz der Risikomanagement-Prozesse und berichtet dem Vorstand über die Ergebnisse. Darüber hinaus wird die Wirksamkeit des Risikomanagements vom Bilanzprüfungsausschuss überwacht. Unser Abschlussprüfer prüft jährlich die grundsätzliche Eignung unseres Risikomanagement-Systems zur frühzeitigen Erkennung bestandsgefährdender Risiken im Sinne des § 91 Abs. 2 AktG.