Risiko- und Chancenbericht Informationen

Um wettbewerbsfähig zu bleiben und nachhaltig erfolgreich zu sein, geht adidas Risiken bewusst ein. Dabei versuchen wir stets, sich bietende Chancen frühzeitig zu erkennen und zu ergreifen. Unsere Grundsätze und unser System für das Risiko- und Chancenmanagement stellen sicher, dass wir unsere Geschäftstätigkeit in einem gut kontrollierten Unternehmensumfeld ausüben können.

Grundlagen des Risiko- und Chancenmanagements

Hauptziel des Risiko- und Chancenmanagements ist es, innerhalb eines chancenorientierten und gleichzeitig risikobewussten Handlungsbereichs den Geschäftserfolg zu fördern und die Unternehmensfortführung zu gewährleisten. Die Richtlinie zum Risikomanagement (‚Enterprise Risk Management Policy‘) legt sowohl die Grundsätze, Verfahren, Instrumente, Risikobereiche und Verantwortlichkeiten innerhalb des Unternehmens als auch die Anforderungen an die Berichterstattung sowie die Kommunikationspflichten fest. Risiko- und Chancenmanagement ist eine unternehmensweite Aufgabe, in die wichtige Erkenntnisse sowohl des Vorstands als auch des Managements auf Ebene unserer globalen und lokalen Geschäftseinheiten und -funktionen einfließen. Wir verstehen Risiken als das potenzielle Eintreten eines internen oder externen Ereignisses (bzw. einer Folge von Ereignissen), welches das Erreichen unserer Geschäfts- oder Finanzziele negativ beeinflussen kann. Chancen definieren wir als das potenzielle Eintreten eines internen oder externen Ereignisses (bzw. einer Folge von Ereignissen), welches das Erreichen unserer Geschäfts- oder Finanzziele positiv beeinflussen kann.

Risiko- und Chancen­managementsystem

Der Vorstand trägt die Gesamtverantwortung für das Risiko- und Chancenmanagementsystem, durch das ein umfassendes und einheitliches Management sämtlicher relevanter Risiken und Chancen sichergestellt wird. Die zentrale Risikomanagementabteilung hat die Aufgaben der Steuerung, Umsetzung und Weiterentwicklung des Risiko- und Chancenmanagementsystems und ist im Auftrag des Vorstands für den zentral gesteuerten Risiko- und Chancenmanagementprozess verantwortlich. Der Aufsichtsrat ist dafür zuständig, die Wirksamkeit des Risikomanagementsystems zu überwachen, was durch den Prüfungsausschuss des Aufsichtsrats durchgeführt wird. Unsere interne Revisionsabteilung (Internal Audit), die unabhängig von allen anderen Unternehmensbereichen arbeitet, gibt gegenüber Vorstand und Prüfungsausschuss regelmäßig eine objektive Einschätzung der Angemessenheit und Wirksamkeit des Risiko- und Chancenmanagementsystems des Unternehmens ab. Zusätzlich schließt unsere interne Revisionsabteilung im Rahmen ihrer regulären Prüfungstätigkeit von ausgewählten Tochterunternehmen und Unternehmensfunktionen auch die Wirksamkeit von Risikomanagementprozessen und die Einhaltung der Vorschriften der Richtlinie zum Risikomanagement in den jährlichen Prüfungsumfang ein.

Unser Risiko- und Chancenmanagementsystem beruht auf Rahmenwerken für unternehmensweites Risikomanagement und interne Kontrollsysteme, die vom Committee of Sponsoring Organizations of the Treadway Commission (COSO) entwickelt und veröffentlicht wurden. Darüber hinaus haben wir unser Risiko- und Chancenmanagementsystem an die Struktur sowie die Kultur von adidas angepasst. In diesem System werden Risiken und Chancen identifiziert, bewertet, gesteuert, systematisch berichtet und überwacht. Darüber hinaus wenden wir ein quantitatives Konzept für die Risikotragfähigkeit und den Risikoappetit an. Die Risikotragfähigkeit ist eine liquiditätsbasierte Kennzahl und beschreibt das Höchstmaß an Risiko, welches die adidas AG tragen kann, ohne von einer Insolvenz bedroht zu sein. Der Risikoappetit bezieht sich auf das Höchstmaß an Risiko, das das Unternehmen eingehen will, und leitet sich aus den Liquiditätszielen des Unternehmens ab.

Risiko- und Chancenmanagementsystem

Unser Risiko- und Chancenmanagementprozess besteht aus den folgenden Schritten:

• Risiko- und Chancenidentifikation: Wir überwachen fortlaufend sowohl das gesamtwirtschaftliche Umfeld und die Entwicklungen in der Sportartikelindustrie als auch unsere internen Prozesse, um Risiken und Chancen so früh wie möglich zu identifizieren. Halbjährlich führt die zentrale Risikomanagementabteilung eine Befragung des Senior Managements sowie ausgewählter Personen des mittleren Managements durch und stellt so eine effektive Bottom-up-Identifikation von Risiken und Chancen sicher. Die zentrale Risikomanagementabteilung hat des Weiteren 25 Kategorien definiert, die bei der systematischen Identifikation von Risiken und Chancen unterstützen sollen. Zudem greift adidas im Identifikationsprozess der Risiken und Chancen auf verschiedene Instrumente zurück, beispielsweise auf die primäre qualitative und quantitative Marktforschung. Dazu zählen z. B. Trendscouting, Konsumentenbefragungen und Erfahrungswerte unserer Geschäftspartner. Unterstützt wird dies durch weltweite Markt- und Wettbewerbsanalysen. Mit diesem Prozess versuchen wir, die Märkte, Kategorien, Zielgruppen und Produkte zu ermitteln, die uns sowohl lokal als auch global zukünftig die größten Wachstumschancen bieten. Zugleich konzentrieren sich unsere Analysen auf die Bereiche, in denen Risiken durch Marktsättigung, zunehmenden Wettbewerb oder durch sich wandelnde Vorlieben der Konsument*innen bestehen. Darüber hinaus berücksichtigen wir Themen im Zusammenhang mit Umwelt-, Sozial- und Governance-Aspekten in unserem gesamten Identifizierungsprozess sowie in den darauffolgenden Prozessschritten. Unsere Risiko- und Chancenidentifikation ist jedoch nicht nur auf externe Risikofaktoren oder Chancen beschränkt, sondern betrachtet auch interne Aspekte wie Unternehmenskultur, Prozesse, Projekte, Personal- oder auch Compliance-Themen.
• Risiko- und Chancenbewertung: Wir beurteilen die identifizierten Risiken und Chancen einzeln anhand einer systematischen Bewertungsmethode. Diese ermöglicht neben einer angemessenen Prioritätensetzung auch eine angemessene Zuweisung von Ressourcen. Die Risiko- und Chancenbewertung fällt in den Zuständigkeitsbereich der zentralen Risikomanagementabteilung, die beim Bewertungsprozess von Fachexpert*innen unterstützt und beraten wird und darüber hinaus auch externe und interne Daten verwendet. Zudem führt die zentrale Risikomanagementabteilung mit den Vorstandsmitgliedern und obersten Führungskräften eine Bewertung der relevantesten Risiken und Chancen durch.

Nach unserer Methode werden Risiken und Chancen anhand zweier Dimensionen bewertet: der möglichen Auswirkung und der Eintrittswahrscheinlichkeit dieser Auswirkung. Gemäß dieser Bewertung teilen wir Risiken und Chancen in drei Kategorien ein: gering, moderat und groß.

Bei der Bewertung der möglichen Auswirkung unterscheiden wir fünf Kategorien: marginal, niedrig, mittel, hoch und signifikant. Diese Kategorien repräsentieren finanzielle oder äquivalente nichtfinanzielle Größen. Die finanziellen Größen basieren auf dem potenziellen Einfluss auf Gewinn und Cashflow des Unternehmens. Zu den eingesetzten nichtfinanziellen Größen zählen das Ausmaß der Beeinträchtigung von Reputation und Markenimage des Unternehmens sowie seiner Attraktivität als Arbeitgeber. Außerdem können das Ausmaß eines Personenschadens und das Ausmaß rechtlicher Konsequenzen sowohl für das Unternehmen als auch für handelnde Einzelpersonen berücksichtigt werden. Wahrscheinlichkeit bezeichnet die Möglichkeit, dass ein bestimmtes Risiko bzw. eine bestimmte Chance eintritt und eine Auswirkung in der genannten Höhe hat. Die Eintrittswahrscheinlichkeit für einzelne Risiken und Chancen wird auf einer Prozentskala bewertet und ebenfalls in fünf Kategorien aufgeteilt. 

Bewertungskategorien der Risiken

Bei der Risiko- und Chancenbewertung wird zusätzlich berücksichtigt, wie schnell ein Risiko bzw. eine Chance eintreten kann (,Velocity‘). Wir unterscheiden dabei, in welchem Geschäftsjahr Risiken und Chancen eintreten könnten. Bei der Risikobewertung betrachten wir sowohl das Brutto- als auch das Nettorisiko. Das Bruttorisiko stellt dabei das inhärente Risiko vor risikomindernden Maßnahmen dar. Das Nettorisiko bezeichnet das verbleibende Risiko nach Umsetzung sämtlicher risikomindernder Maßnahmen. Dieser Ansatz ermöglicht einerseits ein umfassendes Verständnis dafür, welchen Einfluss risikomindernde Maßnahmen haben, und bildet andererseits die Grundlage für Szenarioanalysen. Unsere Risikoeinschätzung in diesem Bericht spiegelt ausschließlich das Nettorisiko wider. Wir messen jährlich die tatsächlichen finanziellen Auswirkungen ausgewählter eingetretener Risiken und Chancen im Vergleich zur ursprünglichen Bewertung (,Back-Testing‘). Auf diese Weise stellen wir eine stetige Überprüfung der Genauigkeit der Risiko- und Chanceneinschätzung innerhalb des Unternehmens sicher und können aus den gewonnenen Erkenntnissen die Bewertungsmethoden ständig verbessern.

Zur Bewertung ihres potenziellen Einflusses werden alle Chancen hinsichtlich Umsetzbarkeit, Wirtschaftlichkeit und möglicher damit verbundener Risiken untersucht. Diesen Ansatz verfolgen wir auf Unternehmens- sowie auf Markt- und Markenebene sowohl bei langfristigen strategischen Chancen als auch bei eher kurzfristigen taktischen und opportunistischen Initiativen. Anders als bei der Risikobewertung existiert bei der Chancenbewertung nur die Nettoperspektive.

Um das Risiko- und Chancenportfolio (d. h. die aggregierte Risikoposition) des Unternehmens zu bestimmen, aggregieren wir Risiken und Chancen mithilfe einer stochastischen Simulation (Monte-Carlo-Simulation), wobei wir Interdependenzen einzelner Risiken und Chancen berücksichtigen. Hinsichtlich der Beurteilung des Fortbestandes des Unternehmens vergleichen wir das Risiko- und Chancenportfolio für 2024 mit der vom Unternehmen definierten Risikotragfähigkeit und bestimmen die Wahrscheinlichkeit, mit der das Gesamtrisiko die Risikotragfähigkeit übersteigt. Um festzustellen, ob unser Rating gefährdet ist, vergleichen wir das Risiko- und Chancenportfolio für 2024 mit dem definierten Risikoappetit und bestimmen die Wahrscheinlichkeit, mit der das Gesamtrisiko den Risikoappetit übersteigt.

• Risiko- und Chancensteuerung: Risiken und Chancen werden gemäß den Grundsätzen des Risiko- und Chancenmanagements, die in der Richtlinie zum Risikomanagement dargelegt sind, gesteuert. Die Risikoverantwortlichen haben die Aufgabe, in ihren jeweiligen Verantwortungsbereichen geeignete risikomindernde Maßnahmen zu erarbeiten und umzusetzen. Darüber hinaus müssen die Risikoverantwortlichen eine allgemeine Strategie zum Umgang mit den identifizierten Risiken erarbeiten. Zu diesen Strategien zählen Risikovermeidung, Risikoverringerung mit dem Ziel, die Auswirkung bzw. die Eintrittswahrscheinlichkeit zu reduzieren, Risikotransfer auf Dritte oder Risikoakzeptanz. Die Entscheidung über die Umsetzung der entsprechenden Strategie zur Steuerung des Risikos berücksichtigt auch die Kosten im Verhältnis zum Nutzen etwaiger geplanter risikomindernder Maßnahmen. Die zentrale Risikomanagementabteilung arbeitet eng mit den Risikoverantwortlichen zusammen, um den stetigen Fortschritt geplanter risikomindernder Maßnahmen zu überwachen und darüber hinaus die Wirksamkeit bereits umgesetzter risikomindernder Maßnahmen zu beurteilen. Abhängig von der in der Risiko- und Chancenbewertung festgelegten Risikoklassifizierung liegt die Entscheidungsbefugnis hinsichtlich Risikoakzeptanz beim Vorstand, bei den obersten Führungskräften, die direkt an ein Vorstandsmitglied berichten, und beim operativen Management auf der nächsten hierarchischen Ebene. Die Entscheidung, als ,bedeutend‘ klassifizierte Risiken zu akzeptieren, ohne zusätzliche risikomindernde Maßnahmen zu ergreifen, kann nur vom gesamten Vorstand getroffen werden. Der Vorstand berücksichtigt in seinem Entscheidungsprozess das Risikoprofil, d. h. das Verhältnis von Risiko- und Chancenportfolio (also die aggregierte Risikoposition des Unternehmens) zu Risikoappetit und Risikotragfähigkeit. Um den Vorstand zu unterstützen, hat die zentrale Risikomanagementabteilung klare Grenzwerte für die Wahrscheinlichkeit, dass das Gesamtrisikoprofil den Risikoappetit und die Risikotragfähigkeit übersteigt, festgelegt. Der Risikoappetit des Unternehmens darf mit einer Wahrscheinlichkeit von mindestens 95 % und die Risikotragfähigkeit mit einer Wahrscheinlichkeit von mindestens 99 % nicht überschritten werden.
• Risiko- und Chancenüberwachung und -berichterstattung: Ein Ziel unseres Risiko- und Chancenmanagementsystems ist es, die Transparenz von Risiken und Chancen zu erhöhen. Da sowohl Risiken als auch Chancen ständigen Änderungen unterliegen, werden einerseits die Entwicklung und andererseits die Angemessenheit und Effektivität der aktuellen Strategie im Umgang mit Risiken und Chancen von den Risikoverantwortlichen kontinuierlich beobachtet.

Die regelmäßige Risikoberichterstattung erfolgt halbjährlich in einem fünfstufigen Prozess:

• Die zentrale Risikomanagementabteilung identifiziert Risiken und Chancen (mit einer potenziellen Auswirkung von mehr als 1 Mio. € auf den Gewinn und Cashflow) mithilfe einer Befragung des Senior Managements sowie ausgewählter Personen des mittleren Managements und greift zudem auf verfügbare Informationen zum internen und externen Umfeld des Unternehmens zurück. Die zentrale Risikomanagementabteilung bewertet, konsolidiert und aggregiert die identifizierten Risiken bzw. Chancen (,Bottom-up‘-Bewertung).
• Anschließend erörtert die zentrale Risikomanagementabteilung die Bewertung der relevantesten Risiken und Chancen mit den Mitgliedern des Vorstands und Führungskräften, die direkt an den Vorstand berichten. Die Vorstandsmitglieder und Führungskräfte validieren die Bewertung der Risiken und Chancen für ihren Verantwortungsbereich (,Top-down‘-Bewertung).
• Die zentrale Risikomanagementabteilung erstellt einen Bericht für den Gesamtvorstand, der sowohl die Ergebnisse der Bottom-up- als auch der Top-down-Bewertung sowie das Risiko- und Chancenprofil enthält, um auf eine potenzielle Gefährdung des Ratings und des Fortbestands des Unternehmens hinzuweisen. Der Vorstand überprüft den Bericht, erarbeitet eine gemeinsame Sichtweise der Risiken und Chancen und entscheidet, ob Risikoverantwortliche zusätzliche Maßnahmen einleiten sollen.
• Basierend auf der Entscheidung des Vorstands erstellt die zentrale Risikomanagementabteilung den finalen Risiko- und Chancenbericht, der auch mit der ‚Core Leadership Group‘ (‚CLG‘) geteilt wird.  
• Der Vorstand präsentiert in Zusammenarbeit mit der zentralen Risikomanagementabteilung die finale Risiko- und Chancenbeurteilung dem Prüfungsausschuss des Aufsichtsrats.

Im Falle wesentlicher Veränderungen bei zuvor gemeldeten Risiken oder Chancen bzw. neu identifizierter substanzieller Risiken oder Chancen erfolgt die Berichterstattung an den Vorstand auch ad hoc außerhalb der regulären halbjährlichen Risikoberichterstattung. Dies gilt gleichfalls, wenn Sachverhalte identifiziert werden, die aufgrund ihrer Wesentlichkeit einer umgehenden Information an den Vorstand bedürfen. Um die Risikokultur bei adidas weiter zu verbessern, bieten wir allen Beschäftigten ein Training zum Thema Risikomanagement über das unternehmenseigene Intranet an.

Compliance-Management-System (adidas Fair Play)

Für uns ist die Einhaltung der Gesetze sowie interner und externer Vorschriften unerlässlich. Der Vorstand gibt die Richtung vor, und alle Beschäftigten müssen in ihrer Tätigkeit für das Unternehmen ethisch korrekt handeln und Gesetze sowie interne und andere externe Bestimmungen einhalten. Wir sind überzeugt, dass unser ,adidas Fair Play‘ einem Großteil an potenziellen Problemen im Zusammenhang mit Compliance entgegenwirkt. Aus diesem Grund setzen wir spezielle Methoden ein, um eventuelle Probleme zu erkennen und entsprechend darauf zu reagieren. Dabei ist uns jedoch bewusst, dass selbst das beste Compliance-System nicht alle Verstöße verhindern kann.

Der adidas Chief Compliance Officer verantwortet das Compliance-Management-System (CMS). Wir betrachten Compliance als allumfassendes Thema, das alle Geschäftsbereiche entlang der gesamten Wertschöpfungskette tangiert. Unser zentrales Compliance-Team arbeitet eng mit den regionalen Compliance-Manager*innen und den zuständigen lokalen Compliance-Beauftragten zusammen, um jährlich die wesentlichen Compliance-Risiken systematisch zu beurteilen.

Das CMS des Unternehmens basiert auf den OECD-Grundsätzen zu Corporate Governance. Es bezieht sich auf die OECD-Leitsätze für multinationale Unternehmen und soll:

• qualitatives und nachhaltiges Wachstum durch gute Corporate Governance unterstützen,
• das Risiko finanzieller Verluste oder Schäden aufgrund von Verstößen reduzieren und mindern,
• den Wert und den Ruf des Unternehmens sowie seiner Marke durch rechts- und richtlinienkonformes Verhalten schützen und weiter stärken,
• Initiativen für Vielfalt, Gleichstellung und Inklusion unterstützen, indem Belästigung und Diskriminierung bekämpft werden.

Der adidas Fair Play Code of Conduct ist auf unserer Website einsehbar und gibt Leitlinien für das Verhalten im Arbeitsalltag vor, die für alle Beschäftigten weltweit und in allen Geschäftsbereichen verpflichtend sind. ADIDAS-GROUP.COM/S/VERHALTENSKODEX

Der Fair Play Code of Conduct und unser CMS basieren auf drei Säulen: Vorbeugen, Erkennen, Reagieren:

• Vorbeugen: Die Compliance-Abteilung überprüft das Compliance Management System in regelmäßigen Abständen und nimmt gegebenenfalls Aktualisierungen vor. Zusätzlich zu dem oben genannten überarbeiteten Fair Play Code of Conduct unterstützen wir alle Maßnahmen zur Prävention und Bekämpfung von Belästigung und Diskriminierung am Arbeitsplatz. Es erfolgen Kommunikationsmaßnahmen zum Thema Compliance von Führungskräften, und die Compliance-Abteilung stellt im Rahmen des Onboarding-Prozesses sowie in einem regelmäßigen, wiederkehrenden Rhythmus für alle Beschäftigten weltweit verpflichtende Schulungen diesbezüglich bereit. Darüber hinaus bietet die Compliance-Abteilung zusammen mit Partnern auch, wo erforderlich, gezielte Compliance-Präsenz-Seminare für leitende Führungskräfte sowie neu beförderte und rekrutierte leitende Führungskräfte weltweit an, um die Richtungsvorgabe hinsichtlich Compliance durch das obere sowie mittlere Management weiter zu betonen. Die Anzahl der abgeschlossenen Schulungen überwachen wir sorgfältig. Darüber hinaus haben wir die Zusammenarbeit der Compliance-Abteilung mit der internen Revisionsabteilung, der Abteilung für Konzernrichtlinien und interne Kontrollen sowie der zentralen Risikomanagementabteilung weiter gestärkt.
• Erkennen: Um potenzielle Verstöße gegen gesetzliche Vorschriften oder interne Richtlinien rechtzeitig zu erkennen, verfügt das Unternehmen über Whistleblowing-Verfahren. Beschäftigte können Bedenken im Hinblick auf Compliance-Verstöße intern an ihre Vorgesetzten, den Chief Compliance Officer, die regionalen Compliance-Manager*innen oder lokale Compliance-Beauftragte, die zuständigen Personalmanager*innen oder, wenn vorhanden, den Betriebsrat bzw. extern über einen unabhängigen vertraulichen Hotline- oder Website-Service melden. Auf Wunsch kann die Kontaktaufnahme hier anonym erfolgen. Die Fair-Play-Hotline und -Website können jederzeit und weltweit kontaktiert werden. Wenn erforderlich, können Dolmetscher*innen hinzugezogen werden. Um alle unsere Standorte weltweit zu erreichen, wird sowohl digital als auch mit Postern auf diese Möglichkeit hingewiesen. Die Maßnahmen des Unternehmens zur Identifikation potenzieller Compliance-Verstöße wurden im Jahr 2023 fortgesetzt.
• Reagieren: Die angemessene und zeitnahe Reaktion auf Compliance-Verstöße ist von zentraler Bedeutung. Der Chief Compliance Officer leitet alle Ermittlungen in Zusammenarbeit mit einem spezialisierten Team regionaler Compliance-Manager*innen sowie einem globalen Netzwerk lokaler Compliance-Beauftragter. Weltweit erfassen, überwachen und berichten wir potenzielle Compliance-Verstöße. Im Jahr 2023 wurden insgesamt 590 potenzielle Compliance-Verstöße gemeldet und dokumentiert (2022: 521). Von großer Bedeutung ist, dass die Erkenntnisse aus Ermittlungen zu Verstößen aus der Vergangenheit dazu genutzt werden, das CMS fortlaufend zu verbessern. Auf bestätigte Compliance-Verstöße reagieren wir, sofern erforderlich, zeitnah mit angemessenen und effektiven Sanktionsmechanismen, die von Verwarnungen bis hin zur Beendigung des Beschäftigungsverhältnisses reichen können. Im Jahr 2023 hat die Compliance-Abteilung die Zusammenarbeit mit dem Employee Relations (ER) Team weiter intensiviert und arbeitet mit ihm insbesondere bei Angelegenheiten, die in Zusammenhang mit Belästigung und Diskriminierung stehen, Hand in Hand. Im November 2023 wurde ein neues Case-Management-Tool eingeführt, das sowohl der Compliance-Abteilung als auch ER eine effektive Dokumentation und Bearbeitung von Compliance-Fällen sowie eine detailliertere Berichterstattung über bestimmte Entwicklungen ermöglicht.

Der Chief Compliance Officer berichtet dem Vorstand regelmäßig über den weiteren Ausbau des Compliance-Programms sowie über wesentliche Compliance-Fälle. Darüber hinaus berichtet der Chief Compliance Officer auch regelmäßig an den Prüfungsausschuss. Im Jahr 2023 hat der Chief Compliance Officer an vier Sitzungen des Prüfungsausschusses teilgenommen und dabei die Weiterentwicklung des Compliance-Programms, wesentliche Compliance-Fälle sowie andere Themen mit Compliance-Bezug präsentiert. Die Compliance-Abteilung hat außerdem ihren Prozess zur Aufdeckung von Compliance-Risiken überarbeitet und Risiken neu aufgenommen sowie einige Bereiche (wie E‑Commerce) klarer erfasst. Zudem wurde die Beschreibung des CMS geschärft.

Beschreibung der wesentlichen Merkmale des internen Kontroll- und Risikomanagement­systems im Hinblick auf den Konzernrechnungslegungsprozess gemäß § 315 Abs. 4 HGB

Das auf das Rechnungswesen bezogene interne Kontroll- und Risikomanagementsystem von adidas stellt einen Prozess dar, der in das unternehmensweit geltende Corporate-Governance-System eingebettet ist. Das interne Kontroll- und Risikomanagementsystem zielt darauf ab, die Verlässlichkeit der externen Berichterstattung in angemessener Form sicherzustellen. Dies wird durch die unternehmensweite Einhaltung gesetzlicher Rechnungslegungsvorschriften, insbesondere der International Financial Reporting Standards (IFRS) und interner Konzernbilanzierungsrichtlinien (Finance Manual), gewährleistet. Wir verstehen das interne Kontroll- und Risikomanagementsystem als Prozess, der nach dem Prinzip der Funktionstrennung verschiedene Teilprozesse in den Bereichen Buchhaltung, Controlling, Steuern, Treasury, Planung, Berichtswesen und Recht zur Identifikation, Bewertung, Minderung, Überwachung und Kommunikation von Risiken hinsichtlich der Finanzberichterstattung umfasst. Den eindeutig definierten Teilprozessen sind klare Verantwortlichkeiten zugeordnet. Das interne Kontroll- und Risikomanagementsystem dient im ersten Schritt der Identifikation und Bewertung sowie der Begrenzung und Überprüfung von Risiken im Konzernrechnungslegungsprozess, die dem Ziel der internen und externen Regelkonformität des Konzernabschlusses entgegenstehen könnten.

Das interne Kontrollsystem zur Überwachung der Finanzberichterstattung (Internal Control over Financial Reporting, ICoFR) soll die Verlässlichkeit der Finanzberichterstattung sowie die Einhaltung geltender Gesetze und Bestimmungen in angemessener Form sicherstellen. Zur Überwachung der Wirksamkeit von ICoFR erfolgen regelmäßige Überprüfungen rechnungslegungsrelevanter Prozesse durch die Abteilung ,Corporate Internal Audit‘, die sowohl die interne Revisionsabteilung als auch die zentrale Abteilung für interne Kontrollen umfasst. Im Rahmen der Abschlussprüfung zum Jahresende beurteilt zudem der externe Abschlussprüfer die Effektivität ausgewählter interner Kontrollen (einschließlich IT-Kontrollen). Zudem überwacht der Prüfungsausschuss des Aufsichtsrats die Effektivität von ICoFR.

Allen Konzerngesellschaften werden verbindlich anzuwendende Konzernbilanzierungsrichtlinien (,Finance Manual‘) vorgegeben. Über das unternehmensweite Intranet sind diese Richtlinien allen in den Rechnungslegungsprozess eingebundenen Mitarbeitenden zugänglich. Wir aktualisieren die Konzernbilanzierungsrichtlinien regelmäßig in Abhängigkeit von regulatorischen Änderungen und unternehmensinternen Entwicklungen. Resultierende Änderungen der Konzernbilanzierungsrichtlinien werden unverzüglich allen Konzerngesellschaften bekannt gegeben. Durch eindeutige Richtlinien soll der Ermessensspielraum der Mitarbeitenden bei Ansatz und Bewertung von Vermögenswerten und Verbindlichkeiten eingeschränkt und somit das Risiko konzernuneinheitlicher Rechnungslegungspraktiken verringert werden. Die Einhaltung der Konzernbilanzierungsrichtlinien soll durch die durchgängige Befolgung des Vieraugenprinzips in den rechnungslegungsrelevanten Prozessen gewährleistet werden. Darüber hinaus bestätigt sowohl die lokale Führungskraft, die in den jeweiligen Konzerngesellschaften für den auf das Rechnungswesen bezogenen Prozess verantwortlich ist, als auch die lokale Geschäftsführung gegenüber dem Konzernrechnungswesen zweimal jährlich schriftlich im Rahmen einer Vollständigkeitserklärung die Einhaltung der Konzernbilanzierungsrichtlinien und der IFRS.

Die Buchhaltung der Konzerngesellschaften wird entweder lokal oder vom Bereich Global Business Services durchgeführt. Die in der EDV eingesetzten Enterprise-Resource-Planning-(ERP-)Systeme basieren nahezu ausschließlich auf einem unternehmensweit standardisierten SAP-System. Die Einzelabschlüsse werden nach Freigabe durch den Finanzdirektor oder die Finanzdirektorin der jeweiligen Konzerngesellschaft in ein zentrales Konsolidierungssystem, basierend auf SAP Group Reporting, überführt. Auf Unternehmensebene werden innerhalb des Konzernrechnungswesens und des Controllings die Ordnungsmäßigkeit und Verlässlichkeit der von den Konzerngesellschaften vorgelegten Einzelabschlüsse überprüft. Diese Überprüfungen umfassen automatische Validierungen im System sowie das Erstellen von Berichten und Analysen zur Gewährleistung der Datenintegrität und der Einhaltung der Berichterstattungslogik. Zudem erfolgt eine Analyse der Differenzen zwischen den Finanzdaten des laufenden Jahres und den Vorjahres- bzw. Budgetwerten auf Marktebene. Für die Darstellung selten und nicht routinemäßig auftretender Geschäftsvorfälle werden im Bedarfsfall unabhängige Expertenmeinungen eingeholt. Nach Sicherstellung der Datenplausibilität beginnt die Durchführung des zentral koordinierten und überwachten Konsolidierungsprozesses, der automatisch in SAP Group Reporting erfolgt. Kontrollen im Rahmen der einzelnen Konsolidierungsschritte, wie der Schulden- oder Aufwands- und Ertragskonsolidierung, erfolgen sowohl manuell als auch systembasiert unter Verwendung automatisch erstellter Konsolidierungsprotokolle. Eventuelle Mängel werden manuell durch eine systematische Abarbeitung der einzelnen Fehler bzw. der Differenzen korrigiert und an die Konzerngesellschaften zurückberichtet. Nach Finalisierung aller Konsolidierungsschritte werden alle Posten der Konzernbilanz sowie der Konzern-Gewinn- und-Verlust-Rechnung hinsichtlich Trends und Varianzen untersucht. Falls nicht anderweitig erläutert, werden identifizierte materielle Abweichungen bei den Konzerngesellschaften hinterfragt.

Alle eingesetzten Finanzsysteme sind durch entsprechende Berechtigungskonzepte, Freigabekonzepte und Zugangsbeschränkungen vor Missbrauch geschützt. Zugriffsberechtigungen werden regelmäßig überprüft und, falls erforderlich, aktualisiert. Durch die zentrale Steuerung und Überwachung nahezu sämtlicher IT-Systeme sowie durch das zentrale Management von Veränderungsprozessen und mithilfe regelmäßiger Systemsicherungen werden sowohl das Risiko eines Datenverlusts als auch das eines Ausfalls rechnungslegungsrelevanter IT-Systeme minimiert.

Des Weiteren umfasst das interne Kontroll- und Risikomanagementsystem nicht auf das Rechnungswesen bezogene Kontrollen, um hinreichende Sicherheit bezüglich der Effektivität und Effizienz der betrieblichen Abläufe, der Verlässlichkeit der nichtfinanziellen Berichterstattung sowie der Einhaltung geltender Gesetze und Bestimmungen zu erlangen. Das interne Kontroll- und Risikomanagementsystem bezüglich nicht auf das Rechnungswesen bezogener Aktivitäten richtet den Fokus auch auf die Identifikation, Bewertung, Minderung, Überwachung und Kommunikation relevanter Risiken. Es ist auch in das unternehmensweit geltende Corporate-Governance-System eingebettet und umfasst diverse Teilprozesse in den Bereichen Brands, Operations (einschließlich Procurement und IT), Sales und Human Resources.

Allen Konzerngesellschaften werden verbindlich anzuwendende nicht auf das Rechnungswesen bezogene Richtlinien (,Policy Manual‘) vorgegeben. Über das unternehmensweite Intranet sind diese Richtlinien, die regelmäßig aktualisiert und kommuniziert werden, allen in die verschiedenen Prozesse eingebundenen Mitarbeitenden zugänglich.

Die Effektivität der nicht auf das Rechnungswesen bezogenen Kontrollen wird ebenfalls regelmäßig durch die interne Revisionsabteilung sowie die zentrale Abteilung für interne Kontrollen als auch durch die in den jeweiligen Märkten eingebundenen Abteilungen für interne Kontrollen überprüft. Die Berichterstattung zu den Ergebnissen der internen Kontrollen an den Prüfungsausschuss des Aufsichtsrats umfasst auch die Effektivität nicht auf das Rechnungswesen bezogener Kontrollen.

Wir sind auf keine Sachverhalte gestoßen, die Zweifel an der Angemessenheit und Wirksamkeit des gesamten internen Kontroll- und Risikomanagementsystems begründen würden. Aufgrund der Einschränkungen eines jeden internen Kontroll- und Risikomanagementsystems kann jedoch keine absolute Sicherheit hinsichtlich der Angemessenheit und Wirksamkeit dieser Systeme gewährleistet werden.¹

1 Die Erklärung in Bezug auf den Deutschen Corporate Governance Kodex A5 wurde im Rahmen der Prüfung des vorliegenden Konzernlageberichts nicht inhaltlich geprüft.