Internes Kontrollsystem im ERP: Was Geschäftsführer in DE brauchen
Kurz gesagt
Für die GmbH folgen die Pflichten aus § 41 GmbHG (ordnungsmäßige Buchführung), § 43 Abs. 1 GmbHG (Sorgfalt eines ordentlichen Geschäftsmanns) und § 1 StaRUG (Krisenfrüherkennung); diese Vorschriften schreiben kein bestimmtes System und keine Größenausnahme vor. Wer elektronisch bucht, muss die Kontrollen nach GoBD Rz. 100 einrichten, ausüben und protokollieren. Größenschwellen kennt nur die Buchführungspflicht: § 241a HGB befreit Einzelkaufleute, die an den Abschlussstichtagen von zwei aufeinander folgenden Geschäftsjahren nicht mehr als 800.000 Euro Umsatzerlöse und 80.000 Euro Jahresüberschuss ausweisen, und die steuerliche Pflicht nach § 141 Abs. 1 AO beginnt nach § 141 Abs. 2 AO mit dem Wirtschaftsjahr, das auf die Bekanntgabe der Mitteilung der Finanzbehörde folgt.
Das Wichtigste
- Adressat ist die Geschäftsführung; für die GmbH gilt die Pflicht unabhängig von Bilanzsumme, Umsatz und Mitarbeiterzahl.
- § 1 Abs. 1 StaRUG verlangt fortlaufende Überwachung bestandsgefährdender Entwicklungen und unverzüglichen Bericht an das Überwachungsorgan.
- § 91 Abs. 2 AktG bindet jeden Vorstand einer AG; Abs. 3 verlangt IKS und Risikomanagementsystem nur börsennotierten Gesellschaften.
- GoBD Rz. 100 verlangt Kontrollen einzurichten, auszuüben und zu protokollieren; die GoBD sind eine Verwaltungsanweisung, kein Gesetz.
- Größenschwellen stehen in der Buchführungspflicht: § 241a HGB befreit Einzelkaufleute, die an den Abschlussstichtagen von zwei aufeinander folgenden Geschäftsjahren nicht mehr als 800.000 Euro Umsatzerlöse und 80.000 Euro Jahresüberschuss ausweisen; im Fall der Neugründung genügt der erste Abschlussstichtag.
- § 141 Abs. 1 AO bindet einen gewerblichen Unternehmer oder Land- und Forstwirt, der nach den Feststellungen der Finanzbehörde für den einzelnen Betrieb mehr als 800.000 Euro Gesamtumsatz im Kalenderjahr oder mehr als 80.000 Euro Gewinn gehabt hat (Gewerbebetrieb: Wirtschaftsjahr, Land- und Forstwirtschaft: Kalenderjahr); eine überschrittene Schwelle genügt. Die Pflicht beginnt nach § 141 Abs. 2 AO mit dem Wirtschaftsjahr, das auf die Bekanntgabe der Mitteilung folgt.
Was in Deutschland zur Kontrolle verpflichtet
Ein internes Kontrollsystem (IKS) ist die Gesamtheit der Regelungen und Kontrollen, mit denen ein Betrieb Fehler und unberechtigte Handlungen in seinen Abläufen verhindern oder aufdecken will. Für die GmbH stehen dafür drei Vorschriften nebeneinander, und keine von ihnen verwendet diesen Begriff. § 41 GmbHG verpflichtet die Geschäftsführer, für die ordnungsmäßige Buchführung der Gesellschaft zu sorgen. § 43 Abs. 1 GmbHG verlangt in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmanns. § 1 Abs. 1 StaRUG verpflichtet die Mitglieder des zur Geschäftsführung berufenen Organs einer juristischen Person, fortlaufend über Entwicklungen zu wachen, welche den Fortbestand gefährden können, bei solchen Entwicklungen geeignete Gegenmaßnahmen zu ergreifen und dem Überwachungsorgan unverzüglich Bericht zu erstatten. Wie viele Kontrollen das im Einzelnen sind, sagt keine dieser Normen; den Maßstab bilden Geschäftstätigkeit, Organisation und Risiko.
Greifbar wird der Begriff in der Steuerverwaltung. Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) des Bundesministeriums der Finanzen behandeln das interne Kontrollsystem in einem eigenen Abschnitt. Nach Rz. 100 hat der Steuerpflichtige für die Einhaltung der Ordnungsvorschriften des § 146 AO Kontrollen einzurichten, auszuüben und zu protokollieren. Genannt sind dort unter anderem Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen, Erfassungs-, Abstimmungs- und Verarbeitungskontrollen sowie Schutzmaßnahmen gegen die beabsichtigte und unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten. Die konkrete Ausgestaltung hängt nach derselben Randziffer von der Komplexität und Diversifikation der Geschäftstätigkeit, der Organisationsstruktur und dem eingesetzten DV-System ab.
Die GoBD sind eine Verwaltungsanweisung des Bundesministeriums der Finanzen und kein Gesetz; die gesetzliche Grundlage der Kontrollpflicht bleibt § 146 AO. Maßgeblich ist die Fassung vom 14. Juli 2025; die Änderungen vom 11. März 2024 und vom 14. Juli 2025 haben die Rz. 100 bis 102 unverändert gelassen.
Für die Aktiengesellschaft gilt daneben § 91 Abs. 2 AktG: Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Absatz 3 verlangt von dem Vorstand einer börsennotierten Gesellschaft darüber hinaus ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem. Absatz 3 nennt das interne Kontrollsystem damit im Wortlaut, verlangt es aber nur von börsennotierten Gesellschaften.
Wen die Pflicht trifft - und welche Größe ausdrücklich zählt
Die folgende Tabelle stellt zusammen, welche Vorschrift welchen Rechtsträger bindet und welche Größenschwelle die Vorschrift selbst nennt.
| Rechtsträger | Vorschrift | Was verlangt wird | Größe in der Vorschrift |
|---|---|---|---|
| GmbH | § 41 GmbHG | für die ordnungsmäßige Buchführung der Gesellschaft sorgen | keine |
| GmbH | § 43 Abs. 1 GmbHG | Sorgfalt eines ordentlichen Geschäftsmanns in den Angelegenheiten der Gesellschaft | keine |
| GmbH und jede andere juristische Person | § 1 Abs. 1 StaRUG | fortlaufend bestandsgefährdende Entwicklungen überwachen, gegensteuern, dem Überwachungsorgan berichten | keine |
| GmbH & Co. KG und andere rechtsfähige Personengesellschaften ohne natürliche Person als persönlich haftenden Gesellschafter | § 1 Abs. 2 StaRUG in Verbindung mit § 15a Abs. 1 Satz 3 und Abs. 2 InsO | dieselbe Überwachung für die Geschäftsleiter der geschäftsführenden Gesellschafter | keine |
| Aktiengesellschaft | § 91 Abs. 2 AktG | geeignete Maßnahmen, insbesondere ein Überwachungssystem zur Früherkennung | keine |
| börsennotierte Aktiengesellschaft | § 91 Abs. 3 AktG | angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem | nur börsennotierte Gesellschaften |
| Einzelkaufmann | § 238 Abs. 1 HGB, § 241a HGB | Bücher führen und die Lage des Vermögens ersichtlich machen | Befreiung, wenn an den Abschlussstichtagen von zwei aufeinander folgenden Geschäftsjahren nicht mehr als 800.000 Euro Umsatzerlöse und nicht mehr als 80.000 Euro Jahresüberschuss; im Fall der Neugründung genügt der erste Abschlussstichtag |
| gewerblicher Unternehmer, Land- und Forstwirt | § 141 Abs. 1 Satz 1 AO | Bücher führen und jährliche Abschlüsse machen | mehr als 800.000 Euro Gesamtumsatz im Kalenderjahr oder mehr als 80.000 Euro Gewinn (Gewinn aus Gewerbebetrieb im Wirtschaftsjahr, Gewinn aus Land- und Forstwirtschaft im Kalenderjahr) |
| wer mit einem DV-System bucht | GoBD Rz. 100 (Verwaltungsanweisung, kein Gesetz) | Kontrollen einrichten, ausüben und protokollieren | keine; Umfang nach Komplexität, Organisation und DV-System |
Für Kapitalgesellschaften und die genannten haftungsbeschränkten Personengesellschaften kennen diese Vorschriften keine Größenausnahme: Auch die kleinste GmbH ist Adressatin von § 41 und § 43 GmbHG und von § 1 StaRUG. Größenschwellen stehen in der Buchführungspflicht. Ein Einzelkaufmann braucht die §§ 238 bis 241 HGB nicht anzuwenden, wenn er an den Abschlussstichtagen von zwei aufeinander folgenden Geschäftsjahren nicht mehr als jeweils 800.000 Euro Umsatzerlöse und jeweils 80.000 Euro Jahresüberschuss aufweist (§ 241a Satz 1 HGB); im Fall der Neugründung treten die Rechtsfolgen schon ein, wenn die Werte am ersten Abschlussstichtag nach der Neugründung nicht überschritten werden (Satz 2). Diese handelsrechtlichen Größen sind nicht mit den steuerlichen Maßstäben des § 141 Abs. 1 AO gleichzusetzen: dort zählen der Gesamtumsatz im Sinne des § 19 Abs. 2 Satz 1 UStG und der Gewinn, jeweils nach den Feststellungen der Finanzbehörde für den einzelnen Betrieb. Die steuerliche Verpflichtung ist nach § 141 Abs. 2 AO vom Beginn des Wirtschaftsjahrs an zu erfüllen, das auf die Bekanntgabe der Mitteilung folgt, durch die die Finanzbehörde auf den Beginn dieser Verpflichtung hingewiesen hat; sie endet mit dem Ablauf des Wirtschaftsjahrs, das auf das Wirtschaftsjahr folgt, in dem die Finanzbehörde feststellt, dass die Voraussetzungen nach Absatz 1 nicht mehr vorliegen.
Drei Fälle zeigen, wo die Grenzen liegen. Eine GmbH mit fünf Beschäftigten ist gebunden, aber der Kontrollumfang kann klein bleiben: eine geprüfte Benutzerliste, ein Freigabelimit und ein monatlicher Bankabgleich können für sie genügen (redaktionelle Einschätzung). Ein Einzelkaufmann mit 240.000 Euro Umsatzerlösen und 38.000 Euro Jahresüberschuss an den Abschlussstichtagen von zwei aufeinander folgenden Geschäftsjahren bleibt unter beiden Werten des § 241a HGB und braucht die §§ 238 bis 241 nicht anzuwenden; ob auch die steuerlichen Maßstäbe des § 141 Abs. 1 AO unterschritten sind, steht damit nicht fest, weil dort Gesamtumsatz und Gewinn gelten und nicht Umsatzerlöse und Jahresüberschuss des Handelsrechts. Führt er Aufzeichnungen, die für die Besteuerung von Bedeutung sind, gelten die Ordnungsvorschriften dafür dennoch (§ 146 Abs. 6 AO). Und wer ohne DV-System bucht: Die GoBD betreffen nach ihrer Rz. 9 die Unternehmensbereiche, in denen betriebliche Abläufe DV-gestützt abgebildet werden; eine offene Ladenkasse mit handschriftlichem Kassenbuch löst den Kontrollauftrag der Rz. 100 nicht aus.
Wie Österreich dasselbe Thema regelt, steht in IKS und ERP in Österreich.
Von der Pflicht zur ERP-Kontrolle
Die Zuordnung in der folgenden Tabelle ist eine Umsetzungshilfe und keine gesetzliche Liste: § 41 und § 43 GmbHG, § 1 StaRUG, § 146 AO und die GoBD nennen keine einzelnen ERP-Funktionen. Die Spalte Nachweis sagt, was eine Prüfung sehen will.
| Kontrollziel | Grundlage in Deutschland | Umsetzung im ERP | Nachweis |
|---|---|---|---|
| Ein Dritter kann die Geschäftsvorfälle in ihrer Entstehung und Abwicklung verfolgen | § 145 Abs. 1 AO; § 41 GmbHG | Journal und Kontenblätter, Belegaufruf aus der Buchung, lückenlose Nummernkreise | Auszug eines Monats mit Belegverweis |
| Bestellungen nur innerhalb von Freigabegrenzen | § 43 Abs. 1 GmbHG (Ausgestaltung); GoBD Rz. 100 | Limitprüfung, Genehmigungsworkflow, sichtbarer Genehmiger | Bestellung mit eingetragenem Genehmiger |
| Keine Person erfasst und löst dieselbe Zahlung allein aus | § 43 Abs. 1 GmbHG (Ausgestaltung); GoBD Rz. 100 (Funktionstrennung) | getrennte Rollen für Erfassung, Freigabe und Zahllauf, Freigabelimits | Rollenliste und Freigabeprotokoll |
| Zahlungen nicht aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen an Gesellschafter | § 43 Abs. 3 GmbHG; § 30 Abs. 1 GmbHG | Gesellschafterkonten und Verrechnungskonten mit Freigabe, Auswertung vor jeder Zahlung | Kontenauszug des Verrechnungskontos |
| Bankverbindungen von Lieferanten ändern nur zwei Personen | § 43 Abs. 1 GmbHG (Ausgestaltung); § 146 Abs. 4 AO | zweite Freigabe und Rückbestätigung beim Lieferanten, Protokolleintrag | Änderungsprotokoll der Bankverbindung |
| Änderungen an Buchungen und Stammdaten bleiben nachvollziehbar | § 146 Abs. 4 AO; GoBD Rz. 59 | Änderungsprotokoll mit Historisierung, Storno statt Löschen, gesperrte Perioden | Protokoll einer geänderten Buchung |
| Abstimmung von Bank, Kasse, offenen Posten und Inventur | § 41 GmbHG; GoBD Rz. 100 (Abstimmungskontrollen) | Import des Bankauszugs mit Abgleich, Kassensturz, Inventurliste | Abstimmungsprotokoll mit Klärungsvermerk |
| Bestandsgefährdende Entwicklungen früh erkennen | § 1 Abs. 1 StaRUG | Fälligkeitslisten, offene Posten, Liquiditätsauswertung aus dem ERP | Auswertung mit Datum und Empfänger des Berichts |
Rechte und Rollen behandeln Benutzerverwaltung im ERP und Rechte-Review und Funktionstrennung im ERP, die Zahlungsseite regelt Vier-Augen-Prinzip bei Zahlungen, die Stammdaten Wer pflegt die Stammdaten?.
Beispiel: Freigabelimits in einer GmbH mit sieben Beschäftigten
Beispielrechnung mit erfundenen Zahlen. Eine GmbH mit sieben Beschäftigten und 1,4 Millionen Euro Jahresumsatz legt drei Grenzen fest. Bestellungen bis 500 Euro gibt die Bereichsleitung frei, von 500 bis 5.000 Euro die Geschäftsführung, darüber nur mit zweiter Unterschrift. Zahlungen über 1.000 Euro lösen zwei Personen gemeinsam aus; erfasst werden die Rechnungen von einer dritten Person. Wer eine Bankverbindung im Lieferantenstamm ändert, braucht eine zweite Freigabe und einen Protokolleintrag.
Die Kontrolle wird damit messbar. Von 40 Bestellungen des Monats trugen 38 eine Freigabe im System, zwei wurden ohne Genehmigung ausgelöst. Diese zwei Fälle sind der Ansatzpunkt für die nächste Kontrolle. Die Zahlen sagen nichts über die Absicht der Beteiligten; sie zeigen, an welcher Stelle die Kontrolle umgangen werden kann.
Auf der anderen Seite der Größenschwelle: Ein Einzelkaufmann mit 850.000 Euro Umsatzerlösen im ersten und 900.000 Euro im zweiten Geschäftsjahr weist an zwei aufeinander folgenden Abschlussstichtagen mehr als 800.000 Euro aus; die Befreiung nach § 241a HGB trägt dann nicht mehr. Eine steuerliche Buchführungspflicht nach § 141 Abs. 1 AO beginnt aber nicht schon mit der Feststellung der Beträge, sondern nach § 141 Abs. 2 AO erst mit dem Beginn des Wirtschaftsjahrs, das auf die Bekanntgabe der Mitteilung folgt, durch die die Finanzbehörde auf den Beginn dieser Verpflichtung hingewiesen hat.
Was das Kontrollsystem im ERP hinterlassen muss
Ein eingerichtetes System, über das niemand eine Aufzeichnung findet, erfüllt die Pflicht nicht. Nach GoBD Rz. 102 ist die Beschreibung des internen Kontrollsystems Bestandteil der Verfahrensdokumentation; nach Rz. 151 muss diese für jedes DV-System vorliegen und für einen sachverständigen Dritten in angemessener Zeit nachprüfbar sein. Rz. 101 verlangt, anlassbezogen zu prüfen, ob das eingesetzte System dem dokumentierten entspricht, etwa nach einem Systemwechsel. Änderungen an Buchungen und Aufzeichnungen sind so zu protokollieren, dass der ursprüngliche Inhalt feststellbar bleibt (§ 146 Abs. 4 AO; GoBD Rz. 59).
Was das für die Praxis bedeutet, steht in Unveränderbarkeit im ERP: Was protokolliert werden muss und in Betriebshandbuch fürs ERP. Wer eine Prüfung erwartet, legt diese Nachweise geordnet bereit; die Reihenfolge dafür steht in Betriebsprüfung vorbereiten.
Was bei einem Verstoß droht
§ 41 und § 43 GmbHG nennen keine Geldbuße. Die Folge ist zivilrechtlich: Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden (§ 43 Abs. 2 GmbHG). Nach § 43 Abs. 3 GmbHG sind sie insbesondere zum Ersatz verpflichtet, wenn Zahlungen entgegen § 30 GmbHG aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen der Gesellschaft gemacht werden. § 30 Abs. 1 Satz 1 GmbHG verbietet die Auszahlung dieses Vermögens an Gesellschafter; die Sätze 2 und 3 nennen Ausnahmen (Beherrschungs- oder Gewinnabführungsvertrag, vollwertiger Gegenleistungs- oder Rückgewähranspruch, Rückgewähr eines Gesellschafterdarlehens). Ob eine einzelne unterlassene Kontrolle pflichtwidrig war und welcher Schaden daraus entstanden ist, hängt vom Einzelfall ab.
Steuerlich geht es um die Beweiskraft. Buchführung und Aufzeichnungen, die den Vorschriften der §§ 140 bis 148 AO entsprechen, sind der Besteuerung zugrunde zu legen (§ 158 Abs. 1 AO); das gilt nicht, soweit nach den Umständen des Einzelfalls Anlass besteht, die sachliche Richtigkeit zu beanstanden (§ 158 Abs. 2 Nr. 1 AO). Eine fehlende oder ungenügende Verfahrensdokumentation, die Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt, ist nach GoBD Rz. 155 kein formeller Mangel mit sachlichem Gewicht, der zum Verwerfen der Buchführung führt.
§ 1 StaRUG nennt keine Strafe. Schärfer ist die Insolvenzantragspflicht: Wird eine GmbH zahlungsunfähig oder überschuldet, haben die Mitglieder des Vertretungsorgans ohne schuldhaftes Zögern einen Eröffnungsantrag zu stellen, spätestens drei Wochen nach Eintritt der Zahlungsunfähigkeit und sechs Wochen nach Eintritt der Überschuldung (§ 15a Abs. 1 Satz 1 und 2 InsO). Auf Vereine und Stiftungen, für die § 42 Abs. 2 BGB gilt, sind die Absätze 1 bis 6 nach § 15a Abs. 7 InsO nicht anzuwenden. Ein nicht oder nicht rechtzeitig gestellter Antrag ist strafbar, bei Vorsatz mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, bei Fahrlässigkeit mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe (§ 15a Abs. 4 und 5 InsO). Wer die Entwicklungen fortlaufend überwacht, erkennt diese Lage früher.
Checkliste für Ihren Betrieb
- Halten Sie auf einer Seite fest, welche Kontrollen heute laufen: wer erfasst, wer gibt frei und wer führt aus (§ 41 GmbHG, § 43 Abs. 1 GmbHG).
- Legen Sie für jede Rolle eine Freigabegrenze fest und tragen Sie sie im ERP ein, statt sie nur zu kennen (GoBD Rz. 100: Funktionstrennung).
- Prüfen Sie, dass keine Person Bestellung, Rechnungsbuchung und Zahllauf allein ausführt (§ 43 Abs. 1 GmbHG; GoBD Rz. 100).
- Verlangen Sie für Änderungen an Bankverbindungen und Stammdaten eine zweite Freigabe und einen Protokolleintrag (§ 146 Abs. 4 AO; GoBD Rz. 59).
- Vergeben Sie je Person ein Benutzerkonto; ein geteilter Zugang lässt keine Zuordnung zu einer Person zu (GoBD Rz. 100).
- Halten Sie die Beschreibung des Kontrollsystems in der Verfahrensdokumentation aktuell und lassen Sie sie nach einem Systemwechsel prüfen (GoBD Rz. 101, 102 und 151).
- Lassen Sie sich von der Geschäftsführung einmal im Quartal eine Auswertung zu Fälligkeiten, offenen Posten und Liquidität vorlegen und halten Sie den Bericht fest (§ 1 Abs. 1 StaRUG; redaktionelle Empfehlung zum Rhythmus).