Ein Unternehmen kann über Jahre seine Ablauforganisation verrotten lassen, ohne dass ein einziger Abschluss davon etwas zeigt. Das ist keine Nachlässigkeit der Beteiligten und kein Versagen der Prüfung. Es ist die korrekte Anwendung geltender Rechnungslegungsvorschriften.
Diese Feststellung wird meistens als Kritik gelesen. So ist sie nicht gemeint. Sie ist der Ausgangspunkt für die praktisch interessantere Frage: Wenn die Zahlenwelt einen strukturellen blinden Fleck hat, wo greift das Recht dann doch in die Organisation hinein — und was fehlt dazwischen?
Der folgende Text gibt meine Einschätzung wieder und ist keine Rechts- oder Prüfungsberatung.
Der Aufwand wird verbrannt, der Verfall wird nie abgeschrieben#
Was ein Unternehmen ausgibt, um seine Organisation funktionsfähig zu machen — eingespielte Übergaben, geklärte Zuständigkeiten, tragfähige Schnittstellenvereinbarungen, Erfahrung in den Köpfen —, ist in aller Regel nicht aktivierbar.
Nach IAS 38 ist ein selbst geschaffener Geschäfts- oder Firmenwert ausdrücklich nicht ansatzfähig; dasselbe gilt für intern erzeugte Marken, Kundenlisten und ihnen der Substanz nach vergleichbare Posten. Nach HGB besteht zwar seit dem BilMoG ein Wahlrecht für selbst geschaffene immaterielle Vermögensgegenstände des Anlagevermögens, aber nur für die Entwicklungs-, nicht für die Forschungsphase — und für Marken, Kundenlisten und Vergleichbares gilt ein ausdrückliches Aktivierungsverbot. Ein selbst geschaffener Firmenwert bleibt auch hier außen vor. Aktivierbar ist Organisationsvermögen im Kern nur dann, wenn es gekauft wurde: als derivativer Geschäfts- oder Firmenwert aus einem Unternehmenserwerb.
Diese Asymmetrie ist der ganze Punkt. Kaufe ich eine funktionierende Organisation, steht sie in der Bilanz. Baue ich dieselbe Organisation selbst auf, steht dort nichts. Und weil nichts dort steht, gibt es auch nichts, worauf abgeschrieben werden könnte, wenn sie zerfällt.
Der Zerfall ist damit buchhalterisch ein Nichtereignis. Er zeigt sich irgendwann in Deckungsbeitrag, Durchlaufzeit oder Fluktuation, also indirekt, verzögert und vermischt mit einem Dutzend anderer Ursachen. Bis dahin sieht die Hülle jung aus.
Die Gründe für dieses Verbot sind übrigens gut. Selbst geschaffene immaterielle Werte sind schwer objektivierbar, ihre Bewertung wäre manipulationsanfällig, und das Vorsichtsprinzip hat historisch mehr Schaden verhindert als angerichtet. Ich argumentiere nicht dafür, das zu ändern. Ich argumentiere dafür, es zu wissen Denn wer eine Kennzahl für vollständig hält, die konstruktionsbedingt unvollständig ist, trifft systematisch falsche Entscheidungen.
Warum sich Geschäftsführer rational verhalten, wenn sie es lassen#
Aus der Asymmetrie folgt ein Anreiz, den man niemandem vorwerfen kann.
Wer in Strukturaufbau investiert — Schnittstellen klären, Zuständigkeiten neu schneiden, Regeln festlegen statt Einzelfälle zu entscheiden —, erzeugt heute Aufwand und keinen ausgewiesenen Gegenwert. In der Gewinn- und Verlustrechnung ist das eine reine Verschlechterung. Der Nutzen fällt später an, verteilt sich über viele Positionen und ist keinem Vorgang zurechenbar.
Wer es unterlässt, spart heute sichtbar und verursacht morgen Kosten, die in den Gemeinkosten verschwinden.
Das ist ein sauber gelöstes Optimierungsproblem unter einer Zielfunktion, die den relevanten Term nicht enthält. In der Regelungstechnik wäre der Befund trivial: Eine Größe, die nicht gemessen wird, kann nicht geregelt werden, und ein Regler, der auf die falsche Größe optimiert, tut genau das, was er soll — das Falsche.
Das Recht greift längst in die Struktur — nur in einem sehr schmalen Streifen#
Nun wäre die Lage einfach, wenn Recht und Prüfung sich grundsätzlich nicht für Organisation interessierten. Das Gegenteil ist der Fall.
Seit dem KonTraG verpflichtet § 91 Abs. 2 AktG den Vorstand, ein Überwachungssystem einzurichten, das bestandsgefährdende Entwicklungen früh erkennt. Das FISG hat 2021 nachgelegt: Nach § 91 Abs. 3 AktG hat der Vorstand einer börsennotierten Gesellschaft ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten. Über das “Ob” besteht seither kein Ermessen mehr, nur noch über die Ausgestaltung. Kapitalmarkt- orientierte Gesellschaften beschreiben die wesentlichen Merkmale von IKS und RMS im Lagebericht, und der Abschlussprüfer berichtet dem Aufsichtsrat über wesentliche Schwächen.
Das sind Anforderungen an Struktur: Verantwortlichkeiten, Funktionstrennung, Kontrollpunkte, Berichtswege, Wirksamkeitsnachweis. Genau die Art von Konstruktionsaussage, die in der Bilanz nicht vorkommt.
Nur ist der Ausschnitt eng gezogen. Der Bezugspunkt ist im Kern der Rechnungslegungsprozess und die Abwehr bestandsgefährdender Risiken. Die Übergabe zwischen Konstruktion und Arbeitsvorbereitung, die seit zwei Jahren monatlich eine Klärungsrunde erzeugt, ist nicht rechnungslegungsnah. Sie taucht in keinem Kontrollziel auf, in keiner Prozessbeschreibung des Prüfungsansatzes, in keinem Managementbericht.
Man muss also nicht einen neuen Prüfgedanken erfinden. Es gibt ihn. Er ist nur auf einen schmalen Streifen der Organisation angewendet — und außerhalb dieses Streifens gilt derselbe Betrieb ohne Nachweis als in Ordnung.
Die Route über die Nachhaltigkeitsberichterstattung ist geschlossen#
Für einen Moment sah es so aus, als würde sich der Streifen von selbst verbreitern. Die CSRD verlangte Angaben zu Governance, Prozessen und Sorgfaltspflichten und hätte einen großen Teil des Mittelstands erfasst.
Das ist vorbei. Mit dem Omnibus-Paket, dem der EU Rat im Februar 2026 endgültig zugestimmt hat, wurde der Anwendungsbereich drastisch verengt: berichtspflichtig sind künftig im Kern nur noch Unternehmen, die kumulativ deutlich über tausend Beschäftigte und einen sehr hohen Umsatz erreichen. Schätzungen gehen von einer Reduktion des betroffenen Kreises in der Größenordnung von achtzig bis neunzig Prozent aus.
Wer in einem Unternehmen mit fünfzig bis fünfhundert Beschäftigten darauf gewartet hat, dass der Gesetzgeber die Strukturfrage über die Nachhaltigkeitsberichterstattung erzwingt, wartet ab jetzt vergeblich. Diese Tür ist zu, und sie geht in absehbarer Zeit nicht wieder auf.
NIS2 ist die erste Norm, die den Kopf für die Organisation haftbar macht#
Dafür ist eine andere Tür aufgegangen, und sie ist bemerkenswerter, als die IT-lastige Diskussion vermuten lässt.
Das deutsche NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft, ohne Übergangsfrist. Betroffen sind Einrichtungen in achtzehn Sektoren ab etwa fünfzig Beschäftigten oder zehn Millionen Euro Umsatz; die Schätzungen bewegen sich um knapp dreißigtausend Unternehmen allein in Deutschland. Der Maßnahmenkatalog zum Risikomanagement steht in § 30 des neu gefassten BSIG.
Interessant für diesen Text ist aber § 38. Danach müssen die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sich selbst regelmäßig fortbilden und können bei Pflichtverletzung persönlich haften. Die operative Umsetzung darf delegiert werden, die Verantwortung nicht.
Das ist der eigentliche Bruch. Zum ersten Mal seit langem knüpft eine breit anwendbare Norm die persönliche Verantwortung der Geschäftsleitung nicht an eine Zahl, sondern an die Frage, ob die Organisation etwas kann. Nicht an das Ergebnis, sondern an die Konstruktion.
Man sollte das nicht überhöhen. Der Anwendungsbereich ist Informationssicherheit, also wieder eine Domäne und nicht der Betrieb als Ganzes. Aber der Mechanismus ist übertragbar, und er ist jetzt etabliert: Nachweis über die Angemessenheit einer organisatorischen Vorkehrung, geschuldet von der Leitung, nicht abdingbar.
Was ein Aufsichtsrat oder Beirat daraus machen kann#
Für Gremien folgt daraus eine sehr praktische Konsequenz. Sie müssen nicht auf neue Vorschriften warten, um die Frage stellen zu dürfen. Drei Fragen genügen, und keine davon setzt ein Projekt voraus.
Erstens: Welche Übergaben im Betrieb haben eine dokumentierte Vollständigkeitsdefinition? Also eine Festlegung, woran der Empfänger erkennt, dass er das Erhaltene annehmen kann. Im rechnungslegungsnahen Bereich gibt es das, sonst fast nie. Die Antwort “das ist eingespielt” ist die interessante Antwort, denn eingespielt heißt: an Personen gebunden und beim nächsten Wechsel weg.
Zweitens: Wo häufen sich wiederkehrende Klärungsrunden, und seit wann? Die Daten liegen in Kalendern und Verteilern vor. Es geht nicht um Meetingstunden, sondern darum, ob dieselbe Frage an derselben Stelle wiederholt auftritt. Das ist ein Konstruktionsbefund, kein Personalbefund.
Drittens: Für welche dieser Stellen ist eine Reaktionszeit mit benannter Rolle zugesagt? Das ist exakt die Logik, die das IKS im engen Streifen verlangt und die NIS2 für die Informationssicherheit verlangt. Sie ist außerhalb dieser Bereiche genauso anwendbar und kostet keine Software.
Wer diese drei Fragen beantwortet bekommt, hat mehr über die Substanz des Unternehmens erfahren als aus jeder Abweichungsanalyse zum Vorjahr. Nicht weil die Zahlen falsch wären, sondern weil sie über diesen Teil des Unternehmens konstruktionsbedingt schweigen.
Der Kopf stinkt nicht, er ist blind gebaut#
Es gibt ein Sprichwort, das an dieser Stelle gern bemüht wird. Es unterstellt Verfall von oben, also ein Charakter- oder Willensproblem der Führung.
Der Befund ist ein anderer und für Betroffene entlastender. Die Instrumente, mit denen Führung ihr Unternehmen beobachtet, bilden einen erheblichen Teil seiner Substanz nicht ab, und zwar vorschriftsgemäß. Wer nur darauf schaut, sieht eine Firma, die jung aussieht, während innen etwas ausfällt, das nirgends einen Posten hat.
Das Gegenmittel ist keine neue Regulierung und kein Kulturwandel. Es ist eine Zurechnung: den wiederkehrenden Koordinationsaufwand der Stelle im Ablauf zuordnen, an der er entsteht. Ab diesem Moment hat er einen Ort, eine Häufigkeit und einen Eigentümer — und damit alles, was eine Größe braucht, damit man sie regeln kann.