Kontrollen und Prüfung der Finanzberichterstattung

Eine Bilanzposition mit der Angabe „Digitale Vermögenswerte: 250 Millionen US-Dollar“ ist nur so gut wie die zugrunde liegenden Nachweise. Kryptowährungen verändern die Prüfungsproblematik: Das Ledger ist öffentlich, aber das Eigentum wird durch die Kontrolle über Schlüssel nachgewiesen, Vermögenswerte können innerhalb von Minuten bewegt werden und die Preise unterscheiden sich je nach Handelsplatz. Finanzteams, interne Prüfer und externe Prüfer müssen wissen, welche Kontrollen verlässliche Zahlen liefern, was Prüfer testen und warum ein Reservenachweis keine Abschlussprüfung ist.

Die wichtigsten Aussagen

Prüfer testen die Aussagen, die das Management im Abschluss macht. Bei Kryptowährungen bergen fünf davon das größte Risiko:

Existenz und Rechte: Kontrolle nachweisen

Ein Block-Explorer kann zeigen, dass sich 1.000 BTC auf einer Adresse befinden. Er kann nicht zeigen, wer diese Adresse kontrolliert. Jeder kann die Cold-Wallet-Adresse einer bekannten Börse in eine Tabelle einfügen und sie als eigene ausgeben. Prüfer suchen daher nach Nachweisen für die Kontrolle über die privaten Schlüssel:

• Signierte Nachrichten: Das Unternehmen signiert eine vom Prüfer ausgewählte Nachricht (mit einem Datum oder einer Nonce) mit dem Schlüssel jeder Adresse, und der Prüfer verifiziert die Signatur.
• Testtransaktionen: Ein kleiner, vom Prüfer festgelegter Betrag wird zu einem vereinbarten Zeitpunkt von der Adresse übertragen.
• Beobachtung von Schlüsselzeremonien sowie der Kontrollen für Schlüsselaufbewahrung, Quorum und Signaturvorgänge, die in der Lektion Wallet-Stufen, Transaktionsrichtlinien und Signaturabläufe behandelt werden.

Die Kontrolle über Schlüssel ist noch nicht dasselbe wie Rechte. Coins können als Sicherheit verpfändet, verliehen, beim Staking gesperrt oder für Kunden gehalten werden. Ein Schlüsselinhaber kann Verwahrer für jemand anderen sein. Prüfer lesen Darlehens-, Staking- und Verwahrungsverträge und fragen gezielt nach Belastungen, da diese sowohl die Bilanz als auch die Angaben verändern. Verwahrt ein qualifizierter Verwahrer die Vermögenswerte, holen Prüfer eine Bestätigung des Verwahrers ein und beurteilen seine Kontrollen anhand eines Berichts über eine Dienstleistungsorganisation.

Abstimmung mit der Blockchain und Vollständigkeit

Ein zuverlässiger Abschlussprozess beginnt mit einem gepflegten Adressregister: jede vom Unternehmen kontrollierte Adresse, die Blockchain, die Wallet-Stufe, der Verwahrer und die Person, die ihre Einrichtung genehmigt hat. Zum Ende jeder Periode stimmt das Finanzteam das interne Ledger für jede Adresse mit den Beständen auf der Blockchain ab, untersucht Abweichungen und dokumentiert das Ergebnis.

Zu bewährten Vorgehensweisen gehören:

• Auslesen der Bestände aus einer unabhängigen Quelle, idealerweise dem eigenen Node des Unternehmens oder mehr als einem Explorer, und nicht aus demselben Tool, das das Ledger erstellt.
• Berücksichtigung von Token, die nicht in einem einfachen Bestand erscheinen: Staking-Positionen, Anteile an Liquiditätspools, Wrapped Tokens und auf andere Blockchains überbrückte Vermögenswerte.
• Bei Börsen und Verwahrern mit Omnibus-Wallets Abstimmung des Kunden-Unterledgers mit den Beständen auf der Blockchain, damit die Kundenverbindlichkeiten vollständig gedeckt sind.

Die Vollständigkeit ist die schwierigste Aussage. Ein Prüfer kann bestätigen, dass sich Coins auf den aufgeführten Adressen befinden, aber nicht beweisen, dass keine andere Adresse zum Unternehmen gehört oder keine Verpflichtung fehlt. Zu den Prüfungshandlungen gehören das Nachverfolgen von Transaktionen bekannter Adressen, um nicht aufgeführte Adressen zu finden, die Prüfung von Protokollen des Vorstands und von Verträgen sowie die Untersuchung von Kontoauszügen der Börsen.

Stichtag und Preisbildung

Kryptowährungen werden rund um die Uhr gehandelt; daher muss der Stichtagszeitpunkt festgelegt werden: beispielsweise 23:59:59 UTC am letzten Tag der Periode, einheitlich angewendet auf Bestände und Preise. Für eine um 23:58 übertragene, aber erst um 00:03 in einen Block aufgenommene Transaktion braucht es eine Regelung dazu, welcher Periode sie zuzuordnen ist. Üblicherweise richtet sich dies danach, wann die Kontrolle übergeht. An einem volatilen Tag kann die Preisdifferenz zwischen Mitternacht UTC und Mitternacht in New York mehrere Prozent betragen: Bei 1.000 BTC verändert eine Differenz von 1.500 US-Dollar den ausgewiesenen Wert um 1,5 Millionen US-Dollar.

IFRS 13 und sein US-GAAP-Pendant ASC 820 verlangen beide die Bewertung zum beizulegenden Zeitwert anhand des Preises am Hauptmarkt: dem Markt mit dem größten Volumen und dem höchsten Aktivitätsniveau für den Vermögenswert, zu dem das Unternehmen Zugang hat. Ein Handelsplatz, bei dem das Unternehmen kein Konto hat, kommt nicht infrage. Lässt sich kein Hauptmarkt bestimmen, wird der vorteilhafteste Markt herangezogen. Praktische Hinweise:

• Die Analyse der Handelsplätze nach Volumen dokumentieren und regelmäßig überprüfen.
• Eine einheitliche, unabhängige Preisquelle verwenden und mit dem Hauptmarkt abgleichen.
• Ein aggregierter Index ist selbst kein Markt; er ist nur dann akzeptabel, wenn er Preise von Märkten widerspiegelt, zu denen das Unternehmen Zugang hat.
• Bei wenig gehandelten Token kann es sich um einen Preis der Stufe 2 oder Stufe 3 in der Fair-Value-Hierarchie handeln, was mehr Ermessensentscheidungen und Angaben erfordert.

Interne Kontrollen für verlässliche Zahlen

Prüfer verlassen sich ebenso auf die eigenen Kontrollen des Unternehmens wie auf direkte Prüfungshandlungen. Schwache Kontrollen erzwingen wesentlich umfangreichere aussagebezogene Prüfungshandlungen. Die wichtigsten Kontrollen für die Finanzberichterstattung über Kryptowährungen sind:

• Funktionstrennung zwischen den Personen, die Transaktionen signieren können, den Personen, die sie im Ledger erfassen, und den Personen, die Abstimmungen vornehmen. Ein Schatzmeister, der sowohl Coins bewegen als auch Buchungssätze erfassen kann, ist ein klassischer Kontrollmangel.
• Transaktionsgenehmigung durch die Richtlinien-Engine und Quorumregeln, wobei für jede Auszahlung Nachweise aufzubewahren sind.
• Tägliche oder zumindest monatliche Abstimmung des Ledgers mit der Blockchain, wobei Abweichungen untersucht und von einer unabhängigen Person genehmigt werden.
• Governance der Preisquellen: dokumentierte Analyse des Hauptmarkts, genehmigte Preis-Feeds und Prüfung aller manuellen Preisüberschreibungen.
• Allgemeine IT-Kontrollen über das Krypto-Unterledger oder die Buchhaltungssoftware: Zugriffsverwaltung, Änderungsmanagement und Vollständigkeit der aus Wallets und Börsen importierten Daten.
• Anschaffungskosten- und Losdaten auf der von Steuer- und Rechnungslegungsvorschriften geforderten Ebene, damit realisierte Gewinne in der Überleitungsangabe einzelnen Abgängen zugeordnet werden können.

Prüfer testen diese Kontrollen typischerweise und führen anschließend aussagebezogene Prüfungshandlungen wie unabhängige Bestandsbestätigungen, Preisprüfungen und Neuberechnungen von Gewinnen durch. Nutzt das Management spezialisierte Tools oder Preisbildungsdienste, beurteilt der Prüfer deren Zuverlässigkeit, statt deren Ergebnisse einfach zu übernehmen.

Nahestehende Parteien und Dienstleistungsorganisationen

Pseudonyme Adressen erschweren die Identifizierung nahestehender Parteien. Der Zusammenbruch von FTX im Jahr 2022 zeigte, wie ein von denselben Personen kontrolliertes Handelsunternehmen, Alameda Research, Kundenvermögen halten und nicht offengelegte Darlehen erhalten konnte. Prüfer kombinieren übliche Prüfungshandlungen zu nahestehenden Parteien (Befragungen, Vorstandsprotokolle, Eigentumsunterlagen) mit On-Chain-Analysen von Transaktionen zwischen den Adressen des Unternehmens und denen von Insidern, verbundenen Unternehmen und Token-Emittenten.

Viele Unternehmen verlassen sich auf Verwahrer, Börsen und Preisbildungsanbieter. Prüfer verwenden Berichte über Dienstleistungsorganisationen, um deren Kontrollen gemäß ISA 402 oder den entsprechenden nationalen Vorschriften zu beurteilen. Für die Finanzberichterstattung ist ein Typ-II-Bericht über für die Finanzberichterstattung relevante Kontrollen maßgeblich, die über einen Zeitraum geprüft wurden: international ein ISAE-3402-Bericht oder ein SOC-1-Typ-II-Bericht nach dem US-amerikanischen AICPA-Standard, den viele Krypto-Dienstleister verwenden; SOC 2 behandelt Sicherheit und Verfügbarkeit und wird in der Lektion Zusicherungen, Resilienz und Versicherung behandelt. Prüfer kontrollieren, ob der Berichtszeitraum das Geschäftsjahr abdeckt, holen für etwaige Lücken ein Überbrückungsschreiben ein und bestätigen, dass das Unternehmen die im Bericht vorausgesetzten ergänzenden Kontrollen des nutzenden Unternehmens durchführt, etwa die Prüfung von Auszahlungsgenehmigungen.

Reservennachweis im Vergleich zur Abschlussprüfung

Ein Reservennachweis (PoR), dessen Funktionsweise in der Lektion Kontrahentenrisiko und Reservennachweis behandelt wird, wird oft so dargestellt, als handle es sich um eine Prüfung. Das ist er nicht.

Nach dem Zusammenbruch von FTX stellten mehrere Prüfungsgesellschaften Reservennachweise für Börsen ein, und im März 2023 warnte die US-amerikanische Prüfungsaufsichtsbehörde PCAOB Anleger, dass solche Berichte keine Abschlussprüfungen sind. Ein aussagekräftiger Reservennachweis kann geprüfte Abschlüsse ergänzen, aber nicht ersetzen.

Prüfungsschwerpunkt: die wichtigsten Aussagen bei Kryptowährungen (Existenz, Rechte und Verpflichtungen, Vollständigkeit, Bewertung, Angaben); warum On-Chain-Bestände die Existenz, aber weder Kontrolle noch Rechte nachweisen, und wie signierte Nachrichten und Testtransaktionen dabei helfen; Adressregister und Abstimmung mit einer unabhängigen Blockchain-Quelle, einschließlich gestakter und überbrückter Vermögenswerte; festgelegter Stichtagszeitpunkt und die Hauptmarktregel gemäß IFRS 13 (und ASC 820); Risiken nahestehender Parteien bei pseudonymen Adressen (FTX/Alameda); ISAE-3402- und SOC-1-Typ-II-Berichte, Überbrückungsschreiben und ergänzende Kontrollen des nutzenden Unternehmens; warum ein Reservennachweis keine Abschlussprüfung ist.