Zusammenfassung

  • Der AFRINIC-Vorstand trat am 19. April 2017 um 15:04 Uhr UTC per WebEx zusammen. Die Tagesordnung trennte die Analyse des Prüfungsausschusses vom eigentlichen Genehmigungspunkt für den Jahresabschluss 2016. Andrew Alston stellte die Ausschussarbeit vor, beantragte anschließend die Resolution 201704.332, Krishna Seeburn unterstützte den Antrag, und der Vorstand stimmte einstimmig zu. Alan Barrett und Sunday Folayan wurden zur Unterzeichnung des Abschlusses ermächtigt; Barrett sollte zudem die zugehörige Erklärung des Managements gegenüber dem Abschlussprüfer unterzeichnen.

    Der Beschluss hielt fest, dass die Genehmigung durch den Vorstand vor der Unterschrift des Prüfers erwartet wurde.

  • Die veröffentlichte Abschlussakte liefert echte externe Sicherung. Zwei Direktoren unterschrieben, und PricewaterhouseCoopers gab am selben Tag ein an die Mitglieder gerichtetes Urteil ab, wonach der definierte Abschluss nach den IFRS und dem mauritischen Companies Act 2001 ein den tatsächlichen Verhältnissen entsprechendes Bild vermittelte. Zugleich beschrieb PwC das Prüfungsniveau als hinreichende, nicht absolute Sicherheit.

    Die Prüfung garantierte nicht die Entdeckung jeder wesentlichen Falschdarstellung, enthielt kein Urteil über die Wirksamkeit interner Kontrollen und erstreckte das Prüfungsurteil nicht auf die übrigen Informationen des Jahresberichts.

  • Fünf Ebenen dürfen deshalb nicht ineinander geschoben werden: Verantwortung und Unterschriften der Direktoren, Erklärungen des Managements, Prüfung durch den Audit Committee, das unabhängige Urteil des Abschlussprüfers und die gesonderte Annahme durch die Mitglieder. Der öffentliche Bestand belegt für jede Ebene etwas anderes. Er enthält aber weder den Management Letter noch den Wortlaut der Management-Erklärung, weder einen nachvollziehbaren Erledigungsstand der Empfehlungen noch die Entscheidung über eine spätere IT-Prüfung, weder die genaue untertägige Übergabe am 19.

    April noch ein vollständiges Protokoll der Mitgliederfragen und einer formellen Annahmeentscheidung.

  • Der stärkste wohlwollende Befund lautet, dass die Abfolge zu ordentlicher privatrechtlicher Unternehmensführung passt: Der Vorstand musste den Abschluss verantworten, bevor der Prüfer sein Urteil unterzeichnete; ein Ausschuss konnte die Detailprüfung bündeln; Management-Erklärungen konnten Verantwortlichkeiten festhalten; und die Mitglieder behielten eine eigene Annahmerolle. Gleiche Datumsangaben beweisen weder beeinträchtigte Unabhängigkeit noch eine mangelhafte Prüfung. Doch die Grenzen müssen genauso sichtbar bleiben wie die Unterschriften. AFRINIC ist ein privater technischer Buchhalter und Koordinator.

    Jahresabschluss, Prüfung und Genehmigung verschafften ihm keine Souveränität oder hoheitliche Zuständigkeit über Internet-Nummernressourcen.

L3 — Was am 19. April unterschrieben wurde

Um 15:04 Uhr UTC begann am 19. April 2017 eine Vorstandssitzung per WebEx. Die protokollierte Umgebung ist wichtig, weil sie den Vorgang von einer später erzählten Governance-Geschichte zurück auf einen konkreten Entscheidungsraum führt: Es gab einen aufgerufenen Vorstand, eine festgestellte Beschlussfähigkeit, acht anwesende Teilnehmer, eine Entschuldigung und die Anwesenheit eines Rechtsberaters. Vor allem gab es eine Tagesordnung, die nicht alles unter einem einzigen Etikett „Audit“ zusammenfasste.

Sie unterschied den Ausschusspunkt zum Audit Report von dem Punkt „Audit Report – Financial Statements 2016“, an dem der Vorstand den Abschluss genehmigen sollte. Schon diese Trennung ist ein früher Hinweis darauf, dass Analyse und formeller Unternehmensbeschluss verschiedene Handlungen waren.

Der Vorsitzende des Audit Committee, Andrew Alston, berichtete über die Analyse des Ausschusses. Gegenstand waren sowohl die Finanzaufstellungen als auch der dem Vorstand zugeleitete Management Letter. Das Protokoll zeigt damit, dass mehr als nur die Endzahlen betrachtet worden war. Es zeigt jedoch nicht den Text des Schreibens, die einzelnen Feststellungen oder die Empfehlungen. Es veröffentlicht auch keine Antworten des Managements, keine Zuständigkeiten für Abhilfemaßnahmen, keine Zieltermine und keine Nachweise über abgeschlossene Korrekturen. Die Aussage „Der Ausschuss hat analysiert“ ist ein belegter Prozessschritt.

Sie ist kein Ersatz für den Inhalt dessen, was analysiert wurde.

In diesem Ausschussteil wurde nach einer IT-Prüfung gefragt. Alstons Antwort war begrenzt und bemerkenswert nüchtern: Im vorausgegangenen Jahr sei keine IT-Prüfung durchgeführt worden. Der Ausschuss könne eine solche Prüfung erwägen und, wenn der Vorstand sie verlange, nach einem spezialisierten Unternehmen suchen. Diese Antwort beweist eine Scope-Grenze. Sie beweist nicht, dass die IT-Kontrollen versagt hätten. Sie beweist ebenso wenig, dass überhaupt keine IT-bezogenen Prüfungshandlungen im Rahmen der Abschlussprüfung vorgenommen worden wären.

Eine Abschlussprüfung kann Kontrollen verstehen, soweit dies für die Planung ihrer Prüfungshandlungen erforderlich ist, ohne eine gesonderte IT-Prüfung oder ein Wirksamkeitsurteil über Kontrollen zu liefern. Genau diese begriffliche Trennung schützt vor zwei spiegelbildlichen Fehlern: aus dem fehlenden IT-Audit einen Zusammenbruch zu konstruieren oder aus dem Finanzprüfungsurteil eine umfassende IT-Freigabe abzuleiten.

Nach dem Bericht folgte die Unternehmenshandlung. Resolution 201704.332 hielt fest, dass die Aufstellungen für das am 31. Dezember 2016 beendete Jahr erstellt und geprüft worden waren und dass die Genehmigung des Vorstands erwartet wurde, bevor die Abschlussprüfer ihren Bericht unterzeichneten. Alston stellte den Antrag, Krishna Seeburn unterstützte ihn, und der Vorstand fasste den Beschluss einstimmig. Der Abschluss wurde genehmigt. Alan Barrett und Sunday Folayan wurden ermächtigt, ihn für den Vorstand zu unterzeichnen. Barrett wurde außerdem ermächtigt, die dazugehörige Management Representation Letter zu unterzeichnen.

Der Beschluss war deshalb nicht bloß ein freundliches Kenntnisnehmen. Er identifizierte den verantwortlichen Unternehmensorgan, bestimmte Unterzeichner und verband die Genehmigung des Abschlusses mit einer Erklärung des Managements an den Prüfer.

Die veröffentlichte, unterzeichnete Akte macht diese Handlung überprüfbarer als ein bloßer Eintrag im Beschlussregister. Die Finanzaufstellungen nennen den 19. April 2017 als Datum der Vorstandsgenehmigung und tragen die Namen und Unterschriften von A. P. Barrett und S. A. Folayan. Auch der Bericht der Direktoren ist von zwei Personen unterzeichnet und auf diesen Tag datiert. Mitglieder konnten folglich nicht nur lesen, dass es angeblich einen Beschluss gegeben hatte. Sie konnten in dem Abschlussdokument erkennen, wer die Verantwortung sichtbar übernommen hatte und auf welches Datum die Genehmigung bezogen war.

Das ist die erste Sicherungsebene: die Verantwortung der Direktoren. Der Abschluss beschreibt ihre Pflicht, die Aufstellungen ordnungsgemäß zu erstellen und fair darzustellen. Zu dieser Verantwortung gehörten die Auswahl angemessener Rechnungslegungsmethoden, vernünftige Schätzungen, die Beurteilung der Fortführungsfähigkeit und die Gestaltung jener internen Kontrollen, die für eine von wesentlichen Falschdarstellungen freie Rechnungslegung relevant waren. Die Unterschriften machten diese Verantwortung nicht grenzenlos.

Sie sagten nicht, dass jeder einzelne Geschäftsvorgang rechtlich genehmigt, jede Kontrolle stets wirksam oder jede Schätzung unfehlbar war. Sie verankerten vielmehr, dass das Management und die Direktoren die Zahlen als Unternehmensabschluss zu vertreten hatten.

Die zweite Ebene war die Management-Erklärung gegenüber dem Abschlussprüfer. Eine solche Erklärung ist im Prüfungsprozess bedeutsam, weil das Management bestimmte Tatsachen, Vollständigkeitsbehauptungen und Verantwortlichkeiten gegenüber dem Prüfer festhält. Resolution 201704.332 ermächtigte Barrett zur Unterzeichnung. Ein späterer Registereintrag mit der Bezeichnung Resolution 201704.337 hielt fest, dass die Prüfer zwei Unterschriften verlangten, und ermächtigte Barrett und Folayan. Das zeigt, dass die Unterzeichnungsfrage nicht bedeutungslos war.

Es zeigt aber nicht den genauen Wortlaut, mögliche Einschränkungen, Anlagen, Änderungen, den präzisen Zeitpunkt oder die Tatsachengrundlage der Erklärung. Vor allem ist eine Management-Erklärung keine unabhängige Bestätigung. Sie ist Beweismittel im Audit und ein Instrument der Verantwortungszuweisung, bleibt aber eine Aussage der für das Unternehmen Verantwortlichen.

Die dritte Ebene war die Prüfung durch den Audit Committee. Die Protokolle belegen, dass der Ausschuss die Aufstellungen und den Management Letter analysiert hatte, einen Bericht und Empfehlungen an den Vorstand weitergab und Fragen zum Umfang der IT-Prüfung behandelte. Dies ist mehr als eine rein zeremonielle Erwähnung des Ausschusses. Ein spezialisiertes Gremium kann Informationen verdichten, den Abschlussprüfer und das Management befragen und dem Gesamtvorstand Punkte zur Entscheidung vorlegen. Doch die öffentliche Nachvollziehbarkeit endet dort, wo der Inhalt nicht mitveröffentlicht wurde.

Ohne Themenregister lässt sich nicht sehen, welche Feststellungen offen, akzeptiert, bestritten, priorisiert oder erledigt waren. Das ist eine Informationsgrenze, keine Anschuldigung.

Die vierte Ebene war das unabhängige Prüfungsurteil. PricewaterhouseCoopers richtete seinen Bericht an die Mitglieder von AFRINIC. Der lizenzierte Unterzeichner Olivier Rey datierte ihn ebenfalls auf den 19. April 2017. Nach dem Urteil vermittelten die definierten Finanzaufstellungen in Übereinstimmung mit den International Financial Reporting Standards und den Anforderungen des Companies Act 2001 von Mauritius ein den tatsächlichen Verhältnissen entsprechendes Bild. Der Bericht enthielt außerdem eine Aussage zur Unabhängigkeit des Prüfers.

Damit erhielten die Mitglieder eine substanzielle externe Sicherung, die weder vom Vorstandsbeschluss noch von den Management-Erklärungen erzeugt werden konnte.

Der Umfang dieses Urteils war zugleich ausdrücklich begrenzt. PwC erklärte hinreichende Sicherheit als ein hohes Sicherheitsniveau, nicht als Garantie dafür, dass eine Prüfung jede wesentliche Falschdarstellung stets entdeckt. Die Prüfer gewannen ein Verständnis der für die Rechnungslegung relevanten internen Kontrollen, um angemessene Prüfungshandlungen zu entwerfen. Sie taten dies nicht, um ein Urteil über die Wirksamkeit der internen Kontrollen von AFRINIC abzugeben.

Ebenso erstreckte sich das Prüfungsurteil nicht auf den Jahresbericht oder die Bescheinigung des Company Secretary; für diese anderen Informationen wurde kein Prüfungsurteil und keine vergleichbare Sicherheitsschlussfolgerung abgegeben. Der Bericht war für die Mitglieder als Gesamtheit und für den gesetzlichen Zweck nach Section 205 erstellt. Ohne schriftliche Vereinbarung übernahm der Prüfer keine Verantwortung für andere Zwecke oder andere Nutzer.

Die fünfte Ebene, die Annahme durch die Mitglieder, war am 19. April nicht abgeschlossen. Das Prüfungsurteil war zwar an die Mitglieder gerichtet. Der Vorstand konnte seinen Unternehmensabschluss genehmigen und die Unterzeichnung autorisieren. Beides war aber nicht dasselbe wie eine formelle Mitgliederentscheidung. Ein späterer Eintrag zu Resolution 201706.362 dokumentierte ausdrücklich AFRINICs Auffassung, dass die Mitglieder ein gesondertes Annahmerecht hatten und dass bei der Generalversammlung 2017 keine formelle Abstimmung zur Annahme erfolgt war. Für die Analyse des April-Vorgangs genügt dieser spätere Eintrag als Beweis der Trennung.

Die spätere Route über einen schriftlichen Mitgliederbeschluss ist ein eigenes Thema; ihre Gültigkeit oder Wirkung wird hier nicht entschieden.

Innerhalb der ersten Stunden und Dokumente des Vorgangs standen damit alle fünf Ebenen nebeneinander, aber nicht im gleichen Zustand. Die Direktorenebene war durch Aufgabenbeschreibung, Vorstandsbeschluss, Namen, Datum und Unterschriften sichtbar. Die Managementebene war durch die Unterzeichnungsermächtigung sichtbar, nicht durch den Inhalt der Erklärung. Die Ausschussebene war durch Analyse, Bericht und Empfehlungen sichtbar, nicht durch die einzelnen Befunde oder deren Erledigung. Die Prüferseite war durch ein unterzeichnetes, adressiertes und abgegrenztes Urteil stark dokumentiert.

Die Mitgliederebene bestand als eigener verfassungsrechtlicher Schritt fort und war nach dem späteren Registereintrag bei der AGMM gerade nicht durch eine formelle Abstimmung abgeschlossen worden.

Diese Unterscheidung erklärt, warum die Abfolge „Vorstand vor Prüferunterschrift“ kein Verdachtsmoment ist. Ein Abschlussprüfer übernimmt nicht die Verantwortung des Unternehmens für dessen Aufstellungen. Der Vorstand muss den endgültigen Abschluss als eigenen Abschluss genehmigen. Erst dann kann der Prüfer seinen Bericht zu diesem verantworteten Dokument abschließen. Dass Vorstandsgenehmigung, Direktorenunterschriften und Prüferbericht dasselbe Datum tragen, passt daher zu einem geordneten Abschlussprozess.

Der öffentliche Bestand verrät lediglich nicht die genaue Reihenfolge innerhalb des Tages: wann die finale Fassung übermittelt, wann welche Unterschrift gesetzt und ob nach der Genehmigung noch eine autorisierte redaktionelle oder technische Änderung vorgenommen wurde. Das ist ein offener Nachweispunkt. Er erlaubt keine Behauptung über beeinträchtigte Unabhängigkeit oder mangelhafte Arbeit.

Auch die Zahlen geben dem Vorgang Gewicht, ohne selbst ein Leistungsurteil zu erzwingen. AFRINIC berichtete für 2016 Einnahmen von 4.602.912 US-Dollar. Die Vertriebsausgaben lagen bei 988.022 US-Dollar, die Verwaltungsausgaben bei 2.635.997 US-Dollar und die Nettofinanzierungskosten bei 49.183 US-Dollar. Als Überschuss für das Jahr wurden 929.710 US-Dollar ausgewiesen. Zum Jahresende standen liquide Mittel von 3.123.359 US-Dollar, Vermögenswerte von insgesamt 3.874.389 US-Dollar und Verbindlichkeiten von 1.260.747 US-Dollar in den Aufstellungen. Das den Mitgliedern zurechenbare Nettovermögen betrug 2.613.642 US-Dollar.

Einige Einzelangaben machen sichtbar, weshalb eine saubere Verantwortungsarchitektur mehr ist als Formalismus. Die Vergütung und Leistungen des Executive Director beliefen sich 2016 auf 164.727 US-Dollar. Für Community Support and Engagement wurden 138.230 US-Dollar angegeben, die Prüfungsgebühr betrug 8.820 US-Dollar. Diese Zahlen beweisen für sich weder Sparsamkeit noch Verschwendung, weder gute noch schlechte Prioritäten. Sie markieren den Maßstab, in dem Mitglieder nach Budgetdisziplin, Reservebildung, Leistung und Kontrolle fragen können.

Der Abschluss macht Geldbewegungen zusammenfassend sichtbar; die Sicherungsebenen bestimmen, wer die Zusammenfassung verantwortet, wer sie prüft und wer sie annimmt.

Der 2017 veröffentlichte spätere Jahresbericht führte die 2016er Werte als Vergleichszahlen weiter. Das liefert eine zusätzliche Bestätigung der Beträge, ersetzt aber nicht die April-Akte. Ein späterer Vergleichswert kann zeigen, dass die Zahlen in der folgenden Berichtsperiode weitergeführt wurden. Er beweist nicht rückwirkend den genauen Inhalt einer Ausschussempfehlung, einer Management-Erklärung oder eines Mitgliederentscheids. Zeitlich geordnete Rechenschaft verlangt, dass jedes Dokument nur das Gewicht erhält, das es tatsächlich tragen kann.

Was konnten Mitglieder in der unterzeichneten Datei also unmittelbar überprüfen? Sie konnten die Verantwortungserklärung der Direktoren lesen. Sie konnten zwei Namen und zwei Unterschriften sehen. Sie konnten das Datum 19. April 2017 feststellen. Sie konnten erkennen, welche Aufstellungen umfasst waren. Sie konnten das Urteil von PwC über die den tatsächlichen Verhältnissen entsprechende Darstellung lesen, die IFRS- und Gesetzesbezüge nachvollziehen und die Unabhängigkeitserklärung zur Kenntnis nehmen.

Sie konnten die Grenze der hinreichenden Sicherheit, den fehlenden Wirksamkeitsbefund zu Kontrollen, den Ausschluss sonstiger Jahresberichtsinformationen und die Ausrichtung des Berichts auf die Mitglieder als Gesamtheit erkennen. Und sie konnten die ausgewiesenen Finanzsummen prüfen und mit dem Folgejahr vergleichen.

Was konnten sie daraus nicht überprüfen? Nicht sichtbar waren der Management Letter, die konkreten Empfehlungen des Ausschusses, die Reaktionen des Managements, die Verantwortlichen für Abhilfe und die Fristen. Nicht sichtbar war, ob nach der Debatte eine gesonderte IT-Prüfung beschlossen oder verworfen wurde und mit welcher Begründung. Nicht sichtbar waren Wortlaut und etwaige Vorbehalte der Management-Erklärung. Nicht technisch fixiert war die Identität jeder Fassung in der Kette von der Ausschussvorlage über den Vorstandsbeschluss bis zur Prüferunterschrift.

Auch die vollständigen Fragen, Antworten oder Einwände der Mitglieder zum Abschluss sowie der formelle Annahmestatus waren im April-Dokument nicht enthalten.

Das Ergebnis ist weder ein Freispruch für jede denkbare Entscheidung noch ein Verdacht gegen die Beteiligten. Es ist eine genaue Karte der vorhandenen Sicherung. Die April-Akte war stark, wo sie Namen, Verantwortungen, Zahlen, Prüfungsmaßstab, Adressaten und Grenzen festhielt. Sie war still, wo vertrauliche oder nicht veröffentlichte Prozessdokumente lagen. Eine verantwortliche Analyse darf die stillen Stellen nicht mit erfundenen Inhalten füllen. Sie darf aber benennen, welche Informationsobjekte fehlen und warum Mitglieder sie für die Aufsicht über ein privates, mit ihren Mitteln finanziertes Koordinationsunternehmen benötigen.