IKS und IT-unterstützte Prozesskontrolle Aus manuell wird automatisiert

Transkript

1 Unterstützende IT-Applikationen helfen nachhaltig bei der Umsetzung der Kontrollaktivitäten in einem Internen Kontrollsystem (IKS). Roman Kalberer IKS und IT-unterstützte Prozesskontrolle Aus manuell wird automatisiert 1. Problemstellung Die Verschärfung der gesetzlichen und regulatorischen Vorschriften zur internen Kontrolle im Jahr 2008 hat die Thematik des Internen Kontrollsystems (IKS) wieder in den Mittelpunkt des öffentlichen Interesses gebracht. Mediale Ereignisse im angelsächsischen Raum wie der Zusammenbruch der amerikanischen Konzerngesellschaften Enron und Worldcom führten zur Entstehung des Sarbanes- Oxley-Act (SOX). Neue Regulierungswellen entstanden, welche auch die Schweiz erfassten. Die jüngste Folge davon ist das neue Revisionsrecht, welches seit dem 1. Januar 2008 in Kraft getreten ist. Die neuen Artikel 728a 1 und 728b 2 im Schweizerischen Obligationenrecht (OR) bekräftigen die Bedeutung der Internen Kontrolle, obwohl der Gesetzgeber darauf verzichtet hat, explizit den Begriff des Internen Kontrollsystems (IKS) darin zu definieren. In der Praxis ist festzustellen, dass die Nachfrage der Unternehmen nach einem Internen Kontrollsystem deutlich stärker geworden ist, um gegenwärtige und künftige regulatorische Risiken zu minimieren. 3 Bei der Internen Kontrolle handelt es sich dabei um die Gesamtheit aller vom Verwaltungsrat und der Geschäftleitung angeordneten Vorgänge, Methoden und Massnahmen, die dazu dienen, einen ordnungsgemässen Ablauf des betrieblichen Geschehens sicherzustellen. 4 Das primäre Ziel ist es eine zweckmässige Sicherheit in Bezug auf folgende drei Bereiche durchzusetzen: - Effektivität und Effizienz der Tätigkeiten (Operations) - Verlässlichkeit der finanziellen Berichterstattung (Financial Reporting) - Gesetzes- und Normenkonformität (Compliance) 5 1 Art. 728a OR, Die Revisionsstelle prüft, ob ein internes Kontrollsystem existiert. Die Revisionsstelle berücksichtigt bei der Durchführung und Festlegung des Prüfungsumfangs das interne Kontrollsystem. 2 Art. 728b OR, Die Revisionssteller erstattet dem Verwaltungsrat einen umfassenden Bericht mit Feststellungen über die Rechnungslegung, das interne Kontrollsystem sowie die Durchführung und das Ergebnis der Revision. 3 Vgl. Lengauer, Holderegger und Amstutz (2007), Neuerungen im Gesellschafts- und Revisionsrecht 2007/2008, Schulthess, Zürich 4 Vgl. PricewaterhouseCoopers (2006), Internes Kontrollsystem Führungsinstrument im Wandel, &comefromcontainer=true 5 Vgl. Committee of Sponsoring Organizations of the Treadway Commission (COSO, 1994), Internal Control Integrated Framework, Jersey City, S. 13

2 Im Wesentlichen steht die langfristige Existenzsicherung eines Unternehmens im Vordergrund. Diese wird durch eine einwandfreie und zeitgerechte, externe und interne Rechnungslegung, durch klare und unmissverständliche Regelungen der Aufbau- und Ablauforganisation sowie von Verantwortung und Kompetenz, durch professionelles Rollenverständnis und ethisches Handeln aller verantwortlichen Funktionen im Unternehmen erreicht. Zudem bedarf es einer regelmässigen unternehmens-spezifischen Risikoanalyse. 6 Ein Unternehmen ist gesetzlich verpflichtet, über ein dokumentiertes Internes Kontrollsystem (IKS) zu verfügen und dieses durch die Revisionsstelle prüfen zu lassen, sofern zwei der folgenden drei Kriterien erfüllt werden: -Bilanzsumme von 10 Millionen Franken -Umsatzerlös von 20 Millionen Franken -Überschreitung von 50 Vollzeitstellen im Jahresdurchschnitt (in zwei aufeinanderfolgenden Jahren). 7 Sowohl privatwirtschaftliche als auch öffentliche Unternehmen entscheiden sich immer mehr, auf freiwilliger Basis ein Internes Kontrollsystem einzuführen. Beispielsweise kann beobachtet werden, dass zunehmend auch Gemeinden und Bundesstellen die Vorteile von Internen Kontrollsystemen erkannt haben und diese implementieren. Schon im Jahr 2003 hat die Eidgenössische Finanzkontrolle einen Leitfaden für den Aufbau eines Internen Kontrollsystems 8 veröffentlicht, welcher die IKS-Philosophie und die wichtigsten Schritte beim Aufbau eines Kontrollsystems thematisiert. Als Reaktion auf die veränderten gesetzlichen Grundlagen folgte bereits 2007 die zweite Auflage mit dem Titel Aufbau eines Internen Kontrollsystems (IKS) IKS in der Praxis Die Interne Kontrolle bedarf in vielen Unternehmen einiger Verbesserungen. Nicht selten ist zu beobachten, dass Prozesse nur mit Flussdiagrammen dargestellt werden, oder dass ein grosser Teil der Prozesskontrolle nicht wirklich umgesetzt wird. Die Erledigung von Aufgaben erfolgt oft sporadisch und spontan, ohne dass diese im Gesamtprozess eingebettet sind. Häufig mangelt es an der praktischen Ausrichtung, was zur Durchführung zahlreicher ineffizienter Alibikontrollen führt. Die Interne Kontrolle kann einem Unternehmen helfen, jene Erfolgsmerkmale zu erreichen, welche insbesondere erfolgreiche Gesellschaften auszeichnen. Diese sind z.b. übergeordnete Visionen, Geschäftsideen oder Strategien, welche mit einer hoher Effektivität und Effizienz vorbildlich umgesetzt werden. 6 Vgl. Pfaff und Ruud ( 2008), Schweizer Leitfaden zum Internen Kontrollsystem (IKS), 3. Auflage, Orell Füssli, Zürich, S. 5 7 Schweizer, Jonathan (n.a.), Risikobeurteilung, Internes Kontrollsystem und Informationstechnologie,

3 Begleitet von einer zuverlässigen und zeitgerechten Finanzberichterstattung sowie die Einhaltung der gesetzlichen und regulatorischen Rahmenbedingungen. 10 Immer mehr Unternehmen erkennen in der Auseinandersetzung mit den internen Prozessen und der Internen Kontrolle eine Chance, die Effizienz der internen Organisation zu verbessern und dadurch den Unternehmenserfolg nachhaltig zu steigern. 11 Ein IKS kann zudem, bei richtiger Umsetzung, als eine wertvolle Steuerungshilfe für das Management eingesetzt werden. Durch eine geschickte Implementierung können Prozesse harmonisiert und interne Abläufe verbessert werden. Daraus ergibt sich eine verstärkte Stabilität und Sicherheit des Unternehmens und nicht zuletzt unterstützt ein IKS auch die Corporate Governance. Insbesondere IT basierte Lösungen im Zusammenhang mit dem IKS sind zukunftsweisend, da sie eine optimale Ausschöpfung des Managementpotentials ermöglichen und die regulatorischen Kosten eines Unternehmens minimieren. 3. Einsatz von Informationstechnologie bei der Umsetzungen des IKS 3.1 Funktionsweise und Vorteile von IT basiertem IKS IT-Applikationen helfen sicher zu stellen, dass alle nötigen Kontrollen im Rahmen der regulatorischen IKS-Anforderungen zuverlässig und rechtzeitig durchgeführt werden. Eine vielversprechende Lösung bietet das Standard-Webtool ICS von KAROKA. Mit ICS werden die zentralen Prozessschritte in Form von elektronischen Timestamps gespeichert und ermöglichen eine lückenlose Kontrolle und Dokumentation der Prozesse. Es kann jederzeit nachvollzogen werden, zu welchem Zeitpunkt welcher Mitarbeiter welche Kontrolle durchgeführt hat (bzw. hätte durchführen müssen). Solche Dokumentationreports, welche die erfolgten Kontrollen zeitlich präzise dokumentieren, lassen sich ausdrucken und für diverse Evaluationen verwenden. Dadurch erübrigt sich eine manuelle Erfassung der zeitlichen Erledigung von Kontrollen genauso wie ein aufwendig geführtes Ablagesystem von physischen Kontrolldokumenten. Die Internen Kontrollen werden in elektronischen Verzeichnissen gespeichert und erlauben eine umfangreiche Überwachung. IT-Applikationen wie ICS ermöglicht das Anhängen von Dokumenten an einzelne Aufgaben und erhöhen damit den Informationsfluss zusätzlich. Es kann zudem eine Liste mit den erledigten Aufgaben und Kontrollen inklusive den angehängten Dokumenten erstellt werden, was weitreichende Auswertungen erlaubt. Durch die IT-Unterstützung werden automatisierte, Fehler verhindernde Sicherheitsmassnahmen und Kontrollen ermöglicht, die in der Aufbau- und Ablauforganisation zu integrieren sind. Während frühere Firmeneigentümer, CEO s und Vorgesetzte in der Lage waren, diese Überlegungen auf allen Stufen zu vollziehen, verhindert heutzutage die erhöhte Komplexität und Grösse der 10 Vgl. Pfaff und Ruud ( 2008), Schweizer Leitfaden zum Internen Kontrollsystem (IKS), 3. Auflage, Orell Füssli, Zürich, S Vgl. PricewaterhouseCoopers (2006), Internes Kontrollsystem Führungsinstrument im Wandel, &comefromcontainer=true

4 Unternehmen dieses Vorgehen. Eine IT Lösung wie ICS bietet sich hier an. Das Management erhält die Kontrolle über die dezentral durchgeführten Kontrollaktivitäten und kann im Sinne von Management by Exception eingreifen. Ein weiterer entscheidender Vorteil von IT-unterstützten Applikationen wie ICS ist die Wiederholungsfunktion. Verbreitet auftretende, wiederkehrende Prozesse und Kontrollen werden einmal im IT-System zeitlich definiert und können danach nach Belieben einfach wiederholt werden, ohne dass ein zusätzlicher Planungsaufwand notwendig wird. Insbesondere im Accounting- und Reporting-Umfeld trifft man im Rahmen der Monats-, Quartals-, Halbjahres- und Jahresabschlüsse immer wieder auf terminlich identische Abläufe. Der Einsatz einer IKS-Applikation erhöht dabei nicht nur die Zuverlässigkeit der Kontrolle, sondern geht nachhaltig mit den unternehmerischen Ressourcen um. ICS überwacht z.b. die Abarbeitung der definierten Aufgaben sowie Kontrollen eines Prozesses und benachrichtigt sowohl den verantwortlichen Mitarbeiter, wie auch dessen Vorgesetzte per , sofern eine Aufgabe bis zu definierten Deadlines nicht abgeschlossen wurde. Software Applikationen wie ICS ermöglichen neben der effektiven Prozessüberwachung und des Managements der Kontrollaktivitäten eines Internen Kontrollsystems zusätzlich auch eine rationale Bewertung der Mitarbeiter und Prozesse. Dies ist vorteilhaft, vor allem dann, wenn ein Unternehmen über ein variables Vergütungssystem verfügt. Da Mitarbeiter- Bewertungen oft auf der Zuverlässigkeit und Pünktlichkeit eines Mitarbeiters beruhen, kann eine solche Applikation präzise Evaluationen ermöglichen. Die dadurch gewonnenen Erkenntnisse über den Mitarbeiter können als Grundlage für Vergütungsdiskussionen herangezogen werden. 3.2 Kosten/Nutzen-Verhältnis Mit der Einrichtung eines IKS sollen die Risiken auf ein vertretbares Mass reduziert werden. Die Kosten, welche durch diese Kontrollen verursacht werden, sollen die daraus erzielten Vorteile jedoch nicht überwiegen. 12 Damit ein IKS den gewünschten Nutzen bringen kann, muss es an das einzelne Unternehmen und das jeweilige Risikoprofil individuell angepasst werden. Von zentraler Bedeutung ist hier eine Gegenüberstellung von Kosten und Nutzen der Kontrolle. Ein besonders vorteilhaftes Kosten/Nutzen-Verhältnis wird durch IT unterstützte, automatisierte Kontrollen erreicht. Diese sind preiswert und dennoch äusserst zuverlässig. Sie sind dem manuellen Management von Kontrollaktivitäten deutlich überlegen und helfen darüber hinaus langfristig Ressourcen und Kosten einzusparen. 12 Farhrnberger, Brigit (2007), Internes Kontrollsystem, In: G sund Online, Ausgabe 54, Juni 2007

5 3.3 Einsatzbereich Ein ausgeglichenes Verhältnis von Kosten und Nutzen eines IKS stellt insbesondere bei KMUs die grosse Herausforderung dar, da diese einerseits spezifischen Gegebenheiten besondere Beachtung schenken müssen und andererseits Ressourcen in KMUs nur beschränkt verfügbar sind. Zudem ist die Funktionstrennung wegen der geringen Anzahl Mitarbeiter schwierig. 13 Ein IT unterstütztes IKS eignet sich deshalb speziell für KMUs, die mit beschränkten Ressourcen auskommen müssen und deshalb besonderen Wert auf effiziente und günstige Kontrollmechanismen legen. Beim Einsatz von IT-Kontrollen ist es wichtig, die folgenden zwei Ebenen strikt voneinander zu trennen: Zum einen geht es darum, die bedeutendsten Risiken zu identifizieren, die durch den Einsatz der Informationstechnologie selbst entstehen können. Zum anderen ist darauf zu achten, dass der Einsatz von IT zur Effizienzsteigerung des IKS beitragen kann. Etwa indem Kontrollaktivitäten weitgehend in bestehende Prozesse integriert und nach Möglichkeit automatisiert werden. 14 Menschliche Fehlerquellen können so einfacher ausgeschlossen werden. Wie generelle Kontrollen im Rahmen eines IKS, dürfen auch die IT unterstützten Prozesskontrollen nicht als Widerspruch zum Vertrauensgrundsatz gesehen werden. Vielmehr dienen sie zur Unterstützung der täglichen Arbeit, zum Schutz vor Bearbeitungsfehlern und zur Sicherstellung der eigenen betrieblichen Funktionsfähigkeit Fazit Eine IT gestützte Prozesskontrolle bietet zahlreiche Vorteile und ist herkömmlichen, manuellen Kontrollen (z.b. mit Excel-Unterstützung) klar überlegen. Die Bedeutung der Informationstechnologie für das erfolgreiche Management eines IKS wird durch die folgende Aussage des amerikanischen IT Governance Institute (2004) verdeutlicht: Whether through a unified ERP system or a disparate collection of operational and financial management software applications, IT is the foundation of an effective system of internal control over financial reporting. Software Applikationen zur Internen Kontrolle sind heute auch für kleine Unternehmen erschwinglich. Auf Programme wie ICS wird über das Internet zugegriffen, was weder eine ressourcenintensive Installation noch einen kostenintensiven Unterhalt nötig macht. Die Revision des Obligationenrechts hat die 13 Swissconsultans.ch (2009), Internes Kontrollsystem eine präventiv wirkende Versicherung, In: Business News 1/ Vgl. Pfaff und Ruud ( 2008), Schweizer Leitfaden zum Internen Kontrollsystem (IKS), 3. Auflage, Orell Füssli, Zürich, S Farhrnberger, Brigit (2007), Internes Kontrollsystem, In: G sund Online, Ausgabe 54, Juni 2007

6 Unternehmen auf die Bedeutung der Internen Kontrolle sensibilisiert. IT Produkte wie ICS werden davon profitieren, helfen sie doch den Unternehmen nicht nur Ressourcen zu sparen, sondern in erster Linie den gesetzlichen Verpflichtungen nachzukommen. Braunau, den 2. Mai 2009 Roman Kalberer, lic. oec. HSG, Inhaber der Consulting-Firma Karoka AG, Braunau, Schweiz, ICS Applikation: