DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH Konzept, Aufbau und Erfahrungen mit einem breit angelegten IKS sowie Abstimmung zum Risikomanagement

Transkript

1 MARKUS BRAUNSCHWEILER DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH Konzept, Aufbau und Erfahrungen mit einem breit angelegten IKS sowie Abstimmung zum Risikomanagement Falls in der öffentlichen Hand ein IT-Projekt scheitert, falsche Zahlen gemeldet, Gelder veruntreut oder Submissionsregeln verletzt werden, sind reputationsschädigende Schlagzeilen garantiert. Um Fehler und Missbrauch zu reduzieren, hat die Stadt Zürich ihre Verwaltungseinheiten verpflichtet, ein angemessenes IKS aufzubauen, einzusetzen und zu pflegen. 1. AUSGANGSLAGE Die öffentliche Hand untersteht nicht der Verpflichtung des Obligationenrechts, eine Risikobeurteilung durchzuführen und die Existenz eines internen Kontrollsystems (IKS) zu belegen [1]. Doch auch die Verwaltung ist nicht vor Fehlern und Missbrauch gefeit. Dies, obwohl sie seit Langem interne n wie z. B. die Funktionentrennung kennt, um der erhöhten Aufmerksamkeit der Öffentlichkeit gegenüber dem Umgang mit öffentlichen Geldern gerecht zu werden [2]. Um in der Stadt Zürich eine sichere, ordnungsgemässe und effiziente Aufgabenerfüllung sicherzustellen sowie das Vermögen zu schützen, wurden das Chancen- und Risikomanagement sowie das IKS auf- und ausgebaut. Die Stadtverwaltung Zürich (über Beschäftigte, über CHF 8 Mrd. Budget und CHF 1 Mrd. Investitionen) ist in neun Departemente und rund 70 Dienstabteilungen aufgeteilt, die ein breites Aufgabenspektrum abdecken [3]. Erst wenige, besonders risikoexponierte Organisationseinheiten (z. B. Tiefbauamt, Soziale Dienste) hatten eigenständig ein systematisches Risikomanagement oder IKS aufgebaut. Nachdem die Stadt Zürich 2008 ihre Versicherungslösung optimiert hatte (tiefere Prämien dank Bündelung und höherem Selbstbehalt), stieg der Anreiz, Schäden zu vermeiden. Dafür wurden von 2009 bis 2011 im stadtweiten Projekt CHARM (Chancenund Risikomanagement und Internes Kontrollsystem) Konzepte, Methoden und Hilfsmittel ausgearbeitet und so zwei MARKUS BRAUNSCHWEILER, DR. OEC. HSG, PROJEKTLEITER, LEITER IKS-KOMPETENZZENTRUM, FINANZVERWALTUNG STADT ZÜRICH, ZÜRICH systematische und dokumentierte Führungsinstrumente eingeführt. 2. INTERNES KONTROLLSYSTEM 2.1 IKS-Verständnis und -Anforderungen. Die Stadt Zürich versteht unter dem IKS ein organisationsinternes Führungsinstrument, das alle angeordneten Methoden und Massnahmen umfasst, um durch Vermeiden, Vermindern und Aufdecken von Fehlern und Missbrauch: a) die Leistungserbringung zu erhalten und zu optimieren (Strategie und Prozesse), b) die Rechtsvorschriften und Regeln einzuhalten, die darin enthaltenen Handlungsspielräume auszuschöpfen und ethische Richtlinien zu beachten (Compliance), c) Aktiven, Personal, Know-how, Reputation und Umwelt zu schützen (Vermögensschutz) sowie d) eine zuverlässige, ordnungsgemässe und vollständige Berichterstattung zu gewährleisten (Reporting). Dieses IKS-Verständnis orientiert sich an den anerkannten INTOSAI [4]-Richtlinien für die internen n im öffentlichen Sektor sowie am bewährten COSO [5]-Modell. Im städtischen Konzept sind die klassischen, nicht prozessbezogenen COSO-Komponenten «Kontrollumfeld», «Information und Kommunikation» sowie «Überwachung» im sogenannten «IKS-Rahmen» zusammengefasst. Der IKS-Rahmen enthält z. B. Aufgaben, Organisation, Rechtsgrundlagen, interne Richtlinien, Kompetenzen, Ablage der IKS-Dokumente oder die Art, wie neue Mitarbeitende betreffend IKS instruiert werden und wie das IKS überwacht wird. Diesen IKS-Rahmen zu dokumentieren, ist eine der Anforderungen an das städtische IKS, die der Stadtrat am 13. April 2011 im IKS-Reglement erlassen hat [6] (vgl. Abbildung 1). 2.2 IKS für die Finanzprozesse. Nachdem die städtische Finanzkontrolle bereits ab 2002 für ein IKS warb, ging es darum, den städtischen Organisationseinheiten die Grund- 996 DER SCHWEIZER TREUHÄNDER

2 DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH ÖFFENTLICHER SEKTOR Abbildung 1: IKS-ANFORDERUNGEN DER STADT ZÜRICH Jede Organisationseinheit pflegt ein angepasstes und systematisches IKS, das folgende Anforderungen erfüllt: a) Der IKS-Rahmen (Kontrollumfeld, Information/ Kommunikation, Überwachung) ist dokumentiert. b) Die wesentlichen Prozesse sind identifiziert und dokumentiert. c) Bei den wesentlichen Prozessen sind die Prozessrisiken ermittelt und die n mit Verantwortlichkeit und Häufigkeit festgelegt. d) Die festgelegten n werden durchgeführt und die rgebnisse dokumentiert. e) Die Angemessenheit des IKS, die Durchführung und Zweckmässigkeit der n sowie die Aktualität der Dokumente wird mindestens einmal jährlich überprüft. f) Einmal jährlich beurteilt die oberste Führungsperson der Organisationseinheit das IKS und leitet bei Bedarf Optimierungsmassnahmen ein. g) Die oberste Führungsperson und die für das Finanzund Rechnungswesen verantwortliche Person der Organisationseinheit bestätigen mit der jährlichen Vollständigkeitserklärung an die Finanzkontrolle, dass die Organisationseinheit bei den Finanzprozessen über ein IKS verfügt, das die vorliegenden Anforderungen erfüllt. lagen des IKS zu vermitteln und praktikable Hilfsmittel zur Verfügung zu stellen. In einem Teilprojekt haben Fachleute im Finanz- und Rechnungswesen zu den zwölf wesentlichsten Finanz- und Controllingprozessen die kritischen Aspekte festgehalten. Die Leitfragen waren: «Welche Aspekte müssen unbedingt beachtet werden?» und «Wo liegen die grössten Risiken?». Daraus abgeleitet wurden IKS-Check listen (auch «Risiko-Kontroll-Matrix» genannt, vgl. Abbildung 2). Die wesentlichen Finanzprozesse wurden in zwei Dutzend Modulen des «Accounting Manuals» (welches das ehemalige «Handbuch Haushaltführung» ablöste) verbindlich geregelt und mit Prozessbeschreibungen und den IKS-Checklisten ergänzt. 2.3 IKS-Fokus. In der Privatwirtschaft ist das IKS bisher meist auf die finanzielle Berichterstattung fokussiert, denn dies wird von den Revisionsgesellschaften überprüft [7]. Massgeblich für die Revision ist der «Schweizer Prüfstandard: Prüfung der Existenz des internen Kontrollsystems (PS 890)» [8]. Dieser Standard schränkt das IKS ein auf «jene Vorgänge und Massnahmen in einer Unternehmung, welche eine ordnungsgemässe Buchführung und finanzielle Berichterstattung sicherstellen» [9]. Bei der Abschlussprüfung geht es allein um das «Risiko einer wesentlichen falschen Berichterstattung in der Jahresrechnung. Dieses Risiko stellt nur eine Teilmenge der gesamten Geschäftsrisiken dar.» [10] Der Treuhand-Kammer ist bewusst: «Ein Unternehmen sollte über ein dauernd funktionierendes IKS in allen Bereichen der Unternehmung verfügen» [11]. Entsprechend hat sich für die Stadt Zürich die Frage gestellt, ob ihr IKS auf das Finanzielle fokussiert oder weiter ausgedehnt sein soll. Da sich die städtische Finanzkontrolle an anerkannten Prüfstandards orientiert, ist auch in der Stadt Zürich ein angemessenes IKS für die Finanzprozesse die Minimalanforderung. Sie gilt auch bei jenen Verwaltungseinheiten der Jahresrechnung, die dem Stadtrat nicht oder lediglich administrativ unterstehen [12]. Doch welcher Geschäftsprozess hat keine Auswirkungen auf die Jahresrechnung? Diese künstliche Abgrenzung der finanziellen gegenüber den übrigen Prozessen erübrigt sich, wenn das IKS alle Geschäftsbereiche abdeckt. Weil das IKS Fehler und Missbrauch reduziert und zu einem sicheren, ordnungsgemässen und effizienten Arbeiten beiträgt, ist es von Vorteil, es in allen Bereichen zu nutzen. Als das COSO-Modell bei der Revision 2013 auf nicht finanzielle Aspekte erweitert wurde [13], sah sich die Stadt Zürich in ihrem breiten Ansatz bestätigt. 2.4 IKS für alle wesentlichen Prozesse. Die Stadt Zürich entschied bereits 2011, das IKS für alle wesentlichen Geschäftsprozesse anzuwenden. Wie viele und welche Prozesse (für das IKS) wesentlich sind, entscheiden die einzelnen Dienstabteilungen aufgrund einer Risikobeurteilung selbst. Ihnen wurde empfohlen, in einem ersten Schritt eine Prozesslandkarte oder -liste zu erstellen (zwecks Übersicht und Priorisierung der Leistungsprozesse für das Erbringen der Staatsaufgaben sowie der Management- und Supportprozesse). In einem nächsten Schritt galt es, die wesentli- Abbildung 2: MUSTER IKS-CHECKLISTE Was ist sicherzustellen? Welches Risiko besteht, wenn dies vernachlässigt wird? Wer kontrolliert was wie oft und wie wird die belegt? Was wird von wem bis wann optimiert? Für RM Checkfrage Antwort Risiko Beurteilung Bemerkung Nachweis für Frequenz Verantwortung Optimierung Termin Verantwortung Top- Risiko Stellen wir sicher, dass ja/ nein/ n. a. Risiko bei fehlender klein/ mittel/ gross Was wird kontrolliert? z. B. Beleg? Jedes mal, 1x/Wo., Mt., Q., J. Wer kontrolliert? Was wird optimiert? Bis wann? Wer ist zuständig? ja/ nein DER SCHWEIZER TREUHÄNDER 997

3 DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH Abbildung 3: GRATWANDERUNG BEIM IKS Kriterium «zu wenig» «angemessen» «zu viel» n Dokumentation der Prozesse Kontrollnachweise Grenzen Zu wenig n fahrlässig viele Fehler Missbrauchsgefahr Zu wenig Dokumentation unklare Abläufe unklare Zuständigkeit Fehlende Nachweise kein Nachweis möglich unsicher, was geprüft wurde niemand ist verantwortlich Zweckmässige n + stellen wichtige Aspekte sicher + verhindern, was nicht passieren darf + Sicherheit, Abläufe im Griff zu haben Angemessene Prozessdokumentation + klare Abläufe und Zuständigkeiten + Überblick, Orientierung + einfache Einführung Neueintretender Angemessene Kontrollnachweise + belegen, dass Kritisches geprüft wurde + belegen, wer was kontrolliert hat + (gestiegene Verantwortung) Kein IKS kann alle Fehler und Missbräuche verhindern Technische Störungen Fehleinschätzungen und Übersehen Umgehen, deliktische Handlungen Zu viele n aufwendig, teuer untergräbt Vertrauen oberflächliche Zu viel Dokumentation aufwendig, teuer rasch veraltet Übertriebene Nachweise aufwendig bürokratisch «blindes» Visieren chen Prozesse zu identifizieren und sofern noch offen, Prozessverantwortlichen zuzuweisen. Dienstabteilungen mit einem bestehenden Qualitäts- oder Prozessmanagementsystem konnten auf dem Vorhandenen aufbauen [14]. Anderen wurde empfohlen, bei einem Prozess exemplarisch Ablauf, Risiken und n zu dokumentieren und anhand dieses Prototyps in der Geschäftsleitung über Darstellungsform, Breite und Tiefe des IKS zu entscheiden und die gewählte Form dann auszurollen. Um den Aufwand für die Erarbeitung zu reduzieren, wurden im gesamtstädtischen Projekt jeweils mit Fachspezialisten aus verschiedenen städtischen Organisationseinheiten IKS-Instrumente zu Themen erarbeitet, welche die meisten Einheiten betreffen. Aufgrund der Erfahrung, wo und weshalb Probleme entstanden sind oder was zu beachten ist, um solche zu vermeiden, wurden u. a. Checkfragen erarbeitet für risikobehaftete Personalprozesse oder die Bereiche Management, Multiprojektmanagement, Recht oder IT. 3. ERFAHRUNGEN BEIM AUFBAU DES IKS Die Fragen der IKS-Checklisten (z. B. ob und wie sichergestellt wird, dass alle relevanten Verträge vorliegen und jeweils Kündigungsfrist und Vertragsende beachtet werden) lösen unterschiedliche Reaktionen aus: Einige halten alles für selbstverständlich («Wie kann man so etwas überhaupt fragen? Wer das nicht im Griff hat, ist am falschen Platz»). Andere erkennen Optimierungspotential oder entdecken gar Sicherheitslücken. Dazwischen liegt die Vielzahl jener, die aufgrund der Fragen etwas abklären oder einem kritischen Aspekt in Zukunft mehr Beachtung schenken. Die Ausgestaltung des IKS ist eine Gratwanderung: Ist das IKS zu wenig ausgebaut, steigt die Wahrscheinlichkeit von Fehlern und Missbrauch. Nach einem Vorfall hört man schnell den Vorwurf: «Wie konnte so etwas nur geschehen?». Die Folge sind nicht selten übertriebene Kontrollmassnahmen. Dann muss man sich jedoch nicht über Widerstände und unaufmerksames Abarbeiten der n wundern. Beim Festlegen des zweckmässigen Masses gilt es, sich auch der Grenzen des IKS bewusst zu sein: Aufgrund technischer Störungen, menschlicher Grenzen und Schwächen kann kein IKS alles Unerwünschte verhindern (vgl. Abbildung 3). 4. ERFOLGSFAKTOREN FÜR DEN AUFBAU EINES ANGEPASSTEN IKS Das Thema IKS löst selten Begeisterung aus: Man hört Bedenken, dass die Zeit für IKS-Aufbau und -Pflege fehle, dass die n das Vertrauen zerstörten oder dass bürokratisch Listen abzufüllen seien, aber die grossen, teuren Fehlentscheidungen nicht vermieden würden. Eine gute Führung dagegen brauche gar kein IKS. Gewiss haben verantwortungsbewusste Führungskräfte und Mitarbeitende schon immer bevor man überhaupt von einem IKS sprach ein Augenmerk darauf gerichtet, was «Die Stadt Zürich hat den einzelnen Organisationseinheiten bewusst grosse Freiheit gelassen, ihr IKS den eigenen Bedürfnissen anzupassen.» schief gehen könnte und wie dies zu vermeiden ist. Insofern hat fast jede Organisation ein IKS. Der Reifegrad schwankt jedoch zwischen informell und professionell. Solange interne n nicht bloss willkürlich oder als (übertriebene) Reaktion auf vergangene Unregelmässigkeiten durchgeführt werden, sondern auf die Risiken ausgerichtet und standardisiert erfolgen, können unterschiedliche Ausprägungen des IKS zweckmässig sein. Die Stadt Zürich hat im IKS-Reglement den einzelnen Organisationseinheiten be- 998 DER SCHWEIZER TREUHÄNDER

4 DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH ÖFFENTLICHER SEKTOR wusst grosse Freiheit gelassen, ihr IKS den eigenen Bedürfnissen anzupassen. Dass keine Listen an eine Zentrale einzureichen sind, erleichtert es den Verantwortlichen, die (von ihnen als relevant beurteilten) Kontrollfragen unbeschönigt zu beantworten und erkannte Sicherheitslücken anzugehen. Das IKS soll weder eine Pflichtübung noch ein «Papiertiger» sein, sondern intern eine positive Wirkung entfalten. Es soll und kann Fälle verhindern, die bei der Arbeit nicht hätten geschehen dürfen. Denn bei derartigen Vorfällen ist der Aufwand oft enorm, sie abzuklären und gegenüber Medien und politischen Gremien zu erklären und darzulegen, wie sie (mit schärferen n) zukünftig vermieden werden sollen. Da sind jene Organisationen im Vorteil, die ihre Schlüsselrisiken in den Prozessen systematisch mit zweckmässigen n abfangen (und dazu z. T. präventiv neue oder automatisiertere n aufgebaut haben, dafür auf andere verzichten konnten). Angemessene n zerstören das Vertrauen nicht, sondern reduzieren die Versuchung, es zu missbrauchen und belegen die Bedeutung der (kontrollierten) Tätigkeit. Dass auch grosse Entscheidungen mit schwerwiegenden Konsequenzen standardisiert und kontrolliert ablaufen, wird bei einem breiten IKS- Verständnis gefördert. Für die IKS-Einführung zentral sind eine zielgruppenspezifische Vermittlung des Themas und die Einstellung der Führung: In der Stadt Zürich wurde das IKS sowohl durch Projekt-Newsletter wie auch an mehreren Informationsveranstaltungen nahegebracht, an denen zum Teil auch der Finanzvorsteher mitwirkte. Sein Support gab dem IKS einen starken Rückenwind. Vorbehalte schwinden, wenn den Verantwortlichen bewusst wird, dass es nicht um Formalitäten geht, sondern dass sie ihr IKS so ausgestalten können, dass es ihnen eine grössere Sicherheit bringt. Die Vernehmlassung zum IKS-Konzept war aufwendig, doch förderte sie die Auseinandersetzung mit dem Thema und ermöglichte die Optimierung des Konzepts. Dass die IKS-Hilfsmittel jeweils mit Fachexperten aus verschiedenen Verwaltungsbereichen erarbeitet wurden, führte zu einer breiteren Abstützung und trug dazu bei, dass die in der Praxis heiklen Punkte angeschnitten sind. Diese IKS-Hilfsmittel erleichterten den IKS-Aufbau ebenso wie die zentrale Schulung oder das Organisieren von Erfahrungsaustauschrunden von IKS-Beauftragten. Das IKS-Kompetenzzentrum bietet Support an, wo dies gewünscht wird. Die angemessene Ausgestaltung des IKS liegt in der Verantwortung und im Interesse der einzelnen Führungskräfte DER SCHWEIZER TREUHÄNDER 999

5 DAS INTERNE KONTROLLSYSTEM DER STADT ZÜRICH 5. IKS-BETRIEB Aufgrund einer subjektiven Einschätzung wird das IKS bereits in vielen Dienstabteilungen auf einem respektablen Niveau angewendet. Im Geschäftsalltag zeigt sich in der Stadtverwaltung Zürich ein reifes IKS daran, dass die Führung hinter dem IKS steht und integres Handeln fördert (soft control [15]); die IKS-Anforderungen (vgl. Abbildung 1) umgesetzt sind; die Finanzkontrolle als Revisionsstelle die Existenz des IKS bestätigt; Fehler und Missbrauch selten vorkommen. Als punktuelle Ausnahmen, die korrigiert bzw. sanktioniert werden, bestätigen sie die Wirksamkeit des IKS. 6. ZUSAMMENSPIEL DER VERSCHIEDENEN FÜHRUNGSINSTRUMENTE IM UMGANG MIT RISIKEN In der Stadt Zürich wurden IKS sowie Chancen- und Risikomanagement (RM) von 2009 bis 2011 gemeinsam konzipiert und eingeführt. Nach städtischem Verständnis ergänzen sich diese beiden gleichwertigen Führungsinstrumente: Beim RM geht es darum, Top-Chancen und -Risiken für die ganze Organisation oder die Leistungserbringung zu identifizieren, zu bewerten und Massnahmen abzuleiten, um Chancen zu ergreifen und Risiken vorzubeugen. Das IKS fokussiert auf die Reduktion von Prozessrisiken durch n. Identifiziert man im IKS ein Top-Risiko, wird es im RM aufgegriffen, um auf höherer Ebene (andere) Massnahmen zu beschliessen. Wird umgekehrt im RM ein Prozessrisiko als gross beurteilt, ist diesem mit verschärften internen n zu begegnen. Vergibt eine Organisationseinheit beispielsweise grössere Aufträge, gilt es, das Vergaberisiko zu bewerten und ggf. die Betroffenen im Submissionswesen zu schulen (als RM-Massnahme), aber auch die Submissionsunterlagen angemessen zu kontrollieren (als IKS-Massnahme). Bei einzelnen externen Risiken wird zudem abgeklärt, ob und wie weit sie versichert sind oder sein sollen. Nach eingetretenen Risiken (z. B. bei der Feuerwehr nach einem Brand) wird analysiert, wie sie bewältigt worden sind, um die Lehren für die Zukunft zu ziehen. Aus demselben Interesse werden in Spitälern Beinahe-Ereignisse anonym in einem CIRS (critical incident reporting system) erfasst und ausgewertet. EKAS [16]-Massnahmen reduzieren Unfälle und körperliche Beeinträchtigungen. Mehrere Organisationseinheiten setzen Qualitäts- oder Prozessmanagementsysteme ein, um Qualitätsmängel zu reduzieren und arbeiten beispielsweise mit Qualitätszirkeln am kontinuierlichen Verbesserungsprozess (KVP). Daneben gelten für die IT-Sicherheit spezifische IT-Normen (ITIL usw.) und in einzelnen Branchen zusätzliche Fachnormen. Die Stadt Zürich hat keine Compliance-Abteilung, doch tragen IKS und Risikomanagement zur Einhaltung der Rechtsvorschriften und Normen bei. Die eingesetzten Instrumente und ihre Bezeichnung variieren bei den verschiedenen Organisationseinheiten. Doch egal unter welcher Bezeichnung: Es ist zentral, dass die Verantwortlichen periodisch systematisch analysieren und bewerten, welche der erbrachten Leistungen Priorität haben und was die Organisation und Leistungserbringung gefährden oder schädigen könnte. Prozessrisiken lassen sich mit angemessenen und überwachten n wesentlich reduzieren. Der Aufbau und Einsatz eines angemessenen IKS, das im obigen Sinn mit anderen Führungsinstrumenten abgestimmt ist, bedeutet sicherlich einen gewissen Aufwand, reduziert jedoch ärgerliche, gefährliche und teure Vorfälle [17] und steigert bei den Verantwortlichen die beruhigende Gewissheit, dass bei den risikoreichen Abläufen in ihrem Verantwortungsbereich die wesentlichen Aspekte beachtet werden. Anmerkungen: 1) Bei grösseren Unternehmungen (vgl. Art. 727 OR) verlangt das Obligationenrecht, dass die Revisionsstelle die Existenz eines internen Kontrollsystems prüft (Art. 728 a OR) und dass in einem Lagebericht Angaben zur Durchführung einer Risikobeurteilung gemacht werden (Art. 961 und 961 c Abs. 2 OR). 2) Bergmann Andreas: IKS in öffentlichen Verwaltungen. Der Schweizer Treuhänder 2009/8. 3) In der Stadt Zürich werden pro Jahr beispielsweise rund Zu-, Um- und Wegzüge registriert, Steuerdossiers verarbeitet, Betreibungen durchgeführt, 3800 Baubewilligungen geprüft, Sozialhilfefälle betreut, in zwei Stadtspitälern Patienten versorgt, in 122 Schulanlagen Schüler/innen unterrichtet, von den Verkehrsbetrieben über 300 Mio. Fahrgäste transportiert, rückt die Stadtpolizei rund mal aus oder unterhält und reinigt das Tiefbaudepartement 740 km Strassen und Wege (gerundete Mengen aufgrund Geschäftsbericht 2013 oder Angaben auf im Juni 2014). 4) INTOSAI, «International Organisation of Supreme Audit Institutions», nicht staatliche, unabhängige, internationale Organisation der obersten Rechnungskontrollbehörden mit 192 Mitgliedländern inkl. der Schweiz. 5) COSO, «Committee of Sponsoring Organizations of the Treadway Commission», eine privatwirtschaftlich organisierte US-Organisation, die für die Bereiche Risikomanagement, IKS und Betrugsbekämpfung Grundlagenarbeit leistet und Leitlinien entwickelt (1985 zur Qualitätssteigerung der finanziellen Berichterstattung gegründet). Das COSO-IC-Modell wurde 1992 als Regelwerk «Internal Control Integrated Framework» publiziert. Erweitert um strategische Ziele und differenziert bei der Risikobeurteilung folgte 2004 das COSO-ERM-Modell «Enterprise Risk Management Integrated Framework». Am 14. Mai 2013 wurde eine überarbeitete Version des COSO-IC-Modells publiziert. Am 15. Dezember 2014 löst es das bisherige Modell ab. Es basiert auf diesem, konkretisiert jedoch mit 17 Prinzipien die IKS-Komponenten und hat einen breiteren und dynamischeren Ansatz: U. a. berücksichtigt es die Veränderung des Umfelds stärker und dehnt das ehemalige Ziel des finanziellen Reportings explizit auch auf die interne und nicht finanzielle Berichterstattung aus (vgl. 6) Das IKS-Reglement (AS ) und der entsprechende Stadtratsbeschluss 434/2011 sind online unter www. stadt-zuerich.ch verfügbar. 7) Hintergrund für die IKS-Fokussierung auf das Finanzielle sind unlautere Finanzberichterstattungen, die in den 90er-Jahren zu Finanzskandalen und entsprechenden Verpflichtungen führten. 8) Der Schweizer Prüfstandard PS 890 wurde vom Vorstand der Schweizer Treuhand-Kammer am 17. Dezember 2007 verabschiedet. 9) PS 890, II Definition, Absatz a). 10) PS 890, II Definition, Absatz c). 11) PS 890, I Einleitung, Absatz c). 12) Lediglich zu einem IKS für Finanzprozesse verpflichtet sind in der Stadt Zürich zum Beispiel die Ombudsstelle, das Stadtrichteramt oder die Friedensrichterämter. 13) Vgl. Anm ) In einzelnen Qualitätsmanagementsystemen (QMS) sind bereits kritische Erfolgsfaktoren festgehalten; meist aber gilt es, zusätzlich zur Ablaufdokumentation Risiken und n festzulegen, um ein QMS zu einem IKS zu erweitern. Umgekehrt sind zur Zertifizierung des QMS z. T. Dokumente notwendig, die intern wenig Nutzen stiften und auf die das IKS deshalb verzichtet. 15) Vgl. Kiener Matthias: Einschätzungen zur Wirksamkeit interner Kontrollsysteme. Der Schweizer Treuhänder 2013/12. 16) EKAS, Eidg. Koordinationskommission für Arbeitssicherheit. 17) Während die IKS-Kosten (mit Ausnahme der Prozessintegrierten n) eruierbar sind, kann der Nutzen (die dank IKS vermiedenen Kosten) höchstens im durchschnittlichen Längsvergleich ausgewiesen werden DER SCHWEIZER TREUHÄNDER