Internes Kontrollsystem (IKS) und Risikobeurteilung: Aufgaben und Kernelemente. I. Einleitung: IKS und Risikobeurteilung. Internes Arbeitspapier

Transkript

1 Verband der Industrie- und Dienstleistungskonzerne in der Schweiz Fédération des groupes industriels et de services en Suisse Federation of Industrial and Service Groups in Switzerland 24. Januar 2007 Internes Arbeitspapier Internes Kontrollsystem (IKS) und Risikobeurteilung: Aufgaben und Kernelemente I. Einleitung: IKS und Risikobeurteilung Ausgangslage Interne Kontrollsysteme (IKS) und Risikobeurteilungen sind gängige Praxis im Management grösserer Unternehmen in der Schweiz. Der Gesetzgeber hat dieser Praxis Rechnung getragen und diese Führungsinstrumente im neuen Revisionsgesetz erstmals erwähnt. Weder das Interne Kontrollsystem noch die Risikobeurteilung werden im neuen Revisionsgesetz jedoch genauer beschrieben und sind nach dem Willen des Gesetzgebers durch die Unternehmen selbst zu definieren und auszugestalten. Das vorliegende Arbeitspapier hat folgenden Zweck: Beispielhafte Zusammenstellung der wesentlichen Elemente eines Internen Kontrollsystems und der Risikobeurteilung, wie sie sich in der Praxis bewährt haben. Hilfestellung für die firmenspezifische Ausarbeitung eines IKS, welches die an die Unternehmen gestellten gesetzlichen Erfordernisse erfüllt. Folgenden Punkten ist besondere Beachtung zu schenken: Da das Gesetz den Unternehmen Definition und Ausgestaltung von IKS und Risikobeurteilung überträgt, gibt es verschiedene Möglichkeiten, um den gesetzlichen Erfordernissen Rechnung zu tragen. Das im Papier beschriebene IKS ist somit kein Standard, sondern stellt eine unter vielen Möglichkeiten dar. Das Interne Kontrollsystem und die darin enthaltene Risikobeurteilung müssen als Führungsinstrumente den jeweiligen spezifischen betrieblichen Gegebenheiten des Unternehmens entsprechen. So müssen Unternehmen beispielsweise mit Zweitkotierungen im Ausland sehr hohe Anforderungen erfüllen (wie z.b. Sarbanes- Oxley). Die spezifische Rolle der Revision beim IKS und bei der Risikobeurteilung wird im vorliegenden Papier in den Grundzügen beschrieben, wird in einem nächsten Schritt jedoch im Detail festzulegen sein. SwissHoldings führt hiezu Gespräche mit der Treuhand-Kammer. Eine Überprüfung der Wirksamkeit des IKS durch den Revisor, in welcher Form auch immer, ist nicht Teil der gesetzlichen Pflicht der Revision 1. Das Papier befasst sich in Teil II mit dem Internen Kontrollsystem (IKS) und in Teil III mit der Risikobeurteilung. 1 Die Treuhand-Kammer sieht in ihrem Grundlagenpapier zum IKS Einhalteprüfungen und Wurzelstichproben vor, die jedoch ausserhalb der gesetzlichen Pflichten liegen. Postfach 402, 3000 Bern 7 Nägeligasse 13, 3011 Bern Tel. +41 (0) Fax +41 (0) sh@swissholdings.ch

2 SwissHoldings 2 II. Internes Kontrollsystem (IKS) 1. Rechtliche Situation Das Gesetz weist die Ausgestaltung des IKS dem Verwaltungsrat als unentziehbare Aufgabe zu: Art. 716a 1 Der Verwaltungsrat hat folgende unübertragbare und unentziehbare Aufgaben: 1. die Oberleitung der Gesellschaft und die Erteilung der nötigen Weisungen; 2. die Festlegung der Organisation; 3. die Ausgestaltung des Rechnungswesens, der Finanzkontrolle sowie der Finanzplanung, sofern diese für die Führung der Gesellschaft notwendig ist; Der Gesetzgeber verlangt neu, dass die Revisionsstelle die Existenz eines Internen Kontrollsystems prüft 2. Der massgebende Gesetzestext lautet: Art 728a (neu): Die Revisionsstelle prüft, ob: 1. die Jahresrechnung und gegebenenfalls die Konzernrechnung den gesetzlichen Vorschriften, den Statuten und dem gewählten Regelwerk entsprechen; 2. der Antrag des Verwaltungsrats an die Generalversammlung über die Verwendung des Bilanzgewinnes den gesetzlichen Vorschriften und den Statuten entspricht; 3. ein internes Kontrollsystem existiert. Die Botschaft zum Revisionsgesetz hält bezüglich der Rolle der Revisionsstelle beim IKS explizit fest ( , S. 4023): Die Prüfung des internen Kontrollsystems stellt an sich keine neue Prüfungsaufgabe der Revisionsstelle dar; der Entwurf erwähnt diesen Prüfaspekt allerdings im Gegensatz zum geltenden Recht ausdrücklich. Die Existenzprüfung ist somit eine formale Überprüfung. Die im ursprünglichen Gesetzesentwurf vorgesehene materielle Prüfung der Funktionsfähigkeit des IKS wurde in der parlamentarischen Beratung explizit abgelehnt. Zudem bezieht sich das im Gesetz erwähnte IKS nur auf die Rechnungslegung. Es fällt auf, dass das IKS im vorliegenden Gesetz nicht definiert wird. Somit ist es Aufgabe des Verwaltungsrates, Aufgabe und Umsetzung des IKS zu bestimmen. Hierbei entscheidet er somit im eigenen Ermessen ohne jegliche materiellrechtliche Vorgabe. Insbesondere hat er auch die Wesentlichkeitskriterien des IKS festzulegen. Im Rahmen der Wesentlichkeitskriterien ist zwischen dem IKS bei der Konzernkonsolidierung und dem IKS einer Tochtergesellschaft zu differenzieren. In Art. 728a Ziff. 3 OR (neu) und Art. 716a Ziff. 3 OR (bisher) wird der Wille des Gesetzgebers klar ausgedrückt: 1. Die Prüfung der Funktionstüchtigkeit und Anwendung des IKS ist keine gesetzliche Aufgabe der Revisionsstelle. 2. Der Verwaltungsrat hat die Aufgabe, das IKS selbst zu definieren. Bei der Ausgestaltung des IKS ist er frei. 2 Bisher wurde das IKS u. a. auch als Instrument verstanden, um den gesetzlichen Anforderungen an die ordnungsmässige Rechnungslegung (Art. 662a OR) und an die kaufmännische Buchführung (Art OR) nachzukommen. Daher stellt das IKS materiell keine neue Aufgabe für die Unternehmensleitung dar.

3 SwissHoldings 3 2. Grundzüge eines Internen Kontrollsystems IKS In diesem Abschnitt werden die minimalen Kernelemente eines IKS in ihren Grundzügen umschrieben. Dabei wird die heutige Praxis reflektiert. Je nach firmenspezifischer Situation ist ein IKS anzupassen. So wird beispielsweise ein Unternehmen mit einem grossen, globalen Konsolidierungskreis und einer Zweitkotierung in New York wesentlich weiter gehen als ein mittlerer Konzern mit zwanzig Tochtergesellschaften. Ein IKS ist ein Führungsinstrument und dient der Sicherstellung einer ordnungsgemässen Buchhaltung zum Schutz des Geschäftsvermögens. Daraus lassen sich folgende Hauptaufgaben eines IKS herleiten: 1. Verbesserung der Zuverlässigkeit und Vollständigkeit der Buchhaltung und der externen finanziellen Berichterstattung 2. Verhinderung und Erfassung von Fehlern und Unregelmässigkeiten in der Buchhaltung und der finanziellen Berichterstattung Diese beiden Hauptaufgaben ergeben sich aus der im Gesetz und Botschaft zum Ausdruck gebrachten Beschränkung des IKS auf den Bereich der Rechnungslegung (s. obiger Abschnitt Art. 716a Abs. 3). In der Praxis wird jedoch das IKS häufig auf weitere Bereiche angewendet: Einhaltung der Gesetze und interner Vorschriften (ausserhalb der Rechnungslegung) oder Schutz der IT-Funktionen. In der Praxis haben sich drei Kernelemente eines IKS etabliert: 1. Organisation und Verantwortlichkeiten 2. Bestimmung der für die Finanzberichterstattung wesentlichen Bereiche 3. Beschreibung der wichtigsten Kontrollaktivitäten Das IKS orientiert sich am Grundprinzip der Wesentlichkeit. Dieses Grundprinzip hat sich in der Praxis bei der Ausgestaltung der IKS-Kernelemente durchgesetzt. 2.1 Organisation und Verantwortlichkeiten Bisher nahm der Verwaltungsrat in der Praxis bereits eine zentrale Rolle bei der Festlegung und Überwachung des IKS ein. Diese Praxis wurde nun auf gesetzlicher Ebene nachgeführt, wobei weiterhin ausschliesslich der Verwaltungsrat für die Festlegung und die Überwachung des IKS zuständig ist. Wenn der Verwaltungsrat über ein Audit Committee verfügt, wird dieses in der Regel für das IKS zuständig sein. Da die Überwachungsfunktion des Verwaltungsrats bezüglich des IKS im Gesetz nicht genauer umschrieben wird, hat dieser selbst die eigene Überwachungsfunktion zu definieren. Hiezu sind mindestens folgende Massnahmen notwendig: 1. Der VR regelt die eigenen Verantwortlichkeiten und Kompetenzen bezüglich des IKS 2. Der VR regelt die Aufgaben und Pflichten der Geschäftsleitung bezüglich des IKS Die Oberaufsicht über die Organisation des IKS obliegt dem Verwaltungsrat. Die Organisation des IKS ist klar zu regeln.

4 SwissHoldings Bestimmung der für die Finanzberichterstattung wesentlichen Bereiche Bei der Bestimmung der Wesentlichkeitskriterien ist der Komplexität eines Unternehmens und den rechnungslegungsspezifischen Risiken Rechnung zu tragen. Die Risikobeurteilung hinsichtlich der Rechnungslegung wird in Art. 663b Ziff. 12 erstmals gesetzlich erwähnt: Der Anhang enthält: 12. Angaben über die Durchführung einer Risikobeurteilung; Da es sich bei den Angaben über die Durchführung einer Risikobeurteilung um eine neu eingeführte Pflicht der Unternehmen handelt, wird diese in Teil III dieses Papiers näher beschrieben. Bei Konzernen sind zudem Differenzierungen zwischen der Konzernkonsolidierung und dem Einzelabschluss einer Tochtergesellschaft vorzunehmen. Das IKS wird auf Konzernebene andere Kontrollaktivitäten umfassen als bei einer Tochtergesellschaft. Tochtergesellschaften, die nicht wesentlich für den Konzernabschluss sind, kommen mit einem äusserst rudimentären IKS aus. 2.3 Beschreibung der wichtigsten Kontrollaktivitäten Bei den Kontrollaktivitäten werden die Prinzipien und Regeln zur Reduktion der festgestellten Risiken in der Rechnungslegung festgelegt und umgesetzt. Bei der Festlegung der Kontrollaktivitäten sind die firmenspezifischen Gegebenheiten und auch die Kosten/Nutzenrelation zu berücksichtigen. Dabei ist insbesondere das Prinzip der Wesentlichkeit ausschlaggebend. Da zudem nicht jedes identifizierte Risiko durch Kontrollmassnahmen ausgeschlossen werden kann, sind Prioritäten festzulegen. Im Sinne eines Beispiels werden folgende in der Praxis bewährten Prinzipien festgehalten: Kompetenzregelungen Festlegung der Kompetenzen in der Buchhaltung Festlegung des Geltungsbereichs des Vier-Augen-Prinzips (z.b. Schwellenwerte abgestimmt auf Wesentlichkeit) Festlegung einer Unterschriftenregelung (inkl. Bereiche mit Kollektivunterschrift) Kontrollmassnahmen Regelmässiger Vergleich der Kontoauszüge und Verbuchungen Personelle Trennung von Transaktion und Verbuchung (keine Selbstverbuchung) Systemschutz: Geregelte Eingabeberechtigungen bei IT-Systemen der Buchhaltung und Rechnungslegung Festgelegte Schwellenwerte und Bewilligungsverfahren bei grösseren Transaktionen Regelmässige Überprüfung von Schwellenwerten und Bewilligungs-/Entscheidungsverfahren bei grösseren Transaktionen Das IKS ist derart zu beschreiben und zu dokumentieren, dass die wesentlichen Vorgänge des IKS nachvollzogen werden können. Bei der Selbstbeurteilung der Kontrollaktivitäten durch das Unternehmen wird untersucht, ob die Kontrollaktivitäten wie vorgesehen vorgenommen werden. Werden hierbei Mängel festgestellt, sind diese den vorgesehenen Stellen mitzuteilen.

5 SwissHoldings 5 3. Rolle der Revision Bei der Revision des IKS ist klar zwischen dem gesetzlichen Auftrag, d.h. der Existenzbestätigung, und weiteren vom Berufsstand vorgeschriebenen Prüfungshandlungen zu unterscheiden. Durch die neue gesetzliche Regelung ergibt sich folgende Aufgabenteilung zwischen Verwaltungsrat und Revision: 1. Ausgestaltung und Umsetzung des IKS (inkl. Beurteilung der Angemessenheit des IKS) liegt in alleiniger Verantwortung des Verwaltungsrats. 2. Die Existenzbestätigung durch die Revision erfolgt mittels Überprüfung der Dokumentation des IKS: Aus dieser muss hervorgehen, dass das Unternehmen ein IKS festgelegt und umgesetzt hat. Die Revision prüft hingegen die Wirksamkeit des IKS nicht und macht auch keine Vorgaben zum IKS. 3. Prüfungshandlungen bezüglich IKS können wie bisher zur Bestimmung der Prüfungstiefe durch den Revisor (gemäss bestehendem Prüfungsstandard 400) weiterhin erfolgen. Diese Prüfungshandlungen erfolgen aber nicht im Zusammenhang mit der Existenzbestätigung und sind von dieser klar zu trennen. Prüfungsstandard 400 für Prüfungstiefe Bisher bestand bezüglich IKS der Prüfungsstandard 400 (PS 400) der Treuhand-Kammer, welcher die Arbeiten der Revision zur Festlegung der Prüftiefe umfasst. PS 400 sieht Befragungen, Einsicht in die Dokumentation und Beobachtungen der Tätigkeiten und Abläufe im Unternehmen vor, wodurch die Zuverlässigkeit des IKS bestätigt werden soll. Ziel von PS 400 ist eine methodisch korrekte Prüfung der Frage, ob sich die Revision auf das unternehmenseigene IKS verlassen kann, oder selbst eigene, weitergehende Prüfungen vornehmen muss. PS 400 ist von den International Standards of Audit (ISA) vorgegeben und wird weiterhin bestehen. PS 400 ist nicht Teil der vom Gesetz verlangten Existenzbestätigung des IKS durch die Revision. Prüfungshandlungen zur Existenzbestätigung des IKS Die Existenzbestätigung des IKS durch die Revision erfolgt anhand der Dokumentation des IKS: Das IKS ist durch das Unternehmen dergestalt zu dokumentieren, dass die wichtigsten Abläufe des IKS nachvollzogen werden können (s. Abs. 2.3). Das Unternehmen hat dafür zu sorgen, dass die Dokumente nachgeführt sind und den aktuellen Stand zuverlässig darstellen. Dies kann beispielsweise durch eine jährliche Aufdatierung erfolgen. Bei grösseren Unternehmen ist denkbar, dass das Management eine solche Aufdatierung im Rahmen einer Selbstevaluierung sicherstellt. Die Dokumentation ist der kritische Bereich bei der Existenzbestätigung: Stellt die Revision während der Bestimmung der Prüfungstiefe (s. Punkt 3) gemäss Prüfungsstandard 400 beispielsweise fest, dass das IKS nicht oder nur mangelhaft umgesetzt wird, d.h. sich die entsprechenden Dokumente als unzutreffend herausstellen, ist eine Existenzbestätigung des IKS nicht möglich. Die Dokumentation muss daher zuverlässig Aufschluss geben über die Umsetzung des IKS. Hierfür ist der VR verantwortlich. Die Revision hat keinen gesetzlichen Auftrag zur Prüfung der Wirksamkeit oder der Umsetzung des IKS. Walkthroughs, Einhalteprüfungen oder Wurzelstichproben beim IKS sind somit vom Gesetz her für die Existenzbestätigung nicht verlangt.

6 SwissHoldings 6 Es ist offensichtlich, dass mehrere Unternehmen die Wirksamkeit ihres IKS durch die Revisionsgesellschaft prüfen lassen werden. Solche Prüfaufträge erfolgen jedoch freiwillig und der Markt wird über Ausmass und Kadenz der Prüfungsaufträge entscheiden. Berichterstattung der Revision zu IKS an den Verwaltungsrat Die Revision hat den Verwaltungsrat in einem internen Bericht über die wichtigsten Feststellungen bezüglich des IKS zu informieren. Revision des IKS und Generalversammlung Im Testat bestätigt die Revision die Existenz des IKS. Aus dieser Existenzbestätigung lassen sich keine Aussagen über die Angemessenheit oder die Wirksamkeit des IKS herleiten. Das Gesetz sieht neben dem Testat keine Berichterstattung der Revision an die Generalversammlung über das IKS vor.

7 SwissHoldings 7 III. Risikobeurteilung 1. Rechtliche Situation, Aufgabe der Risikobeurteilung 1.1 Gesetzestext Das Revisionsgesetz enthält neu die Pflicht, dass das Unternehmen im Anhang Angaben zur Durchführung einer Risikobeurteilung macht: Art. 663b Ziff. 12, 13 (neu) und 14 (neu): Der Anhang enthält: 12. Angaben über die Durchführung einer Risikobeurteilung; 13. allenfalls die Gründe, die zum vorzeitigen Rücktritt der Revisionsstelle geführt haben; 14. die anderen vom Gesetz vorgeschriebenen Angaben. Unternehmen, welche international anerkannte Rechnungslegungsnormen wie IAS/IFRS und US GAAP anwenden, publizieren zudem spezifische Risikoangaben im Rahmen einzelner Rechnungslegungsstandards (s. Abs. 4). 1.2 Risiken der Rechnungslegung und Berichterstattung Die Botschaft des Bundesrats stellt klar, dass sich die Risikobeurteilung nicht auf sämtliche Geschäftsrisiken bezieht, sondern nur auf diejenigen Risiken, die einen wesentlichen Einfluss auf die Beurteilung der Jahresrechnung haben können (Botschaft S. 4036). Aus dieser Formulierung geht hervor, dass nicht die operativen Geschäftsrisiken i.w.s., sondern die Risiken der Rechnungslegung und externen Berichterstattung im Vordergrund stehen. Die Angaben beziehen sich zudem auf Massnahmen, die im Hinblick auf diese Risiken getroffen werden (Botschaft S. 4036). Im Anhang ist überdies nur zu erklären, ob eine Risikobeurteilung gemacht wurde. Die Publikation einer Risikobeurteilung an sich ist daher nicht vom Gesetz verlangt. 1.3 Rolle der Revision Die Revisionsstelle hat lediglich formell zu prüfen, ob im Anhang Angaben über die Durchführung der Risikobeurteilung erfolgt. Eine materielle Prüfung der Risikobeurteilung wird nicht vorgeschrieben. Dies wurde auch in der parlamentarischen Behandlung der Gesetzesvorlage von den Kommissionssprechern und vom Bundesrat mehrfach und unwidersprochen festgehalten. Zitat Bundesrat Christoph Blocher: Die Risikobeurteilung ist Aufgabe des Verwaltungsrates. Aus diesem Grund hat sich die Revisionsstelle inhaltlich nicht zu äussern. Das geht aus dem Grundgedanken der Aufgaben dieser beiden Organe hervor. Sie bestätigt im Anhang, dass eine Auseinandersetzung mit den Risiken vorgenommen wurde und dass der Verwaltungsrat diese Risiken beurteilt hat. (...) Es handelt sich um die Prüfung der formellen Seite der Risikobeurteilung. Inhaltliche Aussagen werden vom Verwaltungsrat, nicht aber von der Revisionsstelle erwartet (1. Dezember 2005, Ständerat). Im gleichen Sinne Nationalrat Adrian Imfeld (OW) im Namen der vorberatenden Kommission: Der Verwaltungsrat bestätigt im Anhang zur Jahresrechnung, dass eine Auseinandersetzung mit den Risiken der Gesellschaft stattgefunden hat und die Risiken beurteilt worden sind. Die Revisionsstelle nimmt eine formelle Betrachtung der Risikobeurteilung durch den Verwaltungsrat vor. Aus diesem Grund hat sich die Revisionsstelle inhaltlich nicht dazu zu äussern. Da der Gesetzgeber keine materiellen Anforderungen stellt, ist es somit der Praxis der Unternehmensführung überlassen, die Risikobeurteilung zu definieren und umzusetzen. 2. Festlegung und Überwachung der Risikobeurteilung durch den Verwaltungsrat

8 SwissHoldings 8 Da von Gesetzes wegen die Risikobeurteilung nirgends begrifflich und inhaltlich umschrieben wird, ist es dem Unternehmen überlassen, Inhalt, Umfang und Vorgehensweise einer Risikobeurteilung festzulegen. Diese Aufgabe kommt dem Verwaltungsrat zu. 3. Risikobeurteilung Die Analyse der Risiken hat gemäss Botschaft des Bundesrats folgende Kriterien zu erfüllen: Wesentlichkeit der Risiken Einfluss der Risiken auf die Jahresrechnung Aus dem Prinzip der Wesentlichkeit lässt sich ableiten, dass lediglich Risiken mit einem signifikanten Effekt auf die in der Jahresrechnung ausgewiesene Rentabilität oder Finanzlage des Gesamtunternehmens einer Risikobeurteilung zu unterziehen sind. Somit sind Risiken, die keinen unmittelbaren und wesentlichen Einfluss auf die Jahresrechnung haben, nicht Gegenstand der gesetzlich verlangten Risikobeurteilung. Die vom Gesetz vorgesehene Risikobeurteilung hat somit keinen umfassenden Charakter und schliesst nicht sämtliche operativen Geschäftsrisiken ein. Im Vordergrund steht damit primär das Risiko eines material misstatement (wesentlicher Fehler) in der Rechnungslegung oder Berichterstattung eines Unternehmens. Bei Unternehmen mit einer Risikobeurteilung, die über das gesetzlich vorgeschriebene Minimum hinausgeht, dürfte es sinnvoll sein, wenn die allgemeinen Geschäfts- und Rechnungslegungsrisiken in ein Risikomanagementsystem integriert werden. Die folgenden Abschnitte beziehen sich hingegen nur auf die Risiken im Bereich der Rechnungslegung. Bezüglich der Rechnungslegung und Berichterstattung kann zwischen unternehmens-, branchen- und rechnungslegungsspezifischen Risiken unterschieden werden. 4. Bedeutung der Risikoberichterstattung im Rahmen einzelner Rechnungslegungsstandards Eine wichtige Abgrenzung der im Gesetz erwähnten Risikobeurteilung besteht zu den im Rahmen des angewendeten Rechnungslegungswerks bereits verlangten risikoorientierten Angaben in der Jahresrechnung (resp. in deren Anhang). Diese Angaben beziehen sich auf die wichtigsten Risikokategorien. Hierbei ist jedoch ebenfalls zwischen Risiken in der Rechnungslegung und im operativen Bereich zu unterscheiden. Nur die erste Kategorie wird vom Gesetz angesprochen. Diese Risiken, die aus Annahmen oder wesentlichen Fehlern in der Rechnungslegung resultieren, sind zudem Gegenstand entsprechender Rechnungslegungsnormen (Swiss GAAP FER, US GAAP oder IAS/IFRS). Da die betreffenden Rechnungslegungsnormen Umfang und Inhalt der rechnungslegungsbezogenen Risikoanalysen und die entsprechende Berichterstattung ausreichend festlegen, resultieren durch das neue Gesetz keine weiteren Risikobeurteilungen in den betreffenden Bereichen. Weitere, operative Risiken werden zudem durch spezifische Rechnungslegungsnormen erfasst. Diese Risikokategorie geht über den gesetzlichen Rahmen hinaus und wird hier nur aus Gründen der Vollständigkeit erwähnt (nicht abschliessende Aufzählung): Eventualverbindlichkeiten Werthaltigkeitstests Unternehmenszusammenschlüsse Bewertung zum Zeitwert Latente Steuern.

9 SwissHoldings 9 Es ist aufgrund der gemachten Erfahrungen zu erwarten, dass künftig bei der Überarbeitung bestehender und dem Erlass neuer Rechnungslegungsnormen jeweils zusätzliche Angaben zu Risiken verlangt werden. Sämtliche im Rahmen dieser Standards gemachten Angaben im Anhang sind Gegenstand der Revision. 5. Interne Risikobeurteilung des Verwaltungsrats und externe Berichterstattung Bei der Ausgestaltung der internen Risikobeurteilung und bei der gesetzlich neu verlangten externen Berichterstattung über die Durchführung der Risikobeurteilung ist der Verwaltungsrat frei. Wichtig ist, dass die wesentlichen Risiken der Rechnungslegung und Berichterstattung beurteilt werden. Das Prinzip der kaufmännischen Vorsicht impliziert zudem, dass die Risikobeurteilung regelmässig zu erstellen ist. Deren Umfang und Häufigkeit sind anhand firmenspezifischer Gegebenheiten festzulegen. Es gibt keine allgemein anerkannte Praxis in der externen Berichterstattung über die Risikobeurteilung. Grundsätzlich sollte festgehalten werden, ob eine Risikobeurteilung vorgenommen wurde oder nicht. Denkbar wären auch Angaben über deren Periodizität. Im Gesetz zwar nicht explizit verlangt, aber in der Botschaft erwähnt, sind zudem allgemeine Angaben über die getroffenen Massnahmen im Bereich des Risikomanagement. Die Publikation der Risikobeurteilung des Verwaltungsrats wird vom Gesetz nicht verlangt. Dies wäre auch ordnungspolitisch unangebracht, da die interne Risikobeurteilung wichtige Rückschlüsse auf strategische Überlegungen des Unternehmens erlauben würde. Die externe Berichterstattung über die Durchführung einer Risikobeurteilung kann beispielsweise allgemeine Kurzangaben zu den drei folgenden Bereichen umfassen: 1. Durchführung einer internen Risikobeurteilung 2. Massnahmen des Risikomanagements 3. Verweis auf die im Anhang des Jahresberichts gemachten Angaben zu Risiken im Rahmen des angewendeten Rechnungslegungswerks SH-Arbeitspapier-IKS.doc