Sie erkennen, welche Ziele und Motive Schweizer Unternehmen mit der

Transkript

1 IKS in der Schweiz Erfahrungen und Lessons Learned seit 2008 Prof. Dr. Dieter Pfaff Direktor Institut für Betriebswirtschaftslehre Lernziele Sie erkennen, welche Ziele und Motive Schweizer Unternehmen mit der Einführung eines IKS verbinden. Sie verstehen die Bedeutung verschiedener Instanzen für die Gestaltung und Konzeption des IKS. Sie erwerben das Verständnis, in welchen Varianten das IKS ausgebaut werden kann und welchen Ausbaustand das IKS in der Schweizer Praxis hat. Sie sehen, nach welchen Kriterien und wie häufig Unternehmen die Wirksamkeit ihres IKS beurteilen. Sie erhalten einen Überblick über die durch die Revisionsstelle beanstandeten Mängel, über das Kosten-Nutzenverhältnis des IKS sowie über die Erfolgsfaktoren für dessen Einführung. Sie erfahren mehr über die Schwachstellen und die Lessons Learned. 2 1

2 Übersicht 1. Begriff, Ziele und Motive 2. Aufgaben und Verantwortungen 3. Methoden und Umfang 4. Qualitätsstufen und Beurteilung 5. Durch Revisionsstelle aufgedeckte Mängel 6. Kosten-Nutzen-Verhältnis 7. Fazit (und: Lohnt sich ein IKS auch für KMU?) 3 Zugrundeliegende Materialien 1. Horváth & Partners / Institut für Rechnungswesen und Controlling: Zwei Jahre danach Erste Praxiserfahrungen mit dem Schweizer IKS - Befragung von rund 500 CFOs in der Schweiz im Jahr Rücklauf: 67 auswertbare Fragebögen - Ziel: Erhebung des State of the Art sowie der bisherigen Erfahrungen mit Konzeption und Umsetzung 2. Pfaff, Dieter/Schoeb, Mario: Schweizer Gründlichkeit beim IKS bringt positive Nebeneffekte, in: Schweizer Treuhänder, 12/2010, S Pfaff, Dieter / Ruud, Flemming: Schweizer Leitfaden zum Internen Kontrollsystem (IKS), 5. Aufl., Zürich Böckli, Peter: Revisionsstelle und Abschlussprüfung nach neuem Recht, Zürich etc Treuhand-Kammer: IKS-Positionspapier der Treuhand-Kammer, in: Der Schweizer Treuhänder, 2006, S. 361 f 4 2

3 Begriff des IKS (allgemein) Gesamtheit aller vom VR, GL und übrigen Führungsverantwortlichen angeordneten Vorgänge, Methoden und (Kontroll-) Massnahmen, die dazu dienen, einen ordnungsgemässen Ablauf des betrieblichen Geschehens sicher zu stellen sowie das betriebliche Vermögen zu schützen 5 Praxis: Ziele eines IKS im Einzelnen 100% 80% 60% 15% 13% 6% 3% 3% 3% 10% 3% 51% 52% 25% 12% 51% 22% 54% 33% 40% 20% 34% 34% 69% 85% 46% 75% 36% 64% 0% Langfristige Existenzsicherung Ihres Unternehmens Wirksame und effiziente Geschäftsführung Schutz des Geschäftsvermögens Vermeidung und Aufdeckung von Fehlern Vermeidung und Aufdeckung von betrügerischen Handlungen Richtigkeit und Vollständigkeit der Buchhaltung Rasche und vertrauenswürdige Finanzinformationen Einhaltung regulatorischer Vorschriften Zentral Sekundär Unwichtig 6 3

4 Praxis: Motive für die Einführung des IKS 7 Aufgaben und Verantwortungen: Verwaltungsrat Internes Kontrollsystem Der VR hat die Verpflichtung, das Rechnungswesen der Gesellschaft so zu gestalten, dass die Grundsätze der ordnungsmässigen Buchführung und Rechnungslegung eingehalten werden. Der VR ist für die Ausgestaltung, Implementierung und Aufrechterhaltung eines geeigneten und angemessenen IKS verantwortlich. Risikomanagement Der Anhang enthält u.a. Angaben über die Durchführung einer Risikobeurteilung. Der VR hat die Verpflichtung, eine Risikobeurteilung durchzuführen. Die Risikobeurteilung als Instrument der Unternehmenssteuerung gehört sinngemäss zu den unübertragbaren und unentziehbaren Aufgaben des VR. Grundlagen OR 716a Abs. 1 Ziff. 3 i.v.m. OR 662a sowie OR 957ff Prüfungsstandard PS 890, Abs. IIIa Grundlagen OR 663b Ziff. 12 OR 716a Ziff

5 Aufgaben und Verantwortungen: Geschäftsleitung Internes Kontrollsystem Die Geschäftsleitung trägt die Verantwortung für die Umsetzung und Aufrechterhaltung der Strategien und Geschäftsgrundsätze und ist deshalb in der Regel für die Umsetzung des IKS verantwortlich, sofern diese Aufgaben nicht direkt vom Verwaltungsrat übernommen werden. Grundlagen OR 716b Risikomanagement Die Geschäftsleitung ist i.d.r. verantwortlich für die Entwicklung geeigneter Prozesse zur Identifikation, Einschätzung und Überwachung der eingegangenen Risiken. Grundlagen Prüfungsstandard PS 890, Abs. IIIe 9 Aufgaben und Verantwortungen: Revisionsstelle Internes Kontrollsystem Die Revisionsstelle prüft, ob ein Internes Kontrollsystem existiert. Die Revisionsstelle berücksichtigt bei der Durchführung und Festlegung des Prüfungsumfangs das interne Kontrollsystem. Die Revisionsstelle erstattet dem Verwaltungsrat einen umfassenden Bericht mit Feststellungen über die Rechnungslegung, das Interne Kontrollsystem sowie die Durchführung und das Ergebnis der Revision. Risikomanagement Grundlagen OR 728a OR 728b Grundlagen Die Revisionsstelle prüft, ob eine Risikobeurteilung OR 663b Ziff. 12 durchgeführt wurde. 10 5

6 Praxis: Interne & externe Beteiligung bei der Konzeption des IKS 11 Praxis: Interne & externe Beteiligung bei Einführung und Umsetzung des IKS 12 6

7 Methoden des IKS Überblick COSO I Internal Control Framework: Das erste der COSO Rahmenwerke wurde 1992 publiziert und ist von der Amerikanischen Börsenaufsicht anerkannt als Standard für interne Kontrollen. COSO II Enterprise Risk Management Integrated Framework: Gut 10 Jahre später hat COSO das ursprüngliche Modell ausgebaut. Das COSO II fokussiert stärker auf ein an den Unternehmenszielen ausgerichtetes unternehmensweites Risikomanagement. COSO Leitfaden für KMU: 2006 wurde der Leitfaden zur Internen Kontrolle der Finanzberichterstattung bei kleineren und mittleren Unternehmen (KMU) publiziert. Der Leitfaden soll die Erarbeitung eines Internen Kontrollsystems für KMU erleichtern. Der COSO Leitfaden ist jedoch kein separates Rahmenwerk, sondern basiert auf COSO I. 13 Methoden des IKS COSO I und COSO II Zielkategorien Kontrollumfeld Kontrollumfeld Zielsetzung Komponenten Risikobeurteilung Kontrollaktivitäten Risikoidentifikation Risikobeurteilung Massnahmen Kontrollaktivitäten Einheit A Einheit B Information & Kommunikation Information & Kommunikation Überwachung Überwachung COSO I Internal Control Framework COSO II Enterprise Risk Management Integrated Framework 14 7

8 Methoden: Was macht die Praxis? 0% 6% Keine 14% 25% COSO 6% COSO ERM Sonstige 49% Keine Antwort 15 Praxis: Bedeutung der einzelnen Kontrollkomponenten Kontrollumfeld 28% 45% 21% 4% Risikobeurteilungen 31% 45% 16% 3% 3% Kontrollaktivitäten 49% 40% 9% Information und Kommunikation 27% 40% 28% 3% Überwachung/Monitoring 24% 57% 18% 0% 20% 40% 60% 80% 100% Zentral Wichtig Mittel Eher unwichtig Unwichtig 16 8

9 Umfang des IKS: Minimale Variante Der vom Schweizer Gesetzgeber geforderte Umfang beschränkt sich auf die Verlässlichkeit der finanziellen Berichterstattung, konkret auf die ordnungsgemässe Buchführung und finanzielle Berichterstattung und die Einhaltung deren Gesetze und Normen Umfang des IKS Führungsprozesse Kernprozesse des Unternehmens und F&E Supportprozesse - Nicht relevant für finanz. Berichterstattung - Relevant für finanz. Berichterstattung Finanzielle Berichterstattung - Finanzielle Berichterstattung - Betriebliche Berichterstattung Umfang und Vorteile: Prozesse, Systeme und Weisungen, die einen Einfluss auf die finanzielle Berichterstattung haben Mindestanforderungen gemäss Gesetzgeber sind abgedeckt Fokus nicht nur auf finanziellen Risiken, sondern auch auf Supportrisiken, die Auswirkungen auf die finanzielle Berichterstattung haben Nachteile/Gefahren: Die Anforderungen an die betriebliche Berichterstattung sind im IKS nicht berücksichtigt Kernprozesse sowie F&E sind nicht Gegenstand des IKS 17 Umfang des IKS Umfang des IKS: Mittlere Variante Abdeckung auch der betrieblichen Berichterstattung Führungsprozesse Umfang und Vorteile: Fokus auf alle Prozesse, Systeme und Weisungen, die einen Einfluss auf die finanzielle und betriebliche Berichterstattung Kernprozesse des Unternehmens haben und F&E Mindestanforderungen des Gesetzgebers sind berücksichtigt Anforderungen an die betriebliche Supportprozesse Berichterstattung sind berücksichtigt - Nicht relevant für finanz. Berichterstattung Interne Berichterstattung/Reporting - Relevant für finanz. Berichterstattung berücksichtigt Finanzielle Berichterstattung - Finanzielle Berichterstattung - Betriebliche Berichterstattung Nachteile/Gefahren: Gefahr, dass der Fokus zu stark auf die betriebliche Berichterstattung gelegt wird Kernprozesse sowie F&E sind nicht Gegenstand des IKS 18 9

10 Umfang des IKS: Komplettvariante exkl. Führung Führungsprozesse Kernprozesse des Unternehmens und F&E Umfang und Vorteile: Fokus auf alle Prozesse, Systeme und Weisungen der Kernprozesse, F&E, Supportprozesse und finanzielle Berichterstattung Internes Kontrollsystem als Führungsinstrument Umfang des IKS Supportprozesse Nachteile/Gefahren: - Nicht relevant für finanz. Berichterstattung Projektumfang ist sehr breit, zeitliche und - Relevant für finanz. Berichterstattung fachliche Ressourcen können allenfalls nicht zur Verfügung gestellt werden Finanzielle Berichterstattung - Finanzielle Berichterstattung - Betriebliche Berichterstattung Das Projekt wird aufgrund der Komplexität sehr träge Projekt könnte sich als zu gross herausstellen (besser mit weniger komplexen Varianten anfangen) 19 Praxis: Welche Bereiche werden mit dem IKS abgedeckt? Strategische Entscheidungen (z.b. über bediente Märkte oder angebotene Produkte) Einhaltung von Vorschriften, die über das Reporting hinausgehen (z.b. Umweltschutz, Arbeitsrecht) Betriebliche/operative Prozesse und deren Risiken (z.b. Produktionsfehler, Qualitätssicherung) Aspekte der finanziellen Berichterstattung (internes und externes Reporting) 4% 30% 63% 3% 9% 49% 37% 4% 27% 48% 25% 88% 12% 0% 20% 40% 60% 80% 100% Zentral Teilweise Nicht abgedeckt Keine Antwort 20 10

11 Praxis: Welche Prozesse werden bislang hauptsächlich erfasst? Forschung und Entwicklung (F&E) 6% 18% 57% 19% Fertigung und Lager 37% 37% 13% 12% Sachanlagen und Abschreibungen 67% 28% 4% Personal (Saläre und Pensionen) 64% 33% 1% 1% Einkauf ( Purchase to Pay ) 55% 37% 4% 3% Verkauf ( Order to Cash ) 57% 37% 3%3% Buchführung und Rechnungslegung 84% 16% 0% 20% 40% 60% 80% 100% Vollständig erfasst Teilweise erfasst Nicht erfasst Keine Antwort 21 Qualitätsstufen eines IKS Qualitative Mindestanforderung = Systematisch Optimiert Stufe 5 Integriert Stufe 4 Systematisch Stufe 3 Das IKS wird als integriertes System des Risikomanagements betrieben. IKS- Aktivitäten sind mit anderen Prüffunktionen abgestimmt. Kontrollaktivitäten sind weitgehend automatisiert und werden laufend überwacht und kontinuierlich verbessert. Die Verwendung von Tools ermöglicht schnelle Anpassungen an sich verändernde Bedingungen. Kontrollen sind standardisiert und werden periodisch getestet und beurteilt. Die Geschäftsleitung / Verwaltungsrat erhalten jährlich einen Bericht über die Beurteilung des IKS nach objektiven Kriterien (Wirksamkeit/Nachvollziehbarkeit/Effizienz). Einfache IKS-Grundsätze sind definiert. Prozesse und Kontrollen sind vorhanden, dokumentiert und den Mitarbeitenden kommuniziert. Durchgeführte Kontrollen sind nachvollziehbar. Kontrollen werden regelmässig an veränderte Risiken angepasst. Ein Erfahrungsaustausch findet statt. Informell Stufe 2 Interne Kontrollen sind vorhanden, aber nicht standardisiert und können kaum oder gar nicht nachvollzogen werden. Kontrollen sind personenabhängig. Keine Schulung oder Kommunikation über die Kontrollen. Unzuverlässig Stufe 1 Interne Kontrollen sind kaum oder nicht vorhanden. Vorhandene Kontrollen sind wenig verlässlich und wirksam

12 Praxis: Ausbaustand des IKS 57% 55% 43% 48% 15% 15% 9% 0% 0% 1% 1% 0% 25% 24% 24% 24% 18% 9% 6% 6% 6% 6% 6% 1% Nicht existent Informell Systematisch Integriert Optimiert Keine Antwort Vor 2008 Ende 2008 Ende 2009 Geplant 23 Beurteilung des IKS nach objektiven Kriterien (1) Wirksamkeit Die Verantwortungen sind klar geregelt. Die Prozess- und Kontrolldesigns minimieren die Risiken bzw. die Kontrollen sind verlässlich. Die Kontrollen werden ordnungsgemäss durchgeführt. Das IKS ist den Mitarbeitenden bekannt bzw. im Unternehmen ist ein Kontrollbewusstsein vorhanden

13 Beurteilung des IKS nach objektiven Kriterien (2) Nachvollziehbarkeit Ziele und Ausbaugrad des Internen Kontrollsystems sind dokumentiert. Risiken, Prozesse und Kontrollen sind schriftlich festgehalten. Kontrolltätigkeiten werden nachvollziehbar dokumentiert. Das IKS wird regelmässig beurteilt. Effizienz Das IKS ist ein integraler Bestandteil des unternehmensweiten Risikomanagements. Beim Design ist auf Schlüsselrisiken und -kontrollen zu fokussieren. Die Kontrollen sollen nach Möglichkeit automatisiert werden. 25 Praxis: Regelmässigkeit der Überprüfung der Wirksamkeit des IKS Wirksamkeit der Kontrollen 12% 75% 9% 4% Eignung der Kontrollen 7% 76% 15% 1% Analyse der Risiken 12% 67% 16% 3% 1% Angemessenheit der Prozessdokumentationen 4% 78% 12% 4%1% 0% 20% 40% 60% 80% 100% Zweimal oder öfter pro Jahr Jährlich Alle 2 bis 3 Jahre Gar nicht Keine Antwort 26 13

14 Praxis: Beurteilung der Wirksamkeit des IKS Insgesamt Einhaltung regulatorischer Vorschriften 16% 64% 12% 1% 4% 1% 37% 52% 7% 1% 1% Rasche und vertrauenswürdige Finanzinformationen 31% 39% 7% 6% 7% 9% Richtigkeit und Vollständigkeit der Buchhaltung 49% 40% 4% 1% 3% 1% Vermeidung und Aufdeckung von betrügerischen Handlungen 7% 48% 27% 7%1% 9% Vermeidung und Aufdeckung von Fehlern 25% 58% 12% 1%3% Schutz des Geschäftsvermögens 24% 57% 9% 4% 6% Förderung einer wirksamen und effizienten Geschäftsführung 7% 42% 21% 12% 7% 10% Langfristige Existenzsicherung Ihres Unternehmens 9% 51% 10% 9% 10% 10% 0% 20% 40% 60% 80% 100% Überzeugend Zufriedenstellend Knapp genügend Eher ungenügend Schwach Keine Antwort 27 Praxis: Urteil der Revisionsgesellschaft 63% 73% 27% 22% 3% 1% 3% 3% 0% 0% 3% 0% IKS existiert und IKS existiert, muss IKS existiert, muss IKS muss insgesamt IKS muss insgesamt IKS muss insgesamt genügt allen punktuell verbessert punktuell verbessert verbessert werden, verbessert werden, verbessert werden, Anforderungen, positive werden, positive Existenzbestätigung werden, einschränkende trotzdem positive Existenzbestätigung einschränkende Bemerkung im Verneinung der Existenz im Existenzbestätigung im Revisionsbericht Bemerkung im im Revisionsbericht Revisionsbericht an Revisionsbericht an im Revisionsbericht an die GV Revisionsbericht an an die GV die GV die GV an die GV die GV

15 Praxis: Beanstandete Mängel durch die Revisionsstelle Mangelhafte Prozessdokumentation 24% Mangelhafte Risikoidentifikation und -beurteilung Mangelhafte Ausgestaltung der Kontrollen (Risiken nicht ausreichend adressiert) Mangelhafte Überprüfung der Wirksamkeit der Kontrollen Mangelhafte schriftliche Dokumentation des IKS Mangelhafte operative Umsetzung und Verankerung des IKS in den Geschäftsprozessen Mangelhafte Bekanntheit des IKS bei den Mitarbeitern 12% 10% 16% 28% 34% 33% Mangelhafter Einbezug des Managements 1% Mangelhafte IT-Umgebung Sonstiges 21% 21% 29 Praxis: Nutzen der Revision hinsichtlich IKS 48% 45% 22% 21% 18% 10% 10% 10% 9% 6% Sehr hilfreich Teilweise hilfreich Eher nicht hilfreich Gar nicht hilfreich Keine Antwort

16 Praxis: Kosten/Nutzen-Verhältnis und Mitarbeiterwahrnehmung Kosten/Nutzen-Verhältnis des IKS 36% 40% 10% 13% Der Nutzen überwiegt die Kosten Die Kosten überwiegen den Nutzen Der Nutzen entspricht in etwa den Kosten Keine Antwort Mitarbeiterwahrnehmung des IKS Das IKS wird als Belastung angesehen 4% 36% 40% 13% 4% 1% Das IKS wird als Bereicherung angesehen 6% 13% 40% 33% 6% 1% 0% 20% 40% 60% 80% 100% Voll Eher ja Teils/Teils Eher nicht Überhaupt nicht Keine Antwort 31 Praxis: Kontrollen, welchen die grösste Bedeutung beigemessen wird Vier-Augen-Prinzip 94% Zugriffsbeschränkungen in IT-Systemen 88% Genehmigungsverfahren und Kompetenzregelungen 81% Durchsicht von Kontrolllisten etc. 81% Organisatorische Funktionentrennung 67% Vorbildfunktion des Managements 66% Budgetvergleiche und andere analytische Kontrollen 63% Schriftliche Weisungen für bestimmte Arbeitsabläufe 61% Vollautomatisierte IT-Kontrollen 60% Risiko-Kontroll-Matrizen 43% Kultur der offenen Tür, keine Tabus 40% Ethikkodex / Code of Conduct 39% Spezialprüfungen durch die interne bzw. externe Revision 33% Organigramme und Flussdiagramme 31% Weiterbildungsangebot für die Mitarbeiter 25% Regelmässige Information der Mitarbeiter 25% Angemessene Vergütungspolitik 18% Patron -Funktion des Geschäftsführers Whistle-Blower-Programme 9% 7% 32 16

17 Praxis: Erfolgsfaktoren für die Einführung des IKS Topmanagement-Unterstützung 64% Frühzeitige Einbindung und Abstimmung der Ergebnisse mit der externen Revisionsstelle Regelmässige Kommunikation mit dem Fachbereich / Linie 54% 52% Straffes Projektmanagement Bildung einer zentralen und kompetenten Anlaufstelle für Fragen hinsichtlich des IKS 43% 39% Leistungsfähige IT-Systemumgebung 25% Intensive IKS-Schulung der Mitarbeiter 21% Beizug von externen Beratern 19% Erfahrungsaustausch mit anderen Unternehmen 18% 33 Lessons learned Stimmen aus der Praxis I Die Vorteile eines IKS-Systems müssen auch für die involvierten Mitarbeitenden ersichtlich gemacht werden. Aktive Kommunikation ist ein Schlüsselfaktor. Aktive Miteinbindung der betroffenen Personen von Anfang an ist zwingend für ein Gelingen und rasches Umsetzen. Keep it simple; rasche, frühzeitige Abstimmung mit externer Revisionsstelle; schlanke Dokumentation. Wir hätten von Anfang an eine softwaregestütze Lösung implementieren sollen. Frühe Einbindung der lokalen IKS-Verantwortlichen (Schulung), damit das IKS auch überzeugend gelebt wird und nicht als Papiertiger angesehen wird

18 Lessons learned Stimmen aus der Praxis II Kommunikation und kontinuierlicher Austausch mit den Fachbereichen/Linie ist zentral, um IKS-Dokumentation aktuell halten zu können. Beim IKS nach OR728a ging es mehrheitlich um die spezifische Dokumentation eingespielter Prozesse. Einbinden der externen Revisionsstelle nicht von Anbeginn weg, da sonst keine 'Erfolgserlebnisse' mehr durch Anregungen ihrerseits. Ohne Revisionsstelle wäre es schwierig gewesen. 35 Fazit I Hauptmotiv für die Einführung eines IKS war die Erfüllung der neuen regulatorischen Bestimmungen Aber: Ziel ist auch ein besseres Verständnis der Risiken Grosse Verbreitung des COSO-Rahmenwerks Umfang: Führungs- und Kernprozesse sowie Supportprozesse, die für finanzielle Berichterstattung irrelevant sind, bleiben bislang unberücksichtigt Ausbaustand hat sich seit 2008 stetig verbessert Überprüfung der Wirksamkeit in der Regel jährlich Hauptmängel: Dokumentation, Ausgestaltung der Kontrollen, Überprüfung der Wirksamkeit, IT-Umgebung Kosten/Nutzen-Verhältnis: Nur 10 % der Unternehmen sind gemäss der Befragung der Ansicht, dass die Kosten den Nutzen überwiegen 36 18

19 Fazit II Lohnt sich ein IKS auch für KMU? Besondere Herausforderungen: Finanzielle Mittel und Managementressourcen für Aufbau, Pflege und Weiterentwicklung des IKS sind stark begrenzt Funktionstrennung (z.b. Vier-Augen-Prinzip) nur eingeschränkt möglich Starke Persönlichkeit des Unternehmers kann zur Umgehung interner Steuerungs- und Kontrollmassnahmen führen Eventuell Kompetenzprobleme im Bereich der finanziellen Berichterstattung Dokumentation der unternehmensinternen Regelungen zum IKS häufig nicht oder nur partiell vorhanden Keine eigenständige interne Revision 37 Fazit III Lohnt sich ein IKS auch für KMU? JA! Möglichkeiten der Ausgestaltung: Besondere Betonung des Steuerungs- und Kontrollumfelds: Inhaber von KMU sollten der internen Kontrolle eine grosse Bedeutung beimessen und dies auch vorleben ( tone at the top ) Klare Ziele der finanziellen Berichterstattung, der Geschäfts- tätigkeit, der Gesetzes- und Normenkonformität definieren Auf Einhaltung des Vier-Augen-Prinzips wo immer möglich achten, vor allem im Zahlungsverkehr Personelle Klumpenrisiken meiden Beschränkung auf die Steuerung der allerwichtigsten Risiken Buchführung und Rechnungslegung: Eventuell externe Expertise einholen Externe Revision i.d.r. sinnvoll (Verzicht auf Opting-out ) Quellenhinweis: Pfaff/Ruud (2011): Schweizer Leitfaden zum IKS, 5. Aufl., Kapitel 6 (IKS in KMU) 38 19