Schlankes Riskmanagement und IKS für KMU

Transkript

1 Schlankes Riskmanagement und IKS für KMU Hermann Grab Betriebsökonom HWV, dipl. Wirtschaftsprüfer Executive Master in Economic Crime Investigation Treuhand- und Revisionsgesellschaft Mattig-Suter und Partner

2 Risiken? Kontrollen? Brauchen wir doch nicht! Auszug aus einem Schreiben von Edward John Smith aus dem Jahre 1907:

3 Am 14. April 1912 sank der britische Luxusdampfer Titanic Personen kamen ums Leben. einer davon war der Kapitän. Sein Name: Edward John Smith! Welche Erkenntnisse zog man aus dieser Katastrophe? - Das Schiff war zu schnell durch gefährliches Wasser gefahren. - Die Californian, die sich in der Nähe des Unglücksortes befand, kam nicht zu Hilfe, da deren Bordfunker dienstfrei hatte und schlief. - Nur etwa die Hälfte aller Personen fanden Platz in den Rettungsbooten

4 Agenda 1. Revisionsrecht 5. Knackpunkte 3. Der Kleine 2. Der Grosse 4. Der Revisor

5 Hauptsitz Bahnhofstrasse 28, PF 556 CH-6431 Schwyz Niederlassung Oberer Zürichsee Z Churerstrasse 77, PF 347 CH-8808 Pfäffikon Niederlassung Wallis Überlandstrasse 3, PF 200 CH-3902 Brig Niederlassung Zug Baarerstrasse 8 CH-6300 Zug info@mattig.ch Niederlassung Österreich Mattig Management GesmbH Dr. Ernst Burger, Managing Director «Österreich» Brucknerstrasse 8 A-1040 Wien Niederlassung Rumänien Mattig Management Partners RO S.R.L. Barbu Mihaescu, Managing Director Dr. Iacob Felix Strasse 70, 4th floor Sektor 1 RO Bukarest Repräsentanz Bulgarien Mattig Management Representative Office Zoya Vasileva, Managing Director 59 Skobelev Blvd. Entr. B BG-1606 Sofia

6

7 Revisionsrecht - OR in der Schweiz - Art. 663b und Art. 728a OR

8

9 Übersicht Gilt für alle Juristischen Personen (AG, Kommandit-AG, GmbH, Genossenschaft, Verein, Stiftung) 10% des AK Opting-up ORDENTLICHE Revision Gesellschaft an der Börse kotiert Anleihensobligationen ausstehend Mind. 20% der Aktiven oder des Umsatzes zur Konzernrechnung Grössenkriterien 2 in 2 J. überschritten: - Bilanzsumme > CHF 10 Mio. - Umsatzerlös > CHF 20 Mio. - > 50 Vollzeitstellen im Jahresdurchschnitt EINGESCHRÄNKTE Revision Opting-out < 10 Mitarbeiter; ALLE Aktionäre einverstanden Opting-in Jeder Aktionär 10 Tage vor GV KEINE Revision

10 Risikobeurteilung und IKS Pflichten Verwaltungsrat (Art. 716a OR) Pflichten der Geschäftsleitung (abgeleitet aus Art. 716b OR) Unabhängigkeit Revisionsstelle (Art. 728 revor & 729 revor) Sarbanes-Oxley Act (SOX) Revisionsaufsichtsgesetz (RAG) Angaben Risikobeurteilung (Art. 663b, Ziff. 12 revor) IKS als Prüfungsgegenstand (Art. 728a revor)

11 Neues OR ab 1. Januar 2008 Anforderungen an Risikobeurteilung (OR Art. 663b) Anforderungen ans IKS (OR Art. 728a) Der Anhang enthält - Angaben zur Durchführung einer Risikobeurteilung Die Revisionsstelle prüft, ob - ein Kontrollsystem existiert Analyse und Beurteilung der Unternehmensrisiken Entwicklung eines Konzepts, das vor allem auch die inhaltliche Auseinandersetzung mit den Unternehmensrisiken beinhaltet Implementierung und Übergang zu kontinuierlichem Prozess (Risk-Managementsystem) Vorhanden und überprüfbar (d.h. dokumentiert) Angepasst auf Geschäftsrisiken und Umfang der Geschäftstätigkeit Den Mitarbeitern bekannt Wird angewendet und umgesetzt Kontrollbewusstsein im Unternehmen

12 Plenumsfrage 1: Franz Müller führt einen Metzgereibetrieb mit 7 Mitarbeitenden in Form einer Aktiengesellschaft. Welche Optionen und Pflichten hat er?

13 1. Riskmanagement: - Was ist Riskmanagement - Pragmatischer Ansatz für mittlere Unternehmen Was macht der Grosse?

14 Risiko ist eine bewusste Wahl, kein Schicksal G. Tschampion

15 Riskmanagement heute, statt Krisenmanagement morgen! Risiko-ID Risiko-ID Risiko-ID

16 Risiko-Systematik Risikobegriff Reines Risiko (Schadengefahr) Unternehmer-Risiko (Spekulatives Risiko) Risiko mit reinem Verlustpotenzial => Wertsicherung Risiko mit Chancenpotenzial => Wertschöpfung

17 Risikofähigkeit Risiko heute Organisation Kapital Kompetenz früher Dynamik Komplexität Rendite

18 Risikobeurteilung Risiko-Identifikation und -Analyse - Identifikation - Bewertung - Analyse - Priorisierung Prozessanalysen Überwachung und Kontrolle Steuerung / Bewältigung

19 Risikomanagement & Internes Kontrollsystem...für mittlere und Grossunternehmen Pflicht zur ordentlichen Revision Opting-up Möglichkeit Freiwillig Risikobeurteilung (Art. 663b Ziff. 12 OR) Anforderungen: Analyse und Beurteilung der Unternehmensrisiken Entwicklung eines Konzepts, das auch die inhaltliche Auseinandersetzung mit den Unternehmensrisiken beinhaltet Implementierung und Übergang zu kontinuierlichem Prozess (Risk-Managementsystem) Umfassendes RMS Internes Kontrollsystem (Art. 728a OR) Anforderungen: Vorhanden und überprüfbar (d.h. dokumentiert) Angepasst auf Geschäftsrisiken und Umfang der Geschäftstätigkeit Den Mitarbeitern bekannt Wird angewendet und umgesetzt Kontrollbewusstsein im Unternehmen IKS

20 Kombiniertes RM- und IKS-Konzept für KMU Risikobeurteilung Prozess-Definition Kontrolle / Überwachung Risiko-Identifikation Massnahmen Risikobewertung / Analyse Report Anhang (VR)

21 Bestandesaufnahme / SWOT-Analyse Strategiefindung / Strategiereview Festlegung Risikobereiche & Risikofelder Risiken im Umfeld Strategische Risiken Prozessrisiken t

22 Risikobereiche

23 Bestandesaufnahme / SWOT-Analyse Strategiefindung / Strategiereview Festlegung Risikobereiche & Risikofelder Risiken im Umfeld Strategische Risiken Prozessrisiken Risikoidentifikation Risiko-Inventar Risk- Rating 1 RO t

24 Bestandesaufnahme / SWOT-Analyse Strategiefindung / Strategiereview Festlegung Risikobereiche & Risikofelder Risiken im Umfeld Strategische Risiken Prozessrisiken RO Risikoidentifikation Risiko-Inventar Risk- Rating 1 Risk- Rating 2 Risiko- Katalog RC t

25 Risk Owner Risk Committee

26 Der Umgang mit Risiken in einem Unternehmen Die zwei häufigsten Strategien aktive und passive Risikobewältigung Quelle: In Anlehnung an Hölscher, (2002) 1 1 Vgl. Hölscher, (2002), Von der Versicherung zur integrativen Risikobewältigung, S.14

27 Risikosteuerungs-Strategien Risikovermeidung Risikominderung Risikodiversifikation Risikotransfer Verzicht Wirksame Massnahmen einleiten; im besten Fall bis zur Eliminierung des Risikos Auf mehrere Risikoträger verteilen Versicherung Outsourcing Risikovorsorge und -überwachung Monitoring der Risikoveränderungen Controlling der Risikolage des Unternehmens Controlling der Risikosteuerungsmassnahmen

28 Bestandesaufnahme / SWOT-Analyse Strategiefindung / Strategiereview Festlegung Risikobereiche & Risikofelder Risiken im Umfeld Strategische Risiken Prozessrisiken Risikoidentifikation Risiko-Inventar Risk- Rating 1 Risk- Rating 2 Risiko- Katalog Prozessanalysen Grundlage für den Aufbau des Internen Kontrollsystems (IKS) t

29 Prozessanalyse

30 Bestandesaufnahme / SWOT-Analyse Strategiefindung / Strategiereview Festlegung Risikobereiche & Risikofelder Risiken im Umfeld Strategische Risiken Prozessrisiken Risikoidentifikation Risiko-Inventar Risk- Rating 1 Risk- Rating 2 Risiko- Katalog Prozessanalysen Massnahmen- Manager Frühwarnindikatoren live Überwachung Reporting t

31 Risk-Reporting

32 2. Internes Kontrollsystem (IKS): - Was ist IKS? - COSO als anerkanntes Gedankengut - Pragmatischer Ansatz für mittlere Unternehmen Was macht der Grosse?

33 Risikomanagement & Internes Kontrollsystem...für mittlere und Grossunternehmen Pflicht zur ordentlichen Revision Opting-up Möglichkeit Freiwillig Risikobeurteilung (Art. 663b Ziff. 12 OR) Anforderungen: Analyse und Beurteilung der Unternehmensrisiken Entwicklung eines Konzepts, das auch die inhaltliche Auseinandersetzung mit den Unternehmensrisiken beinhaltet Implementierung und Übergang zu kontinuierlichem Prozess Umfassendes RMS Internes Kontrollsystem (Art. 728a OR) Anforderungen: Vorhanden und überprüfbar (d.h. dokumentiert) Angepasst auf Geschäftsrisiken und Umfang der Geschäftstätigkeit Den Mitarbeitern bekannt Wird angewendet und umgesetzt Kontrollbewusstsein im Unternehmen IKS

34 Was ist IKS - ein Praxisbeispiel Strategie Risikomanagement Unternehmens-Chancen Unternehmens-Risiken Strategische Strategische Stossrichtung Stossrichtung Lagerbestand Erfolgsposition - nahe beim Kunden - rasche, flexible Lieferung - Berücksichtigung individueller Bedürfnisse des Kunden Chancen - wenig gebundene Mittel - schnell und flexibel am Markt Risiken - falsche Bestände / Preise - Lieferengpässe - Altbestände - Beschädigung / Diebstahl

35 Lagerbestand IKS Kontrollumfeld Mitarbeiter handelt unmotiviert Kontrollbewusstsein, Integrität, Kompetenzen und Verantwortungen, Verwaltungsrat, CG Risikobeurteilung Risiko wurde bisher nicht erkannt Identifizierung, Bewertung und Bewältigung der wesentlichen unternehmensweiten Risiken Kontrollaktivitäten Es gibt niemanden der die Vollständigkeit der Eingänge kontrolliert Verfahren und Weisungen, Zugriffsberechtigungen, Funktionentrennung, IT-Sicherheit, Vermögensschutz Information & Kommunikation Der Mitarbeiter, der alle Ausgänge erfassen sollte, weiss nicht wie im System eingeben Regelmässige interne und externe Kommunikation, Zugang zu Informationen, Reglemente, Weisungen, Wahrnehmung der Kontrollen Überwachung Der Lagerbestand wird nicht überwacht Controlling, MIS, Verwaltungsrat, IKS-Beurteilung

36 Der COSO-Würfel COSO = Committee of Sponsoring Organizations of the Treadway Commission

37 Kombiniertes RM- und IKS-Konzept für KMU IKS-Konzept Kontrollumfeld Information & Kommunikation Wesentlichkeit / Scope Kontrolle / Überwachung Risikobeurteilung Kontrollaktivitäten ER/ Bilanz und Anhang Risiko-Identifikation Prozess-Definition Risiko- Account-Map Kontrolle / Überwachung Risikobewertung / Analyse Schlüssel- Prozesse Risiken / Fehler Kontrollen IKS-Monitor Report Prozessanalyse Massnahmen risikobehaftete Prozesse UN-weite Kontrollen Prozesskontrollen IT-Kontrollen Report Anhang (VR) OR663b Strategische & Umfeld-Risiken OR 728a Rvst / VR

38 Kombiniertes Riskmanagement-IKS-Tool

39

41

43

45

47

49

50 Was macht der Kleine? - Pragmatischer Ansatz für Kleinst-Unternehmen - Workshop: Riskmanagement

51 Risikomanagement & Internes Kontrollsystem...für Kleinunternehmen Pflicht zur eingeschränkten Revision Opting-out Möglichkeit....für mittlere und Grossunternehmen Pflicht zur ordentlichen Revision Opting-up Möglichkeit Freiwillig Einfaches RMS Risikobeurteilung (Art. 663b Ziff. 12 OR) Anforderungen: Analyse und Beurteilung der Unternehmensrisiken Entwicklung eines Konzepts, das auch die inhaltliche Auseinandersetzung mit den Unternehmensrisiken beinhaltet Implementierung und Übergang zu kontinuierlichem Prozess (Risk-Managementsystem) Umfassendes RMS Internes Kontrollsystem (Art. 728a OR) Anforderungen: Vorhanden und überprüfbar (d.h. dokumentiert) Angepasst auf Geschäftsrisiken und Umfang der Geschäftstätigkeit Den Mitarbeitern bekannt Wird angewendet und umgesetzt Kontrollbewusstsein im Unternehmen IKS

52 Risikobeurteilung Risiko-Identifikation und -Analyse - Identifikation - Bewertung - Analyse - Priorisierung Prozessanalysen Überwachung und Kontrolle Steuerung / Bewältigung

53 Fallstudie Gitsnit Treuhand AG Übung: Risikobeurteilung mittels

54 Standardisierte Risikobeurteilung Ist-Analyse Risiko-Identifikation Risiko-Bewertung Massnahmen Risiko-Controlling Bestandesaufnahme Risikoinventar Risk-Rating Steuerungsstrategien Überwachung / Analyse von Umwelt Unternehmung Wettbewerb SWOT-Analyse Markt Kunden Beschaffung Personal Informatik Interne Prozesse Finanzen Risikokatalog Risk-Map Massnahmen Frühwarnindikatoren VR Interne Revision Review/Audit t

55 Risikobeurteilung - Bewertung Beurteilung nach Eintretenswahrscheinlichkeit (EW) und Schadensausmass (SA)

56 Risiko-Analyse

57 Risikosteuerung / Massnahmen

58 Massnahmen-Cockpit

59 Frühwarnindikatoren

60 - Konsequenzen bei Mängel - Exitenzbestätigung nach Art. 728a OR und Prüfungsstandard (PS) 890 Der Revisor

61 Mögliche Konsequenzen bei Mängel Einschränkung zur Jahresrechnung falls keine Risikobeurteilung vorgenommen und im Anhang der Jahresrechnung erläutert -> Verstoss Art. 663b OR Verneinung der Existenz eines IKS -> Verstoss Art. 716a OR i.v.m. Art. 728a OR Allgemein: Verantwortlichkeitsansprüche an VR (Art. 716a OR), Kreditkündigung durch Banken, Verlust von Lieferanten und Kunden, unzufriedene Aktionäre

62 Voraussetzungen zur Existenzbestätigung tigung tigung gemäss PS 890 Das IKS ist vorhanden und überprüfbar (d.h. dokumentiert) Das IKS ist den Geschäftsrisiken und der Geschäftstätigkeit angepasst Das IKS ist den Mitarbeitenden bekannt Das definierte IKS wird angewendet Das Kontrollbewusstsein im Unternehmen ist vorhanden

63 Berichterstattung zur IKS-Existenz Existenz wird bejaht Existenz gemäss PS 890 Existenz wird verneint - trägt den Risiken der Unternehmung nicht Rechnung - keine schriftliche Dokumentation in den wesentlichen Bereichen - das definierte IKS wird im Tagesgeschäft in den wesentlichen Bereichen nicht angewendet Existenz wird mit Einschränkung(en) bejaht - IKS fehlt noch für eine wesentliche Betriebsstätte / Tochter - bei wenigen wesentlichen Prozessen fehlt noch die IKS- Dokumentation - Prüfungsarbeiten zeigen, dass das IKS nicht angewendet wird

64 Knackpunkte - Risiko- und Kontrollbewusstsein - Überblick statt Detailblick - dem Unternehmen angepasst - kombiniertes Vorgehen - dauerhaftes Führungsinstrument

65 Erfahrungen - Know-how vorhanden - punktuelle, konzeptionelle Hilfe erwünscht - IT-Tool zur pragmatischen Umsetzung

66 Revisionsrecht Rückblick Riskmanagement Der Kleine Der Grosse Internes Kontrollsystem Riskmanagement Der Revisor

67 Fragen / Diskussion?

68 Plenumsfrage: Was machen Sie als Revisionsstelle, wenn Ihr Kunde bei der Revision im Frühjahr 2009 nicht über eine Risikobeurteilung verfügt?