IKS Internes Kontrollsystem Stand Januar 2010
Inhaltsverzeichnis 1. Definition IKS - Internes Kontrollsystem...3 2. Nutzen für das Unternehmen...3 3. Bestandteile des IKS...4 3.1. Kontrollumfeld...4 3.2. Risikobeurteilung...5 3.2.1. Definition von Risiko...5 3.2.2. Risikobeurteilung...5 3.2.3. Werkzeug zur Unterstützung einer Risikobeurteilung...5 3.2.4. Aufgabe der Revisionsstelle...5 3.2.5. Risikoanalyse und IKS...6 3.3. Kontrollaktivitäten...6 3.4. Kontrolle der Kontrollen...6 4. IKS-Dokumentation...6 5. Existenz eines IKS...7 6. Grenzen des IKS...7 7. IT - Information Technologie...8 8. QMS - Qualitätsmanagementsystem...8 9. Bestimmungen zum IKS...8 9.1. Obligationenrecht...8 9.2. Schweizer Prüfungsstandards (PS)...10 10. Quellenverzeichnis...10 IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 2 von 10
1. Definition IKS - Internes Kontrollsystem Das IKS verfolgt gemäss Schweizer Prüfungsstandard die Zielsetzung, das Risiko einer wesentlichen Fehlaussage im Jahresabschluss zu vermindern respektive zu eliminieren. Somit liegt eine enge Definition des Begriffes Risiko vor. Die weiter gefasste Definition gemäss Betriebswirtschaftslehre versteht unter Risiko alle Geschäftsrisiken. Häufig sind in einer Organisation zwar (viele) Kontrollen vorhanden, jedoch fehlt die Dokumentation und eine Systematik und der Aufbau der Dokumentation und der Systematik stellen eine Herausforderung dar. 2. Nutzen für das Unternehmen Intern versus Extern Externe Kontrollen: externe Revisionsstelle AHV-Revision Hygiene-Kontrolle Brandschutzkontrollen MWST-Kontrolle Wenn diese Instanzen etwas feststellen, ist in der Regel bereits ein Fehler passiert, allenfalls ein Schaden entstanden. Diese Instanzen haben einen engeren Fokus als die strategische und operative Leitung. Niemand kennt ein Unternehmen so gut, wie jene, die darin arbeiten. Interne Kontrollen: Die Kontrollen ergeben sich aus der Risikoanalyse = Gesamtschau des Unternehmens, vorgenommen durch die Know-how-Träger des Unternehmens. Periodizität richtet sich nach den mit den Aufgaben verbundenen Risiken. Das Ziel der Kontrollen ist die Vermeidung von Schäden bzw. deren frühzeitige Erkennung. Kontrolle versus Überraschung Damit etwas kontrolliert werden kann, muss man wissen, was wie läuft. Es muss eine konkrete Vorstellung vom Soll bestehen. Kontrollieren ist ein Führungsinstrument. Ob das Feedback an die Mitarbeitenden positiv oder negativ ist: es beruht auf einer Kontrolle. Ohne Kontrolle lassen wir es darauf ankommen. Wir lassen uns überraschen. Es gibt freudige Überraschungen und schockierende. IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 3 von 10
System versus Einzelaktionen Systematische Kontrolle bedeutet, dass wir uns im Voraus überlegen, was wer wie oft kontrollieren soll, wie die Kontrollen dokumentiert werden und was bei abweichenden Kontrollergebnissen vorgenommen werden muss. Wir können Kontrollen auch hie und da vornehmen, wenn gerade Zeit vorhanden ist oder eine Zeit lang im Anschluss an eine Überraschung. Wir können es den Kontrollierenden überlassen, was sie bei abweichenden Kontrollergebnissen unternehmen sollen. Der Nutzen für das Unternehmen, das über ein IKS verfügt, liegt darin, dass es sich Gedanken über Risiken macht, bevor diese eintreten Massnahmen definiert und eingeführt werden um Risiken zu vermindern oder im besten Fall sogar zu eliminieren ein systematischer Austausch über die Vorgänge im Unternehmen zwischen strategischer Ebene und operativen Ebenen stattfindet, und nicht erst oder nur dann, wenn Fehler aufgetreten sind 3. Bestandteile des IKS Kontrollumfeld Kontrollaktivitäten Risikobeurteilung Kontrolle der Kontrolle 3.1. Kontrollumfeld "Das Kontrollumfeld umfasst Überwachungs- und Leitungsfunktionen der Unternehmensführung sowie deren Einstellung, Bewusstsein und Handlungen im Hinblick auf das IKS und dessen Bedeutung innerhalb des Unternehmens. Das Kontrollumfeld prägt die Grundhaltung einer Organisation, indem es das Kontrollbewusstsein der Mitarbeiter beeinflusst. Es stellt die Grundlage eines wirksamen IKS dar. Das Kontrollumfeld eines Unternehmens wird vor allem von den folgenden Elementen geprägt und durch die Art und Weise beeinflusst, wie diese in die Arbeitsabläufe des Unternehmens eingebunden sind: Kommunikation und Durchsetzung von Integrität und ethischen Werten; Kompetenz der Mitarbeitenden; Mitwirkung der mit der Unternehmensleitung betrauten Personen; Führungsgrundsätze und Führungsstil; Organisationsstruktur; Zuordnung von Weisungsbefugnis und Verantwortlichkeiten; Weisungen im Bereich des Personalwesens." Schweizer Prüfungsstandard 890, S. 6 Daraus folgt: Kontrollumfeld = strategische Ebene und operative Leitung IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 4 von 10
3.2. Risikobeurteilung 3.2.1. Definition von Risiko "'Risiko' im Sinne dieses Prüfungsstandards ist das Risiko einer wesentlichen falschen Angabe in der Jahresrechnung. Dieses Risiko stellt nur eine Teilmenge der gesamten Geschäftsrisiken dar." Schweizer Prüfungsstandard 890, S. 3 "Risiko gibt es nur, wenn Menschen oder Organisationen aktiv Ziele verfolgen und/oder sich auf interne oder externe Umstände verlassen, die sich überraschend verändern können. Risiko steht für die Möglichkeit, dass Ziele nicht erreicht werden." Brühwiler, 2007, S. 19 "Risiko = Gefahr einer (negativen) Zielabweichung" Brühwiler, 2007, S. 23 "Risiko umfasst sowohl plötzlich eintretende Schadensereignisse, die ungünstige Einwirkung von äusseren Umständen oder sich allmählich einstellende Fehlentwicklungen." Brühwiler, 2007, S. 24 3.2.2. Risikobeurteilung "Solche Risiken können beispielsweise in den Bereichen der Branchenzugehörigkeit, der Grösse des Unternehmens, der technologischen Entwicklungen, der Arbeitsmarktverhältnisse, der Formen der Finanzierung und der Liquiditätslage, der Konkurrenzsituation, des Produktemixes, der internen Organisation, der Eigentümerstruktur, der externen Einflüsse von interessierten Dritten (Stakeholder) oder der Umwelt bestehen. Beispielsweise können Mängel eines Produkts zu einem Bewertungsrisiko bei den Produktevorräten und zu Erlösminderungen führen." Brühwiler, 2009. S. 16 f. " Damit beschränkt sich der Geltungsbereich dieser Risikobeurteilung vor allem auf die Risiken der Finanzberichterstattung und auf den versehentlichen oder absichtlichen Missbrauch von Vermögenswerten. Risiken, die aus der Veränderung des Umfelds entstehen, sind nicht geforderter Gegenstand der Risikobeurteilung, weil sie kaum mit der Jahresrechnung im Zusammenhang stehen." Brühwiler, 2009. S. 48 f. 3.2.3. Werkzeug zur Unterstützung einer Risikobeurteilung RisKu - Riskmanagement für Kleinunternehmen - www.risku.ch. Dieses Tool berücksichtigt die Geschäftsrisiken, also alle Risiken, nicht nur jene, die gemäss Gesetz identifiziert werden müssen und lässt eigene Ergänzungen zu. 3.2.4. Aufgabe der Revisionsstelle Die Revisionsstelle ist nach Art. 728 lit a Ziff. 5 des OR beauftragt zu prüfen, ob vom Verwaltungsrat im Berichtsjahr eine Risikobeurteilung vorgenommen wurde. "Die Revisionsstelle stützt sich dabei auf die entsprechenden Aussagen des Verwaltungsrates im Anhang der Jahresrechnung ( ). Die verlangte Beurteilung durch die Revisionsstelle darf nicht als eine inhaltliche Prüfung verstanden werden; bestätigt IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 5 von 10
wird lediglich, dass eine Risikobeurteilung vorgenommen wurde. Die Verantwortlichkeit für den Inhalt und die Art der Risikobeurteilung liegt beim Verwaltungsrat." Botschaft des Bundesrats (siehe Quellenverzeichnis) "Verwaltungsrat" entspricht "strategischer Ebene". Die Botschaft des Bundesrats hat für Gesellschaften, deren strategisches Organ nicht als Verwaltungsrat bezeichnet wird, analoge Bedeutung. 3.2.5. Risikoanalyse und IKS Die Risikoanalyse ist die Basis eines IKS. Zuerst werden die Risiken bestimmt und dann mit Hilfe des IKS minimiert oder eliminiert. Basierend auf der vorgenommenen Risikobeurteilung beauftragt die strategische Ebene die operative Ebene mit dem Aufbau eines IKS. 3.3. Kontrollaktivitäten Basis der Kontrollaktivitäten sind die Kontrollziele: Was soll mit der Kontrolle erreicht werden? Der Kreislauf: Risikobeurteilung vorhandene Risiken Massnahmen zur Vermeidung/Eliminierung Kontrollen, dass Massnahmen umgesetzt werden Rückmeldungen an strategische Ebene sind Bestandteile der periodischen Risikobeurteilungen. 3.4. Kontrolle der Kontrollen "'Schlüsselkontrollen' sind darauf ausgerichtet, die aus Sicht des Gesamtunternehmens wesentlichen falschen Angaben in der finanziellen Berichterstattung zu verhindern oder aufzudecken. Die Prüfung der Existenz eines IKS nach Art. 728 a Abs. 1 Ziff. 3 OR sieht keine systematische Prüfung aller Kontrollen vor, sondern beschränkt sich auf die periodische Prüfung der Existenz der Schlüsselkontrollen." Schweizer Prüfungsstandard 890, S. 4 4. IKS-Dokumentation Alles muss so dokumentiert werden, dass jederzeit nachgewiesen werden kann, welche Kontrollen stattgefunden haben. "Das IKS ist derart zu dokumentieren, dass wesentliche Vorgänge nachvollzogen werden können. Auf Unternehmensebene muss die Dokumentation darlegen, was der Verwaltungsrat mit dem IKS erreichen will; wie die Unternehmensleitung das IKS umsetzt; wie die Risiken einer wesentlichen falschen Angabe in der Buchführung und Rechnungslegung eingeschätzt werden und wie das IKS solche Risiken verhindern oder vermindern soll." Schweizer Prüfungsstandard 890, S. 11 IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 6 von 10
5. Existenz eines IKS Voraussetzungen, damit Existenz bejaht werden kann: IKS muss dokumentiert sein. IKS muss der Geschäftstätigkeit angepasst sein. IKS muss den zuständigen Mitarbeitenden bekannt sein. IKS muss wie vorgesehen angewendet werden. Kontrollbewusstsein muss vorhanden sein. Schweizer Prüfungsstandard 890, S. 10 6. Grenzen des IKS "Das Ziel einer Jahresrechnung, die frei von wesentlichen falschen Angaben ist, wird ungeachtet der Qualität des IKS eines Unternehmens nicht mit absoluter, sondern bloss mit angemessener Sicherheit ermöglicht. Die jedem IKS immanenten Grenzen sind beispielsweise: das menschliche Urteil, welches bei Ermessensentscheidungen fehlerhaft ausfallen kann; Störungen, die im IKS infolge menschlicher Schwächen auftreten können, z.b. Flüchtigkeitsfehler oder Irrtümer; bewusste Verletzungen der Regeln des IKS durch Mitarbeiter aller Stufen. Solche Verstösse können auf der ausführenden Ebene selbst oder aber auf einer vorgesetzten Ebene auftreten. In kleineren Unternehmen lassen sich wegen begrenzter personeller Ressourcen gewisse Elemente des IKS häufig nicht oder nur unvollkommen einrichten (z. B. organisatorische Massnahmen wie etwa die Funktionentrennung). Anderseits besteht in solchen Fällen die Möglichkeit, dass der Unternehmer oder Geschäftsführer mit seinen umfassenden Kenntnissen allfälligen Kontrolldefiziten mit anderen Kontrollmassnahmen entgegen wirkt und damit ein der Grösse, Komplexität und dem Risikoprofil des Unternehmens entsprechendes IKS aufbaut." Schweizer Prüfungsstandard 890, S. 8 Unter Berücksichtigung der Tatsache, dass die Grossunternehmen, die in den vergangenen Jahre Konkurs gegangen sind oder nur mit Hilfe von staatlicher Unterstützung vor dem Untergang gerettet werden konnten, über ein anerkanntes Risikomanagement-System verfügten, fragt sich, was die neuen Bestimmungen bringen. Brühwiler Bruno: "Sicher wurden die Risiken von den verantwortlichen Managern nicht wirklich analysiert und vor allem nicht verstanden." IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 7 von 10
7. IT - Information Technologie "'Generelle Informatik (IT)-Kontrollen' bilden die Grundlage für ordnungsgemäss funktionierende automatisierte IT-Anwendungskontrollen. Generelle IT-Kontrollen adressieren beispielsweise Risiken in den Bereichen Zugriffsrechte, Datenqualität, Datensicherheit oder System-Änderungen (Hardware und Software) und -unterhalt." Schweizer Prüfungsstandard 890, S. 3 "Kontrollen im Informatikbereich sind umso wichtiger, je stärker der Rechnungslegungs- und Berichterstattungsprozess von IT-Systemen abhängig ist und je höher das Risiko ist, dass Fehler ihre Ursache im Aufbau von und Umgang mit IT- Systemen haben könnten. Schweizer Prüfungsstandard 890, S. 11 8. QMS - Qualitätsmanagementsystem Ein QMS ist mit Bezug auf ein IKS kein "Musskriterium" unterstützt jedoch die Einführung eines IKS. Wir empfehlen, das IKS nicht parallel zu bestehenden Dokumenten zu organisieren, sondern in die bestehenden Abläufe/Prozesse zu integrieren. 9. Bestimmungen zum IKS 9.1. Obligationenrecht Art. 728a 1 Die Revisionsstelle prüft, ob: 1. die Jahresrechnung und gegebenenfalls die Konzernrechnung den gesetzlichen Vorschriften, den Statuten und dem gewählten Regelwerk entsprechen; 2. der Antrag des Verwaltungsrats an die Generalversammlung über die Verwendung des Bilanzgewinnes den gesetzlichen Vorschriften und den Statuten entspricht; 3. ein internes Kontrollsystem existiert. 2 Die Revisionsstelle berücksichtigt bei der Durchführung und bei der Festlegung des Umfangs der Prüfung das interne Kontrollsystem. 3 Die Geschäftsführung des Verwaltungsrats ist nicht Gegenstand der Prüfung durch die Revisionsstelle. Art. 728b 1 Die Revisionsstelle erstattet dem Verwaltungsrat einen umfassenden Bericht mit Feststellungen über die Rechnungslegung, das interne Kontrollsystem sowie die Durchführung und das Ergebnis der Revision. 2 Die Revisionsstelle erstattet der Generalversammlung schriftlich einen zusammenfassenden Bericht über das Ergebnis der Revision. Dieser Bericht enthält: 1. eine Stellungnahme zum Ergebnis der Prüfung; 2. Angaben zur Unabhängigkeit; 3. Angaben zu der Person, welche die Revision geleitet hat, und zu deren fachlicher Befähigung; IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 8 von 10
4. eine Empfehlung, ob die Jahresrechnung und die Konzernrechnung mit oder ohne Einschränkung zu genehmigen oder zurückzuweisen ist. 3 Beide Berichte müssen von der Person unterzeichnet werden, die die Revision geleitet hat. Art. 716a1 2. Unübertragbare Aufgaben 1 Der Verwaltungsrat hat folgende unübertragbare und unentziehbare Aufgaben: 1. die Oberleitung der Gesellschaft und die Erteilung der nötigen Weisungen; 2. die Festlegung der Organisation; 3. die Ausgestaltung des Rechnungswesens, der Finanzkontrolle sowie der Finanzplanung, sofern diese für die Führung der Gesellschaft notwendig ist; 4. die Ernennung und Abberufung der mit der Geschäftsführung und der Vertretung betrauten Personen; 5. die Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen; 6. die Erstellung des Geschäftsberichtes2 sowie die Vorbereitung der Generalversammlung und die Ausführung ihrer Beschlüsse; 7. die Benachrichtigung des Richters im Falle der Überschuldung. 2 Der Verwaltungsrat kann die Vorbereitung und die Ausführung seiner Beschlüsse oder die Überwachung von Geschäften Ausschüssen oder einzelnen Mitgliedern zuweisen. Er hat für eine angemessene Berichterstattung an seine Mitglieder zu sorgen. Art. 662a1 2. Ordnungsmässige Rechnungslegung 1 Die Jahresrechnung wird nach den Grundsätzen der ordnungsmässigen Rechnungslegung so aufgestellt, dass die Vermögens- und Ertragslage der Gesellschaft möglichst zuverlässig beurteilt werden kann. Sie enthält auch die Vorjahreszahlen. 2 Die ordnungsmässige Rechnungslegung erfolgt insbesondere nach den Grundsätzen der: 1. Vollständigkeit der Jahresrechnung; 2. Klarheit und Wesentlichkeit der Angaben; 3. Vorsicht; 4. Fortführung der Unternehmenstätigkeit; 5. Stetigkeit in Darstellung und Bewertung; 6. Unzulässigkeit der Verrechnung von Aktiven und Passiven sowie von Aufwand und Ertrag. 3 Abweichungen vom Grundsatz der Unternehmensfortführung, von der Stetigkeit der Darstellung und Bewertung und vom Verrechnungsverbot sind in begründeten Fällen zulässig. Sie sind im Anhang darzulegen. 4 Im Übrigen gelten die Bestimmungen über die kaufmännische Buchführung. Aus der Verpflichtung des Verwaltungsrats, das Rechnungswesen so zu gestalten, dass die Grundsätze der ordnungsmässigen Buchführung und Rechnungslegung eingehalten werden (Art. 716a Abs. 1 Ziff. 3 i.v.m. Art. 662a sowie Art. 957 ff. OR), ergibt sich die Verantwortlichkeit des Verwaltungsrats für die Ausgestaltung, Implementierung und Aufrechterhaltung eines geeigneten und angemessenen IKS. Schweizer Prüfungsstandard 890, S. 4 IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 9 von 10
9.2. Schweizer Prüfungsstandards (PS) Schweizer Prüfungsstandard: Prüfung der Existenz des internen Kontrollsystems (PS 890) der Treuhand-Kammer. "Der Abschlussprüfer prüft die Existenz sowohl der Kontrollen auf Unternehmensebene als auch der Kontrollen auf Prozessebene und die generellen IT Kontrollen." Schweizer Prüfungsstandard 890, S. 11 10. Quellenverzeichnis Botschaft des Bundesrats zur Erneuerung des Aktienrechts vom 01.07.2007: Entnommen aus Brühwiler Bruno: Risikomanagement als Führungsaufgabe Brühwiler Bruno: Risikomanagement als Führungsaufgabe, Haupt, Bern/Stuttgart/Wien, 2007 Brühwiler Bruno: Risikomanagement nach ISO 31000 und ONR 49000, Austrian Standards plus GmbH, Wien 2009 Frauchiger-Schlug Sandra (KPMG): Internes Kontrollsystem in Non-Profit- Organisationen, Seminardokumentation, ZHAW School of Management and Law, Winterthur, 2009 KPMG: IKS Update, August 2009 KPMG Newsletter KPMG: Methodik zur Durchführung eines IKS Projekts, 2007 Meyer Beatrice: Internes Kontrollsystem in Non-Profit-Organisationen, Seminardokumentation, ZHAW School of Management and Law, Winterthur, 2009 Pfaff Dieter, Flemming Ruud: Schweizer Leitfaden zum Internen Kontrollsystem (IKS), Orell Füssli, Zürich, 2008 REDI AG, interne Dokumente Schweizer Prüfungsstandard: Prüfung der Existenz des internen Kontrollsystems (PS 890), Treuhand-Kammer, 2007, http://www.treuhandkammer.ch/dynasite.cfm?dsmid=85591 IKS Text für Homepage/04.01.2010/ihe/mko/ewa/dbo Seite 10 von 10