Stärkung des Internen Kontrollsystems in KMU

Im Zusammenhang mit der Revision des Ak­tienrechts sahen sich viele KMU gezwungen, ab dem 1. Januar 2008 ein IKS nachzuweisen. Dieser Umstand führte damals zur berechtigten Frage, wie KMU mit ihren knapp bemessenen Ressourcen die neuen Gesetzesvorgaben erfüllen konnten. Selbstverständlich existierten in vielen Unternehmen schon Ansätze von Risiko- und Kontrollinstrumenten. In der Regel wurden diese aber selten konsequent genutzt, waren nicht auf die Sicherstellung der Jahresrechnung ausgelegt und für Dritte aufgrund mangelnder Dokumentation kaum nachvollziehbar. Viele KMU wurden durch Seminare, Lehrveranstaltungen oder Tagungen zum Thema IKS zusätzlich verunsichert, da oft IKS-Dokumentationen von grossen und börsenkotierten Unternehmen präsentiert wurden.¹ Dieses Unbehagen bezüglich des möglicherweise anstehenden Dokumentationsaufwands von Prozessen und entsprechenden Kontrollen war verständlich. Es erstaunt daher nicht, dass viele KMU ihr IKS hauptsächlich zur Pflichterfüllung in Zusammenhang mit dem seit 1. Januar 2008 in Kraft getretenen revidierten Aktienrecht ausrichteten und erst später das IKS sukzessive als unternehmensweites, nutzenstiftendes Führungs­instrument ausgebaut haben oder noch ausbauen werden.

Um die mit dem IKS verbundenen Herausforderungen darzulegen, hilft es, sich vor Augen zu führen, mit welchen Realitäten sich besonders KMU konfrontiert sehen:

• Oft flache Hierarchien
• Knappe Personalressourcen und eingeschränkte finanzielle Ressourcen
• Starker Einfluss der Eigentümer, oft sehr persönlicher Umgang mit Mitarbeitenden
• Eher informelle Organisationsstrukturen
• Keine oder ungenügende Funktionentrennung
• Meist keine interne Revision vorhanden
• Fehlende oder ungenügend dokumentierte Unternehmensplanung
• Fehlende oder fragmentarische Arbeitsrichtlinien oder Prozessdokumentationen.

Zentrale Arbeitsvorgänge werden in KMU oft nur durch eine Person ausgeführt und kontrolliert, in der Regel durch die Geschäftsleitung. Die Delegation von Kontrollen ist oft wegen der Personalsituation gar nicht möglich. Somit wird die im IKS als wesentliches Element geforderte Funktionentrennung oft nicht oder nur ungenügend umgesetzt. Dadurch entstehen auch Gelegenheiten zur Übersteuerung der Kontrolle, was aus IKS-Sicht ein erhebliches Risiko darstellt.

Arbeitsrichtlinien und Prozessbeschreibungen bilden eine wichtige Grundlage für die Identifikation von Risiken und die Implementierung geeigneter Kontrollen. Sind diese für die Hauptprozesse nicht vollständig vorhanden, kann die Qualität des aufzubauenden oder bereits vorhandenen IKS negativ beeinflusst werden, da wesentliche Risiken übersehen werden können. Aufgrund der beschränkten Ressourcen bestand bei vielen KMU zudem die Befürchtung, die geforderten Prozesskontrollen – wie in grös­seren Unternehmen zum Teil exzessiv eingeführt – nicht bewältigen zu können.

Die Buchhaltungs- und Rechnungslegungsthematik spielt für kleinere, unabhängige Fami­lienbetriebe keine zentrale Rolle. Es überrascht daher auch nicht, dass viele kleine Betriebe die Pflicht zur Einführung eines IKS in Bezug auf die Rechnungslegung als wenig sinnvoll und nützlich erachteten. Die Investorensicht respektive die wahrheitsgetreue Darstellung der Jahresrechnung gegen aussen hat kaum dieselbe Relevanz wie für grosse, börsenkotierte Firmen. So sind oft einfache, auch Excel-basierte Rechnungswesen im Einsatz, die fehler- und manipulationsanfällig sind. Mitarbeiter mit ent­sprechender Kompetenz im Bereich des Rechnungswesens sind nicht oder zu wenig vorhanden.

In der Regel weisen KMU keine interne Revi­sion auf, welche das IKS regelmässig überwacht und prüft. So verlassen sich viele Unternehmen darauf, dass die externe Revisionsstelle diese Beurteilungsfunktion übernimmt. Durch diese Auslagerung der Überwachungsfunktion hat das IKS auch keine Chance, ein aktiv gelebtes, nachhaltig und laufend überwachtes Führungsinstrument zu werden. Summa summarum wurde das IKS in KMU tendenziell als notwendiges Übel gesehen, weniger als nutzenstiftendes Führungsinstrument. Diese Ansicht hat in vielen KMU dazu beigetragen, dass das IKS nach initialem Dokumentationsaufwand nur schlecht in die betrieblichen Abläufe integriert wurde.²

Aus den obigen Überlegungen abgeleitet, entsteht im Umgang mit der IKS-Thematik in KMU ein Spannungsfeld, welches durch folgende zwei Aspekte begründet wird: Einerseits müssen grössenbedingte Defizite von KMU mit angemessenen, kosteneffizienten Instrumenten und Methoden wettgemacht werden. Andererseits soll das IKS einen nachhaltigen Nutzen generieren, indem es die betrieblichen Abläufe sicherer und effizienter gestaltet und die Erreichung der geschäftspolitischen Ziele unterstützt. Im Folgenden werden einige Ansätze aufgezeigt, wie KMU ihr IKS unter Berücksichtigung des Spannungsfeldes stärken können.

Jedes IKS-Projekt ist zum Scheitern verurteilt, wenn der Verwaltungsrat und die Geschäftsleitung nicht selber vom Nutzen des IKS überzeugt sind. Ein IKS-Projekt sollte einen Freiwilligkeits-Charakter aufweisen und nicht von Gesetzes wegen eingeführt werden. KMU sollten sich nicht an der Minimalva­riante gemäss schweizerischem Revisionsrecht orientieren. Als übergeordneter Nutzen soll somit nicht die finanzielle Berichterstattung stehen, sondern die Unterstützung der Erreichung der geschäftspolitischen Ziele. Damit sind die folgenden Empfehlungen an KMU verbunden:

• Der Verwaltungsrat soll ein Konzeptpapier diskutieren und verabschieden, in dem die wesentlichen Ziele des IKS schriftlich festgehalten werden. Es geht vor allem darum, das betriebseigene Verständnis von IKS in einer griffigen Definition festzuhalten, welche durch die Geschäftsleitung und die Mitarbeitenden einheitlich verstanden wird.
• Der Vermögensschutz und die Verminderung von Unregelmässigkeiten stehen neben der finanziellen Berichterstattung im Zentrum des IKS. Diese Ziele gehen über das vom Gesetzgeber geforderte Minimum hinaus, ermöglichen aber einen sichtbaren Mehrwert für Unternehmen.
• Die wesentlichen Prozesse sollen visualisiert oder zumindest detailliert beschrieben werden. Dies schafft Transparenz, ermöglicht nebenbei die Optimierung der Prozesse und hilft signifikant bei der Identifikation von Risiken. Die Prozessdokumentation dient auch als Basis, um Kontrollen an der richtigen Stelle im Prozess zu implementieren.
• Damit ein IKS die geschäftspolitischen Ziele unterstützen kann, müssen zuerst die strategische Planung und deren Umsetzung in operationalisierter Form (verschiedene Zieldimensionen wie Finanzziele, Prozessziele, Kundenziele usw.) schriftlich dokumentiert sein. Da dies vor allem bei kleinen Unternehmen oft nicht der Fall ist, soll dies im Rahmen eines IKS-Projektes nachgeholt werden.
• Die Strategie respektive die damit verbundenen Unternehmensziele sollen als Basis für die Risikobeurteilung dienen. Im Bereich der Risikoanalyse sollen KMU auf bedeutende Risiken fokussieren, welche das längerfristige Erfolgspotenzial gefährden können. Dabei darf durchaus auf mathematisch-statistisch fundierte Analysen verzichtet werden. Da sich Risiken ändern können und damit auch die entsprechenden Steuerungsmassnahmen und Kontrollen angepasst werden müssen, ist es naheliegend, die Unternehmensleitung explizit in die laufende Überwachung der Risiken und Kontrollen einzubeziehen. Faktisch gleicht dieses Vorgehen dem klassischen Risikomanagement-Prozess. Aus Synergie-Überlegungen macht es aber durchaus Sinn, neben den im IKS dominierenden Prozess­risiken auch unternehmensweite Risiken in Betracht zu ziehen.

Die genannten Empfehlungen gehen also offensichtlich weit über das gesetzlich geforderte Minimum der Sicherstellung der finanziellen Berichterstattung hinaus. Gerade KMU profitieren aber vor allem von der Verbesserung ihres strategischen und operativen Managements. Das IKS schafft hierbei Transparenz und zwingt das Führungsgremium, sich in strukturierter Weise über die Effektivität und Effizienz ihrer Ressourceneinsätze Gedanken zu machen.

KMU sind gezwungen, die Defizite der mangelnden Funktionentrennung durch Entwicklung und Einsatz kompensierender Kontrollen zu überwinden. Kompensierende Kontrollen haben in der Regel den Nachteil, dass sie detektiver Natur sind, also erst nach Beendigung ­einer Transaktion zum Zuge kommen. Falls möglich, sollte in KMU mindestens im Bereich des Zahlungsverkehrs eine Funktionentrennung installiert sein, um präventiv Manipulationen entgegenzuwirken. Folgende kompensierende Kontrollen können in KMU zum Einsatz kommen:³

• Das Management fordert einen monatlichen, detaillierten Bericht über alle Transaktionen ein. Beispielsweise sind beim Verkauf das Datum der Transaktion, die Kundendaten, die Artikelbezeichnung und der Geldbetrag aufgeführt. Die Geschäftsleitung kann sich so schnell ein Bild darüber machen, ob inkorrekte oder aussergewöhnliche Transaktionen durchgeführt wurden.
• Das Management führt einen regelmässigen Abgleich des physischen Inventars mit Buchhaltungsdaten ab. Dies kann vor allem bei Unternehmen mit hohen Lagerbeständen eine effektive Kontrolle sein.
• Die Geschäftsleitung übernimmt Überwachungsfunktionen, indem sie selbst am Tagesgeschäft beteiligt ist, Präsenz zeigt und die Prozesse sehr gut kennt. Dadurch fungiert sie unbewusst als Teil des internen Kontrollsystems und kann die mangelnde Funktionentrennung kompensieren. Ist sich die Geschäftsleitung dieser wichtigen Tatsache bewusst, kann sie diese Überwachungsfunktion im IKS gezielt und aktiv gestalten.
• Die Geschäftsleitung kompensiert die fehlende Funktionentrennung mit der Etablierung eines ausgeprägten Kontrollumfeldes,⁴ welches als indirekte, präventive Kontrolle fungiert.

Interessant für KMU und der weiteren Ausführung würdig ist die Schaffung eines angemessenen Kontrollumfeldes. Im folgenden Abschnitt werden konkrete Ansätze erläutert, wie damit ein IKS gestärkt werden kann.

Die Möglichkeit, die grössenbedingten Defizite von KMU in eine Chance zur effizienten und kostengünstigen Stärkung des IKS umzuwandeln, liegt in der Etablierung eines ausgeprägten Kontrollumfeldes. Das Kontrollumfeld respektive das Kontrollbewusstsein bildet die Basis jedes IKS und hängt stark mit der gelebten Unternehmenskultur zusammen. Gerade in KMU interagieren die Mitarbeiter oft mit dem Management und werden von diesem direkt beeinflusst. Die Unternehmensleitung steht somit in der Pflicht, die Wichtigkeit integren Verhaltens und angemessener moralischer Wertvorstellungen nicht nur zu kommunizieren, sondern aktiv vorzuleben und dadurch dieselbe Erwartungshaltung an die Mitarbeiter klar zu signalisieren. Damit wird der sogenannte «Tone at the Top» (Vorbildfunktion, die durch Taten, nicht nur durch Worte entsteht) geschaffen, woran sich die Mitarbeitenden orientieren können und sollen.

Das Kontrollumfeld kann beispielsweise durch die Formulierung eines umfassenden Verhaltenskodex unterstützt werden, wo ethische Werte und Integrität sowie der Umgang zwischen Mitarbeitern respektive gegenüber Kunden und Lieferanten schriftlich festgehalten werden. Des Weiteren kann darin formuliert werden, dass unehrliches, betrügerisches Verhalten in keiner Weise toleriert wird. Lässt die Geschäftsleitung Vorschläge von Mitarbeitenden für die Erarbeitung oder Ergänzung des Kodex zu, wird die Akzeptanz für dieses Instrument – und indirekt für das IKS – signifikant erhöht. Selbstverständlich lassen sich nicht alle Regeln, Richtlinien und Weisungen im Verhaltenskodex abbilden. Der Kodex kann aber auf die relevanten Dokumente wie Organisationsreglement, Arbeitsrichtlinien, Leitbild, Vision, Mission Statement und weitere verweisen. Idealerweise lässt die Unternehmensleitung den Verhaltenskodex von jedem Mitarbeiter durchlesen und unterzeichnen.

Regelmässige Information und Kommunikation über Weiterentwicklungen oder Neuerungen im IKS durch die Geschäftsleitung sensibilisiert die Mitarbeitenden bezüglich der Wichtigkeit dieses Systems. Dazu können entsprechende Gefässe wie der monatliche Firmen-Newsletter, das ­Intranet oder Mitarbeitersitzungen genutzt ­werden. Eine Politik der offenen Tür sowie ein Umfeld, welches Fehler und Verbesserungsvorschläge zulässt, beeinflusst die Unternehmenskultur – und damit auch die Kontrollkultur – positiv.

Weiter gehört zu einem ausgeprägten Kontrollumfeld die Bekenntnis der Geschäftsleitung zur fachlichen Kompetenz der Mitarbeiter. Aktualisierte Stellenbeschreibungen definieren hierbei die Aufgaben, Kompetenzen und Verantwortungen der Mitarbeitenden. Das Organigramm zeigt die relevanten Berichtswege auf, welche der Mitarbeiter einzuhalten hat. Dazu gehört auch die Möglichkeit, dass sich Mitarbeiter regelmäs­sig weiterbilden können und dass die nötigen Kompetenzen bei Neueinstellungen genauestens geprüft werden. Da in KMU meistens keine Personalabteilung existiert, übernimmt oft gerade der Eigentümer selber diese Funktion, agiert also als übergeordnete Kontrollinstanz. Kompetenzen im Bereich der finanziellen Führung und Berichterstattung sind im Rahmen des IKS von zentraler Bedeutung.

Oft ist zu beobachten, dass im Verwaltungsrat von kleineren Unternehmen keine Finanzexperten vertreten sind. Zur Beurteilung der Risiken im Hinblick auf die Rechnungslegung ist aber gerade diese Kompetenz gefordert, nicht zuletzt deshalb, weil der Verwaltungsrat die Oberverantwortung für das IKS hat. Eine sinnvolle Massnahme zur Stärkung des IKS in KMU ist also, die Kompetenz im Finanzbereich durch einen Verwaltungsrat mit Finanzexpertise zu «erwerben». Dies kann durchaus ein Controller oder CFO einer anderen mittelständischen Unternehmung sein, oder aber auch ein Akademiker mit Rechnungslegungs-Hintergrund. Der Verwaltungsrat sollte zudem das Thema IKS regelmässig traktandieren und die wesentlichen Unternehmensrisiken besprechen. Damit eine Überwachung des Managements durch den Verwaltungsrat sinnvoll ausgeübt werden kann, müssen die Mitglieder mehrheitlich unabhängig von der Geschäftsleitung sein.

Schliesslich unterstützt ebenfalls ein gesundes, faires Anreizsystem im Unternehmen ein der internen Kontrolle zuträgliches Klima. Werden beispielsweise Performance-Ziele in einem ­neuen Geschäftsfeld zu ambitiös gesetzt, kann das durchaus zu unerwünschtem Verhalten der Mitarbeiter führen – wie etwa der Verkauf an nicht solvente Kunden, was sich später in Debitorenverlusten niederschlagen kann. Idealerweise setzt sich das Anreizsystem nicht nur aus finanziellen Zielen zusammen, sondern berücksichtigt ethisches Verhalten sowie den Beitrag zur internen Kontrolle aller Mitarbeitenden.

Die Verlässlichkeit der Buchführung kann unter Einsatz von Standardsoftware deutlich verbessert werden. Oft werden noch einfache – auch MS-Excel-basierte – Rechnungswesen genutzt, die fehler- und manipulationsanfällig sind. Hier besteht eine erhebliche Hebelwirkung für die Verbesserung des finanziellen IKS. Durch im System eingebettete, präventive Kontrollen lassen sich Kosten sparen, die ansonsten für die Korrektur oder Behebung schon eingetretener Fehler aufgewendet werden müssten. Zugriffsberechtigungen ermöglichen es, Zugriffsrechte für spezifische Benutzergruppen zu vergeben. Eingebettete Kontrollfunktionen regeln, wer in der Finanzbuchhaltung nachträglich noch Buchungen korrigieren darf. Zudem sorgen Visumskontrollen für mehr Sicherheit im Frei­gabeprozess von Zahlungen. Es lohnt sich, hier gängige Software-Anbieter zu evaluieren. Der Nutzen von Standardsoftware wird die dafür eingesetzten Kosten schnell überkompen­sieren.

Ein IKS soll als nutzenstiftendes Führungsins­trument verstanden werden, das hilft, die Ziele einer Unternehmung besser und sicherer zu erreichen. In vielen Unternehmen – insbesondere auch KMU – ist die gesetzliche Auflage, ein IKS einführen zu müssen, als aufwendige und kostenintensive zusätzliche Bürde empfunden worden. Damit verbunden ist auch die Ausrichtung des IKS auf die externe Revisionsstelle, um möglichst pragmatisch zu einem positiven Testat zu kommen. Bestätigt wird dieser Eindruck dadurch, dass KMU zwar mittlerweile recht gut dokumentiert sind, ihr IKS aber noch zu stark auf die finanzielle Berichterstattung ausgerichtet ist. Damit erreichen sie auch keinen nachhaltigen Nutzen durch das IKS. Obwohl KMU weniger Ressourcen zur Verfügung haben, können sie die mangelnde Funktionentrennung durch kompensierende Kontrollen, Stärkung des Kontrollumfelds, den Einsatz von Standardsoftware sowie die Fokussierung auf wenige Schlüsselkontrollen wettmachen.