Wie die Neue Zürcher Zeitung in ihrer Ausgabe vom 8. Januar 2008 schreibt, ist seit diesem Jahr bei einer ordentlichen Revision auch das interne Kontrollsystem eines Unternehmens Gegenstand der Prüfung. Im folgenden Text legt der in der Wirtschaftsprüfung tätige Autor dar, welche Wege er für mittelgrosse Unternehmen für sinnvoll hält. (Red.)
Im revidierten Obligationenrecht wird erstmals das interne Kontrollsystem (IKS) als Teil der Unternehmensführung und -kontrolle erwähnt. Die neuen Vorschriften sind seit dem 1. Januar 2008 in Kraft. Sie führen für viele mittelgrosse Unternehmungen zu einer Verschärfung der Anforderungen ans IKS. Wer aber ist genau davon betroffen? Das Gesetz definiert hierzu drei Kriterien: eine Bilanzsumme von 10 Mio. Fr., einen Jahresumsatz von 20 Mio. Fr., 50 Vollzeitstellen. Künftig unterliegen Unternehmen, die zwei dieser drei Kriterien überschreiten, der ordentlichen Revision. Bei diesen hat die Revisionsstelle auch zu prüfen, ob ein IKS existiert, und sie muss bei der Festlegung der Prüfungsdurchführung das IKS berücksichtigen. Insofern ist es für betroffene Unternehmen sinnvoll, die bestehende Organisation im Hinblick auf die neuen Vorschriften kritisch zu überprüfen.
Freilich ist der Begriff IKS noch immer nicht genau verstanden. Die Praxis versteht darunter die Gesamtheit der von der Unternehmungsleitung vorgegebenen Weisungen, Grundsätze und Verfahren, die der Gewährleistung einer ordnungsgemässen und effizienten Geschäftsführung dienen. Es ist aber unbestritten, dass sich die Regelungen im revidierten Obligationenrecht nur auf jene Bereiche beschränken, die Einfluss auf die Buchführung und die Rechnungslegung haben. Ausgeklammert sind Bereiche wie die Produktion oder das Qualitätsmanagement, sofern diese keine unmittelbaren Auswirkungen auf die Jahresrechnung haben. Das neue Gesetz lässt bei der Ausgestaltung des IKS bewusst einen grossen Ermessensspielraum, was es dem Verwaltungsrat ermöglicht, den Besonderheiten “seiner” Gesellschaft Rechnung zu tragen. Die befürchtete Regulierungsdichte in diesem Bereich blieb aus, was aus Sicht der KMU erfreulich ist und mithilft, unnötige Kosten zu vermeiden.
Zu Recht darf man behaupten, dass jede gut funktionierende Unternehmung bereits über ein IKS verfügte, das mit geringem Aufwand an die neuen Regelungen angepasst werden konnte. Trotzdem lohnt es sich, die gesetzlichen Anpassungen als Anlass für eine Standortbestimmung zu nehmen und das bestehende IKS und Risikomanagement kritisch zu durchleuchten. Projekte zur Beurteilung und Verbesserung von internen Kontrollen sollten unter Verantwortung des Verwaltungsrates und mit Einbezug der Geschäftsleitung durchgeführt werden. Diese Verantwortung kann nicht an aussenstehende Dritte delegiert werden.
Bei mittelgrossen Unternehmen gilt es bezüglich IKS einige Besonderheiten zu beachten. Aufgrund der Unternehmensgrösse ist es vielfach nicht effizient, eine Trennung von Funktionen und Stellvertretungen vorzunehmen – selbst wenn diese aus Sicht eines guten IKS grundsätzlich begrüssenswert wäre. An deren Stelle treten vielfach andere Kontrollaktivitäten. Die meisten KMU zeichnen sich durch zentrale und damit schlanke Führungsstrukturen aus, die den Entscheidungsträgern einen besseren Überblick über die Firma gewähren. Aus der Sicht des IKS kann dies als durchaus positiv bewertet werden, zumal so die ungenügende Funktionentrennung kompensiert werden kann.
Der Hauptaktionär und Hauptrisikoträger sitzt häufig im Unternehmen, hat einen umfassenden Einblick in die Geschäftstätigkeit und kann somit aus höchster Position Kontrollen vornehmen. An die Stelle eines Vier-Augen-Prinzips tritt die direkte Kontrolle durch den Eigentümer, was ganz eindeutig das wirksamste Kontrollprinzip darstellt. Hier darf das KMU seine ihm eigenen Stärken ausspielen. Anderes gilt aber mit Blick auf die Dokumentation des IKS, hier zeigt das KMU Schwächen. Viele Abläufe und Kontrollmassnahmen haben sich über die Jahre hinweg – manchmal auch unbewusst – eingespielt, sind aber nicht formal festgelegt oder werden nicht auf ihre Wirksamkeit überprüft. In der Folge werden die Kontrollen zu blossen Pflichtübungen ohne echten Effekt. Im Interesse des KMU-Unternehmers kann dies nicht sein.
Grosse Unsicherheiten bekunden die Verantwortlichen von KMU im Hinblick auf die konkrete Umsetzung dieser Regelungen. Dabei dreht es sich hauptsächlich um die Frage, wie viel Dokumentation gefordert ist. Umfang und Detaillierungsgrad der Ausgestaltung sind aber abhängig von der Grösse und der Komplexität des Unternehmens. Übertriebener Formalismus und Dokumentationsdichte sind fehl am Platz. Man sollte sich frühzeitig einen Überblick über die bereits vorhandenen Kontrolltätigkeiten verschaffen; viele dieser Tätigkeiten werden bereits heute ausgeführt, sind aber nicht systematisch erfasst oder dokumentiert. Doppelspurigkeiten bei der Dokumentation sind zu vermeiden, die Dokumentation soll nicht Selbstzweck sein und möglichst pragmatisch erfolgen.
In erster Linie sollen bestehende Dokumente lokalisiert werden und, wo nötig und sinnvoll, Ergänzungen erfolgen. Es geht nicht darum, ein neues IKS-Handbuch zu schreiben. Ziel ist vielmehr, sicherzustellen, dass das IKS geeignet ist, wesentliche Falschdarstellungen in der Jahresrechnung zu vermeiden. Idealerweise kann auf wenigen Seiten zusammengefasst werden, was der Verwaltungsrat und die Geschäftsleitung mit dem IKS erreichen wollen, wo sich die relevanten Dokumente und Regelungen befinden und wer für die Aktualisierung verantwortlich ist.
Die Revisionsstelle erstattet der Generalversammlung lediglich Bericht über die Existenz des IKS. Dabei kann jene entweder mit oder ohne Einschränkungen bejaht werden, oder es erfolgt ein verneinendes Prüfungsurteil. Eine uneingeschränkte Existenzbestätigung heisst aber noch nicht, dass das IKS der geprüften Unternehmung sich im Idealzustand befindet. Es kann zwar im Sinne der gesetzlichen Minimalanforderungen ausreichend sein, im Detail jedoch Schwächen und Verbesserungspotenziale aufweisen. Detaillierte Erkenntnisse der Revisoren dazu finden sich einzig im umfassenden Bericht der Revisionsstelle an den Verwaltungsrat. Angesichts dieser Informations-Asymmetrie können leicht falsche Vorstellungen über die Qualität des IKS entstehen. Dies bereitet wiederum den Revisoren Kopfzerbrechen, diese kämpfen schon seit längerem mit den übertriebenen Erwartungen an ihre Tätigkeit.
Eine uneingeschränkte IKS Existenzbestätigung heisst nicht zwangsläufig, dass sich das IKS der geprüften Unternehmung im Idealzustand befindet.