Das COSO Enterprise Risk Management-Framework - Veb

Recht
IKS: Einführung und Dokumentation
Bei der Einführung des IKS wird es darum
gehen, sinnvolle Methoden, Prozesse
und Modelle zu suchen, einzuführen
und zu dokumentieren. Die folgenden
Erläuterungen sind auf mittlere Unternehmen
mit bis vielleicht 1000 Mitarbeitern
ausgerichtet.
1. Abgrenzung
Unternehmen, die sich einer ordentlichen
Revision unterziehen müssen, haben die
Neuerungen im OR in der Regel ab Geschäftsjahr
2008 zu beachten. Unabhängig
von der Rechtsform – ohne Personenunternehmen
– muss sich die Revisionsstelle zur
Existenz des Internen Kontrollsystems (IKS)
äussern, und im Anhang sind Angaben über
die Risikobeurteilung durch den Verwaltungsrat
zu machen. Grosse, international
tätige und kotierte Konzerne haben sich
bestimmt schon vertieft mit IKS und Risk-
Management auseinandergesetzt. Dazu
gibt es viele Publikationen und Instrumente.
Immer mehr grössere Unternehmen orientieren
sich für ihr IKS am international anerkannten
COSO-Modell. Das ist sicher für
grosse Unternehmen angepasst und
zweckmässig. Für ein Unternehmen mit
beispielsweise etwas über 50 Mitarbeitern
und einem Umsatz von wenig mehr als 20
Mio. CHF würde die Implementierung dieser
Modelle aber zu einem eigentlichen regulatorischen
Overkill führen. In diesem Bereich
wird es also darum gehen, sinnvolle Methoden,
Prozesse und Modelle zu suchen, einzuführen
und zu dokumentieren. Meine
Erläuterungen sind nicht auf Firmen, bei
denen eben COSO sinnvoll ist, sondern auf
mittlere Unternehmen mit bis vielleicht 1000
Mitarbeitern ausgerichtet.
2. IKS – Nutzen für das Unternehmen
Unter IKS versteht man die Gesamtheit der
internen Kontrollmassnahmen, die dazu
beitragen, dass die Unternehmensziele effektiver
und effizienter erreicht werden,
indem Prozesse sicher ablaufen und damit
Fehler – absichtliche und unbeabsichtigte –
verhindert beziehungsweise reduziert werden.
Sehr oft kann auch in kleineren Verhältnissen
mit relativ geringem Aufwand ein
hohes Mass an zusätzlicher Sicherheit erreicht
werden. Ohne einen gewissen For-
malismus geht es allerdings nicht. Prozesse
müssen analysiert, überdacht und dokumentiert
werden. Ohne Dokumentation ist
ein IKS nicht überprüfbar, und ohne Berichterstattung
und ständige Verbesserung der
Systeme ist der Aufwand kaum zu rechtfertigen.
3. Modell IKS für MU
Ausgangspunkt ist immer das Risikomanagement.
Oft sind die Risiken schon bekannt,
sie werden aber nicht systematisch erfasst
und beurteilt, und Massnahmen aus den
Erkenntnissen daraus werden nicht abgeleitet.
Vor Einführung eines IKS sind die
Risiken zu definieren, und die Eintrittswahrscheinlichkeit
ist zu beurteilen. Dabei ist vor
allem auch die Wesentlichkeit zu beachten.
Risiken, deren Eintrittswahrscheinlichkeit
sehr gering ist und deren Auswirkungen auf
das Unternehmen gering sind, rechtfertigen
in der Regel keinen erhöhten Kontrollaufwand.
Umgekehrt müssen existenzgefährdende
Risiken wenn möglich verhindert
und die Prozesse die dazu führen können,
sorgfältig überwacht werden. Nach
den Erkenntnissen aus der Risikobeurteilung
sind die einzelnen relevanten Prozesse
zu bestimmen, und der Ablauf ist zu beschreiben.
Danach sind die angepassten
Kontrollmassnahmen anzuordnen. Wir unterscheiden
dabei organisatorische Massnahmen
und eigentliche Kontrolltätigkeiten.
Durch die gewählte Organisation können
beispielsweise durch wirksame Funktionentrennungen
(Vieraugenprinzip) wesentliche
Sicherheitsvorkehrungen getroffen
werden. Daneben sind durch moderne
Datenverarbeitungssysteme automatisierte
und sehr wirksame Kontrollmechanismen
möglich. Die eigentliche Kontrolltätigkeit
kann durch das Management oder die
Delegation an Assistenten, Stabsstellen
oder externe Fachleute und Berater erfolgen.
Existiert ein IKS, ist darüber periodisch zu
berichten. Die einzelnen Prozesse müssen
auf Schwachstellen untersucht, und Verbesserungsmöglichkeiten
müssen umgesetzt
werden.
Bei der Einführung eines IKS muss genügend
Zeit eingeplant werden. Ausgehend vom
rechnungswesen
20 4·07
&controlling
Rudolf Häfeli, dipl. Wirtschaftsprüfer,
dipl. Experte in Rechnungslegung und
Controlling, CEO und Partner der BDO
Visura
Risk-Management sind die wesentlichen
Prozesse zu bestimmen, und die möglichen
Erkenntnisse und Einflüsse auf das Rechnungswesen
sind systematisch zu untersuchen.
Daraus sind Kontrollmassnahmen zu
definieren, deren Wirksamkeit und Einhaltung
durch periodische Berichterstattung
zu überprüfen sind. Die Wesentlichkeit muss
immer beachtet werden, das heisst, Ereignisse,
die für das Unternehmen kaum von
grosser Bedeutung und deren Eintrittswahrscheinlichkeit
gering sind, können vernachlässigt
werden.
Ein etwas systematischer Umgang mit Risiken,
mit deren Vermeidung oder Einschränkung
und mit der damit verbundenen
schnelleren Wahrnehmung von Gefahren
steht auch mittleren Unternehmen gut an.
Sie sind gut beraten, wenn sie aus der
lästigen Pflicht etwas machen, das für das
Unternehmen bestimmt von Nutzen sein
wird. ���
Besuchen Sie das veb.ch-Seminar vom 13.
März 2008 im Kongresszentrum Spirgarten,
Zürich: «Der Risikobericht für die KMU;
Internes Kontrollsystem: Einführung und Dokumentation
für KMU; Prüfungsstandards
für das Interne Kontrollsystem; Die Revisionsaufsichtsbehörde;
Der neue Jahresabschluss
und die neue Jahresrechnung ab 2008»