Gemeinden, öffentliche Verwaltung, Schulen und Gesundheitswesen – IKS

Relevant können Gemeindegesetze, Finanzhaushaltsgesetze und -verordnungen, Rechnungslegungsmodelle, Organisations- und Kompetenzordnungen, Beschaffungsrecht, Datenschutz, Archivierung sowie sektorale Vorschriften sein. Hinzu kommen Weisungen der kantonalen Aufsicht oder kommunale Reglemente. Die Anforderungen unterscheiden sich zwischen Kantonen und Gemeinden. Vor der Konzeption sind deshalb die lokal geltenden Erlasse, Prüfanforderungen und Zuständigkeiten systematisch zu erfassen und aktuell zu halten.

Die oberste Führungsverantwortung liegt in der Regel beim zuständigen Exekutivorgan im Rahmen des kantonalen und kommunalen Rechts. Verwaltungsleitung und Finanzverantwortliche koordinieren häufig die Umsetzung, während Bereichs- und Prozessverantwortliche Risiken und Kontrollen im Alltag tragen. Rechnungsprüfung, Finanzkontrolle oder externe Prüfer beurteilen das System unabhängig nach ihrem Auftrag. Aufgaben, Genehmigungen, Eskalationen und Stellvertretungen sollten ausdrücklich dokumentiert sein.

Typisch relevant sind Budgetierung, Rechnungswesen, Zahlungsverkehr, Steuern, Gebühren, Kassen, Personal und Lohn, Beschaffung, Subventionen, Anlagen, Bau und Liegenschaften sowie Informatik und Berechtigungen. Hinzu kommen Einwohnerdienste, Sozialwesen, Bewilligungen, Datenschutz, Verträge und ausgelagerte Leistungen. Priorität erhalten Prozesse mit hohen Geldbeträgen, sensiblen Daten, grossem Ermessen, rechtlichen Fristen oder geringer Funktionentrennung. Die konkrete Auswahl erfolgt risikobasiert.

Wichtig sind vollständige und aktuelle Tarifgrundlagen, kontrollierte Veranlagung oder Fakturierung, Abstimmung von Nebenbuch und Finanzbuchhaltung sowie Überwachung offener Forderungen. Erlasse, Stundungen und Abschreibungen benötigen klare Kompetenzen und Genehmigungen. Bei Kassen sind Zugriffsbegrenzung, Belegpflicht, tägliche oder regelmässige Abstimmung, sichere Aufbewahrung und unangekündigte Kontrollen sinnvoll. Änderungen von Stammdaten und Bankverbindungen sollten besonders geschützt werden.

Bedarf, Budget und Beschaffungsverfahren werden vorab genehmigt und anhand der geltenden Schwellen und Regeln bestimmt. Interessenkonflikte sind offenzulegen, Angebote nachvollziehbar zu bewerten und Entscheide vollständig zu dokumentieren. Vertragsabschluss, Bestellungen, Leistungskontrolle und Rechnungsfreigabe werden getrennt, soweit möglich. Nachträge und Direktvergaben benötigen besondere Begründung und Genehmigung. Eine zentrale Übersicht über laufende Beschaffungen und Verträge unterstützt Transparenz und Fristenkontrolle.

Förderkriterien, Zuständigkeiten und Entscheidungsgrundlagen müssen klar und öffentlich nachvollziehbar sein. Anträge werden auf Vollständigkeit, Berechtigung, Doppelfinanzierung und Interessenkonflikte geprüft. Auszahlungen erfolgen nur nach Genehmigung und gegebenenfalls in Etappen. Verwendungsnachweise und Zielerreichung werden risikobasiert kontrolliert; Rückforderung und Sanktionen sind geregelt. Die Organisation dokumentiert den gesamten Weg vom Gesuch über den Entscheid bis zum Abschluss.

Risiken entstehen durch unvollständige Akten, Fristversäumnisse, uneinheitliche Rechtsanwendung, Interessenkonflikte, falsche Gebühren und unberechtigte Zugriffe. Kontrollen umfassen Vollständigkeitsprüfung, Kompetenz- und Ausstandsregeln, nachvollziehbare Fachentscheide, Publikations- und Rechtsmittelfristen sowie abgestimmte Gebührenberechnung. Änderungen und Auflagen sollten versioniert werden. Bei komplexen Fällen sind fachliche Zweitprüfung und dokumentierte Begründung besonders wichtig.

Zugriffe werden nach Aufgabe und Schutzbedarf vergeben, regelmässig überprüft und beim Austritt sofort entzogen. Datenübermittlungen, Ausdrucke, mobile Arbeit und externe Zugriffe benötigen sichere Verfahren. Protokollierung, Verschlüsselung, Aufbewahrung, Löschung und Vorfallmeldung sind geregelt. Besonders sensible Fälle dürfen nicht über allgemein zugängliche Ablagen oder ungesicherte E-Mail verteilt werden. Schulung und Vertraulichkeitspflichten ergänzen technische Massnahmen.

Wesentlich sind Budget und Zahlungen, Lohn- und Pensenverwaltung, Beschaffung, Spesen, Inventar, Schüleradministration, Zugriffsrechte, Notfallorganisation und Datenschutz. Klassenzuteilungen, Zeugnisse oder Unterstützungsleistungen können zusätzliche fachliche Kontrollen benötigen. Bei Ausflügen, Betreuung und externen Angeboten sind Genehmigung, Aufsicht und Vertragsprüfung wichtig. Sensible Schüler- und Gesundheitsdaten sollten nur den dafür zuständigen Rollen zugänglich sein.

Zugriffe richten sich nach Behandlungsauftrag, Rolle und Need-to-know und werden technisch protokolliert. Eintritt, Rollenwechsel und Austritt lösen zeitnahe Berechtigungsanpassungen aus. Privilegierte oder ungewöhnliche Zugriffe werden überwacht; Notfallzugriffe sind begründet und nachträglich geprüft. Datenübermittlungen, Forschung, externe Dienstleister und mobile Geräte benötigen eigene Regeln. Regelmässige Rezertifizierung und Stichproben helfen, unberechtigte oder veraltete Rechte zu erkennen.

Besondere Risiken betreffen zweckgebundene Mittel, Spenden, Subventionen, ehrenamtliche Rollen, Interessenkonflikte und begrenzte Ressourcen. Kontrollen sollten sicherstellen, dass Mittel gemäss Statuten, Verträgen und Förderbedingungen eingesetzt werden. Vorstand oder Stiftungsrat benötigt transparente Berichte und klare Zeichnungsrechte. Bei kleinen Teams sind unabhängige Bankabstimmungen, Doppelunterschrift und periodische Reviews wichtige Kompensationen. Fundraising- und Begünstigtendaten sind angemessen zu schützen.

Das IKS verbindet unternehmerische Steuerung mit öffentlichem Auftrag, Eigentümerstrategie und besonderen Rechtsvorgaben. Neben Finanzen und Betrieb sind politische Erwartungen, Tarif- oder Leistungsaufträge, Beschaffung, Transparenz, Versorgungssicherheit und Datenschutz relevant. Rollen zwischen Eigentümer, Aufsichtsorgan, Geschäftsleitung und Verwaltung werden klar getrennt. Berichte sollten sowohl Wirtschaftlichkeit als auch Auftragserfüllung und wesentliche öffentliche Risiken abdecken.

Reglemente und Kompetenzmatrizen werden in Genehmigungen, Zeichnungsrechten und Eskalationswegen abgebildet. Exekutive, Verwaltung, Kommissionen und Legislative erhalten nur die ihnen rechtlich zugewiesenen Aufgaben und Informationen. Politische Entscheide werden von administrativer Ausführung und Kontrolle unterschieden. Ausstand, Protokollierung und Nachvollziehbarkeit schützen vor Interessenkonflikten. Änderungen durch Wahlen, Reorganisation oder neue Delegationen müssen zeitnah in Rollen und Kontrollen nachgeführt werden.

Vor der Vergabe werden Anforderungen, Risiken, Datenschutz, Verfügbarkeit und Kontrollrechte festgelegt. Verträge enthalten Leistungsindikatoren, Berichts- und Vorfallpflichten, Unterauftragnehmer, Prüfrechte, Datenrückgabe und Exit. Die verantwortliche Stelle überwacht Leistung, Rechnungen, Beschwerden und wesentliche Änderungen. Ein ausgelagerter Prozess bleibt in der öffentlichen Verantwortung; ein Vertrag ersetzt keine laufende Steuerung. Kritische Leistungen benötigen Notfall- und Rückfalloptionen.

Die beteiligten Gemeinden vereinbaren Governance, Scope, gemeinsame Standards, Datenzugriffe, Kosten und Haftung. Einheitliche Prozess- und Kontrollvorlagen erleichtern den Betrieb, während lokale Besonderheiten sichtbar dokumentiert bleiben. Ein gemeinsames Kontrollkalender- und Reportingmodell verhindert Lücken. Zuständigkeiten für Durchführung, Überwachung, Eskalation und Prüfung müssen eindeutig sein. Besonders wichtig sind Datenschutz, Mandantentrennung und die Frage, welches Organ über wesentliche Mängel entscheidet.

Vorlagen liefern Struktur, typische Risiken und Kontrollbeispiele, dürfen aber nicht ungeprüft übernommen werden. Anpassung erfolgt nach Kanton, Rechtsgrundlage, Grösse, Organisation, IT-Systemen, ausgelagerten Leistungen und tatsächlichen Kompetenzen. Nicht relevante Kontrollen werden entfernt, fehlende Risiken ergänzt und Nachweise konkretisiert. Prozesseigner validieren die Praxis vor der Freigabe.