Grundlagen und Definitionen – IKS

IKS steht für Internes Kontrollsystem. Der Begriff umfasst alle systematisch geplanten und ausgeführten Massnahmen, die Risiken in Prozessen begrenzen und die Zielerreichung unterstützen. Dazu gehören beispielsweise Genehmigungen, Funktionentrennung, Abstimmungen, Plausibilitätsprüfungen, Zugriffsrechte, Überwachungen und dokumentierte Nachweise. Im Englischen werden je nach Kontext die Begriffe „Internal Control System“ oder „System of Internal Control“ verwendet.

In der Praxis beginnt ein IKS mit klaren Zielen und einer Analyse der wesentlichen Prozessrisiken. Für relevante Risiken werden geeignete Kontrollen definiert, verantwortlichen Personen zugewiesen, terminiert, durchgeführt und nachgewiesen. Abweichungen führen zu Massnahmen und Eskalationen. Management und gegebenenfalls Revision überwachen, ob das System angemessen und wirksam ist. Der Kreislauf wird bei Prozess-, Personal-, System- oder Rechtsänderungen aktualisiert.

Compliance Management konzentriert sich auf die Einhaltung externer und interner Verpflichtungen, etwa Gesetze, Bewilligungen, Verträge, Richtlinien und Verhaltensstandards. Das IKS ist breiter und kann zusätzlich operative, finanzielle, technologische und Berichterstattungsziele absichern. Compliance-Risiken werden jedoch häufig durch IKS-Kontrollen behandelt. Ein gutes Governance-Modell vermeidet Doppelspurigkeiten, indem Compliance die Anforderungen und Risiken definiert und das IKS die dazugehörigen Kontrollen, Nachweise und Überwachungen abbildet.

Qualitätsmanagement richtet Prozesse darauf aus, Anforderungen von Kunden, Behörden und der Organisation konsistent zu erfüllen und kontinuierlich zu verbessern. Das IKS fokussiert stärker auf Risiken, Verlässlichkeit, Vermögensschutz, Regelkonformität und kontrollierte Prozessausführung. Die Instrumente überschneiden sich, etwa Prozessbeschreibungen, Verantwortlichkeiten, Prüfungen, Abweichungsmanagement und Verbesserungsmassnahmen. Integrierte Systeme nutzen gemeinsame Dokumentationen und vermeiden, dieselbe Kontrolle mehrfach für IKS, Qualität und Compliance zu führen.

Das IKS ist Teil der täglichen Führungs- und Prozessverantwortung. Die interne Revision beurteilt unabhängig und objektiv, ob Governance, Risikomanagement und Kontrollen angemessen und wirksam sind. Sie sollte das IKS nicht selbst besitzen oder dauerhaft betreiben, weil dies ihre Unabhängigkeit beeinträchtigen kann. Die Fachbereiche führen Kontrollen aus, das Management überwacht sie, und die interne Revision prüft risikoorientiert das Gesamtsystem oder ausgewählte Bereiche.

Das IKS wird von der Organisation selbst gestaltet und betrieben. Die externe Revision ist eine unabhängige Prüfung durch eine ausserhalb der Organisation stehende Revisionsstelle. In der Schweiz bestätigt die Revisionsstelle bei einer ordentlichen Revision unter anderem, ob ein IKS für die Rechnungslegung existiert; Umfang und Zweck dieser Prüfung sind jedoch nicht mit einer vollständigen Wirksamkeitsbescheinigung für alle Unternehmensprozesse gleichzusetzen. Die Verantwortung für das IKS bleibt bei Verwaltungsrat und Geschäftsleitung.

Das Kontrollumfeld ist die organisatorische Grundlage, auf der alle weiteren Kontrollen aufbauen. Dazu gehören Integrität und Vorbildverhalten der Führung, klare Strukturen, nachvollziehbare Zuständigkeiten, geeignete Kompetenzen, Personalprozesse und eine gelebte Verantwortungs- und Fehlerkultur. Ein formal gut dokumentiertes IKS kann wirkungslos bleiben, wenn Führungskräfte Kontrollen umgehen oder Verstösse tolerieren. Deshalb wird das Kontrollumfeld häufig als „Ton an der Spitze“ und Fundament des IKS bezeichnet.

Kontrollaktivitäten sind konkrete Massnahmen, die Risiken auf ein akzeptables Niveau reduzieren sollen. Beispiele sind Genehmigungen, Abstimmungen, Inventuren, Plausibilitätsprüfungen, Vier-Augen-Kontrollen, Zugriffsbeschränkungen, Systemvalidierungen und Management Reviews. Eine gute Kontrollaktivität beschreibt mindestens Zweck, Auslöser, verantwortliche Rolle, Häufigkeit, Vorgehen, erwartetes Ergebnis, Nachweis und Reaktion bei Abweichungen. Sie muss zum Risiko passen und im Alltag zuverlässig ausführbar sein.

Ein Prozess ist IKS-relevant, wenn Fehler, Missbrauch oder Ausfälle darin wesentliche Auswirkungen auf Ziele, Vermögenswerte, Berichterstattung, Rechtseinhaltung oder Leistungserbringung haben können. Relevanz hängt nicht nur vom Transaktionsvolumen ab, sondern auch von Sensitivität, Komplexität, Ermessensspielraum, Veränderungsdynamik und Abhängigkeiten. Typische Beispiele sind Zahlungsverkehr, Abschluss, Beschaffung, Lohnverarbeitung, Berechtigungsverwaltung und Datenschutz. Der Scope sollte risikobasiert und regelmässig überprüft werden.

Das Restrisiko ist das Risiko, das nach Berücksichtigung bestehender Kontrollen und weiterer Massnahmen verbleibt. Es kann nie vollständig auf null reduziert werden, weil Kontrollen fehlerhaft ausgeführt, umgangen oder durch neue Entwicklungen unwirksam werden können. Das Restrisiko wird mit der definierten Risikotoleranz verglichen. Ist es zu hoch, braucht es zusätzliche oder bessere Kontrollen, eine Prozessänderung, Risikotransfer oder eine ausdrücklich dokumentierte Risikoakzeptanz durch die zuständige Stelle.

Angemessenheit bedeutet, dass Aufbau und Design des IKS zu den Zielen, Risiken, gesetzlichen Anforderungen, der Grösse und Komplexität der Organisation passen. Eine Kontrolle ist angemessen, wenn sie das zugrunde liegende Risiko grundsätzlich verhindern, erkennen oder begrenzen kann. Dabei gilt das Verhältnismässigkeitsprinzip: Ein kleines KMU benötigt nicht dieselbe Kontrollarchitektur wie ein internationaler Konzern. Angemessenheit beurteilt das Konzept; ob die Kontrolle tatsächlich funktioniert, betrifft zusätzlich ihre operative Wirksamkeit.

Ein IKS ist wirksam, wenn die relevanten Komponenten vorhanden sind, zusammenwirken und die vorgesehenen Kontrollen über den betrachteten Zeitraum tatsächlich wie beschrieben funktionieren. Dazu reicht eine gute Dokumentation allein nicht. Erforderlich sind verlässliche Durchführung, geeignete Nachweise, zeitnahe Reaktion auf Abweichungen und eine funktionierende Überwachung. Wirksamkeit wird durch Kontrolltests, Datenanalysen, Self-Assessments, Management Reviews und unabhängige Prüfungen beurteilt.

Ein IKS ist ausreichend dokumentiert, wenn eine fachkundige, nicht unmittelbar beteiligte Person verstehen kann, welche Ziele und Risiken bestehen, welche Kontrollen sie adressieren, wer diese wann und wie ausführt und wie Ergebnisse sowie Abweichungen nachgewiesen werden. Die Dokumentation sollte aktuell, versioniert, zugänglich und mit Prozessen, Rollen und Nachweisen verknüpft sein. Der notwendige Detaillierungsgrad richtet sich nach Risiko, Komplexität und Prüfbedarf; unnötige Dokumentation schafft keinen zusätzlichen Schutz.

Der IKS-Reifegrad beschreibt, wie systematisch, einheitlich, integriert, digital unterstützt und wirksam ein Internes Kontrollsystem ausgestaltet ist. Ein niedriges Niveau ist oft durch informelle, personenabhängige Kontrollen geprägt; höhere Stufen umfassen standardisierte Prozesse, klare Daten, automatisierte Überwachung und kontinuierliche Verbesserung. Ein Reifegradmodell ist kein Selbstzweck. Der gewünschte Zielreifegrad sollte sich an Risiken, Regulierung, Ressourcen und Nutzen orientieren.