IKS-Konzeption und Geltungsbereich – IKS

Einbezogen werden Einheiten, deren Tätigkeiten oder Daten wesentliche Auswirkungen auf Konzernziele, Abschlüsse, Compliance oder Betrieb haben können. Kriterien sind unter anderem Umsatz, Vermögen, Transaktionsvolumen, regulatorische Bedeutung, Risikoprofil und zentrale Funktionen. Kleine Einheiten können trotz geringer Grösse relevant sein, etwa wegen sensibler Daten oder hoher Betrugsrisiken. Shared Services und ausgelagerte Tätigkeiten dürfen nicht übersehen werden.

Aufzunehmen sind Prozesse mit wesentlichen finanziellen, operativen, rechtlichen, technologischen oder reputationsbezogenen Risiken. Typischerweise gehören Abschluss, Zahlungsverkehr, Beschaffung, Verkauf, Personal, Berechtigungen, IT-Betrieb, Datenschutz und Vertragsmanagement dazu. Die Auswahl sollte anhand einheitlicher Kriterien erfolgen, nicht nur nach Tradition. Prozesse mit geringem Risiko können durch einfachere Kontrollen oder übergeordnete Überwachung abgedeckt werden.

Wesentlichkeit hilft, Ressourcen auf Risiken zu konzentrieren, die Entscheidungen, Berichte oder Zielerreichung spürbar beeinflussen können. Neben finanziellen Schwellenwerten zählen qualitative Faktoren wie Gesetzesverstösse, sensible Personendaten, Reputationsschäden oder Versorgungssicherheit. Ein Betrag kann finanziell klein, aber rechtlich oder reputativ wesentlich sein. Wesentlichkeitskriterien sollten dokumentiert, genehmigt und regelmässig an Veränderungen angepasst werden.

Das hängt vom Auftrag ab. Die gesetzliche Prüfung nach Schweizer OR fokussiert das rechnungslegungsbezogene IKS, doch für eine wirksame Unternehmenssteuerung ist ein breiterer Ansatz meist sinnvoll. Operative, rechtliche, IT-, Datenschutz- und Leistungsrisiken können ebenso wesentlich sein. Wichtig ist, den Scope transparent zu benennen, damit ein reines Finanz-IKS nicht fälschlich als vollständiges Kontrollsystem für alle Unternehmensrisiken dargestellt wird.

Relevant sind insbesondere Benutzer- und Berechtigungsverwaltung, Änderungen an Anwendungen, IT-Betrieb, Schnittstellen, Datenmigration, Backup, Wiederherstellung, Cybersecurity und Lieferantensteuerung. Zudem müssen Systeme berücksichtigt werden, auf deren Daten oder automatisierte Kontrollen sich Fachprozesse verlassen. Der Scope sollte sowohl allgemeine IT-Kontrollen als auch anwendungsspezifische Kontrollen umfassen. Cloud-Dienste und Schatten-IT sind ausdrücklich einzubeziehen.

Die Auslagerung einer Tätigkeit überträgt nicht automatisch die Verantwortung für das zugrunde liegende Risiko. Die Organisation sollte Anbieter auswählen und überwachen, Leistungs- und Kontrollanforderungen vertraglich festlegen, Berichte und Zertifikate beurteilen sowie eigene ergänzende Kontrollen definieren. Zugriffsrechte, Unterauftragnehmer, Datenstandorte, Notfallpläne und Exit-Szenarien sind besonders wichtig. Kritische Auslagerungen benötigen ein regelmässiges Management Review.

Lieferanten werden nach Kritikalität und Risiko segmentiert. Für wesentliche Partner braucht es Due Diligence, klare Verträge, Kompetenz- und Freigaberegeln, Leistungsüberwachung, Sicherheitsanforderungen und Eskalationswege. Nachweise können Auditreports, Zertifikate, Service-Level-Berichte oder eigene Prüfungen sein. Die Kontrollintensität sollte mit Abhängigkeit, Datenzugriff, finanzieller Bedeutung und Austauschbarkeit des Anbieters steigen.

Zentrale Mindeststandards werden mit lokalen Risikoanalysen kombiniert. Jede Einheit sollte Verantwortliche, relevante Prozesse, lokale Rechtsanforderungen und Abweichungen dokumentieren. Konzernweite Kontrollen können zentral ausgeführt werden, sofern ihre Reichweite nachweisbar ist. Lokale Besonderheiten dürfen nicht durch ein einheitliches Template verdeckt werden. Reporting und Eskalation sollten konsolidierbar sein, ohne lokale Verantwortung aufzuheben.

In der Praxis ist ein hybrides Modell häufig am wirksamsten. Eine zentrale Stelle definiert Methodik, Mindeststandards, System, Schulung und Reporting; Fachbereiche und Einheiten besitzen Risiken und führen Kontrollen aus. Zu starke Zentralisierung kann Praxisferne erzeugen, zu starke Dezentralisierung führt zu Inkonsistenz und fehlender Gesamtübersicht. Die Rollen sollten in einer Governance- oder RACI-Matrix klar festgehalten werden.

Der Risikoappetit beschreibt, welches Risiko eine Organisation zur Erreichung ihrer Ziele grundsätzlich einzugehen bereit ist. Daraus werden Toleranzen und Schwellenwerte für Prozesse abgeleitet. Bei niedriger Toleranz braucht es stärkere, häufigere oder automatisierte Kontrollen; bei höherer Toleranz kann eine bewusste Akzeptanz genügen. Der Risikoappetit muss verständlich operationalisiert werden, sonst bleibt er eine abstrakte Erklärung ohne Wirkung auf das Kontrolldesign.

Zuerst wird beschrieben, was die Organisation oder der Prozess erreichen muss. Danach werden Ereignisse identifiziert, die dieses Ziel gefährden. Kontrollziele formulieren den notwendigen Sollzustand, der diese Risiken begrenzt. Aus ihnen werden konkrete Kontrollen entwickelt. Diese Kette von Ziel über Risiko und Kontrollziel zur Kontrollaktivität schafft Nachvollziehbarkeit und verhindert Kontrollen ohne erkennbaren Zweck.

Geeignete Kriterien sind finanzielle Bedeutung, regulatorische Sensitivität, Datenkritikalität, Betrugsanfälligkeit, Ausfallwirkung, Transaktionsvolumen, Komplexität, manuelle Eingriffe, Veränderungen und frühere Mängel. Zusätzlich sollte die Abhängigkeit von Einzelpersonen oder externen Dienstleistern berücksichtigt werden. Ein standardisiertes Scoring erleichtert die Priorisierung, muss aber durch fachliche Beurteilung und Managemententscheidung ergänzt werden.

Ein Scoping-Dokument enthält Zweck, Bezugsrahmen, Wesentlichkeitskriterien, einbezogene Gesellschaften, Standorte, Prozesse, Systeme und Berichtsziele. Es nennt Ausschlüsse samt Begründung, zentrale Annahmen, Verantwortliche, Genehmigung und Überprüfungsdatum. Hilfreich ist eine Übersicht, wie die Auswahl aus Risikoanalyse und gesetzlichen Vorgaben abgeleitet wurde. Änderungen gegenüber dem Vorjahr sollten deutlich erkennbar sein.

Mindestens jährlich und zusätzlich bei wesentlichen Ereignissen. Dazu gehören Akquisitionen, neue Systeme, Reorganisationen, Outsourcing, neue Produkte, Rechtsänderungen, grosse Vorfälle oder stark veränderte Risiken. Die Überprüfung sollte nicht nur bestätigen, dass der alte Scope noch besteht, sondern aktiv nach neuen oder entfallenen Bereichen suchen. Entscheidungen und Begründungen sind zu dokumentieren.

Ein geeignetes Modell verbindet klare Eigentümerschaft in der Linie mit zentraler Koordination und unabhängiger Prüfung. Verwaltungsrat und Geschäftsleitung setzen Richtung und Aufsicht, Prozessverantwortliche besitzen Risiken und Kontrollen, eine IKS-Funktion unterstützt Methodik und Reporting, und interne Revision liefert unabhängige Assurance. Das Modell sollte zur Grösse passen und Entscheidungen, Eskalationen, Stellvertretung sowie Konfliktlösung ausdrücklich regeln.