Rechtliche Grundlagen und Corporate Governance in der Schweiz – IKS

Die Geschäftsleitung setzt die Vorgaben des Verwaltungsrats in Prozesse, Rollen, Kontrollen und Ressourcen um. Sie sorgt dafür, dass Risiken identifiziert, Kontrollen durchgeführt, Mängel behoben und relevante Informationen eskaliert werden. Zudem prägt sie die Kontrollkultur durch ihr eigenes Verhalten. In grösseren Organisationen kann eine IKS-Funktion koordinieren; die Verantwortung für Kontrollen verbleibt jedoch grundsätzlich bei den zuständigen Linien- und Prozessverantwortlichen.

Aufgaben können delegiert werden, die Gesamtverantwortung der Leitungsorgane jedoch nur innerhalb der gesetzlichen Grenzen. Eine wirksame Delegation benötigt klare Aufträge, geeignete Personen, ausreichende Kompetenzen, Ressourcen, Berichtswege und Überwachung. Die Benennung eines IKS-Managers entlastet Verwaltungsrat, Geschäftsleitung und Prozessverantwortliche nicht automatisch. Besonders kritisch ist eine Delegation ohne Entscheidungsbefugnis oder ohne Zugang zu den benötigten Informationen.

Je nach Branche gelten zusätzliche Anforderungen, etwa im Finanzmarkt, Gesundheitswesen, bei Energieversorgern, öffentlichen Institutionen, Pensionskassen oder kritischen Infrastrukturen. Sie können Governance, Risikomanagement, Datenschutz, Geldwäschereiprävention, Informationssicherheit, Auslagerungen, Meldepflichten und Notfallvorsorge betreffen. Deshalb sollte jede Organisation ein Rechts- und Anforderungsregister führen und daraus konkrete Kontrollziele ableiten. Allgemeine IKS-Vorlagen reichen ohne branchenspezifische Anpassung selten aus.

FINMA-beaufsichtigte Institute müssen je nach Bewilligung und Kategorie umfassende Anforderungen an Governance, Risikokontrolle, Compliance, operationelle Risiken, Resilienz, Cyberrisiken, Auslagerungen und interne Revision erfüllen. Für Banken ist unter anderem das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz relevant. Anforderungen sind proportional ausgestaltet, gehen aber typischerweise deutlich über ein reines Rechnungslegungs-IKS hinaus. Massgeblich sind stets die aktuell anwendbaren Gesetze, Verordnungen, Rundschreiben und Aufsichtsmitteilungen.

Das seit 1. September 2023 geltende Datenschutzgesetz verlangt rechtmässige, verhältnismässige und transparente Bearbeitung von Personendaten sowie angemessene Datensicherheit. Ein IKS sollte deshalb Kontrollen zu Zweckbindung, Zugriffsrechten, Auftragsbearbeitung, Löschung, Auslandsübermittlung, Datenschutz-Folgenabschätzung und Meldung schwerwiegender Datenschutzverletzungen enthalten. Die Massnahmen richten sich nach Art, Umfang, Zweck und Risiko der Bearbeitung. Kantonale Datenschutzgesetze gelten zusätzlich für viele öffentliche Stellen.

Geschäftsbücher, Buchungsbelege, Geschäftsbericht und Revisionsbericht sind nach Schweizer Rechnungslegungsrecht grundsätzlich zehn Jahre aufzubewahren. Für andere IKS-Nachweise hängt die Frist von ihrem Zweck, dem zugrunde liegenden Prozess, spezialgesetzlichen Regeln, Verjährungsfristen und Datenschutzanforderungen ab. Nicht jeder Kontrollnachweis muss automatisch zehn Jahre gespeichert werden. Eine dokumentierte Aufbewahrungs- und Löschmatrix sollte pro Dokumentenart eine begründete Frist festlegen.

Ein Audit Trail muss erkennen lassen, wer welche Handlung wann vorgenommen, geprüft, freigegeben oder geändert hat. Bei finanziellen Vorgängen sollte die Prüfspur vom Ursprungsbeleg über die Buchung bis zum Bericht und zurück möglich sein. Elektronische Nachweise müssen lesbar, vollständig, vor unbemerkter Veränderung geschützt und innerhalb angemessener Zeit auffindbar sein. Rollen, Zeitstempel, Versionen und Änderungen sollten deshalb systematisch protokolliert werden.

Corporate Governance legt fest, wie eine Organisation geführt, überwacht und rechenschaftspflichtig gemacht wird. Compliance identifiziert und steuert Pflichten aus Gesetzen, Verträgen und internen Regeln. Das IKS übersetzt viele dieser Anforderungen und Risiken in konkrete Prozesskontrollen und Nachweise. Zusammen bilden sie ein integriertes Steuerungs- und Überwachungssystem. Klare Rollen und gemeinsame Datenmodelle verhindern, dass Risiken, Kontrollen und Massnahmen mehrfach und widersprüchlich geführt werden.

Je nach Zweck sind insbesondere ISO 31000 für Risikomanagement, ISO 37301 für Compliance Management, ISO/IEC 27001 für Informationssicherheit, ISO 22301 für Business Continuity und ISO 9001 für Qualitätsmanagement relevant. Diese Normen ersetzen das IKS nicht, liefern aber Anforderungen oder Leitlinien für Teilbereiche. Eine Organisation sollte Überschneidungen nutzen und gemeinsame Prozesse für Risiken, Dokumentation, Audits und Verbesserungsmassnahmen schaffen. Zertifizierung ist nur bei bestimmten Normen möglich und nicht zwingend erforderlich.

SOX kann relevant sein, wenn ein Schweizer Unternehmen selbst an einem US-regulierten Kapitalmarkt berichtspflichtig ist oder als wesentliche Tochter beziehungsweise Komponente zu einem entsprechenden Konzern gehört. Dann können detaillierte Anforderungen an Internal Control over Financial Reporting, Management Assessment, Dokumentation und Prüfung gelten. Der genaue Scope wird durch Konzernvorgaben, Börsenstatus und US-Recht bestimmt. Ein gewöhnliches Schweizer KMU unterliegt SOX nicht allein aufgrund internationaler Geschäftstätigkeit.

Konzernrichtlinien können einheitliche Mindestkontrollen, Risikokategorien, Schwellenwerte, Nachweisformen, Testverfahren und Berichtspflichten vorschreiben. Tochtergesellschaften müssen diese Anforderungen mit lokalem Recht und ihren eigenen Risiken abgleichen. Konflikte oder nicht anwendbare Vorgaben sollten dokumentiert und mit der Konzernfunktion geklärt werden. Ein gutes Konzern-IKS definiert verbindliche Standards, lässt aber begründete lokale Ergänzungen und proportionale Ausgestaltung zu.

Die Organisation benötigt einen geregelten Regulatory-Change-Prozess. Relevante Änderungen werden beobachtet, fachlich bewertet, verantwortlichen Stellen zugewiesen und in Prozesse, Richtlinien, Risiken, Kontrollen sowie Schulungen übersetzt. Vor Inkrafttreten sollten Umsetzung und Nachweise geprüft werden. Ein Rechtsregister mit Gültigkeitsdatum, Betroffenheit, Massnahmenstatus und zuständiger Person schafft Transparenz. Für kritische Änderungen ist eine unabhängige Wirksamkeitskontrolle sinnvoll.