Rollen, Verantwortlichkeiten und Three Lines – IKS

Der Verwaltungsrat setzt Erwartungen an Governance, Risikobereitschaft und Kontrollkultur, genehmigt wesentliche Grundsätze und übt Oberaufsicht aus. Er erhält regelmässig Informationen über wesentliche Risiken, Kontrollmängel und Massnahmen. Kritische Themen hinterfragt er und verlangt Nachweise zur Behebung. Er muss nicht jede Einzelkontrolle kennen, sollte aber beurteilen können, ob das System angemessen organisiert und wirksam überwacht wird.

Die Geschäftsleitung übersetzt Vorgaben in Organisation, Prozesse, Ressourcen und Kontrollen. Sie bestimmt Verantwortliche, entscheidet über Risikoakzeptanzen, stellt die Durchführung sicher und eskaliert wesentliche Mängel an den Verwaltungsrat. Zudem überwacht sie bereichsübergreifende Abhängigkeiten und fördert eine offene Kontrollkultur. Ihr eigenes Verhalten ist entscheidend: Werden Regeln durch die Führung umgangen, verliert das IKS seine Glaubwürdigkeit.

Der Prozessverantwortliche besitzt den Gesamtüberblick über Ziel, Ablauf, Risiken, Kontrollen, Systeme und Schnittstellen eines Prozesses. Er validiert die Dokumentation, beurteilt Änderungen, überwacht Ergebnisse und veranlasst Massnahmen. Einzelne Kontrollen können von anderen Rollen ausgeführt werden. Der Prozessverantwortliche stellt sicher, dass die Kombination der Kontrollen angemessen bleibt und bekannte Lücken nicht zwischen Abteilungen liegen bleiben.

Der Risikoverantwortliche überwacht ein definiertes Risiko, aktualisiert Bewertung und Annahmen, beurteilt die Wirkung von Kontrollen und eskaliert Überschreitungen der Toleranz. Er koordiniert erforderliche Massnahmen, führt aber nicht zwingend alle Kontrollen selbst aus. Risiko- und Prozessverantwortung können zusammenfallen, müssen aber eindeutig geregelt sein. Die Rolle braucht Zugang zu relevanten Daten und Entscheidungsgremien.

Der Kontrollverantwortliche führt die Kontrolle entsprechend der Beschreibung termingerecht und sorgfältig aus, dokumentiert Ergebnis und Nachweis und behandelt beziehungsweise eskaliert Abweichungen. Er meldet, wenn Daten, Rechte, Zeit oder Kontrollbeschreibung unzureichend sind. Eine Erledigung darf nicht bestätigt werden, wenn die Kontrolle nicht vollständig durchgeführt wurde. Stellvertretung und Schulung müssen sichergestellt sein.

Bei wesentlichen Risiken ist eine unabhängige Prüfung häufig sinnvoll. Wer den kontrollierten Vorgang ausführt, sollte ihn nicht allein genehmigen oder abschliessend beurteilen. Eine vollständige Trennung ist jedoch nicht bei jeder Routinekontrolle erforderlich. Entscheidend sind Risikohöhe, Ermessensspielraum und Manipulationsmöglichkeit. In kleinen Organisationen können detaillierte Management Reviews oder externe Kontrollen fehlende Trennung kompensieren.

Sie entwickelt Methodik, Templates, Schulungen und Systemstandards, unterstützt Fachbereiche, konsolidiert Berichte und überwacht Fristen sowie Datenqualität. Sie moderiert Scoping, Reifegrad- und Verbesserungsprozesse und bereitet Managemententscheidungen vor. Die Koordinationsstelle sollte nicht sämtliche Risiken und Kontrollen übernehmen, weil Verantwortung dann aus der Linie abwandert. Ihre Rolle ist Befähigung, Konsistenz und Transparenz.

Compliance identifiziert relevante Verpflichtungen, berät zu deren Umsetzung, beurteilt Compliance-Risiken und überwacht ausgewählte Themen. Sie unterstützt die Ableitung von Kontrollzielen und kann Kontrollen der zweiten Linie durchführen. Operative Fachbereiche bleiben grundsätzlich für die Einhaltung in ihren Prozessen verantwortlich. Compliance sollte nicht gleichzeitig jede Kontrolle besitzen und danach deren Wirksamkeit unabhängig beurteilen.

Risikomanagement stellt Rahmen, Skalen, Aggregation und Berichterstattung für wesentliche Risiken bereit. Es sorgt für eine konsistente Verbindung zwischen Unternehmensrisiken, Prozessrisiken und Kontrollen. Das IKS liefert konkrete Informationen über Kontrollabdeckung und Restrisiken. Beide Funktionen sollten gemeinsame Begriffe und Schnittstellen nutzen. Eine klare Abgrenzung verhindert, dass Risiken doppelt erfasst oder Kontrollprobleme ausserhalb des Risikoreportings behandelt werden.

Die Finanzleitung ist häufig Eigentümerin wesentlicher Kontrollen zu Rechnungslegung, Abschluss, Liquidität, Steuern und Zahlungsverkehr. Controlling unterstützt durch Analysen, Budgets, Abweichungsberichte und Managementinformationen. Beide Funktionen können eine zentrale IKS-Koordination übernehmen, sollten aber operative Verantwortung anderer Bereiche nicht vereinnahmen. Ihre Daten und Reviews sind besonders wichtig für die finanzielle Kontrollumgebung.

IT stellt verlässliche Systeme, Zugriffe, Änderungen, Betrieb, Backup und Schnittstellen sicher. Informationssicherheit steuert Risiken für Vertraulichkeit, Integrität und Verfügbarkeit. Gemeinsam unterstützen sie allgemeine IT-Kontrollen, automatisierte Fachkontrollen und Nachweisführung. Fachbereiche bleiben für die fachliche Richtigkeit von Regeln und Daten verantwortlich. Enge Zusammenarbeit ist nötig, weil viele Kontrollen sowohl technische als auch prozessuale Elemente besitzen.

Die interne Revision liefert unabhängige und objektive Beurteilungen zu Governance, Risikomanagement und Kontrollen. Sie plant risikoorientierte Prüfungen, berichtet an geeignete Aufsichtsorgane und verfolgt Feststellungen nach. Beratung ist möglich, solange die spätere Unabhängigkeit gewahrt bleibt. Die Revision sollte das IKS nicht dauerhaft gestalten, kontrollieren und gleichzeitig prüfen, da dies zu Selbstprüfung führen würde.

Die externe Revisionsstelle prüft im Rahmen ihres gesetzlichen oder vertraglichen Auftrags Aspekte des IKS, insbesondere im Zusammenhang mit der Finanzberichterstattung. Bei ordentlicher Revision in der Schweiz bestätigt sie das Vorhandensein eines rechnungslegungsbezogenen IKS. Sie kann Feststellungen und Empfehlungen abgeben, übernimmt aber weder Design noch Betrieb. Die Verantwortung verbleibt bei den Organen der Organisation.

Unvereinbare Aufgaben werden identifiziert und getrennt, Interessenkonflikte offengelegt und Genehmigungen unabhängig gestaltet. Rollen- und Berechtigungsmatrizen unterstützen die Prüfung. Ausnahmen benötigen dokumentierte Begründung, zeitliche Befristung und kompensierende Kontrolle. Auch persönliche, familiäre oder wirtschaftliche Beziehungen zu Lieferanten und Kunden sind zu berücksichtigen. Eine wirksame Hinweis- und Eskalationskultur ergänzt formale Regeln.

Sie enthält Zweck, Aufgaben, Entscheidungsrechte, Berichtslinie, erforderliche Kompetenzen, Stellvertretung, Unvereinbarkeiten und Eskalationspflichten. Zusätzlich sollte klar sein, für welche Prozesse, Risiken oder Kontrollen die Rolle gilt. Rollenbeschreibungen werden mit Organigramm, Kompetenzordnung und Systemberechtigungen abgestimmt. Allgemeine Formulierungen wie „ist für das IKS verantwortlich“ sind ohne konkrete Pflichten und Befugnisse unzureichend.

Erforderlich sind Verständnis von Prozessen, Risiken, Kontrolldesign, Nachweisen, Daten und relevanten Vorschriften. Hinzu kommen Kommunikations-, Analyse- und Eskalationsfähigkeit. Schulungen sollten rollenbasiert sein und reale Fälle, Systemnutzung sowie Qualitätskriterien behandeln. Neue Verantwortliche benötigen eine strukturierte Einführung; wiederkehrende Auffrischungen greifen Änderungen und typische Fehler auf. Kompetenz sollte bei Schlüsselrollen periodisch beurteilt werden.

Kontrollen werden rollenbasiert dokumentiert, Zugriffe und Termine zentral geführt und mindestens eine qualifizierte Stellvertretung benannt. Bei Wechseln erfolgt eine formelle Übergabe von offenen Kontrollen, Abweichungen, Massnahmen und Spezialwissen. Zugriffe werden rechtzeitig angepasst. Kritische, nur mündlich bekannte Schritte sind zu dokumentieren. Eine zeitweise parallele Ausführung oder Review reduziert das Risiko in der Übergangsphase.