Risikobeurteilung: Risiken systematisch beurteilen mit COSO

Wie kann das COSO-Framework die systematische Risikobeurteilung im Unternehmen unterstützen?

Das COSO-Rahmenwerk für Interne Kontrollsysteme

Das COSO8 ist eine freiwillige privatwirtschaftliche Organisation in den USA, die helfen soll, Finanzberichterstattungen durch ethisches Handeln, wirksame interne Kontrollen und gute Unternehmensführung qualitativ zu verbessern. COSO wurde 1985 als Plattform für die «National Commission on Fraudulent Financial Reporting» (Treadway Commission) gegründet und wird durch die fünf bedeutendsten US-Organisationen für Kontrolle im Finanz- und Rechnungswesen unterstützt.COSO hat 1992 einen von der SEC10 anerkannten Standard für interne Kontrollen, das COSO-Modell11, publiziert. Das ca. 143-seitige Rahmenwerk diente Unternehmen als Unterstützung bei der Erschaffung, Bewertung und Verbesserung von internen Kontrollen mit starkem Fokus auf die Finanzberichterstattung. Es ist heute das am weitesten verbreitete Rahmenkonzept zur Gestaltung des IKS.

Der COSO-Würfel

Beim COSO-Rahmenwerk handelt es sich um ein amerikanisches Konzept der Internen Kontrolle, welches nach Schweizer Verständnis eher auf mittelgrosse bis grosse Unternehmen ausgerichtet ist.15 Daher muss dieses Rahmenwerk der jeweiligen Organisationsgrösse und dem Risikoprofil angepasst werden. Eine angemessene Risikobeurteilung hilft dabei, jene Bereiche zu identifizieren, in denen Kontrollen tatsächlich erforderlich sind. Die im folgenden Abschnitt beschriebenen Komponenten sind Empfehlungen, welche nicht zwingend alle umgesetzt werden müssen.

Der COSO-Würfel umfasst folgende drei Zielkategorien:

• Geschäftstätigkeit: Die Leistungs- und Rentabilitätsziele der einzelnen Organisationseinheiten sollen erreicht und die Verfügbarkeit der Ressourcen sichergestellt werden. Zudem sollen Prozesse effizient und qualitativ hochstehend gestaltet werden.
• Finanzielle Berichterstattung: Die Zuverlässigkeit der finanziellen Berichterstattung soll gewährleistet werden. Dieses Ziel darf als Kernelement des COSO-Rahmenwerks verstanden werden. Es entspricht zugleich den Minimalanforderungen an ein IKS gemäss Schweizer Gesetzgebung.
• Compliance: Die für die einzelnen Organisationseinheiten relevanten Gesetze und Vorschriften sollen eingehalten werden.

Die Seite des Würfels entspricht der organisatorischen Einbindung des IKS. Im Rahmen eines Auswahlverfahrens vor der eigentlichen Umsetzung eines IKS muss bestimmt werden, welche Organisationseinheiten respektive welche Geschäftsprozesse in den Umfang des Kontrollsystems hineinfallen.

Kontrollumfeld

Die erste der fünf Komponenten des IKS nach COSO ist das Kontrollumfeld, das die Basis für die restlichen Komponenten bildet. Es zielt darauf ab, das Kontrollbewusstsein der Mitarbeitenden und Führungskräfte positiv zu beeinflussen.17 Die folgenden Faktoren können beispielhaft für das Kontrollumfeld relevant sein:

• Der Aufbau und die Stärkung der Integrität und der ethischen Werte innerhalb der Organisation als auch gegenüber anderen Stakeholdern;
• die Kompetenz und Entwicklung der Mitarbeitenden;
• der Umgang mit Interessenkonflikten;
• der Umgang mit Spenden und Sponsoring;
• Verhaltensregeln in Bezug auf Kunden und Lieferanten;
• das Vorleben («Tone at the Top») von Elementen der Internen Kontrolle durch die Führungsebene;
• der Führungsstil der Unternehmensleitung;
• die Einstellung und die Ziele des Aufsichtsorgans bezüglich IKS.

Das Kontrollumfeld bildet somit die Grundlage für die Etablierung eines Risikobewusstseins und die Schaffung einer Risikokultur in der Organisation. Dazu gehören neben der Integrität der Geschäftsführung und dem Bekenntnis zu ethischen Werten auch die Risikophilosophie und -bereitschaft im Unternehmen. Ein mächtiges Instrument im Rahmen des Kontrollumfeldes stellt ein angemessen ausformulierter Verhaltenskodex dar. Durch einen Verhaltenskodex, der für alle Mitarbeitenden einer Organisation verbindlich ist, wird eine Organisation in die Lage versetzt, einen universellen Massstab bezüglich grundlegender Verhaltensregeln zu formulieren bzw. festzulegen. Im Folgenden wird ausgeführt, welche Bedeutung ein Verhaltenskodex im Kontext des Kontrollumfeldes einnimmt und welche Anforderungen für eine erfolgreiche Formulierung und Implementierung erfüllt sein sollen.

Das Kontrollumfeld kann beispielsweise durch die Formulierung eines umfassenden Verhaltenskodex unterstützt werden, wo ethische Werte und Integrität sowie der Umgang zwischen Mitarbeitern respektive gegenüber Kunden und Lieferanten schriftlich festgehalten werden. Des Weiteren kann darin formuliert werden, dass unehrliches, betrügerisches Verhalten in keiner Weise toleriert wird. Lässt die Geschäftsleitung Vorschläge von Mitarbeitenden für die Erarbeitung oder Ergänzung des Kodex zu, wird die Akzeptanz für dieses Instrument – und indirekt für das IKS – signifikant erhöht. Selbstverständlich lassen sich nicht alle Regeln, Richtlinien und Weisungen im Verhaltenskodex abbilden. Der Kodex kann aber auf die relevanten Dokumente wie Organisationsreglement, Arbeitsrichtlinien, Leitbild, Vision, Mission Statement und weitere verweisen.

Idealerweise lässt die Unternehmensleitung den Verhaltenskodex von jedem Mitarbeiter durchlesen und unterzeichnen. Regelmässige Information und Kommunikation über Weiterentwicklungen oder Neuerungen im IKS durch die Geschäftsleitung sensibilisiert die Mitarbeitenden bezüglich der Wichtigkeit dieses Systems. Dazu können entsprechende Gefässe wie der monatliche Firmen-Newsletter, das Intranet oder Mitarbeitersitzungen genutzt werden. Eine Politik der offenen Tür sowie ein Umfeld, welches Fehler und Verbesserungsvorschläge zulässt, beeinflusst die Unternehmenskultur – und damit auch die Kontrollkultur – positiv. Weiter gehört zu einem ausgeprägten Kontrollumfeld das Bekenntnis der Geschäftsleitung zur fachlichen Kompetenz der Mitarbeiter. Aktualisierte Stellenbeschreibungen definieren hierbei die Aufgaben, Kompetenzen und Verantwortungen der Mitarbeitenden. 

Das Organigramm zeigt die relevanten Berichtswege auf, welche der Mitarbeiter einzuhalten hat. Dazu gehört auch die Möglichkeit, dass sich Mitarbeiter regelmässig weiterbilden können und dass die nötigen Kompetenzen bei Neueinstellungen genauestens geprüft werden. Da in KMU meistens keine Personalabteilung existiert, übernimmt oft gerade der Eigentümer selbst diese Funktion, agiert also als übergeordnete Kontrollinstanz. Für eine fundierte Risikobeurteilung ist entscheidend, dass die verantwortlichen Personen über die notwendigen fachlichen Kenntnisse verfügen und ihre Aufgaben, Kompetenzen und Verantwortlichkeiten klar definiert sind. Kompetenzen im Bereich der finanziellen Führung und Berichterstattung sind im Rahmen des IKS von zentraler Bedeutung.

Oft ist zu beobachten, dass im Verwaltungsrat von kleineren Unternehmen keine Finanzexperten vertreten sind. Zur Beurteilung der Risiken im Hinblick auf die Rechnungslegung ist aber gerade diese Kompetenz gefordert. Nicht zuletzt deshalb, weil der Verwaltungsrat die Oberverantwortung für das IKS hat. Eine sinnvolle Massnahme zur Stärkung des IKS in KMU ist also, die Kompetenz im Finanzbereich durch einen Verwaltungsrat mit Finanzexpertise zu «erwerben». Dies kann durchaus ein Controller oder CFO einer anderen mittelständischen Unternehmung sein, oder aber auch ein Akademiker

mit Rechnungslegungshintergrund. Der Verwaltungsrat sollte zudem das Thema IKS regelmässig traktandieren und die wesentlichen Unternehmensrisiken besprechen. Damit eine Überwachung des Managements durch den Verwaltungsrat sinnvoll ausgeübt werden kann, müssen die Mitglieder mehrheitlich unabhängig von der Geschäftsleitung sein. Schliesslich unterstützt ebenfalls ein gesundes, faires Anreizsystem im Unternehmen ein der Internen Kontrolle zuträgliches Klima. Werden beispielsweise Performance-Ziele in einem neuen Geschäftsfeld zu ambitiös gesetzt, kann das durchaus zu unerwünschtem Verhalten der Mitarbeiter führen – wie etwa der Verkauf an nicht solvente Kunden, was sich offensichtlich später in Debitorenverlusten niederschlagen kann. Idealerweise setzt sich das Anreizsystem nicht nur aus finanziellen Zielen zusammen, sondern berücksichtigt ethisches Verhalten sowie den Beitrag zur Internen Kontrolle aller Mitarbeitenden.

FAQ: Risikobeurteilung

Ist das COSO-Framework für Schweizer KMU geeignet?

Ja, das COSO-Framework ist grundsätzlich auch für KMU geeignet, muss jedoch an die jeweilige Organisationsgrösse und das spezifische Risikoprofil angepasst werden. Nicht alle Komponenten müssen zwingend in der vollen Tiefe umgesetzt werden.

Welche Rolle spielt das Kontrollumfeld bei der Risikobeurteilung?

Das Kontrollumfeld bildet die Basis für alle weiteren Komponenten des IKS. Es prägt das Risikobewusstsein und die Risikokultur in der Organisation. Ein starkes Umfeld, geprägt durch Integrität und klare Führung, ist entscheidend für eine fundierte Risikobeurteilung.

Warum ist Finanzexpertise im Verwaltungsrat wichtig?

Da der Verwaltungsrat die Oberverantwortung für das IKS trägt und Risiken im Hinblick auf die Rechnungslegung beurteilen muss, ist Finanzexpertise unerlässlich. Fehlt diese intern, sollte sie durch externe Mitglieder oder Berater ergänzt werden.

Wie trägt ein Verhaltenskodex zum IKS bei?

Ein Verhaltenskodex setzt universelle Massstäbe für ethisches Handeln und Integrität. Er definiert den Umgang mit Interessenkonflikten und unehrlichem Verhalten und erhöht durch die Einbindung der Mitarbeitenden die Akzeptanz des gesamten Kontrollsystems.

Was sind die drei Hauptziele des COSO-Würfels?

Die drei Zielkategorien sind: Effiziente und qualitätvolle Geschäftstätigkeit, Zuverlässigkeit der finanziellen Berichterstattung sowie Einhaltung relevanter Gesetze und Vorschriften (Compliance).