Internes Kontrollsystem aufbauen: Schritt-für-Schritt-Anleitung zur "Three Lines of Defence"

Ein Internes Kontrollsystem (IKS) umfasst alle Massnahmen und Prozesse, die sicherstellen, dass ein Unternehmen effizient, regelkonform und risikobewusst arbeitet.

Ziele eines IKS:

• Risikomanagement & Schadensprävention
• Prozessoptimierung & Fehlervermeidung
• Sicherstellung von Compliance & Governance
• Schutz vor Betrug & Korruption
• Transparenz & Vertrauen bei Stakeholdern

Beispiel:
Ein Unternehmen mit einem funktionierenden IKS erkennt frühzeitig Finanzbetrug oder Verstösse gegen Datenschutzvorschriften und kann rechtzeitig eingreifen.

Das "Three Lines of Defence"-Modell ist ein strukturiertes Framework zur Steuerung von Risiken und internen Kontrollen. Es teilt die Kontrollverantwortung in drei Verteidigungslinien:

1. Verteidigungslinie: Operative Kontrollen (Erste Linie)

Die erste Linie der Verteidigung besteht aus den operativen Einheiten, die täglich Risiken managen.

• Verantwortlich für die Umsetzung interner Kontrollen
• Identifizieren und bewerten Risiken in den Geschäftsprozessen
• Stellen sicher, dass Compliance-Vorgaben eingehalten werden

Beispiel:

• Finanzabteilung: Kontrolliert die Buchhaltung und verhindert Fehlbuchungen.
• IT-Abteilung: Sorgt für sichere Passwörter und Firewalls gegen Cyberangriffe.

2. Verteidigungslinie: Risikomanagement & Compliance (Zweite Linie)

Die zweite Linie der Verteidigung überwacht die erste Linie und unterstützt mit Richtlinien & Schulungen.

• Entwicklung von Risikomanagement-Strategien & Compliance-Richtlinien
• Überwachung und Schulung der operativen Einheiten
• Meldet kritische Risiken an das Management

Beispiel:

• Compliance-Abteilung: Stellt sicher, dass alle Mitarbeiter DSGVO-Schulungen absolvieren.
• Risikomanagement-Team: Identifiziert kritische Unternehmensrisiken und implementiert Frühwarnsysteme.

3. Verteidigungslinie: Interne & Externe Prüfungen (Dritte Linie)

Die dritte Verteidigungslinie besteht aus unabhängigen Prüfstellen, die die ersten beiden Linien kontrollieren.

• Interne Revision & externe Audits zur Überprüfung von Risiken und Kontrollen
• Objektive Bewertung der Effektivität des IKS
• Berichterstattung an das Management & den Vorstand

Beispiel:

• Interne Revision: Überprüft, ob das Unternehmen die Finanzkontrollen korrekt umsetzt.
• Externe Wirtschaftsprüfer: Führen ein Audit zur Einhaltung von IFRS und ISO 37301 durch.

Eine unternehmensweite, sicherheits- und risikoorientierte, interne Kontrolle leistet einen wesentlichen Beitrag zur Sicherung der Geschäftserfolge. Die Interne Kontrolle besteht nicht nur aus Handbüchern, Verfahren und Unterlagen, sondern sie wird von Menschen umgesetzt. Im Hinblick auf eine wirksame interne Kontrolle werden folgende Ziele in drei Kategorien unterteilt:

• (A) Operationelle Kontrollziele
  Die Umsetzung der strategischen Ziele des Unternehmen, die Risikobewältigung sowie der optimale Einsatz der Ressourcen. «Operationell» ist hier nicht als Gegensatz zu «strategisch» zu verstehen, sondern bezieht sich auf die fachlichen Unternehmensziele. Die Realisierung der operationellen Ziele hängt nicht immer nur vom Willen eines Geschäftsbereichs bzw. einer Abteilung ab. Kein IKS kann Fehleinschätzungen oder Fehlentscheide ausschliessen. Auch äussere Umstände können daran schuld sein, dass bestimmte Ziele nicht erreicht werden können. Als Frühwarnsystem kann das IKS den Führungskräften allenfalls eine angemessene Sicherheit bieten, indem sie rechtzeitig über externe oder interne Vorkommnisse informiert wird, welche die Zielerreichung gefährden. Das ist die Aufgabe der periodischen Risikoanalyse, die jede Abteilug durchzuführen hat.

• (B) Finanzielle Ziele
  Die Bereitstellung zuverlässiger, mit den geltenden Buchführungsnormen übereinstimmender Finanzinformationen sowie von Informationen für die Unternehmensführung. Normalerweise gewährleistet ein effizientes IKS mit angemessener Sicherheit eine gewisse Zuverlässigkeit der Finanzdaten. Die Erreichung dieser Ziele hängt von der Umsetzung der operationellen Tätigkeiten ab.
  
  
• (C) Konformitätsziele (Compliance)
  Das Befolgen der geltenden Gesetze, Verordnungen und Reglemente durch den Geschäftsbereich bzw. die Abteilung. Dieses oft vernachlässigte Ziel ist einer der Gründe für den Beizug des internen Rechtsdienstes bei der Einführung eines IKS. Zahlreiche Gesetze und Verordnungen regeln die Geschäftstätigkeit und gelegentlich vermischen sich Konformitätsund operationelle Ziele. Die Risiken in diesem Bereich sind vielfältig und werden oft unterschätzt. Sie können aber, wie aktuelle Erfahrungen zeigen, grossen Schaden anrichten, sowohl in Bezug auf den Ruf des Unternehmens als auch was Haftpflichtforderungen anbelangt (z.B. Risiko der Aufsichtspflichtverletzung, Risiko der Verbreitung sensibler Personeninformationen, Korruptionsrisiko, Arbeitssicherheits- und Gesundheitsschutzrisiken, usw.)

Schritt 1: Unternehmensrisiken analysieren

• Identifikation von finanziellen, operativen und regulatorischen Risiken
• Bewertung der Eintrittswahrscheinlichkeit und Auswirkungen
• Erstellung einer Risikomatrix

Schritt 2: Interne Kontrollprozesse in der 1. Verteidigungslinie etablieren

• Definition von operativen Kontrollen in den Abteilungen
• Integration von Prüfschritten und Dokumentation in Arbeitsprozesse
• Schulung der Mitarbeiter in der ersten Linie

Schritt 3: Risikomanagement & Compliance-Strukturen in der 2. Verteidigungslinie aufbauen

• Einrichtung eines Risikomanagement-Teams
• Entwicklung eines Compliance-Handbuchs & Code of Conduct
• Einführung eines Melde- und Eskalationssystems

Schritt 4: Interne Revision & Audit-Prozesse in der 3. Verteidigungslinie etablieren

• Durchführung regelmässiger interner Audits
• Dokumentation & Berichterstattung von Risikobewertungen
• Implementierung eines kontinuierlichen Verbesserungsprozesses

4. Häufige Fehler und Herausforderungen beim Aufbau eines IKS

5. Vorteile eines IKS nach dem "Three Lines of Defence"-Modell

• Klare Rollen & Verantwortlichkeiten in der Risikosteuerung
• Effiziente Risikomanagement-Struktur durch drei Verteidigungslinien
• Bessere Compliance & Reduktion regulatorischer Risiken
• Frühzeitige Erkennung von Fehlern & Schwachstellen
• Höhere Transparenz & Vertrauen bei Investoren & Partnern