Risiken kennen und Kontrollen managen

Risiken kennen und Kontrollen managen
Jede privatrechtliche Unternehmung ist gesetzlich verpflichtet, ein Internes Kontroll System
(IKS) zu führen. Die Gesetzesgrundlage im Obligationenrecht (OR) ist dazu eindeutig und
klar:
Art. 728 a Abs. 1, Ziffer 3
Die Revisionsstelle prüft, ob...
3. Ein internes Kontrollsystem existiert.
Dies bedeutet jedoch nicht, dass ein IKS auf alle Tätigkeiten und Prozesse ausserhalb des
Finanz- und Rechnungswesens ausgedehnt ist. Die Revisionsstelle bräuchte zur erweiterten
Prüfung der Gesamtorganisation ein entsprechendes Mandat. Nicht geklärt ist der Zwang,
dem IKS vorgelagert und somit die Basis dafür bildendes Risikomanagement (RM) einzusetzen.
Internes Kontroll System im öffentlich rechtlichen Kontext
In den letzten Jahren und verbunden mit der Einführung des Harmonisierten Rechnungsmodelles HRM2 ist den Gemeinden in einigen Kantonen die Einführung eines IKS zwingend
auferlegt worden. Als Beispiel sei hier der Kanton Basel Landschaft erwähnt, welcher einen
entsprechenden Passus in das Gesetz über die Organisation und die Verwaltung der Gemeinden (Gemeindegesetz) aufgenommen hat:
Systematische Gesetzessammlung (SGS) 180
§ 150a Haushaltsführung
Der Gemeinderat trifft auf der organisatorischen und auf der Führungsebene alle notwendigen Massnahmen, um das Vermögen der Gemeinde zu schützen, eine genaue und zuverlässige Buchführung zu gewährleisten und die Einhaltung der gesetzlichen Normen zu
sichern.
Risiken kennen und Kontrollen managen
Seite 2
Aufgrund der in vielen Gemeinden nicht vorhandenen Personal Ressourcen wird nur das
gesetzlich vorgegebene IKS mit der reinen Ausrichtung auf das Finanz- und Rechnungswesen erarbeitet. Das ist insofern schade, als ein IKS ohne Risikomanagement nie seine wahre
Wirkung entfalten kann.
Was kommt zuerst?
Der systematische Aufbau einer IKS bedarf zuerst einer Beurteilung der sich aus der Verwaltungstätigkeit der Gemeinde ergebenden Risiken. Deren Erfassung, unter Einbezug möglichst aller Anspruchsgruppen innerhalb und ausserhalb der Verwaltung (Gemeinderat,
Kommissionen, Schule, gemeindenahe Betriebe etc.), ermöglicht eine kritische und wertfreie Beurteilung der Leistungserbringung. Wertfrei deshalb, weil in einem ersten Schritt nur
eine Sammlung ohne Zuordnung zu den einzelnen Ressorts erfolgt.
Internes Kontrollsystem
Risikomanagement
•
Organisationsvermögen schützen
•
Risiken erkennen
•
Betrügerisches Verhalten vermin-
•
Risiken bewerten
•
Massnahmen ableiten
•
Kontrollen durchführen
•
Risikosensibilität und -bewusstsein
dern
•
•
Unbeabsichtigte Fehler vermeiden
Rechtskonforme Rechnungslegung
sicherstellen
•
Wahrheitsgetreue und transparente Darstellung der finanziellen
Lage garantieren
stärken
Risiken kennen und Kontrollen managen
Seite 3
Beide Instrumente lassen sich aber auch getrennt oder einzeln aufbauen und implementieren. Die volle Wirkung und Gewinn lassen sich aber nur im Verbund erzielen. Werden zusätzlich noch ein Prozess- und Qualitätsmanagement darauf aufgebaut entsteht ein umfassendes Steuerungs- Controlling- und Führungsinstrument.
Grundlagen des Risikomanagements
Per Definition ist Risikomanagement das systematische Denken und Handeln im Umgang
mit Risiken. Jede Tätigkeit beinhaltet in sich Risiken oder anders ausgedrückt die Möglichkeit, dass aus einer Handlung eine Gefahr, ein Nachteil oder im schlimmsten Fall ein finanzieller, materieller oder personeller Schaden entstehen kann. Wir tun also gut daran, uns dieser Tatsache bewusst zu sein und uns vor einer Handlung über die Minimierung der bekannten Risiken Gedanken zu machen.
Meist werden sowohl beim Risikomanagement wie auch dem IKS nur von den monetär relevanten Risikogruppen bewertet. Richtig und korrekt ist aber die Einbindung aller Bereiche, Anspruchsgruppen und aller Abläufe und Prozesse der Organisation.
Nur durch eine flächendeckende Umsetzung kann die rechtlich korrekte Geschäftsführung
und der Minimierung der mit ihr verbundenen Risiken gewährleistet werden.
Risiken kennen und Kontrollen managen
Seite 4
Risikogruppen
Risiken sollten sich in verständliche, in der Organisationsstruktur und -aufgabe erkennbare
Gruppen einteilen lassen.
Risikomanagement Prozessschritte
Dem Aufbau eines strukturierten und integralen Risikomanagement liegen die folgenden
Prozessschritte zu Grunde:
 Vorbereitung und Erstellung der notwendigen Unterlagen
 Information und Kommunikation nach Innen und Aussen
 Erfassen und Abgrenzen
 Bewertung
 Massnahmen und Kontrollen definieren
 Reporting
 Kontrolldurchführung und Anpassen der Risikomatrix
Risikoerfassung und Abgrenzung
Es ist wichtig, dass alle für den Unternehmenserfolg wichtigen Bereiche intern wie extern
von der Risikoerhebung erfasst werden. Auch wenn es den Betroffenen nicht einleuchten
mag
oder sie sich nicht zugehörig fühlen (z.B. Schulen oder Alters- und Pflegeheime).
Durch eine frühzeitige Information und Kommunikation können hier Schranken und Wiederstände abgebaut werden.
Risiken werden nach ihrer Eintretenswahrscheinlichkeit und dem zu erwartenden Schadesausmass berechnet. Ergänzend kann noch eine Bewertung des möglichen Imageschadens gewählt werden.
Risiken kennen und Kontrollen managen
Seite 5
Risikoerhebung
Es gibt verschiedene Wege und Mittel für die Risikoerhebung. Einerseits kann diese durch
die verbale Besprechung der Risiken individuell oder in der davon betroffenen Gruppierung erfolgen. Der Vorteil dabei ist die präzisere Beschreibung und Zuweisung zu Funktionen und Organisationseinheiten. Der Nachteil liegt im grossen Aufwand für das Projektteam.
Andererseits sind wir es uns heute gewohnt, an Erhebungen oder Befragungen elektronisch
via Internet oder Intranet teilzunehmen. Unabhängig von der Erhebungsform sollten die
gleichen Daten erfassbar sein. Der Vorteil liegt hier im geringeren Aufwand für das Projektteam und der immer gleichen Vorgehensweise. Die Nachteile sind die Möglichkeit, nicht
an der Erhebung teilnehmen zu müssen und dem höheren Aufwand bei Rückfrage.
Formular zur Risikoerhebung
Die Eintrittsschwelle sollte nicht zu hoch gesetzt sein, da sonst die Gefahr besteht, dass sich
einzelne Mitarbeitende nicht an der Erhebung beteiligen werden oder können.
Risiken kennen und Kontrollen managen
Seite 6
Risiko Bewertung
Eine objektive Bewertung der Risiken setzt ein hohes Mass an Detailkenntnissen darüber voraus. Zudem besteht die Gefahr, dass Risiken zu milde beurteilt werden um so dem Kontrollaufwand, welcher sich daraus zu einem späteren Zeitpunkt ergeben kann, zu entweichen. Wer ein Risiko benennt muss auch bei dessen Beurteilung eingebunden werden. Es
darf nicht sein, dass dies nur auf einer höheren Managementebene erfolgt.
Eintretenswahrscheinlichkeit
Beurteilung, in welchem Zeitraum ein Risiko auftreten kann.
Rating
Ausprägung
Jahre
1
Gering
> 2 Jahre
2
Selten
Alle 1-2 Jahre
3
Möglich
Alle 6- 12 Monate
4
Wahrscheinlich
Alle 3-6 Monate
5
Sicher
Alle 0-3 Monate
Schadensausmass
Beurteilung der durch das Eintreffen des Risikos zu erwartende finanzielle oder materielle
Schaden. Diese Summen müssten in der Buchhaltung als Rückstellungen erkennbar und
ausgewiesen sein. Die Werte sind als Beispiel zu verstehen. Eine individuelle Bemessung auf
die Gegebenheiten der Gemeinde ist unumgänglich.
Rating
Ausprägung
Schadensbetrag
1
Kleine Auswirkung
< CHF 20‘000.-
2
Mässige Auswirkung
Bis CHF 50‘000.-
3
Erhebliche Auswirkung
Bis CHF 100‘000.-
4
Grosse Auswirkung
Bis CHF 250‘000.-
5
Katastrophale Auswirkung
> CHF 500‘000.-
Risiken kennen und Kontrollen managen
Seite 7
Auswirkungen auf das Image
Beurteilung, ob sich aus der Wirkung eines Risikos ein Imageschaden ergeben könnte.
Imageschäden haben eine langanhaltende und nur unter grossem Aufwand korrigierbare
Wirkung.
Rating
Ausprägung
1
Unerheblich
2
Spürbar
3
Erheblich
Risikowert
Je höher die Risikozahl aus den vorangegangenen Beurteilungen ist, umso mehr ist die Organisation und ihre Mitarbeitenden dadurch gefährdet. Unabhängig von der Höhe des
Risikowertes müssen alle erfasst und bewertet werden. Es kann schnell passieren, dass aufgrund von sich verändernden Umständen auch die Wertung eines Risikos ungünstig entwickeln kann.
Rating
Ausprägung
1
Summe der Einzelrating < 6 = ignorieren
2
Summe der Einzelratings = 6 bis 8 = überwachen
3
Summe der Einzelratings = 9 bis 11 = reduzieren
4
Summe der Einzelratings > 11 = verhindern
Risikomatrix
Es ist wichtig, das Risikomanagement in geeigneter Form darzustellen und für alle sichtbar
zu machen. Die Farben alleine zeigen schon Wirkung beim Betrachten der Aufstellung oder der Matrix. Zudem ist es unumgänglich, das Risikomanagement regelmässig in Form eines Reportings dem Gemeinderat vorzulegen. Er ist ja der Auftraggeber und somit für dessen Umsetzung verantwortlich.
Risiken kennen und Kontrollen managen
Seite 8
Massnahmen und Kontrollen definieren
Massnahmen und Kontrollen sollten Risiken korrigieren und deren Eintreten in Zukunft vorbeugen. Wie alle Kontrollen bedarf es hier einer strikten Planung der einzelnen Schritte und
das konsequente Auditieren der vorhandenen Risikokataloges in den definierten Review
Zyklen. Wichtig ist eine Vernetzung mit den betrieblichen Abläufen und Prozessen und damit dem IKS. Sonst ist und bleibt Risikomanagement einer der vielen unnützen Papiertiger.
Jede Gemeindeverwaltung führt eine politische und operative Geschäftskontrolle. Diese
wird nun etwas umfangreicher, dadurch aber auch wirkungsvoller.
Risiken kennen und Kontrollen managen
Seite 9
Ansätze zur Umsetzung und Implementierung des Risikomanagements
Wie immer sie das Projekt gestalten, es kommt auf den Willen zur Umsetzung und langfristigen Einsatz der obersten Führung an. Anbei die wichtigsten Beschleuniger und Stolpersteine.
Beschleunigende Faktoren bei der Planung und Umsetzung
 Weniger ist am Anfang mehr, halten sie das Projekt sauber und einfach
 Klares Commitment des Gemeinderates zum Wert eines Risikomanagements
 Klare schriftliche Auftragserteilung an die Verwaltungsführung
 Transparente, zeit- und adressatengerechte Information und Kommunikation
 Bereitstellung der notwendigen materiellen und personellen Ressourcen
 Schaffung der Funktion eines Risikobeauftragten
Hemmende Faktoren bei der Planung und Umsetzung
 Interner Wiederstand aufgrund mangelnder Information zum Sinn und Zweck des Projektes
 Fehlendes Commitment der Exekutive und der Verwaltungskader
 Zu hoch gesetzte technischen Hürden für die Risikoerfassung
 Fachwissen zu Risikomanagement ist intern nicht vorhanden und eine externe Begleitung wird nicht erwünscht
 Die materiellen und personellen Ressourcen können nicht zur Verfügung gestellt werden
 Bekannte Risiken werden nicht gemeldet resp. erfasst
Risiken kennen und Kontrollen managen
Seite 10
Aufbau eines internen Kontrollsystems (IKS)
Wie bereits erwähnt gibt es für die Privatwirtschaft im Obligationenrecht klare Vorgaben
zur Führung eines IKS. Diese beziehen sich aber nur auf des Finanz- und Rechnungswesen.
Bei öffentlich rechtlichen Organisationen ist die Ausgangslage je nach den kantonalen
Vorschriften unterschiedlich. Die Bandbreite geht hier von der Vorgabe irgendwelcher undefinierter Controlling Instrumente (z.B. Kanton Luzern) bis zur klar definierten Vorgebe eines IKS (z.B. Kantone Basellandschaft und Aargau).
Ein IKS stellt den Gesamtumfang aller Systeme, Massnahmen und /oder Prozesse dar, welche ein wirksames und effizientes (Finanz) Management und die Einhaltung von Gesetzen
und Standards garantieren.
Ein IKS basiert auf Rechnungslegungs- und Revisionsvorschriften. Verbindet man diese Vorgaben mit den aus dem Risikokatalog und seinen abgeleiteten Massnahmen, so erhält
man ein umfassendes Controlling- und Führungsinstrument.
Einbezug der Prüfungs und Controlling Organe
Die Rechnungslegung einer Gemeinde wird in doppelter Hinsicht geprüft. Einerseits durch
eine politisch bedingte Rechnungsprüfung oder Controlling Kommission und andererseits
durch die Aufsichtsbehörden des Kantons (z.B. Amt für Gemeinden) oder einer beauftragten externen Stelle oder Firma.
Innerhalb der Gemeinde ist ein deren Grösse und damit der Komplexität der Rechnungslegung angepasstes Controlling zu schaffen. Das wichtigste Instrument dafür ist das Interne
Kontrollsystem sowie die vernetzten Prozesse dazu.
Risiken kennen und Kontrollen managen
Seite 11
Schema der betrieblichen Steuerung
In der Privatwirtschaft ist es üblich, dass sich der Verwaltungsrat und die Geschäftsleitung
an jeder Sitzung kurz mit der finanziellen Situation, basierend auf den wichtigsten Finanzindikatoren oder Kennzahlen, auseinandersetzen. Dargestellt optimaler Weise in Form eines
Führungscockpits dienen sie als Frühwarnsystem und ermöglichen ein rasches Eigreifen im
Ereignsifall.
Gemeinderäte und allenfalls die Verwaltungsführung befassen sich in der Regel nur bei
der Budgetierung und der Rechnungslegung mit den Finanzen der Gemeinde. Man erwartet, dass sich abzeichnende Engpässen in Form eines Antrages für einen Nachtragskredit
benannt und behoben werden. Ein strukturiertes Reporting ist zudem oft von den Möglichkeiten, welche die eingesetzte Gemeindefachlösung bietet, abhängig und allenfalls beschränkt und muss mühsam in Excel zusammengeführt werden.
Risiken kennen und Kontrollen managen
Seite 12
Unser Beitrag zu Ihrem Erfolg
Sicherheit geht vor! Die Lipp Kommunal GmbH berät Sie kompetent und professionell und
begleitet Sie in der Erhebung und Beurteilung der Risiken und erarbeitet zusammen mit
Ihnen die für deren Minimierung notwendigen Massnahmen. Daraus abgeleitet erhalten
sie die Grundlagen zum Aufbau und Implementierung des auf die Bedürfnisse Ihrer Gemeinde und der Controlling Organe abgestimmtes IKS.
Die Lipp Kommunal GmbH begleitet Sie professionell durch diesen spannenden Findungsund Umsetzungsprozess. Nehmen Sie frühzeitig mit uns Kontakt auf, es lohnt sich auf jeden
Fall.

Download Report