Wissen · Artikel 1 · IKS

IKS in der Gemeinde: pragmatisch aufbauen statt Papiertiger produzieren

Das interne Kontrollsystem gehört zu den Pflichten fast jeder Schweizer Gemeinde – und ist trotzdem oft ein Ordner, den nur die Revisionsstelle je aufschlägt. Dieser Leitfaden zeigt, wie ein IKS entsteht, das im Alltag tatsächlich gelebt wird: mit wenigen, dafür wirksamen Schlüsselkontrollen und einem Nachweis, der die Revision besteht.

Warum ein IKS – und was das Gesetz verlangt

Für Aktiengesellschaften schreibt Art. 728a OR die Prüfung der Existenz eines internen Kontrollsystems vor. Für Gemeinden gilt das Obligationenrecht zwar nicht direkt, aber die kantonalen Gemeinde- und Finanzhaushaltsgesetze verlangen in den meisten Kantonen ein angemessenes IKS – und die Revisionsstelle prüft dessen Existenz und Anwendung. Unabhängig von der Rechtslage gilt: Wo öffentliche Gelder verwaltet werden, sind wirksame Kontrollen eine Frage der Sorgfalt gegenüber der Bevölkerung.

Ein gutes IKS beantwortet drei Fragen:

• Welche Risiken bedrohen die wesentlichen Abläufe der Gemeinde – von der Doppelzahlung bis zum Datenverlust?
• Welche Kontrollen begegnen diesen Risiken – und wer führt sie wann durch?
• Wie wird nachgewiesen, dass die Kontrollen tatsächlich stattgefunden haben?

Schlüsselkontrollen: weniger ist mehr

Der häufigste Fehler beim IKS-Aufbau ist Vollständigkeitsehrgeiz: Wer jeden Handgriff kontrollieren will, kontrolliert am Ende nichts richtig. Bewährt hat sich die Konzentration auf Schlüsselkontrollen – jene 10 bis 20 Kontrollen, die die grössten finanziellen und rechtlichen Risiken abdecken. Typische Kandidaten in einer Gemeinde:

Die vollständige Matrix mit 15 typischen Schlüsselkontrollen – inklusive Kontrolltyp, Verantwortlichkeit und Durchführungsnachweis – gibt es unten als Vorlage zum Herunterladen.

Aufbau in fünf Schritten

1. Wesentliche Prozesse bestimmen. Nicht alle 80 Abläufe der Verwaltung, sondern die 10 bis 15 mit Geldfluss oder besonderem rechtlichem Risiko: Kreditoren, Löhne, Gebühren, Steuern, Sozialhilfe, Beschaffung, IT.
2. Risiken je Prozess benennen. Konkret formulieren («Zahlung auf falsche Bankverbindung nach Stammdaten-Mutation»), nicht abstrakt («Fehlerrisiko»). Eintretenswahrscheinlichkeit und Schadenspotenzial grob einschätzen – das reicht.
3. Je Risiko eine Kontrolle festlegen. Wer macht was, wie oft, und was gilt als Nachweis? Präventive Kontrollen (Vier-Augen-Prinzip, Funktionentrennung) verhindern Fehler; detektive Kontrollen (Abgleiche, Stichproben) decken sie auf. Beides hat seinen Platz.
4. Verantwortung zuweisen. Jede Kontrolle hat genau eine verantwortliche Funktion – nicht «die Finanzverwaltung», sondern «Leiter/in Finanzen». Stellvertretungen regeln, sonst steht die Kontrolle bei Abwesenheit still.
5. Durchführung nachweisen. Eine Kontrolle ohne Nachweis existiert für die Revision nicht. Visum, Protokoll oder Systemeintrag mit Datum und Person – und eine Übersicht, welche Kontrollen fällig, erledigt oder überfällig sind.

Der Durchführungsnachweis: woran Revisionen scheitern

Die meisten Beanstandungen betreffen nicht fehlende Kontrollen, sondern fehlende Nachweise. Ein IKS auf Papier, dessen Kontrollen niemand dokumentiert durchführt, ist im Prüfbericht wertlos. Praktikabel ist ein einfacher Turnus: Jede Schlüsselkontrolle hat eine Frequenz, die verantwortliche Person bestätigt die Durchführung mit Datum und Befund, und überfällige Kontrollen werden sichtbar gemahnt. Genau hier entlastet Software: Prozessatlas plant die Kontrollen automatisch nach Frequenz, erinnert die Verantwortlichen und sammelt die Wirksamkeitsnachweise revisionsbereit am Prozess.

Häufige Fehler

• Das IKS lebt neben der Organisation. Kontrollen gehören an die Prozesse, in denen sie stattfinden – nicht in eine separate Excel-Welt, die zweimal im Jahr aktualisiert wird.
• Funktionentrennung nur auf dem Papier. In kleinen Verwaltungen hat oft dieselbe Person mehrere Rollen. Wo echte Trennung nicht möglich ist, braucht es kompensierende Kontrollen – etwa engmaschigere Stichproben durch die Leitung oder den Gemeinderat.
• Einmal aufgebaut, nie überprüft. Risiken ändern sich mit neuen Aufgaben, Systemen und Personen. Ein jährlicher Review der Kontrollmatrix gehört zum IKS selbst.
• Kontrollen ohne Konsequenz. Wenn ein Abgleich Abweichungen zeigt, braucht es einen definierten Weg: Wer klärt ab, wer entscheidet, was wird festgehalten?