Integrierte Steuerung und Kontrolle von KMU mit IT

In Zusammenhang mit der Revision des Aktienrechts im Jahr 2008 sahen sich viele KMU gezwungen, gegenüber der externen Revisionsstelle ein dokumentiertes Internes Kontrollsystem (IKS) nachzuweisen. Dieser Umstand führte damals zur berechtigten Frage, wie KMU mit ihren knapp bemessenen Ressourcen die neuen Gesetzesvorgaben erfüllen sollten. Die neue IKS-Pflicht sorgte bei vielen mittelständischen Unternehmen für Unmut, da insbesondere die damit verbundene Kostenbelastung als erheblich erachtet wurde. In den meisten Unternehmen existierten zwar schon Ansätze von Risiko- und Kontrollinstrumenten. Diese wurden aber in der Regel selten konsequent genutzt und nicht mit anderen Führungsinstrumenten abgestimmt. Zudem waren viele Kontrollen – aus Sicht der externen Revi­sionsstelle ein zentraler Mangel – für Dritte aufgrund fehlender Dokumentation kaum nachvollziehbar.

Entlastung der KMU fraglich

Der Gesetzgeber reagierte per 1. Januar 2012 auf die Begehren der KMU und erhöhte mit der Aktienrechtsrevision die Schwellenwerte für die ordentliche Re­vision signifikant. Zahlreiche KMU wurden somit wieder von der formalen IKS-Pflicht befreit – der Einfluss des Gesetz-
gebers hat sich verkleinert. Die Erhöhung der Schwellenwerte gilt es jedoch ebenso kritisch zu beurteilen. Ob diese überhaupt zur geforderten Entlastung der KMU führt, wird sich erst noch zeigen müssen. Gegebenenfalls kommt es lediglich zu einer Verlagerung der Kosten, z. B. von den Aufwendungen für die Prüfung der Jahresrechnung hin zu Kosten für Ad-hoc-Prüfungen oder für das Bereitstellen von Sicherheiten. Es ist ferner auch nicht auszuschliessen, dass die Vernachlässigung formaler Kontrollen höhere Risikokosten verursacht und die Anzahl von KMU-Konkursen zunehmen wird (vgl. Zihler, 2011, S. 675).

Diese Entwicklungen führten dazu, dass sich die Hochschule Luzern – Wirtschaft einem von KTI / Bund mitfinanzierten Forschungsprojekt zum Thema «integrierte Steuerung und Kontrolle von KMU mit IT» angenommen hat (siehe Textbox «Das KTI-Projekt» auf Seite 99).

Erhöhter Handlungsbedarf

Angesichts der gesetzlichen Veränderung bezüglich Revisionsrecht und den Charakteristika von KMU wie zum Beispiel knappe Personalressourcen, flache Hierarchien und ungenügende Funktionentrennung lassen sich zwei Beweggründe für das erwähnte Forschungsprojekt aufführen:

Einerseits gilt es durch die reduzierte oder entfallene Fremdkontrolle durch die externe Revisionsstelle für KMU die Eigenkontrolle im Rahmen einer guten Corporate Governance zu fördern. In der Regel fehlt es heute den KMU allerdings an Hilfsmitteln und Anreizen, freiwillig geeignete Instrumente zu optimieren oder effizienter zu gestalten.

Andererseits legen verschiedene Studien dar, dass die Orientierung der IKS-Umsetzung am Gesetzesminimum, d. h. der Sicherstellung einer wahrheitsgemässen finanziellen Berichterstattung, von KMU als wenig sinnvoll und nützlich erachtet wurde. Dementsprechend gross ist das Bedürfnis nach einem integrierten Konzept, das auch die Schnittstellen zur Unternehmensstrategie, operativen Geschäftstätigkeit und Compliance für eine effektive und effiziente finanzielle Steuerung und Kontrolle miteinbezieht.

Die primäre Herausforderung des KTI-Projekts liegt daher in der Konzeption eines kostengünstigen und wirksamen Steuerungs- und Kontrollrahmens, der die Bedürfnisse der KMU berücksichtigt und die freiwillige Umsetzung fördert. Vor dem Hintergrund der häufig nur informell oder fragmentarisch vorhandenen Abläufe und Prozesse sowie der teilweise nicht vollständig vorhandenen Finanzplanung müssen kosteneffiziente Mittel und Wege gefunden werden.

Ein geeignetes Mittel zur Steigerung der (Kosten-)Effizienz ist unter anderem der Einsatz der Informationstechnologie (IT). Diese begünstigt die Automatisierung von Prozessen, ermöglicht IT-gestützte, präventive Kontrollen, optimiert den Ressourceneinsatz und stellt die Überwachung der finanzrelevanten Prozesse und Aktivitäten in KMU sicher.

Kontrolldefizite

Zwischen Theorie und Praxis bestehen bekanntermassen oft beachtliche Differenzen, so auch in Bezug auf die Umsetzung von Steuerungs- und Kontrollmassnahmen bei einer Vielzahl von KMU. Dies bringen die Erhebungen der Hochschule Luzern – Wirtschaft bei sieben Praxis­partnern des erwähnten Projekts zum Vorschein. Anhand von Interviews und einem Intensiv-Workshop wurden die Unternehmensprozesse entlang der Wertschöpfungskette auf deren Risiken sowie entsprechende Steuerungs- und Kontrollmassnahmen geprüft. Daneben standen die Effizienz und Effektivität dieser Massnahmen als auch die Ausgestaltung der finanziellen Führungsinstrumente zur Diskussion. Die Beispiele in Abbildung 1 illustrieren bezeichnende Kontrolldefizite, die in den KMU identifiziert wurden.

Analyse der Defizite

Da der Fokus des KTI-Projekts auf IT- und prozessspezifischen Steuerungs- und Kontrollmassnahmen liegt, wurden schwerpunktmässig Prozessdefizite beziehungsweise -risiken analysiert und bewertet sowie die Güte der dazugehörigen Massnahmen aus Expertensicht beurteilt. Im Nachhinein konnten die KMU zu dieser Einschätzung Stellung nehmen und etwaige Missverständnisse klären.

Abbildung 2 visualisiert die Gegenüberstellung von Risiken und Massnahmen, wobei die Risiken von gering (1) bis hoch (5) und die Massnahmen von ungenügend (1) bis optimal (5) eingestuft wurden. Im Idealfall sind die Netto-Risiken (unter Berücksichtigung der bestehenden Mass­nahme(n)) möglichst gering und die Massnahmen mindestens gut, was in etwa einer Bewertung von 4 entspricht.

Obschon die folgenden Erkenntnisse keine repräsentativen Schlussfolgerungen erlauben, stellen sich klare Tendenzen heraus. So lässt sich eine grosse Abweichung zwischen den Risiken und der Güte der Steuerungs- und Kontrollmassnahmen in den Prozessen feststellen.

Zudem fällt es der Mehrheit der befragten KMU schwer – trotz der vorhandenen hohen Prozessrisiken, mehrere potenzielle Massnahmen zur Risikominderung zu benennen. Viele Prozessrisiken in den betrachteten KMU werden als erheblich eingestuft, weil (Teil-)Prozesse jeweils oft von nur einer Person und deren Risikobewusstsein abhängen. Die ersten Projektauswertungen widerspiegeln also den bereits angesprochenen Handlungsbedarf bei KMU.