Ein Internes Kontrollsystem macht im KMU sichtbar, welche wichtigen Abläufe abgesichert werden und ob die vorgesehenen Kontrollen tatsächlich stattfinden. Eine Unterschrift oder eine grüne Markierung genügt dafür nicht. Es braucht einen klaren Prüfgegenstand, eine zuständige Person und einen nachvollziehbaren Nachweis. Dieser Ratgeber trennt die rechtliche Einordnung der ordentlichen Revision von organisatorischen Empfehlungen für den Alltag. Er beschreibt keinen allgemein vorgeschriebenen Kontrollkatalog.
Was das Gesetz zum IKS sagt
Das Obligationenrecht (OR) nennt das interne Kontrollsystem im Zusammenhang mit der Revisionsstelle. Es umschreibt dort nicht näher, wie ein solches System aussehen muss. Die Aussagen im Einzelnen:
- Art. 728a Abs. 1 Ziff. 3 OR: Bei der ordentlichen Revision prüft die Revisionsstelle, ob ein internes Kontrollsystem existiert. Das Gesetz nennt hier ausdrücklich die Existenz des IKS; wie die Revisionsstelle dies prüft, legen die Prüfungsstandards des Berufsstands fest. Feststellungen zum IKS gehören in den Bericht an den Verwaltungsrat (Art. 728b Abs. 1 OR).
- Art. 728a Abs. 2 OR: Die Revisionsstelle berücksichtigt das interne Kontrollsystem bei der Durchführung und bei der Festlegung des Umfangs der Prüfung.
- Art. 728a Abs. 3 OR: Die Geschäftsführung des Verwaltungsrats ist nicht Gegenstand der Prüfung durch die Revisionsstelle.
- Art. 728b Abs. 1 OR: Die Revisionsstelle erstattet dem Verwaltungsrat einen umfassenden Bericht mit Feststellungen über die Rechnungslegung, das interne Kontrollsystem sowie die Durchführung und das Ergebnis der Revision.
Wer ordentlich geprüft werden muss, regelt Art. 727 OR. Nach Abs. 1 sind es erstens Publikumsgesellschaften, zweitens Gesellschaften, die zwei der folgenden Grössen in zwei aufeinander folgenden Geschäftsjahren überschreiten, und drittens Gesellschaften, die zur Erstellung einer Konzernrechnung verpflichtet sind. Die Grössen sind eine Bilanzsumme von 20 Millionen Franken, ein Umsatzerlös von 40 Millionen Franken und 250 Vollzeitstellen im Jahresdurchschnitt. Nach Abs. 2 muss eine ordentliche Revision auch erfolgen, wenn Aktionäre, die zusammen mindestens 10 Prozent des Aktienkapitals vertreten, dies verlangen. Nach Abs. 3 können die Statuten oder die Generalversammlung eine ordentliche Prüfung vorsehen, wenn das Gesetz sie nicht verlangt. Für die Revisionsstelle der GmbH sind nach Art. 818 Abs. 1 OR die Vorschriften des Aktienrechts entsprechend anwendbar.
| Revisionsart | Wann | IKS im Prüfgegenstand |
|---|---|---|
| Ordentliche Revision | Fälle von Art. 727 OR | Ja: Existenz nach Art. 728a Abs. 1 Ziff. 3 |
| Eingeschränkte Revision | Wenn die Voraussetzungen für eine ordentliche Revision nicht gegeben sind (Art. 727a Abs. 1) | Nicht genannt in Art. 729a Abs. 1 |
| Keine Revision (Verzicht) | Mit Zustimmung sämtlicher Aktionäre bei nicht mehr als zehn Vollzeitstellen im Jahresdurchschnitt (Art. 727a Abs. 2 OR) | Keine Prüfung durch eine Revisionsstelle |
Unabhängig von der Revisionsart weist das Gesetz dem Verwaltungsrat in Art. 716a Abs. 1 Ziff. 3 OR als unübertragbare Aufgabe die Ausgestaltung des Rechnungswesens, der Finanzkontrolle und der Finanzplanung zu, sofern diese für die Führung der Gesellschaft notwendig ist. Bei der GmbH steht eine entsprechende Aufgabe der Geschäftsführer in Art. 810 Abs. 2 Ziff. 3 OR. Das Gesetz setzt «Finanzkontrolle» nicht ausdrücklich mit dem IKS nach Art. 728a gleich. Die Bestimmung zeigt aber, dass die Ausgestaltung der Kontrolle bei der obersten Leitung liegt.
Für Ihr Unternehmen klären Sie die konkrete Revisionspflicht mit Ihrer Treuhand oder Revisionsstelle; der Ratgeber zur Treuhand-Zusammenarbeit erklärt, wer wofür verantwortlich bleibt. Aus Art. 728a folgt insbesondere nicht, dass jede kleine Firma denselben Umfang an dokumentierten Kontrollen aufbauen muss. Unabhängig davon können geeignete Kontrollen organisatorisch sinnvoll sein. Die folgenden Empfehlungen sind Praxis, nicht gesetzlich vorgeschrieben.
Vom Risiko zur passenden Kontrolle
Beginnen Sie mit einem wesentlichen Ablauf und einer konkreten Fehlermöglichkeit. Beim Erfassen geänderter Zahlungsangaben könnte beispielsweise eine unberechtigte oder falsch übernommene Kontoverbindung verwendet werden. Die Kontrolle soll genau dieses Risiko beeinflussen. «Finanzen prüfen» wäre als Kontrollziel zu breit.
Beschreiben Sie, wer welche Information mit welcher unabhängigen Grundlage vergleicht. Eine Kontrolle, die nur zwei Kopien derselben ungeprüften Eingabe abgleicht, bietet wenig zusätzliche Sicherheit. Entscheidend ist die Qualität der Vergleichsgrundlage, nicht die Anzahl beteiligter Dokumente.
Legen Sie die Frequenz passend zum Ablauf fest. Eine Kontrolle bei jeder Stammdatenänderung hat einen anderen Zweck als eine periodische Übersicht über alle Änderungen. Beide können sich ergänzen. Ein monatlicher Termin ist aber nicht automatisch angemessen, wenn der entscheidende Vorgang unmittelbar nach einer Änderung stattfindet.
Verknüpfen Sie die Kontrolle mit dem beschriebenen Risiko. In einem Risikoregister können Sie die Ausgangslage, vorhandene Vorkehrungen und die Neubewertung nachvollziehen. So lässt sich später erklären, weshalb eine Kontrolle eingeführt oder angepasst wurde.
Durchführung und Nachweis
Eine ausführbare Kontrollbeschreibung beantwortet die Fragen nach Gegenstand, Vergleich, Umfang und Reaktion. Halten Sie fest, ob alle Vorgänge oder eine bewusst ausgewählte Stichprobe betrachtet werden. Bei einer Stichprobe gehört auch deren Abgrenzung dazu. Sonst kann niemand die Aussagekraft des Ergebnisses einschätzen.
Das Ergebnis sollte zwischen in Ordnung, Mangel und nicht anwendbar unterscheiden können. «Nicht anwendbar» braucht einen Grund, etwa weil im Zeitraum kein entsprechender Vorgang stattfand. Eine nicht durchgeführte Kontrolle darf nicht unter derselben Bezeichnung verschwinden.
Zum Nachweis gehören Datum, durchführende Person, betrachtete Grundlage und Ergebnis. Eine Referenz auf die geprüfte Liste kann genügen, wenn diese später eindeutig auffindbar bleibt. Vermeiden Sie unkontrollierte Kopien vertraulicher Daten, wenn ein geregelter Verweis den Nachweis ebenso gut trägt. Wie lange Geschäftsunterlagen aufbewahrt werden müssen, erklärt der Ratgeber zur Buchführungspflicht.
Bestimmen Sie auch die Stellvertretung und den Umgang mit Ausnahmen. Wenn die kontrollierende Person selbst an einem Vorgang beteiligt war, braucht es eine nachvollziehbare Alternative. Eine grundsätzlich sinnvolle Aufgabentrennung hilft wenig, wenn Ferien oder Krankheitsabsenzen sie im Alltag regelmässig aufheben.
Praxisbeispiel: Muster Handel AG
Die Muster Handel AG ist ein erfundenes Unternehmen. Sie möchte Änderungen von Lieferantenkonten besser absichern. Das Beispiel illustriert einen organisatorischen Ablauf und sagt nichts darüber aus, ob die Firma ordentlich revisionspflichtig ist.
Im betrachteten Monat wurden zehn Kontoverbindungen geändert. Die Firma hat betrieblich vereinbart, jede Änderung anhand einer unabhängig bestätigten Grundlage zu kontrollieren, bevor sie für eine Zahlung verwendet wird. Die kontrollierende Person soll nicht dieselbe Person sein, die die Änderung erfasst hat.
Bei der Monatsübersicht findet die Finanzverantwortliche für acht Änderungen einen vollständigen Nachweis. Bei einer Änderung fehlt die Bestätigung der Vergleichsgrundlage, bei einer weiteren die dokumentierte unabhängige Prüfung.
| Ergebnis der Monatsübersicht | Anzahl | Anteil |
|---|---|---|
| Nachweis vollständig | 8 | 80 % |
| Bestätigung der Vergleichsgrundlage fehlt | 1 | 10 % |
| Unabhängige Prüfung nicht dokumentiert | 1 | 10 % |
| Summe | 10 | 100 % |
Damit sind zwei von zehn Nachweisen unvollständig, also zwanzig Prozent. Diese Quote beschreibt die dokumentierte Kontrollausführung, keine nachgewiesene Betrugsquote.
Die beiden Fälle werden einzeln untersucht. Bis zur Klärung gilt die vorgesehene Absicherung als nicht belegt. Eine später nachgeholte Prüfung wird mit ihrem tatsächlichen Datum dokumentiert. Sie darf nicht den Eindruck erwecken, die ursprüngliche Kontrolle sei rechtzeitig durchgeführt worden.
Die Ursachenanalyse zeigt eine unklare Stellvertretung. Die Firma passt die Aufgabenverteilung an und prüft die nächsten vergleichbaren Änderungen gezielt. Erst wenn die neue Regel im Alltag greift, bewertet sie die Massnahme als wirksam. Zehn erledigte Prüfpunkte allein würden diesen Zusammenhang nicht zeigen.
Mängel bearbeiten und Kontrollen verbessern
Ein festgestellter Mangel benötigt eine angemessene Reaktion. Klären Sie zunächst die unmittelbare Auswirkung und sichern Sie offene Vorgänge ab. Anschliessend bestimmen Sie Ursache und notwendige Verbesserung. Für die vertiefte Bearbeitung trennt ein Ablauf für Korrekturmassnahmen die Umsetzung von der Prüfung der Wirkung.
Prüfen Sie auch die Kontrolle selbst. War sie verständlich beschrieben? Stand die Vergleichsgrundlage zur Verfügung? War die verantwortliche Person fachlich und zeitlich in der Lage, sie auszuführen? Eine Erinnerung löst keine fehlende Berechtigung und keine unpraktikable Prüfanweisung.
Wiederholte Ergebnisse ohne Mangel sind ebenfalls ein Anlass zum Nachdenken. Vielleicht funktioniert der Ablauf gut. Vielleicht ist die Kontrolle aber zu oberflächlich oder betrachtet nicht die relevanten Vorgänge. Ziehen Sie bei Bedarf einzelne Belege heran, um die Aussagekraft der Durchführung zu überprüfen.
Ein kleines IKS einführen
Starten Sie mit wenigen wichtigen Abläufen und verständlichen Kontrollen. Führen Sie die Beschreibung zusammen mit den Personen aus, die später kontrollieren. Lassen Sie einen realistischen Vorgang durchspielen und prüfen Sie, ob Unklarheiten oder fehlende Informationen auftreten.
Vereinbaren Sie danach eine gemeinsame Sichtung der ersten Ergebnisse. Entscheiden Sie, welche Kontrolle beibehalten, angepasst oder ersetzt wird. Jede Änderung sollte erkennen lassen, weshalb sie das Kontrollziel besser erreicht. Wenige geeignete Prüfpunkte sind häufig wertvoller als eine lange Liste ohne erkennbare Risikoverbindung.
Für die Leitung ist eine Übersicht über fällige, durchgeführte und mangelhafte Kontrollen hilfreich. Diese Kategorien dürfen nicht vermischt werden. Eine rechtzeitig durchgeführte Kontrolle kann einen erheblichen Mangel aufdecken und damit ihren Zweck erfüllen. Eine versäumte Kontrolle bleibt offen, auch wenn zufällig kein Schaden bekannt ist. Zum Jahresabschluss lohnt sich ein Blick auf die Kontrollen, die dort eine Rolle spielen; die Jahresabschluss-Checkliste nennt die typischen Schritte.
Checkliste
- Die Revisionsfrage (Art. 727 OR) ist getrennt von der Praxisgestaltung geklärt.
- Jede Kontrolle hat ein konkretes Risiko und Ziel.
- Vergleichsgrundlage und Prüfumfang sind verständlich.
- Frequenz und Zeitpunkt passen zum Vorgang.
- Zuständigkeit und Stellvertretung sind geregelt.
- Ergebnis und tatsächliches Durchführungsdatum bleiben nachvollziehbar.
- «Nicht anwendbar» und «nicht durchgeführt» werden begründet.
- Mängel erhalten Massnahmen mit eigener Nachverfolgung.
- Fehlende Durchführung zählt nicht als positives Ergebnis.
So löst es KMU | base
In QMS | base öffnen Sie die Kontrollen im Menü unter «Betrieb und Nachweise» beim Punkt «Interne Kontrollen (IKS)». Mit «Neue Kontrolle» legen Sie eine an.
IKS-Kontrollen mit Frequenz. Sie definieren Kontrollen mit Ziel, Risiko- und Prozessbezug, Verantwortlichen, Frequenz von täglich bis jährlich und Prüfpunkten. Damit lässt sich der geplante Kontrollablauf strukturiert führen. Die Verknüpfung mit einem Eintrag aus «Risiken und Chancen» ist möglich. Ob die Kontrolle fachlich geeignet ist, entscheiden Sie anhand Ihres Geschäftsablaufs.
Kontrolle durchführen. Sie beantworten die Prüfpunkte; ein Mangel erzeugt auf Wunsch eine Massnahme, die nächste Fälligkeit wird berechnet. Die Massnahme entsteht, wenn bei der Kontrolle die Option «Bei Mangel eine Massnahme anlegen» gesetzt ist. Ein als «nicht anwendbar» markierter Prüfpunkt gilt nicht als Mangel; im Portal verlangt das Formular dafür eine Bemerkung. Eine nicht durchgeführte Kontrolle erfassen Sie mit Begründung. Erfassen Sie ein Ergebnis erst nach der tatsächlichen Prüfung und beschreiben Sie die Grundlage ausreichend konkret.
Fällige IKS-Kontrollen. Die verantwortliche Person erhält am Fälligkeitstag eine Mitteilung. Die Erinnerung bestätigt weder die Durchführung noch die Wirksamkeit des Kontrollsystems. Sie hilft dabei, die vereinbarte Aufgabe rechtzeitig sichtbar zu machen.
Was die Software nicht prüft: ob die kontrollierende Person eine andere ist als die Person, die den Vorgang erfasst hat. Diese Aufgabentrennung regeln Sie organisatorisch.
Die Anleitung zu QMS | base erläutert die Bedienung. Sehen Sie sich die Demo an, eröffnen Sie ein Testkonto oder nehmen Sie über die Kontaktseite mit uns Kontakt auf.
Quellen
- Obligationenrecht (OR, SR 220), Art. 727 Abs. 1–3, Art. 727a Abs. 1 und 2, Art. 728a Abs. 1–3, Art. 728b Abs. 1, Art. 729a Abs. 1, Art. 716a Abs. 1 Ziff. 3, Art. 810 Abs. 2 Ziff. 3 und Art. 818 Abs. 1, Stand 1. Oktober 2026: fedlex.admin.ch, abgerufen am 27.10.2026.
Die organisatorischen Abläufe und Beispiele sind redaktionelle Praxishilfen und keine gesetzlichen Vorgaben.
Dieser Ratgeber ersetzt keine Rechts- oder Steuerberatung. Stand der Informationen: 27.10.2026.