Internes Kontrollsystem aufbauen und testen: wann temporäre Unterstützung hilft

Kurzantwort: Ein internes Kontrollsystem (IKS) bauen Sie in sieben Schritten auf: Umfang festlegen, Prozesse aufnehmen, Risiken bewerten, Schlüsselkontrollen definieren, dokumentieren, Kontrollen testen und Mängel beheben. In der Schweiz prüft die Revisionsstelle bei der ordentlichen Revision, ob ein IKS existiert (Art. 728a Abs. 1 Ziff. 3 OR). In Deutschland muss der Vorstand ein Überwachungssystem einrichten (§ 91 Abs. 2 AktG), bei börsennotierten Gesellschaften zusätzlich ein angemessenes und wirksames IKS (§ 91 Abs. 3 AktG).

Dieser Ratgeber richtet sich an CFOs, Heads of Compliance, General Counsel und Verwaltungsräte in der Schweiz und in Deutschland, die ein IKS aufbauen, nach Prüfungsfeststellungen überarbeiten oder erstmals testen müssen. Er zeigt die gesetzlichen Anforderungen, die Arbeitsschritte mit Ergebnissen und Rollen und wann temporäre Unterstützung sinnvoll ist.

Schweiz: Was gilt für das IKS bei ordentlicher Revision?

Gesellschaften mit ordentlicher Revision brauchen ein IKS, dessen Existenz die Revisionsstelle jedes Jahr prüft (Art. 728a Abs. 1 Ziff. 3 OR). Ordentlich prüfen lassen müssen sich nach Art. 727 Abs. 1 OR:

• Publikumsgesellschaften, etwa mit kotierten Beteiligungspapieren oder ausstehenden Anleihen,
• Gesellschaften, die in zwei aufeinanderfolgenden Geschäftsjahren zwei der drei Grössen überschreiten: Bilanzsumme CHF 20 Mio., Umsatzerlös CHF 40 Mio., 250 Vollzeitstellen im Jahresdurchschnitt,
• Gesellschaften, die eine Konzernrechnung erstellen müssen.

Die Revisionsstelle berücksichtigt das IKS bei Durchführung und Umfang ihrer Prüfung (Art. 728a Abs. 2 OR). Ihre Feststellungen zum IKS stehen im umfassenden Bericht an den Verwaltungsrat (Art. 728b Abs. 1 OR). Für die GmbH gelten die Vorschriften des Aktienrechts zur Revisionsstelle entsprechend (Art. 818 Abs. 1 OR). Bei der eingeschränkten Revision ist das IKS kein ausdrücklicher Prüfgegenstand (Art. 729a OR).

Verantwortung des Verwaltungsrats: Unabhängig von der Revisionsart gehören die Ausgestaltung des Rechnungswesens und der Finanzkontrolle sowie die Oberaufsicht über die Geschäftsführung zu den unübertragbaren Aufgaben des Verwaltungsrats (Art. 716a Abs. 1 Ziff. 3 und 5 OR). In der GmbH liegen diese Aufgaben bei den Geschäftsführern (Art. 810 Abs. 2 OR). Wie die Revisionsstelle die Existenz konkret prüft, legt der Schweizer Prüfungsstandard PS-CH 890 von EXPERTsuisse fest; massgebend ist die jeweils aktuelle Fassung, die Sie mit Ihrer Revisionsstelle abstimmen.

Wichtig für den Aufbau: Die Revisionsstelle darf das IKS nicht selbst aufbauen, das sie anschliessend prüft. Mit ihrer Unabhängigkeit unvereinbar sind Dienstleistungen, durch die sie eigene Arbeiten prüfen müsste (Art. 728 Abs. 2 Ziff. 4 OR). Aufbau und Tests müssen deshalb intern oder mit anderer Unterstützung erfolgen.

Deutschland: Welche Anforderungen gelten für Kontrollsysteme?

In Deutschland ergibt sich die IKS-Pflicht aus dem Aktienrecht, dem Bilanzrecht und für Institute aus dem Aufsichtsrecht. Die zentralen Normen:

• Jede AG: Der Vorstand muss geeignete Massnahmen treffen, insbesondere ein Überwachungssystem einrichten, damit bestandsgefährdende Entwicklungen früh erkannt werden (§ 91 Abs. 2 AktG).
• Börsennotierte AG: Der Vorstand muss zusätzlich ein im Hinblick auf Umfang der Geschäftstätigkeit und Risikolage angemessenes und wirksames IKS und Risikomanagementsystem einrichten (§ 91 Abs. 3 AktG). Der Abschlussprüfer beurteilt, ob das Überwachungssystem nach § 91 Abs. 2 AktG seine Aufgaben erfüllen kann (§ 317 Abs. 4 HGB).
• Sorgfalt und Haftung: Vorstandsmitglieder müssen die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anwenden und haften bei Pflichtverletzung; im Streitfall tragen sie die Beweislast (§ 93 Abs. 1 und 2 AktG). Ein dokumentiertes IKS hilft, die angewandte Sorgfalt nachzuweisen.
• Aufsichtsrat: Ein Prüfungsausschuss kann sich mit der Wirksamkeit des IKS, des Risikomanagementsystems und des internen Revisionssystems befassen (§ 107 Abs. 3 AktG). Unternehmen von öffentlichem Interesse müssen ihn einrichten (§ 107 Abs. 4 AktG).
• Kapitalmarktorientierte Gesellschaften: Der Lagebericht beschreibt die wesentlichen Merkmale des IKS und des Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess (§ 289 Abs. 4 HGB).
• Kredit- und Finanzdienstleistungsinstitute: § 25a Abs. 1 KWG verlangt interne Kontrollverfahren mit IKS und unabhängiger Interner Revision. Die MaRisk (BaFin-Rundschreiben 06/2026 (BA) vom 30. Juni 2026) konkretisieren das in AT 4.3: Aufbau- und Ablauforganisation, Risikosteuerungs- und -controllingprozesse, Risikocontrolling- und Compliance-Funktion.

Für die GmbH enthält das GmbHG keine ausdrückliche IKS-Pflicht. Die Geschäftsführer haben aber die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (§ 43 Abs. 1 GmbHG) und müssen fortlaufend über Entwicklungen wachen, die den Fortbestand der Gesellschaft gefährden können (§ 1 Abs. 1 StaRUG). Wie weit § 91 Abs. 2 AktG darüber hinaus auf die GmbH ausstrahlt, hängt von Grösse und Komplexität ab und ist nicht einheitlich beantwortet; ein angemessenes IKS ist in der Praxis der einfachste Nachweis dieser Sorgfalt.

Wie bauen Sie ein IKS auf? Prozesse, Risiken und Kontrollen dokumentieren

Ein IKS aufbauen heisst: wesentliche Prozesse aufnehmen, Risiken bewerten und jedem wesentlichen Risiko eine nachweisbare Kontrolle zuordnen. Bewährt hat sich diese Reihenfolge:

1. Umfang festlegen: wesentliche Positionen der Jahresrechnung, Gesellschaften und Prozesse bestimmen, etwa Einkauf bis Zahlung, Verkauf bis Zahlungseingang, Lohn, Abschluss und IT.
2. Prozesse aufnehmen: Abläufe mit Prozessbeschreibung oder Flussdiagramm erfassen, inklusive Systeme und Schnittstellen.
3. Risiken bewerten: pro Prozess festhalten, was schiefgehen kann, und nach Eintrittswahrscheinlichkeit und Auswirkung gewichten.
4. Kontrollen definieren: Schlüsselkontrollen bestimmen, etwa Funktionstrennung, Vier-Augen-Prinzip, Freigabelimiten, Abstimmungen und Berechtigungen.
5. Dokumentieren: Risiko-Kontroll-Matrix mit Kontrollverantwortlichen, Frequenz und Nachweis erstellen.
6. Testen: Ausgestaltung und Durchführung der Kontrollen prüfen (siehe nächster Abschnitt).
7. Mängel beheben und berichten: Mängel bewerten, Massnahmen mit Termin festlegen und Verwaltungsrat, Vorstand oder Prüfungsausschuss informieren.

Wer gleichzeitig ein Compliance-Management-System aufbaut, sollte Risikoinventar und Kontrollen gemeinsam pflegen. Wie die Bausteine zusammenpassen, zeigt der Ratgeber zum Compliance-Management-System.

Kontrolltests: Wie prüfen Sie, ob Kontrollen funktionieren?

Kontrolltests beantworten zwei Fragen: Ist die Kontrolle richtig ausgestaltet, und wird sie wie beschrieben durchgeführt? In der Schweiz verlangt Art. 728a OR bei der ordentlichen Revision die Prüfung der Existenz; ein Wirksamkeitsurteil sieht der Wortlaut nicht vor. Bei börsennotierten Gesellschaften in Deutschland verlangt § 91 Abs. 3 AktG darüber hinaus ein wirksames System, was regelmässige Wirksamkeitstests nahelegt.

• Ausgestaltung (Design): Deckt die Kontrolle das Risiko ab? Ist klar, wer was wann prüft und wie der Nachweis aussieht?
• Einführung (Walkthrough): Ein Geschäftsvorfall wird von Anfang bis Ende verfolgt. So zeigt sich, ob die Kontrolle im Alltag tatsächlich stattfindet.
• Wirksamkeit (Operating Effectiveness): Eine Stichprobe aus der Prüfperiode zeigt, ob die Kontrolle durchgehend wirkt. Die Stichprobengrösse richtet sich nach der Kontrollfrequenz; legen Sie die Methode vorab im Testplan fest.
• Mängelbewertung: Jede Abweichung wird dokumentiert, nach Schwere eingestuft und mit einer Massnahme, einer verantwortlichen Person und einem Termin versehen.

Für Institute in Deutschland prüft die Interne Revision unabhängig und risikoorientiert alle Aktivitäten und Prozesse, darunter das interne Kontrollsystem (MaRisk AT 4.4.3 Tz. 5). Feststellungen aus solchen Prüfungen lassen sich mit einem strukturierten Massnahmenplan abarbeiten, wie im Ratgeber zur Compliance-Remediation nach Prüfungsfeststellungen beschrieben.

Rollen und Kapazität: Wann hilft temporäre Unterstützung?

Temporäre Unterstützung hilft vor allem in drei Situationen: beim erstmaligen Aufbau, vor der ersten ordentlichen Revision und bei der Behebung von Prüfungsfeststellungen. In allen drei Fällen fällt viel Dokumentations- und Testarbeit an, die das bestehende Team neben dem Tagesgeschäft kaum leisten kann.

• IKS-Projektleitung: plant Umfang, Zeitplan und Berichterstattung und hält die Abstimmung mit Revisionsstelle oder Abschlussprüfer.
• Prozess- und Kontrollaufnahme: Fachkräfte mit Erfahrung in Finanzprozessen, Compliance oder Regulatorik erfassen Abläufe und formulieren Kontrollen gemeinsam mit den Prozessverantwortlichen.
• Kontrolltests: Tester sollten nicht dieselben Personen sein, welche die Kontrollen durchführen. Externe Fachkräfte schaffen hier Abstand.
• Remediation: Ein temporäres Team setzt Massnahmen um und dokumentiert die Nachweise.

Alpinum Solutions stellt dafür Legal- und Compliance-Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, als Einzelperson oder als Team, von Junior bis Senior. Im Staff Leasing liegt das fachliche Weisungsrecht beim Unternehmen, und die Fachkraft ist in die Organisation integriert. Im Freelancing erbringt die Fachkraft ihre Leistung eigenverantwortlich im Rahmen des vereinbarten Mandats. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Beispiel (Annahme): Eine Schweizer Industriegruppe überschreitet erstmals zwei der drei Schwellen nach Art. 727 OR und wechselt zur ordentlichen Revision. Eine Senior-Fachkraft leitet in Vollzeit den IKS-Aufbau, eine Experienced-Fachkraft nimmt in Teilzeit Prozesse auf und bereitet die Tests vor. Das interne Finanzteam bleibt Eigentümer der Kontrollen.

Grenzen und Risiken

• Die Verantwortung bleibt beim Verwaltungsrat bzw. Vorstand. Externe Fachkräfte unterstützen Aufbau und Tests, übernehmen aber keine Organverantwortung.
• Interne Kontrolltests ersetzen keine Prüfung durch Revisionsstelle, Abschlussprüfer oder Interne Revision.
• Ein IKS, das nur auf Papier besteht, hält keiner Existenzprüfung stand. Kontrollverantwortliche müssen ihre Kontrollen kennen und durchführen.
• Alpinum ist keine Kanzlei und keine Revisionsgesellschaft. Für Prüfungsurteile und Rechtsgutachten braucht es die jeweils zuständigen Stellen.

Häufige Fragen zum internen Kontrollsystem

Wer muss ein IKS haben?

In der Schweiz brauchen alle Gesellschaften mit ordentlicher Revision ein IKS, weil die Revisionsstelle dessen Existenz prüft (Art. 728a Abs. 1 Ziff. 3 OR). Das betrifft Publikumsgesellschaften, konzernrechnungspflichtige Gesellschaften und Gesellschaften über zwei von drei Schwellen nach Art. 727 OR. In Deutschland muss jede AG ein Überwachungssystem einrichten (§ 91 Abs. 2 AktG), börsennotierte Gesellschaften ein angemessenes und wirksames IKS (§ 91 Abs. 3 AktG), Institute nach § 25a KWG.

Was prüft die Revisionsstelle beim IKS?

Bei der ordentlichen Revision prüft die Revisionsstelle, ob ein internes Kontrollsystem existiert, und berücksichtigt es bei Durchführung und Umfang ihrer Prüfung (Art. 728a OR). Ihre Feststellungen zum IKS stehen im umfassenden Bericht an den Verwaltungsrat (Art. 728b Abs. 1 OR). Ein Urteil über die Wirksamkeit ist nach dem Gesetzeswortlaut nicht verlangt; die Existenz setzt aber dokumentierte und tatsächlich durchgeführte Kontrollen voraus.

Was ist der Unterschied zwischen Existenz und Wirksamkeit eines IKS?

Existenz bedeutet, dass Risiken erfasst, Kontrollen dokumentiert und eingeführt sind. Wirksamkeit bedeutet, dass die Kontrollen über die ganze Periode wie vorgesehen funktionieren, nachgewiesen durch Stichprobentests. Das Schweizer OR stellt bei der ordentlichen Revision auf die Existenz ab. § 91 Abs. 3 AktG verlangt von börsennotierten Gesellschaften ein angemessenes und wirksames System.

Darf die Revisionsstelle beim Aufbau des IKS helfen?

Nur eingeschränkt. Bei der ordentlichen Revision ist mit der Unabhängigkeit unvereinbar, Dienstleistungen zu erbringen, durch die die Revisionsstelle eigene Arbeiten prüfen müsste (Art. 728 Abs. 2 Ziff. 4 OR). Den Aufbau übernehmen deshalb in der Regel das eigene Team, eine andere Beratung oder temporäre Fachkräfte, die das Unternehmen selbst steuert.

Kann eine Interim-Fachkraft Kontrollen testen?

Ja. Eine Interim-Fachkraft kann Testpläne erstellen, Walkthroughs durchführen, Stichproben prüfen und Mängel dokumentieren. Wichtig ist, dass sie nicht die Kontrollen testet, die sie selbst durchführt. Die Verantwortung für das IKS bleibt bei Verwaltungsrat oder Vorstand; die externe Prüfung durch Revisionsstelle oder Abschlussprüfer ersetzt der interne Test nicht.

Nächster Schritt

Klären Sie Umfang, Termin der nächsten Revision und die Rollen, die intern fehlen. Danach lässt sich ein temporäres Team gezielt zusammenstellen.

• Risk Management, Internal Controls & Governance: temporäre Fachkräfte
• Interim Compliance für Unternehmen
• Regulatory Change Management: neue Vorschriften umsetzen
• Bedarf besprechen

Stand: 31. Oktober 2026.