Riskmanagement & IKS News

Ein Internes Kontrollsystem (IKS) soll Risiken reduzieren, Vermögenswerte schützen und die Verlässlichkeit der Berichterstattung sicherstellen.

Doch in der Praxis stellt sich oft eine grundlegende Frage:

Wie baut man ein IKS überhaupt sinnvoll auf?

Grundsätzlich haben sich zwei Ansätze etabliert:

• der Top-down Ansatz (risikobasiert)
• der Bottom-up Ansatz (praxisbasiert)
  
  

Beide führen zum Ziel – aber auf unterschiedlichen Wegen.

1. Der Top-down Ansatz: Vom Risiko zur Kontrolle
   
   

Der klassische Ansatz beginnt mit einem strukturierten Risikomanagementprozess.

Risiken werden systematisch identifiziert, bewertet und typischerweise in drei Kategorien eingeteilt:

• Strategische Risiken
• Externe Risiken
• Vermeidbare Risiken
  
  

Die Logik ist klar:

• Strategische Risiken werden bewusst eingegangen.
• Externe Risiken werden beobachtet und mitigiert.
• Vermeidbare Risiken werden durch Kontrollen reduziert – und bilden die Grundlage des IKS.
  
  

Das IKS entsteht somit als direkte Ableitung aus den relevanten Risiken.

Vorteile des Top-down Ansatzes:

• Klare Risikoorientierung
• Fokus auf wesentliche Risiken
• Saubere Trennung von Risk Management und IKS
• Gute Grundlage für Leitungsorgane
  
  

Herausforderungen:

• Hoher Initialaufwand (Workshops, Analysen)
• Abhängigkeit von Qualität der Risikobewertung
• Schwieriger Einstieg für Organisationen ohne RM-Erfahrung
  
  

2. Der Bottom-up Ansatz: Von der Praxis zur Struktur
   
   

Der Bottom-up Ansatz geht den umgekehrten Weg.

Statt bei der Risikoanalyse zu beginnen, startet man bei den

  bestehenden Prozessen und Kontrollen:

• Finanzprozesse
• Personalprozesse
• IT- und operative Abläufe
  
  

Bewährte Schlüsselkontrollen werden identifiziert, mit den Fachbereichen abgestimmt und zu einem Kontrollplan zusammengeführt.

Vorteile des Bottom-up-Ansatzes:

• Schneller Einstieg
• Hohe Praxisnähe
• Gute Akzeptanz in den Fachbereichen
• Geringer initialer Aufwand
  
  

Herausforderungen:

• Gefahr von blinden Flecken (nicht erkannte Risiken)
• Weniger strategische Perspektive
• Risiko der „Kontrollsammlung ohne Priorisierung“
  
  
  
  
  
  
  
  
  
  
  
  

3. Gegenüberstellung der beiden Ansätze
   
   

Kriterium	Top-Down	Bottom-up
Startpunkt	Risiko-analyse	bestehende Prozesse
Fokus	alle Risiken	vermeid-bare Risiken
Geschwin-digkeit	langsamer	schnell
Tiefe	strategisch fundiert	operativ geprägt
Risikoab-deckung	hoch (bei guter Analyse)	Minimum
Akzeptanz	mittel	hoch

4. Was bedeutet das für die Praxis?
   
   

Die entscheidende Erkenntnis:

Es gibt nicht den einen richtigen Ansatz.

Sondern:

Der richtige Ansatz hängt von der Ausgangslage der Organisation ab.

Typische Szenarien:

• KMU / Gemeinden ohne IKS

→ Bottom-up als pragmatischer Einstieg

• Organisationen mit RM-Erfahrung

→ Top-down für gezielte Steuerung

• Weiterentwicklung bestehender Systeme

→ Kombination beider Ansätze

5. Der entscheidende Punkt: Kombination statt Entscheidung

In der Praxis zeigt sich:

Die wirksamsten Systeme entstehen nicht durch ein Entweder-oder, sondern durch ein bewusstes Zusammenspiel beider Ansätze.

Ein mögliches Vorgehen:

1. Bottom-up starten
   
   

→ schnelle Umsetzung, erste Struktur

2. Top-down ergänzen
   
   

→ Priorisierung, Schliessen von Lücken

3. Beides zusammenführen
   
   

→ fokussiertes, gelebtes IKS

So entsteht ein System, das

• im Alltag funktioniert,
• Risiken gezielt adressiert,
• von der Organisation getragen wird.
  
  

6. Vom System zur Wirkung
   
   

Ein IKS ist nicht wirksam, weil es dokumentiert ist.

Es ist wirksam, wenn es gelebt wird.

Dazu braucht es drei Elemente:

• eine klare Methode
• verständliche und wirksame Kontrollen
• eine operative Umsetzung im Alltag
  
  

Erst das Zusammenspiel dieser Elemente macht aus einem Kontrollplan ein Führungsinstrument.

Fazit: Der Weg ist entscheidend – aber nicht allein

Top-down bringt Klarheit.

Bottom-up bringt Umsetzung.

Die wirksamsten IKS entstehen, wenn beides zusammenkommt.

Organisationen, die diesen Zusammenhang verstehen, schaffen Systeme, die nicht nur bestehen – sondern funktionieren.