Systematisierung Interner Kontrollsysteme (IKS)

1. Systematisierung Interner Kontrollsysteme (IKS) Referat IKS-Systematisierung 14.6.2006

2. Informations - Ziel: • IKS-Definition • IKS-Zuständigkeit • IKS-STZH: IST-/SOLL-Zustand • COSO: IKS-Vorgehenssystematik Referat IKS-Systematisierung 14.6.2006

3. Definition „Internes Kontrollsystem“ (IKS)* Das IKS ist ein Managementinstrument zur zweckmässigen Sicherstellung der Erreichung von Unternehmenszielen in den Bereichen “Prozesse“, “Informationen“, “Vermögensschutz“ und “Compliance“. Das IKS umfasst alle dafür von der Geschäfts-leitung planmässig angeordneten organisatorischen Methoden und Massnahmen. * u.a. gemäss IKS-Positionspapier der Treuhandkammer - 3.2006 Referat IKS-Systematisierung 14.6.2006

4. IKS - „Rollenverteilung“ - Exekutive: Gesamtverantwortung • DienstchefIn: Verantwortlich für DA-IKS (Zweckmässigkeit und Einhaltung in operativen und finanziellen Bereichen) • b • Finanzkontrolle:Beurteilt IKS systematisch und trägt zu dessen Verbesserung bei • (IAA-Standard 2100: Kernaktivität der Internen Revision) Referat IKS-Systematisierung 14.6.2006

5. IKS IST-Zustand (1) Interne Kontrollsysteme bzw. Kontroll-/ Steuerungsmassnahmen existieren in jeder Dienstabteilung Basis: Städtische Vorgaben (StRB Glie- derung/Aufgaben, Kompetenzordnung, Anweisungsverfahren, Verfügung Buchführung etc.) Referat IKS-Systematisierung 14.6.2006

6. IKS IST-Zustand (2) Meist gewachsene Systeme: • Massnahmen aufgrund von Vorfällen • Punktuelle Umsetzung unterschiedlicher betriebswirtschaftlicher Kenntnisse Qualitätsmanagement z.T. vorhanden aber: QM IKS Referat IKS-Systematisierung 14.6.2006

7. IKS IST-Zustand (3) IKS-Qualitätsanforderung/-messung: • Definition oft unklar • Unterschiedliches Verständnis • Kein Vorgehens-Standard • Terminologie nicht einheitlich(Kontrollmassnahme ?) Referat IKS-Systematisierung 14.6.2006

8. IKS SOLL-Zustand Systematische, nachvollziehbare Sicherstellung von Zielen: • Potentielle Zielverhinderung = RisikoRisikoanalyse • Daraus abgeleitet: Steuerungs-/Kontrollmassnahmen • MA: IKS-Auftrag und -Verantwortung klar • Stadtweit einheitliche IKS-Systematik !Im Rechnungswesen gilt die COSO-Vorgehensweise Referat IKS-Systematisierung 14.6.2006

9. Modell-Wahl: COSO Standard, der sich in der Schweiz und International zur Systematisierung Interner Kontrollsysteme durchsetzt Referat IKS-Systematisierung 14.6.2006

10. COSO = Rahmenstruktur für Interne Kontrollsysteme COSO = Committee of Sponsoring Organizations of the Treadway Commission Referat IKS-Systematisierung 14.6.2006

11. IKS-Systematisierung Was ändert sich nicht: - Organisatorische Grundsätze - Steuerungs-/Kontrollmassnahmen Referat IKS-Systematisierung 14.6.2006

12. Steuerungs-/Kontrollmassnahmen wie bisher: Organigramm, Stellenbeschreibung, Controlling, Qualitäts-/Prozessmanagement etc. Ordnungsmässigkeit, Vier-Augen-Prinzip, Funktionentrennung, Stellvertretungen, Aufsichtspflicht etc. Übereinstimmung von Auftrag – Kompetenz – Verantwortung Routineabläufe standardisieren – Rahmenbedingungen für Problemlösungsbereiche Referat IKS-Systematisierung 14.6.2006

13. „Neu“: Systematische Vorgehensweise COSO-Modell Ziele und Faktoren sind mit- und untereinander vernetzt Ziele Compliance Informationen Vermögens-schutz Prozesse System-Überwachung Aktivitäten Information & Kommunikation Dienstabteilungen IKS-Faktoren Departemente Kontrollmassnahmen Risikoanalyse Bereiche Internes Umfeld Referat IKS-Systematisierung 14.6.2006

14. IKS-Ansatz Risikoorientierte Kontrollen • auf Unternehmensebene (Entity Level Controls) und • Prozessebene Referat IKS-Systematisierung 14.6.2006

15. IKS-Zielsetzungen - Prozesse:Effektiv und effizient - Informationen: Zuverlässig und Vollständig (Ordnungsmässigkeit) - Vermögensschutz:Finanzen, HR, Know-how • Compliance: Einhaltung von Rahmen- bedingungen, Verträgen etc. Referat IKS-Systematisierung 14.6.2006

16. IKS-Faktoren/Komponenten (Vorgehens-Systematik) System-Überwachung • IKS-Verständnis • Ethik, Integrität, Fach-Kompetenz • Management-Philosophie/ -Arbeitsstil • Organisatorische Struktur • Zuweisung A-K-V • Personalpolitik und deren Umsetzung Information & Kommunikation Kontrollmassnahmen Risikoanalyse Internes Umfeld Referat IKS-Systematisierung 14.6.2006

17. IKS-Faktoren/Komponenten • Definition Geschäftsbereiche/ Ziele • Prozesse und Ziele definieren • Risiken identifizieren • - Prozesse • - Informationen • - Betriebsvermögen • - Compliance • Risiken beurteilen(Relevanz, Eintrittswahrscheinlichkeit, Behandlung) • Massnahmen/Kontrollziele festlegen zur Beherrschung der Risiken System-Überwachung Information & Kommunikation Kontrollmassnahmen Risikoanalyse Internes Umfeld Referat IKS-Systematisierung 14.6.2006

18. IKS-Faktoren/Komponenten System-Überwachung Umsetzung der Risikoanalyse: - Organisatorische Instrumente - Führungskontrolle Steuerungs- und Kontrollmassnahmen in Prozesse integrieren! Information & Kommunikation Kontrollmassnahmen Risikoanalyse Internes Umfeld Referat IKS-Systematisierung 14.6.2006

19. IKS-Faktoren/Komponenten Systematische, prozess-unabhängige IKS-Überprüfung System-Überwachung • Informationsbedarf definieren, Inform.systeme bereitstellen: Wer braucht was? • Geeignete Kommunikation • sicherstellen: Was - Wie – Wann (Sitzungen, Protokolle, Mail, Intranet, Systemzugang etc.) Information & Kommunikation Kontrollmassnahmen Risikoanalyse Internes Umfeld Referat IKS-Systematisierung 14.6.2006

20. Details + Beispiel zur Risikoanalyse System-Überwachung Information & Kommunikation Kontrollmassnahmen Risikoanalyse Internes Umfeld Referat IKS-Systematisierung 14.6.2006

21. Systematische Vorgehensweise DetailsBeispiel Referat IKS-Systematisierung 14.6.2006

22. Risikoanalyse • Definition Geschäftsbereiche/Ziele • Prozesse und Ziele definieren • Risiken identifizieren (Wald & Bäume !) - Prozesse Effektiv/Effizient - Informationen (F/O)Zuverlässig/Vollständig - Betriebsvermögen Finanzen, HR, Know-how - Compliance Rahmenbedingungen einhalten • Risiken beurteilen(Relevanz, Eintrittswahr- scheinlichkeit, Behandlung) • Massnahmen (Steuerung & Kontrolle) und Kontrollziele festlegen zur Beherrschung der Risiken Referat IKS-Systematisierung 14.6.2006

23. Risikoanalyse: Beispiel Lohnprozess (1) Prozess-Ziel: Termingerechte, korrekte Lohnauszahlung an alle berechtigten MA mit ordnungsgemässem Ausweis in der Stadtrechnung Arbeitszeiterfassung Interne Erfassung der Mutationen Meldung an HR Kontrolle Lohnjournal Abstimmung Lohnjournal mit FIBU Referat IKS-Systematisierung 14.6.2006

24. Risikoanalyse: Beispiel Lohnprozess (2) Mögliches Ergebnis bei „traditioneller“ Vorgehensweise: Grundlagen Prozessablauf Beachten Präsenz, Ferien, Ab-wesenheiten, Urlaub AB PR Arbeitszeiterfassung Interne Erfassung der Mutationen Ein-/Austritt, Zulagen, Abzüge, etc. PR, AB PR Richtlinien Lohn-auszahlungen Meldung an HR Verantwortung bei DA Kontrolle Lohnjournal Stadtrechnung =IST-Löhne NachweisJahres-abschluss Abstimmung Lohnjournal mit FIBU Referat IKS-Systematisierung 14.6.2006

25. Risikoanalyse: Beispiel Lohnprozess (3) Ergebnis mit strukturierter Risikoanalyse nach COSO-Zielsetzungen: Prozesseffektivität: - Aufgabe/Zielsetzung klar - Verantwortung zugewiesen - Prozessabläufe definiert (wer macht wann was) - Mögliche Fehlerquellen eruiert Prozesseffizienz: - Die nötigen Instrumente und Hilfsmittel vorhanden - Zweckmässiger Einsatz sichergestellt - Evtl. Termin-/Zeitvorgaben Referat IKS-Systematisierung 14.6.2006

26. Risikoanalyse: Beispiel Lohnprozess (4) Zuverlässigkeit / Vollständigkeit der Informationen: - Die benötigten Informationen sind klar definiert - Die nötigen organisatorischen Massnahmen und Instrumente sowie die Zuständigkeiten sind definiert, damit die Ordnungsmässigkeit gewährleistet ist. Z.B.: Die Korrektheit der Angaben an die Mutationsbeauftragten ist sichergestellt Das Lohnjournal wird zweckmässig überprüft Die Kostenstellenverantwortlichen erhalten die nötigen Angaben zur Überprüfung ihrer Bereichsdaten Referat IKS-Systematisierung 14.6.2006

27. Risikoanalyse: Beispiel Lohnprozess (5) Vermögensschutz Finanzen: Korrektheit Lohnauszahlung sichergestellt (Abzüge, Rückforderungen im Griff) MA: Richtige Person am richtigen Ort (z.B. ZBG) Know how: - Stellvertretung - Wissensanforderung definiert/sichergestellt Image: Kundenorientierung - Termineinhaltung - Qualität, Problembehandlung - Erreichbarkeit (Telefon, Präsenz) Referat IKS-Systematisierung 14.6.2006

28. Risikoanalyse: Beispiel Lohnprozess (6) Compliance: - Zuständigkeit für Einhaltung (und Ausnahmen) von Rahmenbedingungen festgelegt - Alle relevanten Rahmenbedingungen sind bekannt/aufgelistet und den entsprechenden Prozessen zugeordnet - Die Einhaltung der relevanten Vorgaben ist in den Prozessabläufen sichergestellt - Allfällige interneVorschriften sind im Einklang mit den städtischen Vorgaben (Arbeitszeit, Bildungsbereich etc.) Referat IKS-Systematisierung 14.6.2006

29. Fazit (1) (Bisher ging‘s doch auch !?) • Ohne einheitliche IKS-Systematik: • Unterschiedliche IKS-Lösungen/Standard • Improvisations-/Sitzungsaufwand • MitarbeiterInnen, die Vakuum ausfüllen • Unklarheiten, Lehrläufe, Missverständnisse Referat IKS-Systematisierung 14.6.2006

30. Fazit (2) COSO als Vorgehenssystematik • Unterstützung der Führungs- und Aufsichtsfunktion: • Hilft IKS-Anforderungen zu konkretisieren (Klar, Verbindlichkeit) • Effektiv/Effizient durch Systematik (Vollständigkeit der Risikoanalyse, keine „Verzettelung“, Synergiegewinne durch Nachvollziehbarkeit) • Vergleichbar (Kennzahlen Erfüllungsgrad) • Image: Anerkannter, internationaler Standard Referat IKS-Systematisierung 14.6.2006

31. IKS-Unterstützung: • Revisionen • IKS-Kaderinformation • Checklisten IKS-Selbstdeklaration • Informationsgespräche mit der FK • Leitfaden „IKS im Rechnungswesen“ • IKS Management-Standards • Vorgaben für IKS-Übersicht/“Handbuch“ • Managementausbildung: IKS geplant Referat IKS-Systematisierung 14.6.2006

32. Ende Referat Referat IKS-Systematisierung 14.6.2006