IKS und ERP in der Schweiz: Prüfung durch die Revisionsstelle

Was die Revisionsstelle zum internen Kontrollsystem prüft

Der Prüfauftrag der Revisionsstelle ist im Obligationenrecht umschrieben. Bei der ordentlichen Revision gehört dazu die Frage, ob ein internes Kontrollsystem (IKS) vorhanden ist (Art. 728a Abs. 1 Ziff. 3 OR). Die Bestimmung nennt kein bestimmtes Rahmenwerk und kein Testat über die Wirksamkeit; die Geschäftsführung des Verwaltungsrats ist ausdrücklich ausgenommen (Art. 728a Abs. 3 OR).

Der Prüfauftrag reicht über diesen einen Punkt hinaus: Bei der Durchführung und bei der Festlegung des Umfangs der Prüfung berücksichtigt die Revisionsstelle das interne Kontrollsystem (Art. 728a Abs. 2 OR). Was diese Berücksichtigung im Einzelnen verlangt, regelt der Gesetzestext nicht; die Einzelheiten stehen im Berufsrecht der Prüfung (dazu der nächste Abschnitt).

Die IKS-Prüfaufgabe nach Art. 728a Abs. 1 Ziff. 3 OR steht in der Fassung, die am 1. Januar 2008 in Kraft trat; die konsolidierte Fassung Stand 1. Januar 2008 enthält Ziff. 3, aber noch keine Ziff. 4. Ziff. 4 – der Vergütungsbericht bei Gesellschaften mit börsenkotierten Aktien – wurde durch Ziff. I des BG vom 19. Juni 2020 (Aktienrecht) eingefügt und gilt seit 1. Januar 2023.

Den fachlichen Rahmen setzt der Standard PS-CH 890 mit der amtlichen Bezeichnung “Prüfung der Existenz des Internen Kontrollsystems in der Finanzberichterstattung”, in Kraft seit 15. Dezember 2022 (RAB, Rundschreiben 1/2008, Stand 15. Dezember 2025). Bis 2022 hiess er PS 890; im Rundschreiben Stand 1. August 2020 steht er mit diesem Namen und dem Inkrafttreten per 1. Januar 2008. Er ist Berufsrecht des Verbands EXPERTsuisse und kein Gesetzesrecht; die RAB führt ihn in diesem Rundschreiben unter den Standards, die staatlich beaufsichtigte Revisionsunternehmen bei der Revision von Jahres- und Konzernrechnungen von Gesellschaften des öffentlichen Interesses einzuhalten haben (Art. 16a RAG; Ziff. I und II des Rundschreibens). Nach Art. 2 ASV-RAB sind nach Obligationenrecht erstellte Jahres- und Konzernrechnungen nach den von der RAB anerkannten Schweizer Standards zur Abschlussprüfung (SA-CH) zu prüfen; die Verordnung gilt nach Art. 1 ASV-RAB für Revisionsunternehmen unter ihrer Aufsicht.

Wer ordentlich prüfen lassen muss

Ordentlich geprüft werden Publikumsgesellschaften im Sinne von Art. 727 Abs. 1 Ziff. 1 OR, Gesellschaften mit Pflicht zur Konzernrechnung (Ziff. 3) und Gesellschaften, die zwei der drei folgenden Grössen in zwei aufeinander folgenden Geschäftsjahren überschreiten: Bilanzsumme von 20 Millionen Franken, Umsatzerlös von 40 Millionen Franken, 250 Vollzeitstellen im Jahresdurchschnitt (Ziff. 2). Die Schwellen gelten in der Fassung, die am 1. Januar 2012 in Kraft trat.

Auch ohne diese Grössen ist die ordentliche Revision möglich: Sie muss vorgenommen werden, wenn Aktionäre, die zusammen mindestens 10 Prozent des Aktienkapitals vertreten, es verlangen (Art. 727 Abs. 2 OR), und sie ist zulässig, wenn die Statuten sie vorsehen oder die Generalversammlung sie beschliesst (Abs. 3).

Sind diese Voraussetzungen nicht erfüllt, lässt die Gesellschaft nur eingeschränkt prüfen (Art. 727a Abs. 1 OR). Dort fehlt der IKS-Punkt: Nach Art. 729a Abs. 1 OR prüft die Revisionsstelle, ob Sachverhalte vorliegen, aus denen zu schliessen ist, dass die Jahresrechnung oder der Antrag über die Verwendung des Bilanzgewinnes nicht den gesetzlichen Vorschriften und den Statuten entspricht. Die Prüfung beschränkt sich auf Befragungen, analytische Prüfungshandlungen und angemessene Detailprüfungen (Abs. 2).

Mit der Zustimmung sämtlicher Aktionäre kann auf die eingeschränkte Revision verzichtet werden, wenn die Gesellschaft nicht mehr als zehn Vollzeitstellen im Jahresdurchschnitt hat (Art. 727a Abs. 2 OR). Der Verzicht gilt nur für künftige Geschäftsjahre und muss vor Beginn des Geschäftsjahres beim Handelsregisteramt angemeldet werden; seit 1. Januar 2025 ist der Anmeldung die Jahresrechnung des zuletzt abgelaufenen Geschäftsjahres beizulegen (Abs. 2bis). Er wirkt auch für die folgenden Jahre, doch jeder Aktionär kann spätestens zehn Tage vor der Generalversammlung eine eingeschränkte Revision verlangen (Abs. 4).

Für die GmbH erklärt Art. 818 Abs. 1 OR die Vorschriften des Aktienrechts über die Revisionsstelle für entsprechend anwendbar. Den IKS-Punkt nach Art. 728a Abs. 1 Ziff. 3 OR prüft die Revisionsstelle damit überall dort, wo ordentlich geprüft wird: bei den Gesellschaften nach Art. 727 Abs. 1 OR und bei Gesellschaften, die nach Art. 727 Abs. 2 oder 3 OR ordentlich prüfen lassen. Gesellschaften mit eingeschränkter Revision und solche mit wirksamem Verzicht kennen ihn nicht.

Diese Unterlagen verlangt die Prüfung vom ERP

Die Herausgabepflicht knüpft an den Bedarf der Prüfung an: Der Verwaltungsrat übergibt der Revisionsstelle alle Unterlagen und erteilt ihr die Auskünfte, die sie für die Erfüllung ihrer Aufgaben benötigt, auf Verlangen auch schriftlich (Art. 730b Abs. 1 OR). Die Vorschrift nennt keine einzelnen Dokumente; welche Unterlagen nötig sind, ergibt sich aus dem jeweiligen Prüfauftrag. Sie steht in den gemeinsamen Bestimmungen und gilt für die ordentliche wie die eingeschränkte Revision.

Die folgende Liste ist eine redaktionelle Zusammenstellung möglicher Nachweise aus dem ERP, keine amtliche Liste; sie ordnet jeder Unterlage die Pflicht zu, die sie belegt.

Unterlage aus dem ERP	Was sie zeigt	Grundlage
Rollen- und Rechteübersicht	welche Personen erfassen, freigeben und Stammdaten ändern dürfen	Art. 4 Abs. 1 GeBüV; Art. 728a Abs. 2 OR
Journal und Kontenauszug	dass die Geschäftsvorfälle vollständig und systematisch erfasst (OR) sowie chronologisch und sachlogisch gegliedert sind (GeBüV)	Art. 1 Abs. 2 GeBüV; Art. 957a Abs. 2 Ziff. 1 OR
Hilfsbücher, darunter die fortlaufende Führung der Warenbestände	Bestand, Schuld- und Forderungsverhältnisse	Art. 1 Abs. 3 GeBüV
Änderungsprotokolle zu Buchungen und Stammdaten	ob eine Änderung ohne Feststellbarkeit möglich war	Art. 3 GeBüV
Freigabebelege zu Bestellung, Wareneingang, Rechnung und Zahlungslauf	ob die dokumentierten Zuständigkeiten eingehalten wurden	Art. 4 Abs. 1 GeBüV; Art. 3 GeBüV
Zugriffs- und Zutrittsaufzeichnungen	wer zugegriffen hat und dass die Aufzeichnungen gleich lang wie die Datenträger aufbewahrt werden	Art. 8 GeBüV
Kennzeichnung archivierter Daten und Verantwortlichkeiten	dass archivierte von aktuellen Informationen unterscheidbar sind und die Verantwortung dokumentiert ist	Art. 7 Abs. 1 GeBüV
Arbeitsanweisungen zu Abläufen und Infrastruktur	wie die Bücher geführt und aufbewahrt werden	Art. 4 Abs. 1 und 2 GeBüV
Protokolle über Datenübertragungen auf einen anderen Informationsträger	dass jede Übertragung dokumentiert und das Protokoll mit den Informationen aufbewahrt wird	Art. 10 Abs. 3 GeBüV
Lesbarkeit ohne Hilfsmittel, etwa als Auszug oder Export	dass die Geschäftsbücher innert angemessener Frist einsehbar und prüfbar und auf Begehren ohne Hilfsmittel lesbar sind	Art. 6 Abs. 1 und 3 GeBüV

Die Rechteübersicht ist nur so gut wie ihre Pflege: Das Vorgehen für Konten und Rollen beschreibt der Artikel zur Benutzerverwaltung im ERP, die Trennung unvereinbarer Rechte der Artikel zur Funktionstrennung im ERP.

Was das ERP dafür technisch mitbringen muss

Die Vorschriften des OR zur Buchführung und Aufbewahrung (Art. 957, 957a und 958f) beruhen auf der Revision des Rechnungslegungsrechts, in Kraft seit 1. Januar 2013. Das Journal erfasst die Geschäftsvorfälle chronologisch, die Konten gliedern sie sachlogisch (Art. 1 Abs. 2 GeBüV). Neben dem Hauptbuch sind je nach Art und Umfang des Geschäfts Hilfsbücher zu führen, darunter die Debitoren- und Kreditorenbuchhaltung und die fortlaufende Führung der Warenbestände (Art. 1 Abs. 3 GeBüV). Buchführungspflichtig sind juristische Personen sowie Einzelunternehmen und Personengesellschaften ab CHF 500’000 Umsatzerlös im letzten Geschäftsjahr (Art. 957 Abs. 1 OR).

Kernanforderung an ein ERP ist die Feststellbarkeit von Änderungen: Geschäftsbücher und Buchungsbelege müssen so geführt und aufbewahrt werden, dass sie nicht geändert werden können, ohne dass sich dies feststellen lässt (Art. 3 GeBüV). Die Wahl des Informationsträgers ist frei, aber an Bedingungen geknüpft: Veränderbare Informationsträger sind zulässig, wenn technische Verfahren die Integrität sichern, der Speicherzeitpunkt unverfälschbar nachweisbar ist, die zum Zeitpunkt der Speicherung bestehenden Vorschriften über den Einsatz der Verfahren eingehalten werden und die Abläufe dokumentiert sowie Hilfsinformationen wie Protokolle und Logfiles aufbewahrt sind (Art. 9 Abs. 1 Bst. b GeBüV).

Fünf Betriebspflichten sind für die Prüfung unmittelbar relevant. Die Geschäftsbücher müssen bis zum Fristende von einer berechtigten Person innert angemessener Frist eingesehen und geprüft werden können, soweit nötig mit verfügbarem Personal und Geräten, und auf Begehren ohne Hilfsmittel lesbar sein (Art. 6 GeBüV). Archivierte Informationen sind von aktuellen zu trennen oder so zu kennzeichnen, dass eine Unterscheidung möglich ist; die Verantwortung ist klar zu regeln und zu dokumentieren, und auf archivierte Daten muss innert nützlicher Frist zugegriffen werden können (Art. 7 GeBüV). Die Informationen sind systematisch zu inventarisieren, vor unbefugtem Zugriff zu schützen, und Zugriffe und Zutritte sind aufzuzeichnen; diese Aufzeichnungen unterliegen derselben Aufbewahrungspflicht wie die Datenträger (Art. 8 GeBüV). Die Informationsträger sind regelmässig auf ihre Integrität und Lesbarkeit zu prüfen (Art. 10 Abs. 1 GeBüV). Eine Übertragung in ein anderes Format oder auf einen anderen Informationsträger (Datenmigration) ist zulässig, wenn die Vollständigkeit und die Richtigkeit der Informationen gewährleistet bleiben und die Verfügbarkeit und die Lesbarkeit den gesetzlichen Anforderungen weiterhin genügen (Art. 10 Abs. 2 GeBüV); die Übertragung von einem Informationsträger auf einen anderen ist zu protokollieren und das Protokoll ist mit den Informationen aufzubewahren (Art. 10 Abs. 3 GeBüV).

Aufzubewahren sind Geschäftsbücher, Buchungsbelege, Geschäftsbericht und Revisionsbericht während zehn Jahren ab Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR); Geschäftsbericht und Revisionsbericht schriftlich und unterzeichnet (Abs. 2). Wie Sie Buchführung und Aufbewahrung im ERP einrichten, steht im Artikel zur ordnungsmässigen Buchführung nach OR und GeBüV; das Scannen und Vernichten von Papierbelegen behandelt Papierbelege scannen und vernichten.

Was die Revisionsstelle berichtet

Das Ergebnis der IKS-Prüfung geht an den Verwaltungsrat. Die Revisionsstelle erstattet ihm einen umfassenden Bericht mit Feststellungen über die Rechnungslegung, das interne Kontrollsystem sowie die Durchführung und das Ergebnis der Revision (Art. 728b Abs. 1 OR). Für Gesellschaften des öffentlichen Interesses verlangt das RAB-Rundschreiben 1/2009 zusätzlich eine Zusammenfassung der Prüfungsergebnisse zum IKS mit Erläuterungen zum Ausbau- und Dokumentationsgrad (Abschnitt II, Rz 5–9). Mängel im internen Kontrollsystem werden nach dem Standard ISA-CH 265 “Mitteilung von Mängeln im internen Kontrollsystem an die für die Überwachung Verantwortlichen und das Management” kommuniziert, in Kraft seit 15. Dezember 2022 (RAB, Rundschreiben 1/2008).

Die Generalversammlung erhält den zusammenfassenden Bericht nach Art. 728b Abs. 2 OR mit der Stellungnahme zum Prüfungsergebnis, Angaben zur Unabhängigkeit und zur leitenden Person sowie der Empfehlung, ob die Jahresrechnung mit oder ohne Einschränkung zu genehmigen oder zurückzuweisen ist. Die detaillierten Feststellungen zum IKS stehen im umfassenden Bericht an den Verwaltungsrat. Beide Berichte unterzeichnet die Person, welche die Revision geleitet hat (Abs. 3). Der Revisionsbericht muss vorliegen, bevor die Generalversammlung die Jahresrechnung und die Konzernrechnung genehmigt und über die Verwendung des Bilanzgewinns beschliesst (Art. 731 Abs. 1 OR). Verstösse gegen Gesetz, Statuten oder Organisationsreglement meldet die Revisionsstelle schriftlich dem Verwaltungsrat (Art. 728c Abs. 1 OR).

Checkliste für die Prüfungsvorbereitung

• Rollen und Rechte aus dem ERP mit Stichtag exportieren und mit den Stellen vergleichen, die das Organigramm nennt (Art. 4 Abs. 1 GeBüV).
• Für eine Stichprobe von Buchungen prüfen, ob der Beleg im System verknüpft ist (Art. 957a Abs. 2 Ziff. 2 OR).
• Beim Änderungsprotokoll nachsehen, ob Änderungen an Buchungen und Stammdaten mit Person und Zeitpunkt hervorgehen (Art. 3 GeBüV).
• Prüfen, ob Zugriffe und Zutritte aufgezeichnet werden und diese Aufzeichnungen gleich lang aufbewahrt werden wie die Datenträger (Art. 8 GeBüV).
• Prüfen, ob archivierte Datenbestände von den aktuellen unterscheidbar sind und die Verantwortung für das Archiv dokumentiert ist (Art. 7 Abs. 1 GeBüV).
• Arbeitsanweisungen auf den aktuellen Stand bringen und die Fassung aufbewahren, die für die abgeschlossenen Geschäftsjahre galt (Art. 4 Abs. 2 GeBüV).
• Einen Lesekonto oder Export vorbereiten, mit dem sich die Geschäftsbücher innert angemessener Frist einsehen und prüfen lassen und der sie auf Begehren auch ohne Hilfsmittel lesbar macht (Art. 6 GeBüV).
• Datenübertragungen auf einen anderen Informationsträger der letzten zehn Jahre mit ihren Protokollen zusammenstellen (Art. 10 Abs. 3 GeBüV).
• Prüfen, ob Geschäftsbericht und Revisionsbericht der Vorjahre unterzeichnet und für zehn Jahre ab Ablauf des Geschäftsjahres abgelegt sind (Art. 958f Abs. 1 und 2 OR).