Leitfaden Governance
Internes Kontrollsystem (IKS) im Family Office
Stand: · Leutrim Miftaraj, FLIORE · Redaktionsgrundsätze
Kurzantwort
Ein internes Kontrollsystem (IKS) stellt sicher, dass Zahlungen richtig freigegeben, Bestände abgestimmt, Bewertungen geprüft und Zugriffe beschränkt sind – und dass sich das nachweisen lässt. Es besteht aus Kontrollzielen, einer Risiko-Kontroll-Matrix, dokumentierten Schlüsselkontrollen und regelmäßigen Tests. Für ein Family Office muss es angemessen sein: schlank, aber vollständig für die wesentlichen Risiken.
Warum ein IKS auch im kleinen Family Office
Family Offices verwalten große Vermögen mit kleinen Teams. Wenige Personen können Zahlungen auslösen, Stammdaten ändern und Berichte erstellen – genau die Konstellation, in der Fehler und Missbrauch unbemerkt bleiben. Ein IKS schützt Familie und Team gleichermassen: Es verhindert Fehler, deckt sie auf und belegt, dass ordnungsgemäß gearbeitet wurde. In der Schweiz prüft die Revisionsstelle bei der ordentlichen Revision, ob ein IKS existiert (Art. 728a OR); bei eingeschränkter Revision oder Opting-out bleibt es eine Frage guter Führung.
Die Bausteine nach COSO
- Kontrollumfeld: Haltung der Leitung, klare Rollen, Vier-Augen-Prinzip als Kultur.
- Risikobeurteilung: Welche Fehler oder Missbräuche hätten wesentliche Folgen?
- Kontrollaktivitäten: konkrete Kontrollen, die diese Risiken verhindern oder aufdecken.
- Information und Kommunikation: Jede Person kennt ihre Kontrollen und meldet Abweichungen.
- Überwachung: Regelmäßige Tests, ob die Kontrollen wirken, und Verbesserung.
Risiko-Kontroll-Matrix (Beispiel)
| Risiko | Kontrolle | Rhythmus | Nachweis |
|---|---|---|---|
| Fehlerhafte oder betrügerische Zahlung | Erfassung und Freigabe durch verschiedene Personen, Limiten | Jede Zahlung | Freigabeprotokoll |
| Geänderte Bankverbindung eines Empfängers | Rückruf auf bekannte Nummer, getrennte Stammdatenfreigabe | Jede Änderung | Vermerk mit Datum und Person |
| Falsche Bestände im Bericht | Abstimmung Konten und Depots mit Bankauszügen | Monatlich | Abstimmungsprotokoll |
| Veraltete oder geschönte Bewertung | Unabhängige Prüfung, Bewertungsdatum sichtbar | Quartalsweise | Bewertungsnachweis |
| Unberechtigter Zugriff | Rechte nach Rollen, Überprüfung, Zwei-Faktor-Anmeldung | Halbjährlich | Prüfbericht der Rechte |
| Verpasste Frist | Zentraler Kalender mit Verantwortlichen | Laufend | Erledigungsvermerk |
| Ungeprüfte Geschäftsbeziehung | Freigabe nach KYC, periodische Überprüfung | Laufend | KYC-Akte, Prüfprotokoll |
Aufbau in Schritten
- Prozesse mit wesentlichen Risiken bestimmen: Zahlungen, Stammdaten, Bewertung, Reporting, Zugriffe, Compliance.
- Je Prozess Risiken beschreiben und bewerten.
- Schlüsselkontrollen festlegen: wer, was, wann, mit welchem Nachweis.
- Kontrollen in Abläufe und Systeme einbauen statt in separate Checklisten.
- Einmal jährlich testen, ob die Kontrollen wirken, Mängel beheben und dokumentieren.
- Ergebnisse der Leitung und dem zuständigen Gremium berichten.
Angemessenheit statt Bürokratie
Ein IKS ist nicht dann gut, wenn es viele Kontrollen hat, sondern wenn es die wesentlichen Risiken abdeckt und gelebt wird. Ein Family Office mit vier Mitarbeitenden braucht keine hundert Kontrollen, aber eine lückenlose Zahlungsfreigabe, eine monatliche Bankabstimmung, ein Berechtigungskonzept und einen Fristenkalender. Wo Funktionstrennung wegen der Größe nicht möglich ist, helfen ausgleichende Kontrollen, etwa eine nachträgliche Durchsicht durch die Leitung oder ein externes Mandat.
Praxisbeispiel (vereinfacht)
In einem Family Office erfasst und gibt eine erfahrene Buchhalterin Zahlungen bisher allein frei; die Leitung sieht monatlich eine Liste. Nach einer Risikobeurteilung wird die Freigabe zweistufig: Zahlungen über 10 000 Franken braucht eine zweite Person, Änderungen von Bankverbindungen werden telefonisch auf bekannte Nummer bestätigt und von einer anderen Person freigegeben. Der erste Jahrestest zeigt eine Lücke: Daueraufträge waren nicht erfasst. Sie werden in die Kontrolle aufgenommen, der Mangel ist dokumentiert und behoben.
Typische Kontrollschwächen
Bestimmte Schwächen tauchen in Family Offices immer wieder auf. Die häufigste ist die Verbindung von Stammdatenpflege und Zahlungsfreigabe in einer Hand: Wer Empfängerdaten ändern und Zahlungen freigeben kann, braucht keine Komplizen. Ebenso verbreitet sind Bankvollmachten ehemaliger Mitarbeitender, Abstimmungen, die zwar durchgeführt, aber nicht dokumentiert werden, und Bewertungen, die dieselbe Person erstellt und prüft.
Bei kleinen Teams kommt hinzu, dass Kontrollen in Ferienzeiten ausfallen, weil die Stellvertretung fehlt. Und schließlich werden Kontrollen oft nicht an Veränderungen angepasst: Eine neue Bank, ein neues Konto oder ein neuer Zahlungsweg – etwa Kreditkarten oder Kryptowerte – entsteht außerhalb der bestehenden Kontrollen. Eine jährliche Durchsicht, welche Prozesse, Konten und Zugänge neu hinzugekommen sind, schließt diese Lücke.
Umsetzung in FLIORE
FLIORE baut zentrale Kontrollen in die Abläufe ein: Freigaben im Vier-Augen-Prinzip, rollenbasierte Rechte mit erzwingbarer Zwei-Faktor-Anmeldung, Kontrollen mit Fälligkeiten im Compliance-Kalender und ein lückenloses Prüfprotokoll als Nachweis.
Auf einen Blick
| Rahmenwerk | COSO Internal Control – Integrated Framework |
|---|---|
| Schweiz | Revisionsstelle prüft bei ordentlicher Revision die Existenz eines IKS (Art. 728a OR) |
| Kernkontrollen | Zahlungsfreigabe, Stammdaten, Bankabstimmung, Bewertung, Zugriffe, Fristen |
Häufige Fragen
Ist ein IKS für ein Family Office Pflicht?
Direkt verlangt ist es in der Schweiz insbesondere im Rahmen der ordentlichen Revision. Für beaufsichtigte Finanzintermediäre ergeben sich Anforderungen aus dem Aufsichtsrecht. Für alle anderen ist es Ausdruck sorgfältiger Führung.
Wie viele Kontrollen braucht es?
So viele wie nötig, um die wesentlichen Risiken abzudecken. In kleinen Family Offices genügen oft zehn bis zwanzig Schlüsselkontrollen.
Was tun, wenn das Team zu klein für Funktionstrennung ist?
Ausgleichende Kontrollen einsetzen: nachträgliche Durchsicht durch die Leitung, Limiten, Bestätigungen durch die Bank oder externe Unterstützung bei der Freigabe.
Wie wird ein IKS getestet?
Stichproben je Kontrolle: Wurde sie durchgeführt, rechtzeitig, von der richtigen Person, mit Nachweis? Ergebnisse und Mängel werden dokumentiert.
Wer ist für das IKS verantwortlich?
Die Leitung des Family Office bzw. das oberste Leitungsorgan der Gesellschaft. Die Umsetzung kann an CFO oder Compliance delegiert werden.
Wie verhält sich das IKS zum Berechtigungskonzept?
Das Berechtigungskonzept ist Teil des IKS: Es regelt, wer was darf. Das IKS umfasst darüber hinaus Abstimmungen, Freigaben, Bewertungen und deren Überwachung.
Was ist eine ausgleichende Kontrolle?
Eine Kontrolle, die eine fehlende Funktionstrennung ersetzt, etwa eine nachträgliche Durchsicht aller Zahlungen durch die Leitung, Limiten pro Person oder eine Bestätigung durch die Bank bei hohen Beträgen.
Wie dokumentiert man Kontrollen ohne großen Aufwand?
Indem sie in die Systeme eingebaut werden: Freigaben, Abstimmungen und Rechteprüfungen hinterlassen dort automatisch einen Nachweis mit Datum und Person. Separate Checklisten werden dagegen häufig vergessen.
Wer testet das IKS?
In kleinen Family Offices oft die Leitung oder eine externe Fachperson, in größeren eine interne Revision. Wichtig ist, dass die testende Person die Kontrolle nicht selbst durchführt.
Wie oft sollten Kontrollen angepasst werden?
Bei jeder Veränderung von Prozessen, Banken, Systemen oder Personal und zusätzlich bei der jährlichen Überprüfung. Ein IKS, das nicht mitwächst, schützt nicht vor den neuen Risiken.
Quellen
- Obligationenrecht (OR, SR 220) – Fedlex
- COSO – Internal Control – Integrated Framework
- EXPERTsuisse – Schweizer Prüfungsstandards
- Institut der Wirtschaftsprüfer (IDW)
- ISO/IEC 27001 – Informationssicherheits-Managementsysteme
Diese Seite bietet Orientierung und ersetzt keine Rechts- oder Steuerberatung. Maßgebend sind die zitierten Rechtsquellen in ihrer jeweils geltenden Fassung.
Weiterlesen
Mehr zu Betrieb, Sicherheit & Technologie
FLIORE in Ihrem Family Office
Sehen Sie Strukturen, Compliance und konsolidiertes Vermögen mit Ihren eigenen Fragestellungen – in einer persönlichen Demo.