von Marc Arnet

Wirtschaftskriminalität wird häufig mit Grossunternehmen in Verbindung gebracht. Tatsächlich sind jedoch insbesondere Schweizer KMU gefährdet. Sie verfügen oft über schlanke Organisationsstrukturen, begrenzte personelle Ressourcen und eine ausgeprägte Vertrauenskultur. Fehlende Funktionstrennungen, reduzierte oder nicht vorhandene Kontrollen und langjährige Mitarbeitende mit weitreichenden Kompetenzen schaffen Gelegenheiten für dolose Handlungen, die häufig über längere Zeit unentdeckt bleiben.

Warum Betrug auch in Schweizer KMU ein erhebliches Risiko darstellt

Betrug beruht häufig nicht auf komplexen Manipulationen, sondern auf dem Ausnutzen organisatorischer Schwächen. Gleichzeitig erhöhen Digitalisierung, elektronische Zahlungsprozesse und Remote-Arbeit das Risiko von Cyberbetrug, manipulierten Zahlungsanweisungen und CEO-Fraud.

Die häufigsten Betrugsformen in Unternehmen sind:

• Veruntreuung von Vermögenswerten, beispielsweise durch private Nutzung von Firmenkreditkarten, fingierten Spesenabrechnungen, unautorisierten Zahlungen, Diebstahl von Waren oder manipulierten Debitorenzahlungen.
• Manipulation der Rechnungslegung, etwa durch überhöhte Vorratsbewertungen, unzulässige Aktivierungen, Verschiebung von Umsätzen, unangemessene Rückstellungen oder die Verschleierung wirtschaftlicher Schwierigkeiten.
• Beschaffungs- und Lieferantenbetrug, insbesondere durch Scheinlieferanten, Kickback-Zahlungen oder Mehrfachzahlungen.

Zur Erklärung wirtschaftskrimineller Handlungen wird häufig auf das Betrugs-Dreieck nach Donald R. Cressey zurückgegriffen. Demnach entsteht Betrug typischerweise durch das Zusammenwirken von Druck (Pressure), Gelegenheit (Opportunity) und Rechtfertigung (Rationalization). Während sich persönliche Motive nur begrenzt beeinflussen lassen, können Unternehmen den Faktor Gelegenheit durch ein wirksames internes Kontrollsystem (IKS), klare Verantwortlichkeiten und konsequente Kontrollen deutlich reduzieren.

Wie die Revisionsstelle Betrugsrisiken erkennt und Manipulationen aufdeckt

Die Verantwortung für die Verhinderung und Aufdeckung von Betrug liegt in erster Linie beim Verwaltungsrat und der Geschäftsleitung. Die externe Revision hat jedoch die Aufgabe, das Risiko wesentlicher falscher Darstellungen infolge Betrugs zu beurteilen und ihre Prüfung risikoorientiert auszurichten, das trifft mindestens auf die ordentliche Revision zu. Jede Prüfung startet mit einer Risikoanalyse, welche jene Unternehmensbereiche identifiziert, in denen aufgrund der Organisation oder des Kontrollumfelds erhöhte Betrugsrisiken bestehen. Besondere Aufmerksamkeit gilt sogenannten Red Flags, also Warnsignalen für mögliche dolose Handlungen. Dazu gehören unter anderem fehlende Funktionstrennungen, aussergewöhnlich weitreichende Entscheidungskompetenzen einzelner Mitarbeitenden, häufige Änderungen von Lieferanten- oder Bankstammdaten, unvollständige Dokumentationen oder unerwartete finanzielle Entwicklungen. Es können auch Mitarbeitende sein, die sich auffällig verhalten wie beispielsweise der konsequente Verzicht auf Ferien oder generell mangelnde Transparenz und Auskunftsbereitschaft.

Ein Schwerpunkt der Revision bildet die Beurteilung des internen Kontrollsystems (IKS). Dabei wird überprüft, ob Verantwortlichkeiten klar geregelt sind, das Vier-Augen-Prinzip eingehalten wird, Zahlungs- und Buchungsberechtigungen getrennt sind sowie Zugriffsrechte und Stammdaten angemessen kontrolliert werden. Schwächen im Kontrollumfeld führen zu einer erhöhten Risikoeinschätzung und damit zu umfangreicheren Detailprüfungen.

Zur Identifikation von Auffälligkeiten setzt die Revision analytische Prüfungshandlungen ein. Kennzahlenanalysen, Vorjahresvergleiche und Plausibilitätsprüfungen ermöglichen es, ungewöhnliche Entwicklungen frühzeitig zu erkennen. Moderne Data-Analytics-Verfahren erweitern diese Möglichkeiten, indem sie grosse Datenbestände vollständig analysieren und beispielsweise doppelte Zahlungen, identische Bankverbindungen oder auffällige Buchungsmuster automatisiert identifizieren.

Wenn sich konkrete Verdachtsmomente ergeben, werden vertiefte Einzelfallprüfungen vorgenommen. Dazu gehören die Einsicht in Originalbelege, Abstimmungen mit Verträgen und Lieferscheinen, externe Bestätigungen, Inventurbeobachtungen sowie die Analyse manueller Journalbuchungen.

Besondere Bedeutung kommt dem Management Override zu, also der Umgehung bestehender Kontrollen durch die Unternehmensleitung. Deshalb verlangt der International Standard on Auditing (ISA) 240 ausdrücklich eine kritische Prüfung manueller Abschlussbuchungen und wesentlicher Bilanzierungsentscheidungen.

Neben methodischen Prüfungshandlungen bleibt die professionelle Skepsis ein zentrales Element der Abschlussprüfung. Aussagen des Managements sind kritisch zu hinterfragen, widersprüchliche Informationen zu analysieren und Betrugsrisiken auch bei langjährigen Mandaten laufend neu zu beurteilen.

Grenzen der Revision und Handlungsempfehlungen

Die Abschlussprüfung vermittelt eine hinreichende, jedoch keine absolute Sicherheit, dass der Jahresabschluss frei von wesentlichen falschen Darstellungen ist. Der risikoorientierte Prüfungsansatz, die Überprüfung von Stichproben sowie kollusive Handlungen mehrerer Personen oder Management Override setzen der Aufdeckung von Betrug durch die Revisionsstelle natürliche Grenzen. Auch moderne ERP-Systeme beseitigen Betrugsrisiken nicht vollständig, sondern schaffen teilweise neue Risiken durch fehlerhafte Berechtigungen oder Cyberangriffe.

Prävention ist wirksamer als die spätere Aufdeckung. Zu den wichtigsten Massnahmen gehören:

• klare Funktionstrennung oder kompensierende Kontrollen,
• konsequente Anwendung des Vier-Augen-Prinzips,
• regelmässige Überprüfung von Benutzer- und Zugriffsrechten,
• kontinuierlicher Einsatz von Data Analytics sowie
• geeignete Hinweisgebersysteme (Whistleblowing).

Eine zentrale Verantwortung trägt der Verwaltungsrat. Gemäss Art. 716a OR gehören die Ausgestaltung des Rechnungswesens und der Finanzkontrolle, die ohne ein angemessenes internes Kontrollsystem nicht wirksam wahrgenommen werden kann, zu seinen unübertragbaren Aufgaben. Die Revisionsstelle kann Schwachstellen identifizieren und Empfehlungen abgeben, ersetzt jedoch weder die Führungsverantwortung der Geschäftsleitung noch die Oberaufsicht des Verwaltungsrats.

Betrugsrisiken wirksam begrenzen

Betrug stellt für Schweizer KMU ein erhebliches Risiko dar. Besonders häufig sind Veruntreuungen, Manipulationen im Zahlungsverkehr und Schwächen im Beschaffungsprozess. Die Revision trägt durch eine risikoorientierte Prüfungsplanung, die Beurteilung des internen Kontrollsystems, analytische Verfahren, Datenanalysen und professionelle Skepsis wesentlich zur Identifikation von Betrugsrisiken bei. Ein nachhaltiger Schutz entsteht jedoch erst durch das Zusammenspiel von guter Corporate Governance, wirksamen internen Kontrollen und einer qualitativ hochwertigen Revision, welche naturgemäss mit entsprechendem Aufwand und Kosten verbunden ist.

Autor: Marc Arnet

Marc Arnet ist Mandatsleiter bei Mattig-Suter und gehört seit 2013 der Fachkommission „Eingeschränkte Revision“ von EXPERTsuisse an. Er verfügt über langjährige Erfahrung in der Prüfung und Beratung von Unternehmungen auf nationaler wie auch internationaler Ebene. Darüber hinaus ist er Absolvent des MAS Economic Crime Investigation an der Hochschule Luzern (HSLU).