Warum ein Risikoregister mehr ist als Compliance
In einem Schweizer KMU sind Cyberangriffe, Lieferkettenunterbrüche, Arbeitsunfälle oder Steuerfehler keine Randfälle: Sie wirken auf Liquidität, Margen und Reputation. Ein Unternehmensrisiko-Register (Risk Register) ersetzt weder Versicherung noch Budget, macht sie aber stimmig: Jede Bedrohung wird beschrieben, bewertet und mit Massnahmen, Kosten und buchhalterischer Verantwortung verknüpft.
Das Obligationenrecht verpflichtet Verwaltungsräte und Geschäftsführer zu einer allgemeinen Sorgfaltspflicht in der Geschäftsführung (Art. 717 und 812 OR). Auch ohne ausdrückliche Pflicht zu einem «Risk Register» unterstützt die Dokumentation, wie das Unternehmen relevante Risiken identifiziert und behandelt, die Verteidigung von Investitions-, Versicherungs- und Rückstellungsentscheidungen gegenüber Revisoren, Banken und – im Steuer- oder Regulierungsbereich – den zuständigen Behörden.
Diese Anleitung erklärt, wie Sie ein jährliches Register für KMU strukturieren, es in Budgetposten und Policen übersetzen und in der schweizerischen ordentlichen Buchhaltung mit revisionssicherer Spur abbilden – auch mit Tools wie Accountex, um Dokumente, Kostenstellen und Fristen zu verknüpfen.
Was ein wirksames Risikoregister enthält
Ein für Buchhaltung und Controlling nützliches Register ist keine generische Liste von «Gefahren»: Jeder Eintrag muss umsetzbar und messbar sein.
| Feld | Typischer Inhalt | Finanzielle Verknüpfung |
|---|---|---|
| ID und Titel des Risikos | Z. B. «Kundenverlust durch Phishing» | Verweis in Anhang zum Jahresabschluss oder internem Beiblatt |
| Kategorie | Operativ, finanziell, rechtlich/steuerlich, Personal, IT, Reputation | Kostenstelle oder Budgetprojekt |
| Wahrscheinlichkeit × Auswirkung | Skala 1–5 oder qualitative Matrix | Priorität für Ressourcenzuteilung |
| Geschätzte finanzielle Auswirkung | Einmalverlust, Jahreskosten, Deckelung der Exposition | Input für Rückstellungen, Selbstbehalte, Budget-Sensitivität |
| Kontrollen und Mitigationen | Verfahren, Backups, Schulungen, Vertragsklauseln | OPEX (Schulung, Audit) oder CAPEX (Sicherheit) |
| Restbehandlung | Akzeptieren, mindern, transferieren (Versicherung), vermeiden | Versicherungsprämie, Self-Insurance, Rückstellung |
| Verantwortliche und Review | Name, Datum letzte Überprüfung, nächste Frist | Administrative Agenda und Dokumentenspur |
Typische Risiken Schweizer KMU und wo sie in der Buchhaltung sichtbar werden
Operativ und Beschaffung
Logistikverzögerungen, Qualitätsmängel, Abhängigkeit von einem Lieferanten oder Anlagenausfälle können Vertragsstrafen, Überstunden und Umsatzausfälle auslösen. In der Buchhaltung erscheinen sie als Wertberichtigungen auf Vorräte, Umsatzkorrekturen, Wiederherstellungskosten oder Garantieverbindlichkeiten.
Im Register: Auswirkung als Prozentsatz des kritischen Umsatzes oder Tageskosten des Maschinenstillstands schätzen; verknüpfen mit dem Budget «betriebliche Kontinuität» und Betriebsunterbrechungs-Policen, sofern abgeschlossen.
Steuerlich und regulatorisch
MWST-Fehler (Sätze, Importe, Reverse Charge), verspätete Steuererklärungen (MWST bei der Eidgenössischen Steuerverwaltung, direkte Bundessteuer bei der zuständigen kantonalen Behörde) oder Verstösse gegen das nDSG und die Aufbewahrung der Buchungsbelege führen zu Nachforderungen, Verzugszinsen und Bussen. Die Buchführung muss Steuerbasis und Abzugsfähigkeit rekonstruierbar machen.
Im Register: administrativen «Worst Case» quantifizieren; Budget für Steuerberatung und Compliance-Software; Mitigation über Fristenkalender, integriert mit der Buchhaltung.
Personal und Vorsorge
Längere Abwesenheit von Schlüsselpersonen, nicht gedeckte Unfälle, Fehler bei AHV/IV/EO- oder BVG-Beiträgen erzeugen unerwartete Personalkosten und Sozialversicherungsverbindlichkeiten. HR-Kosten und Arbeitgeberbeiträge sind sensible Posten im Jahresbudget.
Risiken mit ergänzenden Unfallversicherungen, der Krankentaggeldversicherung (KTG), sofern abgeschlossen, und periodischen Kontrollen von Lohnabrechnungen und Lohnregistern verknüpfen.
IT, Daten und Betrug
Ransomware, betrügerische Überweisungen (CEO Fraud) und Verletzungen des Datenschutzes verursachen IT-, Rechts-, Melde- und mögliche Schadenersatzkosten. Oft ist nicht alles versichert: Es bleibt ein Restrisiko für Budget oder Liquiditätsreserve.
Im Register Zahlungskontrollen (Vier-Augen-Prinzip), getestete Backups und Cyber-Versicherung dokumentieren; Incident-Response-Aufwendungen auf dedizierten Konten für das Management Reporting erfassen.
Vom Register zum Budget: Rückstellungen, OPEX und Sensitivität
Der entscheidende Schritt für die Geschäftsleitung und das Treuhandbüro ist, die Risikomatrix in Zahlen im Erfolgsplan zu übersetzen. Absolute Präzision ist nicht nötig: Es braucht Grössenordnungen, die zur verfügbaren Liquidität passen.
Operatives Mitigationsbudget: Sicherheitsschulungen, Wartung, nDSG-Konformitätsprüfungen, Beratung, vermiedene Strafen dank Klauseln – zuordnen zu Kostenstellen (Administration, IT, Produktion), die bereits in der Kostenrechnung genutzt werden.
Rückstellungen und Accruals: Für akzeptierte Risiken mit materieller Auswirkung, deren Wahrscheinlichkeit nicht per Police transferierbar ist, buchhalterische Rückstellungen nur prüfen, wenn gesetzliche Pflichten oder anwendbare KMU/GAAP-Kriterien bestehen (z. B. Produktgarantien, wahrscheinliche Rechtsstreitigkeiten). Ohne Pflicht speist das Register dennoch die Cash-Planung und bankvertragliche Covenants.
Sensitivität: Für die drei Risiken mit dem höchsten Score ein Szenario «Ereignis im Semester» modellieren (Cashflow −X, Marge −Y) und prüfen, ob Kurzfristkredit oder Factoring-Linie die Lücke decken – Ergebnis im Geschäftsbericht oder an der GV dokumentieren.
Versicherungen: Abdeckung vs. Restrisiken zuordnen
In der Schweiz kombinieren KMU oft Betriebshaftpflicht, Berufshaftpflicht, Sachversicherung, Cyber und die obligatorische Unfallversicherung (UVG). Das Register vermeidet Doppelzählungen und Deckungslücken.
| Risiko im Register | Typischer Transfer | Buchhalterische Beachtung |
|---|---|---|
| Schäden an Dritten / mangelhafte Produkte | Betriebshaftpflicht / Produkthaftpflicht | Selbstbehalt als Eventualverbindlichkeit; Prämien als periodisierte OPEX |
| Brand, Wasser, Diebstahl von Gütern | Sachversicherung / Inhalt | Versicherungswerte vs. Buchwert Anlagevermögen und Vorräte |
| Arbeitsunfall Mitarbeitende | UVG (obligatorisch) + ggf. Ergänzung | Arbeitgeberbeiträge und Unfallstatistik für interne Revision |
| Cyber / Datenschutzverletzung | Cyber-Police (sofern abgeschlossen) | Häufige Ausschlüsse; Response-Kosten oft im Voraus, dann Erstattung |
| Umsatzverlust durch Stillstand | Betriebsunterbrechung (oft optional) | Deckungssummen an Umsatzbudget des exponiertesten Segments ausrichten |
Jede Registerzeile mit Behandlung «transferieren» muss Policennummer, Deckungssumme, Selbstbehalt und Verlängerungsdatum nennen. Jahresprämien sind in der Buchhaltung mit korrektem Abgrenzungsdatum zu erfassen; bei Verlängerung die finanzielle Auswirkung im Register aktualisieren, wenn sich Deckungssummen ändern.
Buchführungsspur und Dokumentation für Revisoren
Nach schweizerischen Rechnungslegungsnormen (KMU für kleine Einheiten oder Swiss GAAP FER) gibt es kein Pflichtkonto «Risiken», die Führung muss aber aus Bilanz und Anhang verständlich sein. Das Jahresregister verbindet Management und Buchhaltung.
Zu archivierende Dokumente: unterzeichnete oder genehmigte Version des Registers (PDF mit Datum), VR-/Geschäftsleitungsprotokoll zur Kenntnisnahme, Policen und Allgemeine Bedingungen, bezahlte Mitigationsangebote, ggf. Anwaltsbriefe zu Streitigkeiten. Zehnjährige Aufbewahrung für Handelsbücher und Buchungsbelege (Art. 958f OR); für Personendaten im Register Minimierung und Zugriffskontrollen gemäss nDSG.
Stimmige Kontierung: Mitigationsaufwendungen auf bestehende Konten (6400 Schulung, 6500 Beratung, 6100 IT); Versicherungsentschädigungen als ausserordentliche Erträge oder Kostenkompensation nach dem Korrelationsprinzip; Schadenreparaturen am Anlagevermögen oder OPEX je nach Art. Jede relevante Zahlung mit Projektcode «Risk-ID-XX» in Accountex zu verknüpfen erleichtert Berichte für Revisor und Bank.
Abschluss des Geschäftsjahres: zu Jahresbeginn gemeldete Risiken mit tatsächlich eingetretenen Ereignissen vergleichen; Schätzungen zu Eventualverbindlichkeiten und Garantien aktualisieren; in Anhang zum Jahresabschluss wesentliche Verpflichtungen (kritische Leasing, Bankgarantien, Rechtsstreitigkeiten) registerkonform einfügen, ohne bereits in der Bilanz stehende Informationen zu duplizieren.
Jährlicher Zyklus in fünf Schritten
- Inventar: Input aus Buchhaltung (Abweichungen, wertgeminderte Forderungen), HR, IT und Versicherer sammeln; Near-Miss des Vorjahres einbeziehen.
- Bewertung: 90-Minuten-Workshop mit Inhaber, Buchhaltung und operativem Ansprechpartner; Score und Auswirkung in CHF zuweisen.
- Budget-Abgleich: Mitigationsposten in Budget N+1 einfügen und Versicherungsdeckungssummen vs. neue Risiken prüfen (z. B. Auslandsexpansion).
- Genehmigung: Register und Finanzübersicht dem Organ der Geschäftsführung vorlegen; Beschluss mit Datum archivieren.
- Vierteljährliches Monitoring: Status der Mitigationen aktualisieren und neue materielle Risiken melden; am Jahresende Zyklus mit Lessons Learned für den Abschluss schliessen.
Register, Budget und Buchhaltung mit Accountex integrieren
Für Selbstständige und KMU, die Rechnungsstellung, MWST und ordentliche Buchhaltung bereits in einem Fluss führen, liegt der praktische Vorteil darin, lose Excel-Register von den echten Zahlen zu trennen. Accountex erlaubt, das genehmigte Register dem Geschäftsjahr anzuhängen, Kostenstellen oder Tags für Mitigationsaufwendungen zu nutzen und Erinnerungen für Policenverlängerungen und vierteljährliche Register-Reviews zu setzen.
Treuhänder können eine Register-Vorlage für GmbH- und AG-Mandate standardisieren, gefilterte Kontoauszüge nach Risikoprojekt importieren und für die GV eine Übersicht erstellen, die Risiko-Score, bezahlte Versicherungsprämie und Rückstellungen verknüpft – und so Last-Minute-Fragen beim Abschluss reduzieren.
Ein gut geführtes Risikoregister beseitigt keine Unsicherheit, macht aber sichtbar, was Nichtentscheiden kostet: Budget, Policen und Buchungen erzählen dieselbe Geschichte, mit überprüfbaren Daten und Verantwortlichen – genau das, was Revisoren und Finanzpartner von einem reifen Schweizer KMU erwarten.