Betrug im KMU: Warum Ihre Revisionsstelle genauer hinschaut – und wie Sie Ihr Unternehmen schützen

Am 21. Oktober hat die Eidgenössische Revisionsaufsichtsbehörde ihre Aufsichtsmitteilung zu Betrugsrisiken in der Revision überarbeitet. Die Erkenntnis aus fünf Jahren Überprüfungen: Die Revisionsstellen haben Fortschritte gemacht, aber die Berücksichtigung doloser Handlungen bleibt eine Schwachstelle. Für KMU in Zug und der Zentralschweiz ist das keine Nachricht aus der Welt der Grosskonzerne. Es ist der Hinweis, dass die Frage «Wie schützen Sie sich vor Betrug?» in den kommenden Abschlussprüfungen häufiger gestellt wird – und dass die ehrliche Antwort bei vielen Unternehmen «gar nicht» lautet.

Was die Revisionsstelle prüft – und was nicht

Bei der ordentlichen Revision muss die Prüferin nach dem Standard SA-CH 240 das Risiko wesentlicher Falschdarstellungen aus Betrug beurteilen: Sie befragt Geschäftsleitung und Verwaltungsrat, analysiert ungewöhnliche Buchungen und prüft, ob das Management Kontrollen umgehen kann. Bei der eingeschränkten Revision – dem Normalfall für KMU – ist das anders: Sie ist nicht darauf ausgelegt, Betrug aufzudecken. Die Revisionsstelle plausibilisiert die Jahresrechnung; stösst sie auf Hinweise, meldet sie diese dem Verwaltungsrat.

Die fünf häufigsten Muster im KMU-Alltag

• Die gefälschte Lieferantenrechnung. Eine E-Mail vom bekannten Lieferanten: «Wir haben die Bank gewechselt, bitte neue IBAN verwenden.» Die Rechnung ist echt, die IBAN nicht. Der Schaden fällt auf, wenn der Lieferant mahnt.
• CEO-Fraud. Eine Nachricht, scheinbar vom Inhaber auf Geschäftsreise: «Bitte dringend CHF 48'000 an diesen Anwalt überweisen, Details folgen.» Die Buchhalterin will helfen, die Zahlung ist weg.
• Der Mitarbeiter mit Alleinzugriff. Wer Lieferanten anlegt, Rechnungen freigibt und Zahlungen auslöst, braucht keinen Komplizen. Das ist in Betrieben mit drei bis zehn Mitarbeitenden die Regel – und der teuerste Fall, weil er über Jahre läuft.
• Spesen und Firmenkarten. Kleine Beträge, keine Belege, keine Kontrolle. Einzeln harmlos, in der Summe fünfstellig.
• Lager und Kasse. Warenabgänge ohne Lieferschein, Barverkäufe ohne Kassenbon. Besonders in Gastronomie, Handel und Handwerk.

Allen gemeinsam: Die Buchhaltung stimmt am Ende. Betrug fällt in der Jahresrechnung nicht auf, weil er korrekt verbucht wurde.

Fünf Kontrollen, die jedes KMU haben sollte

• Vier-Augen-Prinzip bei Zahlungen ab einer Schwelle – im E-Banking technisch erzwungen, nicht nur vereinbart. Die Schwelle hängt vom Betrieb ab; CHF 5'000 ist ein üblicher Startwert.
• Stammdaten getrennt von Zahlungen. Wer Lieferanten anlegt oder IBAN ändert, darf nicht zahlen. Jede IBAN-Änderung wird telefonisch beim Lieferanten bestätigt – über die bekannte Nummer, nicht die aus der E-Mail.
• Zahlungen nur mit Beleg und Bestellbezug. Keine Freigabe auf Zuruf, auch nicht vom Chef. Gerade dieser Satz schützt vor CEO-Fraud.
• Monatlicher Blick des Inhabers auf Bankauszug und Kreditorenliste. Fünfzehn Minuten, die unerklärte Zahlungsempfänger sichtbar machen.
• Ferien sind Pflicht. Wer nie abwesend ist, kann nie vertreten werden – und wer nie vertreten wird, kann nie kontrolliert werden. Ununterbrochene Anwesenheit in der Buchhaltung ist ein klassisches Warnsignal.

Unser Fazit

Die verschärfte Aufsicht trifft zunächst die Revisionsstellen. Für KMU-Inhaber ist sie die Gelegenheit, eine Frage zu beantworten, bevor sie gestellt wird: Welche Zahlung könnte in Ihrem Betrieb heute ohne Ihr Wissen ausgelöst werden? Wer darauf «keine» sagen kann, hat ein funktionierendes Kontrollsystem. Wer zögert, braucht keinen Konzernprozess, sondern fünf Regeln und einen Nachmittag.