Neue Governance-Anforderungen für KMU in der Schweiz: Was Verwaltungsräte 2026 umsetzen müssen

Sind Sie im Verwaltungsrat eines Schweizer KMU (oder Hauptaktionär) und merken, dass „Governance“ mehr ist als das jährliche Sitzungsprotokoll? Sie haben recht. 2026 wird von Ihnen keine multinationale Börsennotierung verlangt. Aber es wird eine grundlegende, nachvollziehbare und verteidigbare Disziplin erwartet, falls ein Problem auftritt.

Der Schlüsselpunkt: Der Verwaltungsrat (VR) ist kein Dekor. Er ist das verantwortliche Organ. Und wenn etwas schiefläuft (Betrug, Cyberangriff, Interessenkonflikt, fehlende Liquidität, Geldwäschereikontrolle, Aktionärsstreit), lautet die Frage nicht „Wer hat den Fehler gemacht?“, sondern „Was hat der VR zur Vermeidung eingerichtet?“ (Quelle: Verwaltungsrat: Pflichten, Verantwortlichkeiten und Risiken (admin.ch, OR)).

Neue Governance-Prioritäten (2026): Überblick

In der Praxis ändern Genfer KMU ihre Governance nicht wegen eines Leitfadens, sondern wenn ein Ereignis sie erschüttert:

• ein öffentlicher Kunde fordert Antikorruptionsgarantien,
• eine Bank verlangt ein saubereres Compliance-Dossier,
• ein Investor will wissen, „wer entscheidet was“,
• eine interne oder externe Kontrolle deckt eine Lücke auf,
• ein Cybervorfall blockiert die Rechnungsstellung für 10 Tage.

2026 sind die wichtigsten Prioritäten für den VR sehr konkret:

1. Strukturiertes Risikomanagement (kein vergessenes Tabellenblatt im Ordner)

2. Nachvollziehbarkeit von Entscheidungen: Wer hat entschieden, auf welcher Basis, mit welchen Dokumenten

3. Transparenz: wirtschaftlich Berechtigte, Interessenkonflikte, sensible Finanzflüsse

4. Compliance: Geldwäscherei je nach Tätigkeit, Sanktionen, Export, Daten, Steuern, MWST (8,1 %, 2,6 %, 3,8 % je nach Fall)

5. Digitalisierte Steuerung: Kennzahlen, Dokumentenzugriff, Validierung, Archivierung

Nicht nur die Regel ändert sich, sondern auch die Erwartung. „Wir wussten es nicht“ wird weniger verziehen.

Was Behörden, Banken und Partner wirklich prüfen

Viele KMU denken, sie seien „in Ordnung“, weil die Buchhaltung abgeschlossen und die Steuern bezahlt sind. Gut. Aber die Fragen 2026 sind auf einem anderen Niveau:

• Haben Sie eine Risikokarte und ein Monitoring?
• Wer genehmigt Zahlungen und ab welchem Schwellenwert?
• Wie gehen Sie mit Interessenkonflikten um (Verwaltungsrat auch Lieferant, Verwandter angestellt usw.)?
• Wo sind die Protokolle und die Belege für sensible Entscheidungen?
• Wer hat Zugriff auf Bankkonten und Tools?

Ergebnis? „Leichte“ Governance bleibt möglich, muss aber solide sein.

Beobachtung aus der Praxis (Genf): Der Aha-Moment kommt oft beim Jahresabschluss

Jedes Jahr entdecken viele KMU beim Jahresabschluss ein Governance-Problem. Warum? Weil dann die unangenehmen Fragen gestellt werden: Rückstellungen, zweifelhafte Forderungen, Aktionärsdarlehen, Vergütungen, Spesen, Transaktionen mit Nahestehenden.

Wenn der VR diese Themen nicht im Voraus geregelt hat, wird im Nachhinein improvisiert. Schlechter Zeitpunkt, schlechte Haltung.

Die wachsende Rolle des Verwaltungsrats im Risikomanagement und der Compliance

Das Schweizer Recht ist klar: Der VR hat unübertragbare und unveräußerliche Aufgaben. Die Ausführung kann delegiert werden, die Verantwortung nicht (Quelle: Verwaltungsrat: Pflichten, Verantwortlichkeiten und Risiken (admin.ch, OR)).

2026 muss der VR nachweisen können, dass er:

• die Organisation definiert hat,
• ein angepasstes internes Kontrollsystem eingerichtet hat,
• die Geschäftsleitung überwacht hat,
• die wichtigsten Risiken gemanagt hat,
• die Compliance zu relevanten Themen sichergestellt hat.

„Wir sind eine kleine Struktur“: Das schützt Sie nicht

Der klassische Fehler: Größe mit Komplexität verwechseln. Ein KMU mit 12 Personen kann haben:

• internationale Zahlungen,
• sensible Daten,
• ein ERP,
• Subunternehmer,
• einen allein unterschreibenden Verwaltungsrat,
• knappe Margen.

Dieses Gemisch kann schneller explodieren als ein Unternehmen mit 200 Personen und Prozessen.

Die 6 Risiken, die der VR schriftlich behandeln muss

Kein Roman nötig. Eine Seite reicht. Aber es muss geschrieben, datiert und diskutiert sein.

1. Liquiditätsrisiko (Kundenverzug, Saisonalität, Abhängigkeit von zwei Großkunden)
2. Steuer- und MWST-Risiko (falscher Satz, falscher Leistungsort, Abzugsfehler)
3. Cyberrisiko (Phishing, Ransomware, Bankzugang)
4. Personalrisiko (Abhängigkeit von Schlüsselperson, Konflikte, Lohn-Compliance)
5. Vertragsrisiko (Strafklauseln, Kündigung, Haftung)
6. Reputations-/Integritätsrisiko (Geschenke, Provisionen, Vermittler)

Tabelle 1 — Beispiel eines „KMU-Risikoregisters“

Diese Tabelle muss aktualisiert werden. Sonst bringt sie nichts.

Transparenz, Geldwäschereiprävention und Antikorruption: wichtige regulatorische Entwicklungen

Transparenz ist kein reines Bankenthema mehr. KMU sind betroffen, besonders bei:

• Finanzintermediation,
• Verwaltung von Drittgeldern,
• Offshore-Strukturen,
• internationalem Handel,
• exponierten Branchen (Bau, Handel, Dienstleistungen mit hohen Provisionen).

Geldwäscherei: Sind Sie betroffen… ohne es zu wissen?

Das Geldwäschereigesetz betrifft bestimmte Tätigkeiten. Viele denken „Wir sind keine Bank, das betrifft uns nicht.“ Vorsicht, das ist ein klassischer Fehler.

Wenn Ihr Modell Empfang, Verwahrung, Transfer von Vermögenswerten für Dritte oder Zahlungsintermediation beinhaltet, gilt das Gesetz (Quelle: Geldwäschereiprävention (GwG, admin.ch, Unternehmenspflichten)).

Der VR muss mindestens:

• prüfen, ob die Tätigkeit unter das Gesetz fällt,
• die Analyse dokumentieren,
• Maßnahmen festlegen (Prozesse, Schulung, Kontrollen).

Antikorruption: Das Thema kommt über Verträge

2026 ruft nicht unbedingt die Behörde, sondern Ihr Kunde:

• „Haben Sie eine Geschenkepolitik?“
• „Zahlen Sie Provisionen an Vermittler?“
• „Wer genehmigt Repräsentationskosten?“

Antworten Sie „Wir arbeiten auf Vertrauensbasis“, verlieren Sie Ausschreibungen.

Interessenkonflikte: Der VR muss hinschauen

Im KMU ist es häufig:

• der Verwaltungsrat ist auch Eigentümer eines Lieferanten,
• ein Verwandter ist angestellt,
• ein Aktionär stellt Beratungsleistungen in Rechnung,
• ein Verwaltungsrat hat ein Mandat beim Wettbewerber.

Nicht automatisch illegal. Aber wenn es nicht erklärt und geregelt wird, wird es toxisch.

Gute Praxis: jährliche Interessenerklärung + Protokoll der Befangenheit bei relevanten Themen.

Tabelle 2 — Transparenz- und Compliance-Dokumente griffbereit halten

Rolle des VR bei MWST und Steuern: keine Mikromanagement, aber Sicherungen

Der VR muss nicht jede MWST-Abrechnung neu berechnen. Er muss sicherstellen, dass das System grobe Fehler vermeidet.

Zwei Punkte sind in Genf häufig:

• falscher Satz angewendet (8,1 % vs 2,6 % vs 3,8 %),
• falsche Behandlung grenzüberschreitender Leistungen (Leistungsort, Nachweis, Rechnungsstellung).

Der VR muss verlangen:

• eine einfache Validierungsprozedur für Sätze,
• regelmäßige Kontrolle (quartalsweise ist realistisch),
• klaren Ansprechpartner (intern oder Treuhänder).

Digitalisierung und Steuerung: Tools, Automatisierung und Effizienz für KMU-Verwaltungsräte

Digitalisierung ist nicht „Software kaufen“. Es geht darum, blinde Flecken zu reduzieren.

2026 hat ein effektiver VR drei Dinge:

1. verlässliche, regelmäßige Zahlen
2. zugängliche Dokumente (Protokolle, Verträge, Delegationen)
3. einen Validierungsprozess (wer genehmigt was und wie wird es nachgewiesen)

Tools, die das Leben eines VR wirklich erleichtern

• Monatliches Dashboard (1 Seite): Umsatz, Bruttomarge, Liquidität, DSO, Sozial-/Steuerschulden, Auftragsbestand.
• Dokumentenmanagement: ein zentraler Ort, Zugriffsrechte, Versionierung.
• Zahlungsworkflow: doppelte Validierung, Schwellenwerte, Genehmigungsjournal.
• Elektronische Unterschrift für Protokolle und Umlaufbeschlüsse.
• Zugriffsprotokoll auf kritische Tools (Bank, ERP, CRM).

Man kann es einfach halten. Aber es muss robust sein.

Automatisierung: Was zuerst automatisieren (und was vermeiden)

Automatisieren Sie zuerst, was wiederholt Fehler verursacht:

• Kundenmahnungen,
• Bankabstimmungen,
• Kennzahlen-Extraktion,
• Spesenvalidierung,
• IBAN-Prüfung bei Kontowechsel.

Vermeiden Sie die Automatisierung fehlerhafter Prozesse. Sonst automatisieren Sie Chaos.

Praxisbeispiel: Betrug beim IBAN-Wechsel

Fall in Genf: Ein Lieferant „ändert IBAN“. Gut nachgemachte E-Mail, korrektes Logo, glaubwürdiger Ton. Buchhaltung aktualisiert. Zahlung von CHF 48’600. Geld verloren.

Beim Nachforschen entdeckt der VR:

• keine telefonische Rückrufprozedur,
• keine doppelte Validierung,
• kein Schwellenwert,
• kein Genehmigungsjournal.

Der VR hat nicht „bezahlt“. Aber das System hatte keine Sicherungen.

Schritt für Schritt: Governance in 30 Tagen verbessern (ohne das Unternehmen zu lähmen)

Sie wollen einen praxisnahen Plan? Hier ist er. Wir machen das oft mit KMU zwischen 10 und 80 Personen.

Woche 1 — Klären, wer was entscheidet

1. Sensible Entscheidungen auflisten: Schlüsselpersonal, Investitionen, Kredite, Mietverträge, Streitigkeiten, variable Vergütungen, Aktionärsdarlehen.
2. Schwellenwerte festlegen: z.B. jedes Engagement > CHF 25’000 geht an den VR.
3. Eine einfache Delegation der Befugnisse schreiben (1–2 Seiten).

Woche 2 — Minimale interne Kontrolle einrichten

1. Doppelte Zahlungsvalidierung (oder doppelte Bankunterschrift).
2. „IBAN-Wechsel“-Prozedur: Rückruf auf bekannte Nummer.
3. Aufgaben trennen: Wer den Lieferanten anlegt, validiert nicht die Zahlung.

Woche 3 — Monatliche Steuerung installieren

1. 8 bis 12 Kennzahlen definieren.
2. Kalender festlegen: Reporting am 10., VR-Sitzung am 15.
3. Format standardisieren: gleiche Struktur, gleiche Definitionen.

Woche 4 — Compliance und Transparenz dokumentieren

1. Interessenerklärung der Verwaltungsräte.
2. Geschenk-/Provisionspolitik (auch kurz).
3. Geldwäscherei-Analyse, falls relevant.
4. Zentrale Ablage von Protokollen, Verträgen, Entscheidungen.

Nach 30 Tagen sind Sie nicht „perfekt“. Aber verteidigbar.

Praxisfall (Genf): Wenn leichte Governance teuer wird

Genfer KMU, 18 Mitarbeiter, B2B-Dienstleistungen, Umsatz CHF 3,2 Mio. VR: 2 Verwaltungsräte (Aktionäre) + 1 externer Verwaltungsrat.

Problem: Keine klaren Regeln für Engagements und Zahlungen.

• Ein Projektleiter unterschreibt einen Subunternehmervertrag für 12 Monate: CHF 9’800/Monat.
• Kein VR-Protokoll zur Validierung.
• Der Endkunde kündigt nach 3 Monaten (ungünstige Kündigungsklausel).
• Das KMU bleibt mindestens 6 Monate beim Subunternehmer gebunden.

Finanzielle Auswirkungen:

• Restkosten Subunternehmer: 6 × CHF 9’800 = CHF 58’800
• Juristische Kosten (Verhandlung + Prüfung): CHF 7’500
• Interner Aufwand (Leitung + Finanzen): CHF 6’000

Total: CHF 72’300.

Das Problem ist nicht „der Projektleiter ist schlecht“. Das Problem: Der VR hatte keinen:

• Engagement-Schwellenwert,
• validierten Vertragsvorlage,
• Prüfung kritischer Klauseln,
• Reporting zu außerbilanziellen Engagements.

Solche Verluste sind mit einfacher, schriftlicher Governance vermeidbar.

3 teure Fehler bei GmbH und AG (und wie man sie korrigiert)

Fehler 1 — Nicht vorhandene oder unbrauchbare Protokolle

Das Protokoll „Wir haben diskutiert, alle sind einverstanden“ hilft nicht.

Korrektur: Kurz, aber präzises Protokoll:

• Entscheidung,
• Betrag,
• gesehene Dokumente,
• Abstimmung,
• Befangenheit bei Konflikt.

Fehler 2 — Geschäftsleitung und VR verwechseln

In vielen KMU ist der VR auch die Geschäftsleitung. Das kommt vor. Aber die Rollen müssen getrennt werden.

Korrektur: Schriftliche Delegation + VR-Sitzung mit Agenda und Unterlagen. Auch wenn Sie nur zu zweit sind.

Fehler 3 — „Wir sehen dann, wenn es passiert“ bei Cyber und Betrug

Wenn es passiert, herrscht Panik. Und es kostet.

Korrektur:

• MFA auf Tools,
• doppelte Zahlungsvalidierung,
• getestete Backups,
• Incident-Prozedur (wer ruft wen an, in welcher Reihenfolge).

VR und Schweizer Best Practices: Was ich KMU empfehle

Sie müssen keine eigene Doktrin erfinden. Es gibt Schweizer Best Practices, die für KMU adaptierbar sind (Quelle: Schweizer Kodex für Corporate Governance (Economiesuisse); Quelle: Corporate Governance (SECO); Quelle: Corporate Governance (offizielles KMU-Portal)).

Empfehlungen:

• 1 VR-Sitzung pro Quartal (mindestens) + eine längere „Budget/Strategie“-Sitzung.
• Sitzungspaket 3 Tage vorher: Reporting, Liquidität, Risiken, juristische Punkte.
• Liste der Entscheidungen, die dem VR vorbehalten sind (Investitionen, Kredite, Streitigkeiten, variable Vergütungen, Transaktionen mit Nahestehenden).
• Externer Verwaltungsrat bei Wachstum, Finanzierung oder Komplexität (international, reguliert, mehrere Standorte).

Ein guter externer Verwaltungsrat stellt die Fragen, die sonst niemand stellt.

Checkliste 1 — Dokumente, die Ihr VR griffbereit haben muss (Version 2026)

• Aktuelle Statuten + Handelsregisterauszug
• Organisationsreglement / Delegation der Befugnisse (auch kurz)
• Liste der Zeichnungsberechtigten (Banken, Verträge)
• Zahlungsprozedur (Schwellenwerte, doppelte Validierung)
• Risikoregister + Datum der letzten Überprüfung
• Standardisiertes monatliches Reporting (KPI + Liquidität)
• VR-Protokolle + unterschriebene Umlaufbeschlüsse
• Interessenerklärung der Verwaltungsräte
• Geschenk-/Provisionspolitik + Validierung
• MWST-Dossier: interne Regeln zu Sätzen 8,1 % / 2,6 % / 3,8 % + Kontrollen
• Kontinuitätsplan (mindestens Cyber + Schlüsselperson)

Checkliste 2 — So stärken Sie die Governance Ihres KMU (konkrete Maßnahmen 2026)

• 5 Schwellenwerte festlegen (Engagement, Zahlung, Investition, Rabatt, Einstellung)
• Monatliches Dashboard (1 Seite) einführen und 12 Monate führen
• Risikokarte (10 Zeilen) erstellen und 4-mal jährlich prüfen
• Interessenkonflikte formal regeln (Erklärung + Befangenheit)
• Zahlungen absichern (doppelte Validierung + IBAN-Wechsel-Prozedur)
• VR-Dokumente zentralisieren (ein Ort, Zugriffsrechte)
• Backups und Cyber-Plan testen (mindestens 1 Übung)
• Quartalsweise MWST-Prüfung bei gemischten oder internationalen Fällen
• Prüfen, ob Sie vom Geldwäschereigesetz betroffen sind und dokumentieren
• VR-Agenda für 12 Monate planen (feste Termine, weniger Improvisation)

Digitalisierung: Mindeststandard für Sicherheit (sonst riskieren Sie alles)

Man kann stundenlang über Tools diskutieren. Aber es gibt einen nicht verhandelbaren Standard:

• MFA auf E-Mail, Bank, ERP, Speicher-Tools
• Zugriffsverwaltung (wer hat was, und Entzug bei Austritt)
• Offline- oder unveränderliche Backups + Wiederherstellungstest
• Protokollierung sensibler Aktionen (Zahlungen, Lieferantenänderungen)
• Phishing-Schulung (kurz, aber regelmäßig)

Der VR muss nicht technisch sein. Er muss Beweise verlangen: Berichte, Tests, Daten.

FAQ

Was ist die gesetzliche Rolle des Verwaltungsrats eines KMU in der Schweiz?

Der VR hat unübertragbare Aufgaben: Organisation, Überwachung, angepasstes internes Kontrollsystem, Management der wichtigsten Risiken und Kontrolle der Geschäftsleitung. Die operative Ausführung kann delegiert werden, die Verantwortung nicht (Quelle: Verwaltungsrat: Pflichten, Verantwortlichkeiten und Risiken (admin.ch, OR)).

Welche neuen Transparenzpflichten betreffen KMU?

Das hängt von Ihrer Tätigkeit und Ihren Partnern ab. In der Praxis kommen Transparenzanforderungen oft von Banken, öffentlichen Kunden, Investoren und Großauftraggebern: wirtschaftlich Berechtigte, Interessenkonflikte, Antikorruptionspolitik, Zahlungsnachvollziehbarkeit.

Welche konkreten Tools erleichtern die Governance eines KMU?

Ein standardisiertes monatliches Dashboard, ein zentraler Dokumentenraum (Protokolle, Verträge, Delegationen), ein Zahlungsvalidierungs-Workflow und elektronische Unterschrift für Entscheidungen. Wenn Sie eine Entscheidung nicht nachweisen können, existiert sie nicht.

Braucht es einen externen Experten (Treuhänder, Anwalt, externer Verwaltungsrat)?

Nicht immer. Aber bei Wachstum, Finanzierung, Internationalisierung oder exponierten Branchen (Drittmittel, Provisionen, öffentliche Aufträge) spart ein externer Blick Zeit und verhindert blinde Flecken. Ein guter externer Verwaltungsrat ist sein Honorar wert, wenn er einen großen Fehler verhindert.

Welche Fehler sollte man 2026 beim „Governance stärken“ vermeiden?

Zwei Klassiker: unrealistische Prozesse schreiben, die niemand umsetzt, und ein Tool kaufen, ohne Verantwortlichkeiten zu klären. Starten Sie mit Schwellenwerten, Validierungen, monatlichem Reporting und Risikoregister.

Wie weiß ich, ob mein Unternehmen vom Geldwäschereigesetz betroffen ist?

Fragen Sie einfach: Empfangen, verwahren oder transferieren Sie Vermögenswerte für Dritte oder agieren als Zahlungsintermediär? Falls ja, müssen Sie die Betroffenheit analysieren und dokumentieren (Quelle: Geldwäschereiprävention (GwG, admin.ch, Unternehmenspflichten)).

Quellen

• Schweizer Kodex für Corporate Governance (Economiesuisse)
• Verwaltungsrat: Pflichten, Verantwortlichkeiten und Risiken (admin.ch, OR)
• Geldwäschereiprävention (GwG, admin.ch, Unternehmenspflichten)
• Corporate Governance (SECO)
• Corporate Governance (offizielles KMU-Portal)