IKS-Dokumentation und IKS-Handbuch – IKS

Enthalten sein sollten Ziele, Rechts- und Rahmenbezug, Scope, Grundprinzipien, Organisation, Rollen, Risiko- und Kontrollmethodik, Freigaben, Nachweisregeln, Mängelklassifikation, Eskalation, Reporting, Aufbewahrung und Änderungsmanagement. Auch Schnittstellen zu Risk, Compliance und Revision sind wichtig. Anhänge können Glossar, RACI-Matrix und Templates enthalten. Das Handbuch sollte von der zuständigen Leitung genehmigt und regelmässig überprüft werden.

Eine Policy legt verbindliche Grundsätze fest: Zweck, Geltungsbereich, Verantwortlichkeiten, Mindestanforderungen, Risikoorientierung, Dokumentationspflicht, Eskalation und Konsequenzen bei Nichteinhaltung. Sie ist kürzer und normativer als ein detailliertes Handbuch. Technische Vorgehensweisen gehören in Standards oder Arbeitsanweisungen. Die Policy muss mit Kompetenzordnung, Risikopolitik und anderen Governance-Dokumenten konsistent sein.

Eine Prozess-Kontroll-Matrix ordnet Kontrollen den einzelnen Schritten eines Prozesses zu. Sie zeigt, an welcher Stelle eine Kontrolle wirkt, wer sie ausführt und welche Daten oder Nachweise verwendet werden. Häufig enthält sie zugleich Risiken und Kontrollziele und entspricht damit einer prozessbezogenen Risiko-Kontroll-Matrix. Besonders nützlich ist sie bei Walkthroughs, Designprüfungen und Übergaben an neue Verantwortliche.

Mindestens erforderlich sind Kontroll-ID, Titel, Risiko- und Kontrollzielbezug, klare Tätigkeit, verantwortliche Rolle, Periodicity, Auslöser, Datenbasis, Prüfumfang, Kriterien, Schwellen, Ergebnis, Nachweis und Abweichungsbehandlung. Bei automatisierten Kontrollen kommen System, Regel und IT-Abhängigkeiten hinzu. Die Beschreibung sollte ausführbar und prüfbar sein, ohne unnötige Wiederholung von Prozess- oder Bedienungsdetails.

Eine Arbeitsanweisung ist sinnvoll, wenn die Kontrolle komplex, selten, personenabhängig, reguliert oder technisch anspruchsvoll ist. Sie beschreibt konkrete Arbeitsschritte, Datenabfragen, Beispiele und Sonderfälle. Die Kontrollbeschreibung selbst bleibt auf Zweck und Mindestanforderungen fokussiert. Bei einfachen, intuitiven Kontrollen kann eine separate Anleitung unnötig sein. Arbeitsanweisungen benötigen dieselbe Versionierungs- und Freigabelogik wie andere verbindliche Dokumente.

Ein Nachweiskatalog legt pro Kontrolle fest, welche Belege als ausreichend gelten, wie sie benannt, gespeichert, geschützt und aufbewahrt werden. Er verhindert uneinheitliche Nachweise und erleichtert Stellvertretung sowie Prüfung. Beispiele und Mindestinhalte sind besonders hilfreich. Der Katalog sollte datenschutzkonform sein und keine unnötige Sammlung sensibler Informationen fördern. Änderungen an Kontrollen müssen im Katalog nachgeführt werden.

Rollen werden in Governance-Dokumenten, RACI-Matrizen, Prozessbeschreibungen und Kontrollzuordnungen konsistent abgebildet. Es sollte erkennbar sein, wer besitzt, ausführt, genehmigt, überwacht und informiert wird. Rollen statt Personennamen erhöhen Stabilität; konkrete Zuordnungen müssen dennoch aktuell sein. Kompetenzordnung und Systemrechte sind abzugleichen. Widersprüche zwischen Dokumenten sollten durch eine definierte führende Quelle vermieden werden.

Begriffe wie Risiko, Kontrolle, Feststellung, Massnahme oder Wirksamkeit werden in Organisationen häufig unterschiedlich verstanden. Ein verbindliches Glossar schafft gemeinsame Sprache, verbessert Schulung, Datenqualität und Vergleichbarkeit und erleichtert KI- sowie Suchanwendungen. Definitionen sollten kurz, praxisnah und mit relevanten Standards abgestimmt sein. Neue Begriffe benötigen einen geregelten Freigabeprozess, damit nicht mehrere Varianten parallel entstehen.

Version, Autor, Eigentümer, Freigebender, Datum, Gültigkeitsbeginn und Änderungshistorie werden dokumentiert. Freigegebene Versionen sind von Entwürfen getrennt und gegen unkontrollierte Änderung geschützt. Verknüpfte Dokumente sollten bei wesentlichen Änderungen automatisch oder prozessual überprüft werden. Ein Dokumentenmanagementsystem erleichtert dies. Manuelle Dateinamen wie „final_neu_2“ sind kein verlässliches Versionskonzept.

Die Freigabe richtet sich nach Bedeutung. Grundsätze, Scope und Methodik benötigen meist Management- oder Verwaltungsratsgenehmigung; Prozess- und Kontrollbeschreibungen werden typischerweise von zuständigen Eigentümern freigegeben. Fachstellen wie Recht, Datenschutz oder IT können konsultiert werden. Freigaben sollten Inhalt, Version und Zeitpunkt eindeutig belegen. Zu viele Genehmigungsstufen verlangsamen Änderungen und verwässern Verantwortung.

Eine Aufbewahrungsmatrix ordnet Dokumentenarten rechtliche, vertragliche und betriebliche Fristen zu. Nachweise werden nur so lange aufbewahrt, wie ein nachvollziehbarer Zweck besteht. Zugriffe, Archivierung, Legal Hold, Löschfreigabe und sichere Vernichtung sind geregelt. Personendaten erfordern besondere Zurückhaltung. Automatisierte Löschregeln sollten getestet werden, damit weder vorzeitig gelöscht noch unbegrenzt gespeichert wird.

Eindeutige IDs und systematische Beziehungen verbinden Prozess, Risiko, Kontrollziel, Kontrolle, Durchführung, Nachweis, Test und Massnahme. Änderungen dürfen die Historie nicht überschreiben. In Tabellen ist dies fehleranfällig, sobald Umfang und Versionen wachsen; relationale Software bietet Vorteile. Regelmässige Datenqualitätsprüfungen suchen nach verwaisten Risiken, Kontrollen ohne Nachweis und Massnahmen ohne Ausgangsfeststellung.

Dokumentiert wird, was für Ausführung, Steuerung und Prüfung tatsächlich benötigt wird. Wiederholungen werden durch Verlinkung vermieden, Standardfelder klar begrenzt und Fachsprache erklärt. Unterschiedliche Ebenen unterstützen verschiedene Nutzer: Übersicht für Führung, Details für Verantwortliche. Veraltete oder redundante Inhalte werden aktiv entfernt. Schlank bedeutet nicht lückenhaft, sondern risikoorientiert und nutzbar.

Jedes Pflichtfeld und jede Freigabe sollte einen erkennbaren Zweck besitzen. Kontrollen werden in bestehende Abläufe integriert, Daten automatisch übernommen und Nachweise möglichst am Entstehungsort erzeugt. Standardisierung reduziert Freitext und Mehrfachpflege. Nutzerfeedback und Prozesskennzahlen zeigen Belastungen. Eine regelmässige „Stop-doing“-Analyse entfernt Dokumentationsschritte, die weder Risiko reduzieren noch Nachvollziehbarkeit erhöhen.

Zuerst werden führende Sprache, verbindliches Glossar und Übersetzungsverantwortung festgelegt. IDs, Struktur und Datenfelder bleiben sprachunabhängig, während Inhalte kontrolliert übersetzt werden. Änderungen an der Ausgangsversion müssen einen Übersetzungsworkflow auslösen. Kritische Begriffe werden fachlich geprüft, nicht nur maschinell übertragen. Lokale Nutzer benötigen verständliche Arbeitsinhalte, während konsolidiertes Reporting vergleichbar bleibt.

Dokumentation, Nachweise und Änderungen werden laufend gepflegt statt kurz vor der Prüfung zusammengesucht. Verantwortliche kennen Anforderungen, offene Lücken sind transparent und Zugriffe für Prüfer kontrolliert vorbereitet. Regelmässige interne Stichproben prüfen Vollständigkeit und Lesbarkeit. Eine zentrale Ablage mit Such-, Export- und Audit-Trail-Funktionen reduziert Aufwand. Revisionsbereit bedeutet nicht fehlerfrei, sondern nachvollziehbar, aktuell und ehrlich.