Einführung und Projektplanung – IKS

Benötigt werden ein entscheidungsfähiger Sponsor, eine Projektleitung, Fachpersonen aus relevanten Prozessen, IT-Unterstützung und bei Bedarf Recht, Compliance, Risikomanagement sowie Revision. Prozessverantwortliche müssen genügend Zeit für Workshops, Validierung und Umsetzung erhalten. Ein kleines Kernteam kann koordinieren, darf das IKS aber nicht allein im stillen Kämmerlein entwickeln. Die spätere Linienverantwortung sollte bereits im Projekt aktiv beteiligt sein.

Die Organisation sollte aus einem Sponsor oder Steuerungsausschuss, einer operativen Projektleitung, klaren Workstreams und benannten Fachverantwortlichen bestehen. Entscheidungsrechte, Eskalationswege, Qualitätsprüfungen und Abnahmen werden vorab festgelegt. Ein PMO oder eine zentrale IKS-Funktion kann Methodik und Fortschritt koordinieren. Bei kleineren Organisationen reicht eine einfachere Struktur, solange Verantwortung und Entscheidungen eindeutig sind.

Der Sponsor sollte genügend Autorität besitzen, um Prioritäten, Ressourcen und bereichsübergreifende Entscheidungen durchzusetzen. Häufig ist dies ein Mitglied der Geschäftsleitung, etwa CFO, CEO oder Verwaltungsleitung. Der Sponsor darf das Projekt nicht nur formell eröffnen, sondern muss Hindernisse beseitigen, Erwartungen kommunizieren und Ergebnisse einfordern. Bei stark regulierten oder unternehmensweiten Projekten ist eine sichtbare Unterstützung des Verwaltungsrats sinnvoll.

Eine Roadmap verbindet Zielbild, Ausgangslage, Abhängigkeiten, Ressourcen und Risikoprioritäten. Sie gliedert die Einführung in überschaubare Wellen, etwa Governance, Pilotprozesse, Rollout, Digitalisierung und Wirksamkeitsprüfung. Für jede Welle werden Ergebnisse, Verantwortliche, Termine und Entscheidungspunkte festgelegt. Puffer für Validierung und Nacharbeiten sind einzuplanen. Eine Roadmap sollte regelmässig anhand tatsächlicher Fortschritte angepasst werden.

Hilfreich sind Organigramm, Prozesslandkarte, Jahresrechnung, Richtlinien, Kompetenzordnung, Risikoregister, Prüfberichte, Systemübersicht, Verträge mit kritischen Dienstleistern und vorhandene Kontrolllisten. Zusätzlich sollten Vorfälle, Fehler, Beschwerden und bekannte Schwachstellen ausgewertet werden. Dokumente allein reichen nicht: Interviews und Walkthroughs zeigen, wie Prozesse tatsächlich funktionieren und wo informelle Kontrollen bestehen.

Die Ist-Analyse vergleicht vorhandene Governance, Prozesse, Risiken, Kontrollen, Nachweise und Monitoring mit dem definierten Zielbild. Dokumentenprüfung, Interviews, Walkthroughs und Stichproben werden kombiniert. Ergebnisse werden nach Risiko und Dringlichkeit klassifiziert. Wichtig ist die Unterscheidung zwischen fehlender Dokumentation und tatsächlich fehlender Kontrolle. Der Bericht sollte konkrete Lücken, Ursachen und priorisierte nächste Schritte enthalten.

Workshops sollten pro Prozess mit klarer Agenda, vorbereiteten Prozessinformationen und den richtigen Rollen stattfinden. Zuerst werden Ziele und Ablauf bestätigt, danach Risiken, bestehende Kontrollen, Lücken und Verantwortlichkeiten diskutiert. Ein Moderator verhindert, dass nur Einzelfälle oder abstrakte Risiken gesammelt werden. Ergebnisse werden unmittelbar strukturiert dokumentiert und anschliessend von Prozessverantwortlichen validiert. Kürzere fokussierte Sitzungen sind oft wirksamer als ganztägige Marathons.

Einzubeziehen sind Verwaltungsrat beziehungsweise Aufsicht, Geschäftsleitung, Prozess- und Kontrollverantwortliche, Finanzen, IT, HR, Recht, Compliance, Risikomanagement und gegebenenfalls interne sowie externe Revision. Auch spätere Anwender und Stellvertretungen sollten früh mitwirken. Externe Dienstleister sind einzubeziehen, wenn sie kritische Prozesse ausführen. Die Beteiligung richtet sich nach Betroffenheit und Entscheidungsbedarf, nicht nach Hierarchie allein.

Widerstand entsteht häufig aus zusätzlichem Aufwand, schlechten Erfahrungen, unklaren Zielen oder Angst vor Kontrolle. Deshalb sollten Nutzen, Scope und Erwartungen offen erklärt und Mitarbeitende in das Design einbezogen werden. Unnötige Kontrollschritte sind konsequent zu vermeiden. Führungskräfte müssen das System selbst ernst nehmen. Pilotbereiche und sichtbare Verbesserungen helfen, Akzeptanz aufzubauen. Berechtigte Kritik sollte zur Optimierung genutzt werden.

Die Kommunikation sollte erklären, warum das IKS eingeführt wird, was sich ändert, wer betroffen ist und welche Unterstützung verfügbar ist. Unterschiedliche Zielgruppen benötigen unterschiedliche Botschaften: Führung interessiert sich für Risiken und Steuerung, Anwender für konkrete Aufgaben und Nutzen. Regelmässige Updates, kurze Anleitungen und offene Fragerunden sind wirksamer als eine einmalige Rundmail. Erfolge und gelöste Probleme sollten sichtbar gemacht werden.

Alle Betroffenen benötigen ein gemeinsames Grundverständnis von Zielen, Rollen, Risiken und Kontrollnachweisen. Prozess- und Kontrollverantwortliche brauchen zusätzlich praktische Schulung zur Formulierung, Durchführung, Dokumentation und Eskalation. Administratoren benötigen System- und Berechtigungswissen, Management und Verwaltungsrat aussagekräftiges Reportingverständnis. Schulungen sollten rollenbasiert, praxisnah und durch kurze Nachschlagehilfen ergänzt sein.

Ein Pilot ist sinnvoll, wenn Methodik, Software oder Governance neu sind und vor dem breiten Rollout erprobt werden sollen. Der Pilotprozess sollte relevant, aber beherrschbar sein und engagierte Verantwortliche besitzen. Er muss typische Anforderungen abbilden, ohne ein Sonderfall zu sein. Erfolgskriterien und Lernziele werden vorab festgelegt. Nach dem Pilot werden Template, Rollen und Schulung angepasst, bevor weitere Bereiche folgen.

Quick Wins sind die Klärung kritischer Freigaben, Bereinigung von Zugriffsrechten, Einführung eines Kontrollkalenders, zentrale Ablage von Nachweisen und konsequente Nachverfolgung überfälliger Massnahmen. Auch die Entfernung doppelter Kontrollen kann rasch Nutzen schaffen. Quick Wins sollten echte Risiken adressieren und nicht nur sichtbare Dokumente produzieren. Sie ersetzen die systematische Einführung nicht, schaffen aber Vertrauen und Momentum.

Entscheidend sind sichtbare Unterstützung der Führung, klarer Scope, angemessene Methodik, Beteiligung der Linie, genügend Ressourcen, verständliche Kontrollen und konsequente Nachverfolgung. Ebenso wichtig sind nutzerfreundliche Werkzeuge und eine offene Fehlerkultur. Das Projekt muss auf Geschäftsziele ausgerichtet sein und darf nicht als isolierte Revisionsübung erscheinen.