Digitalisierung, Automatisierung und IKS-Software – IKS

Ein Workflow stellt die richtige Aufgabe zum richtigen Zeitpunkt der zuständigen Person bereit und führt sie durch definierte Schritte. Pflichtfelder, Checklisten und Nachweisanforderungen erhöhen die Vollständigkeit. Freigaben, Rückfragen, Stellvertretungen und Abweichungen werden strukturiert verarbeitet. Der Status ist für berechtigte Rollen transparent. Gute Workflows unterstützen die fachliche Tätigkeit; sie sollten keine sinnlosen Klickfolgen oder automatische Bestätigungen ohne echte Prüfung fördern.

Das System erinnert vor oder bei Fälligkeit und eskaliert bei ausbleibender Bearbeitung nach festgelegten Fristen an Stellvertretung oder Führungsebene. Regeln können Risiko, Kontrollart und Organisationseinheit berücksichtigen. Benachrichtigungen sollten gebündelt und priorisiert werden, damit wichtige Meldungen nicht in einer Flut untergehen. Jede Eskalation braucht einen klaren Empfänger und eine erwartete Reaktion; reine Informationsmails ohne Prozesswirkung helfen wenig.

Eine zentrale Datenstruktur verknüpft jeden Prozess mit Risiken, Kontrollzielen, Kontrollen, Verantwortlichen, Terminen und Nachweisen. Änderungen erfolgen an einer autorisierten Stelle und wirken kontrolliert in Auswertungen und Aufgaben. Metadaten, Versionen und eindeutige Identifikatoren verhindern Verwechslungen. Zugriffe werden rollenbasiert eingeschränkt. Für Prüfung und Management muss der Weg vom Risiko über die Kontrolle bis zum konkreten Durchführungsergebnis jederzeit nachvollziehbar sein.

Ein Audit Trail dokumentiert, wer wann welche Information erstellt, geändert, freigegeben oder abgeschlossen hat. Dadurch können Verantwortlichkeit, zeitlicher Ablauf und Versionen nachvollzogen werden. Er unterstützt Prüfungen, interne Untersuchungen und die Klärung von Abweichungen. Protokolle müssen gegen unberechtigte Veränderung geschützt und angemessen aufbewahrt werden. Ein Audit Trail beweist jedoch nicht automatisch die fachliche Qualität der Kontrolle; er belegt primär den dokumentierten Ablauf.

Die Software sollte rollenbasierte Rechte nach Aufgabe, Organisationseinheit und Datenart ermöglichen. Notwendig sind mindestens Lese-, Bearbeitungs-, Durchführungs-, Freigabe-, Administrations- und Auswertungsrechte sowie Stellvertretungen. Das Least-Privilege-Prinzip, Funktionentrennung, periodische Rezertifizierung und Protokollierung privilegierter Änderungen sind zentral. Direkte Sonderrechte sollten begrenzt, begründet und sichtbar bleiben, damit sie das Rollenmodell nicht unbemerkt aushebeln.

Ein solches System trennt Daten und Berechtigungen einzelner Mandanten, Gesellschaften oder Organisationseinheiten, erlaubt aber definierte konsolidierte Auswertungen. Zentrale Stellen können Methoden, Vorlagen und Schlüsselkontrollen vorgeben, während lokale Einheiten Risiken und Nachweise in ihrem Bereich pflegen. Währungs-, Sprach- und Rechtsunterschiede müssen berücksichtigt werden. Technische und organisatorische Trennung ist so zu gestalten, dass kein unberechtigter Zugriff zwischen Mandanten möglich ist.

Je nach Bedarf sind Schnittstellen zu Identitätsmanagement, ERP und Finanzsystemen, HR, Dokumentenmanagement, Business Intelligence, Ticketing, E-Mail und Kalender sinnvoll. Sie können Stammdaten, Organisationseinheiten, Benutzer, Transaktionen, Vorfälle oder Massnahmen automatisiert übertragen. Jede Schnittstelle benötigt klare Eigentümerschaft, Datenvalidierung, Fehlerbehandlung und Überwachung. Eine Integration sollte einen konkreten Nutzen bieten; möglichst viele Schnittstellen sind kein Qualitätsmerkmal an sich.

APIs ermöglichen standardisierten, automatisierten Datenaustausch mit anderen Anwendungen. Damit lassen sich beispielsweise Organisationen und Benutzer synchronisieren, Kontrollergebnisse übernehmen, Aufgaben auslösen oder Reportingdaten bereitstellen. Gute APIs sind dokumentiert, versioniert, authentisiert, begrenzt und protokolliert. Fehler- und Berechtigungskonzepte gehören dazu. Vor einer Integration ist zu klären, welches System führend ist und wie Konflikte, Dubletten oder Ausfälle behandelt werden.

Zuerst werden Dateien inventarisiert, bereinigt und auf eindeutige Strukturen gebracht. Dubletten, veraltete Kontrollen, unklare Eigentümer und fehlende Verknüpfungen werden fachlich geklärt, bevor sie importiert werden. Danach folgen Mapping, Testmigration, Validierung durch Prozesseigner und ein kontrollierter Produktivimport. Historische Nachweise werden nur übernommen, wenn Nutzen, Qualität und Aufbewahrung dies rechtfertigen. Ein Pilot reduziert Risiken und verbessert das Datenmodell.

Benutzerfreundlichkeit ist entscheidend, weil Kontrollen meist von Fachpersonen und nicht täglich von IKS-Spezialisten bearbeitet werden. Aufgaben, Fristen, Nachweise und Abweichungen müssen ohne lange Suche verständlich sein. Eine gute Oberfläche reduziert Schulungsaufwand und Fehlbedienung, darf aber fachliche Anforderungen nicht verstecken. Prototypen oder Pilotzugänge sollten mit echten Anwendern getestet werden; Funktionslisten allein zeigen nicht, wie gut eine Lösung im Alltag funktioniert.

Sie sollte Kontrolltätigkeit, Termintreue, Verlässlichkeit, Wirksamkeit, offene Feststellungen und Massnahmen sowie Risikoabdeckung darstellen können. Filter nach Zeitraum, Organisation, Prozess, Risiko und Verantwortlichkeit sowie Drill-down bis zum Nachweis sind wichtig. Trends, Exporte und rollenbezogene Ansichten unterstützen unterschiedliche Empfänger. Kennzahlendefinitionen und Datenstand müssen transparent sein. Flexible Berichte sind wertvoll, sollten aber auf einer konsistenten Datenbasis beruhen.

Gut geeignet sind regelbasierte, häufige und datenintensive Prüfungen, etwa Dubletten, Grenzwerte, vollständige Sequenzen, unvereinbare Berechtigungen oder ungewöhnliche Transaktionen. Auch Abstimmungen und Statusüberwachungen können automatisiert werden. Voraussetzung sind verlässliche Daten, klare Regeln, überwachte Schnittstellen und kontrollierte Änderungen. Menschliche Beurteilung bleibt nötig, wenn Kontext, Ermessensentscheidungen oder komplexe Ausnahmen relevant sind. Automatisierung sollte periodisch auf Fehlalarme und Lücken getestet werden.

Mobile Nutzung ist sinnvoll, wenn Kontrollen vor Ort, in Filialen, Anlagen oder ausserhalb eines Büroarbeitsplatzes durchgeführt werden. Die Lösung sollte dann sichere Authentisierung, geeignete Darstellung, kontrollierte Foto- oder Dateiuploads und gegebenenfalls Offline-Synchronisation bieten. Auf privaten Geräten sind Datenschutz, Geräteschutz und Löschung besonders zu regeln. Besteht kein mobiler Anwendungsfall, sollte Mobilität nicht zulasten von Sicherheit oder Bedienbarkeit priorisiert werden.

Die Dauer hängt von Scope, Datenqualität, Anzahl Einheiten, Konfiguration, Integrationen und Veränderungsbedarf ab. Ein begrenzter Pilot kann in wenigen Wochen produktiv sein; eine konzernweite Einführung mit Migration und Schnittstellen dauert häufig mehrere Monate. Zeit wird vor allem für fachliche Bereinigung, Tests, Rollen, Schulung und Akzeptanz benötigt. Ein gestuftes Vorgehen mit klaren Mindestanforderungen ist meist verlässlicher als eine überladene Ersteinführung.

Zu berücksichtigen sind Lizenz oder Abonnement, Einrichtung, Konfiguration, Datenmigration, Integrationen, Schulung, interner Projektaufwand, Betrieb, Support und spätere Anpassungen. Hinzu kommen gegebenenfalls Sicherheitsprüfungen, zusätzliche Speicher- oder Benutzerpakete und Kosten beim Anbieterwechsel. Ein Vergleich sollte die Total Cost of Ownership über mehrere Jahre betrachten. Den Kosten stehen Einsparungen durch weniger Koordination, bessere Nachweise und schnellere Auswertungen gegenüber.