Kontrollarten und Kontrollbeispiele – IKS

Eine detektive Kontrolle erkennt Fehler, Abweichungen oder Missbrauch, nachdem ein Vorgang erfolgt ist oder während er abläuft. Beispiele sind Kontenabstimmungen, Inventurdifferenzen, Ausnahmeberichte, Datenanalysen und nachgelagerte Reviews. Entscheidend sind rechtzeitige Erkennung und klare Reaktion. Eine Kontrolle, die einen Fehler erst nach irreversiblen Schäden meldet, ist für das betreffende Risiko möglicherweise zu spät.

Eine korrektive Kontrolle oder Massnahme begrenzt die Folgen eines erkannten Problems und stellt den ordnungsgemässen Zustand wieder her. Beispiele sind Korrekturbuchungen, Sperrung kompromittierter Konten, Wiederherstellung aus Backups oder Anpassung fehlerhafter Stammdaten. Korrektive Elemente sollten mit Ursachenanalyse verbunden sein. Sonst wird zwar der Einzelfall behoben, der zugrunde liegende Mangel bleibt jedoch bestehen.

Direktive Kontrollen geben vor, wie sich Personen oder Systeme verhalten sollen. Dazu gehören Richtlinien, Verfahrensanweisungen, Schulungen, Verhaltenskodizes und klare Zielvorgaben. Sie schaffen Orientierung und können präventiv wirken, reichen allein bei wesentlichen Risiken aber selten aus. Ihre Wirksamkeit hängt davon ab, ob sie verständlich, aktuell, zugänglich und durch konkrete Prozess- sowie Überwachungskontrollen unterstützt werden.

Eine manuelle Kontrolle wird wesentlich durch eine Person ausgeführt, beispielsweise Prüfung einer Rechnung, Inventur oder Management Review. Sie kann flexibel auf komplexe Sachverhalte reagieren, ist aber anfällig für Irrtum, uneinheitliche Ausführung und Umgehung. Klare Kriterien, Schulung, geeignete Daten und nachvollziehbare Nachweise sind deshalb wichtig. Wo sinnvoll, können Teile der Kontrolle automatisiert werden.

Eine automatisierte Kontrolle wird durch ein System nach hinterlegten Regeln ohne manuelle Einzelfallentscheidung ausgeführt. Beispiele sind Dublettenprüfung, Pflichtfelder, Limitprüfungen oder automatische Sperren. Sie kann konsistent und vollständig wirken, sofern Programm, Konfiguration und Daten korrekt sind. Deshalb benötigt sie verlässliche allgemeine IT-Kontrollen, insbesondere über Änderungen, Zugriffe, Schnittstellen und Betrieb.

Dabei führt eine Person die eigentliche Beurteilung aus, stützt sich aber auf einen systemgenerierten Bericht, eine Abfrage oder Berechnung. Die Kontrolle ist nur so zuverlässig wie die verwendete Information. Deshalb müssen Vollständigkeit und Richtigkeit des Reports sowie Parameter und Datenquelle geprüft werden. Ein inhaltlich guter Management Review kann unwirksam sein, wenn der zugrunde liegende Bericht unvollständig ist.

Entity-Level Controls wirken auf Ebene der gesamten Organisation oder grösserer Einheiten. Beispiele sind Governance, Verhaltenskodex, Kompetenzordnung, Risikomanagement, Whistleblowing, Abschlussüberwachung und Aufsicht durch den Verwaltungsrat. Sie prägen das Kontrollumfeld und können mehrere Prozessrisiken beeinflussen. Starke übergeordnete Kontrollen ersetzen jedoch nicht automatisch detaillierte Kontrollen in besonders risikoreichen Prozessen.

Prozessbezogene Kontrollen adressieren Risiken innerhalb eines bestimmten Geschäftsablaufs. Beispiele sind Bestellfreigaben im Einkauf, Kreditlimitprüfungen im Verkauf oder Lohnlistenreviews im Personalprozess. Sie werden an den relevanten Prozessschritten verankert und mit Rollen, Frequenz sowie Nachweisen beschrieben. Ihre Wirkung sollte im Zusammenhang mit vor- und nachgelagerten Kontrollen betrachtet werden.

Transaktionsbezogene Kontrollen prüfen einzelne Geschäftsvorfälle oder definierte Stichproben. Dazu gehören etwa Freigabe jeder Zahlung, Validierung einer Bestellung oder Prüfung einzelner Spesenabrechnungen. Sie können präventiv oder detektiv, manuell oder automatisiert sein. Bei hohen Volumen sind automatisierte Regeln oder risikobasierte Auswahl oft effizienter als eine vollständige manuelle Prüfung.

Anwendungskontrollen stellen innerhalb einer Fachanwendung sicher, dass Daten und Transaktionen vollständig, richtig, autorisiert und verarbeitet werden. Beispiele sind Eingabevalidierungen, Berechnungslogiken, Workflow-Freigaben, Schnittstellenabgleiche und Ausnahmeberichte. Ihre Zuverlässigkeit hängt von Konfiguration, Stammdaten und allgemeinen IT-Kontrollen ab. Änderungen müssen getestet und genehmigt werden.

Kontinuierliche Kontrollen laufen fortlaufend oder nahezu in Echtzeit, häufig automatisiert. Sie überwachen beispielsweise Transaktionen auf ungewöhnliche Muster, Systemzustände oder Grenzwertverletzungen. Ihr Vorteil ist die schnelle Erkennung und breite Abdeckung. Allerdings müssen Regeln, Fehlalarme, Datenqualität und Reaktion auf Meldungen aktiv gesteuert werden. Ein Alarm ohne Bearbeitungsprozess ist keine vollständige Kontrolle.

Periodische Kontrollen werden in festgelegten Intervallen durchgeführt, etwa täglich, monatlich, quartalsweise oder jährlich. Beispiele sind Kontenabstimmungen, Berechtigungsreviews und Inventuren. Die Frequenz muss zur Geschwindigkeit und Auswirkung des Risikos passen. Kontrollkalender, Erinnerungen und Stellvertretungen helfen, die termingerechte Durchführung sicherzustellen. Periodisch bedeutet nicht automatisch manuell.

Eine kompensierende Kontrolle reduziert ein Risiko, wenn die bevorzugte Kontrolle nicht möglich, ausgefallen oder unverhältnismässig ist. In einem kleinen Betrieb kann beispielsweise ein detaillierter Eigentümerreview fehlende Funktionentrennung teilweise kompensieren. Die Ersatzkontrolle muss vergleichbare Risikowirkung und ausreichende Präzision besitzen. Sie sollte ausdrücklich begründet, dokumentiert und regelmässig auf ihre Eignung überprüft werden.

Wichtig sind genehmigte Lieferanten, transparente Beschaffungs- und Kompetenzregeln, Funktionentrennung, Bestellfreigaben, Abgleich von Bestellung, Wareneingang und Rechnung sowie Überwachung von Interessenkonflikten. Änderungen an Bankdaten verdienen besondere Aufmerksamkeit. Zusätzlich sollten Direktvergaben, Vertragsverlängerungen, Preisabweichungen und ungewöhnliche Bestellmuster analysiert werden. Die konkrete Ausgestaltung hängt von Volumen, Beschaffungsrecht und Risiko ab.

Wichtig sind Zugangsschutz, nachvollziehbare Zu- und Abgänge, periodische Inventuren, Differenzklärung, Bewertungskontrollen und Genehmigung von Abschreibungen oder Ausbuchungen. Bei Anlagevermögen kommen Aktivierungsregeln, Standortnachweise und Veräusserungsfreigaben hinzu. Systembestand und physischer Bestand müssen abgestimmt werden. Kritische oder leicht veräusserbare Güter benötigen engere Überwachung.