Kontrolldurchführung, Termine und Nachweise – IKS

Kontrolltermine werden aus Risiko, Prozesszyklus, Transaktionshäufigkeit, Abschlusskalender und möglichen Schadensfolgen abgeleitet. Wiederkehrende Kontrollen erhalten eine eindeutige Periodicity, Fälligkeit, verantwortliche Rolle und Stellvertretung. Feiertage, Abwesenheiten und abhängige Vorarbeiten sind zu berücksichtigen. Ein zentraler Kontrollkalender macht Belastungsspitzen und Überschneidungen sichtbar und ermöglicht rechtzeitige Erinnerungen sowie Eskalationen.

Ein Prüfer muss erkennen können, was tatsächlich kontrolliert wurde, nach welchen Kriterien und mit welchem Ergebnis. Der Nachweis sollte vollständig, lesbar, zeitnah erstellt, eindeutig der Kontrolle zugeordnet und vor unbemerkter Veränderung geschützt sein. Festgestellte Abweichungen und deren Nachverfolgung gehören dazu. Die erforderliche Tiefe hängt von Risiko und Komplexität ab; unnötige Belegsammlungen erhöhen Aufwand ohne zusätzliche Aussagekraft.

Digitale Nachweise werden möglichst direkt im Kontrollworkflow erfasst oder sicher verknüpft. Pflichtfelder, Zeitstempel, Benutzeridentität, Dateiversion und Freigaben erhöhen Nachvollziehbarkeit. Sensible Daten sind zu minimieren und angemessen zu schützen. Screenshots sollten nur verwendet werden, wenn keine bessere strukturierte Datenquelle verfügbar ist. Das System muss Aufbewahrung, Suche, Export und Zugriffskontrolle unterstützen.

Eine Freigabe sollte eindeutig zeigen, wer welchen Inhalt in welcher Version zu welchem Zeitpunkt genehmigt hat. Elektronische Workflows mit persönlicher Anmeldung, Rollenprüfung und unveränderbarem Protokoll sind besonders geeignet. Sammelkonten oder weitergegebene Passwörter zerstören die Aussagekraft. Bei materiellen Entscheidungen sollte zusätzlich erkennbar sein, welche Kriterien geprüft und welche Bedingungen oder Vorbehalte festgehalten wurden.

Der Nachweis muss zwei unterschiedliche, berechtigte Personen sowie deren getrennte Handlungen zeigen. Die zweite Person bestätigt nicht nur den Abschluss, sondern dokumentiert den definierten Prüfgegenstand und allfällige Korrekturen. Zeitstempel, Benutzeridentität und Version sind wichtig. Systemseitig sollte verhindert werden, dass dieselbe Person beide Rollen übernimmt. Ausnahmen werden begründet, genehmigt und gesondert überwacht.

Jede relevante Abweichung erhält Beschreibung, betroffenen Umfang, Risikobeurteilung, Ursache, Sofortmassnahme, verantwortliche Person und Zieldatum. Es ist zu unterscheiden zwischen erwarteter fachlicher Ausnahme, Kontrollfehler und echtem Prozessmangel. Nachweise und Entscheidungen werden verknüpft. Wiederkehrende Abweichungen sollten aggregiert und auf systemische Ursachen untersucht werden, statt immer wieder als Einzelfall geschlossen zu werden.

Zuerst wird die Risikowirkung beurteilt: Welche Periode, Transaktionen und Ziele sind betroffen? Danach wird die Kontrolle wenn sinnvoll nachgeholt oder durch eine geeignete kompensierende Prüfung ersetzt. Ursache, Entscheidung und Ergebnis werden dokumentiert. Bei wesentlichen Risiken erfolgt Eskalation. Anschliessend sind organisatorische Gründe wie fehlende Stellvertretung, unklare Termine oder unrealistische Arbeitslast zu beheben.

Überfällige Kontrollen sollten automatisiert erinnert und nach definierten Fristen eskaliert werden. Die Verantwortlichen müssen Status, Ursache und geplantes Abschlussdatum angeben. Nicht jede Verspätung hat dieselbe Risikobedeutung; deshalb sind Schlüsselkontrollen und kritische Perioden zu priorisieren. Wiederholte Verspätungen werden als mögliches Kontrollproblem analysiert. Eine nachträgliche Erledigung ohne Bewertung des Zeitverzugs genügt nicht.

Für jede zeitkritische Kontrolle wird eine qualifizierte Stellvertretung mit erforderlichen Zugriffsrechten und Informationen benannt. Die Vertretung sollte die Kontrollbeschreibung kennen und regelmässig geschult werden. Abwesenheitsregeln dürfen Funktionentrennung nicht verletzen. Bei besonders kritischen Kontrollen ist ein aktiver Übergabeprozess sinnvoll. Rollenbasierte Zuordnung in einer Software erleichtert Wechsel und verhindert, dass Aufgaben an inaktive Personen gebunden bleiben.

Delegation ist möglich, wenn die ausführende Person kompetent, unabhängig genug und mit den nötigen Daten sowie Rechten ausgestattet ist. Auftrag, Umfang, Termin, Nachweis und Eskalation müssen klar sein. Der ursprüngliche Verantwortliche behält je nach Governance die Aufsicht und prüft die ordnungsgemässe Ausführung. Eine informelle Weiterleitung ohne dokumentierte Rollenänderung oder Qualitätssicherung ist keine saubere Delegation.

Die Stichprobe richtet sich nach Ziel, Population, Risiko, Kontrollfrequenz und erwarteter Fehlerquote. Zufallsauswahl eignet sich für repräsentative Aussagen, risikobasierte Auswahl für besonders auffällige oder wertmässig grosse Fälle. Auswahlkriterien und vollständige Population müssen dokumentiert sein. Eine rein bequeme Auswahl der leicht verfügbaren Fälle kann verzerrte Ergebnisse liefern. Bei Auffälligkeiten ist die Stichprobe zu erweitern oder die Ursache separat zu untersuchen.

Ein einheitliches Ergebnis unterscheidet mindestens „ordnungsgemäss“, „mit Abweichung“ und „nicht durchgeführt“ und ergänzt dies durch sachliche Begründung. Der kontrollierte Umfang, festgestellte Sachverhalt, Bewertung und nächste Schritte werden erfasst. Freitext allein erschwert Reporting; reine Statusfelder verlieren Kontext. Eine Kombination aus standardisierten Feldern und kurzer qualifizierter Erläuterung ist meist am besten.

Anzuhängen sind nur Unterlagen, die Durchführung, Datenbasis, Feststellung oder Entscheidung tatsächlich belegen. Kommentare sollten verständlich erklären, was geprüft und warum eine Abweichung akzeptiert oder weiterverfolgt wurde. Doppelte, irrelevante oder ungeschützte Dateien sind zu vermeiden. Vertrauliche Personendaten sollten soweit möglich geschwärzt, minimiert oder durch einen sicheren Referenzlink ersetzt werden.

Die Frist hängt von Rechtsgrundlage, Prozess, Nachweisart, Verjährung, Prüfzyklen und Datenschutz ab. Rechnungslegungsbezogene Belege und Berichte unterliegen häufig zehnjährigen Aufbewahrungspflichten, andere Kontrolldokumente können kürzere oder längere Fristen benötigen. Eine dokumentierte Aufbewahrungsmatrix ist erforderlich. Nach Ablauf der Frist sollten Daten kontrolliert gelöscht oder anonymisiert werden, sofern kein Rechtsstreit oder Legal Hold entgegensteht.

Verlässlichkeit zeigt, ob Kontrollen vollständig, termingerecht und mit ausreichender Qualität ausgeführt werden. Kennzahlen können Erledigungsquote, Verspätungen, fehlende Nachweise, nachträgliche Korrekturen und Testergebnisse kombinieren. Eine reine „grüne“ Statusquote reicht nicht, wenn die Nachweise oberflächlich sind. Gewichtung nach Risikoklasse und Schlüsselkontrollen erhöht die Aussagekraft. Trends sind wichtiger als ein einzelner Monatswert.

Gemessen wird der Anteil fristgerecht abgeschlossener Kontrollen im Verhältnis zu allen fälligen Kontrollen. Sinnvoll sind zusätzliche Klassen für geringe, erhebliche und kritische Verspätung sowie eine Gewichtung nach Risiko. Änderungen des Fälligkeitsdatums müssen transparent bleiben, damit Kennzahlen nicht durch Verschieben verbessert werden. Ursachenanalysen zeigen, ob Ressourcen, Planung oder Prozessabhängigkeiten angepasst werden müssen.