Kontrollmängel, Massnahmen und Verbesserung – IKS

Die Klassifikation berücksichtigt potenzielle Auswirkung, Eintrittswahrscheinlichkeit, Dauer, Umfang, regulatorische Bedeutung, betroffene Daten oder Personen und vorhandene kompensierende Kontrollen. Üblich sind drei oder vier Stufen von gering bis kritisch. Kriterien und Eskalationsfristen sollten verbindlich definiert sein. Die Bewertung orientiert sich am möglichen Risiko, nicht nur am bisher eingetretenen Schaden.

Eine Ausnahme ist eine konkrete Abweichung in einem Fall oder einer Stichprobe. Ein Kontrollmangel betrifft Design oder verlässliche Funktionsweise der Kontrolle selbst. Eine einzelne Ausnahme kann ein Bedienfehler sein, mehrere ähnliche Ausnahmen können jedoch auf einen systemischen Mangel hindeuten. Deshalb werden Ausnahmen untersucht und aggregiert. Die Begriffe sollten im IKS einheitlich verwendet werden.

Die Analyse fragt wiederholt, warum der Mangel entstanden und nicht früher erkannt worden ist. Methoden sind Five Whys, Ishikawa-Diagramm, Prozessanalyse und Datenvergleich. Ursachen können unklare Rollen, fehlende Kompetenz, ungeeignete Systeme, falsche Anreize oder zu komplexe Prozesse sein. Die Untersuchung sollte über die unmittelbar sichtbare Handlung hinausgehen. Nur ursachenbezogene Massnahmen verhindern Wiederholungen.

Erforderlich sind betroffener Prozess, Risiko und Kontrolle, sachliche Feststellung, Zeitraum, Umfang, Belege, Ursache, Risikobewertung, Sofortmassnahme, verantwortliche Person, Zieldatum und Eskalationsstatus. Auch kompensierende Kontrollen und Managemententscheidungen werden festgehalten. Formulierungen sollten objektiv und verständlich sein. Der Mangel wird erst geschlossen, wenn Umsetzung und Wirksamkeit der Massnahme belegt sind.

Verantwortlich sollte eine Person oder Rolle sein, die über Entscheidungskompetenz, Ressourcen und Einfluss auf die Ursache verfügt. Die Kontrollperson ist nicht automatisch die richtige Massnahmeneigentümerin. Bei bereichsübergreifenden Themen braucht es einen übergeordneten Sponsor. Eine einzelne verantwortliche Rolle verhindert diffuse Zuständigkeit; beteiligte Stellen können zusätzlich als Mitwirkende benannt werden.

Die Frist ergibt sich aus Risikohöhe, Umsetzungsaufwand, Abhängigkeiten und verfügbaren Übergangskontrollen. Kritische Risiken benötigen sofortige Begrenzung, auch wenn die dauerhafte Lösung länger dauert. Meilensteine machen längere Vorhaben steuerbar. Fristen dürfen nicht nur nach Bequemlichkeit gesetzt werden. Jede Verlängerung sollte begründet, genehmigt und hinsichtlich des verbleibenden Risikos neu beurteilt werden.

Eskalation erfolgt, wenn definierte Schweregrade oder Fristen überschritten sind, ein erhebliches Rechts- oder Betrugsrisiko besteht, mehrere Bereiche betroffen sind oder das Management eine Risikoentscheidung treffen muss. Der Empfänger richtet sich nach Governance und kann Prozessleitung, Geschäftsleitung, Verwaltungsrat, Audit Committee oder Fachstelle sein. Meldewege und Zeitvorgaben sollten vor einem Vorfall feststehen.

Überfällige Massnahmen werden risikobasiert eskaliert und nicht lediglich mit neuem Datum versehen. Eigentümer erklären Ursache, aktuellen Stand, verbleibendes Risiko und notwendige Entscheidung. Übergangskontrollen werden auf Wirksamkeit geprüft. Wiederholte Verlängerungen können auf fehlende Priorität, Ressourcen oder unrealistisches Design hinweisen. Das Management muss bewusst entscheiden, ob es zusätzliche Mittel bereitstellt oder Risiko akzeptiert.

Zuerst wird der Umsetzungsnachweis geprüft, danach durch Walkthrough, Stichprobe oder Datenanalyse festgestellt, ob die Ursache tatsächlich beseitigt und das Risiko reduziert wurde. Die Person, die die Massnahme umgesetzt hat, sollte sie nicht allein abschliessend validieren. Eine technische Installation ohne gelebte Nutzung genügt nicht. Ergebnis und Prüfzeitraum werden dokumentiert, bevor der Mangel geschlossen wird.

Sie ist geeignet, wenn sie das verbleibende Risiko bis zur dauerhaften Lösung mit vertretbarem Aufwand ausreichend begrenzt. Die Kontrolle muss klar beschrieben, terminiert, verantwortet und überwacht werden. Häufig ist sie manueller und aufwendiger als die Zielkontrolle. Ein Ablaufdatum verhindert, dass die Übergangslösung unbemerkt dauerhaft wird. Bei kritischen Risiken ist ihre Wirksamkeit früh zu testen.

Wiederholungen werden als Hinweis auf unzureichende Ursachenanalyse, schwache Massnahmen oder mangelnde Verantwortlichkeit behandelt. Fälle werden über Zeit und Bereiche aggregiert. Das Management prüft Anreize, Ressourcen, Systemdesign und Kontrollkultur. Eine erneute Schulung allein ist selten ausreichend. Gegebenenfalls braucht es eine Prozessneugestaltung, stärkere Automatisierung oder unabhängige Überwachung.

Systemische Probleme zeigen sich durch ähnliche Mängel in mehreren Prozessen, Standorten oder Perioden, gemeinsame Ursachen oder wiederholte Umgehungen. Datenanalysen, Themencluster und Root-Cause-Vergleiche helfen bei der Erkennung. Beispiele sind generell schwache Berechtigungsverwaltung oder unrealistische Kontrollkalender. Solche Probleme benötigen eine übergreifende Massnahme und Führungssponsoring statt vieler isolierter Tickets.

Fehler und Near Misses werden ohne vorschnelle Schuldzuweisung erfasst, analysiert und mit Risiken sowie Kontrollen verknüpft. Entscheidend ist, warum ein Ereignis möglich war und welche Barriere funktioniert oder versagt hat. Erkenntnisse fliessen in Kontrolldesign, Schulung, Prozess und Szenarien ein. Eine offene Meldekultur erhöht den Lernwert. Kennzahlen dürfen Mitarbeitende nicht davon abhalten, Probleme früh zu melden.

Ein formeller Change-Prozess prüft Auswirkungen auf Scope, Prozesse, Risiken, Rollen, Kontrollen, Berichte, Nachweise und Berechtigungen. Betroffene Eigentümer genehmigen Anpassungen und testen neue Kontrollen vor oder kurz nach Einführung. Alte Kontrollen werden kontrolliert beendet. Grössere Änderungen benötigen eine Stabilisierungsphase mit erhöhter Überwachung. Die Historie bleibt für Prüfungen nachvollziehbar.

Zuerst wird der Risikozweck bestätigt. Danach werden Doppelarbeit, unnötige Freigaben, ungeeignete Frequenzen und manuelle Schritte analysiert. Kontrollen können automatisiert, zusammengeführt oder auf aussagekräftigere Daten fokussiert werden. Vor Abschaffung wird geprüft, ob andere Kontrollen das Risiko ausreichend abdecken. Änderungen werden getestet und ihre Wirkung nach einer geeigneten Periode erneut beurteilt.

Eine Kontrolllandkarte zeigt, welche Kontrollen dasselbe Risiko, Ziel und dieselbe Population abdecken. Ähnliche Kontrollen werden nach Präzision, Timing, Kosten und Nachweisqualität verglichen. Redundanz kann bewusst sinnvoll sein, etwa bei sehr hohen Risiken, sollte dann aber begründet sein. Unnötige Doppelkontrollen werden zusammengeführt oder entfernt, wobei Abhängigkeiten und regulatorische Anforderungen geprüft werden.

Berichte zeigen Ausgangsmangel, Risikoklasse, Eigentümer, ursprüngliche und aktuelle Frist, Meilensteine, Status, Restaufwand und verbleibendes Risiko. Verzögerungen und Scope-Änderungen werden sichtbar gemacht. Ampeln benötigen klare Definitionen und kurze Erläuterungen. Für Führungsgremien werden kritische, wiederkehrende und überfällige Themen hervorgehoben. Ein hoher Abschlussanteil darf offene Schlüsselrisiken nicht verdecken.