Kontrollziele und Kontrolldesign – IKS

Zuerst wird geprüft, welcher Teil des Risikos verhindert, erkannt oder in seiner Auswirkung begrenzt werden soll. Daraus wird der gewünschte Sollzustand formuliert. Anschliessend werden Kontrollen entwickelt, die diesen Zustand mit ausreichender Präzision sicherstellen. Die Verbindung sollte nachvollziehbar dokumentiert sein. Ein Risiko kann mehrere Kontrollziele benötigen, insbesondere wenn Ursache, Ereignis und Auswirkung unterschiedlich behandelt werden.

Ein gutes Kontrollziel ist relevant für ein wesentliches Risiko, klar verständlich und objektiv beurteilbar. Es beschreibt ein Ergebnis und keine allgemeine Absicht wie „Fehler vermeiden“. Zudem sollte erkennbar sein, welche Qualitätsmerkmale betroffen sind, etwa Vollständigkeit, Richtigkeit, Autorisierung, Periodenabgrenzung oder Zugriffsschutz. Zu enge Ziele führen zu Lücken, zu breite Ziele erschweren eine wirksame Prüfung.

Das Kontrolldesign beschreibt, wie eine Kontrolle aufgebaut ist und warum sie das zugeordnete Risiko adressieren kann. Dazu gehören Zweck, Auslöser, verantwortliche Rolle, Methode, Häufigkeit, Datenbasis, Schwellenwerte, Nachweis und Umgang mit Abweichungen. Bei automatisierten Kontrollen zählen zusätzlich Systemlogik und Abhängigkeiten. Ein gutes Design ist präzise genug, dass unterschiedliche qualifizierte Personen die Kontrolle vergleichbar ausführen können.

Beurteilt werden Risikobezug, Zeitpunkt, Präzision, Häufigkeit, Kompetenz und Unabhängigkeit der ausführenden Person sowie Qualität der verwendeten Informationen. Die Kontrolle muss Fehler in einer relevanten Grössenordnung verhindern oder erkennen können. Auch Umgehungsmöglichkeiten und Abhängigkeiten sind zu prüfen. Eine formal vorhandene Kontrolle ist nicht angemessen, wenn sie zu spät, zu oberflächlich oder mit ungeeigneten Daten durchgeführt wird.

Eine Risiko-Kontroll-Matrix zeigt für jedes wesentliche Risiko die zugeordneten präventiven und detektiven Kontrollen. Danach wird beurteilt, ob die Kombination Ursachen, Ereignisse und Auswirkungen ausreichend adressiert. Risiken ohne Kontrolle, Kontrollen ohne Risiko und übermässige Abhängigkeit von einer einzigen Kontrolle werden sichtbar. Die Analyse sollte zusätzlich Prozessübergänge, IT-Abhängigkeiten und Entity-Level Controls berücksichtigen.

Die Beschreibung muss einer fachkundigen Stellvertretung ermöglichen, die Kontrolle konsistent auszuführen und nachzuweisen. Sie sollte sagen, was geprüft wird, gegen welche Kriterien, mit welchen Daten, in welchem Umfang, wann und wie Abweichungen behandelt werden. Formulierungen wie „Rechnung prüfen“ sind zu vage. Gleichzeitig sollte die Beschreibung nicht jede offensichtliche Bedienhandlung enthalten, die besser in einer Arbeitsanweisung aufgehoben ist.

Die Frequenz richtet sich nach Risiko, Transaktionshäufigkeit, möglicher Schadensgeschwindigkeit, Prozesszyklen und Wirksamkeit anderer Kontrollen. Hochkritische oder irreversible Vorgänge können eine Kontrolle pro Transaktion erfordern; stabile Risiken genügen möglicherweise monatlich oder quartalsweise. Eine jährliche Kontrolle ist ungeeignet, wenn Fehler bereits nach wenigen Tagen grossen Schaden verursachen. Die Entscheidung sollte begründet und bei Veränderungen überprüft werden.

Ein Nachweis muss zeigen, dass die vorgesehene Kontrolle durch die richtige Person, zum richtigen Zeitpunkt und mit einem nachvollziehbaren Ergebnis durchgeführt wurde. Er sollte Datenbasis, Prüfumfang, Feststellungen, Freigabe und Behandlung von Abweichungen erkennen lassen. Ein Häkchen ohne Kontext reicht bei einer anspruchsvollen Kontrolle selten aus. Der Nachweis muss vor unbemerkter Änderung geschützt und auffindbar sein.

Die Rolle benötigt Fachwissen, Zugang zu den relevanten Daten, Zeit und ausreichende Unabhängigkeit vom kontrollierten Vorgang. Sie sollte Abweichungen beurteilen und eskalieren können. Funktionentrennung und Stellvertretung sind zu berücksichtigen. Verantwortung wird idealerweise einer Rolle statt einem Namen zugeordnet, damit Personalwechsel leichter nachgeführt werden. Die konkrete Person muss dennoch eindeutig und aktuell hinterlegt sein.

Eine zweite qualifizierte Person prüft einen Vorgang unabhängig, bevor er abgeschlossen oder wirksam wird. Die Prüfung muss inhaltlich definiert sein und darf nicht aus einer rein formalen Freigabe bestehen. Beide Rollen benötigen geeignete Informationen und dürfen nicht dieselbe unvereinbare Funktion ausüben. Der Nachweis zeigt Prüfer, Zeitpunkt, Ergebnis und allfällige Korrekturen. Bei Routinefreigaben besteht die Gefahr des blinden Durchklickens.

Kompetenzgrenzen, Prüfkriterien, benötigte Unterlagen und Ausnahmen werden klar festgelegt. Der Genehmigende muss unabhängig, fachlich geeignet und über den wirtschaftlichen Hintergrund informiert sein. Systemseitige Workflows sollten Betrags- und Rollenregeln erzwingen. Nachträgliche Freigaben sind nur begründet zulässig und gesondert zu überwachen. Regelmässige Analysen von Umgehungen und ungewöhnlichen Freigabemustern erhöhen die Wirksamkeit.

Die abzugleichenden Datenquellen, Toleranzen, Frequenz und verantwortlichen Rollen werden eindeutig bestimmt. Differenzen müssen nicht nur markiert, sondern zeitnah erklärt und bereinigt werden. Der Prüfer beurteilt auch alte oder wiederkehrende offene Posten. Ein wirksamer Nachweis enthält Ausgangssalden, Differenzen, Bearbeitung und Freigabe. Automatisierte Abstimmungen benötigen zusätzlich Kontrollen über Schnittstellen und Regelkonfiguration.

Plausibilitätskontrollen brauchen konkrete Erwartungen, Vergleichswerte und Schwellen. Geeignet sind Vorperioden, Budgets, Mengen, Kennzahlen oder unabhängige Datenquellen. Abweichungen oberhalb der Schwelle werden untersucht und dokumentiert. Ein blosses „sieht plausibel aus“ ist nicht prüfbar. Die Kontrolle muss präzise genug sein, um einen wesentlichen Fehler tatsächlich erkennen zu können.

Zugriffe werden nach Need-to-know, minimalen Rechten und klaren Rollen vergeben. Eintritt, Funktionswechsel und Austritt lösen zeitnahe Anpassungen aus. Privilegierte Rechte und Funktionentrennungskonflikte werden besonders überwacht. Regelmässige Rezertifizierungen prüfen, ob Rechte weiterhin benötigt werden. Anträge, Genehmigungen, technische Umsetzung und Änderungen müssen nachvollziehbar protokolliert sein.

Bei einem Management Review beurteilt eine ausreichend erfahrene Führungskraft Berichte, Schätzungen, Abweichungen oder Ergebnisse und leitet bei Bedarf Massnahmen ein. Wirksam ist die Kontrolle nur, wenn Daten, Erwartung, Schwellen, Prüftiefe und Nachweis klar sind. Eine Unterschrift unter einem Bericht genügt nicht. Die Präzision muss zum Risiko passen und festgestellte Auffälligkeiten müssen nachvollziehbar verfolgt werden.

Die Prüfung beurteilt, ob die Kontrolle bei korrekter Ausführung das zugeordnete Risiko ausreichend reduzieren könnte. Dazu werden Beschreibung, Prozess, Daten, Kompetenz, Frequenz, Präzision und Abweichungsbehandlung analysiert und häufig ein Walkthrough durchgeführt. Designwirksamkeit sagt noch nicht, ob die Kontrolle über einen Zeitraum tatsächlich funktioniert hat. Dafür ist zusätzlich ein Test der operativen Wirksamkeit erforderlich.