Prozesse und Prozessdokumentation – IKS

Ausgangspunkt sind Geschäftsmodell, Organigramm, Prozesslandkarte, Finanzströme, Systeme und gesetzliche Verpflichtungen. Danach werden Prozesse anhand von Wesentlichkeit, Risiko, Datenkritikalität und Abhängigkeiten bewertet. Interviews und Walkthroughs helfen, informelle oder ausgelagerte Abläufe zu erkennen. Die Liste wird mit Risikoregister, Kontenplan und Prüfungsfeststellungen abgeglichen. Vollständigkeit bedeutet nicht, jeden kleinen Ablauf in den IKS-Scope aufzunehmen.

Führungsprozesse steuern die Organisation, etwa Strategie, Planung und Governance. Kernprozesse erzeugen den unmittelbaren Nutzen für Kunden oder Öffentlichkeit, beispielsweise Leistungserbringung, Produktion oder Bewilligung. Unterstützungsprozesse stellen Ressourcen bereit, etwa Finanzen, Personal und IT. Die Kategorien erleichtern Orientierung, sind aber nicht wertend. Auch Unterstützungsprozesse können hochkritisch und für das IKS wesentlich sein.

Sinnvoll ist der geringste Detaillierungsgrad, mit dem eine fachkundige Person Ablauf, Verantwortlichkeiten, Risiken und Kontrollen zuverlässig nachvollziehen kann. Hochriskante oder komplexe Schritte benötigen mehr Details als standardisierte Routinen. Mehrstufige Dokumentation ist hilfreich: Prozessübersicht, Ablaufdiagramm und bei Bedarf Arbeitsanweisung. Zu grobe Beschreibungen verdecken Risiken; zu feine Dokumentationen veralten schnell und werden kaum genutzt.

Der Prozessverantwortliche stellt sicher, dass Ziele, Ablauf, Risiken und Kontrollen des Prozesses angemessen definiert und aktuell sind. Er koordiniert Schnittstellen, beurteilt Änderungen, überwacht Kennzahlen und veranlasst Verbesserungen. Die Durchführung einzelner Kontrollen kann delegiert sein. Der Prozessverantwortliche benötigt deshalb ausreichende Entscheidungskompetenz und einen Gesamtüberblick, darf aber nicht automatisch für jedes operative Ergebnis persönlich verantwortlich gemacht werden.

Ein Flussdiagramm eignet sich besonders bei mehreren Rollen, Entscheidungspunkten, Systemwechseln oder Prozessvarianten. Swimlanes machen Verantwortungsübergänge und Funktionentrennung sichtbar. Kontrollen können an den relevanten Schritten markiert und mit Detailbeschreibungen verknüpft werden. Bei sehr einfachen Prozessen genügt häufig Text oder eine Checkliste. Diagramme müssen aktuell und lesbar bleiben; überladene Modelle verlieren ihren Nutzen.

Text reicht aus, wenn der Prozess linear, wenig komplex und ohne zahlreiche Rollenwechsel ist. Die Beschreibung sollte dennoch Struktur, Verantwortlichkeiten, Systeme, Risiken, Kontrollen und Ausnahmen enthalten. Für kritische Schnittstellen oder Entscheidungen kann ein ergänzendes Diagramm sinnvoll sein. Die Wahl des Formats richtet sich nach Verständlichkeit und Pflegeaufwand, nicht nach einem formalen Zwang zur Modellierung.

Für jede Schnittstelle werden übergebene Daten oder Leistungen, Format, Zeitpunkt, verantwortliche Rollen, Systeme und Qualitätsanforderungen beschrieben. Zusätzlich ist festzulegen, wer Vollständigkeit und Richtigkeit prüft und wie Fehler behandelt werden. Besonders kritisch sind Medienbrüche und Übergaben zwischen Organisationseinheiten oder externen Partnern. End-to-End-Verantwortung verhindert, dass beide Seiten davon ausgehen, die jeweils andere kontrolliere den Übergang.

Medienbrüche werden sichtbar, wenn Daten manuell zwischen E-Mail, Papier, Tabellen und Systemen übertragen werden. Walkthroughs, Prozessdiagramme und Fehleranalysen helfen bei der Identifikation. Kontrollen umfassen Validierungen, Summenabgleiche, Pflichtfelder, Schnittstellenprotokolle und unabhängige Stichproben. Langfristig sollte geprüft werden, ob der Medienbruch automatisiert oder eliminiert werden kann, weil manuelle Übertragungen fehler- und manipulationsanfällig sind.

Der Hauptprozess zeigt den gemeinsamen Ablauf; Teilprozesse und relevante Varianten werden darunter strukturiert. Varianten sollten nur separat modelliert werden, wenn Risiken, Rollen oder Kontrollen wesentlich abweichen. Entscheidungskriterien für den jeweiligen Pfad müssen klar sein. Ein einheitliches Namens- und Nummerierungssystem erleichtert Navigation. Zu viele nahezu identische Varianten erhöhen Pflegeaufwand und erschweren Reporting.

Ein End-to-End-Prozess wird vom auslösenden Ereignis bis zum vollständigen Ergebnis über Abteilungs- und Systemgrenzen hinweg betrachtet. Neben lokalen Arbeitsschritten werden Übergaben, Datenflüsse, Kontrollabhängigkeiten und Gesamtverantwortung dokumentiert. Beispiele sind Procure-to-Pay oder Hire-to-Retire. Diese Sicht deckt Lücken auf, die in isolierten Abteilungsbeschreibungen verborgen bleiben, und verbessert die Abstimmung von Kontrollen.

Die Dokumentation muss interne und externe Rollen, Leistungsgrenzen, Datenflüsse, Verträge, Service Levels, Kontrollen des Dienstleisters und eigene ergänzende Kontrollen zeigen. Auch Unterauftragnehmer und Exit-Prozesse sind zu berücksichtigen. Berichte des Anbieters werden nicht nur abgelegt, sondern fachlich bewertet. Bei gemeinsam erbrachten Prozessen ist ausdrücklich festzuhalten, wer für welche Kontrolle und Eskalation verantwortlich ist.

Änderungen sollten einen verbindlichen Impact-Check auslösen. Dabei wird geprüft, ob Risiken, Rollen, Systeme, Kontrollen, Nachweise, Schulungen oder Richtlinien angepasst werden müssen. Neue oder geänderte Kontrollen werden vor Produktivsetzung getestet. Wesentliche Änderungen benötigen Genehmigung und dokumentierte Kommunikation. Das IKS sollte Teil des Change-Managements sein und nicht erst nachträglich von einer Revision auf die Änderung aufmerksam gemacht werden.

Jedes Dokument erhält Version, Eigentümer, Freigabedatum, Gültigkeitsbeginn und Änderungsbeschreibung. Nur die aktuelle freigegebene Version darf im operativen Zugriff stehen; ältere Versionen werden nachvollziehbar archiviert. Änderungen sollten mit Risiken und Kontrollen synchronisiert werden. Automatisierte Freigabeworkflows und Berechtigungen reduzieren Verwechslungen. Dateinamen allein sind als Versionierungsmechanismus meist unzureichend.

Prozessverantwortliche erhalten feste Überprüfungszyklen und ereignisbezogene Aktualisierungspflichten. Erinnerungen, Freigabeworkflows und Berichte zeigen überfällige Reviews. Zusätzlich sollten Systemänderungen, Reorganisationen, Vorfälle und Prüfungsfeststellungen einen Aktualisierungsbedarf auslösen. Nutzerfeedback und Stichproben prüfen, ob Dokumentation und Praxis übereinstimmen. Veraltete Dokumente sind kontrolliert zu kennzeichnen oder aus dem Zugriff zu entfernen.

Dokumente werden direkt dem relevanten Prozessschritt oder der Kontrolle zugeordnet und über eindeutige Links oder Referenzen erreichbar gemacht. Für jedes Dokument gelten Eigentümer, Version, Freigabe und Aufbewahrung. Nachweise sollten nicht mit Vorlagen verwechselt werden: Die Vorlage beschreibt, was auszufüllen ist; der Nachweis belegt die tatsächliche Durchführung. Zentraler Zugriff verhindert lokale, veraltete Kopien.

Ja. Process Mining rekonstruiert tatsächliche Abläufe aus Ereignisdaten und zeigt Varianten, Schleifen, Ausnahmen, Durchlaufzeiten und mögliche Kontrollverstösse. Es kann Annahmen aus Workshops objektivieren und kontinuierliches Monitoring unterstützen. Voraussetzung sind vollständige, verständliche und rechtmässig nutzbare Daten. Das Verfahren erklärt jedoch nicht automatisch Ursachen oder informelle Tätigkeiten und ersetzt deshalb Interviews sowie fachliche Beurteilung nicht.