Was umfasst ein internes Kontrollsystem?

Ein internes Kontrollsystem (IKS) umfasst die von der Unternehmensleitung eingeführten Grundsätze, Verfahren und Maßnahmen, die wirksame und wirtschaftliche Abläufe, eine verlässliche Finanzberichterstattung und die Einhaltung von Gesetzen und Vorschriften sichern sollen. Es ist Teil der Unternehmensführung und des Risikomanagements. Gleichbedeutend werden auch die Begriffe internes Überwachungssystem und interne Kontrollverfahren verwendet, im Englischen Internal Control System (ICS). Einheitliche Strukturen dafür gibt ein Kontrollrahmenwerk vor.

Vorbeugende und aufdeckende Kontrollen

Ein IKS unterscheidet vorbeugende (präventive) Kontrollen, die Fehler oder Unregelmäßigkeiten verhindern sollen, und aufdeckende (detektive) Kontrollen, die Fehler nach ihrem Auftreten erkennen. Kontrollen gibt es auf allen Ebenen des Unternehmens, als physische und als logische, also datenbezogene Sicherheitsmaßnahmen. Einen Überblick über die Arten von Kontrollen gibt auch der Beitrag zu Kontrollmechanismen.

Elemente

• Kontrollumfeld: die Grundlage des IKS, geprägt durch Haltung, Bewusstsein und Handeln von Unternehmensleitung und Beschäftigten
• Risikobewertung: Identifikation und Analyse der Risiken für die Ziele des Unternehmens
• Kontrollaktivitäten: Maßnahmen zur Begrenzung der Risiken, etwa physische Zugangssicherungen oder organisatorische Kontrollen wie Genehmigungsverfahren und Funktionstrennung
• Information und Kommunikation: der Fluss relevanter Informationen innerhalb des Unternehmens und nach außen, etwa zu Lieferanten, Kunden und Aufsichtsbehörden
• Überwachung: laufende oder punktuelle Prüfung der Wirksamkeit des IKS

Abgrenzung zu Risiko- und Compliance-Management

Risikomanagement umfasst die Identifikation, Analyse, Bewertung und Steuerung von Risiken. Compliance-Management stellt sicher, dass das Unternehmen gesetzliche und regulatorische Anforderungen einhält. Das IKS ist Bestandteil beider Bereiche und liefert die erforderlichen Kontrollen und Verfahren. Wie die Wirksamkeit der Kontrollen beurteilt wird, beschreibt der Beitrag zu Kontrollbewertungsverfahren; wie Lücken erkannt werden, der Beitrag zur Kontrolllückenanalyse.

Gesetzlicher Rahmen

Der Vorstand einer börsennotierten Aktiengesellschaft muss nach § 91 Abs. 3 AktG ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einrichten.

Ein IKS implementieren

Die Einführung eines internen Kontrollsystems folgt in der Regel diesen Schritten:

1. Ziele und Risiken bestimmen: Zuerst werden die Unternehmensziele festgehalten und die Risiken erkannt, die ihre Erreichung gefährden.
2. Risiken bewerten: Die Risiken werden nach Eintrittswahrscheinlichkeit und Auswirkungen eingeschätzt.
3. Kontrollen entwickeln: Auf Grundlage der Bewertung werden geeignete Kontrollmechanismen entworfen.
4. Kontrollen einführen: Die Kontrollverfahren werden in die betrieblichen Abläufe eingebaut.
5. Überwachen und anpassen: Die Kontrollen werden laufend überwacht und bei Bedarf angepasst.

Verantwortlich für die Einführung sind Geschäftsführung und Führungskräfte. Eingebunden sind außerdem Beschäftigte mit besonderen Rollen in Finanzen, Risikomanagement und Compliance. Schwierigkeiten bereiten häufig Widerstand gegen Veränderungen, der Aufwand an Zeit und Ressourcen sowie komplexe Organisationsstrukturen, die eine einheitliche Umsetzung erschweren.

Beispiele: Ein Handelsunternehmen verringert Diebstahl und Verluste durch Lagerkontrollen und regelmäßige Bestandsprüfungen. Ein anderes Unternehmen erschwert mit Buchhaltungssoftware und strikten Freigabeprozessen Finanzbetrug und verbessert die Genauigkeit seiner Bilanz.

Abgrenzung zur internen Revision

Ein IKS beschreibt laufende Kontrollmechanismen innerhalb der betrieblichen Abläufe. Die interne Revision prüft diese Abläufe und das IKS dagegen unabhängig und prozessübergreifend. Wie einzelne Kontrollen durchgeführt werden, beschreibt der Beitrag zur internen Kontrolle.

Nutzen und Pflege

Ein wirksames IKS kann Fehler und Verluste verringern, das Vertrauen von Investoren und anderen Anspruchsgruppen stärken und die Einhaltung von Vorschriften unterstützen. Es ist kein statisches System, sondern muss laufend an veränderte interne und externe Bedingungen angepasst und regelmäßig überprüft werden.

Häufige Fragen zum internen Kontrollsystem

Was versteht man unter einem internen Kontrollsystem (IKS)?

Ein internes Kontrollsystem umfasst Regelungen, Verfahren und Maßnahmen, mit denen eine Organisation ihre Geschäftsprozesse wirksam und zuverlässig gestaltet, Risiken begrenzt, Vermögenswerte schützt, eine verlässliche Finanzberichterstattung sicherstellt und die Einhaltung von Gesetzen und Vorschriften gewährleistet.

Für wen ist ein internes Kontrollsystem besonders wichtig und warum?

Für die Leitung von Unternehmen und Organisationen jeder Größe und Branche. Das IKS hilft, Abläufe zu verbessern, finanzielle Unregelmäßigkeiten zu vermeiden und rechtliche Folgen aus Verstößen gegen Gesetze und Richtlinien abzuwenden.

Welche Elemente sind typischerweise Teil eines internen Kontrollsystems?

Kontrollumfeld (Organisationsstruktur und Ethik als Grundlage), Risikobewertung, Kontrollaktivitäten, Information und Kommunikation sowie die Überwachung der Wirksamkeit. Diese Elemente wirken zusammen.

Wie trägt ein internes Kontrollsystem zur Einhaltung gesetzlicher Bestimmungen bei?

Ein IKS hilft, Abweichungen in Geschäftsprozessen früh zu erkennen und zu korrigieren, Verstöße zu verhindern und das Risiko von Sanktionen zu verringern. Es überwacht die Einhaltung interner und externer Vorgaben.

Kann ein internes Kontrollsystem auch Schwächen haben, und wie sollten diese behandelt werden?

Ja. Ursachen können Veränderungen in der Organisation, fehlende Schulungen oder neue Technologien sein. Schwächen werden durch regelmäßige Überprüfungen erkannt. Zu ihrer Behebung gehören eine Neubewertung der Risiken, die Anpassung der Kontrollen und die Schulung der Beschäftigten.

Wie lässt sich die Wirksamkeit eines IKS messen?

Daran, ob Risiken beherrscht, Richtlinien und Vorschriften eingehalten und Finanzberichte genau und verlässlich erstellt werden. Interne und externe Prüfungen spielen dabei eine wichtige Rolle, ergänzt durch eigene Kennzahlen.

Wie trägt ein IKS zur Sicherheit eines Unternehmens bei?

Es beugt Fehlverhalten, Betrug und Fehlern vor, schützt das Vermögen und sorgt für verlässliche interne und externe Berichte. Das stärkt das Vertrauen von Anspruchsgruppen.