Internes Kontrollsystem (IKS): Wie lange dauert die Einführung?

Die Grundlage für die erfolgreiche Einführung eines Internen Kontrollsystems ist eine ausführliche Prozessdokumentation. Diese beginnt auf der Ebene der Prozesslandkarte. Erfassen Sie jeden Prozess steckbriefartig, wobei Sie insbesondere die folgenden Aspekte berücksichtigen sollten: 

• Ziel und Zweck
• Regulatorische Vorgaben
• Schnittstellen zu anderen Prozessbereichen
• Notwendige technische Ressourcen
• Mitgeltende Unterlagen
• Definition von Verantwortlichkeiten, beispielsweise Prozesseigner und Prozessmanager

Erfahrungsgemäß benötigt die erstmalige Dokumentation eines einzelnen Prozesses eine Durchlaufzeit von wenigen Stunden bis einigen Wochen- abhängig von der Komplexität des Prozesses, der Anzahl involvierter Personen sowie deren Verfügbarkeit.

• Prozesse mit einer hohen Komplexität
• Prozesse mit einer hohen Anzahl an Prozessdurchläufen
• Prozesse mit einer hohen Anzahl eingegangener Beschwerden im letzten Geschäftsjahr
• Prozesse mit einer Vielzahl Anzahl an der registrierten Schadensfällen im letzten Quartal
• Prozesse mit einer hohen Anzahl und Qualität intern eingemeldeter Verbesserungsvorschläge

Haben Sie die Prozesse mit Handlungsbedarf identifiziert, so ist es für die Einführung effektiver Kontrollen erforderlich, diese in Form eines detailliertes Ablaufmodells abzubilden.

Das Ablaufmodell ist eine detaillierte Beschreibung sämtlicher Arbeitsschritte und dient Ihren Mitarbeiter:innen als Anleitung und Checkliste bei der effektiven sowie effizienten Umsetzung Ihrer Prozesse. In diesen Arbeitsabläufen können Sie nun Kontrollschritte definieren. Häufig wird diese Form von Kontrollen als „Prozesskontrollen“ bezeichnet, da sie einen integralen Bestandteil jeder Prozessausführung darstellen.

Im Sinne der Prozessmodellierung stellen Prozesskontrollen detailliert beschriebene Aufgaben dar. Die Beschreibung umfasst unter anderem die explizite Definition von Verantwortlichkeiten, die genutzten technischen Ressourcen sowie mitgeltende Unterlagen. Damit Sie die korrekte Durchführung Ihres Internen Kontrollsystems nachvollziehen und belegen können, empfehlen wir Ihnen exakt zu definieren, wie die Bestätigung zu dokumentieren ist. Dies kann beispielsweise in Form eines Protokolls, per E-Mail oder als Bestätigung in einem GRC-Tool wie ADOGRC erfolgen. 

Der Nachweis der Kontrolle ist ein essenzielles Qualitätskriterium, um nachgelagerte Überprüfungen durch die interne Revision oder externe Zertifizierungsstellen zu ermöglichen. Zudem erlaubt eine gute Kontrolldokumentation auch Rückschlüsse im Sinne des Kontinuierlichen Verbesserungsprozesses (KVP).Das bedeutet, dass Sie als Prozesseigner:in in Ihrer Verantwortung dafür Sorge tragen, dass für jede Ausführung einer Prozesskontrolle ein Nachweis erbracht wird und dieser zu einem späteren Zeitpunkt eingesehen werden kann.

Die Dokumentation eines Geschäftsprozesses inklusive der Definition von Prozesskontrollen nimmt in der Regel bis zu 2 Arbeitstagen pro Geschäftsprozess ein.

Die neu geschaffenen Prozesskontrollen müssen dann durch Schulungen in den tatsächlich gelebten Prozess Einzug finden. Der dafür erforderliche Aufwand hängt von der Menge der zu schulenden Mitarbeitenden und der Anzahl und Komplexität der Prozessänderungen ab.

Neben der Spezifikation von Prozesskontrollen, ist ein weiterer wesentlicher Aspekt eines Internen Kontrollsystems die regelmäßige Überprüfung der Kontrollen auf Angemessenheit und Wirksamkeit. Diese Aufgabe liegt ebenfalls im Verantwortungsbereich des Prozesseigners. Im Zuge der prozesskonformen Ausführung der Arbeitsabläufe sollten Sie sich ebenso davon überzeugen, dass die zum Einsatz kommenden Kontrollen ordnungsgemäß durchgeführt werden.

Diese Überprüfung der Prozesskontrollen (auch als Kontrolltest bezeichnet) wird in der Praxis häufig mittels Stichproben quartalsweise oder halbjährlich durchgeführt. Im Rahmen dieser Kontrolltests werden alle Prozesskontrollen eines Geschäftsprozesses insbesondere auf folgende Fragestellungen hin analysiert und überprüft:

• Wurden im Betrachtungszeitraum die Kontrollnachweise erbracht?
• Wurden mithilfe der Kontrollen die gesetzten Prozessziele erreicht?

Halten Sie die Überlegungen und Ergebnisse dieser Kontrolltests am besten nachweislich fest!

Die Bestimmung dieser Kontrolltests findet typischerweise im Zuge der Prozessdokumentation und der Definition der Prozesskontrollen statt. So können Sie einfacher einschätzen, in welcher Frequenz die Kontrolltests durchgeführt werden sollen.  Als Faustregel gilt: je häufiger der Prozess durchgeführt wird, desto kürzer sollte das Intervall der Kontrolltests gesetzt werden.

Entdecken Sie im Zuge der Kontrolltests etwaige Kontrolllücken oder Verbesserungspotenziale, so können Sie diese mithilfe von Maßnahmen verbessern. An dieser Stelle gehen die Prozesse des betrachteten Bereichs von der initialen Erstellung und Dokumentation in einen kontinuierlichen Verbesserungsprozess über. Ab hier wird der Prozess mitsamt der Prozesskontrollen regelmäßig evaluiert und verbessert.

Die Einführung und Ausführung eines Internen Kontrollsystems hängt zusammenfassend also von unterschiedlichen Faktoren ab. Abhängig von der Komplexität Ihrer Prozesse, der Anzahl involvierter Personen sowie der zur Verfügung stehenden Ressourcen sollten Sie mit einer Durchlaufzeit von etwa 4 Wochen bis 6 Monaten rechnen.

Die Einführung und Ausführung eines Internen Kontrollsystems hängt zusammenfassend also von unterschiedlichen Faktoren ab. Abhängig von der Komplexität Ihrer Prozesse, der Anzahl involvierter Personen sowie der zur Verfügung stehenden Ressourcen sollten Sie mit einer Durchlaufzeit von etwa 4 Wochen bis 6 Monaten rechnen.