Ein internes Kontrollsystem (IKS) umfasst die Richtlinien, Verfahren und Prüfungen, mit denen ein Unternehmen Assets schützt, Fehler verhindert und Aufzeichnungen verlässlich hält.
Ein internes Kontrollsystem (IKS) umfasst die Richtlinien, Verfahren und Prüfungen, die ein Unternehmen in seine Alltagsprozesse einbaut, um Assets zu schützen, Fehler zu verhindern und aufzudecken und seine finanziellen wie operativen Aufzeichnungen verlässlich zu halten. Eine Kontrolle kann so formal sein wie eine dokumentierte Asset-Management-Richtlinie oder so klein wie die Pflicht, einen Kauf von einer zweiten Person freigeben zu lassen - zur Kontrolle macht sie, dass sie einschränkt, wie etwas schiefgehen kann, statt darauf zu vertrauen, dass alle vorsichtig sind.
Präventive, aufdeckende und korrigierende Kontrollen
Kontrollen werden meist danach gruppiert, wann sie wirken:
- Präventive Kontrollen stoppen ein Problem, bevor es entsteht: Freigabe vor der Geldausgabe, Ausrüstung nur gegen dokumentierte Ausgabe, verschlossene Lager, rollenbasierte Systemberechtigungen.
- Aufdeckende Kontrollen bringen Probleme nachträglich ans Licht: periodische körperliche Zählungen im Abgleich mit dem Verzeichnis, die Prüfung von Audit-Trails, Garantie- und Rechnungskontrollen, Ausnahmeberichte für überfällige Rückgaben.
- Korrigierende Kontrollen beheben den Schaden und verhindern eine Wiederholung: ein formales Ausbuchungsverfahren, eine Ursachenanalyse, warum der Laptop fehlte, ein überarbeiteter Prozess, damit dieselbe Lücke nicht wieder aufgeht.
Das klassische Gestaltungsprinzip hinter allen dreien ist die Funktionstrennung - keine einzelne Person sollte einen Fehler sowohl begehen als auch verbergen können.
Interne Kontrollen über physische und IT-Assets
Bei Assets werden die Kontrollen konkret. Die, die sich lohnen: jeden Gegenstand beim Wareneingang erfassen, bevor er in einer Schublade verschwindet; gemeinsam genutzte Ausrüstung wie Konferenzraumausstattung einem benannten Verantwortlichen zuordnen, damit aus „jedermanns Verantwortung” nicht niemandes wird; jede Übergabe dokumentieren, denn das Verzeichnis ist nur so lange eine Kontrolle, wie es der Realität entspricht; periodisch eine Stichprobe zählen, statt dem Papier zu vertrauen; und vor jeder Entsorgung eine Freigabe samt Datenlöschung verlangen. Kontrollen sollten zudem verhältnismäßig sein - eine Einzelverwahrung für Ladegeräte und Kabel würde mehr kosten als die Kabel selbst; geringwertiger Poolbestand lässt sich besser über Nachbestellzählungen als über Unterschriften kontrollieren.
Wie Kontrollen in einem kleinen Team aussehen
Ein Fünf-Personen-Unternehmen kann nicht jeden Prozess vierfach aufteilen und muss es auch nicht. Bewährt haben sich ausgleichende Kontrollen: die präventiven Grundlagen behalten (Freigabe oberhalb einer Wertgrenze, ein Verzeichnis, dokumentierte Übergaben) und dort auf das Aufdecken setzen, wo Vorbeugung unpraktisch ist - der Inhaber prüft monatlich das Audit-Protokoll, die Zählungen vierteljährlich, und allem Ungewöhnlichen wird nachgegangen, solange die Erinnerungen frisch sind. Die Falle ist das Gegenteil: einen Kontrollrahmen aus dem Konzernumfeld eins zu eins kopieren, ihn unerträglich finden und Kontrollen ganz aufgeben.
Internes Kontrollsystem in der Praxis
Kontrollen versagen still, wenn sie nur in einem Richtliniendokument stehen und nirgends sonst - dauerhaft tragfähig ist, sie in die Werkzeuge einzubetten, die Menschen ohnehin für ihre Arbeit nutzen. In AMPthilly laufen Asset-Anfragen durch eine Freigabe-Warteschlange, und jede Entscheidung wird im Audit-Trail unter dem benannten Freigebenden protokolliert - so bekommt ein kleines Team eine präventive und eine aufdeckende Kontrolle ohne zusätzlichen Papierkram. Der Maßstab für den Erfolg ist bewusst unspektakulär: weniger Überraschungen bei der Zählung und eine Prüfung, bei der man auf Aufzeichnungen zeigt, statt ihr Fehlen zu erklären.
Verwandte Begriffe
- Funktionstrennung - das Gestaltungsprinzip, das einen Prozess aufteilt, damit ihn niemand von Anfang bis Ende allein kontrolliert
- ISO 27001 Assetmanagement - der Sicherheitsstandard, dessen Annex A im Kern ein Katalog von Kontrollen ist
- Informationswerte-Verzeichnis - die Aufzeichnungskontrolle für Daten- und Informationswerte
- Aufbewahrungsfristen - die Kontrolle, die regelt, wie lange Aufzeichnungen aufbewahrt und vorgelegt werden können
- Asset-Management-Richtlinie - das Dokument, das festlegt, wer Assets freigeben, verwahren und erfassen darf