Interne kontrollen

Was sind Interne Kontrollen?

Interne Kontrollen sind die spezifischen Richtlinien, Verfahren und Aktivitäten, die eine Organisation implementiert, um ihre Ziele zu erreichen, Vermögenswerte zu schützen und die Zuverlässigkeit ihrer Finanzinformationen sicherzustellen. Sie sind ein fundamentaler Bestandteil der Unternehmensführung und dienen dazu, Risiken zu minimieren und die Effizienz von Geschäftsprozessen zu steigern. Dies²³e Kontrollen gewährleisten, dass Vorgaben eingehalten werden, Fehler und betrügerische Handlungen verhindert oder frühzeitig erkannt werden und dass die Gesamtleistung des Unternehmens verbessert wird. Interne Kontrollen sind dabei nicht nur Checklisten, sondern ein strukturiertes Rahmenwerk, das die Rechenschaftspflicht und Transparenz fördert.

Gesc²²hichte und Ursprung

Die Notwendigkeit interner Kontrollen ist eng mit der Entwicklung komplexer Unternehmensstrukturen und der Kapitalmärkte verbunden. Im Laufe der Zeit wurde die Bedeutung robuster interner Kontrollsysteme immer deutlicher, insbesondere nach größeren Finanzskandalen. Ein prägender Moment war die Verabschiedung des Sarbanes-Oxley Act (SOX) im Jahr 2002 in den Vereinigten Staaten, eine direkte Reaktion auf Bilanzskandale wie Enron und WorldCom. SOX legte strenge Anforderungen an die Finanzberichterstattung und interne Kontrollen fest und verpflichtete börsennotierte Unternehmen, die Wirksamkeit ihrer internen Kontrollsysteme zu beurteilen und offenzulegen. Die U.S. Securities and Exchange Commission (SEC) hat hierzu detaillierte Regeln erlassen, die die Verantwortung der Unternehmensleitung und die Rolle der Wirtschaftsprüfer bei der Überprüfung interner Kontrollen klar definieren. SEC.gov über SOX

Parallel dazu entwickelte das Committee of Sponsoring Organizations of the Treadway Commission (COSO) ein weithin anerkanntes Rahmenwerk für interne Kontrollen. Dieses COSO-Framework, das erstmals 1992 und zuletzt 2013 aktualisiert wurde, bietet eine umfassende Struktur für die Gestaltung, Implementierung und Bewertung interner Kontrollen. Es hat sich weltwei²¹t als Standard etabliert, der Unternehmen dabei hilft, Risiken zu steuern und die Integrität ihrer Finanz- und Betriebsabläufe zu gewährleisten. Auch Prüfer beziehen sich auf diesen Standard, um die Prüfstandards im Rahmen der Abschlussprüfung zu erfüllen. PCAOB Auditing Standard 2201

Key Takeaways

• Interne Kontrollen sind Maßnahmen, die eine Organisation implementiert, um ihre Ziele zu erreichen, Vermögenswerte zu schützen und die Zuverlässigkeit von Informationen sicherzustellen.
• Sie sind entscheidend für die Minimierung von Risikomanagement und die Gewährleistung der Compliance mit Gesetzen und Vorschriften.
• Interne Kontrollen lassen sich in präventive und detektive Kontrollen unterteilen, die darauf abzielen, Fehler zu verhindern oder zu erkennen.
• Das COSO-Framework ist ein in²⁰ternational anerkannter Standard für die Gestaltung und Bewertung interner Kontrollsysteme.
• Ein effektives internes Kontrollsystem (IKS) erfordert die Mitwirkung aller Mitarbeiter und eine kontinuierliche Überwachung und Anpassung.

Formula und Berechnung

Interne Kontrollen sind keine quantifizierbare Größe im Sinne einer mathematischen Formel. Sie sind vielmehr qualitative und prozessorientierte Maßnahmen. Es gibt keine universelle Formel zur Berechnung "interner Kontrollen", da sie auf der Gestaltung von Prozessen, Richtlinien und Verhaltensweisen basieren.

Die Effektivität interner Kontrollen wird jedoch oft durch Metriken bewertet, die die Häufigkeit von Fehlern, Betrug oder Nicht-Compliance messen. Zum Beispiel könnte ein Unternehmen die Anzahl der Fehler pro Transaktion oder die Rate der aufgedeckten Betrugsfälle über einen bestimmten Zeitraum verfolgen. Diese Bewertungen sind jedoch qualitative Einschätzungen der Wirksamkeit der Kontrollen, nicht eine Berechnung der Kontrollen selbst.

Interpreting the Term

Interne Kontrollen werden im Kontext ihrer Angemessenheit und Wirksamkeit interpretiert. Angemessenheit bezieht sich darauf, ob die Kontrollen so konzipiert sind, dass sie die identifizierten Risiken abdecken. Wirksamkeit bedeutet, dass die Kontrollen wie vorgesehen funktionieren und die gewünschten Ergebnisse erzielen.

Eine hohe Qualität interner Kontrollen deute¹⁹t auf eine gute Unternehmensführung und ein geringeres Risiko für finanzielle Fehlentwicklungen hin. Umgekehrt können schwache interne Kontrollen zu finanziellen Verlusten, Reputationsschäden und rechtlichen Problemen führen. Die Interpretation beinhaltet oft die Bewertung von Prinzipien wie der Aufgabentrennung, der Notwendigkeit von Autorisierung für Transaktionen und der Existenz unabhängiger Überwachungsmechanismen wie der Internen Revision.

Hypothetisches Beispiel

Ein mittelständisches Fer¹⁸tigungsunternehmen, "TechCorp", möchte seine internen Kontrollen im Einkaufsprozess verbessern, um das Risiko von überhöhten Rechnungen oder nicht autorisierten Einkäufen zu minimieren.

1. Bedarfsermittlung und Genehmigung: Jeder Mitarbeiter, der eine Anschaffung benötigt, muss eine detaillierte Erwerbsanforderung über ein elektronisches System einreichen. Dieses System stellt sicher, dass eine erste Budgetprüfung erfolgt und die Anforderung automatisch an den zuständigen Abteilungsleiter zur Genehmigung weitergeleitet wird. Nur genehmigte Anforderungen können weiterbearbeitet werden.
2. Lieferantenauswahl und Bestellung: Für Anschaffungen über einem bestimmten Schwellenwert müssen mindestens drei Angebote von verschiedenen Lieferanten eingeholt werden. Die Auswahl des Lieferanten und die Bestellung müssen vom Einkaufsleiter und einem weiteren Mitglied der Geschäftsleitung freigegeben werden (Vier-Augen-Prinzip).
3. Wareneingang und Rechnungsprüfung: Beim Wareneingang wird die gelieferte Ware mit der Bestellung und dem Lieferschein abgeglichen. Abweichungen werden dokumentiert. Die eingehende Rechnung wird erst zur Zahlung freigegeben, wenn der Wareneingang bestätigt ist und die Rechnung mit der Bestellung übereinstimmt. Diese Schritte stellen sicher, dass TechCorp nur für Waren bezahlt, die bestellt, geliefert und korrekt in Rechnung gestellt wurden.

Diese Kette von internen Kontrollen minimiert das Risiko von Fehlern und¹⁷ Betrug, da mehrere Personen in den Prozess involviert sind und jeder Schritt überprüft wird.

Praktische Anwendungen

Interne Kontrollen sind in nahezu jedem Aspekt der Unternehmensführung und des Finanzwesens unerlässlich:

• Finanzielle Rechnungslegung: Sie stellen die Genauigkeit und Vollständigkeit der Finanzdaten sicher, was für Investoren und Aufsichtsbehörden von entscheidender Bedeutung ist. Dies umfasst Kontrollen über Buchungsprozesse, Vermögensbewertungen und die Erstellung von Abschlüssen.
• Betriebliche Effizienz: Durch die Standardisierung von Prozessen und die Minimierung von Fehlern tragen interne Kontrollen zur Steigerung der betrieblichen Effizienz und zur Schonung von Kapitalressourcen bei.
• Compliance und Regulierung: Sie helfen Unternehmen, gesetzliche Vorschriften (wie den Sarbanes-Oxley Act), branchenspezifische Regeln und interne Richtlinien einzuhalten. Beispiele hierfür sind Datensicherung im Sinne von Informationssicherheits-Managementsystemen nach ISO 27001. ISO 27001
• [Vermögen¹⁶sschutz](): Interne Kontrollen schützen die materiellen und immateriellen Vermögenswerte eines Unternehmens vor Verlust, Diebstahl oder Missbrauch. Dazu gehören physische Kontrollen (z. B. Zugangsbeschränkungen) und logische Kontrollen (z. B. Passwortrichtlinien).
• Betrugserkennung und -prävention: Sie schaffen Mechanismen, die betrügerische Aktivitäten erschweren oder deren schnelle Aufdeckung ermöglichen.

Limitations und Criticisms

Obwohl interne Kontrollen von entscheidender Bedeutung sind, sind sie nicht unfehlbar und unterliegen bestimmten Einschränkungen:

• Menschliches Versagen: Fehler oder Missverständnisse bei der Durchführung von Kontrollen können deren Wirksamkeit beeinträchtigen. Selbst die besten Systeme können durch menschliche Fehlinterpretationen oder Nachlässigkeit unterg¹⁵raben werden.
• Kollusion: Wenn Mitarbeiter zusammenarbeiten, um interne Kontrollen zu umgehen, können diese unwirksam werden. Das Vier-Augen-Prinzip kann beispielsweise durch Absprachen außer Kraft gesetzt werden.
• Kosten-Nutzen-Abwägung: Die Implementierung und Aufrechterhaltung umfassender interner Kontrollen kann erhebliche Kosten verursachen. Unternehmen müssen eine Abwägung zwischen den Kosten der Kontrollen und dem potenziellen Risiko vornehmen. Es ist nicht immer wirtschaftlich, jedes noch so kleine Risiko durch eine Kontrolle abzusichern.
• Ma¹⁴nagement Override: Das Management kann interne Kontrollen außer Kraft setzen, um persönliche Ziele zu erreichen oder betrügerische Handlungen zu vertuschen. Dies war ein wesentlicher Faktor bei großen Unternehmensskandalen, wie dem Fall Wirecard, bei dem mutmaßlich weitreichende Betrugsfälle die internen Kontrollsysteme aushebelten. Reuters über Wirecard
• Anpassungsfähigkeit: Interne Kontrollen müssen flexibel sein und sich an veränderte Geschäftsmodelle, Technologien und regulatorische Anforderungen anpassen können. Ein statisches Kontrollsystem kann schnell veralten und ineffektiv werden.

Interne Kontrollen vs. Internes Kontrollsystem (IKS)

Oft werden die Begriffe "Interne Kontrollen" und "Internes ¹³Kontrollsystem (IKS)" synonym verwendet, obwohl es eine wichtige Unterscheidung gibt:

Kurz gesagt: Ein Internes Kontrollsystem (IKS) ist der über⁶, ⁷geordnete organisatorische Rahmen, während interne Kontrollen die konkreten Maßnahmen sind, die diesen Rahmen mit Leben füllen und seine Ziele operativ umsetzen.

FAQs

Was sind die Hauptziele interner Kontrollen?

Die Hauptziele interner Kontrollen sind der Schutz von Unternehmensvermögen, die Sicherstellung der Zuverlässigkeit und Vollständigkeit von Finanz- und Betriebsdaten, die Förderung der Effizienz von Geschäftsprozessen und die Einhaltung von Gesetzen und internen Richtlinien.

Wer ist für die Implementierung interner Kontrollen verantwortlich?

Die Verantwortung für die Implementierung und Aufrechterh⁵altung interner Kontrollen liegt primär beim Management eines Unternehmens. Die Geschäftsleitung definiert die Ziele und überwacht die Wirksamkeit. Alle Mitarbeiter tragen jedoch zur Funktionsfähigkeit bei, indem sie die festgelegten Regeln und Abläufe einhalten.

Können interne Kontrollen Betrug vollständig verhindern?

Nein, interne Kontrollen können das Risiko von Betrug erheblich minimieren,⁴ aber sie können ihn nicht vollständig verhindern. Insbesondere bei Kollusion zwischen Mitarbeitern oder Manipulation durch das Top-Management können auch gut konzipierte Kontrollen umgangen werden. Sie sind jedoch ein wesentliches Instrument zur Betrugserkennung und -prävention.

Was ist der Unterschied zwischen präventiven und detektiven Kontrollen?

Präventive Kontrollen sollen Fehler oder unerwünschte Ereignisse verhindern, bevor sie auftreten. Beispiele sind die Aufgabentrennung oder Autorisierung für bestimmte Transaktionen. Detektive Kontrollen sollen Fehler oder Unregelmäßigkeiten aufdecken, nachdem sie aufgetreten sind. Beispiele hierfür sind Abstimmungen von Konten oder die Interne Revision, die nachträgliche Prüfungen durchführt.

Wie werden interne Kontrollen überwacht und bewertet?

Interne Kontrollen werden kontinuierlich oder periodisch überwacht und bewertet. Dies kann durc³h interne Audits, Selbstbewertungen des Managements, externe Prüfungen oder automatisierte Überwachungssysteme erfolgen. Ziel ist es, sicherzustellen, dass die Kontrollen angemessen und wirksam sind und bei Bedarf angepasst werden.¹, ²