IKS-Monitoring-Agent

Nur rund 40 Prozent der Unternehmen bewerten ihr eigenes Internes Kontrollsystem als effizient - so das Ergebnis einer Deloitte-Studie unter börsennotierten und großen nicht-börsennotierten Unternehmen in Deutschland. Gleichzeitig verpflichtet §91 Abs. 2 AktG den Vorstand, ein Überwachungssystem einzurichten, das bestandsgefährdende Entwicklungen früh erkennt. Die Lücke zwischen Pflicht und Wirksamkeit entsteht fast immer an derselben Stelle: Das IKS wird definiert, aber nicht kontinuierlich überwacht.

Periodische Prüfung übersieht Kontrollversagen zwischen den Stichtagen

Die meisten Unternehmen prüfen ihr IKS quartalsweise oder zur Abschlussprüfung. Was zwischen den Prüfungsterminen passiert, bleibt unsichtbar. Ein Freigabelimit wird temporär angehoben und nie zurückgesetzt. Eine Stellvertreterregelung hebt das Vier-Augen-Prinzip für drei Wochen auf. Ein neuer Mitarbeiter erhält Berechtigungen, die gegen die Berechtigungsmatrix verstoßen.

Diese Fälle sind kein Ausnahmefall. Sie sind der Normalfall in Organisationen, deren Kontrollsystem auf manuelle, periodische Prüfung angewiesen ist. Der Wirtschaftsprüfer bewertet nach IDW PS 261 die Wirksamkeit des IKS und passt seinen Prüfungsumfang entsprechend an. Ein IKS, das nur zum Stichtag funktioniert, führt zu erweiterter Prüfung und höheren Prüfungskosten.

Kontinuierliches Monitoring schließt dieses Zeitfenster. Jede Transaktion wird gegen die definierten Kontrollaktivitäten geprüft - nicht einmal im Quartal, sondern bei jeder Buchung.

Fehlende Funktionstrennung verursacht die größten Einzelschäden

Segregation of Duties gehört zu den wirksamsten Kontrollen gegen Betrug. Laut ACFE Report to the Nations 2024 sind mehr als 50 Prozent aller Fälle von Occupational Fraud auf fehlende oder umgangene interne Kontrollen zurückzuführen - strukturierte Funktionstrennung ist eine der wirksamsten Gegenmaßnahmen. Die Konsequenz: Der durchschnittliche Schaden pro Fall beträgt laut ACFE 2024 rund 1,7 Millionen US-Dollar, bei einer Gesamtanalyse von 1.921 dokumentierten Betrugsfällen über 138 Länder.

Ein konkretes Szenario: Ein Mitarbeiter im Einkauf legt einen Lieferanten an, erfasst die Bestellung und gibt die Rechnung zur Zahlung frei. Drei Rollen, eine Person. In einem ERP-System mit gewachsener Berechtigungsstruktur bleibt dieser Konflikt oft jahrelang unentdeckt, weil niemand die Berechtigungsmatrix systematisch gegen die tatsächlichen Rollenzuweisungen abgleicht.

Der IKS-Monitoring-Agent prüft bei jeder Transaktion, ob die ausführende Person einen SoD-Konflikt aufweist. Nicht als Stichprobe, sondern vollständig. Jeder Konflikt wird dokumentiert und nach definierten Schwellenwerten eskaliert.

Kontinuierliches Monitoring verschiebt die Prüfungslogik von Stichprobe auf Vollprüfung

Das COSO-Framework definiert Monitoring als eigenständige Komponente des Internen Kontrollsystems - gleichrangig mit Kontrollumgebung, Risikobeurteilung, Kontrollaktivitäten und Information. In der Praxis ist Monitoring die Komponente, die am häufigsten vernachlässigt wird, weil sie den höchsten laufenden Aufwand verursacht.

Ein Agent verändert diese Gleichung. Er prüft Kontrollaktivitäten regelbasiert: Wurde das Vier-Augen-Prinzip eingehalten, liegt die Freigabe innerhalb des Limits, stimmt die Berechtigung mit der Matrix überein. Gleichzeitig erkennt er Anomalien in Transaktionsdaten - ungewöhnliche Buchungsmuster, Häufungen kurz unterhalb von Freigabegrenzen, auffällige Zeitstempel.

Das Ergebnis ist ein IKS-Report, der nicht auf Stichproben basiert, sondern auf der Prüfung jeder einzelnen Transaktion. Für den Wirtschaftsprüfer bedeutet das: belastbare Evidenz über die Wirksamkeit des Kontrollsystems im gesamten Prüfungszeitraum.

Der Decision Layer trennt automatisierte Kontrolle von menschlicher Eskalation

Nicht jede IKS-Entscheidung eignet sich für Automatisierung. Das Vier-Augen-Prinzip gegen eine Checkliste prüfen - das ist ein Regelwerk, Stufe 1. Anomalien in Transaktionsdaten erkennen - das erfordert KI-Analyse, Stufe 2. Aber die Entscheidung, wie bei einem erkannten Kontrollversagen eskaliert wird, bleibt beim Menschen.

Diese Trennung ist kein technisches Detail. Sie ist die Voraussetzung dafür, dass der Wirtschaftsprüfer das automatisierte Monitoring als Prüfungsnachweis akzeptiert. Jede Kontrollprüfung wird dokumentiert: was geprüft wurde, welches Ergebnis vorliegt, welche Maßnahme folgt. Bei Versagen protokolliert der Agent die betroffenen Transaktionen, die Art des Verstoßes und den Eskalationsweg.

Der Compliance-Beauftragte entscheidet über die Maßnahme. Der Agent überwacht, ob die beschlossene Maßnahme umgesetzt wird. So entsteht ein geschlossener Regelkreis - von der Kontrolldefinition über die Prüfung bis zur Nachverfolgung.