[Compliance. Curated. Webinar-Recap] Interne Kontrollen auffrischen oder abschaffen

Interne Kontrollen sind selten darauf ausgelegt zu versagen. Die meisten wurden eingeführt, um reale Risiken, regulatorischen Druck oder Lücken in der Unternehmenssteuerung zu adressieren.

Doch Organisationen verändern sich. Systeme entwickeln sich weiter. Prozesse verschieben sich. Risikolandschaften bewegen sich.

Deshalb haben wir in der neuesten Ausgabe unserer Webinar-Reihe Compliance. Curated., die sich an Risiko- und Interne-Kontrolexperten richtet, mit folgender Frage beschäftigt:

Schaffen Ihre internen Kontrollen noch einen Mehrwert, oder sind sie unbemerkt zur Routine geworden?

Gemeinsam mit Annette Pihlkjær Jensen von PA Consulting und Tim Buckley von Beyond the Lines und Integral Assurance haben wir diskutiert, wie Sie Ihr internes Kontrollumfeld kritisch bewerten und entscheiden können, was aufgefrischt, neu gestaltet oder abgeschafft werden sollte.

Hier sind die wichtigsten Erkenntnisse.

Veränderung ist der deutlichste Anlass, Kontrollen neu zu bewerten

Eines der stärksten Signale dafür, dass eine Kontrolle möglicherweise nicht mehr zweckmäßig ist eine Veränderung.

Dies geschieht häufig, wenn Sie:

• Von manuellen auf automatisierte Prozesse umstellen
• Neue Systeme implementieren
• Arbeitsabläufe neu gestalten
• Teams umstrukturieren
• Kritische Prüfungsbemerkungen erhalten

Der Prozess verändert sich. Das Risikoprofil verschiebt sich. Doch die Kontrolle bleibt oft dieselbe.

Tim betonte zudem, dass sich manchmal das Risiko selbst weiterentwickelt. Eine Kontrolle kann weiterhin durchgeführt und dokumentiert werden, adressiert aber nicht mehr das, was wirklich zählt.

Wenn eine Kontrolle kein relevantes Risiko mehr mindert, schützt sie Sie nicht. Sie ist lediglich eine Aktivität.

Kontrollen sollten Ergebnisse bewirken, nicht einen Papiertiger erzeugen

Wir haben ein gängiges Beispiel nämlich die monatliche Bilanzabstimmungen diskutiert.

Sie werden erstellt, geprüft und freigegeben.

Aber wenn sich Abstimmungspositionen weiterhin ansammeln, ohne dass Maßnahmen ergriffen, Verantwortlichkeiten zugewiesen oder Lösungen herbeigeführt werden, was bewirkt die Kontrolle dann tatsächlich?

Eine starke Kontrolle sollte:

• Risikoexposition reduzieren
• Maßnahmen auslösen
• Entscheidungsfindung verbessern

Wenn die Kontrolle nur Dokumentation erzeugt, ist es möglicherweise an der Zeit, sie zu hinterfragen.

Eine einfache, aber wirkungsvolle Frage kam während der Sitzung auf:

Verändert diese Kontrolle Verhalten oder Ergebnisse, oder beweist sie lediglich, dass jemand eine Aufgabe erledigt hat?

Beginnen Sie beim Risiko, nicht bei der Kontrolle

Viele Organisationen beginnen die Optimierung mit einer Überprüfung bestehender Kontrollen. Stattdessen ermutigte Annette die Teilnehmenden, beim Risiko zu beginnen. Fragen Sie:

• Welchen Risiken sind wir in diesem Prozess heute ausgesetzt?
• Wer übernimmt die Verantwortung für diese Risiken?
• Welche Kontrollen mindern diese Risiken direkt?
• Adressieren mehrere Kontrollen dasselbe Problem?

Wenn Sie Kontrollen auf klar definierte Risiken zurückführen, wird Doppelarbeit oft sichtbar. Im Laufe der Zeit neigen Organisationen dazu, Kontrollen übereinander zu schichten. Selten werden sie entfernt.

Obwohl es eine natürliche menschliche Reaktion ist, die Einhaltung von Vorschriften sicherzustellen, bedeuten mehr Kontrollen nicht automatisch eine stärkere Governance.

In vielen Fällen ist es tatsächlich die Vereinfachung, die Klarheit, Verantwortlichkeit und Wirksamkeit erhöht.

Regulatorische Veränderungen können ein Katalysator sein, keine Belastung

Regulatorische Entwicklungen, wie die Anforderungen unter Provision 29 des UK Corporate Governance Code, veranlassen Organisationen dazu, wesentliche Risiken neu zu bewerten und materielle Kontrollen zu identifizieren.

Das kann leicht dazu führen, dass weitere Kontrollen eingeführt werden.

Es kann aber auch eine gute Gelegenheit sein, einen Schritt zurückzutreten und zu hinterfragen: Welche Kontrollmechanismen sind wirklich wichtig?

Veränderung muss nicht Komplexität bedeuten. Sie kann Klarheit bedeuten.

Key-Kontrollen sind oft gut dokumentiert und gut durchdacht. Ein Wandel hin zu einer stärker kontinuierlichen Kontrolldurchführung bedeutet jedoch auch eine Verlagerung hin zur Priorisierung menschlicher Validierung bei Ausnahmen, anstatt bei der Norm.

Kontrollen, die innerhalb der regulären Geschäftszeiten und des normalen Umfangs durchgeführt werden, erfordern nicht dasselbe Maß an Überprüfung wie Kontrollen, die als reaktive Maßnahme auf ein Problem konzipiert sind. Kontrollen und Nachweise sind entscheidend für die Risikominderung, aber das Setzen eines zeitlichen Rahmens ist unerlässlich, um ein nachhaltiges und ausgewogenes Kontrollumfeld langfristig aufrechtzuerhalten.

Warum das Abschaffen von Kontrollen unangenehm ist

Eine Kontrolle loszulassen ist oft schwieriger, als eine neue einzuführen.

Risiko- und Kontrolexperten sind darauf geschult, Risiken zu reduzieren, nicht Schutzmaßnahmen zu entfernen. Deshalb kann sich das Abschaffen einer Kontrolle riskant anfühlen. Was, wenn etwas schiefgeht? Was, wenn der Prüfer es infrage stellt?

Veraltete Kontrollen bergen jedoch ebenfalls Risiken, wie zum Beispiel:

• Kontrollmüdigkeit
• Reduzierter Fokus auf wesentliche Risiken
• Erhöhter Verwaltungsaufwand
• Geringeres Engagement der Kontrollverantwortlichen

Ein überladenes Kontrollumfeld kann die Governance ebenso schwächen wie eine Lücke.

Wie Sie beginnen können

Wenn Sie erwägen, Kontrollen aufzufrischen oder abzuschaffen, sind hier praktische Startpunkte aus der Diskussion:

• Nutzen Sie Systemänderungen oder Automatisierungsinitiativen als natürliche Überprüfungsanlässe
• Ordnen Sie jede Kontrolle explizit einem definierten Risiko zu
• Identifizieren Sie Überschneidungen und Doppelungen
• Konzentrieren Sie sich auf materielle Kontrollen, die mit wesentlichen Risiken verknüpft sind
• Schaffen Sie ein gemeinsames Verantwortungsbewusstsein dafür, Veraltetes zu beseitigen und Neues einzuführen

Die Aktualisierung Ihres Kontrollrahmens bedeutet nicht, weniger zu tun. Es bedeutet, das zu tun, was bei der Risikominderung Ihrer Organisation wirklich zählt.

In einer Risikolandschaft, die sich stetig weiterentwickelt, können Sie sich nicht auf ein Kontrollumfeld verlassen, das für eine andere Zeit konzipiert wurde.

Manchmal beginnt die Stärkung der Governance mit einer einfachen Frage:

Welche unserer Kontrollen schützen uns tatsächlich, und welche sind nur noch Teil der Routine?

Wenn Sie sich näher mit dem Thema befassen und die praktischen Beispiele aus der Live-Fragerunde kennenlernen möchten, können Sie sich die vollständige Aufzeichnung hier ansehen.