Interview: Wie stark beeinflusst die Digitalisierung das Interne Kontrollsystem?

Wie stark beeinflusst die Digitalisierung das Interne Kontrollsystem?

Robert Kammerer: Die Digitalisierung hat einen starken Einfluss auf das Interne Kontrollsystem. Einerseits entstehen durch die Digitalisierung neue Geschäftsmodelle und -prozesse und folglich auch neue Risiken. Diese Risiken müssen durch adäquate Kontrollen in einem IKS abgedeckt werden. Andererseits ändern sich vor allem durch den Wandel der Technologie die Geschäftsprozesse in den Unternehmen. Hier ist ein weiterer Ansatzpunkt für die Digitalisierung des Internen Kontrollsystems – je stärker Prozesse im Unternehmen digitalisiert werden, desto wichtiger wird eine Digitalisierung des Internen Kontrollsystems. 

Sumit Sanyal: Es zeichnet sich ab, dass Unternehmen zukünftig ihr IKS nicht nur dahingehend optimieren, dass an das ERP angelegte Kontrollen automatisiert werden, sondern dass zunehmend Robotic Process Automation (RPA, Robotics) und selbstlernende Kontrollen (Künstliche Intelligenz) zum Einsatz kommen. Neben der Kontrolldurchführung ist für unsere Kunden die Automatisierung der Wirksamkeitsprüfung der Kontrollen der nächste Schritt. Risiko- und Prozessanalysen werden ebenfalls verstärkt durch neue Technologien, wie Process Mining, aktiv unterstützt.

Die Digitalisierung hat bereits viele Geschäftsprozesse erreicht. Wieso raten Sie Unternehmen, die internen Prozesse und Kontrollen ebenfalls zu digitalisieren?

Kammerer: Das Interne Kontrollsystem ist das Rückgrat jedes Unternehmens. Ein gutes IKS ist ein bedeutendes Führungsinstrument, es gibt Sicherheit und Stabilität. Aber nur wenn ein Unternehmen sein IKS regelmäßig analysiert und optimiert, bleibt es flexibel und agil. Hier ergeben sich für Unternehmen auch Potentiale durch die Digitalisierung, da eine automatisierte Funktionsprüfung des IKS deutlich weniger Aufwand erfordert als ein manueller Test. Gleiches gilt für automatisierte Kontrollen, sie reduzieren den Aufwand, ausgelöst durch manuelle Tätigkeiten und den damit verbundenen Kontrollaufwand und steigern so die die Effektivität und Effizienz des Internen Kontrollsystems und damit auch des gesamten Unternehmens. Die Vorteile der Automatisierung des IKS liegen somit auf der Hand: Die Prozesse im Unternehmen werden zunehmend digitalisiert, manuelle Kontrollen digitaler Prozesse sind da nicht mehr „State of the Art“. So können sich die Kontrollen auf neue Risiken fokussieren – etwa im Bereich Fraud und Datenschutz – und diese bestmöglich reduzieren. Ein automatisiertes IKS ermöglicht es den Unternehmen, Kontrolllücken und somit auch einen Teil potentieller oder vorhandener Prozesslücken schneller zu identifizieren.

Wo stehen Unternehmen aus Ihrer Sicht derzeit bei der Automatisierung ihres Internen Kontrollsystems?

Kammerer: Ich beobachte, dass viele Unternehmen in Zeiten der Digitalisierung großen Wert darauf legen, ihr Kontrollsystem zu optimieren und zu automatisieren. Denn sie wissen: So können sie sich einen Wettbewerbsvorteil verschaffen. Es lassen sich verschiedene Stufen der Automatisierung unterscheiden. Auf den unteren Stufen sind die Kontrollen kaum verlässlich, sie finden vorwiegend manuell statt und werden nur lückenhaft dokumentiert. Mit dem Grad der Automatisierung steigt die Qualität und die Effektivität des IKS: Die Prozesskontrollen laufen zunehmend oder gar vollständig automatisiert ab, werden direkt vom System dokumentiert, und idealerweise automatisch getestet. Nicht nur auf der Prozessebene, sondern auch auf der Organisationsebene lässt sich eine voranschreitende Digitalisierung beobachten. Neue Steuerungsinstrumente ermöglichen es Unternehmen, ihre Risiken auch angesichts der ständig an Komplexität gewinnenden Risikolandschaft effektiv zu managen und zu mitigieren. 

Sanyal: Bisher war das IKS eher manuell aufgesetzt. Seit ein bis zwei Jahren erkennen wir einen Trend, dass Unternehmen ihr IKS immer mehr automatisieren möchten. Zielsetzung hierbei ist es, manuelle Aufwände im Bereich Kontrolldurchführung und Testing zu reduzieren und die Effektivität durch eine kontinuierliche automatisierte Überwachung zu steigern.

Wie gehen Firmen am besten vor, um ihr IKS zu digitalisieren?

Kammerer: Wir empfehlen ein Vorgehen in vier Schritten. Als erstes sollte das Unternehmen sich fragen, wo es aktuell steht und welche Ziele es mit dem IKS verfolgt. Dabei wird der Ist-Zustand des IKS ermittelt und festgelegt, wie es idealerweise aussehen sollte. Im zweiten Schritt wird die Strategie zur Umsetzung dieses Zielbilds festgelegt. Das Unternehmen bestimmt also den Verbesserungsbedarf und leitet konkrete Maßnahmen ab, wie es den Soll-Zustand erreichen möchte. Beim dritten Schritt geht es um die stufenweise Umsetzung der festgelegten Maßnahmen. Eine wichtige Rolle bei der Umsetzung spielt die Unterstützung durch geeignete IT-Systeme. Idealerweise erreicht das Unternehmen so die definierte Qualität und Automatisierung der Kontrollen. Im vierten und letzten Schritt geht es um die vollständige Implementierung durch, einerseits Trainings und Kommunikation, und andererseits auch Überwachung, Reporting und kontinuierliche Verbesserung. Nach diesem vierstufigen Prozess ist das Interne Kontrollsystem für die Zukunft gerüstet.

Sanyal: Grundsätzliche Voraussetzung für die Digitalisierung ist die Auswahl eines geeigneten IT-Systems, welches nicht nur die reine Dokumentation von Kontrollhandlungen unterstützt, sondern Funktionalitäten für die Analyse und Überwachung des IKS bereitstellt. Ist ein solches System vorhanden, müssen die relevanten Informationen und Daten identifiziert und für das Thema Analytics aufbereitet werden. Parallel hierzu muss ausgehend vom bestehenden IKS das Thema Analytics aus einer fachlichen Perspektive konzipiert und aufgebaut werden.

Kammerer: Nach dem beschriebenen vierstufigen Prozess und der Einführung einer geeigneten IT-Lösung ist das Interne Kontrollsystem für die digitale Zukunft gerüstet.