IKS (Internes Kontrollsystem)
Kurz gesagt
Ein internes Kontrollsystem (IKS) ist die Gesamtheit der Regelungen und Kontrollen, die Fehler und Vermögensschäden verhindern oder aufdecken sollen. Im ERP tragen dazu Vier-Augen-Prinzip, Genehmigungsgrenzen und automatischer Abgleich bei. Österreich verlangt ein IKS von GmbH und AG (§ 22 GmbHG, § 82 AktG), Deutschland stützt sich auf die GoBD, die Schweiz prüft es bei der ordentlichen Revision (Art. 728a OR).
Das Wichtigste
- IKS ist die Gesamtheit der Regelungen und Kontrollen gegen Fehler und Vermögensschäden in den Geschäftsprozessen.
- Österreich: Jede GmbH und jede AG braucht Rechnungswesen und internes Kontrollsystem; § 22 GmbHG, § 82 AktG.
- Schweiz: Die ordentliche Revision prüft, ob ein IKS existiert (Art. 728a OR); die eingeschränkte Revision nicht (Art. 729a OR).
- Deutschland: Die GoBD verlangen für § 146 AO Kontrollen und nennen Zugangs-, Abstimmungs- und Verarbeitungskontrollen (Rz. 100).
- Vier-Augen-Prinzip, Genehmigungsgrenzen und automatischer Abgleich sind Kontrollen, die je ein anderes Risiko abdecken.
- COSO-Rahmenwerk und BSI-IT-Grundschutz binden nur, wenn Gesetz, Vertrag oder eine eigene Regelung darauf verweisen.
Internes Kontrollsystem (kurz IKS) ist die Gesamtheit der Regelungen und Kontrollen, mit denen ein Betrieb Fehler und Vermögensschäden in seinen Geschäftsprozessen verhindern oder aufdecken will. Gemeint ist die Regelung und ihre Ausübung, nicht ein einzelnes Programm.
Wozu ein IKS dient
Ein IKS verteilt Aufgaben und Freigaben so, dass niemand einen Vorgang von Anfang bis Ende allein steuert und sich dabei selbst kontrolliert. Dazu kommen Kontrollen im Ablauf selbst und eine Überprüfung, ob sie noch greifen. Den Rahmen für die Aufgabenverteilung gibt das Berechtigungskonzept.
Das Rahmenwerk COSO Internal Control — Integrated Framework (Fassung von 2013) nennt fünf Komponenten: Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung. Als Kontrollaktivitäten führt es unter anderem Genehmigungen und Freigaben, Verifizierungen und Abstimmungen auf und ordnet die Trennung von Aufgaben ausdrücklich der Auswahl der Kontrollen zu. Für Fälle, in denen eine Aufgabentrennung nicht praktikabel ist, nennt es den Weg, dass das Management andere Kontrollen auswählt und entwickelt. Das Rahmenwerk ist kein Gesetz; es bindet, soweit Gesetz, Vertrag oder eine eigene Regelung darauf verweisen.
Welche Kontrolle welches Risiko abdeckt
Die Tabelle zeigt drei Kontrollen, wie sie in einem ERP- oder Warenwirtschaftssystem eingerichtet werden können, und das Risiko, das jede von ihnen abdeckt. Beträge, Rollen und Prüfschritte legt der Betrieb fest; in Deutschland stellen die GoBD die Ausgestaltung auf Komplexität der Geschäftstätigkeit, Organisationsstruktur und eingesetztes DV-System ab (Rz. 100).
| Kontrolle | Beispielhafte Ausprägung im ERP | Risiko, das die Kontrolle abdeckt |
|---|---|---|
| Vier-Augen-Prinzip | Bestellen, Wareneingang buchen und Zahlungen freigeben sind getrennten Rollen zugeordnet; wer bestellt, bucht nicht den Wareneingang | Eine Person bestellt, empfängt und bezahlt selbst und kann eine nicht oder abweichend gelieferte Ware als geliefert erfassen |
| Genehmigungsgrenze | Bestellungen, Gutschriften oder Zahlungen ab einem festgelegten Betrag brauchen die Freigabe einer zweiten berechtigten Person | Bestellungen und Gutschriften in größerem Umfang ohne Gegenkontrolle, unbeabsichtigt oder bewusst |
| Automatischer Abgleich | Das System stellt Bestellung, Wareneingang und Lieferantenrechnung in Menge und Preis gegenüber und hält die Zahlung bei Abweichung an | Bezahlung einer Rechnung für Ware, die nicht, zu wenig oder zu einem anderen Preis geliefert wurde |
Für das Vier-Augen-Prinzip gilt in Deutschland: Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik verlangt in ORP.1.A4, unvereinbare Aufgaben wie ausführende und kontrollierende Funktionen auf verschiedene Personen zu verteilen, die Funktionstrennung festzulegen und zu dokumentieren; Vertretungen unterliegen ihr ebenfalls. ORP.4.A4 setzt die Trennung über das Berechtigungsmanagement um. Das Kompendium ist eine Methode, kein Gesetz, und bindet nur, soweit Gesetz, Vertrag oder eine eigene Regelung darauf verweisen.
Die einzelnen Konfliktpaare und Ersatzkontrollen für kleine Teams stehen unter Funktionstrennung im ERP, der Aufbau der Rollen unter Rollen- und Rechtekonzept.
Ein Beispiel mit Zahlen
Beispielrechnung: Eine Bestellung über 8.400,00 Euro wird ausgelöst. Der Wareneingang erfasst 7.800,00 Euro, weil Ware für 600,00 Euro fehlt; die Lieferantenrechnung lautet über 8.400,00 Euro. Der automatische Abgleich findet zur Rechnung über 8.400,00 Euro keinen passenden Wareneingang und hält die Zahlung an. Ohne diesen Abgleich ginge die Zahlung über 8.400,00 Euro heraus, also 600,00 Euro mehr als der erfasste Wareneingang. Eine Genehmigungsgrenze von beispielsweise 5.000,00 Euro wäre bei diesem Vorgang ebenfalls überschritten; die Grenze legt der Betrieb selbst fest.
Rechtsgrundlage je Land
Deutschland: Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD, BMF-Schreiben vom 28. November 2019) verlangen für die Ordnungsvorschriften des § 146 der Abgabenordnung (AO), dass der Steuerpflichtige Kontrollen einrichtet, ausübt und protokolliert, und nennen als Beispiele Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen sowie Erfassungs-, Abstimmungs- und Verarbeitungskontrollen (Rz. 100). Die Beschreibung des IKS ist Bestandteil der Verfahrensdokumentation (Rz. 102). Die GoBD sind eine Verwaltungsanweisung des Bundesministeriums der Finanzen; die Änderungen vom 11. März 2024 und vom 14. Juli 2025 lassen die Rz. 100 bis 102 unverändert. Was das für Geschäftsführung und Prüfung bedeutet, steht unter Internes Kontrollsystem im ERP.
Österreich: § 22 Abs. 1 des GmbH-Gesetzes (GmbHG) verlangt von den Geschäftsführern, dafür zu sorgen, dass ein Rechnungswesen und ein internes Kontrollsystem geführt werden, die den Anforderungen des Unternehmens entsprechen; die Vorschrift ist in Kraft seit 1. Juli 1998. Für die Aktiengesellschaft steht die Pflicht in § 82 des Aktiengesetzes (AktG). Die Pflicht trifft jede GmbH und jede AG unabhängig von Bilanzsumme, Umsatzerlösen und Mitarbeiterzahl; Maßstab ist, was das jeweilige Unternehmen braucht. Einzelheiten unter IKS und ERP in Österreich.
Schweiz: Art. 957a Abs. 2 des Obligationenrechts (OR) verlangt unter anderem die vollständige, wahrheitsgetreue Erfassung der Geschäftsvorfälle und die Nachprüfbarkeit (in Kraft seit 1. Januar 2013). Bei der ordentlichen Revision prüft die Revisionsstelle nach Art. 728a Abs. 1 Ziff. 3 OR, ob ein internes Kontrollsystem existiert, und berücksichtigt es bei Durchführung und Umfang der Prüfung (Abs. 2); die Geschäftsführung des Verwaltungsrats ist nicht Gegenstand der Prüfung (Abs. 3). Diese Prüfung kennt die eingeschränkte Revision nicht: Nach Art. 729a Abs. 1 OR erfasst sie nur, ob Sachverhalte vorliegen, aus denen auf eine nicht vorschriftsgemässe Jahresrechnung oder Gewinnverwendung zu schliessen ist. Details unter IKS und Revisionsstelle in der Schweiz.
Nicht zu verwechseln mit
- Vier-Augen-Prinzip: eine einzelne Kontrolle innerhalb des IKS, nicht das IKS selbst.
- Berechtigungskonzept: die Regelung, wer im System was darf; sie ist ein Bestandteil des IKS (siehe Berechtigungskonzept).
- Audit Trail: der Nachweis, wer wann was geändert hat. Er belegt einen Vorgang, ersetzt aber keine Kontrolle.