Was ist Interne Kontrolle?
Die in die Geschäftsprozesse eingebauten Mechanismen und Verfahren, die von allen Mitgliedern einer Organisation ausgeführt werden, um die Ziele der Organisation zu erreichen. Im Rahmen des japanischen Berichtssystems für interne Kontrollen (J-SOX) sind die Ziele Wirksamkeit und Effizienz der Geschäftstätigkeit, Verlässlichkeit der Berichterstattung, Einhaltung der für die Geschäftstätigkeit maßgeblichen Gesetze und Vorschriften sowie Sicherung des Vermögens; die Grundkomponenten sind Kontrollumfeld, Bewertung von und Reaktion auf Risiken, Kontrollaktivitäten, Information und Kommunikation, Überwachung (Monitoring) sowie Reaktion auf die IT (Informationstechnik). Grundlage ist das US-amerikanische COSO-Rahmenwerk.
Japanische Bezeichnung: 内部統制
„Interne Kontrolle“ kommt in 5 Übungsfragen aus 1 Themen vor, z. B. IT-Service-Management und IT-Audit.
Fachgebiet: IT-Service-Management und IT-Audit
Die vier Ziele
Wirksamkeit und Effizienz der Geschäftstätigkeit bedeutet, die Geschäftstätigkeit im Einklang mit den Unternehmenszielen wirksam und effizient auszuführen. Verlässlichkeit der Berichterstattung bedeutet, dass Berichte wie die Finanzberichte vertrauenswürdig sind; bei J-SOX wird insbesondere die Verlässlichkeit der Finanzberichterstattung beurteilt. Einhaltung von Vorschriften bedeutet, die für die Geschäftstätigkeit maßgeblichen Gesetze und Normen zu befolgen. Sicherung des Vermögens bedeutet sicherzustellen, dass Vermögenswerte nach ordnungsgemäßen Verfahren und mit Genehmigung erworben, genutzt und veräußert werden. Japan ergänzt die drei Ziele des COSO-Rahmenwerks (Geschäftstätigkeit, Berichterstattung, Einhaltung von Vorschriften) um die Sicherung des Vermögens.
Die sechs Grundkomponenten
Das Kontrollumfeld prägt das Klima einer Organisation und bildet die Grundlage der übrigen Komponenten; dazu gehören Integrität und ethische Werte der Unternehmensleitung, Organisationsstruktur sowie Zuweisung von Befugnissen und Verantwortung. Bewertung von und Reaktion auf Risiken bedeutet, Risiken zu identifizieren und zu bewerten, die das Erreichen der Ziele behindern, und Reaktionen auszuwählen. Kontrollaktivitäten sind Richtlinien und Verfahren wie Genehmigungen, Abstimmungen und Funktionstrennung. Information und Kommunikation bedeutet, die nötigen Informationen richtig zu erfassen und innerhalb und außerhalb der Organisation angemessen weiterzugeben. Überwachung ist die fortlaufende Beurteilung, ob die interne Kontrolle wirksam funktioniert, mit laufender Überwachung und unabhängigen Beurteilungen. Reaktion auf die IT bedeutet, unter Berücksichtigung des IT-Umfelds Kontrollen, die IT nutzen, und Kontrollen über die IT selbst auszuführen; diese Komponente hat Japan den fünf Komponenten von COSO hinzugefügt.
Generelle IT-Kontrollen und IT-Anwendungskontrollen
Die Kontrollen der Reaktion auf die IT werden in generelle IT-Kontrollen (IT General Controls) und IT-Anwendungskontrollen (Application Controls) unterteilt. IT-Anwendungskontrollen sind in die einzelnen Geschäftssysteme eingebaut und stellen sicher, dass Transaktionsdaten korrekt verarbeitet werden, etwa durch Prüfungen der Eingabedaten, automatische Berechnungen und Konsistenzprüfungen der Stammdaten. Generelle IT-Kontrollen erhalten eine Umgebung, in der die Anwendungskontrollen wirksam funktionieren, und umfassen Systementwicklung und -wartung, Betriebsmanagement, Zugriffsmanagement und die Steuerung von Auslagerungen. Sind die generellen Kontrollen schwach, können die Programme, die die Anwendungskontrollen umsetzen, unbefugt geändert werden, und auch auf die Anwendungskontrollen ist dann kein Verlass mehr.
Häufige Fragen
Kann die interne Kontrolle Betrug und Fehler vollständig verhindern?
Nein. Sie stößt an Grenzen bei geheimen Absprachen zwischen Mitarbeitenden, wenn die Unternehmensleitung die interne Kontrolle außer Kraft setzt, und bei nicht vorhergesehenen Geschäftsvorfällen. Die interne Kontrolle gilt als Mittel, das eine angemessene, aber keine absolute Sicherheit für das Erreichen der Ziele bietet.
Wie hängen interne Kontrolle und IT-Audit zusammen?
Die interne Kontrolle ist ein System, für dessen Ausgestaltung und Betrieb die Unternehmensleitung verantwortlich ist. IT-Audits und interne Prüfungen beurteilen aus unabhängiger Position, ob die Teile dieses Systems, die Informationssysteme betreffen, wirksam funktionieren; sie entsprechen den unabhängigen Beurteilungen innerhalb der Komponente Überwachung der internen Kontrolle.