Animierte Erfahrung — Internes Kontrollsystem
Vom Risiko zur wirksamen Kontrolle
01 — Prozessverständnis
Den Prozess von Anfang bis Ende, seine Ziele, Akteure und Systeme kartieren, um das Kontrollsystem in der operativen Realität zu verankern.
- Prozessziele — Operative, finanzielle und Compliance-Ziele mit den Anliegen der Organisation verknüpfen.
- Ablaufkartierung — Die Prozessschritte, Ein- und Ausgaben sowie Entscheidungspunkte beschreiben.
- Akteure und Systeme — Rollen, Delegationen, Funktionstrennung und unterstützende Anwendungen identifizieren.
- Ergebnisse
- Prozesslandkarte · Rollenbeschreibungen · Systeminventar
- Interaktionen
- Prozessverantwortliche · Finanzen · IT · Compliance
- Kompetenzen
- Prozess- und Risikokartierung · Operative Analyse · Funktionstrennung · Zuhören und Berichterstattung
- Erwartete Ergebnisse
- Eine gemeinsame Sicht auf den Prozess als Grundlage des Kontrollsystems
02 — Risikoidentifikation
Die Risiken identifizieren, die das Erreichen der Ziele verhindern könnten, sie bewerten und nach Auswirkung und Wahrscheinlichkeit priorisieren.
- Risikoereignisse — Risiken je Prozessschritt formulieren, einschliesslich Betrugsrisiken.
- Bewertung — Auswirkung und Wahrscheinlichkeit vor und nach Kontrollen einstufen.
- Priorisierung — Das System auf wesentliche Risiken und Schlüsselaussagen konzentrieren.
- Ergebnisse
- Prozessrisikoregister · Bewertung Auswirkung / Wahrscheinlichkeit · Liste der wesentlichen Risiken
- Interaktionen
- Risikomanagement · Prozessverantwortliche · Interne Revision
- Kompetenzen
- Risikobewertung · Betrugsrisiken · Priorisierung · Professionelles Urteilsvermögen
- Erwartete Ergebnisse
- Eine priorisierte Risikomenge, bereit zur Abdeckung durch Kontrollen
03 — Kontrollkonzeption
Verhältnismässige Kontrollen konzipieren: präventiv oder detektiv, manuell oder automatisiert, mit klarem Verantwortlichen und risikoadäquater Häufigkeit.
- Schlüsselkontrollen — Jedes wesentliche Risiko mit einer oder mehreren Schlüsselkontrollen verknüpfen.
- Kontrollattribute — Art, Häufigkeit, Verantwortlichen, erwarteten Nachweis und unterstützendes System festlegen.
- Risiko-Kontroll-Matrix — Die Matrix formalisieren und nicht abgedeckte oder redundante Bereiche erkennen.
- Ergebnisse
- Risiko-Kontroll-Matrix · Kontrollbeschreibungen · Analyse nicht abgedeckter Bereiche
- Interaktionen
- Kontrollverantwortliche · Finanzen · IT · Geschäftsleitung
- Kompetenzen
- Architektur des internen Kontrollsystems · Finanzielle & operative Kontrollen · Automatisierung · Verhältnismässigkeit
- Erwartete Ergebnisse
- Ein dokumentiertes, verhältnismässiges und zugeordnetes Kontrollsystem
04 — Durchführung und Nachweis
Die Kontrolle nachweisbar machen: Was nicht dokumentiert ist, kann nicht getestet werden; der Nachweis muss datiert, zuordenbar und aufbewahrt sein.
- Kontrolldurchführung — Die Kontrolle gemäss festgelegter Häufigkeit und Verantwortlichem durchführen.
- Ausführungsnachweis — Einen datierten, zuordenbaren und überprüfbaren Nachweis der Durchführung aufbewahren.
- Qualität der Dokumentation — Vollständigkeit, Lesbarkeit und Archivierung der Nachweise prüfen.
- Ergebnisse
- Nachweisregister · Dokumentierte Verfahren · Archivierungsregeln
- Interaktionen
- Operative Mitarbeitende · Internes Kontrollsystem · IT
- Kompetenzen
- Rückverfolgbarkeit · Dokumentation · IT, Daten & Automatisierung · Umsetzungsdisziplin
- Erwartete Ergebnisse
- Durchgeführte und nachweisbare Kontrollen, bereit für Tests
05 — Wirksamkeitstest
Konzeption und operative Wirksamkeit der Schlüsselkontrollen getrennt testen und festgestellte Abweichungen als Mängel qualifizieren.
- Konzeptionstest — Prüfen, ob die Kontrolle bei korrekter Ausführung das Risiko wirksam abdeckt.
- Test der operativen Wirksamkeit — Vorkommnisse stichprobenartig prüfen und die tatsächliche Durchführung im Zeitraum verifizieren.
- Mängelqualifizierung — Abweichungen nach Schweregrad und potenzieller kumulierter Auswirkung klassieren.
- Ergebnisse
- Testprogramm · Testblätter · Mängelübersicht
- Interaktionen
- Internes Kontrollsystem · Interne Revision · Externe Prüfer · Kontrollverantwortliche
- Kompetenzen
- Beurteilung & Behebung · Stichprobenverfahren · Datenanalyse · Beurteilung des Schweregrads
- Erwartete Ergebnisse
- Eine fundierte Beurteilung der Wirksamkeit des Kontrollsystems
06 — Behebung und Überwachung
Mängel in verfolgte Massnahmenpläne überführen und anschliessend eine kontinuierliche Überwachung mit Kennzahlen und Berichterstattung an die Geschäftsleitung etablieren.
- Behebungspläne — Massnahmen, Verantwortliche und Fristen im Verhältnis zum Schweregrad festlegen.
- Kontrollkennzahlen — Durchführung, Ausnahmen und Abdeckung mittels stabiler Kennzahlen verfolgen.
- Berichterstattung und Assurance — Der Geschäftsleitung und den Gremien über die tatsächliche Risikobeherrschung berichten.
- Ergebnisse
- Massnahmenpläne · Kontroll-Dashboard · Bericht zum internen Kontrollsystem
- Interaktionen
- Geschäftsleitung · Prüfungsausschuss · Prozessverantwortliche · Interne Revision
- Kompetenzen
- Governance & Koordination · Kennzahlen & Berichterstattung · Führung & Transformation · Umsetzungsverfolgung
- Erwartete Ergebnisse
- Ein lebendiges, gemessenes und nachhaltig gesteuertes Kontrollsystem