Ihr IKS: dokumentiert ist es längst. Jetzt machen Sie es wirksam.
Ein internes Kontrollsystem (IKS) ist die Gesamtheit der Kontrollen, mit denen ein Unternehmen verlässliche Finanzberichterstattung und Regelkonformität sicherstellt. Seit FISG und verschärfter Prüfungspraxis genügt die Dokumentation nicht mehr, verlangt ist nachweisbare Wirksamkeit über den gesamten Zeitraum. RiskForge automatisiert genau diesen Nachweis in SAP: jede Transaktion geprüft, jeder Kontrollbetrieb protokolliert, auf Wunsch mit Eingriff vor der Buchung.
Warum Stichproben den Wirksamkeitsnachweis nicht erbringen.
Ein Kontrolltest auf 25 Stichproben aus 400.000 Buchungen sagt über die 399.975 ungetesteten fast nichts, und Betrug meldet sich nicht freiwillig zur Stichprobe. Wirksamkeit im Sinne von IDW PS 982 heißt: Die Kontrolle hat im gesamten Zeitraum funktioniert. Diesen Nachweis kann eine Stichprobe logisch nicht führen, sie belegt einen Moment und nicht ein Jahr. Kontinuierliche maschinelle Prüfung dreht das um: jede Transaktion, im Moment ihres Entstehens, gegen die Kontrolllogik. Die Abdeckung beträgt 100 Prozent, per Konstruktion.
Was RiskForge in Ihrem SAP fortlaufend kontrolliert.
- Zahlläufe und Auszahlungen, gegen Verhaltens-Baselines je Benutzer, Kreditorenpopulation und Zeitmuster
- Journalbuchungen: Buchungen außerhalb der Arbeitszeit, ungewöhnliche Kontenkombinationen, Auffälligkeiten zum Periodenende
- Kreditoren-Stammdaten, etwa Bankdatenänderung gefolgt von Zahlung oder Manipulation von Zahlungsbedingungen
- Funktionstrennung, geprüft auf tatsächlichen Transaktionen statt nur auf der Rollentheorie
- Die klassische GRC-Basis, inklusive: Zugriffsrisikoanalyse, SoD-Regelwerk, kritische Berechtigungen, Notfallbenutzer-Überwachung. Alles, was eine GRC-Suite prüft, prüft RiskForge auch.
- IT General Controls: Berechtigungsmanagement, Change Management und IT-Betrieb, korreliert über SAP GRC, Jira, ServiceNow und Server-Deployment-Logs
- GoBD-relevante Punkte: Nachvollziehbarkeit, Unveränderbarkeit, Protokollierung der buchführungsrelevanten Verarbeitung
Vom Erkennen zum Verhindern.
Erkennung allein verliert das Rennen gegen eine taggleiche Zahlung. RiskForge bietet deshalb je Prozess einen Durchsetzungsmodus. Transaktionen im höchsten Konfidenzband werden vor dem Festschreiben angehalten und dem zuständigen Verantwortlichen zur Freigabe oder Ablehnung vorgelegt, während das normale Geschäft unberührt bucht. Üblich ist der Start im Überwachungsmodus. Auf Durchsetzung schalten Kunden, sobald die Konfidenzbänder ihr Vertrauen verdient haben.
Der Wirksamkeitsnachweis, den Ihr Prüfer anerkennt.
Jeder Kontrollbetrieb, jede Feststellung und jede Disposition landet in einem Nachweisspeicher, der nur Anfügungen zulässt und kryptographisch verkettet ist. Daraus entstehen zeitraumfixierte Nachweispakete je Prüfungsgebiet, ausgerichtet an ISA und IFRS-Aussagen, mit unabhängigem Verifikationsskript. Ihr Abschlussprüfer kann sich darauf stützen, statt Ihre Kontrollumgebung aus eigenen Stichproben zu rekonstruieren, auf Ihre Rechnung.
Häufige Fragen
Was ist ein internes Kontrollsystem (IKS)?
Ein internes Kontrollsystem ist die Gesamtheit aller Grundsätze, Verfahren und Maßnahmen, mit denen ein Unternehmen die Wirksamkeit seiner Geschäftsprozesse, die Verlässlichkeit der Finanzberichterstattung und die Einhaltung von Gesetzen sicherstellt. Ein IKS ist wirksam, wenn seine Kontrollen nachweislich im gesamten Zeitraum funktioniert haben, nicht wenn sie nur dokumentiert sind.
Ist ein IKS für den Mittelstand Pflicht?
Unmittelbar verpflichtet § 91 Abs. 3 AktG seit dem FISG börsennotierte Gesellschaften. Praktisch erreicht der Maßstab jedoch jedes geprüfte Unternehmen: Abschlussprüfer wenden die gestiegenen Erwartungen auf alle Mandate an, die GoBD verlangen Kontrollen über buchführungsrelevante IT, und Banken wie Aufsichtsräte fragen nach der Wirksamkeit.
Was bedeutet ein automatisiertes IKS in SAP?
Ein automatisiertes IKS prüft Kontrollregeln maschinell gegen alle SAP-Transaktionen statt manuell gegen Stichproben. Verstöße werden binnen Sekunden erkannt, und der Nachweis des Kontrollbetriebs entsteht als Nebenprodukt, für jeden Tag des Jahres statt für den Stichprobenmoment.
Deckt ein IKS auch die IT General Controls ab?
Ja, ein vollständiges IKS umfasst die ITGC: Berechtigungsmanagement, Change Management und IT-Betrieb. RiskForge korreliert dafür SAP, SAP GRC, Jira, ServiceNow und die Deployment-Logs der Server, denn die meisten Kontrollumgehungen beginnen in der IT, nicht in der Buchhaltung.
Sehen Sie RiskForge auf Ihren eigenen Prozessen.
30 Minuten am lebenden Produkt: Zahlläufe, Buchungen, Transporte. Keine Folien, das echte System.