Interne Kontrollen in den Betriebsabläufen kleiner Unternehmen werden häufig als reine Anforderung der Buchhaltung betrachtet. Diese Sichtweise greift zu kurz. Die richtigen Kontrollen verhindern auch unbefugte Systemzugriffe, fehlerhafte Kundenerstattungen, Lieferantenbetrug, versäumte Freigaben, Datenverluste und Handlungen von KI-Agenten, die über deren Befugnisse hinausgehen.
Sie benötigen keine Konzernbürokratie, um diese Risiken zu steuern. Sie brauchen eine kleine Anzahl angemessener Kontrollen, die direkt in die Zuweisung, Freigabe, Durchführung und Überprüfung von Aufgaben eingebettet sind.
Interne Kontrollen sollten die Durchführung absichern, nicht Papierarbeit erzeugen
Eine interne Kontrolle ist eine Regel oder Aktivität, die betriebliche Risiken reduzieren soll. Sie kann ein unerwünschtes Ereignis verhindern, es schnell erkennen oder die Reaktion darauf steuern.
Eine Richtlinie legt fest, was geschehen soll. Eine Kontrolle sorgt dafür, dass diese Vorgabe durchsetzbar oder überprüfbar ist.
Eine Richtlinie könnte beispielsweise vorsehen, dass Erstattungen über 1.000 US-Dollar eine Freigabe durch das Management erfordern. Die entsprechende Kontrolle blockiert den Erstattungsprozess, bis eine autorisierte Führungskraft den Antrag genehmigt und die Entscheidung dokumentiert hat.
Diese Unterscheidung ist wichtig, weil schriftliche Richtlinien sich nicht selbst ausführen. Wenn Mitarbeitende die Regel umgehen können, Nachweise nicht aufbewahrt werden oder niemand Ausnahmen überprüft, existiert die Kontrolle nur auf dem Papier.
Wirksame Kontrollen weisen in der Regel fünf Merkmale auf:
Ein definiertes Risiko: Der konkrete Fehler oder Ausfall, den die Kontrolle reduzieren soll
Eine Kontrollaktivität: Die durchgeführte Prüfung, Einschränkung, Freigabe oder Abstimmung
Eine verantwortliche Person: Die Person oder Rolle, die für die Durchführung oder Überwachung zuständig ist
Einen Auslöser oder eine Frequenz: Wann die Kontrolle ausgeführt werden muss
Nachweise: Eine dauerhafte Aufzeichnung darüber, was geschehen ist
Das Ziel besteht nicht darin, jedes denkbare Risiko auszuschließen. Dadurch würden Routineaufgaben langsam und teuer. Setzen Sie stattdessen dort stärkere Kontrollen ein, wo die finanziellen, rechtlichen, sicherheitsbezogenen oder kundenbezogenen Auswirkungen dies rechtfertigen.
Konzentrieren Sie sich zunächst auf fünf wiederkehrende betriebliche Risiken
Kleine Unternehmen sind mit vielen derselben Kontrollmängel konfrontiert wie größere Unternehmen, doch die Verantwortung verteilt sich häufig auf weniger Personen. Eine einzelne Person kann beispielsweise einen Lieferanten anlegen, eine Rechnung genehmigen und die Zahlung auslösen. Eine Teamleitung behält möglicherweise Administratorzugriff auf Systeme, die sie nicht mehr nutzt.
Beginnen Sie mit fünf Risikobereichen, die in den meisten Betriebsabläufen vorkommen.
Unbefugte Entscheidungen
Einige Handlungen sollten eine ausdrückliche Befugnis voraussetzen. Dazu gehören hohe Erstattungen, Änderungen von Gehaltsdaten, das Unterzeichnen von Verträgen, die Veröffentlichung vertraulicher Informationen oder das Löschen von Kundendaten.
Nutzen Sie Freigabeschwellen und rollenbasierte Berechtigungen, um diese Entscheidungen zu kontrollieren. Die Freigabe sollte vor der unumkehrbaren Handlung erfolgen und nicht erst im Rahmen einer nachträglichen Prüfung.
Wenn Ihr Freigabeprozess derzeit von einer Antwort per E-Mail oder Chat abhängt, definieren Sie die Bedingungen, autorisierten Freigabeverantwortlichen, den Eskalationsweg und die erforderlichen Nachweise. Unser Leitfaden zum Entwurf zuverlässiger Genehmigungs-Workflows erklärt, wie Sie solche Kontrollpunkte in die Praxis umsetzen.
Übermäßige Zugriffsrechte
Mitarbeitende und automatisierte Agenten sollten nur die Zugriffsrechte erhalten, die sie für ihre zugewiesenen Aufgaben benötigen. Dies ist das Prinzip der geringsten Rechte.
Überprüfen Sie Zugriffsrechte, wenn jemand die Rolle wechselt, das Unternehmen verlässt oder ein System nicht mehr benötigt. Ersetzen Sie gemeinsam genutzte Zugangsdaten nach Möglichkeit durch individuelle oder sicher gebundene Zugangsdaten. Für die Ausführung durch Menschen und KI bietet die rollenbasierte Zugriffssteuerung eine klarere Möglichkeit, Berechtigungen an die betriebliche Verantwortung anzupassen.
Fehlerhafte oder unvollständige Daten
Fehlerhafte Daten können falsche Zahlungen, versäumte Fristen, schlechte Prognosen und unzuverlässige KI-Ergebnisse verursachen. Kontrollen sollten wichtige Felder validieren, bevor die Arbeit fortgesetzt wird.
Beispiele sind die verpflichtende Angabe einer Bestellnummer, die Prüfung von Bankdaten auf das erwartete Format, die Validierung einer Kundenkennung anhand des CRM oder das Verhindern des Abschlusses eines Falls ohne Nachweis der Lösung.
Nicht dokumentierte Änderungen
Änderungen an Preisen, Lieferantendaten, Verfahren, Berechtigungen oder Kundendatensätzen können erhebliche Risiken verursachen, wenn sich nicht nachvollziehen lässt, wer sie vorgenommen hat und warum.
Führen Sie einen Versionsverlauf und einen Audit-Trail für sensible Änderungen. Änderungen mit höherem Risiko sollten eine Begründung, eine prüfende Person, einen Zeitstempel und einen Link zur zugrunde liegenden Anfrage enthalten.
Ungelöste Ausnahmen
Ein gut gestalteter Prozess muss Fehler berücksichtigen und darf nicht nur den Idealfall abbilden. Doppelte Rechnungen, fehlgeschlagene Integrationen, fehlende Dokumente, strittige Transaktionen und ungewöhnliche KI-Ausgaben benötigen klar definierte Bearbeitungswege.
Jede Ausnahme sollte eine verantwortliche Person, eine Reaktionsfrist, eine Eskalationsbedingung und einen dokumentierten Abschluss haben. Andernfalls verlagern Teams das Problem unbemerkt in E-Mails oder Chats, wo es nur schwer nachverfolgt werden kann.
Eine Kontrollmatrix übersetzt Risiken in klare Verantwortlichkeiten
Eine Kontrollmatrix ist eine einfache Tabelle, die jedes wesentliche Risiko mit der Aktivität verknüpft, durch die es kontrolliert wird. Sie vermittelt Verantwortlichen, Führungskräften und Prüfern ein gemeinsames Verständnis davon, wie Schutzmaßnahmen funktionieren sollen.
Sie können mit der folgenden Struktur beginnen:
Prozess | Risiko | Kontrollaktivität | Typ | Verantwortlich | Auslöser | Nachweis |
|---|---|---|---|---|---|---|
Lieferantenanlage | Ein betrügerischer Lieferant wird angelegt | Unabhängige Prüfung von Identität und Bankdaten | Präventiv | Finanzleitung | Jeder neue Lieferant | Freigabedokumentation und Verifizierungsdateien |
Kundenerstattungen | Die Erstattung überschreitet die Befugnis des Mitarbeitenden | Freigabe durch Führungskraft oberhalb des definierten Schwellenwerts | Präventiv | Supportleitung | Erstattung über 1.000 US-Dollar | Entscheidung, freigebende Person und Zeitstempel |
Systemzugriff | Ehemalige Mitarbeitende behalten Zugriffsrechte | Aktive Konten mit der Personalliste abgleichen | Detektiv | IT-Verantwortliche | Monatlich und nach jedem Austritt | Ergebnisse der Zugriffsprüfung |
Auftragsabwicklung | Fehlerhafte Auftragsdaten gelangen in die Ausführung | Pflichtfelder und Summen validieren | Präventiv | Operations-Leitung | Jeder Auftrag | Validierungsergebnis und Ausführungsverlauf |
KI-generierte Aktualisierung | Ein Agent ändert einen wichtigen Datensatz fehlerhaft | Menschliche Freigabe vor dem externen Schreibvorgang | Präventiv | Prozessverantwortliche | Änderung mit hoher Auswirkung | Vorgeschlagene Aktion und Freigabeentscheidung |
Erstellen Sie Ihre erste Matrix in fünf Schritten:
Wählen Sie einen wichtigen Prozess aus. Beginnen Sie mit Zahlungen, Kundendaten, Systemzugriffen, vertraglichen Verpflichtungen oder einem anderen Workflow mit hoher Auswirkung.
Beschreiben Sie realistische Fehlerereignisse. Formulieren Sie Risiken als konkrete Ergebnisse, etwa „eine doppelte Rechnung wird bezahlt“, statt allgemeiner Bezeichnungen wie „finanzielles Risiko“.
Ermitteln Sie vorhandene Kontrollen. Stellen Sie fest, was Menschen und Systeme tatsächlich tun – nicht, was laut Verfahrensbeschreibung geschehen sollte.
Finden Sie Lücken und Doppelungen. Suchen Sie nach Risiken ohne Kontrolle, Kontrollen ohne verantwortliche Person und wiederholten Prüfungen, die Aufwand verursachen, ohne das Risiko zu reduzieren.
Legen Sie die Nachweisanforderungen fest. Bestimmen Sie, welche Aufzeichnung belegt, dass die Kontrolle ordnungsgemäß ausgeführt wurde.
Halten Sie die Matrix übersichtlich. Zehn gut gestaltete Kontrollen, die konsequent ausgeführt werden, sind wertvoller als 50 vage Kontrollen, die niemand überprüfen kann.
Betten Sie Kontrollen direkt in Ihre Workflows ein
Kontrollen werden zuverlässig, wenn sie Bestandteil der eigentlichen Arbeit sind. Wenn Mitarbeitende sich an eine separate Richtlinie erinnern, eine weitere Tabelle öffnen und Screenshots manuell speichern müssen, wird die Durchführung uneinheitlich.
Präventive Kontrollen stoppen Handlungen, bevor ein Schaden entsteht
Zu den präventiven Kontrollen gehören Pflichtfelder, Berechtigungseinschränkungen, Validierungsregeln, Freigabeschritte, Ausgabenlimits und Funktionstrennung.
In OKiDO können Sie ein Verfahren in eine versionierte SOP-Vorlage mit strukturierten Feldern, Zuweisungen, Fristversätzen, Freigabeschritten und unterstützenden Anhängen umwandeln. Wird die SOP zu einem aktiven RUN, findet die Kontrolle im selben Kontext wie die Arbeit statt und nicht in einem separaten Dokument.
Für komplexere Prozesse kann OKiDO Systems Arbeit über Freigabe-, Entscheidungs-, Split-, Join-, Gate- und Ausnahme-Nodes leiten. So können Sie je nach Variablen wie Transaktionswert, Kundentyp, Datensensibilität oder Risikostufe unterschiedliche Kontrollen anwenden.
Detektive Kontrollen decken Fehler und ungewöhnliche Aktivitäten auf
Nicht jeder Fehler lässt sich wirtschaftlich sinnvoll verhindern. Detektive Kontrollen erkennen Probleme nach einem Ereignis, aber früh genug, um dessen Auswirkungen zu begrenzen.
Typische Beispiele sind Abstimmungen, Ausnahmeberichte, Zugriffsprüfungen, die Überwachung überfälliger Aufgaben, stichprobenbasierte Qualitätsprüfungen und Vergleiche zwischen Quell- und Zielsystemen.
Die Erkennung muss eine Handlung auslösen. Ein Bericht, für den niemand verantwortlich ist, stellt keine wirksame Kontrolle dar. Legen Sie fest, wer ihn prüft, was als Ausnahme gilt und wie schnell das Problem untersucht werden muss.
Korrektive Kontrollen steuern Eindämmung und Wiederherstellung
Korrektive Kontrollen legen fest, was geschieht, nachdem ein Problem bestätigt wurde. Sie können eine fehlerhafte Transaktion rückgängig machen, kompromittierte Zugriffsrechte sperren, betroffene Kunden benachrichtigen, Quelldaten korrigieren oder den Prozess aktualisieren, der den Fehler ermöglicht hat.
Die Reaktion sollte strukturiert und nicht improvisiert erfolgen. Weisen Sie das Problem zu, sichern Sie relevante Nachweise, dokumentieren Sie die Ursache, lassen Sie die Abhilfemaßnahme bei Bedarf genehmigen und überprüfen Sie deren Abschluss. Bei wiederkehrenden oder schwerwiegenden Fehlern kann ein formeller CAPA-Prozess die unmittelbare Korrektur mit langfristiger Prävention verbinden.
Für menschliche und KI-gestützte Arbeit gelten dieselben Kontrollprinzipien
Der Einsatz eines KI-Agenten hebt die Verantwortlichkeit nicht auf. Er verändert lediglich, wie die Kontrolle umgesetzt werden muss.
Ein KI-Agent kann eingehende Anfragen lesen, Datensätze klassifizieren, Antworten entwerfen, Anwendungen aktualisieren oder Transaktionen anstoßen. Jede Aktion sollte entsprechend ihren potenziellen Auswirkungen gesteuert werden.
Wenden Sie diese praktischen Kontrollen auf KI-gestützte Workflows an:
Umfang begrenzen: Definieren Sie die Systeme, Datensätze, Aktionen und Daten, auf die der Agent zugreifen darf.
Geeignete Zugangsdaten binden: Gewähren Sie dem Agenten keine umfassenderen Berechtigungen, als der Workflow erfordert.
Eingaben validieren: Prüfen Sie vor der Ausführung, ob alle erforderlichen Daten vorhanden und korrekt strukturiert sind.
Freigaben für wesentliche Aktionen verlangen: Behalten Sie vor Zahlungen, Löschungen, vertraglichen Verpflichtungen oder anderen Änderungen mit hoher Auswirkung einen menschlichen Kontrollpunkt bei.
Ausnahmewege festlegen: Leiten Sie Unsicherheiten, fehlende Daten, Integrationsfehler und Richtlinienkonflikte an eine verantwortliche Person weiter.
Ausführungsnachweise aufbewahren: Dokumentieren Sie Eingaben, Aktionen, Entscheidungen, Freigaben, Ausgaben und relevante Systemantworten.
Leistung überprüfen: Überwachen Sie Fehlermuster, manuelle Eingriffe, Ausnahmen und Kontrollversagen im Zeitverlauf.
OKiDO verbindet Verfahren, Systeme, Zugangsdaten, Freigaben und Audit-Trails in einer zentral gesteuerten Ausführungsebene. KI-Agenten arbeiten innerhalb dieses betrieblichen Kontexts, statt sich auf einen isolierten Prompt und uneingeschränkten Anwendungszugriff zu verlassen.
Der Umfang der menschlichen Prüfung sollte dem Risiko entsprechen. Bei einem Agenten, der eine interne Zusammenfassung erstellt, können Stichproben und Feedback ausreichen. Ein Agent, der Bankdaten ändert, sollte deterministische Validierungen, eingeschränkte Berechtigungen und eine unabhängige Freigabe vor dem Schreibvorgang erfordern.
Testen Sie Kontrollen unter realen Betriebsbedingungen
Eine Kontrolle ist nicht allein deshalb wirksam, weil sie gut gestaltet wurde. Sie benötigen außerdem Nachweise dafür, dass sie konsequent ausgeführt wurde und Ausnahmen korrekt behandelt hat.
Testen Sie jede kritische Kontrolle anhand von drei Fragen:
Wurde die Kontrolle zum erforderlichen Zeitpunkt ausgeführt? Prüfen Sie eine repräsentative Auswahl abgeschlossener Workflow-RUNs oder Transaktionen.
Wurde sie von einer autorisierten Person oder einem autorisierten System ausgeführt? Überprüfen Sie Zuweisungen, Berechtigungen und Freigaben.
Hat sie ausreichende Nachweise erzeugt? Stellen Sie sicher, dass Entscheidungen, Eingaben, Anhänge, Zeitstempel und Ergebnisse überprüfbar sind.
Untersuchen Sie anschließend die Fehlerfälle. Wenn Mitarbeitende regelmäßig einen Kontrollpunkt umgehen, Freigaben erst nach der Ausführung erfolgen oder Nachweise außerhalb des Workflows gespeichert werden, muss die Kontrolle neu gestaltet werden.
Kontrollprüfungen sollten auch betriebliche Veränderungen berücksichtigen. Neue Systeme, Produkte, Mitarbeitende, Integrationen, Vorschriften und KI-Funktionen können dazu führen, dass eine bestehende Kontrolle irrelevant oder unvollständig wird. Weisen Sie jedem risikoreichen Verfahren eine verantwortliche Person und ein Prüfintervall zu, bewahren Sie den Versionsverlauf auf und sorgen Sie dafür, dass aktive RUNs an die Verfahrensversion gebunden bleiben, mit der sie begonnen wurden.
Eine praktische Einführung erfordert kein unternehmensweites Compliance-Projekt:
Wählen Sie einen risikoreichen Workflow mit offensichtlichen Problemen oder finanzieller Gefährdung aus.
Erfassen Sie dessen wichtigste Fehlerereignisse und vorhandene Schutzmaßnahmen.
Erstellen Sie eine übersichtliche Kontrollmatrix.
Überführen Sie den Prozess in strukturierte, zugewiesene Schritte.
Ergänzen Sie Freigabepunkte, Validierungen, Zugriffsbeschränkungen und Ausnahmewege.
Führen Sie den Workflow aus und prüfen Sie die entstandenen Nachweise.
Entfernen Sie redundante Prüfungen und stärken Sie Kontrollen, die den Test nicht bestanden haben.
Übertragen Sie das Muster auf den nächsten priorisierten Prozess.
Gute interne Kontrollen machen die Durchführung sicherer, ohne sie unnötig zu verlangsamen. Sie schaffen Klarheit darüber, wer handeln darf, was geprüft werden muss, wann eine Freigabe erforderlich ist und wie Ihr Unternehmen nachweisen kann, dass die Arbeit korrekt abgeschlossen wurde.
OKiDO hilft Ihnen, diese Kontrollen aus statischen Richtlinien in ausführbare Betriebsabläufe zu überführen. Beginnen Sie mit einem risikoreichen Workflow, strukturieren Sie das Verfahren, verbinden Sie die benötigten Systeme und führen Sie menschliche sowie KI-gestützte Arbeit mit Zuweisungen, Freigaben, Ausnahmebehandlung, Versionsverlauf und Audit-Trails auf einer einzigen Plattform aus.
