Der unverzichtbare Leitfaden zu Interner Revision und Kontrollen

Kernaussage: Interne Kontrollen bilden das operative System zur Risikominderung im Tagesgeschäft. Die Interne Revision ist die unabhängige Funktion, die beurteilt, ob dieses System wirksam funktioniert. Die Global Internal Audit Standards des IIA (2024), die Änderungen des PCAOB-Standards AS 1105 (wirksam ab Geschäftsjahr 2025) sowie die GenAI-Leitlinien von COSO vom Februar 2026 haben die Anforderungen an Prüfungen deutlich erweitert. Laut KPMG sind die Kosten für SOX-Compliance um 44 % auf 2,3 Mio. US-Dollar gestiegen, während der Automatisierungsgrad auf 17 % gesunken ist.

Interne Kontrollen sind Aufgabe aller Mitarbeiter. Darin liegt zugleich die größte Stärke und die größte Schwäche jedes Kontrollumfelds. Jeder Mitarbeiter trägt dazu bei, Vermögenswerte zu schützen, vollständige und korrekte Aufzeichnungen sicherzustellen, gesetzliche und regulatorische Anforderungen einzuhalten sowie durch wirksames Risikomanagement die Unternehmensziele zu unterstützen. Die Unternehmensleitung und die Interne Revision tragen die Verantwortung, diese Kultur vorzuleben und durch unabhängige, objektive Prüfungen die Angemessenheit und Wirksamkeit der Kontrollen zu beurteilen.

Sammeln Sie 8 CPEs bei GRC Now 2026 | 8.–9. Juli

VIRTUELLEN PLATZ SICHERN

Was sind interne Kontrollen?

Die internen Kontrollen einer Organisation sind die Richtlinien, Verfahren und Prozesse, die dazu dienen, Vermögenswerte zu schützen und Risiken zu minimieren. Dazu zählen insbesondere Risiken durch Betrug, Korruption, Verschwendung und Missbrauch. Durch die Einhaltung interner Kontrollen erhalten Unternehmen eine angemessene Sicherheit, dass ihre Ziele effizient und wirksam erreicht werden. Dabei sind interne Kontrollen die Maßnahmen und Prozesse, die ein bestimmtes Ziel unterstützen, während Compliance die erfolgreiche und konsequente Umsetzung dieser Kontrollen beschreibt.

Eine Prüfung interner Kontrollen umfasst die Überprüfung und Bewertung des internen Kontrollsystems eines Unternehmens. Ziel ist es festzustellen, ob die Kontrollen wirksam funktionieren und geeignet sind, Betrug, Fehler und Compliance-Verstöße zu verhindern.

Ein einfaches Beispiel ist der Passwortschutz: Die Kontrollvorgaben können beispielsweise die Verwendung von Passwörtern sowie Anforderungen an deren Komplexität festlegen, etwa eine Mindestlänge, Sitzungsdauer oder die Sperrung nach mehreren Fehlversuchen. Compliance bedeutet in diesem Fall, dass Anwendungen entsprechend konfiguriert sind und diese Einstellungen nur mit entsprechender Genehmigung und Begründung geändert werden können.

Interne Kontrollen schaffen einen Rahmen für Verantwortlichkeit, Integrität und Transparenz. Das weltweit am häufigsten verwendete Framework hierfür stammt vom Committee of Sponsoring Organizations of the Treadway Commission (COSO), einer privatwirtschaftlichen Organisation, die Leitlinien für Governance und interne Kontrollsysteme entwickelt und veröffentlicht.

Die fünf Komponenten interner Kontrollen und ihre Grenzen

Die fünf zentralen Komponenten eines internen Kontrollsystems gemäß dem „COSO Internal Control – Integrated Framework“ sind:

1. Kontrollumfeld: Gibt die Richtung an der Spitze vor und umfasst die Richtlinien, Verfahren, Standards, Prozesse und ethischen Werte, die von der Unternehmensleitung und dem Vorstand festgelegt werden.
2. Risikobewertung: Jedes Unternehmen verfolgt Geschäftsziele, ist dabei bestimmten Risiken ausgesetzt und implementiert Kontrollen zur Risikominderung. Eine Risikobewertung evaluiert die Auswirkungen und Eintrittswahrscheinlichkeiten dieser Risiken und bestimmt, welche Kontrollen erforderlich sind, um ein akzeptables Restrisiko zu erreichen.
3. Kontrollaktivitäten: Dies sind die konkreten Maßnahmen, mit denen das Management die im Kontrollumfeld festgelegten Richtlinien und Verfahren umsetzt. Beispielsweise kann eine Richtlinie vorsehen, Systemzugriffe nach dem Least-Privilege-Prinzip zu vergeben. Die Kontrollaktivität besteht dann darin, Berechtigungen rollenbasiert zuzuweisen und diese regelmäßig durch die zuständigen Führungskräfte überprüfen zu lassen.
4. Information und Kommunikation: Kontrollen können nur wirksam sein, wenn Mitarbeiter wissen, wie und wann sie auszuführen sind und wie bei festgestellten Problemen vorzugehen ist. Diese Komponente stellt sicher, dass relevante Informationen rechtzeitig innerhalb der Organisation sowie an externe Interessengruppen weitergegeben werden.
5. Monitoring: Hierbei handelt es sich um die laufende Bewertung der Ausgestaltung und Wirksamkeit interner Kontrollen. Die Überwachung erfolgt durch das Management, Compliance-Funktionen und die Interne Revision, um sicherzustellen, dass die Kontrollen wie vorgesehen funktionieren.

Auch wenn ein auf dem COSO-Framework basierendes Kontrollsystem Risiken wirksam reduziert, gelten in jedem Kontrollumfeld drei grundlegende Einschränkungen interner Kontrollen: abgesprochenes Zusammenwirken mehrerer Personen, menschliches Versagen und unerwartete Ereignisse.

Einschränkung 1: Abgesprochenes Zusammenwirken mehrerer Personen

Die Funktionstrennung ist eine grundlegende Komponente jedes wirksamen internen Kontrollsystems, da sie verhindert, dass ein einzelner Mitarbeiter einen Prozess vollständig allein durchführen kann. Von Absprachen zwischen mehreren Personen spricht man, wenn Beteiligte in Zusammenarbeit Kontrollen zur Funktionstrennung umgehen, um betrügerische Handlungen zu ermöglichen. Eine vollständige Trennung von Aufgaben lässt sich jedoch nicht immer umsetzen, wodurch sich die Möglichkeiten für solche Absprachen erhöhen können.

Prüfer benötigen ein fundiertes Verständnis aller finanziell wesentlichen Prozesse, einschließlich der Veränderungen von Kontrollverantwortlichkeiten durch Neueinstellungen, Versetzungen und Austritte von Mitarbeitern. Nur so lässt sich sicherstellen, dass Überwachungskontrollen wirksam bleiben. Wesentliche Falschangaben infolge von Betrug können einem Unternehmen langfristig erheblichen Reputationsschaden zufügen.

Einschränkung 2: Menschliche Fehler

Die Wirksamkeit jedes Kontrollsystems wird dadurch begrenzt, dass Menschen nicht perfekt sind. Beispiele für menschliche Fehler mit Auswirkungen auf interne Kontrollen sind unbeabsichtigte Fehler aufgrund von Ermüdung oder Ablenkung, missverstandene Anweisungen sowie Entscheidungen, die auf unvollständigen Informationen beruhen.

Zu den gängigen Gegenmaßnahmen gehören die Automatisierung von Kontrollen, wo immer dies möglich ist, sowie der Einsatz integrierter Technologien, die den Beteiligten eine bessere Transparenz über Audit-, Risiko- und Compliance-Aktivitäten verschaffen und dadurch fundiertere Entscheidungen ermöglichen. Laut den SOX-Benchmarks 2025 machen automatisierte Kontrollen inzwischen nur noch 17 % aller Kontrollen aus. Im Geschäftsjahr 2022 lag dieser Anteil noch bei 21 %. Gleichzeitig ist die Anzahl der in den Prüfungsumfang einbezogenen Systeme um 135 % gestiegen. Dies verdeutlicht die dringende Notwendigkeit, diesen Trend umzukehren.

Einschränkung 3: Unerwartete Ereignisse

Unerwartete Ereignisse umfassen unvorhersehbare Umstände, die Auswirkungen auf ein Unternehmen haben können. Keine Organisation kann jedes denkbare Risiko im Voraus erkennen und gleichzeitig Kontrollen zu dessen Vermeidung implementieren. Einige Experten vertreten daher die Auffassung, dass ein starkes internes Kontrollsystem Risiken nicht nur reduziert, sondern Unternehmen auch in die Lage versetzt, ihr Risikowissen als Wettbewerbsvorteil zu nutzen und dort bewusst höhere Risiken einzugehen, wo dies sinnvoll ist.

Unternehmen, die Connected Risk-Technologien einsetzen, um dynamische Risikobewertungen durchzuführen und Risiken in Echtzeit zu überwachen, sind besser in der Lage, unerwartete Ereignisse frühzeitig zu erkennen und zu adressieren, bevor diese eskalieren. Dies ist insbesondere vor dem Hintergrund der zunehmenden Verbreitung von KI relevant. Im Februar 2026 veröffentlichte COSO spezielle GenAI-Leitlinien, die das Fünf-Komponenten-Modell gezielt auf Risiken generativer KI übertragen. Dadurch erhalten Interne Revisoren eine strukturierte Methodik, um eine völlig neue Kategorie potenzieller Kontrollversagen zu bewerten und zu prüfen.

Welche Arten interner Kontrollen gibt es?

Obwohl jedes Kontrollsystem inhärenten Einschränkungen unterliegt, hilft die richtige Kombination verschiedener Kontrollarten Unternehmen dabei, ihre Ziele zu erreichen und gleichzeitig unerwünschte Ereignisse zu minimieren. Die beiden wichtigsten Arten interner Kontrollen sind präventive und aufdeckende Kontrollen. Viele Frameworks erweitern diese Einteilung um zwei weitere Kategorien: steuernde und korrigierende Kontrollen.

Präventive Kontrollen verringern die Notwendigkeit, Fehler erst nachträglich zu entdecken. Dennoch sind aufdeckende Kontrollen unverzichtbar, um Probleme zu erkennen, die trotz aller Vorsorgemaßnahmen auftreten, bevor sie wesentliche Auswirkungen haben.

Präventive interne Kontrollen

Präventive Kontrollen sind darauf ausgelegt, Fehler oder nachteilige Ereignisse bereits im Vorfeld zu verhindern. Sie können manuell oder automatisiert umgesetzt werden. Automatisierte Kontrollen reduzieren jedoch die Fehleranfälligkeit durch menschliche Eingriffe und vereinfachen Prüfungen durch den Abgleich mit Vergleichs- und Referenzwerten. Beispiele für präventive Kontrollen sind: Systemzugriffskontrollen (einschließlich Funktionstrennung), Freigaben von Rechnungen oberhalb festgelegter Schwellenwerte, Hintergrundprüfungen bei Neueinstellungen sowie physische Sicherheitsmaßnahmen wie Laptop-Schlösser oder Alarmanlagen.

Aufdeckende interne Kontrollen

Aufdeckende Kontrollen konzentrieren sich darauf, Probleme oder Unregelmäßigkeiten nach ihrem Auftreten zu erkennen. Sie sollten ergänzend zu präventiven Kontrollen eingesetzt werden, um Probleme frühzeitig sichtbar zu machen, bevor sie ein wesentliches Ausmaß erreichen. Beispiele für aufdeckende Kontrollen sind: physische Inventurprüfungen, Kontenabstimmung sowie der Abgleich von Finanzberichten mit den zugrunde liegenden Nachweisen und Belegen.

Eine ausgewogene Kombination aus präventiven und aufdeckenden Kontrollen ist entscheidend, um Risiken wirksam zu reduzieren und zu verhindern, dass sich Probleme unbemerkt ausweiten.

Steuernde und korrigierende Kontrollen

Einige Frameworks erweitern die Einteilung über präventive und aufdeckende Kontrollen hinaus auf vier Kategorien:

1. Steuernde Kontrollen: Richtlinien, Schulungen, Standards und Verhaltenskodizes, die gewünschtes Verhalten fördern und Orientierung geben. Steuernde Kontrollen gelten im Allgemeinen als die schwächste Form einer eigenständigen Kontrolle.
2. Präventive Kontrollen: Verhindern Fehler oder Betrug, bevor sie auftreten. Beispiele sind Funktionstrennung, Zugriffsbeschränkungen oder Schwellenwerte für eine Genehmigungspflicht.
3. Aufdeckende Kontrollen Identifizieren Probleme nach ihrem Auftreten. Beispiele sind Kontenabstimmung, Inventurprüfungen oder Ausnahme- und Abweichungsberichte.
4. Korrigierende Kontrollen Stellen den vorgesehenen Zustand wieder her, nachdem eine aufdeckende Kontrolle ein Problem identifiziert hat. Beispiele hierfür sind die Wiederherstellung von Datensicherungen, die Umsetzung von Disaster-Recovery- und Business-Continuity-Plänen, Patches und Hotfixes, Incident-Response-Maßnahmen, Korrekturbuchungen, nachträgliche Anpassungen von Finanzberichten sowie disziplinarische Maßnahmen bei Richtlinienverstößen. Korrigierende Kontrollen sollten genauso gründlich getestet werden wie alle anderen Kontrollarten. So sollte beispielsweise regelmäßig überprüft werden, ob die Wiederherstellung aus Datensicherungen tatsächlich funktioniert, anstatt lediglich davon auszugehen, dass ein Backup erfolgreich erstellt wurde.

Allgemeine Kontrollen der Informationstechnologie (ITGC)

ITGC (IT General Controls) regeln die IT-Umgebung, auf die Finanz- und Geschäftsanwendungen angewiesen sind. Schwachstellen in einem der ITGC-Bereiche können die Zuverlässigkeit automatisierter Anwendungskontrollen sowie die Verlässlichkeit der von diesen Systemen erzeugten elektronischen Nachweise beeinträchtigen. Die vier ITGC-Bereiche sind:

1. Zugriffskontrollen Prozesse zur Vergabe und Entziehung von Berechtigungen, regelmäßige Überprüfungen von Zugriffsrechten sowie die Funktionstrennung innerhalb von Anwendungen und IT-Infrastrukturen.
2. Änderungsmanagement Kontrollen, die regeln, wie Änderungen an Programmcode, Konfigurationen und IT-Infrastrukturen beantragt, getestet, genehmigt und in die Produktionsumgebung überführt werden.
3. Datensicherung und Wiederherstellung Umfasst die Konzeption, Durchführung und Überwachung von Datensicherungen sowie regelmäßige Tests der Wiederherstellbarkeit.
4. Sicherheitsmanagement Umfasst Sicherheitskonfigurationen, Schwachstellenmanagement, Sicherheitsüberwachung sowie Incident-Response-Prozesse.

Die geänderte Fassung des PCAOB-Standards AS 1105, die für Geschäftsjahre gilt, die am oder nach dem 15. Dezember 2025 beginnen, verpflichtet Prüfer dazu, die Verlässlichkeit externer elektronischer Informationen, die in technologiegestützten Analysen verwendet werden, ausdrücklich zu beurteilen. Dadurch gewinnt die ITGC-Prüfung nochmals deutlich an Bedeutung.

Interne Revision vs. interne Kontrollen: Funktion versus System

Es ist nahezu unmöglich, über die Interne Revision zu sprechen, ohne gleichzeitig interne Kontrollen zu berücksichtigen, da beide für ein wirksames Risikomanagement unerlässlich sind.

Vereinfacht gesagt ist die Interne Revision eine Funktion, während interne Kontrollen ein System sind. Interne Kontrollen umfassen die laufenden Richtlinien, Verfahren und Maßnahmen, die das Management entwickelt und täglich anwendet, um Risiken zu reduzieren und Unternehmensziele zu erreichen. Die Interne Revision hingegen ist die unabhängige und objektive Prüfungs- und Beratungsfunktion. Gemäß den IIA Global Standards, die 2024 in Kraft getreten sind und die berufliche Praxis anhand von 15 Leitprinzipien in fünf Bereichen neu strukturiert haben, bewertet sie regelmäßig, ob das Kontrollsystem angemessen ausgestaltet ist und wirksam funktioniert. Anschließend berichtet sie ihre Feststellungen an die Unternehmensleitung und den Prüfungsausschuss.

Während das Management für die Identifizierung von Risiken und die Implementierung geeigneter Kontrollen zu deren Minderung verantwortlich ist, beurteilt die Interne Revision, ob diese Kontrollen angemessen konzipiert sind und wirksam funktionieren. Die Prüfung interner Kontrollverfahren trägt dazu bei, Fehler und Betrug zu reduzieren, die Genauigkeit der Finanzberichterstattung zu verbessern, die operative Effizienz zu steigern sowie Reputation und Glaubwürdigkeit des Unternehmens zu stärken.

Teams der Internen Revision unterstützen Unternehmen bei der Bewertung von Kontrollen, indem sie den Prozess der Risikoidentifikation beurteilen, bei der Konzeption und Implementierung von Kontrollen beraten, Kontrolltests durchführen sowie operative Prüfungen, Compliance-Prüfungen und Betrugsuntersuchungen vornehmen.

Was sind Kontrollziele in der Internen Revision?

Ein Kontrollziel beschreibt den Zweck einer Kontrolle. Es wird in der Regel als Aussage formuliert, wie ein bestimmtes Risiko gesteuert oder reduziert werden soll. Die Kontrollziele des COSO Internal Control – Integrated Framework lassen sich in drei Kategorien einteilen: operative Ziele, Berichterstattungsziele und Compliance-Ziele.

Operative Ziele

Operative Ziele konzentrieren sich auf die Verbesserung der Geschäftsabläufe und der betrieblichen Leistung. Beispiele hierfür sind Leistungsüberprüfungen, physische Schutzmaßnahmen für Vermögenswerte, Schulungs- und Coaching-Maßnahmen, Prüf- und Genehmigungsprozesse sowie die Funktionstrennung.

Berichterstattungsziele

Berichterstattungsziele beziehen sich auf eine verlässliche und zeitnahe Berichterstattung, einschließlich der Einhaltung der Anforderungen des Standards AS 2201 für interne Kontrollen der Finanzberichterstattung. Beispiele hierfür sind Ausgabenfreigaben, Prüf- und Genehmigungsverfahren, Verifizierungen, Budgetabstimmungen und Maßnahmen für den Passwortschutz.

Compliance-Ziele

Compliance-Ziele umfassen die Einhaltung gesetzlicher, regulatorischer und branchenspezifischer Anforderungen. Dazu gehören Datenvalidierung und -verifizierung, Schulungen, die regelmäßige Überprüfung von Richtlinien- und Verfahrenshandbüchern sowie die Sicherstellung ihrer Einhaltung.

Wie werden interne Kontrollen geprüft?

Welche Kontrollen geprüft werden, hängt von der Größe und Komplexität der Organisation, der Art des Geschäfts sowie einer Risikobewertung ab. Diese identifiziert die relevanten Geschäftsbereiche, Prozesse und Anwendungen innerhalb des Prüfungsumfangs. Die Kontrollen innerhalb dieser Bereiche werden anschließend nach ihrem Risikograd priorisiert, was Umfang und Intensität der Prüfung bestimmt.

Die Prüfung interner Kontrollen umfasst Verfahren zur Beurteilung sowohl der Ausgestaltung als auch der Wirksamkeit einer Kontrolle, um festzustellen, ob sie wesentliche Falschangaben verhindern oder aufdecken kann. Dabei dokumentiert das Prüfungsteam die durchgeführten Prüfungshandlungen und deren Ergebnisse, einschließlich festgestellter Mängel oder Schwachstellen. Zudem wird überprüft, ob erforderliche Korrekturmaßnahmen rechtzeitig umgesetzt wurden. Von besonderer Bedeutung ist der PCAOB-Standard AS 1105, dessen Änderungen für Geschäftsjahre gelten, die nach dem 15. Dezember 2025 beginnen. Gemäß diesem Standard müssen Prüfer die Verlässlichkeit extern bereitgestellter elektronischer Informationen, die als Prüfungsnachweise verwendet werden, ausdrücklich beurteilen. Für technologiegestützt gewonnene Prüfungsnachweise ergeben sich dadurch zusätzliche Dokumentationsanforderungen. Die Prüfungsergebnisse werden regelmäßig mit dem Management, der Unternehmensleitung und weiteren relevanten Stakeholdern geteilt.

Die fünf Phasen einer Prüfung interner Kontrollen

Eine Prüfung interner Kontrollen durchläuft in der Regel fünf Phasen:

1. Planung und Festlegung des Prüfungsumfangs: Definition der Prüfungsziele sowie der relevanten Geschäftsbereiche, Prozesse und Anwendungen innerhalb des Prüfungsumfangs.
2. Risikobewertung und Verständnis der internen Kontrollen: Identifizierung inhärenter Risiken und Zuordnung geeigneter Kontrollen zu diesen Risiken.
3. Bewertung der Kontrollausgestaltung: Bewertung, ob eine Kontrolle bei vorgesehener Durchführung geeignet wäre, das betreffende Risiko zu reduzieren. Zu den typischen Prüfungshandlungen gehören Walkthroughs, Befragungen und die Prüfung eines einzelnen Geschäftsvorfalls.
4. Kontrolltests: Durchführung von Befragungen, Beobachtung, Dokumentenprüfung und Kontrollnachvollziehung anhand einer Stichprobe von Geschäftsvorfällen, um die operative Wirksamkeit der Kontrolle über den gesamten Prüfungszeitraum zu bestätigen.
5. Berichterstattung und Mängelbehebung Dokumentation festgestellter Mängel, Kommunikation der Ergebnisse an Management und Prüfungsausschuss sowie Nachverfolgung der Korrekturmaßnahmen bis zu deren vollständiger Umsetzung.

Angemessenheit der Ausgestaltung vs. operative Wirksamkeit

Die Angemessenheit der Ausgestaltung beantwortet die Frage: Würde die Kontrolle, wenn sie wie beschrieben durchgeführt würde, eine wesentliche Falschangabe verhindern oder aufdecken? Die Prüfung umfasst typischerweise Walkthroughs, Befragungen und die Überprüfung eines einzelnen Geschäftsvorfalls. Die operative Wirksamkeit beantwortet hingegen die Frage: Hat die Kontrolle im Prüfungszeitraum tatsächlich wie vorgesehen funktioniert? Hierfür wird eine Stichprobe von Geschäftsvorfällen über den gesamten Prüfungszeitraum hinweg mittels Befragung, Beobachtung, Dokumentenprüfung und Nachvollzug untersucht. Eine Kontrolle kann angemessen konzipiert, jedoch operativ unwirksam sein. Ein typisches Beispiel ist eine dokumentierte Managementprüfung, die zwar formal freigegeben wird, ohne dass tatsächlich eine inhaltliche Prüfung stattfindet. Je nach Ausmaß und Wahrscheinlichkeit einer daraus resultierenden wesentlichen Falschangabe führt dies in der Regel zur Einstufung als Kontrollmangel oder wesentlicher Kontrollmangel.

Wie interne Kontrollen die Prüfungsstrategie beeinflussen

Ein wesentlicher Grund, warum Prüfer der Bewertung interner Kontrollen eine so hohe Bedeutung beimessen, liegt darin, dass die Ergebnisse unmittelbar die Art, den Zeitpunkt und den Umfang der Prüfungshandlungen beeinflussen. Sind Kontrollen angemessen ausgestaltet und funktionieren sie wirksam, gilt das Kontrollrisiko als niedrig. In diesem Fall können sich Prüfer auf diese Kontrollen stützen, wodurch weniger umfangreiche Einzelfallprüfungen erforderlich sind und die Prüfung effizienter durchgeführt werden kann.

Sind Kontrollen hingegen schwach, uneinheitlich oder gar nicht vorhanden, wird das Kontrollrisiko als hoch eingestuft. In diesem Fall können sich Prüfer nicht auf die Kontrollen verlassen. Die Prüfung verlagert sich dann primär auf Einzelfallprüfungen statt auf Kontrollen – ein Ansatz, der umfangreichere Prüfungen von Transaktionen und Bilanzpositionen erfordert, um ausreichende Prüfungssicherheit zu erlangen. Zwar werden damit die erforderlichen Prüfungsnachweise gewonnen, aber Zeitaufwand, Ressourcenbedarf und Kosten steigen erheblich. Bei der Entscheidung, ob auf Kontrollen vertraut werden kann, sollten zudem die Änderungen des PCAOB-Standards AS 1105 berücksichtigt werden. Diese verlangen eine ausdrückliche Bewertung der Verlässlichkeit externer elektronischer Informationen, die in technologiegestützten Analysen verwendet werden.

Wie die Änderungen der Standards von 2024 bis 2026 die Kontrollbewertung verändern

Normungsgremien haben die maßgeblichen Frameworks für die Bewertung interner Kontrollen umfassend weiterentwickelt. Funktionen der Internen Revision sollten vor der nächsten externen Qualitätsbewertung eine Gap-Analyse hinsichtlich der folgenden Entwicklungen durchführen:

• IIA Global Internal Audit Standards (9. Januar 2024): Die neuen Standards strukturieren die berufliche Praxis anhand von 15 Leitprinzipien in fünf Domänen neu und ersetzen das bisherige International Professional Practices Framework (IPPF). Interne Revisionsfunktionen sollten ihre Revisionscharta, ihre Programme zur Qualitätssicherung und Qualitätsverbesserung (QAIP) sowie ihre methodischen Grundlagen entsprechend aktualisieren.
• Änderungen des PCAOB-Standards AS 1105 (gültig für Geschäftsjahre, die am oder nach dem 15. Dezember 2025 beginnen) verlangen eine ausdrückliche Bewertung der Verlässlichkeit externer elektronischer Informationen, die in technologiegestützten Analysen verwendet werden.
• Die COSO-Leitlinie Achieving Effective Internal Control Over Generative AI (Februar 2026) überträgt die fünf COSO-Komponenten und 17 COSO-Prinzipien auf spezifische Risiken generativer KI, darunter Halluzinationen, Datenabfluss, Modell-Drift und unbefugte Nutzung. Da nahezu 40 % der Leiter der Revision Investitionen in GenAI für die Interne Revisionsfunktion planen, müssen Prüfer dieselben Technologien wirksam steuern, die sie selbst einsetzen. Erwägenswert ist zudem die Prüfung von KI-Managementsystemen anhand von ISO/IEC 42001:2023.
• NIST Cybersecurity Framework 2.0 (Anfang 2024): Mit der neuen Funktion Govern ergänzt das Framework die bestehenden Bereiche Identify, Protect, Detect, Respond und Recover um eine explizite Governance-Perspektive. Darüber hinaus wurden die Zuordnungen zu den Kontrollen des NIST SP 800-53 ausgebaut. Unternehmen sollten daher ihre Testmatrizen für Cyber-Sicherheitskontrollen anhand der Zuordnung zwischen CSF und NIST SP 800-53 aktualisieren.
• SEC-Regeln zur Klimaberichterstattung (verabschiedet 2024): Große beschleunigte Emittenten müssen interne Kontrollen für Scope-1- und Scope-2-Emissionsdaten etablieren, die den Anforderungen an die interne Kontrolle der Finanzberichterstattung (ICFR) entsprechen. Darüber hinaus sind Kontrollen für die Offenlegung aktivierter Kosten und wetterbedingter Verluste erforderlich. Unternehmen mit Sitz oder Geschäftstätigkeit in der EU sind zudem von den Berichtsanforderungen der Corporate Sustainability Reporting Directive (CSRD) für das Geschäftsjahr 2024 betroffen.

Die Automatisierungslücke: Warum die SOX-Kosten steigen

Die 2025 von KPMG durchgeführte SOX-Umfrage zeigt eine bemerkenswerte Diskrepanz zwischen Budgetentwicklung und Effizienz. Der Anteil automatisierter Kontrollen sank von 21 % aller Kontrollen im Geschäftsjahr 2022 auf 17 % im Geschäftsjahr 2024, während die durchschnittlichen Kosten eines SOX-Programms um 44 % von 1,6 Mio. US-Dollar auf 2,3 Mio. US-Dollar stiegen. Gleichzeitig erhöhte sich der Gesamtaufwand gemessen an den Arbeitsstunden um 32 %. Der Hauptgrund dafür ist die Ausweitung des Prüfungsumfangs. Die Anzahl der in den Prüfungsumfang einbezogenen Systeme stieg durchschnittlich um 135 % von 17 auf 40 Systeme. Viele Unternehmen konnten jedoch nicht Schritt halten und ausreichend automatisierte Kontrollen für diese neuen Umgebungen entwickeln.

Die zentrale Erkenntnis daraus ist: Durch Cloud-Migrationen, ERP-Modernisierungen und den Einsatz von KI entsteht zunehmend manueller Kontrollaufwand, der Effizienzgewinne ausbremst. Laut KPMG können zudem 90 % der Unternehmen die Kosteneinsparungen durch die Nutzung von Prüfungsergebnissen durch externe Abschlussprüfer nicht quantifizieren. Damit bleiben potenzielle Kostenvorteile durch Automatisierung häufig ungenutzt. Um die steigenden Kosten aufgrund eines wachsenden Prüfungsumfangs auszugleichen, sollten Unternehmen anstreben, den Anteil automatisierter Kontrollen bis Ende des Geschäftsjahres 2026 auf mindestens 30 % zu erhöhen.

Interne Kontrollen mit Optro jederzeit im Griff

Ein wirksames System interner Kontrollen ist entscheidend für den langfristigen Unternehmenserfolg. Unternehmen, die gezielt in ihr internes Kontrollsystem investieren, steuern Risiken wirksamer, schützen ihre Vermögenswerte, stellen die Einhaltung regulatorischer Anforderungen sicher und stärken das Vertrauen ihrer Stakeholder. Ein Kontrollmanagementsystem unterstützt diesen Prozess zusätzlich, indem es Risiko- und Kontrollinformationen zentral zusammenführt, Workflows und Kontrolltests automatisiert sowie Zusammenarbeits- und dynamische Berichtsfunktionen bereitstellt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Interner Revision und internen Kontrollen?

Die Interne Revision ist eine Funktion, interne Kontrollen sind ein System. Interne Kontrollen umfassen die laufenden Richtlinien, Verfahren und Maßnahmen, die das Management entwickelt und täglich anwendet, um Risiken zu reduzieren. Die Interne Revision ist dagegen die unabhängige Prüfungsfunktion, die regelmäßig bewertet, ob das interne Kontrollsystem angemessen ausgestaltet ist und wirksam funktioniert. Anschließend berichtet sie ihre Erkenntnisse an die Unternehmensleitung und den Prüfungsausschuss.

Welche vier Arten interner Kontrollen gibt es?

Die vier Arten interner Kontrollen sind steuernde, präventive, aufdeckende und korrigierende Kontrollen. Steuernde Kontrollen fördern gewünschtes Verhalten durch Richtlinien, Schulungen, Standards und Verhaltenskodizes. Präventive Kontrollen verhindern Fehler, bevor sie auftreten. Beispiele sind Funktionstrennung, Zugriffsbeschränkungen und Genehmigungsgrenzen. Aufdeckende Kontrollen identifizieren Probleme nach ihrem Auftreten. Beispiele sind Kontenabstimmung, Inventurprüfungen und Ausnahmeberichte. Korrigierende Kontrollen beheben Feststellungen und stellen den vorgesehenen Zustand wieder her. Zu diesen Kontrollen zählen Datensicherungen, Disaster-Recovery-Maßnahmen, Patches sowie Korrekturen von Finanzberichten. Ein ausgereiftes Kontrollumfeld setzt alle vier Kontrollarten gemeinsam ein. Steuernde Kontrollen gelten als die schwächste eigenständige Kontrollform, während präventive Kontrollen die stärkste Kontrollwirkung entfalten.

Welche vier Bereiche decken die IT General Controls (ITGC) ab?

ITGC decken die folgenden vier Bereiche ab: Zugriff, Änderungsmanagement, Datensicherung und Wiederherstellung sowie Sicherheitsmanagement. Gemeinsam regeln sie die IT-Umgebung, auf die Finanz- und Geschäftsanwendungen angewiesen sind. Schwachstellen in einem der Bereiche können die Zuverlässigkeit automatisierter Anwendungskontrollen sowie die Verlässlichkeit der von diesen Systemen erzeugten elektronischen Nachweise beeinträchtigen. Die Änderungen des PCAOB-Standards AS 1105, die für Geschäftsjahre mit Beginn am oder nach dem 15. Dezember 2025 gelten, erhöhen die Anforderungen an die Prüfung von IT General Controls im Zusammenhang mit technologiegestützten Analysen.

Welche fünf Phasen umfasst die Prüfung interner Kontrollen?

Eine Prüfung interner Kontrollen durchläuft in der Regel fünf Phasen: (1) Planung und Festlegung des Prüfungsumfangs; (2) Risikobewertung und Verständnis der internen Kontrollen; (3) Bewertung der Kontrollausgestaltung; (4) Kontrolltests mittels Befragung, Beobachtung, Dokumentenprüfung und Kontrollnachvollziehung; (5) Berichterstattung und Mängelbehebung. Die Intensität der dritten und vierten Phase hängt vom Kontrollrisiko ab. Bei einem niedrigen Kontrollrisiko können sich Prüfer auf die Kontrollen stützen, wodurch der Umfang direkter Einzelfallprüfungen reduziert wird. Bei einem hohen Kontrollrisiko ist dies nicht möglich, sodass sich die Prüfung auf einen vollständig aussagebezogenen Prüfungsansatz verlagert.

Wie lassen sich Risiken generativer KI durch interne Kontrollen steuern?

Nutzen Sie die Februar 2026 veröffentlichte COSO-Leitlinie Achieving Effective Internal Control Over Generative AI. Sie überträgt die fünf COSO-Komponenten und 17 COSO-Prinzipien auf spezifische Risiken generativer KI, darunter Halluzinationen, Datenabfluss, Modell-Drift und unbefugte Nutzung. Führen Sie ein formelles Risikoregister für generative KI ein, etablieren Sie Governance-Mechanismen für KI-Modelle sowie Kontrollen zur Sicherung der Datenqualität und ziehen Sie eine Prüfung von KI-Managementsystemen nach ISO/IEC 42001:2023 in Betracht. Da nahezu 40 % der Leiter der Revision Investitionen in GenAI für die Interne Revisionsfunktion planen, müssen Prüfer dieselben Technologien wirksam steuern, die sie selbst einsetzen.

Warum ist der Anteil automatisierter Kontrollen trotz steigender SOX-Budgets gesunken?

Der Anteil automatisierter Kontrollen sank von 21 % aller Kontrollen im Geschäftsjahr 2022 auf 17 % im Geschäftsjahr 2024, während die durchschnittlichen Kosten eines SOX-Programms um 44 % von 1,6 Mio. US-Dollar auf 2,3 Mio. US-Dollar stiegen. Gleichzeitig erhöhte sich der Gesamtaufwand gemessen an den Arbeitsstunden um 32 %. Der Hauptgrund dafür ist die Ausweitung des Prüfungsumfangs. Die Anzahl der in den Prüfungsumfang einbezogenen Systeme stieg durchschnittlich um 135 % von 17 auf 40 Systeme. Viele Unternehmen konnten jedoch nicht Schritt halten und ausreichend automatisierte Kontrollen für diese neuen Umgebungen entwickeln. Laut KPMG können zudem 90 % der Unternehmen die Kosteneinsparungen durch die Nutzung von Prüfungsergebnissen durch externe Abschlussprüfer nicht quantifizieren. Damit bleiben potenzielle Kostenvorteile durch Automatisierung häufig ungenutzt.

Was ist der Unterschied zwischen der Angemessenheit der Ausgestaltung und der operativen Wirksamkeit einer Kontrolle?

Die Angemessenheit der Ausgestaltung beantwortet die Frage: Würde die Kontrolle, wenn sie wie beschrieben durchgeführt würde, eine wesentliche Falschangabe verhindern oder aufdecken? Die Prüfung umfasst typischerweise Walkthroughs, Befragungen und die Überprüfung eines einzelnen Geschäftsvorfalls. Die operative Wirksamkeit beantwortet hingegen die Frage: Hat die Kontrolle im Berichtszeitraum tatsächlich wie vorgesehen funktioniert? Hierfür wird eine Stichprobe von Geschäftsvorfällen mittels Befragung, Beobachtung, Dokumentenprüfung und Nachvollzug untersucht. Eine Kontrolle kann angemessen konzipiert, jedoch operativ unwirksam sein. Dies führt in der Regel zur Einstufung als Kontrollmangel oder wesentlicher Kontrollmangel.