Digitale IKS-Prüfung in Kommunen: Risiken, Kontrollen und Prozesse analytisch beurteilen

Leitgedanke: Eine Regelung oder technische Funktion belegt noch keine wirksame Kontrolle. Prüfungsrelevant ist die nachvollziehbare Kette aus Risiko, Kontrollziel, tatsächlicher Durchführung, digitaler Evidenz und begründeter Schlussfolgerung.

IKS-PRÜFUNG WIRD ZUM DIGITALEN PRÜFUNGSFELD

Interne Kontrollsysteme gehören seit Langem zum Gegenstand kommunaler Rechnungsprüfung. In Nordrhein-Westfalen hat der Gesetzgeber den Auftrag jedoch ausdrücklich geschärft: Nach § 104 Abs. 1 Nr. 6 GO NRW ist die Wirksamkeit interner Kontrollen im Rahmen des IKS zu prüfen. Damit reicht es nicht, Dienstanweisungen, Freigaberegeln oder technische Funktionen lediglich festzustellen. Entscheidend ist, ob wesentliche Kontrollen angemessen ausgestaltet, tatsächlich eingerichtet und im maßgeblichen Zeitraum verlässlich durchgeführt wurden.

Diese Anforderung verändert die Prüfungsmethodik. Klassische Akten- und Belegprüfungen bleiben wichtig, werden aber durch eine stärker prozess- und systemorientierte Sicht ergänzt. Prüfungsobjekt ist nicht nur der einzelne Geschäftsvorfall. Betrachtet werden auch Prozessschritte, Rollen, Berechtigungen, Schnittstellen, automatisierte Regeln und die Frage, wie Kontrollnachweise entstehen. Das IKS wird damit zu einem eigenständigen, risikoorientiert zu planenden Prüfungsfeld in einer zunehmend digitalen Verwaltungspraxis.

VON DER REGELUNGSPRÜFUNG ZUR WIRKSAMKEITSAUSSAGE

Eine zentrale Unterscheidung betrifft Design, Implementierung und operative Wirksamkeit. Eine Kontrolle kann auf dem Papier geeignet erscheinen, ohne technisch oder organisatorisch eingerichtet zu sein. Sie kann eingerichtet sein, aber nur unregelmäßig durchgeführt werden. Und selbst eine dokumentierte Durchführung beweist noch nicht zwingend, dass die Kontrolle das betreffende Risiko tatsächlich begrenzt.

Prüfungsumfang und Aussageform müssen deshalb zusammenpassen. Ein Walkthrough kann Prozessverständnis und Implementierung belegen. Eine Zeitraumsaussage zur operativen Wirksamkeit verlangt dagegen eine definierte Kontrollpopulation, geeignete Nachweise und regelmäßig eine risikoorientierte oder statistisch begründete Auswahl. Wer nur einzelne Schlüsselkontrollen prüft, kann daraus kein pauschales Urteil über das gesamte IKS der Kommune ableiten.

Für die praktische Planung empfiehlt sich ein kommunales Prüfungsuniversum. Darin werden wesentliche Prozesse, Organisationseinheiten, IT-Verfahren und Querschnittsthemen nach Risiko, finanzieller Bedeutung, Rechtsrelevanz, Veränderungsdynamik und früheren Feststellungen priorisiert. So entsteht ein mehrjähriger Prüfungsplan, der knappe Ressourcen auf die wirklich kritischen Prozesse lenkt.

DIE RISIKO-KONTROLLMATRIX ALS FACHLICHES BINDEGLIED

Die Risiko-Kontrollmatrix verbindet Prozessverständnis, Risikobeurteilung und Kontrolltest. Für jeden relevanten Prozessschritt werden Risiko, Ursache, Kontrollziel, konkrete Kontrolle, Verantwortlichkeit, Frequenz, Nachweis und vorgesehene Prüfungshandlung dokumentiert. Wichtig ist die Präzision: Formulierungen wie „Vier-Augen-Prinzip vorhanden“ genügen nicht. Eine prüffähige Kontrollbeschreibung muss erkennen lassen, wer was, wann, anhand welcher Kriterien und mit welchem dokumentierten Ergebnis prüft.

Ein typisches Beispiel ist die Änderung einer Kreditorenbankverbindung. Das Risiko liegt in manipulierten Stammdaten und fehlgeleiteten Zahlungen. Eine geeignete Schlüsselkontrolle könnte eine vom Ändernden unabhängige Verifikation über bekannte Kontaktdaten, eine protokollierte Freigabe und eine anschließende Zahlungs- oder Stammdatenüberwachung verbinden. Erst diese Konkretisierung erlaubt es, Kontrollpopulation, Ausnahmen und Nachweise systematisch zu testen.

Pflichtfeld | Inhalt

Prozess/Teilprozess | Eindeutige Zuordnung zum Verwaltungsablauf.

Prozessziel | Erwartetes rechtmäßiges, wirtschaftliches und verlässliches Ergebnis.

Risikoereignis | Konkrete Zielabweichung; nicht nur ein abstraktes Themenwort.

Ursache/Folge | Warum kann das Ereignis eintreten und welche Wirkung entsteht?

Bruttorisiko | Bewertung vor Berücksichtigung vorhandener Kontrollen.

Kontrollziel | Was muss verhindert oder rechtzeitig erkannt werden?

Kontrollbeschreibung | Wer prüft was, womit, wann und wie?

Kontrollart | Präventiv/detektiv; manuell/automatisch; Schlüsselkontrolle.

Frequenz/Auslöser | Je Vorgang, täglich, monatlich oder ereignisbezogen.

Verantwortung | Ausführende und überwachende Rolle; Vertretung.

Nachweis | Systemlog, Checkliste, Freigabe, Bericht oder dokumentierte Ausnahme.

Restrisiko | Bewertung nach wirksamer Kontrolle.

Wirksamkeitstest | Prüfhandlung, Population, Stichprobe, Toleranz und Ergebnis.

Maßnahme | Lücke, Verantwortlichkeit, Frist und Nachprüfung.

Übersicht 1: Aufbau einer prüffähigen Risiko-Kontrollmatrix

Die Matrix ist zugleich der Anker für digitale Analysen. Aus der Risikobeschreibung lassen sich Datenfelder, Regeln und erwartete Prozessmuster ableiten. Auffällige Bankverbindungsänderungen kurz vor Zahlungen, fehlende Freigaben, ungewöhnliche Rollenfolgen oder Kontierungsabweichungen können dadurch gezielt in der Grundgesamtheit gesucht werden.

DIGITALE EVIDENZ ERWEITERT DIE REICHWEITE

In digitalisierten Verwaltungsprozessen liegen Kontrollnachweise zunehmend in Fachverfahren, Workflows und Protokolldaten. Rollen- und Berechtigungstabellen, Änderungslogs, Zeitstempel, Freigabestatus, Schnittstellenprotokolle oder Monitoringberichte können zeigen, ob Kontrollen tatsächlich ausgeführt wurden. Die Prüfung muss deshalb organisatorische und technische Kontrollen gemeinsam betrachten.

Datenanalysen ermöglichen dabei eine populationsbezogene Sicht. Statt nur weniger Belege können sämtliche relevanten Vorgänge auf definierte Merkmale untersucht werden – etwa unzulässige Gegenkontenkombinationen, Zahlungen ohne erwartete Freigabe, Änderungen kritischer Stammdaten, manuelle Abschlussbuchungen oder ungewöhnliche Prozesszeiten. Die größere Reichweite erhöht jedoch nicht automatisch den Beweiswert. Vollständigkeit, Datenherkunft, Transformation und fachliche Bedeutung der Felder müssen nachvollziehbar dokumentiert und zur Grundgesamtheit abgestimmt werden.

PROCESS MINING MACHT TATSÄCHLICHE ABLÄUFE SICHTBAR

Process Mining rekonstruiert aus Ereignisdaten die im System protokollierten Prozessabläufe. Für die Rechnungsprüfung sind drei Analysearten besonders relevant: Process Discovery zeigt tatsächlich durchlaufene Varianten; Conformance Checking vergleicht Ist- und Sollprozess; Enhancement ergänzt die Prozesssicht um Durchlaufzeiten, Engpässe, Beträge, Organisationseinheiten oder weitere Risikomerkmale.

Der prüferische Nutzen entsteht nicht durch eine möglichst komplexe Prozessgrafik, sondern durch eine konkrete Analysefrage. Beispielsweise kann untersucht werden, ob Rechnungen ohne vorgelagerte Bestellung verarbeitet, Freigabeschritte umgangen, Wertgrenzen durch Auftragsteilungen unterschritten oder Bankverbindungen unmittelbar vor Zahlungen geändert wurden. Seltene, aber risikoreiche Varianten werden damit sichtbar, obwohl sie in klassischen Stichproben leicht unentdeckt bleiben.

Voraussetzung ist ein belastbarer Eventlog-Datenvertrag. Mindestens benötigt werden eine eindeutige Fall-ID, fachlich definierte Aktivitäten und verlässliche Zeitstempel. Hinzu kommen Beträge, Benutzerrollen, Organisationseinheiten, Status oder Kontrollmerkmale. Extraktion, Mapping, Filter und Modellierungsentscheidungen müssen reproduzierbar sein. Eine fehlende Aktivität im Eventlog beweist zudem nicht automatisch, dass die fachliche Handlung unterblieben ist; Medienbrüche und nicht integrierte Systeme bleiben mögliche Blindstellen.

Die Erkenntnisse aus Process-Mining-Analysen und der Erstellung von Risiko-Kontrollmatrizen werden im Rahmen der IKS-Prüfungen wie folgt zusammengeführt:

Risiko/Kontrollziel | Aus Ereignisdaten prüfbare Regel | Erforderlicher Nachtest

Zahlung ohne Freigabe | Freigabe muss vor Zahllauf liegen; definierte Wertgrenzen und Rollenfolge einhalten | Berechtigung, Freigabebeleg und Systemkonfiguration prüfen

Umgehung Wareneingang | Rechnung/Zahlung ohne protokollierten Wareneingang oder zulässigen Ausnahmegrund | klären, ob Dienstleistung, Teilrechnung oder fehlende Protokollierung vorliegt

Selbstfreigabe/SoD | gleiche Person oder unvereinbare Rolle führt kritische Aktivitäten aus | Rollenmodell, Vertretung, Notfallrechte und tatsächliche Nutzerzuordnung prüfen

Nachträgliche Änderung | Stammdaten- oder IBAN-Änderung kurz vor Rechnung/Freigabe/Zahlung | Änderungslog, Rückrufnachweis, Genehmigung und Zahlungsempfänger abgleichen

Frist-/Leistungsrisiko | ungewöhnliche Liegezeiten, Schleifen oder wiederholte Rückgaben | Ursache, Fallkomplexität, Organisationsengpass und Folgen bewerten

Kontrollumgehung | seltene Variante überspringt Schlüsselkontrolle oder kehrt Reihenfolge um | Zulässigkeit der Variante und kompensierende Kontrolle anhand Einzelfall prüfen

Übersicht 2: Verbindung von Risiko-Kontrollmatrizen und Process Mining

MEHR PRÜFEN – ABER NICHT UNKRITISCH AUTOMATISIEREN

Digitale Analysen verändern die Beweiskette, ersetzen aber nicht das prüferische Urteil. Ein Treffer ist zunächst eine Auffälligkeit. Erst die Einzelfallklärung mit Belegen, Systemkonfigurationen, Interviews oder Nachtests zeigt, ob eine zulässige Variante, ein Datenproblem, eine Kontrollabweichung oder ein systemischer Mangel vorliegt. Auch Datenschutz, Zweckbindung, Datenminimierung, Berechtigungen und gegebenenfalls personalvertretungsrechtliche Anforderungen sind frühzeitig einzubeziehen.

Ein belastbarer digitaler Prüfungsansatz folgt daher einer klaren Kette: Prüfungsziel und Prozessgrenze festlegen, Sollprozess und Schlüsselkontrollen aufnehmen, Datenquellen und Population abstimmen, Eventlog beziehungsweise Analysedaten reproduzierbar erzeugen, Abweichungen untersuchen, Treffer fachlich validieren und Ursache, Reichweite sowie Kontrollwirkung beurteilen. Der elektronische Evidenzpfad muss von der Ausgangsdatei bis zur Feststellung nachvollziehbar bleiben.

PRAGMATISCH BEGINNEN UND SYSTEMATISCH AUSBAUEN

Kommunale Rechnungsprüfungen müssen nicht sofort ein flächendeckendes IKS- und Process-Mining-System aufbauen. Ein sinnvoller Einstieg sind drei bis fünf kritische Prozesse, beispielsweise Kreditorenrechnung und Auszahlung, Zahlungsverkehr, Personalabrechnung, Vergabe oder ausgewählte Fachverfahren. Für diese Prozesse werden Risiko-Kontrollmatrizen erstellt, wenige Schlüsselkontrollen vertieft getestet und wiederholbare Datenanalysen entwickelt.

Entscheidend ist, dass Methoden und Ergebnisse in prüffähigen Arbeitspapieren gesichert werden: Prüfungsziel, Sollmodell, Systeme und Datenquellen, Population, Transformationsschritte, Parameter und Filter, Trefferlisten, Einzelfallnachweise sowie die Beurteilung von Ursache, Kontrollwirkung und Restrisiko. Auf dieser Grundlage kann aus einzelnen Prüfungen schrittweise eine kommunale IKS-Prüfbibliothek entstehen.

Die Richtung ist klar: Kommunale IKS-Prüfung entwickelt sich von der vorwiegend regelungs- und aktenorientierten Betrachtung zu einer integrierten System-, Prozess- und Datenprüfung. Risiko-Kontrollmatrizen schaffen die fachliche Struktur; Datenanalysen und Process Mining erweitern Reichweite und Präzision. Belastbare Urteile entstehen aber weiterhin erst aus transparenter Methodik, vollständigen Daten und fachlicher Validierung. Der Leitgedanke bleibt: Evidenz vor Meinung.

IKS-PRÜFUNGEN SYSTEMATISCH DIGITALISIEREN

Sie möchten Ihre IKS-Prüfungen prozessorientiert aufbauen, Risiko-Kontrollmatrizen entwickeln oder digitale Prüfungsansätze mit Datenanalysen und Process Mining pilotieren? CHE Kommunalberatung unterstützt von der methodischen Konzeption bis zum prüffähigen Evidenzpfad. Kontakt aufnehmen

Fachliche Grundlagen: § 104 Abs. 1 Nr. 6 GO NRW; IDR-L 113-1/113-2; BSI-Standards 200-1 bis 200-4; COSO; ISO 31000; van der Aalst/Carmona, Process Mining Handbook.