IKS Design & Implementierung

Ein internes Kontrollsystem umfasst alle Regelungen, Verfahren und Kontrollen, die sicherstellen, dass Geschäftsprozesse ordnungsgemäß, wirksam und wirtschaftlich ablaufen. Für Banken ist ein IKS nach MaRisk AT 4.3 verpflichtend und muss Aufbau- und Ablauforganisation, Risikosteuerungs- und -controllingprozesse sowie eine interne Revision umfassen. Das COSO-Framework und IDW PS

981 bieten anerkannte Referenzrahmen für die Ausgestaltung. Ein wirksames IKS schützt vor operationellen Risiken, Compliance-Verstößen und Vermögenssch�den.

Die MaRisk (AT 4.3) verlangt ein angemessenes und wirksames IKS mit klarer Aufbau- und Ablauforganisation. Die BaFin prüft regelmäßig Design und Wirksamkeit im Rahmen ihrer Marktuntersuchungen. Für börsennotierte Unternehmen gelten zusätzlich SOX Section

404 Anforderungen an Internal Controls over Financial Reporting (ICFR). Der IDW PS

981 bietet einen freiwilligen deutschen Prüfungsstandard mit prinzipienbasiertem Ansatz. DORA ergänzt ab

2025 spezifische IKT-Kontrollanforderungen. Die Three-Lines-of-Defence-Struktur ist dabei der organisatorische Rahmen.

Die Risk-Control-Matrix (RCM) ist das zentrale Steuerungsinstrument eines IKS. Sie entsteht in vier Schritten: Erstens die systematische Identifikation prozessbezogener Risiken in allen Geschäftsbereichen. Zweitens die Bewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe. Drittens die Ableitung von Kontrollzielen und -aktivitäten mit klarer Zuordnung zu Risiken. Viertens die Definition von Kontrollverantwortlichkeiten, Frequenzen und Nachweisen. Die RCM sollte präventive, detektive und korrektive Kontrollen in angemessener Mischung enthalten.

Die Implementierungsdauer hängt von Institutsgröße und Komplexität ab. Für mittelgroße Banken beträgt die typische Projektlaufzeit sechs bis zwölf Monate — von der Gap-Analyse über Framework-Design, Risk-Control-Matrix-Erstellung und Rollout bis zur Wirksamkeitsprüfung. Der Prozess erfolgt wellenweise: zunächst werden Hochrisikobereiche wie Kreditvergabe und Treasury abgedeckt, dann schrittweise weitere Geschäftsbereiche. ADVISORI begleitet alle Phasen und stellt durch Train-the-Trainer-Konzepte den nachhaltigen Betrieb sicher.

Bei der Designprüfung (Design Assessment) wird geprüft, ob die erforderlichen Kontrollen konzeptionell vorhanden und angemessen gestaltet sind — also ob die richtigen Kontrollen an den richtigen Stellen definiert wurden. Die Wirksamkeitsprüfung (Operating Effectiveness Testing) geht einen Schritt weiter: Sie prüft, ob die implementierten Kontrollen über den gesamten Prüfungszeitraum tatsächlich wie vorgesehen funktioniert haben. Beide Prüfungen sind für ein MaRisk-konformes IKS notwendig.

Die Automatisierung erfolgt stufenweise: IT-gestützte Kontrollen nutzen Systemvalidierungen und Berechtigungskonzepte. Continuous Control Monitoring ermöglicht Echtzeit-Überwachung durch automatische Regelprüfungen. Process Mining deckt Prozessabweichungen und Kontrollschwächen automatisch auf. RPA automatisiert repetitive Kontrollhandlungen wie Datenabgleiche. GRC-Software integriert Kontrolldokumentation, Testung und Berichterstattung in einer Plattform. Der Automatisierungsgrad sollte risikobasiert festgelegt werden — nicht jede Kontrolle muss automatisiert werden.

Typische Projektbudgets für mittelgroße Institute liegen zwischen 150.000 und 400.000 Euro für die vollständige IKS-Einrichtung inklusive Framework, Risk-Control-Matrix, Schulung und initialer Wirksamkeitsprüfung. Faktoren sind Anzahl der Geschäftsprozesse, vorhandener Reifegrad und Automatisierungsanforderungen. ADVISORI bietet modulare Leistungspakete: vom IKS-Quick-Check und Gap-Analyse über Framework-Design und Implementierungsbegleitung bis zur laufenden Wirksamkeitsprüfung und GRC-Toolauswahl.