Definition
System aus organisatorischen Regelungen, Prozessen und Kontrollen zur Sicherstellung ordnungsgemäßer Geschäftsabläufe, der Vermögenssicherung, der Einhaltung von Gesetzen und der Verlässlichkeit der Finanzberichterstattung. Regulatorische Pflicht für Kapitalmarktorientierte (§ 91 AktG, IDW PS 980), zunehmend auch für Mittelstand erwartet. Strukturelle Grundlage häufig COSO Internal Control oder ISO 37301. Praktisch verzahnt mit Compliance-MS, Risikomanagement und Audit.
In der Praxis
Beim internen Kontrollsystem begegne ich zwei Extremen: Konzernlogik mit hunderten Kontrollen, die niemand mehr versteht — oder der Satz „§ 91 AktG betrifft uns nicht, wir sind eine GmbH". Beides greift zu kurz. Richtig ist: § 91 Abs. 3 AktG gilt nur für börsennotierte Gesellschaften, aber § 43 GmbHG setzt für die Geschäftsführung faktisch denselben Sorgfaltsmaßstab — und Banken, Kunden und Versicherer erwarten ein funktionierendes IKS längst auch vom Mittelstand. Die typischen Schwächen: Das IKS wird auf Buchhaltung und Bilanzierung verkürzt, obwohl es alle ordnungsgemäßen Geschäftsabläufe betrifft. Kontrollen sind nicht dokumentiert — und was nicht dokumentiert ist, existiert im Audit nicht. Das Vier-Augen-Prinzip bleibt das einzige bekannte Kontrollprinzip, während Funktionstrennung, Berechtigungskonzepte und Plausibilitätsprüfungen fehlen. Und fast immer ist das IKS organisch gewachsen statt designed: Niemand hat je gefragt, welche Kontrolle welches Risiko abdeckt. COSO liefert dafür die Ordnungsstruktur, ISO 37301 die Managementsystem-Logik — und die Verzahnung mit Audit und Managementbewertung macht das System prüffest.
Verwandte Begriffe
Häufige Fragen zu IKS
Was ist der Unterschied zwischen IKS und Risikomanagementsystem?
Beide Systeme greifen ineinander, haben aber unterschiedliche Schwerpunkte. Das Risikomanagementsystem identifiziert, bewertet und steuert Risiken — es beantwortet, was dem Unternehmen droht und wie damit umgegangen wird. Das interne Kontrollsystem sichert die Prozesse selbst ab: Es stellt durch organisatorische Regelungen und Kontrollen sicher, dass Abläufe ordnungsgemäß funktionieren, Gesetze eingehalten werden und die Berichterstattung stimmt. Vereinfacht: Das RMS denkt die Risiken, das IKS kontrolliert die Abläufe — die Risikobewertung ist dabei zugleich eine Komponente des Kontrollsystems. In modernen Architekturen werden beide integriert geführt, etwa entlang von COSO Internal Control (2013) und ISO 31000. Wer nur eines von beiden hat, steuert entweder ohne Kontrolle oder kontrolliert ohne Risikoblick.
Gilt die IKS-Pflicht des Aktiengesetzes auch für unsere GmbH?
Unmittelbar nicht — und die Details lohnen die Unterscheidung. § 91 Abs. 2 AktG verpflichtet den Vorstand einer AG, ein Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen einzurichten. § 91 Abs. 3 AktG fordert darüber hinaus ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem — ausdrücklich nur für börsennotierte Gesellschaften. Für die GmbH greift stattdessen § 43 GmbHG: Die Geschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (Abs. 1) und haften bei Obliegenheitsverletzungen solidarisch für den entstandenen Schaden (Abs. 2). Als Maßstab übertragen bedeutet das: Auch die GmbH-Geschäftsführung muss Risiken früh erkennen und ihre Prozesse kontrollieren können — dieselbe Sorgfaltslogik, anderer Gesetzesanker. Hinzu kommt: Banken, Kunden und Versicherer erwarten ein funktionierendes IKS längst auch vom Mittelstand.
Wie bauen wir ein IKS auf, das im Mittelstand tragfähig ist?
Beginnen Sie mit einer Inventur: Die meisten Kontrollen existieren bereits — Freigaben, Vier-Augen-Prüfungen, Berechtigungskonzepte, Prüfplanungen —, sie sind nur nie als System gedacht worden. Dokumentieren Sie diese Kontrollen in einer schlanken Matrix: Prozess, Risiko, Kontrolle, Verantwortlicher, Nachweis. Ergänzen Sie fehlende Kontrollprinzipien jenseits des Vier-Augen-Prinzips: Funktionstrennung bei kritischen Vorgängen, Berechtigungsmanagement in der IT, Plausibilitätsprüfungen in der Berichterstattung. Orientieren Sie sich an den fünf Komponenten des COSO-Frameworks (COSO Internal Control, 2013), um Lücken systematisch zu finden. Verankern Sie die Überwachung der Kontrollen im internen Auditprogramm und in der Managementbewertung — was nicht überwacht wird, erodiert. Und denken Sie daran: Eine nicht dokumentierte Kontrolle existiert im Audit nicht.