Internes Kontrollsystem für kleine Betriebe: vier Augen, klare Grenzen

Warum ein kleiner Betrieb ein internes Kontrollsystem braucht

In vielen kleinen Betrieben liegt die gesamte Zahlungsabwicklung bei einer Person. Sie legt Lieferanten an, prüft Rechnungen, gibt Überweisungen frei und gleicht die Konten ab. Das ist effizient und funktioniert meist über Jahre. Es bedeutet aber auch, dass ein Fehler oder ein Missbrauch erst auffällt, wenn er groß geworden ist.

Der Leitfaden beantwortet eine Frage: Wie baut ein Betrieb mit wenigen Beschäftigten ein internes Kontrollsystem auf, das wirkt, ohne den Alltag zu lähmen? Dafür klären wir zuerst den Begriff und das COSO-Rahmenwerk als Denkmodell, betrachten dann die Befunde zu kleinen Unternehmen mit zwei Lesarten und gehen am Ende Schritt für Schritt zur eigenen Kontroll-Landkarte.

Was ein internes Kontrollsystem ist und was es nicht ist

Ein internes Kontrollsystem (IKS) umfasst alle Regeln, Abläufe und Prüfschritte, mit denen ein Betrieb sicherstellt, dass sein Vermögen geschützt ist, seine Zahlen stimmen und Gesetze sowie eigene Vorgaben eingehalten werden. Es ist kein Dokument, sondern eine Arbeitsweise. Eine Freigabegrenze, ein monatlicher Kontenabgleich und ein Passwort, das nicht alle kennen, sind bereits Teile davon.

Für kleine Betriebe gibt es keine allgemeine Pflicht, ein formales IKS zu beschreiben, wie sie das Aktiengesetz börsennotierten Gesellschaften auferlegt. Die Grundsätze ordnungsmäßiger Buchführung in elektronischer Form, kurz GoBD, verlangen aber Kontrollen für steuerlich relevante Abläufe, und die Geschäftsführung einer GmbH muss mit der Sorgfalt eines ordentlichen Geschäftsmanns handeln. Ein schlankes IKS ist also mehr als eine gute Idee.

Wichtig ist auch, was ein IKS nicht leistet. Es senkt Risiken, beseitigt sie aber nicht. Wer bewusst mit anderen zusammenarbeitet, um Kontrollen zu umgehen, oder wer an der Spitze Regeln außer Kraft setzt, wird von gewöhnlichen Kontrollen schwer erfasst. Nach dem Betrugsbericht 2024 der ACFE war in 32 Prozent der Fälle fehlende interne Kontrolle die wichtigste Schwachstelle, in 19 Prozent die Umgehung bestehender Kontrollen.

Das Denkmodell: die fünf Bausteine nach COSO

Das bekannteste Rahmenwerk für interne Kontrollen stammt vom Committee of Sponsoring Organizations of the Treadway Commission, kurz COSO, einem Zusammenschluss amerikanischer Fachverbände. Es beschreibt ein IKS als Zusammenspiel von fünf Bausteinen. Fehlt einer, tragen die anderen schlechter.

Eine Analogie macht die Logik greifbar. Ein Haus wird nicht durch ein Schloss allein sicher. Es braucht Bewohner, die abschließen, eine Vorstellung davon, wo eingebrochen werden könnte, Schlösser an den richtigen Türen, Nachbarn, die Bescheid sagen, und jemanden, der ab und zu prüft, ob die Fenster wirklich zu sind. Die Kontrollaktivitäten sind das Schloss. Ohne die anderen vier Bausteine bleibt es oft offen.

Eine Kontrolle, die der Chef selbst umgeht, ist keine Kontrolle, sondern eine Empfehlung für die anderen.

Warum Aufgabentrennung in kleinen Betrieben so schwerfällt

Der Kern der Kontrollaktivitäten ist die Aufgabentrennung: Ein Vorgang wird so auf mehrere Personen verteilt, dass niemand ihn allein von Anfang bis Ende steuern kann. Bei Einkäufen heißt das, dass Bestellung, Warenannahme und Zahlungsfreigabe in verschiedenen Händen liegen, wie Einkauf und Freigaben beschreibt.

Gramling, Hermanson, Hermanson und Ye (2010) haben untersucht, wie verbreitet das Problem ist. Sie werteten die Berichte börsennotierter US-Unternehmen zum Geschäftsjahr 2008 aus, in denen die Geschäftsführung wesentliche Schwächen der internen Kontrolle offenlegen muss. Rund 358 kleine Unternehmen meldeten Schwächen bei der Aufgabentrennung, bei den größeren waren es weniger als 30. Aus einer Stichprobe von 116 kleinen Firmen werteten die Autoren die Gründe aus.

Betroffen waren vor allem die Auszahlungen: Zahlungsausgänge, Kasse, Rechnungsfreigabe, Einkauf und Monatsabschluss. Die Unternehmen der Stichprobe waren sehr klein, im Mittel mit einem Börsenwert unter fünf Millionen Dollar. Die Studie stammt aus den USA und betrachtet börsennotierte Firmen, die Muster lassen sich aber gut auf einen deutschen Betrieb mit zehn bis fünfzig Beschäftigten übertragen.

Zwei Lesarten: mehr Leute oder bessere ausgleichende Kontrollen?

Gramling und Koautoren (2010) zeigen, dass Fachleute überwiegend den zweiten Weg empfehlen. Die COSO-Leitlinien für kleinere Unternehmen nennen als Ausgleich die Durchsicht von Buchungslisten durch die Führung, Stichproben mit Belegen, beaufsichtigte Inventuren und eigene Kontenabgleiche. Voraussetzung ist, dass der Inhaber genug von Buchhaltung versteht, um zu erkennen, was er sieht. Als zweites Mittel nennen die Autoren den Blick von außen, etwa indem Kontoauszüge direkt an die Steuerberatung gehen.

Wie umstritten selbst die Aufgabentrennung ist, zeigt eine Debatte unter Forschern. Ein mathematisches Modell von Barra, Savage und Im aus dem Jahr 2020 kam zu dem Schluss, dass Aufgabentrennung Betrug sogar fördern könne. Knisley, Powell und Stern (2022) halten die Annahmen des Modells für unrealistisch: Betrug gelinge nur einer Gruppe, die Freigabe, Buchung und Verwahrung zugleich kontrolliert, und jede Trennung zwinge den Täter, weitere Mitwisser zu gewinnen. Allerdings räumen auch sie ein, dass Trennung das Risiko erhöhen kann, wenn sie viele neue Beschäftigte erfordert.

Ich halte deshalb eine Mischung für richtig: Trenne Aufgaben dort, wo es ohne neue Stellen geht, und gleiche den Rest mit wenigen, regelmäßigen Kontrollen durch dich selbst und einen Dritten aus. Das ACFE-Material, das Gramling und Koautoren zitieren, stützt einen weiteren Baustein: Organisationen mit Aufgabenwechsel oder Pflichturlaub hatten in der Auswertung von 2008 um mehr als 60 Prozent geringere mittlere Schäden.

Die Kontroll-Landkarte: ein IKS in fünf Schritten

Aus den fünf Bausteinen und den Befunden leite ich ein Vorgehen ab, das ich die Kontroll-Landkarte nenne. Sie passt auf eine Seite und entsteht an einem Nachmittag.

1. Die teuersten Vorgänge benennen

   Schreibe die fünf Vorgänge auf, bei denen ein Fehler oder Missbrauch am meisten kosten würde. Fast immer gehören Zahlungen, Änderungen von Bankverbindungen, Preisnachlässe, Lager und Zugriff auf Kundendaten dazu.

2. Wer macht was?

   Trage für jeden Vorgang ein, wer ihn anstößt, wer ihn freigibt, wer ihn bucht und wer das Ergebnis prüft. Wo ein Name viermal steht, liegt die Lücke.

3. Trennen, wo es geht

   Verteile die Rollen dort neu, wo es ohne neue Stellen möglich ist. Häufig reicht es, dass eine zweite Person Überweisungen im Online-Banking freigibt.

4. Ausgleichen, wo es nicht geht

   Lege für die übrigen Lücken eine ausgleichende Kontrolle fest: monatliche Durchsicht der Zahlungsausgänge durch dich, Abgleich der Lieferantenstammdaten, Pflichturlaub mit Vertretung.

5. Wirkung prüfen

   Prüfe einmal im Quartal mit einer kleinen Stichprobe, ob die Regeln eingehalten werden, und lass einmal im Jahr einen Dritten auf einen Bereich schauen.

Wie die Landkarte in ein Gesamtbild aus Selbstkontrolle, zweiter Person und Blick von außen passt, beschreibt Corporate Governance für kleine Betriebe mit dem Drei-Linien-Modell. Welche Muster beim Betrug durch Beschäftigte typisch sind, vertieft Betrug im eigenen Betrieb vorbeugen.

Die wichtigsten Kontrollen, nach Aufwand sortiert

• Zahlungen ab einem festgelegten Betrag nur mit Freigabe durch eine zweite Person.
• Änderungen an Bankverbindungen von Lieferanten nur nach Rückruf unter einer bekannten Nummer.
• Monatlicher Abgleich der Bankkonten mit der Buchhaltung durch jemanden, der nicht bucht.
• Eigener Lesezugang des Inhabers zu allen Geschäftskonten.
• Monatliche Durchsicht der Zahlungsausgänge und Stammdatenänderungen durch den Inhaber.
• Jährliche Inventur mit einer Person, die das Lager nicht führt.
• Pflichturlaub von mindestens einer Woche am Stück mit echter Vertretung.
• Jährlicher Prüfauftrag an die Steuerberatung für einen ausgewählten Bereich.

Gerade der Rückruf bei geänderten Bankverbindungen schützt vor einer verbreiteten Masche, bei der Betrüger sich per E-Mail als Lieferant ausgeben. Wie sich Betriebe gegen solche Angriffe schützen, beschreibt Cyberangriffe auf kleine Betriebe. Die Regel gilt auch für den Inhaber selbst: Kontrollen, die für alle gelten, werden nicht als Misstrauen verstanden.

Was über den Einzelfall hinaus folgt, und wo die Grenzen liegen

Ein IKS ist in großen Unternehmen eine Pflicht und eine eigene Abteilung. Im kleinen Betrieb ist es eine Haltung, die sich in wenigen Regeln zeigt. Der wichtigste Baustein ist das Kontrollumfeld, und das prägt der Inhaber: Hält er sich an die Regeln, halten sich auch die anderen daran. Große Bilanzskandale zeigen, dass Kontrollen am häufigsten an der Spitze scheitern, wie Muster großer Bilanzskandale beschreibt.

Die Befunde haben Grenzen. Die Auswertung von Gramling und Koautoren betrifft börsennotierte US-Firmen des Jahres 2008, die ACFE-Zahlen stammen aus untersuchten Fällen, nicht aus einer Zufallsstichprobe. Für deutsche Kleinbetriebe fehlen vergleichbare Daten. Die Richtung ist trotzdem eindeutig und deckt sich mit dem, was COSO und Prüfungspraxis empfehlen.

Fazit: Kontrolle im Kleinen heißt Lücken kennen und ausgleichen

Zur Leitfrage: Ein Betrieb mit wenigen Beschäftigten baut ein wirksames IKS, indem er die fünf teuersten Vorgänge kennt, Aufgaben trennt, wo es ohne neue Stellen geht, und die verbleibenden Lücken mit regelmäßigen Kontrollen durch den Inhaber und einen Dritten ausgleicht. Das COSO-Rahmenwerk liefert dafür die Gliederung, die Kontroll-Landkarte die Umsetzung auf einer Seite.

Mehr als einen Nachmittag für die Landkarte und eine Stunde im Monat für die Durchsicht braucht es dafür nicht. Entscheidend ist nicht die Zahl der Regeln, sondern dass sie für alle gelten und dass jemand hinsieht.