Vorgangssteuerung und Kontrollrahmen nach SREP

Claaßen, Michael, Bereichsleiter Interne Revision, Volksbank Marl-Recklinghausen eG

Grundsätzlich kann eine Prüfung einen Sachverhalt, z. B. die Erfüllung einer aufsichtsrechtlichen Obliegenheit auf Basis der Beurteilung einzelner Anforderungen oder einen Kundenprozess, der diese aufsichtsrechtlichen Obliegenheiten beinhaltet, betreffen. Die Beurteilung des Kontrollkonzeptes stellt innerhalb einer Prozessprüfung eine wesentliche Prüfungsaktivität dar. Dabei wird das generelle System der Kontrollen als risikomanagementgestaltende Aktivität für den definierten Prozess (im Rahmen der Aufbauprüfung) als auch die gelebte Kontrolle (z. B. Aufgabenträger, Verzweigen, Entscheidungen im Prozess) bei der Beurteilung der Prozesskette geprüft. Zusätzlich werden die Schnittstellen innerhalb des Prozesses zu weiteren Prozessen, z. B. im Rahmen des 4-Augen-Prinzipes (Trennung Markt und Marktfolge) sowie zu weiteren Steuerungsprozessen (z. B. Notfallmanagement) betrachtet. Durch die Einbindung der Schnittstellen wird die Prüfungstiefe erhöht.

Grundlagen

Die Beurteilung der Wirksamkeit eines Kontrollrahmens stellt eine wesentliche Prüfungsaufgabe dar. Innerhalb der SRP-Leitlinie 2018 werden unter dem Punkt 5.6.1 die wesentlichen Kriterien zum Kontrollrahmen dargestellt. Hierzu gehören u. a. nachfolgende Kriterien:

• Definierte interne Kontrollrichtlinien mit einem Kontrollrahmen
• Klarer Entscheidungsfindungsprozess für die Kontrollen mit aufbauorganisatorischer Zuständigkeit für die Umsetzung der Kontrollen
• Beachtung von möglichen Interessenskonflikten in Bezug auf miteinander in Konflikt stehende Tätigkeiten.

Kontrollrahmen und Prozesse

Innerhalb der genossenschaftlichen Bankengruppe werden derzeit die Banken, die in der Vergangenheit das Kernbankverfahren bank21 genutzt haben, auf das neue Kernbankverfahren agree21 migriert. Das neue Kernbankverfahren führt u. a. zur Implementierung neuer Kundenprozesse.

SEMINARTIPPS

IKS-Prüfungen durch die Aufsicht, 06.11.2019, Hamburg.

IKS Kompakt: Aufbau & Prüfung von Schlüsselkontrollen, 20.11.2019, Berlin.

Zwingender Einbezug der SREP-Anforderungen in die Revisionsarbeit, 21.11.2019, Berlin.

Eine der wesentlichen Stärken des neuen Systems stellt der softwarebasierte Workflow von Prozessen unter agree21 dar. Für die einzelnen Geschäftsaktivitäten können Vorgangsvorlagen genutzt werden. Es können Vorgänge selber gebaut oder Mustervorlagen genutzt werden. Diese sind Prüfungsgegenstand der Internen Revision. Entsprechendes Know-how zum Prozessmanagement und zur „agree21 Vorgangssteuerung“ ist in der Internen Revision zwingend notwendig. Die Vorgänge können dabei einfache sowie komplexe Prozesse betreffen. Diese können diverse Verzweigungen und verschiedene Aufgabenträger und somit Verantwortungsbereiche umfassen. Dadurch können im Rahmen der Prüfung auch Schnittstellen mit geprüft und eine höhere Prüfungsdichte erzielt werden, die ansonsten bei einer funktionalen Prüfung erst bei einer anderen Prüfung Gegenstand wären.

Die Prüfung der implementierten Vorgänge stellt somit eine wesentliche Aufgabe der Internen Revision dar. Die im Vorgang implementierten Kontrollstrukturen sind dabei zu berücksichtigen.

Unter Berücksichtigung der unter 5.6.1 in der SREP-Leitlinie dargestellten Obliegenheiten sind dies in Bezug auf einen Vorgang u. a. nachstehende Sachverhalte.

• Aufsichtsrechtliche Funktionstrennungen können implementiert und miteinander nicht vereinbare Tätigkeiten getrennt werden.
• Der Vorgang kann automatische und manuelle Kontrollen vorgeben.
• Alle im Prozess betroffenen Bereiche werden eingebunden.
• Interessenskonflikte können durch Vorgaben im Workflow vermieden werden.
• Über Schnittstellen können weitere notwendige Kontrollen angestoßen werden.

Fazit

Mit einer softwarebasierten Vorgangsssteuerung kann ein angemessener Kontrollrahmen im Rahmen einer Vielzahl von Geschäftsprozessen vorgegeben werden. Die Interne Revison muss entsprechendes Know-how erwerben und kann dadurch den Kontrollrahmen und das Risikomanagement des Prüffeldes umfassend prüfen.

PRAXISTIPPS

• Angemessene Prozesse mit einem wirksamen Kontrollrahmen können in einer Vielzahl von Geschäftaktivitäten durch eine softwarebasierte Vorgangssteuerung implementiert werden.
• Achten Sie auf Standardisierung. Der Mitarbeiter darf ausschließlich nur diesen Prozess nutzen.
• Erwerben Sie umfassendes Know-how, das Sie befähigt, diese Prozessketten, Kontrollen und Funktionstrennungen mit den gesetzlichen, aufsichtsrechtlichen und internen Anforderungen abzugleichen.