Grundlegende interne Kontrollen für ein wachsendes Unternehmen
Funktionstrennung, Freigaben nach Betrag, eine Berechtigungsmatrix, ein Änderungsprotokoll und Zugriffsprüfungen: die Mindestkontrollen und wie Sie sie anwenden.
Eine E-Mail eines Lieferanten trifft ein: Er habe seine Bankverbindung geändert. Dieselbe Person, die Einkäufe erfasst, aktualisiert die Daten, bereitet die Zahlung vor und gibt sie frei, weil der Geschäftsführer auf Reisen ist. Einen Monat später beschwert sich der Lieferant, er habe das Geld nie erhalten. Niemand im Unternehmen hat in böser Absicht gehandelt, aber es gab keinen Punkt, an dem jemand anderes hätte hinschauen müssen.
Als das Unternehmen klein war, sah der Inhaber alles. Mit dem Wachstum ist das nicht mehr möglich, und Sie brauchen interne Kontrollen: einfache Regeln, die dafür sorgen, dass für einen Fehler oder einen Missbrauch mehr als eine Person nötig ist und eine Spur zurückbleibt. Dieser Leitfaden behandelt die Mindestkontrollen und ihre Anwendung, auch wenn Sie mit Tabellenkalkulationen arbeiten.
Funktionstrennung
Das Prinzip lautet, dass keine einzelne Person einen Prozess von Anfang bis Ende kontrolliert. In fast jedem Geldfluss gibt es vier Funktionen, die sich zu trennen lohnt:
| Funktion | Einkauf und Zahlungen | Verkauf und Inkasso |
|---|---|---|
| Erfassen | Bestellung anlegen | Rechnung ausstellen |
| Genehmigen | Einkauf oder Zahlung freigeben | Rabatte oder Kredit freigeben |
| Verwahren | Überweisung ausführen | Bargeld oder Einzahlung entgegennehmen |
| Abstimmen | Kontoauszug mit den Zahlungen abgleichen | Zahlungseingänge mit den Rechnungen abgleichen |
Wenn dieselbe Person erfasst und verwahrt oder ihre eigene Arbeit genehmigt und abstimmt, kann sie einen Fehler machen und ihn zugleich verbergen.
Und wenn das Team klein ist? Sie werden nicht immer vier Personen haben. Setzen Sie in diesem Fall ausgleichende Kontrollen ein: Der Inhaber prüft jede Woche den vollständigen Kontoauszug, Änderungen an Lieferanten-Bankdaten werden telefonisch bei einem bekannten Ansprechpartner bestätigt, oder der externe Buchhalter prüft jeden Monat eine Stichprobe von Zahlungen.
Freigabestufen nach Betrag
Nicht jeder Einkauf verdient dieselbe Prüfung. Eine Stufentabelle verhindert, dass der Geschäftsführer alles unterschreibt, während niemand das unterschreibt, worauf es ankommt. Ein Beispiel mit hypothetischen Zahlen:
| Einkaufsbetrag | Wer genehmigt |
|---|---|
| Bis Bs 5.000 | Abteilungsleiter |
| Bs 5.001 bis Bs 30.000 | Abteilungsleiter und Finanzleiter |
| Über Bs 30.000 | Geschäftsführer |
Ihr Unternehmen legt die Beträge nach Größe und Risiko fest. Wichtig ist, dass sie schriftlich festgehalten sind und alle sie kennen.
Das Problem der Aufteilung. Angenommen, die Grenze des Abteilungsleiters liegt bei Bs 5.000 und in derselben Woche tauchen drei Einkäufe beim selben Lieferanten über Bs 4.800, Bs 4.900 und Bs 4.700 auf. Zusammen ergeben sie Bs 14.400, was an den Finanzleiter hätte gehen müssen. So erkennen Sie das:
- Gruppieren Sie die Einkäufe nach Lieferant und Woche.
- Addieren Sie die Beträge jeder Gruppe.
- Markieren Sie die Gruppen, deren Summe eine Freigabestufe überschreitet, obwohl kein einzelner Einkauf dies tut.
- Prüfen Sie die markierten Gruppen mit der Person, die jeden Einkauf genehmigt hat.
Eine nützliche Kennzahl ist der Anteil der Einkäufe, die zwischen 90 % und 100 % der Grenze ihrer Stufe liegen. Ist er hoch und steigend, passt möglicherweise jemand Beträge an, um die Eskalation zu umgehen.
Berechtigungsmatrix
Die Funktionstrennung wird real, wenn sie in konkrete Berechtigungen übersetzt wird. Eine Matrix kreuzt Rollen mit Aktionen:
| Aktion | Einkauf | Treasury | Buchhaltung | Geschäftsleitung |
|---|---|---|---|---|
| Bestellung anlegen | Ja | Nein | Nein | Nein |
| Bestellung genehmigen | Nein | Nein | Nein | Ja |
| Bankdaten von Lieferanten ändern | Nein | Nein | Ja | Nein |
| Zahlungen ausführen | Nein | Ja | Nein | Nein |
| Bankkonten abstimmen | Nein | Nein | Ja | Nein |
Erstellen Sie die Matrix nach Rolle, nicht nach Person. Wenn jemand die Stelle wechselt, ändern Sie seine Rolle und müssen sich nicht an Einzelberechtigungen erinnern. Und prüfen Sie, dass keine Zeile unvereinbare Funktionen aus der vorherigen Tabelle kombiniert.
Änderungsprotokoll
Bei manchen Daten sollte immer festgehalten werden, wer sie wann geändert hat, mit altem und neuem Wert:
- Bankdaten von Lieferanten und Mitarbeitenden.
- Verkaufspreise und Preislisten.
- Kreditlimits von Kunden.
- Beträge auf bereits genehmigten Belegen.
- Benutzer, Rollen und Berechtigungen.
Wenn Sie mit Tabellenkalkulationen arbeiten, bewahren Sie zumindest datierte Versionen auf und schützen Sie die Stammblätter mit einem Passwort. Der entscheidende Punkt ist, dass das Protokoll nicht von derselben Person bearbeitet werden kann, die die Änderungen vornimmt.
Belege
Jede Zahlung sollte bis zu ihrem Ursprung zurückverfolgt werden können. Im Einkauf ist die klassische Kontrolle der Dreifachabgleich: genehmigte Bestellung, Wareneingangsschein und Lieferantenrechnung. Stimmen Menge oder Preis zwischen den dreien nicht überein, wird die Zahlung zurückgehalten, bis die Sache geklärt ist.
Kennzahl: Anteil der Zahlungen mit vollständigen Belegen = Zahlungen des Monats mit allen drei Dokumenten ÷ Gesamtzahl der Zahlungen des Monats × 100. Angenommen, Sie haben in einem Monat 200 Zahlungen geleistet und 170 hatten Bestellung, Wareneingang und Rechnung: 170 ÷ 200 × 100 = 85 %. Die übrigen 15 % sind Ihre Prüfliste.
Die Aufbewahrungsfristen für Rechnungen und Buchhaltungsunterlagen werden durch die geltenden Vorschriften festgelegt; klären Sie sie mit Ihrem Buchhalter, bevor Sie Ihre Ablagerichtlinie festlegen.
Regelmäßige Zugriffsprüfung
Berechtigungen sammeln sich an: Jemand übernimmt eine Urlaubsvertretung, erhält zusätzlichen Zugriff und verliert ihn nie wieder. Eine regelmäßige Prüfung, zum Beispiel vierteljährlich, behebt das:
- Ziehen Sie die Liste der aktiven Benutzer mit ihren Rollen.
- Gleichen Sie sie mit dem aktuellen Personal ab und deaktivieren Sie alle, die nicht mehr im Unternehmen arbeiten.
- Senden Sie jeder Führungskraft die Liste ihres Teams, damit sie bestätigt, dass jede Rolle korrekt ist.
- Entfernen Sie abgelaufene befristete Berechtigungen.
- Dokumentieren Sie die Prüfung mit Datum und genehmigender Person.
Kennzahl: aktive Konten ehemaliger Mitarbeitender zum Zeitpunkt der Prüfung. Das Ziel ist null.
Häufige Fehler
- Gemeinsam genutzte Benutzer. Wenn fünf Personen „kasse1“ verwenden, ist das Protokoll nutzlos.
- Dauerhafte Ausnahmen. „Ich genehmige es nur dieses eine Mal“ wird zur Regel.
- Verstecken statt Einschränken. Eine Menüoption auszublenden hindert niemanden daran, auf anderem Weg dorthin zu gelangen; schützen tut Sie die Berechtigung.
- Kontrollen, die niemand prüft. Ein Protokoll, das niemand ansieht, hilft erst nach dem Problem.
- Die Matrix eines anderen Unternehmens kopieren. Die Risiken hängen von Ihren Prozessen und Ihrer Größe ab.
Checkliste
- Die vier Funktionen (erfassen, genehmigen, verwahren, abstimmen) sind getrennt oder haben eine ausgleichende Kontrolle.
- Es gibt eine schriftliche Tabelle der Freigabestufen nach Betrag.
- Die Aufteilung von Einkäufen wird mindestens einmal im Monat geprüft.
- Es gibt eine Berechtigungsmatrix nach Rolle, ohne unvereinbare Kombinationen.
- Änderungen an Bankdaten, Preisen und Berechtigungen werden protokolliert.
- Jede Zahlung hat Bestellung, Wareneingang und Rechnung.
- Zugriffe werden nach einem festgelegten Zeitplan geprüft und die Prüfung wird dokumentiert.
- Jedes Benutzerkonto ist persönlich und nicht übertragbar.
Die Umsetzung in einem System
Diese Kontrollen funktionieren in Tabellenkalkulationen, wenn Disziplin herrscht. Wenn das Volumen wächst, kann ein ERP wie MKA fein abgestufte, serverseitig geprüfte Berechtigungen nach Rolle anwenden und jede Datenänderung in einer per Hash verketteten Spur protokollieren, deren Integrität Sie überprüfen können (siehe Audit und Sicherheit).