Interne Kontrollsysteme als Fundament der finanziellen Akkreditierung
Der Kassenführer einer Hochschule entdeckt am Monatsende eine Differenz. Die Suche nach der Ursache dauert Tage, weil niemand genau weiß, wer wann welche Buchung vorgenommen hat. Genau diese Situation verhindert ein gut dokumentiertes internes Kontrollsystem. Akkreditierungsgremien prüfen nicht nur Zahlen, sondern auch die Prozesse, die hinter den Zahlen stehen.
Trennung von Funktionen als Grundprinzip
Die klassische Vier-Augen-Regel ist der Kern jedes internen Kontrollsystems. Wer Zahlungen auslöst, darf nicht gleichzeitig die Buchung vornehmen oder den Kontoauszug prüfen. Diese Trennung verhindert Fehler und schützt vor Manipulation. In kleineren Einrichtungen mit begrenztem Personal stellt sich die Frage, wie diese Trennung organisatorisch umgesetzt werden kann. Hier kommen dokumentierte Kompensationskontrollen zum Tragen, bei denen zum Beispiel der Geschäftsführer in regelmäßigen Abständen Stichproben zieht. Akkreditierungsgremien akzeptieren solche Lösungen, wenn sie schriftlich festgehalten und nachvollziehbar sind. Die Dokumentation muss die Verantwortlichkeiten klar benennen und die Häufigkeit der Kontrollen festlegen.
Funktionstrennung schützt vor Fehlern und muss dokumentiert sein, auch bei kleinen Teams.
Genehmigungsregeln und Vollmachten
Nicht jeder Mitarbeiter darf jede Ausgabe freigeben. Einrichtungen benötigen klare Regelungen, ab welchem Betrag eine zweite Person oder eine höhere Instanz zustimmen muss. Diese Schwellenwerte sollten angemessen sein – zu niedrig verlangsamen sie den Betrieb, zu hoch verlieren sie ihre Schutzwirkung. Akkreditierungsgremien prüfen, ob die Regelungen mit der wirtschaftlichen Größe der Einrichtung zusammenpassen. Vollmachten müssen aktuell sein und regelmäßig überprüft werden. Ein Mitarbeiter, der die Einrichtung verlassen hat, sollte keine Vollmacht mehr besitzen. Die Dokumentation aller Vollmachten und ihrer Änderungen gehört zum Standardrepertoire eines gut geführten internen Kontrollsystems.
Klare Genehmigungsregeln und aktuelle Vollmachten sind essenziell für die Prüfung.
Dokumentation und Nachweisführung
Kontrollen, die nicht dokumentiert sind, gelten für Gremien als nicht existent. Jede Prüfung, jede Abstimmung, jede Genehmigung muss sich in einem Beleg oder einem Protokoll niederschlagen. Akkreditierungsgremien verlangen oft die Einsicht in solche Unterlagen, um die Wirksamkeit des Systems zu beurteilen. Die Dokumentation sollte so angelegt sein, dass ein externer Prüfer den Ablauf nachvollziehen kann, ohne den Mitarbeiter befragen zu müssen. Elektronische Systeme erleichtern dies, ersetzen aber nicht die inhaltliche Gestaltung der Kontrollen. Auch bei digitalen Workflows muss klar sein, wer wann welche Entscheidung getroffen hat. Revisionssichere Archivierung ist hier unverzichtbar, damit Nachweise auch Jahre später noch auffindbar sind.
Nicht dokumentierte Kontrollen gelten als nicht existent – Nachweise sind Pflicht.
Regelmäßige Überprüfung und Anpassung
Ein internes Kontrollsystem veraltet, wenn es nicht regelmäßig überprüft wird. Neue Geschäftsvorfälle, geänderte rechtliche Rahmenbedingungen oder organisatorische Umstrukturierungen erfordern Anpassungen. Einrichtungen sollten daher mindestens jährlich prüfen, ob ihre Kontrollen noch angemessen sind. Diese Überprüfung sollte dokumentiert werden und gegebenenfalls zu Aktualisierungen der Verfahrensanweisungen führen. Akkreditierungsgremien schätzen Einrichtungen, die ihr Kontrollsystem als lebendiges Instrument begreifen und nicht als einmalig erstelltes Regelwerk. Die Überprüfung kann intern erfolgen oder durch externe Berater unterstützt werden. Wichtig ist, dass die Ergebnisse in konkrete Maßnahmen münden und nicht nur protokolliert werden.
Kontrollsysteme müssen jährlich überprüft und bei Bedarf angepasst werden.
Risikoorientierte Kontrollen
Nicht alle Prozesse in einer Einrichtung sind gleich risikoreich. Die Vergabe von Großaufträgen birgt andere Gefahren als die Bestellung von Büromaterial. Einrichtungen sollten ihre Prozesse nach Risiken bewerten und die Intensität der Kontrollen daran ausrichten. Akkreditierungsgremien erwarten eine solche Risikoorientierung, denn sie zeigt, dass die Einrichtung ihre wirtschaftlichen Gefahren kennt und bewusst steuert. Die Risikobewertung sollte schriftlich festgehalten und regelmäßig aktualisiert werden. Sie bildet die Grundlage für die Ausgestaltung der Kontrollen und deren Priorisierung. Einrichtungen, die allen Prozessen dieselbe Kontrollintensität widmen, verschwenden Ressourcen und übersehen möglicherweise kritische Bereiche.
Kontrollen sollten nach Risikostufen priorisiert werden, nicht uniform ausgestaltet.