Rechnungsprüfung
Die Digitalisierung verändert nicht nur kommunale Geschäftsprozesse, sondern auch deren Prüfung. Kontrollen werden heute in Fachverfahren, Workflows, Schnittstellen, Rollenmodellen und Protokolldaten ausgeführt. Eine Dienstanweisung oder ein Freigabeschema belegt deshalb noch nicht, dass die vorgesehene Kontrolle angemessen gestaltet, tatsächlich eingerichtet und während des Prüfungszeitraums verlässlich ausgeführt wurde.
Ein tragfähiger Prüfungsansatz verbindet kommunale Ziele, Risiken, Kontrollziele, Schlüsselkontrollen, Verantwortlichkeiten und Nachweise. Digitale Datenanalysen und Process Mining erweitern dabei Reichweite und Präzision. Sie ersetzen jedoch weder die fachliche Würdigung noch das Prüfungsurteil. Entscheidend ist der geschlossene Nachweisweg vom Risiko bis zur tatsächlichen Kontrollwirkung.
Risikomanagement IKS und Prüfung erfüllen unterschiedliche Aufgaben:
• Risikomanagement: Was kann kommunale Ziele gefährden? Risiken identifizieren, bewerten, steuern und überwachen.
• Internes Kontrollsystem: Welche Kontrolle reduziert das konkrete Prozessrisiko? Fehler, Rechtsverstöße und Vermögensschäden verhindern oder aufdecken.
• Compliance Management: Welche externen und internen Regeln sind einzuhalten und organisatorisch abgesichert?
• Rechnungsprüfung: Ist die Kontrolle angemessen gestaltet, eingerichtet, nachweisbar durchgeführt und wirksam?
Der gesetzliche Auftrag verlangt Wirksamkeit
Für Nordrhein-Westfalen ist die Prüfung der Wirksamkeit interner Kontrollen im Rahmen des IKS ausdrücklich Aufgabe der örtlichen Rechnungsprüfung (§ 104 Abs. 1 Nr. 6 GO NRW). Hinzu treten die laufende Prüfung der Finanzbuchhaltung, die dauernde Überwachung der Zahlungsabwicklung, die Prüfung rechnungslegungsrelevanter Programme und die Jahresabschlussprüfung. Der Auftrag richtet sich damit nicht nur auf das Vorhandensein formaler Regelungen, sondern auf ihre tatsächliche Funktionsfähigkeit.
Wichtig ist die Abgrenzung: In der Jahresabschlussprüfung dient das rechnungslegungsrelevante IKS vor allem der Risikobeurteilung und der Planung weiterer Prüfungshandlungen. Eine eigenständige IKS-Prüfung beurteilt dagegen ausgewählte Kontrollen oder Prozesse selbst. Aus einer begrenzten Prozessprüfung folgt daher kein pauschales Gesamturteil über das IKS der gesamten Kommune.
Vom Audit Universe zum abgegrenzten Prüfungsauftrag
Kein Rechnungsprüfungsamt kann sämtliche Prozesse und Kontrollen jährlich vollständig prüfen. Ausgangspunkt ist deshalb ein kommunales Prüfungsuniversum. Prozesse, Organisationseinheiten, IT-Verfahren, Haushaltsvolumina, Rechtsrisiken, frühere Feststellungen und Veränderungsereignisse werden zu prüfbaren Einheiten zusammengeführt. Eine mehrjährige Planung priorisiert Prüffelder nach Auswirkung, Eintrittswahrscheinlichkeit, Veränderungsdynamik, Kontrollreife und vorhandener Evidenz.
Risikoscoring unterstützt diese Priorisierung, darf aber keine Scheingenauigkeit erzeugen. Das Produkt ordinaler Stufen für Wahrscheinlichkeit und Schadensausmaß ist kein mathematischer Erwartungswert. Es ist ein transparenter Rangwert. Neben finanziellen Folgen gehören Rechtmäßigkeit, Versorgungssicherheit, Datenschutz, Reputation und Auswirkungen auf Menschen in die Bewertung. Für wesentliche Risiken sind Szenarien, Bandbreiten und Eskalationsschwellen ergänzend zu dokumentieren.
Die Logik ist konsequent risikoorientiert: Der Auftrag grenzt Gegenstand, Zeitraum, Kriterien und Empfänger ab. Walkthroughs, Unterlagen und Daten schaffen Prozess- und Risikoverständnis. Aus dem Sollprozess entsteht die Risiko-Kontrollmatrix. Erst danach werden Design und Implementierung beurteilt, Kontrollpopulationen bestimmt und Wirksamkeitstests durchgeführt. Die Gesamtbewertung berücksichtigt Einzelmängel, Kompensationskontrollen und gemeinsame Ursachen. Bericht und Follow-up schließen den Kreislauf.
Aussageform und Prüfungsumfang müssen zusammenpassen
Für jede Prüfung sind Prozessgrenzen, Systeme, Schnittstellen, Organisationseinheiten, Zeitraum und Kriterien ausdrücklich festzulegen. Eine Stichtagsprüfung kann Design und Implementierung beurteilen, die operative Wirksamkeit verlangt dagegen einen Zeitraum und eine definierte Kontrollpopulation. Für jede Schlüsselkontrolle müssen Frequenz, Verantwortlichkeit, erwarteter Nachweis und zulässige Abweichung vor Testbeginn feststehen.
Die Prüfung bleibt unabhängig. Prozessverantwortliche gestalten und betreiben Kontrollen. Querschnittsfunktionen unterstützen und überwachen, die örtliche Rechnungsprüfung beurteilt unabhängig. Sie darf nicht selbst Verantwortung für Aufbau oder Durchführung der geprüften Kontrollen übernehmen.
Die Risiko Kontrollmatrix ist das fachliche Bindeglied
Eine prüffähige Risiko-Kontrollmatrix ist mehr als eine Liste von Risiken. Sie verbindet Prozessschritt, Risikoereignis, Ursache, Bruttorisiko, Kontrollziel, konkrete Kontrollhandlung, Kontrollart und Frequenz mit Verantwortlichkeit, Nachweis, Restrisiko und geplantem Test. Erst dadurch lässt sich beantworten, welche Kontrolle gegen welches Risiko wirkt und welche Evidenz die Prüfung erwarten darf.
Der Aufbau beginnt nicht mit vorhandenen Kontrollen, sondern mit Prozessziel und Risiko. Andernfalls droht eine rückwärtsgerichtete Dokumentation, in der bestehende Routinen nachträglich zu Kontrollen erklärt werden. Schlüsselkontrollen sind jene Kontrollen, deren Versagen ein wesentliches Risiko offenließe. Sie verdienen die intensivste Prüfung; Routinekontrollen können gebündelt oder rotierend abgedeckt werden.
Praxisfall Kreditorenrechnung bis Auszahlung
Der Kreditorenprozess (P2P) eignet sich besonders für eine integrierte IKS-Prüfung. Typische Risiken sind Scheinlieferanten, manipulierte Bankverbindungen, fehlende Funktionstrennung, Doppelzahlungen, Aufteilung von Beschaffungen, unberechtigte Freigaben und Zahlungen an gesperrte Empfänger. Geeignete Kontrollen reichen vom Drei-Wege-Abgleich über Rollen- und Wertgrenzen bis zu Dublettenprüfungen und einer zweiten Bankfreigabe.
Schlüsselkontrolle Änderung der Bankverbindung
Eine besonders kritische Kontrolle betrifft neue oder geänderte IBAN-Daten. Die zweite Person verifiziert die Änderung über bereits bekannte oder unabhängig ermittelte Kontaktdaten. Erfasser und Prüfer dürfen nicht identisch sein. Der Nachweis umfasst Datum, prüfende Person, Gesprächspartner, verwendete Telefonnummer und Ergebnis. Eine Auszahlungssperre bleibt bis zur Freigabe bestehen. Der Wirksamkeitstest gleicht die Population aller Änderungen mit Rückrufnachweisen, Rollen und Folgezahlungen ab.
Datenanalytische Regeln ergänzen die organisatorischen Kontrollen: gleiche Rechnungsnummer beim selben Kreditor, Zahlung kurz nach IBAN-Änderung, identische IBAN bei mehreren Kreditoren, Kreditoren-IBAN gleich Beschäftigten-IBAN, Buchung durch denselben Benutzer, Wochenendzahlung oder Storno mit Neuzahlung an ein abweichendes Konto. Ein Treffer ist zunächst eine Auffälligkeit. Er wird erst durch Beleg- und Sachverhaltsprüfung zur Feststellung.
Digitale Prozessprüfung braucht einen belastbaren Datenvertrag
Process Mining rekonstruiert die in Systemen protokollierten Abläufe. Sein Erkenntniswert entsteht aus der Verbindung von Prüfungsziel, Sollprozess, Eventlog, Vollständigkeitsnachweis, reproduzierbarer Transformation, Abweichungsanalyse und fachlichem Nachtest. Eine attraktive Prozessgrafik allein ist weder Kontrollnachweis noch Prüfungsurteil.
Drei Analysearten beantworten unterschiedliche Prüfungsfragen
Process Discovery zeigt, wie der Prozess tatsächlich abläuft, welche Varianten, Schleifen und seltenen Pfade auftreten. Conformance Checking vergleicht reale Abläufe mit Sollprozess und Kontrollregeln. Performance Analysen untersuchen Warte- und Liegezeiten, Engpässe, Wiederholungen und Ressourcenmuster. Für die Prüfung liefert Discovery Hypothesen; erst Regelprüfung und Nachtest klären, ob eine Abweichung zulässig, fehlerhaft oder kontrollrelevant ist.
Mindestens erforderlich sind eindeutige Fall-ID, fachlich definierte Aktivität und belastbarer Zeitstempel. Für Funktionstrennung, End-to-End-Verknüpfung und Risikoscoring kommen Rolle, Objektbezug, Betrag, Organisationseinheit, Status und Änderungsgrund hinzu. Quelle, Datentyp, Mapping, Transformation und Gültigkeitsregeln müssen reproduzierbar dokumentiert werden.
Zentral ist der Vollständigkeitsnachweis. Fall- und Ereignisanzahl sowie sinnvolle Wertsumme werden mit Quellsystem, Neben- oder Hauptbuch oder einem unabhängigen Kontrolltotal abgestimmt. Ohne diese Abstimmung beschreibt die Analyse lediglich den gelieferten Datenausschnitt. Ebenso beweist eine fehlende Aktivität nicht automatisch, dass die fachliche Handlung unterblieb; sie kann außerhalb des protokollierten Systems erfolgt sein.
Acht Schritte vom Prüfungsziel zum Nachtest
Der Ablauf reicht von Scope und Sollprozess über IT-Landschaft, Eventlog-Datenvertrag und Datenvalidierung bis zur Entdeckung des Ist-Prozesses. Anschließend werden Varianten, Kontrollregeln, Zeit- und Ressourcenmuster analysiert, Fälle risikoorientiert ausgewählt und mit Belegen, Konfigurationen, Interviews und Nachtests validiert. Personenbezüge sind auf das fachlich notwendige Maß zu begrenzen; wo möglich wird auf Rollen- oder Teamebene ausgewertet.
Wirksamkeit entsteht in vier Prüfungsstufen
Ein Kontrolltest darf Design, Implementierung, Durchführung und Wirksamkeit nicht vermischen. Eine grundsätzlich geeignete Kontrolle kann technisch nicht eingerichtet sein. Eine eingerichtete Kontrolle kann im Prüfungszeitraum nicht ausgeführt worden sein. Und eine regelmäßig ausgeführte Kontrolle kann Abweichungen dennoch nicht zuverlässig verhindern oder aufdecken.
Population, Evidenz und Abweichungstoleranz
Bei der Prüfung geänderter Kreditorenbankverbindungen umfasst die Population sämtliche Änderungen im Prüfungsjahr. Hochrisikofälle können vollständig geprüft und durch eine Zufallsstichprobe der übrigen Änderungen ergänzt werden. Erwartete Nachweise sind Änderungslog, Freigabe, Rückrufdokumentation und erste Folgezahlung. Fehlender Nachweis, identische Erfasser und Freigeber oder unzulässige Berechtigungen sind konkrete Abweichungsmerkmale. Bei Schlüsselkontrollen gegen Zahlungsmanipulation ist regelmäßig nur eine sehr geringe oder keine tolerierbare Abweichung sachgerecht.
Feststellungen zählen Abweichungen nicht nur, sondern beurteilen Ursache, Häufigkeit, mögliche Auswirkung, systematische Reichweite, Kompensationskontrollen und Management Override. Zu unterscheiden sind geringfügiger Mangel, Kontrollmangel, wesentlicher Kontrollmangel und systemischer Mangel. Die Berichtsaussage trennt Prüfungsmaßstab, Sachverhalt, Ursache, Risiko oder Folge und Empfehlung.
Pragmatischer Einstieg für kommunale Rechnungsprüfungen
Der Einstieg gelingt mit drei bis fünf kritischen Prozessen statt mit einer flächendeckenden Vollerhebung. Sinnvoll sind etwa Kreditorenzahlungen, Forderungsmanagement, Personalabrechnung, Vergabe oder steuerliche Prozesse. Für jedes Pilotfeld werden Prüfungsziel, Risiko-Kontrollmatrix, Schlüsselkontrollen, Datenquellen und Evidenzanforderungen einheitlich definiert. Wiederholbare Datenkontrollen unterstützen laufende Prüfung und Follow-up; Maßnahmen, Verantwortliche und Fristen werden in einem verbindlichen Workflow nachgehalten.
Fazit Kontrolle wird erst durch Evidenz prüfbar
Die kommunale IKS-Prüfung entwickelt sich von einer regelungs- und aktenorientierten Prüfung zu einer integrierten System-, Prozess- und Datenprüfung. Risiko-Kontrollmatrizen bilden das fachliche Bindeglied. Process Mining und Datenanalysen erweitern Reichweite und Präzision, bleiben aber von Datenvollständigkeit, Modellentscheidungen und fachlicher Validierung abhängig. Belastbar wird die Prüfung dort, wo Rechtsmaßstab, Prozessverständnis, Datenkompetenz und unabhängiges prüferisches Ermessen zu einem nachvollziehbaren Wirksamkeitsnachweis zusammengeführt werden.