Jede Kontrolle wird aus einem bewerteten Risiko abgeleitet, über einen Workflow gesteuert und mit einem Nachweis dokumentiert. Der Aufbau folgt IDW PS 982. Risiken, Kontrollen, Compliance-Anforderungen und Prüfungen sind dabei im selben Modell abgebildet.
| Kontrollziel | Wirksamkeit | Reifegrad | Offen |
|---|---|---|---|
| Zahlungsfreigabe | wirksam | 4 | 0 |
| Lieferantenanlage | eingeschränkt | 3 | 4 |
| Berechtigungsvergabe | nicht wirksam | 2 | 7 |
| Abschlussbuchungen | wirksam | 4 | 1 |
| Bestandsaufnahme | in Prüfung | 3 | 2 |
| Auftragsfreigabe | nicht geprüft | 2 | 0 |
| Kontrolle | Prozess | Schadenspotential | Status | Verantwortung |
|---|---|---|---|---|
| Vier-Augen-Prinzip Zahlungslauf | Finanzbuchhaltung | 4,20 Mio. € | wirksam | Leitung Finanzen |
| Stammdatenpflege Lieferanten | Einkauf | 3,10 Mio. € | eingeschränkt | Leitung Einkauf |
| Rezertifizierung Berechtigungen | IT-Betrieb | 2,75 Mio. € | nicht wirksam | IT-Leitung |
| Freigabe Fertigungsaufträge | Produktion | 1,95 Mio. € | wirksam | Werksleitung |
| Konditionsfreigabe Angebote | Vertrieb | 1,40 Mio. € | in Prüfung | Leitung Vertrieb |
Industrie, Handel, Energiewirtschaft und Gesundheitswesen: überall dort, wo Kontrollen, Risiken und Prüfungen zusammen gesteuert werden sollen, statt nebeneinanderher zu laufen.
Die Kontrollen liegen in einer Tabelle, die Nachweise in Ordnern, die Zuständigkeiten in Mailverläufen. Vor dem nächsten Abschluss beginnt das Zusammentragen wieder von vorn.
Die Berichte sind fristgerecht fertig, der Weg dorthin ist trotzdem schwer zu belegen.
Der Datenstand ist jederzeit aktuell, auch zwischen zwei Prüfungen.
Den Rahmen gibt IDW PS 982 vor. Die Methodik ist im System hinterlegt, Sie entscheiden über Kontrollarten und Turnus. Jeder Schritt baut auf dem vorherigen auf. Deshalb steht am Ende ein Bericht, der auf belegten Daten beruht.
Das IKS beginnt mit einem strukturierten Risikoassessment. Risiken in Geschäftsprozessen, IT und Compliance werden erfasst und bewertet.
Zu jedem bewerteten Risiko legen Sie die passende Kontrolle an. Der Assistent führt Sie durch die Schritte, die Hilfespalte erklärt jedes Feld direkt daneben.
Eine sprechende Benennung der Kontrolle. Beachten Sie die Namenskonvention Ihrer Organisation.
Kontrollverantwortung und prüfende StelleDie Kontrollverantwortung führt die Kontrolle durch. Die prüfende Stelle beurteilt ihre Wirksamkeit, getrennt nach dem Modell der Three Lines of Defence.
Abgedecktes RisikoErgibt sich aus der Auswahl im vorigen Schritt. Über diese Verknüpfung wirkt die Kontrolle später im Risikobericht.
Kontrollart und TurnusSteuert die Wiedervorlage und die Aufgaben, die den Beteiligten zugewiesen werden.
Geforderter NachweisLegt fest, was bei der Durchführung hinterlegt wird. Der Nachweis bleibt versioniert am Objekt und steht der Prüfung später zur Verfügung.
Zugeordneter StandardÜber die Zuordnung zählt diese Kontrolle in die Auswertung ein, ohne dass Sie den Nachweis mehrfach erheben.
Kontrollen werden nicht nur dokumentiert, sondern auch durchgeführt. Workflows weisen Aufgaben zu, erinnern an Termine und verfolgen die Umsetzung nach, einmalig oder wiederkehrend.
| Kontrolle | Turnus | Fällig | Verantwortung | Status |
|---|---|---|---|---|
| Vier-Augen-Prinzip Zahlungslauf | monatlich | Mo | Leitung Finanzen | erledigt |
| Abgleich offener Posten | monatlich | Mi | Debitorenbuchhaltung | in Arbeit |
| Rezertifizierung Berechtigungen | quartalsweise | Do | IT-Leitung | überfällig |
| Stichprobe Wareneingang | wöchentlich | Fr | Leitung Logistik | offen |
| Freigabe Konditionsabweichungen | wöchentlich | Fr | Leitung Vertrieb | offen |
| Abstimmung Bankkonten | monatlich | Fr | Treasury | in Arbeit |
| Prüfung Notfallzugänge | quartalsweise | Fr | IT-Leitung | erledigt |
| Sichtung offener Bestellungen | wöchentlich | Fr | Leitung Einkauf | in Arbeit |
| Abgleich Anlagenverzeichnis | monatlich | Fr | Anlagenbuchhaltung | offen |
Die Wirksamkeit wird bewertet, nicht vorausgesetzt. Der Erfüllungsgrad je Geschäftsprozess zeigt, wo das Kontrollsystem wirkt und wo Lücken bestehen.
| Bewertung | Kontrollen | Anteil |
|---|---|---|
| wirksam | 191 | 77 % |
| eingeschränkt wirksam | 38 | 15 % |
| nicht wirksam | 12 | 5 % |
| nicht geprüft | 7 | 3 % |
| Summe | 248 | 100 % |
Aus denselben Daten entstehen der Management-Report und die Unterlagen für interne und externe Prüfungen, ohne dass Sie etwas ein zweites Mal zusammentragen.
| Maßnahme | Kapitel | Frist | Verantwortung | Status |
|---|---|---|---|---|
| Berechtigungskonzept ERP überarbeiten | 3 | 31.10. | IT-Leitung | überfällig |
| Freigabegrenzen Einkauf anpassen | 3 | 15.11. | Leitung Einkauf | in Arbeit |
| Eskalationswege dokumentieren | 4 | 30.11. | Compliance | in Arbeit |
| Kontrolltests Q4 planen | 5 | 15.12. | Interne Revision | erledigt |
| Stammdatenpflege Lieferanten schärfen | 3 | 20.12. | Leitung Einkauf | in Arbeit |
| Berichtsempfänger je Standort prüfen | 4 | 31.01. | Controlling | offen |
| Vertretungsregelung kritischer Rollen | 1 | 15.02. | Personalleitung | offen |
| Wirksamkeitstest Zahlungslauf wiederholen | 5 | 28.02. | Interne Revision | offen |
Die Liste der Kontrollen bleibt dieselbe. Was sich ändert: was Sie damit belegen können und wie viel Handarbeit dafür nötig ist.
Jede Kontrolle ist mit einem bewerteten Risiko verknüpft. Sie können begründen, warum es sie gibt, und erkennen, wo eine Kontrolle fehlt.
Durchführung, Überwachung und Berichterstattung sind getrennt zugeordnet. Wer welche Aufgabe übernimmt, ist am Objekt dokumentiert, nicht nur mündlich abgesprochen.
Workflows verteilen Aufgaben, erinnern an Termine und fordern Ergebnisse an. Nachfragen kurz vor dem Stichtag entfallen.
Kontrollen, Maßnahmen und Änderungen sind versioniert und historisiert. Für die Prüfung ist der Stand des jeweiligen Zeitpunkts abrufbar, nicht nur der aktuelle.
Rollen und Zuständigkeiten für Risiken, Kontrollen, Überwachung und Reporting folgen dem Steuerungsmodell, ohne zusätzliche Hilfskonstruktionen.
IKS, Risikomanagement, Compliance und Audit greifen auf dieselben Objekte zu. Redundante Erhebungen entfallen.
Vom Risikoassessment über die Durchführung bis zum Prüfungsreport ist der gesamte Ablauf im Modul angelegt, ohne Eigenentwicklung.
Das Modell beginnt beim Risikoassessment in Geschäftsprozessen, IT und Compliance. Die Kontrollen werden daraus abgeleitet, nicht unabhängig davon festgelegt.
Die Content Libraries liefern hunderte vordefinierte Kontrollen, unter anderem für Informationssicherheit, Datenschutz, IT-Sicherheit und Compliance.
Unternehmensspezifische Kontrollen bilden Sie individuell ab, mit eigenen Feldern, Kontrollarten und Prüfschritten.
Zuweisung, Durchführung und Nachverfolgung laufen über Workflows. Die Beteiligten werden automatisch an offene Aufgaben erinnert.
Einmalige und wiederkehrende Kontrollen erhalten Termine und Fristen. Fällige und überfällige Durchführungen sind jederzeit sichtbar.
Rollen und Zuständigkeiten für Risiken, Kontrollen, Überwachung und Reporting sind klar zugeordnet und nachvollziehbar.
Kontrollen, Maßnahmen, Änderungen und Ergebnisse werden zentral dokumentiert, versioniert und auditierbar historisiert.
Jede Änderung bleibt mit Zeitpunkt und Urheber erhalten. Für die Prüfung ist der Stand des Berichtszeitraums abrufbar, nicht nur der aktuelle.
Status, Wirksamkeit und offene Maßnahmen auf einen Blick. Von jeder Kennzahl gelangen Sie direkt zur einzelnen Kontrolle.
Berichte zu Risiken, Kontrollen und Maßnahmen für die Geschäftsführung, dazu Audit- und Prüfungsreports für interne und externe Prüfungen.
Sichten je Organisationseinheit, Standort oder Rolle. Jede Empfängergruppe sieht den für sie relevanten Ausschnitt derselben Datenbasis.
Risiken, Kontrollen, Compliance-Anforderungen und Audits werden gemeinsam betrachtet. Das erhöht die Steuerungswirkung des IKS.
Die Methodik ist im System hinterlegt. Sie müssen sie weder selbst entwickeln noch im Prüfungstermin eigens begründen. Wie CRISAM® rechnet, erklärt die CRISAM® Methode.
Jede Rolle sieht den für sie relevanten Ausschnitt, alle arbeiten an denselben Objekten. Abstimmungen darüber, welche Liste gerade gilt, entfallen.
Sie sehen, welches Risiko jede Kontrolle abdeckt und wo eine Kontrolle fehlt. Prüfschritte, Ergebnisse und Nachweise sind am selben Objekt dokumentiert wie die Kontrolle.
Eine Kontrolle wirkt im IKS, in der Informationssicherheit und im Compliance-Nachweis, ohne dass Sie dieselbe Erhebung mehrfach durchführen.
Wirksamkeit, offene Maßnahmen und Fristen sind im Bericht enthalten. Jede Zahl lässt sich bis zur einzelnen Kontrolle zurückverfolgen, auch nach dem Berichtstermin.
Industrieautomation, Bahntechnik und Vakuumtechnik: drei Unternehmen, die Kontrollen, Risiken und Prüfungen in einem System führen. Welche Module die einzelnen Unternehmen nutzen, zeigt die Kundenübersicht.
Softing AG, Industrieautomation
Risikobewertung, Compliance-Überwachung und Governance liefen bei Softing früher getrennt. Heute führt das Unternehmen sie auf der CRISAM® GRC Plattform zusammen, mit Risikomanagement, internem Kontrollsystem, Compliance Management und Audit Management, ausgerichtet auf IDW PS 340 n.F.
Vossloh AG, Bahntechnik
In rund 75 Konzerngesellschaften in knapp 30 Ländern identifiziert, bewertet, steuert und überwacht Vossloh Risiken und Kontrollen in CRISAM® und erfüllt damit die Anforderungen des IDW PS 340 n.F. an die Risikoberichterstattung.
Pfeiffer Vacuum, Vakuumtechnik
Pfeiffer Vacuum hat das Risikofrüherkennungssystem an die Anforderungen des IDW PS 340 angepasst. Ergebnis sind höhere Prüfungssicherheit, eine gestärkte Risikokultur und weniger redundante Prozesse zwischen Risikomanagement und Informationssicherheit.
Ein internes Kontrollsystem (IKS) ist die Gesamtheit der Regeln, Abläufe und Kontrollen, mit denen ein Unternehmen Risiken in Geschäftsprozessen, IT und Compliance begrenzt. Es umfasst Kontrollumfeld, Risikoassessment, Kontrollaktivitäten, Information und Kommunikation sowie Überwachungsaktivitäten. In CRISAM® entsteht es aus bewerteten Risiken, wird über Workflows durchgeführt und revisionssicher dokumentiert.
Der Aufbau beginnt mit einem strukturierten Risikoassessment. Risiken in Geschäftsprozessen, IT und Compliance werden identifiziert und bewertet, danach werden die notwendigen Kontrollen gezielt daraus abgeleitet. Vordefinierte Kontrollen aus den Content Libraries lassen sich übernehmen, unternehmensspezifische Kontrollen modellieren Sie zusätzlich selbst.
CRISAM® IKS ist methodisch fundiert und nach anerkannten Standards wie IDW PS 982 aufgebaut. Alle Kontrollen, Maßnahmen, Änderungen und Ergebnisse sind zentral dokumentiert, versioniert und auditierbar historisiert. Audit- und Prüfungsreports unterstützen interne und externe Prüfungen, jede Kennzahl lässt sich bis zur einzelnen Kontrolle nachvollziehen.
Eine Tabelle dokumentiert Kontrollen, steuert aber nicht deren Durchführung. In CRISAM® ist jede Kontrolle mit dem Risiko verknüpft, das sie abdeckt, Workflows steuern Zuweisung, Terminierung und Nachverfolgung, und jede Durchführung hinterlässt einen versionierten Nachweis. Der Status ist jederzeit abrufbar, statt einmal im Jahr zusammengetragen zu werden.
CRISAM® integriert das IKS in den Gesamt-GRC-Kontext. Risiken, Kontrollen, Compliance-Anforderungen und Audits werden gemeinsam betrachtet und greifen auf dieselben Objekte zu. Das sorgt für konsistente Informationen, vermeidet Redundanzen und stärkt die Steuerungswirkung des IKS.
Das Steuerungsmodell trennt operative Verantwortung, Überwachung und unabhängige Prüfung. CRISAM® unterstützt dieses Modell: Rollen, Verantwortlichkeiten und Zuständigkeiten für Risiken, Kontrollen, Überwachung und Reporting sind klar zugeordnet und nachvollziehbar, jede Zuordnung ist am Objekt sichtbar.
Vorausgesetzt werden die CRISAM® GRC Plattform und das CRISAM® IKS Modul. Das IKS ist vollständig in die Plattform integriert und keine Insellösung. Bestehende Systeme bleiben erhalten und werden über Schnittstellen angebunden.
Ein Webinar zum Zusammenspiel von IKS und Audit, ein Überblick über die Plattform und die Kurse der CRISAM® Academy.
Wie Sie Internes Kontrollsystem und Audit in CRISAM® verzahnen und das Three-Lines-of-Defense-Modell umsetzen.
Nächster Termin: 17.11.2026, 13:00 UhrTermine ansehen
Risiko, Compliance, Internes Kontrollsystem und Audit Management auf einer Plattform, mit Blick auf IDW PS 340 n.F. und NIS2.
Nächster Termin: 03.11.2026, 14:00 UhrTermine ansehenWebinare und Schulungen im Überblick, dazu die selbstgesteuerten Kurse der CRISAM® Academy und die Produktunterlagen im Downloadcenter.
AcademyDownloadcenterBringen Sie zwei oder drei Kontrollen aus Ihrem Unternehmen mit. Wir zeigen Ihnen, wie sie aus dem Risiko abgeleitet werden, wie die Durchführung gesteuert wird und wie der Nachweis aussieht.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen