Internes Kontrollsystem im Mittelstand: Wer hat wann was geändert – und wie man das ohne großen Aufwand belegt

Ein internes Kontrollsystem ist keine Software und kein Ordner. Es ist die Summe der Regeln und Kontrollen, die dafür sorgen, dass Belege vollständig, richtig und unverändert in die Bücher kommen – und dass sich hinterher feststellen lässt, wer was getan hat. Die GoBD verlangen es in Rz. 100: Der Steuerpflichtige hat Kontrollen einzurichten, auszuüben und zu protokollieren. Genannt werden Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen, Erfassungs- und Abstimmungskontrollen, Verarbeitungskontrollen und Schutzmaßnahmen gegen die beabsichtigte und unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten.

Rz. 102 macht die Beschreibung des internen Kontrollsystems zum Bestandteil der Verfahrensdokumentation. Und Rz. 101 verlangt, anlassbezogen zu prüfen – etwa bei einem Systemwechsel –, ob das eingesetzte System noch dem dokumentierten entspricht. Ein internes Kontrollsystem, das einmal eingerichtet und nie wieder angesehen wurde, erfüllt das nicht.

Jeder Schritt protokolliert – auch der der Geschäftsführung

Der Kern ist einfach zu beschreiben: Wird in der Warenwirtschaft, im CRM oder in der Finanzbuchhaltung ein Beleg angelegt, geändert, storniert oder gelöscht, steht fest, wer, wann und was. Das gilt für Mitarbeitende und für die Geschäftsführung gleichermaßen; eine Ausnahme für die Chefetage ist genau die Lücke, nach der ein Prüfer sucht. Und es muss sich ohne großen Aufwand prüfen lassen – ein Protokoll, das nur der Hersteller auslesen kann, hilft im Alltag niemandem.

Praktisch heißt das: Die Protokollierung ist in jedem System eingeschaltet, das Belege führt. Die Protokolle werden so lange aufbewahrt wie die Belege selbst. Und es gibt eine einfache Auswertung, mit der sich zum Beispiel alle Löschungen eines Monats auf einen Blick zeigen lassen.

Verhältnismäßig bleiben: wenn die Software nicht alles kann

Manche Betriebe arbeiten mit sehr alter Software, die nicht ausreichend protokolliert oder keine feinen Rechte kennt. Nicht alles lässt sich zu hundert Prozent abdecken, und nicht jede Lücke rechtfertigt einen Systemwechsel. Die GoBD sehen das selbst so: Nach Rz. 100 hängt die konkrete Ausgestaltung des Kontrollsystems von der Komplexität der Geschäftstätigkeit, der Organisation und dem eingesetzten DV-System ab.

Wo die Software nicht reicht, kompensieren organisatorische Kontrollen: eine zweite Person, die Stornos gegenzeichnet, eine wöchentliche Liste der Änderungen, ein getrennter Zugang für die Buchhaltung. Die verbleibende Lücke wird dokumentiert – mit Begründung und mit dem Plan, wann sie geschlossen wird. Ein Prüfer akzeptiert eine bekannte, begründete Lücke eher als eine, die er selbst findet. Maßnahmen müssen wirtschaftlich vertretbar sein; das ist kein Schlupfloch, sondern die Regel.

Wann ein internes Kontrollsystem Pflicht ist

Für jeden, der Bücher elektronisch führt, ergibt sich die Pflicht aus den GoBD, Rz. 100. Für Vorstände börsennotierter Aktiengesellschaften verlangt § 91 Abs. 3 AktG ausdrücklich ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Für alle anderen Geschäftsführungen gilt, was § 43 GmbHG und § 1 StaRUG verlangen: Sorgfalt und die laufende Überwachung von Entwicklungen, die das Unternehmen gefährden können. Ohne Kontrollen, die Abweichungen sichtbar machen, ist beides schwer zu leisten.