Wie unbequeme Fragen Unternehmen zukunftssicher machen
Die Ankündigung „Die Interne Revision kommt“ löst selten Begeisterung aus. Im prall gefüllten Arbeitsalltag bedeutet das Auftauchen der Prüfungsinstanz meist spürbaren Mehraufwand: Unterlagen zusammensuchen, komplexe Abläufe erklären, Rede und Antwort stehen und Kontrollnachweise offenlegen.
Die Reaktion ist nachvollziehbar. Niemand hat viel Zeit. Das Tagesgeschäft brummt, neue Vorschriften kommen im Wochentakt hinzu, Systeme wachsen und Ressourcen sind knapp. Eine Prüfung wird daher nicht selten zunächst als Belastung wahrgenommen.
Doch die Interne Revision ist nicht dazu da, den Fachbereichen das Leben schwer zu machen. Ihr Auftrag besteht auch nicht darin, möglichst viele Fehler zu finden oder einzelne Mitarbeitende für Abweichungen verantwortlich zu machen. Vielmehr geht es darum, unabhängig und risikoorientiert zu hinterfragen, ob Prozesse, Kontrollen und Governance tatsächlich so funktionieren, wie sie sollen.
Das klingt zunächst selbstverständlich. In der Praxis zeigt sich jedoch immer wieder eine erhebliche Differenz zwischen dem formal vorgesehenen Prozess und der tatsächlich gelebten Praxis.
Denn häufig sind es nicht die offensichtlichen Regelverstöße, die auf den größten Handlungsbedarf hinweisen. Es sind die kleinen Abweichungen, manuellen Ergänzungen und informellen Lösungen, die sich über Jahre etabliert haben und irgendwann niemand mehr hinterfragt. Die Interne Revision kann genau diese blinden Flecken sichtbar machen.
Die Muster des Tagesgeschäfts: Wenn der Ausnahmefall zum Normalfall wird
Wer einen Prozess über längere Zeit begleitet, entwickelt zwangsläufig Routinen. Das ist zunächst sinnvoll. Routinen schaffen Effizienz und geben Orientierung.
Problematisch wird es, wenn sich die Rahmenbedingungen verändern, der Prozess aber unverändert fortgeführt wird. Neue Systeme werden eingeführt. Zuständigkeiten verschieben sich. Produkte verändern sich. Anforderungen von Aufsicht, Kunden oder Markt steigen. Prozesse werden digitalisiert. Schnittstellen kommen hinzu.
Trotzdem lautet die Antwort im Fachbereich häufig:
„Das haben wir schon immer so gemacht.“
Dieser Satz ist nicht automatisch ein Problem. Er kann aber ein Hinweis darauf sein, dass ein Prozess lange nicht mehr grundsätzlich hinterfragt wurde.
Ähnlich verhält es sich mit einem zweiten Klassiker:
„Dafür bin ich nicht zuständig.“
Auch hier geht es nicht zwangsläufig um fehlende Verantwortungsbereitschaft. Vielmehr kann die Aussage auf unklare Schnittstellen, fehlende End-to-End-Verantwortung oder organisatorische Silos hindeuten.
Gerade in komplexen Organisationen entstehen Risiken häufig nicht innerhalb einzelner Prozessschritte, sondern an deren Übergängen. Ein Bereich erledigt seine Aufgabe korrekt. Der nächste Bereich ebenfalls. Trotzdem funktioniert der Gesamtprozess nicht zuverlässig.
Die Frage der Revision lautet dann nicht nur:
„Wer hat seinen Prozessschritt nicht korrekt ausgeführt?“
sondern:
„Warum ist die Gesamtorganisation so aufgebaut, dass eine solche Abweichung entstehen konnte?“
Nicht der Fehler ist das Problem, sondern die fehlende Lernfähigkeit
Fehler lassen sich in komplexen Organisationen nicht vollständig vermeiden. Menschen machen Fehler, Systeme können ausfallen und Prozesse können an unerwarteten Stellen an ihre Grenzen stoßen. Die entscheidende Frage ist deshalb nicht, ob ein Fehler passiert. Entscheidend ist, wie die Organisation damit umgeht.
- Wird ein Fehler nur korrigiert? Oder wird auch untersucht, warum er entstehen konnte?
- Wird geprüft, ob vergleichbare Risiken an anderer Stelle ebenfalls bestehen?
- Wird die Ursache beseitigt?
- Und wird kontrolliert, ob die eingeleitete Maßnahme tatsächlich wirksam ist?
Gerade hier liegt eine zentrale Stärke der Internen Revision. Die Feststellung „Kontrolle nicht durchgeführt“ ist zunächst nur eine Beschreibung des Sachverhalts. Interessanter wird es mit der nächsten Frage: Warum wurde die Kontrolle nicht durchgeführt? Erst die Ursachenanalyse ermöglicht eine nachhaltige Verbesserung.
Wirtschaftlichkeit neu gedacht: Der Wert des unabhängigen Blicks
„Die Interne Revision verursacht Kosten, erzielt aber keinen unmittelbaren Umsatz.“ Diese Betrachtung greift zu kurz. Der Wert einer unabhängigen Prüfungsfunktion besteht gerade darin, Risiken sichtbar zu machen, deren finanzielle Auswirkungen sich häufig nicht unmittelbar quantifizieren lassen.
- Was kostet eine nicht funktionierende Kontrolle?
- Was kostet ein ineffizienter Prozess?
- Was kostet die Abhängigkeit von einzelnen Wissensträgern?
- Was kostet eine fehleranfällige manuelle Schnittstelle?
- Was kostet eine verspätete Reaktion auf regulatorische Anforderungen?
Die Antwort darauf ist selten eine einzelne Zahl. Der wirtschaftliche Beitrag der Revision liegt deshalb darin, Entscheidungsgrundlagen zu verbessern und Management sowie Fachbereiche frühzeitig auf Risiken und strukturelle Schwächen aufmerksam zu machen. Eine risikoorientierte Revision muss dabei unterscheiden können zwischen einem akzeptablen Restrisiko und einer Schwachstelle, bei der echter Handlungsbedarf besteht.
Revision als unabhängiger Sparringspartner
Damit diese Rolle funktioniert, braucht die Interne Revision vor allem eines: Unabhängigkeit. Sie muss in der Lage sein, Fragen zu stellen, auch wenn die Antworten unbequem sind. Gleichzeitig sollte sie nicht den Anspruch haben, die Aufgaben der geprüften Bereiche zu übernehmen. Die Verantwortung für Prozesse und Kontrollen bleibt beim Management und bei den zuständigen Fachbereichen.
Die Rolle der Revision ist eine andere: Sie beurteilt unabhängig, ob Governance, Risikomanagement und interne Kontrollen angemessen ausgestaltet sind und funktionieren. Damit wird die Revision nicht zum „Ersatzmanagement“, sondern zu einem wichtigen Sparringspartner.
Das setzt allerdings auch eine entsprechende Zusammenarbeit voraus. Eine Prüfung sollte kein Gegeneinander sein. Der Fachbereich kennt die operative Realität. Die Revision bringt die unabhängige Perspektive und den Blick auf Risiken und Zusammenhänge ein. Beides zusammen kann einen erheblichen Mehrwert erzeugen.
Resilienz entsteht nicht erst in der Krise
Die Diskussion über Resilienz hat in den vergangenen Jahren deutlich an Bedeutung gewonnen. Dabei wird Resilienz häufig mit der Fähigkeit verbunden, auf Krisen schnell reagieren zu können. Doch Widerstandsfähigkeit beginnt früher.
Wahre Widerstandsfähigkeit beginnt bei Prozessen, die auch unter veränderten Bedingungen funktionieren, und bei einer Unternehmenskultur, die bereit ist, aus Fehlern zu lernen. Genau deshalb ist die Interne Revision mehr als eine nachgelagerte Kontrollinstanz. Eine leistungsfähige Revisionskultur erkennt man daher nicht an der reinen Anzahl von Feststellungen, sondern im Umgang mit ihnen:
- Wird nach Verantwortlichen oder nach Ursachen gesucht?
- Werden Maßnahmen nur umgesetzt, damit der Punkt im nächsten Bericht als erledigt gilt? Oder wird tatsächlich eine nachhaltige Verbesserung erreicht?
Unbequeme Fragen als Wettbewerbsvorteil?
Natürlich ist die Interne Revision unbequem. Sie soll es in gewisser Weise auch sein. Denn eine Funktion, deren Aufgabe darin besteht, bestehende Strukturen unabhängig zu hinterfragen, kann nicht ausschließlich angenehme Fragen stellen.
Solche Fragen sind nicht Ausdruck eines Misstrauens gegenüber den Fachbereichen. Sie sind Ausdruck eines professionellen Umgangs mit Risiken. Denn ein Unternehmen wird nicht dadurch stabiler, dass bestehende Prozesse möglichst selten hinterfragt werden. Es wird stabiler, wenn es in der Lage ist, sich selbst kritisch zu überprüfen und aus den Erkenntnissen konkrete Verbesserungen abzuleiten.
Fazit: Besser heute unbequem als morgen überrascht
„Die Interne Revision kommt.“ Vielleicht wird dieser Satz auch künftig nicht für Begeisterungsstürme sorgen. Das muss er auch nicht. Eine Prüfung darf Aufwand verursachen. Sie darf Fragen aufwerfen. Und sie darf Themen sichtbar machen, die im Tagesgeschäft bislang keinen hohen Stellenwert hatten.
Entscheidend ist, was daraus entsteht. Eine gute Interne Revision produziert keine Fehlerlisten um ihrer selbst willen. Sie schafft Transparenz über Risiken, hinterfragt die Wirksamkeit von Kontrollen und hilft dabei, strukturelle Ursachen zu erkennen.
Ihr Wert zeigt sich deshalb nicht allein im Prüfungsbericht. Er zeigt sich dann, wenn ein Prozess nach der Prüfung tatsächlich besser funktioniert. Wenn Verantwortlichkeiten klarer sind. Wenn unnötige manuelle Arbeit entfällt. Wenn ein Risiko reduziert wurde. Wenn eine Kontrolle nicht nur dokumentiert, sondern tatsächlich wirksam ist. Und wenn das Management frühzeitig auf eine Entwicklung aufmerksam gemacht wurde, die später erheblichen Schaden hätte verursachen können.
Genau darin liegt der Wert der konstruktiven Unbequemlichkeit.
Besser eine unbequeme Frage im Rahmen einer internen Prüfung heute, als ein teures, vermeidbares Problem morgen, bei dem anschließend alle betroffenen Parteien fragen: „Warum hat das eigentlich niemand vorher gesehen?“
