Vom Prüfen zum Zusammenwirken

Prozesse, IKS und Interne Revision in der integrierten Governance

Das klassische „Three Lines of Defense“-Modell wurde schon vor einer Weile durch das modernisierte „Three Lines Model“des IIA ersetzt. Diese Änderung wirkt auf den ersten Blick wie eine sprachliche Anpassung, steht aber tatsächlich für einen grundlegenden Perspektivwechsel.

Die Verteidigungslogik tritt in den Hintergrund und an ihre Stelle rückt die Idee einer integrierten Governance, in der Risiko- und Kontrollfunktionen nicht neben-/hintereinander, sondern miteinander arbeiten: wertbeitragsorientiert, kooperativ und auf Zielerreichung ausgerichtet.

Und in der Prüfungspraxis? Alte Denkmuster halten sich, insbesondere in regulierten Branchen, hartnäckig. Die Prüfung folgt vielfach noch der Verteidigungslogik: Die Interne Revision als (letzte) Bastion gegen Fehler und Risiken; Prüfungen im Wesentlichen in der ersten Linie.

Drei Elemente im Zusammenspiel

Ein funktionierendes integriertes Governance-System lebt vom Zusammenwirken dreier Elemente:

Prozesse – die operative Wertschöpfung, in der Risiken entstehen und gesteuert werden.
Das geschäftsprozessbezogene IKS – das über Standards, Kontrollen und Kontrolltests sicherstellt, dass Risikoursachen angemessen und wirksam behandelt werden.
Die Interne Revision – die unabhängig prüft, ob Governance, Risikomanagement und Kontrolle wirksam funktionieren.

Dieses Zusammenspiel ist kein „Nebeneinander von Linien“, sondern ein wechselseitiger Steuerungs- und Vertrauensmechanismus. Nur wenn alle ihre Rolle verstehen und die Ergebnisse der anderen nutzen, entsteht echte Governance.

Ein wirkungsvolles IKS lebt nicht allein von der Existenz von Kontrollen, sondern von deren regelmäßiger Wirksamkeitskontrolle. Die sogenannten Kontrollwirksamkeitstests gehören zum Standard eines reifen IKS. Sie sind die Kontrolle der Kontrolle – mit direktem Rückkopplungseffekt auf die Prozessgestaltung. So schließen sie den Regelkreis zwischen Prozess, Risiko und Steuerung.

Kontrollwirksamkeitstests können durch die erste Linie (im Auftrag der IKS-Instanz) oder durch die zweite Linie selbst erfolgen. Wenn also in einem Institut oder Unternehmen solche Tests etabliert sind und belastbare Ergebnisse liefern, stellt sich die Frage: Warum muss die Interne Revision jede einzelne Kontrolle erneut vollständig prüfen?

Eine risikoorientierte Sichtweise – konsequent zu Ende gedacht

Regulatorisch und aus den Standards ist klar: Die Interne Revision hat risikoorientiert zu prüfen. Art und Umfang sind jedoch nicht (aufsichtlich) determiniert, sondern Ergebnis eigener Überlegungen. Diese Freiheit bringt Verantwortung mit sich. Sie eröffnet die Möglichkeit, den Fokus stärker auf die zweite Linie zu richten, auf deren Methoden, Verfahren und Ergebnisse.

Wenn also Funktionen der zweiten Linie, wie das IKS, systematisch und verlässlich die Wirksamkeit von Kontrollen testen, liegt darin eine wertvolle Grundlage für die Revision.

Warum prüft die Interne Revision also nicht verstärkt:

die Funktionsfähigkeit der zweiten Linie,
deren Methoden, Prozesse und Ergebnisse,
und ob die Kontrollwirksamkeitstests selbst ordnungsgemäß durchgeführt wurden?

Das wäre keine Abkürzung, sondern eine Professionalisierung der Prüfungslogik.Die Revision würde sich auf belastbare Ergebnisse abstützen, Redundanzen vermeiden und ihre Kapazität stärker auf Governance-Themen, Risikoentwicklungen und Zukunftsfragen richten.

Ein solches Vorgehen bietet mehrere Vorteile:

Entlastung der ersten Linie: Weniger doppelte Kontrollen bzw. Prüfungen derselben Kontrollen, wenn bereits verlässlich getestet.
Stärkung der zweiten Linie: Deren Governance-Rolle wird ernst genommen und systematisch einbezogen.
Raum für Zukunftsthemen: Die Revision kann proaktiv Projekte begleiten, statt nur ex post zu prüfen.

Es entstünde Raum, die Governance-Funktionen der zweiten Linie systematischer zu beleuchten, an ihrer Weiterentwicklung mitzuwirken und deren Wirksamkeit als Teil des Gesamtsteuerungssystems zu bewerten. Raum auch, um zukunftsgerichtete Projekte revisionsseitig zu begleiten – proaktiv, beratend und wertschöpfend.

Integrierte Governance als Haltung

Das Three Lines Model betont Zusammenarbeit, Verantwortlichkeit und Transparenz. Diese Grundsätze gelten nicht nur auf dem Papier – sie müssen sich im täglichen Zusammenspiel zeigen.

Integrierte Governance bedeutet, dass Prozesse, IKS und Revision nicht nebeneinander existieren, sondern in einem gemeinsamen Verantwortungsrahmen agieren. Jede Linie trägt ihren Beitrag zur Wirksamkeit des Ganzen bei – die erste in der Umsetzung, die zweite in der Begleitung und Überwachung, die dritte in der unabhängigen Bewertung und Reflexion.

Die Zukunft der Internen Revision liegt damit nicht im immer feineren Prüfen einzelner Kontrollen, sondern in der intelligenten Integration der Ergebnisse anderer Governance-Funktionen. Wenn die Revision diese Ergebnisse kritisch würdigt und auf dieser Basis eigene Schwerpunkte setzt, wird sie zum echten Teil der Steuerung – unabhängig, aber nicht isoliert.

Ausblick

Wie dieser Prüfungsansatz im Rahmen einer integrierten Governance von einer einheitlichen, gut strukturierten Prozesslandkarte abhängt – und welche Rolle die Prozesswesentlichkeit in der Prüfungsplanung der Internen Revision spielt –, zeigen wir in unserem nächsten Beitrag.