GRC-System einführen: Praxisbericht aus dem Mittelstand / 3.6 Schritt 6: Anpassungen

Die Abläufe und Strukturen, die bereits in die Forderungen passen, sind Bestandteil des GRC-Systems. Dieses muss noch um die Punkte erweitert werden, die jetzt noch nicht grün sind. Die Abweichungen des Istzustandes zum Sollzustand sind zu minimieren.

• Abläufe anpassen: Vorhandene Abläufe werden so verändert, dass sie Teil des GRC-Systems werden, also die Forderungen erfüllen. So können z. B. vorhandene Prüfungen dokumentiert werden, um einen Nachweis führen zu können.
• Dokumentation anpassen: Vorhandene Dokumente, die bereits geprüft werden, werden um weitere Inhalte ergänzt und erfüllen dann die Forderungen.
• Alternative Wege: Vorhandene alternative Wege, die zu dem gewünschten Ziel führen, werden Teil des GRC-Systems.
• Alternativen: Vorhandene Abläufe, die eine geringere Sicherheit ergeben, können ausreichend sein. Wird das reduzierte Sicherheitsniveau akzeptiert, werden diese Alternativen in das System einbezogen. So werden z. B. verlangte Prüfungen der Kassenzahlungen nicht monatlich sondern quartalsweise durchgeführt. Der Risikoanstieg ist vertretbar und wird akzeptiert.
• Alternativen: Die oft verlangten manuellen Prüfungen können mit IT-Unterstützung automatisiert werden. Die Kosten siken, die Sicherheit ist trotzdem gegeben.

Praxis-Beispiel

Manuelle Stichprobe wird durch automatisierte Prüfung ersetzt

In einer Forderung zum GRC-System wird verlangt, dass bei jedem Zahlungslauf zufällig 1 % der Zahlungen auf Plausibilität vom Leiter Rechnungswesen zu prüfen sind. Verglichen wird dabei die bisherige durchschnittliche Zahlungshöhe mit der aktuellen Zahlung. Um den Zahlungslauf nicht zu stören, wird jetzt automatisch jede Zahlung auf diese Plausibilität geprüft. Festgestellte Ausreißer werden zentral erfasst und dann vom Leiter der Buchhaltung geprüft. So konnte der laufende Prüfungsaufwand wesentlich gesenkt werden.

Die notwendigen Maßnahmen umfassen vor allem

• die Installation von Kontrollen und Dokumentationen,
• die Schaffung neuer Abläufe und
• die Integration neuer Systeme.

Bewährt hat es sich, in vielen Fällen einfach zu handeln. So wurde z. B. die Anzahl der Bankkoten reduziert, nicht auf das gewünschte einzige Konto aber doch um einige kleinere Konten verringert. Die Berechtigungen für den Datenzugriff wurden verringert, vorhandene Sitzungen zur Problembesprechung wurden systematisiert und mit regelmäßigen Terminen versehen. So wurden viele Forderungen erfüllt.

Nach der Durchführung der ersten Änderungen ergibt sich die folgende Verteilung:

Zustand	Anzahl nach Istaufnahme	Veränderung	Anzahl nach ersten Aktivitäten
grün	263		467
gelb	233	200 → grün	43
rot	21	10 → gelb / 4 → grün	7