Wie sieht die Zukunft der internen Revision aus?
Die Zukunft der internen Revision ist geprägt von Kontinuität, Vernetzung und Vorausschau. Anstatt jährliche Prüfungspläne durchzuführen und darüber zu berichten, was bereits schiefgelaufen ist, verlagern interne Revisionsteams ihren Schwerpunkt zunehmend auf die Echtzeit-Risikoüberwachung innerhalb eines integrierten Risiko-Ökosystems: einer gemeinsamen Umgebung, in der Prüfungs-, Risiko- und Compliance-Daten alle dieselbe Sprache sprechen.
Diese Veränderung ist von Bedeutung, da Risiken nicht mehr auf Ihren Prüfungsplan warten. Eine im März festgestellte Kontrolllücke kann bereits irrelevant sein, wenn der Bericht im September vorliegt. Unternehmen, die Prüfungsergebnisse mit unternehmensweiten Risikodaten verknüpfen, anstatt sie in einem separaten System abzulegen, können Probleme frühzeitig angehen, bevor sie Schlagzeilen machen.
Im Folgenden erläutern wir, welche Faktoren diesen Wandel vorantreiben, wie ein integriertes Risiko-Ökosystem in der Praxis tatsächlich aussieht und was dies für die internen Revisoren bedeutet, die diese Arbeit leisten.
Der jährliche Prüfungsplan verliert an Bedeutung
Über weite Teile der Geschichte der internen Revision war die Aufgabe recht einfach. Jedes Jahr wählte man eine Reihe von Bereichen aus, prüfte die Kontrollmechanismen, hielt fest, was nicht funktionierte, und ging dann zum nächsten Auftrag über. Das funktionierte gut, als sich Risiken nur langsam entwickelten und die Unternehmen zwischen den Prüfungszyklen Zeit hatten, zu reagieren.
Das ist nicht das Umfeld, in dem heute noch jemand agiert. Alle sechs Minuten tritt irgendwo auf der Welt eine neue regulatorische Änderung in Kraft. Hinzu kommen die digitale Transformation, eine stärkere Abhängigkeit von Dritten und der Einzug der KI in alltägliche Geschäftsprozesse – und so hat die Geschwindigkeit, mit der neue Risiken entstehen, den Prüfungszyklus überholt, der eigentlich dazu gedacht ist, diese zu erkennen. Ein Prüfungsbefund von vor sechs Monaten beschreibt möglicherweise bereits ein Problem, das sich inzwischen zu etwas völlig anderem gewandelt hat.
Dies zwingt zu einem Umdenken darüber, wozu die interne Revision eigentlich dient. Es reicht nicht mehr aus, nur eine Funktion zu sein, die im Nachhinein auftaucht und erklärt, was passiert ist. Der Mehrwert liegt nun darin, Risikosignale früh genug zu erkennen, um darauf reagieren zu können – was bedeutet, dass die Revision auf dieselben Datenströme zugreifen muss, die auch die Risiko- und Compliance-Teams bereits überwachen.
Von punktuellen Überprüfungen bis hin zu kontinuierlichen Einblicken in das Risikoprofil
Ein kontinuierlicher Einblick in die Risiken bedeutet nicht, dass man die Audit-Methodik über Bord werfen muss. Es bedeutet vielmehr, dass man sie mit Echtzeitdaten versorgt, anstatt sich ausschließlich auf planmäßige Überprüfungen zu verlassen.
In der Praxis sieht das so aus:
- Die Entwicklung der Kontrollleistung nicht nur während der formellen Prüfungen, sondern auch dazwischen zu überwachen
- Die Schwerpunkte der Prüfung neu zu priorisieren, sobald neue Risikosignale auftreten, anstatt starr an einem vor 11 Monaten festgelegten Plan festzuhalten
- Nutzung integrierter Daten – nicht nur der Daten aus dem Bereich der Revision – zur Erkennung von Mustern im gesamten Unternehmen
Stellen Sie sich die Revision wie ein Radarsystem vor. Es scannt ständig und erfasst kontinuierlich Signale aus den Bereichen Betrieb, Technik und Controlling, anstatt nur einmal im Jahr für eine planmäßige Überprüfung aktiviert zu werden.
Was ist ein integriertes Risiko-Ökosystem?
Ein integriertes Risiko-Ökosystem ist ein gemeinsamer Rahmen, in dem Unternehmensrisiken, Kontrollen der zweiten Verteidigungslinie und Compliance, Prüfungsergebnisse sowie die Behebung von Problemen in miteinander verbundenen Systemen unter Verwendung gemeinsamer Taxonomien zusammengefasst sind – und nicht in separaten Silos mit eigenen Tabellenkalkulationen, Definitionen und Berichtsrhythmen.
Die meisten Unternehmen führen diese Funktionen nach wie vor unabhängig voneinander aus. Das Risikomanagement verfügt über ein eigenes Risikoregister. Die Compliance-Abteilung verfolgt die Verpflichtungen auf ihre eigene Weise. Die Revision führt ein eigenes Protokoll über ihre Feststellungen. Die Folge sind Doppelarbeit, uneinheitliche Terminologie und blinde Flecken, die niemand bemerkt, bis es in zwei Abteilungen gleichzeitig zu Problemen kommt.
Durch die Verknüpfung dieser Elemente ändert sich, was die Revision tatsächlich erkennen kann. Anstatt einen Befund isoliert zu betrachten, können die Prüfer nachvollziehen, in welchem Zusammenhang dieser Befund mit einer übergeordneten Unternehmensrisikokategorie steht, ob ähnliche Kontrollmängel auch in anderen Geschäftsbereichen auftreten und ob die Abhilfemaßnahmen tatsächlich umgesetzt werden oder lediglich auf dem Papier als „abgeschlossen“ vermerkt werden.
Umwandlung von Prüfungsergebnissen in Risikoinformationen
Ein einzelner Prüfungsbefund sagt für sich genommen nicht viel aus. Er ist eine Momentaufnahme einer Kontrolle in einem Prozess zu einem bestimmten Zeitpunkt.
Wenn diese Erkenntnis jedoch auf Unternehmensrisikokategorien abgebildet, mit einem bestimmten Geschäftsprozess verknüpft, mit ihrer Grundursache in Verbindung gebracht und bis zur Behebung nachverfolgt wird, wird sie zu etwas viel Nützlicherem: zu einem Datenpunkt in einem viel größeren Zusammenhang.
Gerade bei der Mustererkennung zeigt sich der wahre Wert. Wiederkehrende Kontrollmängel in verschiedenen Regionen. Systemische Schwachstellen in einem bestimmten Prozess. Probleme, die immer wieder „behoben“ werden, ohne jemals wirklich abgeschlossen zu sein. Nichts davon ist erkennbar, wenn die Ergebnisse in isolierten Berichten verbleiben.
Das ist der praktische Unterschied zwischen der Schilderung dessen, was passiert ist, und der Erklärung, warum es immer wieder passiert – und, was noch nützlicher ist, was man als Nächstes dagegen tun kann.
Auch die Berichterstattung über Wirtschaftsprüfungen muss sich ändern
Vorständen und Führungskräften mangelt es nicht an Daten. Was ihnen fehlt, ist die Fähigkeit zur Synthese. Ein 40-seitiger Bericht voller einzelner Erkenntnisse und Bewertungen gibt einem Finanzvorstand keinen Aufschluss darüber, wie sich das Risikoengagement des Unternehmens tatsächlich entwickelt.
Moderne Prüfungsberichte müssen von Erkenntnissen ausgehen, nicht von Beobachtungen. Das bedeutet, Prioritäten zu setzen:
- Die wenigen Risikothemen, die derzeit am wichtigsten sind
- Grundursachen, die sich über mehrere Funktionsbereiche erstrecken und nicht nur eine Abteilung betreffen
- Ob sich die Wirksamkeit der Kontrollen im Laufe der Zeit verbessert oder verschlechtert
- Empfehlungen, die direkt mit geschäftlichen Entscheidungen verknüpft sind, und keine allgemeinen Formulierungen wie „Kontrollen verstärken“
Wenn dies gut umgesetzt wird, verwandelt sich der Prüfungsbericht von einem reinen Compliance-Dokument in etwas, das Führungskräfte tatsächlich lesen und auf das sie reagieren. Außerdem wird die interne Revision dadurch als Berater positioniert und nicht mehr nur als „Punktezähler“.
Integrierte Prüfung bedeutet nicht, dass man seine Unabhängigkeit verliert
Häufig wird befürchtet, dass eine engere Zusammenarbeit mit den Risiko- und Compliance-Teams die Unabhängigkeit der Revision beeinträchtigt. In der Praxis bewirkt sie jedoch – wenn sie richtig umgesetzt wird – genau das Gegenteil.
Integrierte Qualitätssicherung bedeutet, gemeinsame Daten zu nutzen, um:
- Reduzieren Sie doppelte Tests in den drei Produktlinien
- Lücken im Versicherungsschutz aufdecken
- Die begrenzten Prüfungsressourcen auf die Bereiche mit dem höchsten tatsächlichen Risiko konzentrieren
Die Revision behält weiterhin ihre unabhängige Rolle bei: Sie hinterfragt Annahmen, überprüft, ob Risikomanagementprozesse tatsächlich funktionieren, und erstattet unvoreingenommen Bericht. Gemeinsame Daten ersetzen nicht das unabhängige Urteilsvermögen. Es bedeutet lediglich, dass dieses Urteilsvermögen auf einem umfassenderen Gesamtbild basiert.
Die Rolle von Technologie und KI in der modernen Wirtschaftsprüfung
Ohne die richtige Infrastruktur funktioniert nichts davon. Integrierte Risikoplattformen bieten den Bereichen Revision, Risiko und Compliance eine einheitliche Umgebung, in der Ergebnisse, Risiken und Kontrollmaßnahmen miteinander verknüpft sind, anstatt in separaten Tabellenkalkulationen zu existieren. Mehr als 1.300 Unternehmen nutzen Archer®, darunter die Hälfte der Fortune-500-Unternehmen und 37 der 50 weltweit führenden Banken.
Plattformen dieser Stufe unterstützen in der Regel:
- Zentralisiertes Audit-Management über den gesamten Lebenszyklus hinweg, von der Planung bis zur Nachverfolgung von Problemen
- Direkter Zusammenhang zwischen Feststellungen, Risiken und Kontrollmaßnahmen
- Echtzeit-Dashboards statt statischer, bereits ein Quartal alter Berichte
- Automatisierte Arbeitsabläufe, die den manuellen Dokumentationsaufwand reduzieren
KI baut auf dieser Grundlage eine weitere Ebene auf. Sie macht auf Anomalien in großen Datensätzen aufmerksam, unterstützt die kontinuierliche Überwachung und beschleunigt die Dokumentation und die Tests, die früher einen Großteil der Arbeitszeit eines Prüfers in Anspruch nahmen.
Allerdings ist KI ein Hilfsmittel und kein Ersatz für menschliches Urteilsvermögen. Sie funktioniert am besten, wenn sie ordnungsgemäß geregelt ist, mit klarer Aufsicht und Prüfern, die den von der Technologie aufgedeckten Sachverhalten weiterhin mit professioneller Skepsis begegnen. Wenn ein Modell eine Anomalie meldet, muss immer noch ein Mensch entscheiden, ob diese tatsächlich von Bedeutung ist. Das ist der Unterschied zwischen einem Prüfungsurteil, das man gegenüber einem Prüfer verteidigen kann, und einem, das man lediglich erklären kann.
Was dies für interne Revisoren bedeutet
Die Anforderungen an die Qualifikationen ändern sich. Technisches Kontrollwissen und Grundlagen der Buchhaltung sind nach wie vor unverzichtbar, reichen aber allein nicht mehr aus.
Die Wirtschaftsprüfer, die in diesem Umfeld erfolgreich sind, zeichnen sich in der Regel durch folgende Kombination von Eigenschaften aus:
- Solide Grundlagen des Risikomanagements
- Sicherer Umgang mit Daten und Analysetools
- Ein echtes Verständnis dafür, wie das Unternehmen tatsächlich funktioniert – und nicht nur, wie es auf dem Papier funktionieren sollte
- Die Fähigkeit, komplexe Ergebnisse Führungskräften, die nicht aus dem Bereich der Wirtschaftsprüfung kommen, verständlich zu erklären
- Ausreichende technische Kompetenz, um mit KI und integrierten Plattformen zusammenzuarbeiten und nicht nur um sie herumzuarbeiten
Diese Position ist mittlerweile interdisziplinär. Sie ist teils Wirtschaftsprüfer, teils Analyst und teils Vermittler zwischen technischen Erkenntnissen und geschäftlichen Entscheidungen.
Das Fazit
Die interne Revision ist weder ein optionaler Kostenfaktor noch eine einmal im Jahr stattfindende Maßnahme zur Einhaltung von Vorschriften. Unternehmen, die die Revision in ein gemeinsames Risiko-Ökosystem einbinden, anstatt sie als isolierte Funktion zu betreiben, erhalten frühzeitigere Warnungen vor aufkommenden Risiken und können auf Führungsebene fundiertere Entscheidungen treffen.
Der künftige Wert dieser Funktion wird nicht daran gemessen, wie viele Prüfungen durchgeführt wurden, sondern daran, inwieweit die Ergebnisse einer Prüfung tatsächlich zu einer Änderung einer Entscheidung geführt haben.
Wenn Sie gerade dabei sind, zu erarbeiten, wie dieses vernetzte Modell für Ihre eigene Revisionsfunktion aussehen könnte, sehen Sie sich an, wie Archer die Bereiche Revision, Risiko und Compliance auf der Grundlage gemeinsamer Daten und Taxonomien zusammenführt.
Weitere Informationen finden Sie unter https://www.archerirm.com/audit-management
Häufig gestellte Fragen
Was versteht man unter einem integrierten Risiko-Ökosystem in der internen Revision?
Ein integriertes Risiko-Ökosystem ist ein vernetztes Rahmenwerk, in dem die Bereiche Revision, Risikomanagement und Compliance Daten, Taxonomien und Berichtsstrukturen gemeinsam nutzen, anstatt in getrennten Silos zu arbeiten. Es ermöglicht der internen Revision einen Überblick darüber, in welchem Zusammenhang einzelne Feststellungen mit übergeordneten Unternehmensrisiken stehen, anstatt jede Feststellung isoliert zu betrachten.
Inwiefern unterscheidet sich die interne Revision von der kontinuierlichen Risikoüberwachung?
Die traditionelle interne Revision stützt sich auf geplante Prüfungen und regelmäßige Überprüfungen, die in der Regel einem Jahresplan folgen. Die kontinuierliche Risikoüberwachung nutzt Echtzeit- oder nahezu Echtzeitdaten, um die Wirksamkeit der Kontrollmechanismen und neu auftretende Risiken zwischen den formellen Prüfungen zu verfolgen. So können die Teams ihre Prioritäten an veränderte Rahmenbedingungen anpassen, anstatt auf die nächste geplante Überprüfung zu warten.
Wird die Unabhängigkeit der internen Revision durch die Nutzung gemeinsamer Risikodaten beeinträchtigt?
Nein. Bei korrekter Umsetzung fördern gemeinsam genutzte Daten die Unabhängigkeit, anstatt sie zu untergraben. Die interne Revision führt weiterhin unabhängige Prüfungen durch, hinterfragt Annahmen und erstattet unvoreingenommene Berichte. Der Zugriff auf gemeinsam genutzte Risiko- und Compliance-Daten verschafft den Prüfern lediglich einen besseren Kontext und hilft ihnen dabei, ihre Ressourcen gezielt auf Bereiche mit höherem Risiko zu konzentrieren, anstatt die Prüfung gleichmäßig zu verteilen, ohne das tatsächliche Risiko zu berücksichtigen.
Welche Kompetenzen benötigen interne Revisoren für die Zukunft der internen Revision?
Technisches Kontrollwissen und Grundlagen der Buchhaltung bilden nach wie vor die Basis, reichen jedoch allein nicht mehr aus. Interne Revisoren benötigen zunehmend Kenntnisse in den Grundlagen des Risikomanagements, den sicheren Umgang mit Daten und Analysetools, ein praktisches Verständnis der Geschäftsabläufe, die Fähigkeit, Ergebnisse Führungskräften außerhalb des Revisionsbereichs zu erläutern, sowie ausreichende technische Kompetenz, um mit KI und integrierten Risikoplattformen zu arbeiten.
