Das Interne Kontrollsystem (IKS): GoBD-Anforderungen für die digitale Betriebsprüfung

Grundlagen und Ziele des Internen Kontrollsystems

Ein Internes Kontrollsystem, kurz IKS, ist die Summe aller Maßnahmen und Prozesse, die die Ordnungsmäßigkeit und Sicherheit der rechnungslegungsrelevanten IT-Systeme eines Unternehmens gewährleisten. Die rechtliche Verpflichtung zur Einrichtung eines solchen Systems ergibt sich aus den "Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff" (GoBD). Diese wurden durch das BMF-Schreiben vom 14.11.2014 eingeführt und lösten zum 01.01.2015 die zuvor geltenden GDPdU und GoBS ab.

Die zentralen Anforderungen an ein IKS sind in den GoBD, insbesondere in der Neufassung vom 28.11.2019, unter der Randziffer 100 ff. konkretisiert. Demnach muss der Steuerpflichtige Kontrollen einrichten, ausüben und protokollieren. Das übergeordnete Ziel ist die Einhaltung der Grundsätze ordnungsmäßiger Buchführung, namentlich Nachvollziehbarkeit, Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Erfassung, Ordnung und Unveränderbarkeit der Aufzeichnungen. Ein wirksames IKS schützt nicht nur das Unternehmensvermögen, sondern schafft auch die Basis für eine reibungslose digitale Betriebsprüfung.

Aufbau und Implementierung eines IKS nach GoBD

Die Implementierung eines Internen Kontrollsystems ist ein strukturierter Prozess, der mit einer Risikoanalyse beginnt. Dabei werden potenzielle Schwachstellen in den Prozessen und IT-Systemen identifiziert, die zu Fehlern oder Manipulationen führen könnten. Auf Basis dieser Analyse werden geeignete Kontrollmaßnahmen definiert. Diese lassen sich in verschiedene Kategorien einteilen:

• Zugangs- und Zugriffskontrollen: Technische Maßnahmen, die sicherstellen, dass Mitarbeiter nur auf die Daten und Funktionen zugreifen können, die sie für ihre Tätigkeit benötigen. Hierzu gehören Passwortrichtlinien, Berechtigungskonzepte und deren regelmäßige Überprüfung.
• Organisatorische Kontrollen: Maßnahmen wie die Funktionstrennung, bei der kritische Prozessschritte (z.B. Bestellung, Wareneingang und Rechnungsfreigabe) von unterschiedlichen Personen ausgeführt werden. Auch das Vier-Augen-Prinzip bei wichtigen Freigaben fällt in diese Kategorie.
• Verarbeitungs- und Plausibilitätskontrollen: In die Software integrierte Prüfungen, die Fehleingaben verhindern oder auf unlogische Datenkonstellationen hinweisen.

Ein entscheidender Aspekt ist die lückenlose Dokumentation des IKS. Diese ist ein integraler Bestandteil der nach GoBD geforderten Verfahrensdokumentation. Darin müssen der Aufbau, der Ablauf und die Ergebnisse des DV-Verfahrens einschließlich der eingerichteten Kontrollen detailliert beschrieben sein. Ohne eine solche Dokumentation kann ein Prüfer die Nachvollziehbarkeit der Prozesse in Frage stellen.

Überwachung, Prüfung und Anpassung des IKS

Ein IKS ist kein statisches Konstrukt, sondern muss kontinuierlich überwacht und an veränderte Rahmenbedingungen angepasst werden. Regelmäßige interne Prüfungen oder Audits sind unerlässlich, um die Wirksamkeit der Kontrollen zu verifizieren und Schwachstellen aufzudecken. Die Ergebnisse dieser Prüfungen sowie die daraus abgeleiteten Verbesserungsmaßnahmen sollten ebenfalls dokumentiert werden.

Im Rahmen einer steuerlichen Außenprüfung wird die Finanzverwaltung das vorhandene IKS und dessen Dokumentation prüfen. Ein funktionierendes und gut dokumentiertes System schafft Vertrauen und kann den Prüfungsaufwand reduzieren. Die Prüfer nutzen dabei ihre Zugriffsrechte gemäß § 147 Abs. 6 AO, die von einem Nur-Lese-Zugriff (Z1) über eine Auswertung durch das Unternehmen (Z2) bis zur vollständigen Datenträgerüberlassung (Z3) reichen. Insbesondere bei einer Anforderung zur Datenträgerüberlassung, dem sogenannten GDPdU-Export, müssen die exportierten Daten den formalen Anforderungen des Beschreibungsstandards genügen.

Anpassungsbedarf für das IKS ergibt sich beispielsweise aus neuen Geschäftsprozessen, der Einführung neuer Software oder geänderten gesetzlichen Vorgaben, wie den jüngsten Änderungen der GoBD durch die BMF-Schreiben vom 11.03.2024 oder 14.07.2025.

Praxisbeispiele und Konsequenzen bei Mängeln

Ein IKS manifestiert sich in konkreten Arbeitsabläufen. Im Einkauf könnte eine Kontrolle vorsehen, dass Auszahlungen über einem Betrag von 5.000 Euro automatisch eine Freigabe durch zwei autorisierte Personen erfordern. In der Lagerhaltung stellt die regelmäßige Durchführung von Inventuren mit Abgleich der Ergebnisse gegen die Soll-Bestände im Warenwirtschaftssystem eine wichtige Kontrolle dar.

Die Vernachlässigung des IKS kann gravierende Folgen haben.

Stellt ein Betriebsprüfer fest, dass das IKS fehlt oder erhebliche Mängel aufweist, die die Nachvollziehbarkeit und Nachprüfbarkeit der Buchführung beeinträchtigen, kann er die Ordnungsmäßigkeit der gesamten Buchführung verwerfen. Die häufigste Konsequenz ist eine Hinzuschätzung von Umsätzen und Gewinnen nach § 162 AO. Werden geforderte Daten nicht oder nur verzögert bereitgestellt, drohen zudem empfindliche Sanktionen. Hierzu zählen das Verzögerungsgeld nach § 146 Abs. 2c AO (2.500 bis 250.000 Euro) oder das seit 2025 geltende Mitwirkungsverzögerungsgeld nach § 200a AO. Über die Folgen von GoBD-Verstößen sollten Sie sich daher umfassend informieren.

Auch die kommenden gesetzlichen Änderungen erfordern ein robustes IKS. Ab dem 01.01.2025 müssen inländische B2B-Unternehmen elektronische Rechnungen empfangen können. Die korrekte Verarbeitung und revisionssichere Archivierung der strukturierten Datensätze von Formaten wie XRechnung oder ZUGFeRD kann nur durch ein darauf ausgelegtes Kontrollsystem sichergestellt werden, das die Unveränderbarkeit und maschinelle Auswertbarkeit über die gesamte Aufbewahrungsfrist gewährleistet.