Internes Kontrollsystem und Zugriffsrechte: was ein Kleinbetrieb wirklich braucht

„Internes Kontrollsystem" klingt nach Konzern, nach Revisionsabteilung und nach etwas, das man sich als Betrieb mit drei Leuten nicht leisten kann. Der Begriff steht aber in den GoBD, und er meint dort etwas viel Kleineres, als er klingt.

Dieser Artikel erklärt, was tatsächlich verlangt wird, wie ein Kontrollsystem aussieht, wenn eine einzige Person den Betrieb führt, und wie man Zugriffsrechte so regelt, dass die Regelung auch stimmt.

Was die GoBD tatsächlich verlangen

Der maßgebliche Satz ist kurz: „Für die Einhaltung der Ordnungsvorschriften des § 146 AO hat der Steuerpflichtige Kontrollen einzurichten, auszuüben und zu protokollieren."

Drei Verben, und alle drei zählen. Einrichten heißt: festlegen, was kontrolliert wird. Ausüben heißt: es auch tun. Protokollieren heißt: es nachweisbar machen. Die dritte fehlt in der Praxis am häufigsten — eine Kontrolle, die stattfindet, aber nirgends auftaucht, ist bei einer Prüfung nicht belegbar.

Dazu nennen die GoBD eine Reihe von Kontrollen, unter anderem Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen, Erfassungs- und Eingabekontrollen, Abstimmungskontrollen, Verarbeitungskontrollen sowie Schutzmaßnahmen gegen die beabsichtigte und unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten.

Entscheidend ist, dass das Beispiele sind — keine Liste, die jeder Betrieb abhaken müsste. Genau daran scheitert das Thema meistens: Wer die Aufzählung für eine Pflichtliste hält, kommt bei einem Betrieb mit zwei Personen zu dem Schluss, dass er sie unmöglich erfüllen kann, und lässt es dann ganz.

„Ich bin allein — Funktionstrennung geht bei mir nicht"

Stimmt. Funktionstrennung bedeutet, dass nicht dieselbe Person einen Vorgang auslösen, ausführen und kontrollieren soll. In einem Ein-Personen-Betrieb ist das nicht möglich, und es wird auch nicht möglich, wenn man es geschickter aufschreibt.

Das ist kein Mangel, den Sie verstecken müssen. Der professionelle Umgang damit ist, es hinzuschreiben — und daneben zu beschreiben, was stattdessen greift. Ein Prüfer, der liest „eine Funktionstrennung ist im Betrieb nicht darstellbar; stattdessen werden folgende Kontrollen durchgeführt", sieht jemanden, der seine Lage kennt. Ein Prüfer, der ein Zugriffskonzept mit vier Rollen für einen Ein-Personen-Betrieb liest, sieht etwas Abgeschriebenes.

Was ein Alleinarbeitender stattdessen setzen kann:

• Abstimmung von Bank und Kasse in festem Rhythmus — der wirksamste Einzelposten, weil dabei fast jeder Erfassungsfehler auffällt
• Lückenlose, fortlaufende Belegnummern: Eine Lücke fällt auf, ohne dass jemand kontrollieren muss
• Belegprüfung vor der Buchung: Ist der Beleg vollständig, lesbar, richtig zugeordnet?
• Die Plausibilitätsprüfung durch das Steuerbüro, sofern eines beteiligt ist — als eine Kontrolle unter mehreren, nicht als Ersatz
• Automatische Protokollierung in der Software, wo sie vorhanden ist: Sie ersetzt die zweite Person durch eine Spur

Zugriffsrechte, wenn man zu zweit oder zu fünft ist

Sobald mehr als eine Person an die Buchhaltung kommt, wird aus der Frage „wer darf was" eine echte. Drei Punkte entscheiden, und keiner kostet Geld.

Persönliche Zugänge statt eines gemeinsamen Passworts. Ein geteilter Zugang macht die wichtigste Kontrolle wirkungslos: Man kann nicht mehr feststellen, wer etwas eingetragen oder geändert hat. Damit ist auch die Protokollierung der Software wertlos, denn sie protokolliert dann nur noch, dass „das Büro" etwas getan hat.

Schreiben und Lesen trennen. Nicht jeder, der Zahlen sehen muss, muss sie ändern dürfen. In den meisten Kleinbetrieben ist die ehrliche Antwort: eine Person schreibt, alle anderen lesen. Das ist ein vollwertiges Zugriffskonzept — und für die Belegablage ist es zugleich die Maßnahme, die die Unveränderbarkeit sicherstellt.

Das Ausscheiden mitregeln. Hier brechen Zugriffskonzepte in der Praxis: Der Aushilfe von vor zwei Jahren gehört noch immer ein aktiver Zugang. Legen Sie fest, wer beim Ausscheiden welche Zugänge entzieht und bis wann.

Der Punkt, den fast alle vergessen: die Vertretung

Die Frage „wer macht das, wenn Sie zwei Wochen ausfallen?" ist keine Formalie. Bei einer Kassennachschau ist „das macht sonst meine Frau, die ist gerade im Urlaub" die schlechteste aller Antworten — nicht weil es verboten wäre, sondern weil in diesem Moment niemand im Betrieb Auskunft geben kann.

Eine Vertretungsregelung besteht aus zwei Zeilen: wer übernimmt, und wo diese Person findet, was sie dafür braucht. Für viele Betriebe ist die Antwort das Steuerbüro. Auch das ist eine Antwort — sie muss nur aufgeschrieben sein.

Ein Kontrollplan, der auf eine halbe Seite passt

So sieht ein internes Kontrollsystem für einen kleinen Betrieb aus. Mehr braucht es in aller Regel nicht — es muss nur festgelegt, tatsächlich gemacht und kurz festgehalten sein.

Der Nachweis darf schlicht sein. Ein Kürzel mit Datum auf dem Kontoauszug ist eine Protokollierung. Wichtig ist nur, dass er nachvollziehbar ist und nicht nachträglich spurlos geändert werden kann — und dass er aufbewahrt wird: Die Kontroll- und Protokolldokumentation gehört zu den Unterlagen, die über die Aufbewahrungsfrist verfügbar bleiben müssen.

Was davon in die Verfahrensdokumentation gehört

• Welche Kontrollen es gibt und in welchem Rhythmus sie stattfinden
• Wer sie durchführt — namentlich, nicht „die Buchhaltung“
• Woran man sieht, dass sie stattgefunden haben
• Wer welche Zugriffsrechte hat und wer ändern darf
• Wie Zugänge beim Ausscheiden entzogen werden
• Wer vertritt, wenn die verantwortliche Person ausfällt
• Falls keine Funktionstrennung möglich ist: dass es so ist, und was stattdessen greift

Wie die Belegablage dahinter aussieht — Ordnerstruktur, Dateinamen, Schreibrechte — steht in Belege digital ablegen. Und was ein Steuerbüro von Ihnen erwartet und was es selbst übernimmt, steht in Verfahrensdokumentation fehlt.

Häufige Fragen

Fazit

Ein internes Kontrollsystem ist kein Apparat, sondern eine Liste von wenigen Handgriffen, die ohnehin jemand macht — nur eben festgelegt, tatsächlich ausgeführt und kurz festgehalten. Der Unterschied zwischen einem Betrieb, der das hat, und einem, der es nicht hat, ist selten der Aufwand. Es ist die halbe Seite, auf der es steht.