Governance und IKS in Banken: Wie viele Kontrollen sind sinnvoll?

Governance und interne Kontrollsysteme: Warum Kontrollinflation entsteht 

Neben Risikomanagement und IKS umfasst Governance in Banken auch die Compliance-Funktion sowie das Management nichtfinanzieller Risiken (Non-Financial Risks). Damit ist Governance viel mehr als nur Organigramm und Gremienordnung: Sie ist vergleichbar mit einem Betriebssystem, das Verantwortlichkeiten, Aufbau‑ und Ablauforganisation, Stresstests, Datenmanagement und besondere Funktionen zusammenführt. In Deutschland prägen die Mindestanforderungen an das Risikomanagement (MaRisk) diese Architektur. EU‑weit ergänzt wird sie durch die EBA‑Leitlinien zur internen Governance mit ihren Anforderungen an Governance‑Frameworks, Verantwortlichkeitshierarchien und interne Kontrollfunktionen.

Gerade weil Governance so umfassend ist, wachsen Kontrollen häufig historisch und anlassgetrieben: Neue Risiken, neue Produkte, neue Prüfungsfeststellungen oder neue Regime führen zu zusätzlichen Kontrollen, ohne dass systematisch geprüft wird, ob bereits eine Kontrolle denselben Sachverhalt abdeckt. Besonders sichtbar wird das dort, wo spezialisierte Vorgaben Kontrollen nachschärfen – etwa im Hinblick auf Auslagerungen oder IT‑Risiken und digitale Resilienz.

Ökonomisch wird daraus ein Problem: Kontrollinflation erhöht nicht nur die Ausführungskosten, sondern vor allem den Abstimmungs‑ und Dokumentationsaufwand. Zusätzlich entstehen Schnittstellenkosten zwischen Abteilungen, Teams und Tools. Dabei wird die Nachweisführung oft schlechter, weil Belege (Evidence) über unterschiedliche Ablagen verteilt sind. In der Praxis sind Institute häufig stark im Hinblick auf das Design der Kontrollen, zeigen sich beim gelebten Nachweis der Kontrolltätigkeit, dem „Run“, jedoch schwächer. Genau hier wird aber Governance‑Wirksamkeit sichtbar.

Das Kernproblem ist daher: Wie lässt sich eine Kontrolllandschaft so gestalten, dass sie wesentliche Risiken zuverlässig abdeckt, dabei Doppel‑ und Mehrfachkontrollen vermeidet und die Wirksamkeit im Betrieb sauber nachweisbar macht – ohne dass dafür ein weiteres Großprojekt nötig wird?

Effiziente Governance: Redundanz senken, Wirksamkeit erhöhen 

IKS-Effizienz darf nicht mit lediglich „weniger Kontrollen“ verwechselt werden. Ziel ist eine Kontrolllandschaft mit hoher Schutzwirkung pro Aufwandseinheit. Dafür eignen sich drei mess‑ und steuerbare Zielgrößen, die gleichzeitig prüf- und berichtsfähig bleiben:

1. Redundanz reduzieren: Mehrfachkontrollen zum selben Sachverhalt vermeiden – außer dort, wo bewusst eine sinnvolle Kontrollkaskade (präventiv und detektiv) benötigt wird. Das spart direkte Ausführungskosten und senkt den Koordinationsaufwand.
2. Compliance-Wirksamkeit erhöhen: Kontrollen müssen dort wirken, wo Risiko entsteht: in den wesentlichen Prozessen, den wesentlichen Datenflüssen und den wesentlichen  Abhängigkeiten von Drittparteien. DORA unterstreicht im ICT  Kontext, dass Governance, Incident Management, Tests und Drittparteienrisiko nicht nur beschrieben, sondern beherrscht werden müssen – das ist ein Wirksamkeitsanspruch.
3. Audit-Readiness verbessern: Design reicht nicht – es braucht belastbare Betriebsnachweise und eine unabhängige Prüfung („Run“). Das reduziert Nacharbeiten in der Prüfung und senkt langfristig die Kosten, weil das Sammeln von Kontrollbelegen vor den Prüfungen entfällt – oder zumindest reduziert wird.
    

Praxisleitfaden zur Optimierung des IKS in Banken

Ein strukturierter Ansatz ist erforderlich, um innerhalb von 60 bis 90 Tagen die wesentlichen Quick Wins zu realisieren (siehe Abbildung 1).