Wirecard als Warnsignal: Wie Unternehmen Kontrolllücken im IKS vermeiden

Gert Poglin 02. Juli 2026

Wirecard: ein Milliardenbetrug, der zu lange unentdeckt blieb

Wirecard galt lange als deutsches Fintech-Vorzeigebeispiel. Zugleich geriet das Unternehmen immer wieder wegen Unregelmäßigkeiten in der Rechnungslegung und fragwürdiger Geschäftsstrukturen in die Kritik. Im April 2020 kam eine Sonderprüfung von KPMG zu dem Ergebnis, dass Wirecard nicht genügend Unterlagen vorgelegt hatte, um die Vorwürfe auszuräumen. Weil sich Treuhandguthaben von insgesamt 1,9 Milliarden Euro nicht nachweisen ließen, verweigerte EY am 18. Juni 2020 das Testat für den Jahresabschluss. Am 22. Juni erklärte Wirecard, dass dieses Geld wahrscheinlich nie existiert hatte. Drei Tage später stellte das Unternehmen einen Insolvenzantrag.

Der Deutsche Bundestag ordnete den Fall später als einen der größten Wirtschaftsskandale der Nachkriegsgeschichte ein. Im Abschlussbericht wird zudem festgehalten, dass das Interne Kontrollsystem des Konzerns gezielt ineffektiv gehalten worden sei. Gerade das macht den Fall für Unternehmen bis heute so relevant. Wirecard steht nicht nur für einen Bilanzskandal, sondern zeigt auch, welche Folgen es haben kann, wenn ein IKS kritische Entwicklungen nicht früh genug sichtbar macht.

Warum interne Kontrollen in Unternehmen versagen

Ein Internes Kontrollsystem (IKS) ist der organisatorische Rahmen, mit dem Unternehmen Risiken erkennen, Kontrollen in Prozessen verankern und ihre Durchführung nachvollziehbar dokumentieren. Ein IKS ist nur dann wirksam, wenn Risiken, Prozesse, Verantwortlichkeiten und Nachweise eng miteinander verbunden sind und Kontrollhandlungen tatsächlich im operativen Ablauf stattfinden.

Dies ist das Kernproblem vieler Organisationen. Interne Kontrollsysteme werden häufig formal aufgesetzt, aber nicht eng genug an reale Prozesse gekoppelt. Dann existieren Kontrollen zwar auf dem Papier, werden jedoch nicht prozessnah ausgestaltet, konsequent durchgeführt oder ausreichend belegt. Ein solches IKS-System wirkt vollständig, schützt in der Praxis aber nur unzureichend.

Ein unwirksames Internes Kontrollsystem weist folgende Defizite auf:

Kontrollen wurden definiert, aber keinen konkreten Prozessschritten zugeordnet
Prozessänderungen führen zu neuen Risiken, ohne dass Kontrollen angepasst werden
Verantwortlichkeiten bleiben unklar
Nachweise fehlen oder lassen sich im Prüfungsfall nicht rasch vorlegen
Manuelle, fehleranfällige Abläufe erschweren die strategische Unternehmenssteuerung
Risiken, Maßnahmen und Kontrollen werden in voneinander getrennten Systemen gepflegt

Diese Umstände begünstigen Kontrolllücken und schwächen die Zuverlässigkeit des IKS. Häufig treten die Folgen erst zutage, wenn konkrete Nachweise gefordert werden und deutlich wird, dass Kontrollen im operativen Ablauf nicht verlässlich greifen.

Wie Kontrolllücken im IKS entstehen

Viele Kontrolllücken im IKS entstehen an den Schnittstellen zwischen Prozessmanagement und Kontrollmanagement. Fachbereiche entwickeln operative Abläufe weiter, während GRC-Teams Risiken, Kontrollen und Maßnahmen pflegen. Arbeiten beide Seiten nicht auf einer gemeinsamen Grundlage, verliert das Interne Kontrollsystem schnell den Bezug zum tatsächlichen Prozesskontext.

Verändern sich Abläufe, werden Zuständigkeiten neu verteilt oder kommen zusätzliche Risiken hinzu, müssen die zugehörigen Kontrollen systematisch überprüft und angepasst werden. Dafür ist es notwendig, IKS-Prozesse genau zu modellieren und Kontrollen direkt mit den relevanten Prozessschritten zu verknüpfen. So lässt sich schneller erkennen, wo neue Risiken entstehen, welche Auswirkungen Veränderungen auf bestehende Kontrollen haben und an welcher Stelle Kontrolllücken drohen. Dadurch bleibt das Interne Kontrollsystem auch bei Veränderungen im Prozessumfeld konsistent und aktuell.

Solange Risiken, Kontrollen und Prozesse getrennt voneinander verwaltet werden, erfolgt die IKS-Risikoanalyse oft reaktiv. Unternehmen erkennen dann die Auswirkungen von Prozessänderungen zu spät und können die IKS-Wirksamkeit nur mit hohem manuellem Aufwand verbessern.

Warum ein unwirksames IKS zum Risiko wird

Ein schwaches Internes Kontrollsystem beeinträchtigt die Fähigkeit eines Unternehmens, Risiken wirksam zu steuern und kritische Entwicklungen frühzeitig zu erkennen. Daraus können sich operative, regulatorische und organisatorische Probleme ergeben.

Die negativen Auswirkungen eines unwirksamen IKS sind vielfältig:

Erhöhte Anfälligkeit für Fehler und Betrug
Mangelnde Transparenz über kritische IKS-Prozesse
Hoher Aufwand bei Prüfungen, Revisionen und Audits
Unsichere Aussagen zur tatsächlichen Kontrolleffektivität
Regulatorische Anforderungen können nicht erfüllt werden

Dadurch verliert das IKS nicht nur an Verlässlichkeit, sondern auch an praktischem Nutzen für die Unternehmenssteuerung. Wenn Kontrollen nicht ausreichend wirken und Nachweise fehlen, steigen nicht nur Prüfungsaufwand und Unsicherheit, sondern auch das Risiko, kritische Entwicklungen zu spät zu erkennen.

Digitalisierung als Erfolgsfaktor für ein tragfähiges IKS

Die KPMG-Studie „Digitalisierung des IKS“¹beschreibt papierbasierte Kontrollhandlungen, manuelle Dokumentenablagen und unterschiedliche Reifegrade als Herausforderungen, vor denen Unternehmen bei der Weiterentwicklung ihres Internen Kontrollsystems stehen.

Deshalb braucht ein tragfähiges IKS mehr als dokumentierte Einzelkontrollen. Entscheidend ist, Risiken, Kontrollen, Nachweise und Verantwortlichkeiten so miteinander zu verknüpfen, dass sie im Prozesskontext steuer- und nachvollziehbar bleiben. Je stärker Unternehmen dabei auf digitale Unterstützung und eine gemeinsame Datenbasis setzen, desto leichter lassen sich Zusammenhänge transparent halten und Veränderungen nachvollziehen. Auf dieser Grundlage kann das IKS erfolgreich weiterentwickelt und wirksam gesteuert werden.

¹Quelle: https://hub.kpmg.de/digitalisierung-des-iks

Der Mehrwert von BIC Internal Control

BIC Internal Control unterstützt Unternehmen dabei, ihr Internes Kontrollsystem digital, nachvollziehbar und auditkonform zu gestalten. Durch den Einsatz des Tools können Kontrollen an einem Ort organisiert, Verantwortlichkeiten eindeutig festgelegt sowie Maßnahmen systematisch dokumentiert und nachverfolgt werden. Gleichzeitig werden Medienbrüche minimiert und verlässliche Strukturen für den operativen Betrieb des IKS geschaffen.

Als Bestandteil von BIC GRC fügt sich BIC Internal Control nahtlos in weitere GRC-Bereiche ein. Durch die gemeinsame Informationsgrundlage stehen Risiken, Kontrollen, Maßnahmen und Zuständigkeiten bereichsübergreifend zur Verfügung. So werden Redundanzen vermieden und Abstimmungsaufwände reduziert.

Darüber hinaus kann BIC Internal Control mit BIC Process Design verknüpft werden. Dadurch wird ein Informationsaustausch zwischen Prozessmodellen und dem Internen Kontrollsystem ermöglicht.

Fazit

Der Fall Wirecard zeigt eindrücklich, dass ein Internes Kontrollsystem nicht allein durch dokumentierte Vorgaben wirksam wird. Erst wenn Kontrollen fest im operativen Geschäft verankert sind und Veränderungen in Abläufen systematisch berücksichtigt werden, können Risiken frühzeitig erkannt und begrenzt werden. Fehlt dieser Zusammenhang, entstehen Kontrolllücken, die im schlechtesten Fall lange unbemerkt bleiben und erhebliche finanzielle, regulatorische sowie reputative Folgen nach sich ziehen können.

Gleichzeitig steigen die Anforderungen an Transparenz, Nachvollziehbarkeit und eine verlässliche Governance. Unternehmen, die ihr IKS losgelöst von ihren Geschäftsprozessen betreiben, stoßen dabei schnell an Grenzen. Wirksame IKS-Steuerung erfordert daher einen durchgängigen Blick auf Prozesse, Risiken und Kontrollen sowie die Fähigkeit, Auswirkungen von Veränderungen frühzeitig zu erkennen.

Unternehmen sollten ihr Internes Kontrollsystem eng mit dem Prozessmanagement verzahnen und auf eine digitale, konsistente Informationsbasis stellen. Denn nur so lassen sich Zusammenhänge transparent abbilden, Kontrolllücken früh identifizieren und die Wirksamkeit des IKS nachhaltig stärken. Auf diese Weise wird das Interne Kontrollsystem nicht nur regulatorischen Anforderungen gerecht, sondern entwickelt sich zu einem wirksamen Instrument der Unternehmenssteuerung.

Finden Sie mit unserem Self-Check heraus, wie gut Ihr Prozess- und Kontrollmanagement bereits aufeinander abgestimmt sind!

Häufig gestellte Fragen

Was ist ein Internes Kontrollsystem und wie funktioniert es?

Ein Internes Kontrollsystem ist der organisatorische Rahmen, mit dem Unternehmen Risiken identifizieren, Kontrollen im Prozess verankern und deren Durchführung dokumentieren. Es funktioniert dann wirksam, wenn Risiken, Prozesse, Verantwortlichkeiten und Durchführungsnachweise eng miteinander verbunden sind.

Warum versagen interne Kontrollen in Unternehmen?

Interne Kontrollen versagen meist dann, wenn sie nur dokumentiert, aber nicht wirksam in die Geschäftsprozesse eingebunden sind. Fehlende Transparenz, unklare Verantwortlichkeiten und nicht berücksichtigte Veränderungen in Abläufen führen dazu, dass Risiken übersehen und Schwachstellen erst spät erkannt werden.

Wie entstehen Kontrolllücken im IKS?

Kontrolllücken im IKS entstehen typischerweise dann, wenn Prozesse geändert werden, ohne die zugehörigen Risiken und Kontrollen zu überprüfen. Auch unklare Zuständigkeiten, fehlende Durchführungsnachweise und getrennte Systeme für Prozesse und Kontrollen begünstigen solche Lücken.

Welche Risiken entstehen durch ein unwirksames IKS?

Ein unwirksames IKS kann dazu führen, dass Fehler, Manipulationen und Regelverstöße unentdeckt bleiben. Gleichzeitig erschwert es die transparente Dokumentation und den Nachweis wirksamer Kontrollen, was den Aufwand für Prüfungen erhöht und die strategische Unternehmenssteuerung beeinträchtigt.

Wie erkennt man Schwachstellen im IKS?

Typische Hinweise auf Schwachstellen im IKS sind Kontrollen ohne Bezug zu konkreten Prozessschritten, fehlende oder schwer nachvollziehbare Durchführungsnachweise sowie Prozessänderungen, die nicht durch angepasste Kontrollen begleitet werden. Auch manuelle Abläufe und unklare Verantwortlichkeiten können dazu führen, dass Risiken zu spät erkannt und Kontrolllücken begünstigt werden.