Kontrolltests

Ein Test of Design fragt, ob eine Kontrolle ihr Risiko mindern kann, wenn sie wie beschrieben durchgeführt wird: richtiges Kontrollziel, richtiger Ansatzpunkt im Prozess, angemessene Frequenz und kompetente Durchführung. Ein Test of Operating Effectiveness fragt, ob sie dies im geprüften Zeitraum tatsächlich getan hat, in der Regel anhand einer Stichprobe und dokumentierter Evidenz. Beide Ergebnisse werden getrennt beurteilt und berichtet, denn eine gut ausgestaltete Kontrolle, die nicht durchgeführt wird, ist ebenso unwirksam wie eine schlecht ausgestaltete.

Das FINMA-Rundschreiben 2023/1 verlangt, dass die Wirksamkeit der Schlüsselkontrollen, also jener Kontrollen, die wesentliche inhärente Risiken mindern, regelmässig durch eine unabhängige Kontrollinstanz beurteilt und dokumentiert wird, nach Ausgestaltung und Wirksamkeit im Betrieb. Nach dem FINMA-Rundschreiben 2017/1 überwacht und beurteilt der Prüfungsausschuss die Wirksamkeit des internen Kontrollsystems. Für die Geschäftsleitung sind aggregierte Testergebnisse die sachliche Grundlage jeder Aussage zur Kontrollwirksamkeit.

Typische Fehler sind Kontrolleigner, die ihre eigenen Kontrollen testen und dies als unabhängigen Test bezeichnen, Tests ohne aufbewahrte Evidenz, nicht begründete Stichprobengrössen und gescheiterte Tests, die nicht zu verfolgten Massnahmen und einem Nachtest führen.

In der Praxis

1. 01
   Plant die Tests jährlich risikobasiert und testet Schlüsselkontrollen häufiger und vertiefter.
2. 02
   Trennt Testende und Reviewende vom Kontrolleigner und wendet auf Testergebnisse das Vier-Augen-Prinzip an.
3. 03
   Bewahrt Evidenz auf, wer was wann mit welcher Stichprobe und mit welchem Ergebnis getestet hat.
4. 04
   Klassifiziert Mängel nach Schwere und nach Ursprung in Ausgestaltung oder Betrieb und verfolgt die Behebung bis zum bestandenen Nachtest.
5. 05
   Berichtet Wirksamkeitsquoten und deren Entwicklung je Bereich statt nur Listen von Einzelergebnissen.

Quellen

• FINMA Circular 2023/1, Operational risks and resilience (banks), 7 December 2022 →
• FINMA Circular 2017/1, Corporate governance (banks), consolidated version, last amended 4 November 2020 →