IKS und Interne Revision als Managed Service: Ende der eigenen Kontrolle?

Ihre Expert:innen für Fragen

Lena Fitting
Partner bei PwC Deutschland
E-Mail

Bernadette Reuß
Director bei PwC Deutschland
E-Mail

Oliver Ebeling
Director bei PwC Deutschland
E-Mail

Kontrolle bleibt Chefsache – die Durchführung nicht unbedingt

Das interne Kontrollsystem (IKS) und die Interne Revision gewinnen an Bedeutung: Regulatorische Anforderungen steigen, und die Prüfthemen werden spezifischer: In IT- und Cybersicherheitskontrollen über die Prüfung von Datenschutz und Auslagerungen bis hin zu ESG-Berichterstattung, Geldwäscheprävention und dem Einsatz von KI in Geschäftsprozessen. Themen, die vor wenigen Jahren kaum eine Rolle spielten, gehören heute zum Standardrepertoire. Die Zeiten, in denen die Interne Revision generisch war, sind vorbei. Gefragt ist aktuelles Spezialwissen, das nicht jedes Unternehmen dauerhaft im Haus vorhalten kann. 

Genau hier setzen Managed Services an. Doch welche Aufgaben lassen sich sinnvoll extern vergeben und welche gehören ins eigene Haus? Wie schneidet man den Scope so zu, dass die Unabhängigkeit der Kontrollfunktionen gewahrt bleibt? 

Für diese Studie haben wir eine ausgeglichene Anzahl von 125 Verantwortliche aus IKS, Interner Revision und Compliance, aus kleinen bis großen Unternehmen, befragt. Die Ergebnisse zeigen, wo Unternehmen heute stehen, was sie auslagern wollen – und worauf es bei der Umsetzung ankommt.  

Die Studie im Überblick

Strukturierte Kontrolle gewinnt an Bedeutung

Die Richtung ist eindeutig: 87 % der befragten Unternehmen erwarten, dass ein strukturierter IKS-Ansatz mittelfristig – in den nächsten drei bis fünf Jahren – an Bedeutung gewinnt. 47 % halten das für sehr wahrscheinlich, weitere 40 % für eher wahrscheinlich. Nur 12 % rechnen nicht mit einem Bedeutungszuwachs. Damit ist die Frage nach dem „Ob" praktisch beantwortet.

Die Treiber dieser Entwicklung sind bekannt: Die regulatorischen Anforderungen steigen, Geschäftsmodelle werden digitaler, und die Risikolandschaft wird komplexer. Ein Internes Kontrollsystem, das strukturiert Risiken managt und Kontrollen steuert, ist damit kein reines Pflichtthema mehr, sondern ein Instrument der Unternehmenssteuerung.

Bemerkenswert ist, wo die Erwartung am höchsten ausfällt. Gerade dort, wo Kontrolle bereits einen hohen Stellenwert hat, rechnet man mit weiterem Zuwachs. Unternehmen, die ihr Kontrollsystem heute solide aufstellen und konsequent weiterentwickeln, verschaffen sich damit einen spürbaren Vorsprung – fachlich wie regulatorisch. 

Spezialwissen schlägt Kostenersparnis

Wer glaubt, Managed Services seien vor allem ein Kostenthema, liegt falsch. Der mit Abstand wichtigste Grund, Aufgaben in IKS und Interner Revision extern zu vergeben, ist die stete Verfügbarkeit von Spezialwissen: 81 % nennen sie als größten Mehrwert, im Mittelstand sind es sogar 91 %. Die reine Kostenreduzierung landet mit 36 % dagegen auf dem letzten Platz aller abgefragten Argumente.

Der Grund dafür liegt in der Sache selbst. Prüfthemen sind in den vergangenen Jahren deutlich spezifischer geworden – von komplexen IT-Kontrollen über regulatorische Neuerungen bis hin zur Aufarbeitung von Cyber-Vorfällen. Interne Revision ist längst nicht mehr generisch. Sie verlangt aktuelles, teils hochspezialisiertes Fachwissen, das nicht jedes Unternehmen dauerhaft und in voller Breite im eigenen Haus vorhalten kann.

Genau hier entsteht der Bedarf: Nicht, weil Personal fehlt, sondern weil punktuell hochspezialisiertes Wissen gebraucht wird, das intern nicht dauerhaft in voller Breite vorgehalten werden kann. Managed Services machen dieses Wissen auf Abruf verfügbar – laufend aktualisiert und unabhängig von einzelnen Köpfen. So bleibt die eigene Organisation handlungsfähig, ohne für jedes Spezialthema eigene Kapazitäten aufbauen zu müssen. 

Durchführung auslagern, Steuerung im Haus behalten

Die Durchführung in die Hände von Managed Service Providern zu geben, bedeutet nicht, die Kontrolle aus der Hand zu geben. Die Studie zeigt ein über beide Funktionen – Internes Kontrollsystem und Interne Revision – hinweg konsistentes Muster: Alles, was mit Verantwortung, Urteil und strategischer Ausrichtung zu tun hat, bleibt im Haus. Alles, was operative Durchführung ist, kann nach außen wandern. 

Im Internen Kontrollsystem heißt das konkret: Welche Risiken überhaupt kontrolliert werden und nach welchen Maßstäben, entscheiden die Unternehmen weiterhin selbst. Ebenso das, was am Ende an die Geschäftsleitung berichtet wird – hier bleiben rund neun von zehn bei der internen Lösung. Diese Aufgaben definieren die Haltung eines Unternehmens zu Kontrolle und lassen sich nicht delegieren. Nach außen vergeben wird dagegen die operative Kontrollarbeit selbst – etwa das Aufsetzen und Betreiben konkreter Kontrollen, zum Beispiel im IT-Umfeld.

Dass die Bereitschaft dazu besonders bei Unternehmen im Mittelstand wächst, hat einen nachvollziehbaren Hintergrund. Große Konzerne haben diese Aufgaben längst ausgegliedert, oft in eigene Shared Service Center. Kleinere und mittlere Unternehmen konnten die Kontrollarbeit dagegen lange selbst bewältigen. Mit der wachsenden Vielfalt und Spezialisierung der Kontrollen – von IT über Cyber bis zu neuen regulatorischen Anforderungen – stößt dieser Weg jedoch zunehmend an Grenzen. Immer mehr Unternehmen kommen damit an den Punkt, an dem große Organisationen bereits umgestellt haben. Wer die operative Umsetzung abgibt, verliert dabei nicht die Kontrolle, sondern gewinnt Freiraum für die Aufgaben, die wirklich im eigenen Haus entschieden werden müssen. Das sieht mehr als die Hälfte der Unternehmen so, weil sie sich stärker auf ihr Kerngeschäft fokussieren möchten. 

In der Internen Revision gilt dasselbe Prinzip. Planung, Risikoanalyse und Berichterstattung bleiben interne Aufgaben, während die Durchführung einzelner Prüfungen – allen voran die Nachschauprüfung – als Einstiegspunkt für Managed Services dient. Die Unabhängigkeit der Revision bleibt dabei gewahrt: Was extern erbracht wird, ist die Durchführung, nicht das abschließende Urteil.

Für Unternehmen ergibt sich daraus eine praktische Leitlinie: Der Scope lässt sich präzise schneiden. Was Governance, Urteil und Verantwortung betrifft, bleibt im Haus. Was operative Durchführung und spezialisierte Detailarbeit betrifft, kann extern erbracht werden – ohne Steuerungsverlust.

Managed Services sind im Control Testing angekommen

Ein Kontrollsystem einzurichten ist das eine – regelmäßig zu prüfen, ob es tatsächlich wirkt, das andere. Genau hier sind viele Unternehmen bereits aktiv: 78 % führen ein regelmäßiges Control Testing durch, überwiegend über die Interne Revision oder interne Governance-Bereiche. Kontrolle ist damit für die Mehrheit kein statisches Konstrukt, sondern ein laufender Prozess. Managed Services haben in diesem Prozess ihren Platz gefunden: Jedes fünfte Unternehmen (21%) setzt sie im Control Testing bereits ein. Damit sind sie vom Zukunftsthema zur gelebten Praxis geworden.

Der Nutzen regelmäßigen Testens geht dabei über die reine Pflichterfüllung hinaus. Es wirkt der Betriebsblindheit entgegen, deckt Schwachstellen auf, bevor sie zum Problem werden, und trägt aktiv zur Risikominderung bei. Ein extern durchgeführtes Testing bringt zudem einen unabhängigen Blick von außen – ein Aspekt, den auch Abschlussprüfer positiv bewerten. So wird aus einer Kontrollmaßnahme ein echter Qualitätsgewinn für das gesamte Unternehmen. 

Die größte Hürde ist der Aufwand, nicht der Kontrollverlust

Wenn die Kontrolle also im eigenen Haus bleibt – was hält Unternehmen dann noch zurück? Die eigentliche Hürde ist eine praktische: Der Aufwand. Sechs der sieben am häufigsten genannten Vorbehalte sind Aufwands- und Kostenthemen. Im Vordergrund steht die Befürchtung, dass der Aufwand einer Auslagerung den erwarteten Nutzen übersteigt, dicht gefolgt von der Sorge vor aufwendiger Abstimmung mit externen Dienstleistern. Es geht also nicht um ein grundsätzliches „Ob", sondern um die Frage, ob sich der Übergang in der Praxis wirklich rechnet.

Genau darin liegt die Chance. Die entscheidenden Aufwandstreiber sind bekannt und damit planbar: Das Onboarding zu Beginn, die laufende Abstimmung an den Schnittstellen und ein klar geregelter Ausstieg. Wer diese Punkte von Anfang an transparent macht und konkret beziffert, nimmt den meisten Vorbehalten die Grundlage. Nicht das Prinzip der Auslagerung ist die eigentliche Frage – sondern ein durchdachter, sauber kalkulierter Übergang.