Inhaltsverzeichnis
- Interne Revision: Definition, Integration und Rahmenbedingungen
- Aufbau, Aufgaben und Geschichte der internen Revision
- "Bypassfunktion" der internen Revision in der Verwaltungskommunikation
- Interne Revision und Datenschutz
Interne Revision: Definition, Integration und Rahmenbedingungen
Bei der Internen Revision (IR) werden sämtliche Arbeitsprozesse auf Richtigkeit, Gesetzeskonformität und Sicherheit geprüft. Neben diesen drei Hauptsäulen spielt die Wirtschaftlichkeit bei den untersuchten Abläufen eine wichtige Rolle – denn nicht zuletzt ist sie es, die Effizienz und Leistungsfähigkeit oft erst greifbar macht.
Aber dennoch stehen bei der IR vor allem die Risikoanalyse und Schadensreduzierung im Vordergrund. Nichtsdestotrotz laufen Prozessoptimierung und Leistungssteigerung meist Hand in Hand.
Was für die öffentliche Verwaltung nicht denselben Stellenwert wie in der freien Wirtschaft besitzt, ist das Aufzeigen von Prozessalternativen und Handlungsoptionen. Das funktioniert zwar bis zu einem gewissen Grade auch in einer staatlichen Institution, da diese aber strikt weisungs- und handlungsgebunden agieren, kann es hier zu Komplikationen kommen.
→ Revidieren greift demnach weit mehr auf, als der Wortbedeutung nach unter schlichter Überprüfung verstanden werden kann. Das zeigt sich am besten am Aufbau und Ablauf einer Internen Revision.
Aufbau, Aufgaben und Geschichte der internen Revision
Um beides besser verstehen zu können, lohnt ein Blick auf die Entstehungsgeschichte der Internen Revision: Auf Verwaltungsebene fanden bereits in den 1990er Jahren vereinzelt Revisionen statt; aber breitflächiger aufgestellt wurde eine Interne Revision erstmals 2004 ins Leben gerufen. Dabei war das Ziel des Bundesrechnungshofes bei dieser offiziellen IR, alle Bundesbehörden auf deren fiskalische Leistungsfähigkeit hin zu untersuchen.
Untergeordnet, aber nicht irrelevant war in diesem Zuge auch eine Verstärkung der Kontrollmechanismen, damit es z. B. nicht zu Datenpannen oder Datenschutzverletzungen kommt. Mit diesen Grundanforderungen wurden demnach vor knapp 20 Jahren sämtliche Bundesbehörden revidiert – mit dem Ergebnis, das klar wurde, dass jede Organisation eine individuell auf ihre Bedürfnisse angepasste Interne Revision benötige.
Einige Behörden nahmen diesen ersten Audit zum Anlass, eigene Interne Revisionen einzuführen, was zum jetzigen Zeitpunkt die übliche Vorgehensweise in der öffentlichen Verwaltung darstellt – das ist jedoch nicht unproblematisch, da grundsätzlich eine objektive Prüfung gewährleistet sein sollte.
→ Gesetzliche Normierung oder etwaige Verordnungen für eine Interne-Revisions-Pflicht existieren bislang nicht – einzige Ausnahme stellt Bremen dar, dort gilt seit 2012 gemäß Landeshaushaltsordnung eine Verpflichtung zur Einrichtung Interner Revisionen. Dennoch besteht in allen Bundesländern ein gewisser Druck auf die unterschiedlichen Behördenleitungen, da ihr laut offiziellem Kommentar eine „gesteigerte Verantwortung“ obliege.
→ Viel diskutiert: Eine Interne Revision eigne sich laut staatlichen Vorgaben erst ab einer Behördengröße von mehr als 200 Beamten.
Ziele der Internen Revision in der öffentlichen Verwaltung
Effizienz, Kostenoptimierung sowie Vermeidung von Datenschutzpannen und Korruption – das sind kurz und knapp die Ziele der Internen Revision in der öffentlichen Verwaltung. Gleichzeitig sollen jährlich stattfindende Interne Revisionen auch für ein Höchstmaß an Transparenz gegenüber der Öffentlichkeit sorgen.
Probleme bei der Umsetzung
Nach einer Bestandaufnahme aus 2021 (vgl. Behördenspiegel, S. 9) zeigt sich die derzeitige Umsetzung und Durchführung Interner Revisionen in der öffentlichen Verwaltung noch zu gering:
- Interne Revisionen habe laut Gutachten nicht in allen Institutionen den notwendigen Stellenwert, die erforderliche organisatorische Anbindung oder entsprechendes Personal.
- Der Fokus der eigenen institutionellen Revision liege bislang weniger auf der Analyse der eigentlichen Arbeitsprozesse und Strukturen, sondern die Arbeitskräfte würden für anderen Aufgaben in Anspruch genommen.
- Aufgrund von Personalknappheit und falscher Prioritäten komme die Sicherheitsprüfung und Präventionsaufgabe oft zu kurz.
Unterschied zwischen Interner Revisiond und internem Kontrollsystem (IKS)
Jede öffentliche Organisation verfügt über Organisationseinheiten wie beispielsweise Controlling, Datenschutz, IT-Sicherheit, die allesamt Bestandteile des sog. Internen Kontrollsystems (IKS) sind. Der größte Unterschied zur Internen Revision ist, dass diese losgelöst von einer derartig organisatorischen Aufteilung ist und damit unabhängig agiert. Damit ist sie das einzige prozessunabhängig Überwachungsinstrument der öffentlichen Verwaltung.
"Bypassfunktion" der Internen Revision in der Verwaltungskommunikation
Ferner soll die Einrichtung einer Internen Revision dafür sorgen, dass die Berichterstattung nicht über die gewohnten und hierarchisch strukturierten Kommunikationskanäle läuft, sondern von den unterschiedlichen Fachbereichen direkt zur Behördenleitung läuft. Das hat sich in der Vergangenheit als entsprechender Faktor herauskristallisiert, da es sich vor allem bei Datenschutzvorfällen um zeitsensible Themen handelt und entsprechend schnell agiert werden muss.
Gleichzeitig ist es essentiell, diese Art der unabhängigen Berichterstattung zu garantieren. Zwar übernimmt das Controlling partiell Aufgaben, die mit denen der Internen Revision zusammenfallen, aber eben nie, ohne diese zu kontextualisieren und mit Vorlauf- und Nachfolgeprozessen zu verknüpfen. Das ist wichtig für die Garantie der Wirtschaftlichkeit einer Behörde, aber im Rahmen einer Internen Revision nicht objektiv.
Checkliste zur Bestandsaufnahme – ist eine interne Revision fällig?
| ❏ | Liegen negative Prüfergebnisse externer Anbieter vor? |
| ❏ | Kam es in der vergangenen Zeit zu konkreten Vorfällen oder Verdachtsfällen bezüglich Sicherheit, Korruption und Datenschutz o. Ä.? |
| ❏ | Hätte einer der beiden o.g. Fälle durch ein frühzeitiges Erkennen oder durch einen unabhängigen Prüfvorgang erkannt werden können? |
| ❏ | Fehlt es an Gefährdungsbeurteilungen bei einer Größe ab 100 Mitarbeitern? |
| ❏ | Sind keine Antikorruptionsmaßnahmen vorhanden? |
| ❏ | Werden die Datensicherheit und Datenschutzsysteme nicht ausreichend überprüft? |
| ❏ | Kam es in letzter Zeit vermehrt zu Mitarbeiterbeschwerden? |
| ❏ | Existiert ein generelles Informationsdefizit zwischen den Fachbereichen und der Behördenleitung? |
| ❏ | Sind Controlling und andere Interne Kontrollsysteme nicht ausreichend? |
| ❏ | Sind die eigenen Organisationseinheiten nicht fähig, objektive Prüfungen durchzuführen? |
| ❏ | Gibt es besonders sensible politische oder gesellschaftliche Themen, die innerhalb der letzten Zeit hinzugekommen sind? |
| ❏ | Sieht sich die eigene Behörde oder der eigene Verwaltungsbezirk vermehrt rechtlichen Streitigkeiten ausgesetzt? |
Interne Revision und Datenschutz
Eine immer größere Rolle spielt die IR im Datenschutz. Das rührt einerseits daher, dass die Bedrohung durch Cyberangriffe in den letzten Jahren fast exponentiell gestiegen ist. Andererseits hat die Digitalisierung in nahezu jeden öffentlichen Verwaltungsapparat Einzug gehalten. Beides zusammengenommen stellen die örtlichen Datenschutz- und Informationssicherheitssysteme vor teils enorme Herausforderungen.
An dieser Stelle gilt es vor allem bei kleineren Behörden, die eigenen Kapazitäten ökonomisch einzusetzen. Und hier kann die Interne Revision Abhilfe schaffen, indem sie genau herausarbeitet, an welchen Stellen mögliche Sicherheitsrisiken bestehen. In der Folge kann entweder „saniert“ oder eine entsprechende personelle Planstelle ins Leben gerufen werden. Besonders in staatlichen Schulen kann in puncto Datenschutz und IT-Sicherheit noch viel optimiert werden.
Quellen: Leitsätze des Bundesrechnungshofes zur Internen Revision, Behördenspiegel 2. Auflage 2021: Interne Revision in Begörden, www.publicus.boorberg.de
