Blog

Compliance Cheat in Finanzprozessen: Workarounds als Warnsignal

Geschrieben von Bonpago | Feb 1, 2026 8:00:00 AM

 

Wenn der Ruf nach Abkürzungen zur Warnung wird: Workarounds als Symptom fehlender Prozessbeherrschung

Claudia, CFO eines mittelständischen Unternehmens, steht vor einem vertrauten Problem: Der Zahlungsfreigabeprozess läuft schleppend, wichtige Lieferantenrechnungen bleiben liegen, und das Team hat begonnen, Freigaben per E-Mail zu erteilen – am offiziellen Workflow vorbei. In einer Excel-Liste werden parallel Zahlungsläufe manuell vorbereitet, weil das ERP-System „zu umständlich" sei. Was als pragmatische Lösung begann, entwickelt sich zum Risiko: Wer hat wann welche Zahlung freigegeben? Wo ist der Audit-Trail? Wurden Vier-Augen-Prinzip und Separation of Duties eingehalten? Gerade bei digitalisierten Rechnungseingängen – etwa mit E‑Rechnung – fallen solche Umgehungen besonders schnell ins Gewicht.

Dieses Verhalten ist kein Einzelfall. Wenn Mitarbeitende Prozesse umgehen, ist das kein Zeichen von Faulheit, sondern ein Symptom für fehlende Prozessbeherrschung – unklare Regeln, schlechte Datenqualität, mangelnde Transparenz oder ineffiziente Systeme. Menschen suchen nach Abkürzungen, wenn offizielle Wege zu langsam oder umständlich erscheinen. In Unternehmen führt dies zu unkontrollierten Änderungen, Schattenrechnungen und Medienbrüchen – mit erheblichen Compliance- und Kostenrisiken.

Die zentrale Frage lautet: Wie lassen sich diese „Workaround-Impulse" in ein kontrolliertes, messbares und revisorisch einwandfreies Vorgehen überführen? Dieser Beitrag zeigt Ihnen praxisnah, wie Sie mit klaren Governance-Strukturen, messbaren KPIs und technischen Leitplanken nachhaltige Steuerung in Finanzprozessen erreichen – am Beispiel des Accounts-Payable-Prozesses.

 

Der Business Case: Was kosten Workarounds wirklich?

Bevor wir in Lösungen investieren, müssen wir verstehen, welchen finanziellen Impact unkontrollierte Workarounds haben. Folgende Kostentreiber sind messbar:

 

Direkte Prozesskosten

Branchenbenchmarks zeigen: Die Kosten pro Rechnung liegen bei manuellen Prozessen zwischen 12 und 18 Euro, bei hochautomatisierten Prozessen unter 5 Euro. Bei 10.000 Rechnungen pro Jahr bedeutet das eine Differenz von 70.000 bis 130.000 Euro jährlich. Workarounds erhöhen diese Kosten zusätzlich: Excel-Nachbearbeitung, doppelte Dateneingabe, Medienbrüche und Klärfälle treiben die Vollkosten weiter in die Höhe.

 

Entgangene Skonti

Bei einem durchschnittlichen Skontosatz von 2 Prozent und einem Rechnungsvolumen von 5 Millionen Euro pro Jahr entspricht dies einem Potenzial von 100.000 Euro. Unternehmen mit schleppenden Freigabeprozessen verlieren typischerweise 30 bis 50 Prozent dieses Potenzials – also 30.000 bis 50.000 Euro jährlich.

 

Fraud- und Fehlerrisiken

Vendor Master Data Fraud (z. B. Bankdatenänderung durch Social Engineering) führt im Schnitt zu Schäden von 50.000 bis 500.000 Euro pro Vorfall. Doppelzahlungen durch fehlende Dublettenprüfung summieren sich bei mittelständischen Unternehmen auf 10.000 bis 30.000 Euro pro Jahr. Fehlbuchungen und Nacharbeit verursachen zusätzliche Kosten von 5.000 bis 15.000 Euro jährlich.

 

Audit- und Compliance-Kosten

Audit-Findings zu Zahlungsfreigaben, fehlenden Audit-Trails oder SoD-Verstößen führen zu erhöhtem Prüfungsaufwand (zusätzliche 20.000 bis 50.000 Euro pro Jahr) und können im Extremfall zu qualifizierten Bestätigungsvermerken oder verschärften internen Kontrollanforderungen führen.

 

Opportunity-Kosten

Finance-Teams, die mit manuellen Workarounds beschäftigt sind, fehlen für wertschöpfende Tätigkeiten wie Cash-Management, Working-Capital-Optimierung oder strategische Analysen. Bei einem Team von 3 FTE entspricht dies einem entgangenen Mehrwert von 50.000 bis 100.000 Euro pro Jahr.

Gesamtpotenzial: Für ein mittelständisches Unternehmen mit 10.000 Rechnungen und 5 Millionen Euro Rechnungsvolumen liegt das quantifizierbare Einsparpotenzial bei 180.000 bis 380.000 Euro jährlich. Die Amortisationszeit für eine strukturierte Prozessoptimierung liegt damit typischerweise bei 12 bis 18 Monaten.

 

Warum entstehen Workarounds in Finanzprozessen? Die Symptome richtig deuten

Bevor Sie Lösungen implementieren, müssen Sie verstehen, warum Ihre Teams überhaupt zu Workarounds greifen. In den meisten Fällen liegen die Ursachen in einem oder mehreren der folgenden Bereiche:

 

Unklare Prozessregeln und zu viele Ausnahmen

Wenn Prozessregeln nicht eindeutig dokumentiert sind oder wenn für jede Sondersituation eine neue Ausnahme geschaffen wird, verlieren Mitarbeitende den Überblick. Sie entwickeln eigene Interpretationen oder bauen parallele Strukturen auf. Das System ist zu komplex geworden, um es regelkonform zu bedienen.

 

Schlechte Stammdatenqualität

Fehlende, veraltete oder inkonsistente Lieferantendaten, Bankverbindungen oder Kostenstellen führen dazu, dass jede Rechnung manuell nachbearbeitet werden muss. Die Folge: Excel-Listen als „Korrekturschicht" zwischen ERP und Realität. Das ist der klassische Workaround, der sich verselbstständigt.

 

Fehlende oder umständliche Tools

Wenn das ERP-System keine mobilen Freigaben erlaubt, keine Workflows abbildet oder keine transparenten Dashboards bietet, greifen Entscheider zu E-Mail, Chat oder Telefon. Diese Medienbrüche zerstören die Nachvollziehbarkeit und schaffen Compliance-Risiken.

 

Unklare Verantwortlichkeiten

Wenn nicht klar ist, wer für welchen Prozessschritt verantwortlich ist, entstehen Verzögerungen und informelle Abstimmungen. Diese Ad-hoc-Entscheidungen sind nicht dokumentiert und entziehen sich jeder Kontrolle.

 

Begriffsklärung: Was bedeutet „Compliance Cheat" im Unternehmenskontext?

Der Begriff meint im Unternehmenskontext nicht das bewusste Umgehen von Kontrollen im Sinne von Betrug, sondern vielmehr unkontrollierte Änderungen und Workarounds: manuelle Overrides, Excel-basierte Schattenrechnungen, E-Mail-Freigaben oder direkte Datenbankänderungen ohne Change-Prozess.

Compliance im Finance- und Payments-Kontext bedeutet zweierlei: Regelkonformität (Einhaltung interner Policies, Vier-Augen-Prinzip, Separation of Duties) und Nachvollziehbarkeit (lückenloser Audit-Trail, dokumentierte Ausnahmen, revisionssichere Archivierung). Ein Workaround ist dabei nicht per se verboten – entscheidend ist, ob er definiert, genehmigt, dokumentiert und befristet ist. Ein kontrollierter Ausnahmeprozess mit klarem Genehmigungsweg ist legitim; ein informeller „Hotfix" ohne Dokumentation ist es nicht.

 

Abgrenzung: Workaround vs. kontrollierte Ausnahme

Ein Workaround entsteht spontan, ist nicht genehmigt, wird nicht überwacht und hinterlässt keine Spuren. Eine kontrollierte Ausnahme hingegen ist formal beantragt, zeitlich befristet, begründet, genehmigt und wird in Logs und Reports sichtbar. Nur Letztere ist Compliance-konform.

 

Der rote Faden: Accounts Payable als Use Case für Prozessbeherrschung

Um das Thema greifbar zu machen, betrachten wir den Purchase-to-Pay-Prozess, insbesondere den Teilprozess Accounts Payable (Kreditorenbuchhaltung). Dieser Prozess umfasst:

  • Eingang und Erfassung von Lieferantenrechnungen (manuell, E-Mail, E-Invoicing)
  • Validierung und Kontierung
  • Freigabe-Workflow (mehrstufig, nach Beträgen und Kostenstellen)
  • Zahlungsfreigabe und Zahlungslauf
  • Banking-Anbindung und Zahlungsausführung
  • Buchung und Archivierung

Typische Symptome in diesem Prozess sind:

  • Manuelle Zahlungsfreigaben per E-Mail oder Messaging-Tool, weil der Freigeber nicht im System arbeitet
  • Excel-Listen als „Single Source of Truth" für Zahlungsläufe, weil das ERP keine flexible Filterung bietet
  • Manuelle Buchungen zur „Glättung" von Monatsabschlüssen, ohne dokumentierte Begründung
  • Umgehung von Freigabelimits („nur heute, weil dringend")
  • Änderung von Lieferanten-Bankdaten ohne Vier-Augen-Prinzip

Das Zielbild ist ein durchgängiger, transparenter Workflow mit klaren Rollen, automatisierten Validierungen, lückenlosem Audit-Trail und messbaren KPIs.

 

Messbare Outcomes: Welche KPIs zeigen Prozessbeherrschung an?

Bevor Sie in Lösungen investieren, müssen Sie definieren, woran Sie Erfolg messen. Folgende KPI-Dimensionen sind für CFOs und IT-Leitungen relevant:

 

Durchlaufzeit-KPIs

KPI Beschreibung Benchmark-Zielwert
Invoice Cycle Time Zeit von Rechnungseingang bis Zahlung Best-in-Class: unter 7 Tage, Standard: unter 10 Tage
Touchless Rate (STP) Anteil automatisch verarbeiteter Rechnungen Best-in-Class: über 80 Prozent, Standard: über 70 Prozent
Time-to-Resolve (Klärfälle) Durchschnittliche Bearbeitungszeit für Ausnahmen Best-in-Class: unter 2 Tage, Standard: unter 3 Tage

 

Qualitäts- und Risiko-KPIs

  • Fehlerquote: Anteil falsch kontierter, doppelt gebuchter oder mit falschen Bankdaten versehener Transaktionen (Zielwert: unter 1 Prozent)
  • Anzahl manueller Overrides: Wie oft werden Freigabelimits oder SoD-Regeln umgangen? (Zielwert: unter 5 pro Monat bei 1.000 Rechnungen)
  • Audit-Findings: Anzahl und Schweregrad der Prüfungsfeststellungen bei internen und externen Audits (Zielwert: 0 wesentliche Findings)
  • SoD-Verletzungen: Anzahl der Fälle, in denen eine Person mehrere kritische Rollen gleichzeitig ausübt (Zielwert: 0)

 

Cash- und Working-Capital-KPIs

  • Skontoquote: Anteil der Rechnungen, bei denen Skonto genutzt wurde (Benchmark: 60 bis 80 Prozent bei skontierfähigen Rechnungen)
  • Skontoverlust: Entgangene Skontobeträge durch verspätete Zahlung (Zielwert: unter 10 Prozent des Skontopotenzials)
  • Days Payable Outstanding (DPO): Durchschnittliche Zeit bis zur Zahlung (Benchmark: 30 bis 45 Tage, abhängig von Zahlungszielen)

 

Kosten-KPIs

  • Prozesskosten pro Rechnung: Vollkosten (Personal, IT, Infrastruktur) je bearbeiteter Rechnung (Best-in-Class: unter 5 Euro, Standard: unter 8 Euro)
  • Kosten pro Klärfall: Inkl. Personentage, Verzögerungskosten, Opportunitätskosten (Benchmark: 15 bis 25 Euro)

Diese KPIs bilden die Baseline. Nur wer misst, kann steuern – und nur wer steuert, kann Compliance nachweisen.

 

Kontroll-Mindeststandard: Was ist Must-have?

Unabhängig von gesetzlichen Anforderungen sollte jedes Unternehmen ab einer gewissen Größe (über 5 Millionen Euro Rechnungsvolumen oder über 50 Mitarbeitende) folgende Mindestkontrollen implementieren:

Must-have-Kontrollen (Priorität 1)

  • Separation of Duties (SoD): Lieferant anlegen/ändern ungleich Rechnung erfassen ungleich Rechnung freigeben ungleich Zahlung auslösen
  • Vier-Augen-Prinzip: Bankdatenänderungen, Zahlungsfreigaben über 10.000 Euro, Stammdatenänderungen
  • Freigabelimits: Mehrstufige Freigaben nach Betrag (z. B. Stufe 1: bis 5.000 Euro, Stufe 2: bis 25.000 Euro, Stufe 3: darüber)
  • Audit-Trail: Lückenlose Protokollierung aller Transaktionen (Wer, Was, Wann, Warum) mit Retention von mindestens 7 Jahren
  • Dubletten-Check: Automatische Prüfung auf doppelte Rechnungen (IBAN, Betrag, Rechnungsnummer, Datum)
  • IBAN-Validierung: Technische Prüfung der Bankverbindung vor Zahlung

 

Should-have-Kontrollen (Priorität 2)

  • Tägliche Reconciliations: Abgleich gebuchte Zahlungen vs. Bankauszug
  • Monitoring manueller Overrides: Wöchentlicher Report an Process Owner und Compliance
  • Rezertifizierung von Rechten: Quartalsweise Überprüfung, ob zugewiesene Rollen noch benötigt werden
  • Anomalieerkennung: Alerts bei ungewöhnlichen Transaktionsmustern (z. B. Bankdatenänderung kurz vor Zahlungslauf)

 

Nice-to-have-Kontrollen (Priorität 3)

  • VAT-ID-Validierung: Automatische Prüfung gegen EU-VIES-Datenbank
  • SIEM-Anbindung: Integration in Security Information and Event Management für erweiterte Korrelation
  • Predictive Analytics: Fraud-Detection-Modelle auf Basis von Transaktionsmustern
  • Infrastructure as Code: Versionierung und automatisierte Provisionierung von Systemen und Konfigurationen

 

Governance-Rahmen: Rollen, Verantwortlichkeiten und RACI

Prozessbeherrschung beginnt mit klaren Rollen und Verantwortlichkeiten. Im P2P-Kontext sollten Sie mindestens folgende Rollen definieren:

 

Rollenmodell (Beispiel)

  • Process Owner (Finance): Verantwortlich für Prozessdesign, KPIs, kontinuierliche Verbesserung
  • Control Owner (Internal Controls / Compliance): Definiert und überwacht Kontrollen, eskaliert Verstöße
  • System Owner (IT): Verantwortlich für Systembetrieb, Schnittstellen, Monitoring, Change-Management
  • Data Owner (Stammdaten): Verantwortlich für Qualität und Governance von Lieferanten-, Bank- und Kostenstellen-Stammdaten
  • Operative Rollen: AP-Accountant, Approver (mehrstufig), Treasury, Payments Admin, IAM Admin

 

RACI-Matrix (Beispiel für Bankdatenänderung)

Aktivität Data Owner AP-Accountant Control Owner System Owner
Antrag prüfen R I C I
Bankdaten validieren A R I I
Genehmigung erteilen A I C I
Änderung im System C R I A
Log-Review I I R A

R = Responsible, A = Accountable, C = Consulted, I = Informed

 

Kontrollpunkte: präventiv und detektiv

Kontrollen wirken auf zwei Ebenen:

Präventive Kontrollen (verhindern Fehler und Verstöße):

  • Freigaberegeln nach Betrag, Kostenstelle, Lieferant
  • Pflichtfelder, Validierungen (IBAN-Prüfung, VAT-ID-Validierung)
  • Vier-Augen-Prinzip bei kritischen Änderungen
  • Automatische SoD-Checks vor Rollenzuweisung

Detektive Kontrollen (erkennen Abweichungen nachträglich):

  • Monitoring der Overrides und Ausnahmen
  • Tägliche Reconciliations (Soll-Ist-Abgleich)
  • Änderungsprotokolle mit Anomalieerkennung
  • Regelmäßige Berichte über SoD-Verletzungen, Freigabelimit-Überschreitungen, ungewöhnliche Transaktionsmuster

 

30-60-90-Tage-Plan: Vom Symptom zur nachhaltigen Lösung

Wie gehen Sie systematisch vor, um Workarounds zu eliminieren und Prozessbeherrschung zu erreichen? Folgendes pragmatisches Vorgehensmodell hat sich in der Praxis bewährt:

 

Phase 1: Quick Wins und Baseline (Tage 1 bis 30)

Ziele: Transparenz schaffen, kritische Risiken identifizieren, erste Maßnahmen einleiten

  • Woche 1 bis 2: Workshops mit Finance- und IT-Teams durchführen. Symptome sammeln: Wo entstehen Workarounds? Warum? Wie oft? Nutzen Sie Process-Mining-Tools oder manuelle Erhebungen, um Durchlaufzeiten, Rework-Schleifen und Ausnahmen zu quantifizieren.
  • Woche 2 bis 3: Baseline-KPIs erheben (Invoice Cycle Time, Touchless Rate, Fehlerquote, Anzahl Overrides). Log-Auswertungen durchführen: Wie viele Transaktionen, wie viele Ausnahmen, wie viele SoD-Konflikte?
  • Woche 3 bis 4: Risiko-Heatmap erstellen (Impact × Eintrittswahrscheinlichkeit). Priorisieren Sie die Top-3-Risiken (typisch: Bankdatenänderung ohne 4-Augen, Excel-Zahlungsläufe, E-Mail-Freigaben).
  • Quick Wins umsetzen: Dubletten-Check aktivieren, IBAN-Validierung einschalten, kritische Rechte entziehen, Excel-Listen durch ERP-Reports ersetzen.

Lieferables: Symptom-Report, Baseline-KPI-Dashboard, Risiko-Heatmap, Quick-Win-Liste mit Verantwortlichen und Deadlines

 

Phase 2: Zielprozess und Kontrollen (Tage 31 bis 60)

Ziele: Standardprozess definieren, Governance implementieren, technische Leitplanken aufbauen

  • Woche 5 bis 6: Zielprozess designen mit klaren Schritten, Rollen, Entscheidungspunkten und Kontrollen. RACI-Matrix erstellen. Definieren Sie, welche Ausnahmen erlaubt sind und wie sie beantragt, genehmigt, dokumentiert und überwacht werden.
  • Woche 6 bis 7: IAM und RBAC implementieren: Rollen mit definierten Berechtigungen, SoD-Checks vor Rechtevergabe, Rezertifizierungsprozess aufsetzen. MFA für kritische Aktionen (Bankdatenänderung, Zahlungsfreigabe über 10.000 Euro) aktivieren.
  • Woche 7 bis 8: Logging und Audit-Trail absichern: Mindestfelder definieren (Wer, Was, Wann, Warum, Alt- und Neu-Wert), Retention auf 7 Jahre setzen. Alerts für kritische Events konfigurieren (Bankdatenänderung, Override, SoD-Verletzung).
  • Woche 8: Sandbox- oder Staging-Umgebung aufsetzen mit anonymisierten Testdaten. Testfallbibliothek anlegen (Happy Path, Fehlerszenarien, Fraud-Szenarien).

Lieferables: Prozessdokumentation, RACI-Matrix, Kontrollmatrix (präventiv und detektiv), IAM-Konzept, Logging-Spezifikation, Sandbox-Umgebung

 

Phase 3: Rollout, Schulung und Monitoring (Tage 61 bis 90)

Ziele: Neuen Prozess ausrollen, Team befähigen, Monitoring etablieren, kontinuierliche Verbesserung starten

  • Woche 9: Regression-Tests in Sandbox durchführen. Alle Testfälle abarbeiten, Fehler dokumentieren und beheben. Go-No-Go-Entscheidung treffen.
  • Woche 10: Rollout im Produktivsystem (ggf. gestaffelt nach Abteilung oder Lieferantengruppe). Change Enablement: Schulungen durchführen, FAQs bereitstellen, Hotline einrichten.
  • Woche 11: Hypercare-Periode: Tägliches Monitoring, schnelle Fehlerbehebung, Feedback-Schleifen mit Team. KPI-Dashboard live schalten.
  • Woche 12: Erste Control-Review durchführen: Logs analysieren, Ausnahmen prüfen, KPIs vs. Zielwerte abgleichen. Lessons Learned dokumentieren. Plan für kontinuierliche Verbesserung definieren (monatliche KPI-Reviews, quartalsweise Control-Reviews).

Lieferables: Schulungsunterlagen, Go-Live-Checkliste, KPI-Dashboard (live), Control-Review-Bericht, Lessons-Learned-Dokumentation, Roadmap für kontinuierliche Verbesserung

 

Umsetzungsartefakte: Was IT und Finance konkret brauchen

 

Damit Prozessbeherrschung nicht bei Analogien bleibt, benötigen Sie konkrete technische und organisatorische Artefakte:

 

Architektur-Bausteine (Must-have)

  • ERP (FI/AP): Kernbuchhaltung, Rechnungserfassung, Buchung
  • Workflow- oder Approval-Engine: Mehrstufige Freigaben, Eskalationen, Delegation (kann im ERP integriert oder extern sein)
  • Vendor Master Data Management: Zentrale Stammdatenverwaltung mit Governance-Prozessen (Vier-Augen-Prinzip, Änderungshistorie)
  • Banking-Anbindung: Host-to-Host, EBICS, ISO 20022 für Zahlungsausführung und Kontoauszüge
  • Logging und Monitoring: Zentrales Logging aller kritischen Aktionen, KPI-Dashboard

 

Architektur-Bausteine (Should-have)

  • E-Invoicing oder IDP (Intelligent Document Processing): Automatische Erfassung, Validierung, Extraktion – insbesondere im Zusammenspiel mit der E‑Rechnung-Beratung lässt sich hier häufig schnell Standardisierung erreichen.
  • Payment Service Provider (PSP): Falls internationale Zahlungen oder Multi-Banking erforderlich
  • DMS (Document Management System): Revisionssichere Archivierung von Rechnungen und Freigaben

 

Schnittstellen und Datenobjekte

Definieren Sie klar, welche Datenobjekte zwischen Systemen ausgetauscht werden:

  • Rechnung: Header (Lieferant-ID, Betrag, Währung, Datum, Fälligkeit, Rechnungsnummer), Lines (Kontierung, Kostenstelle, Steuersatz, Betrag)
  • Lieferant: Name, Adresse, Steuernummer, IBAN, BIC, Zahlungsbedingungen
  • Freigabestatus: Stufe, Freigeber, Timestamp, Kommentar
  • Zahlungsbatch: Liste der Transaktionen, Summe, Ausführungsdatum, Bankkonto
  • Exceptions: Klärfall-ID, Grund, Bearbeiter, Status, Frist

 

Logging und Audit Trail: Mindestfelder

Jedes Log-Entry sollte enthalten:

  • User-ID oder Service Account
  • Aktion (create, update, approve, delete, override)
  • Objekt-ID (z. B. Rechnungsnummer, Lieferant-ID)
  • Alt- und Neu-Wert (bei Änderungen)
  • Timestamp (mit Zeitzone)
  • Quelle (UI, API, Batch)
  • Begründung oder Referenz (Ticket, Genehmigung, Kommentar)

 

Exception-Workflow (Template)

Für kontrollierte Ausnahmen benötigen Sie einen definierten Workflow:

  • Schritt 1: Antrag stellen (durch operatives Team, inkl. Begründung, gewünschte Dauer)
  • Schritt 2: Risikobewertung (durch Control Owner: Impact, Eintrittswahrscheinlichkeit, Kompensationsmaßnahmen)
  • Schritt 3: Genehmigung (durch Process Owner oder Geschäftsführung, abhängig von Schweregrad)
  • Schritt 4: Umsetzung (temporäre Rechtevergabe, Konfigurationsänderung, Dokumentation im Log)
  • Schritt 5: Monitoring (wöchentliches Review während Laufzeit)
  • Schritt 6: Rückbau (nach Ablauf automatische Erinnerung, Rechte entziehen, Abschlussbericht)

 

Risikokatalog: Was kann schiefgehen?

Um Risiken zu managen, müssen Sie sie kennen. Hier die wichtigsten Risikokategorien im P2P-Kontext:

 

Operative Risiken

  • Doppelzahlungen durch fehlende Dublettenprüfung (Impact: 5.000 bis 20.000 Euro pro Jahr)
  • Zahlungen an falsche Bankdaten (Social Engineering, Datenfehler) (Impact: 50.000 bis 500.000 Euro pro Vorfall)
  • Falsche Beträge oder Währungen (Impact: 2.000 bis 10.000 Euro pro Jahr)
  • Verpasste Skonti durch verspätete Freigaben (Impact: 30.000 bis 50.000 Euro pro Jahr)
  • Verzögerungen im Monatsabschluss durch manuelle Rework-Schleifen (Impact: 10.000 bis 25.000 Euro pro Jahr Opportunitätskosten)

 

Compliance- und Audit-Risiken

  • Fehlender Nachweis von Freigaben (Audit-Finding, erhöhter Prüfungsaufwand)
  • SoD-Verstöße (eine Person führt mehrere kritische Schritte aus) (ggf. qualifizierter Bestätigungsvermerk)
  • Intransparente Overrides ohne Begründung (Audit-Finding, ggf. Bußgelder bei regulierten Branchen)
  • Unvollständige Dokumentation von Ausnahmen (Audit-Finding, Reputationsrisiko)

 

Sicherheits- und Fraud-Risiken

  • Vendor Master Data Manipulation (Änderung von Bankdaten durch Angreifer) (Impact: siehe oben)
  • Social Engineering bei Zahlungsfreigaben (CEO-Fraud) (Impact: 50.000 bis 500.000 Euro pro Vorfall)
  • Missbrauch privilegierter Zugriffe (Admin-Rechte für Transaktionen nutzen) (Impact variabel, ggf. existenzbedrohend)

 

Technologie- und Betriebsrisiken

  • Schnittstelleninstabilität (ERP zu Banking-System) (Downtime, Verzögerungen, manuelle Nacharbeit)
  • Fehlendes Monitoring (Fehler werden zu spät erkannt) (erhöhte MTTR, Opportunitätskosten)
  • Unklare Ownership (niemand fühlt sich für Schnittstellen verantwortlich) (verzögerte Fehlerbehebung)
  • Shadow-IT (unkontrollierte Tools und Datenbanken) (Compliance-Risiko, Datenverlust)

 

Mini-Cases: Praxisnahe Szenarien mit messbaren Ergebnissen

 

Mini-Case 1: Excel-Bypass im Zahlungsprozess

Ausgangslage: Ein mittelständisches Unternehmen (10.000 Rechnungen pro Jahr, 4 Millionen Euro Rechnungsvolumen) führt Zahlungsfreigaben per E-Mail durch, weil das ERP-System keine mobilen Freigaben unterstützt. Die Zahlungsläufe werden in Excel vorbereitet. Es gibt keinen Audit-Trail, und SoD-Regeln werden regelmäßig verletzt.

Intervention: Implementierung eines Workflow-Tools mit mobiler App, Integration ins ERP, automatische SoD-Checks, lückenloser Audit-Trail. Aufwand: 3 Personenmonate (intern) plus 40.000 Euro Lizenzen und Beratung.

Messung (nach 6 Monaten): Anzahl manueller Overrides sinkt von 60 auf 9 pro Monat (minus 85 Prozent), Invoice Cycle Time reduziert sich von 14 auf 9 Tage (minus 36 Prozent), Audit-Findings zu Zahlungsfreigaben sinken von 3 auf 0. Skontoquote steigt von 55 Prozent auf 72 Prozent (plus 31 Prozent), entsprechend 13.600 Euro zusätzlicher Skontonutzung pro Jahr. Prozesskosten pro Rechnung sinken von 12 auf 7 Euro.

 

Mini-Case 2: Stammdaten als Single Point of Failure

Ausgangslage: Lieferanten-Bankdaten können von AP-Mitarbeitern ohne Vier-Augen-Prinzip geändert werden. Es kommt zu einem Beinahe-Schaden (80.000 Euro), als ein Angreifer per E-Mail eine Bankdatenänderung anfordert. Die Zahlung wird erst durch Zufall gestoppt.

Intervention: Vier-Augen-Prinzip für alle Stammdatenänderungen, MFA für Bankdatenänderungen, Änderungs-Log mit Alerts bei Änderungen kurz vor Zahlungslauf (unter 48 Stunden), regelmäßiger Abgleich mit öffentlichen Registern. Aufwand: 1 Personenmonat (intern) plus 5.000 Euro Tooling.

Messung (nach 12 Monaten): Anzahl kritischer Incidents sinkt von 3 auf 0. Vertrauen in Stammdatenqualität steigt (gemessen via Team-Survey: von 60 Prozent auf 92 Prozent). Audit-Bewertung verbessert sich von „mangelhaft" auf „angemessen". Vermiedener Schaden (konservativ): 80.000 Euro.

 

Mini-Case 3: Sandbox statt Produktiv-Feuerwehr

Ausgangslage: Änderungen an Freigabe-Workflows werden direkt im Produktivsystem vorgenommen, um „schnell zu sein". Es kommt zu 8 Produktionsstörungen pro Jahr (durchschnittlich 4 Stunden Downtime, 6 FTE betroffen), weil Änderungen ungetestet sind.

Intervention: Einrichtung einer Staging-Umgebung (Kosten: 15.000 Euro), Release-Fenster (monatlich), Regression-Tests, Rollback-Plan, Change Advisory Board (CAB). Aufwand: 2 Personenmonate (Setup) plus 0,2 FTE laufend.

Messung (nach 12 Monaten): Anzahl Produktionsstörungen sinkt von 8 auf 2 (minus 75 Prozent), Mean Time to Recovery (MTTR) reduziert sich von 4 Stunden auf 30 Minuten (minus 88 Prozent). Systemverfügbarkeit steigt von 98,5 Prozent auf 99,7 Prozent. Vermiedene Kosten (Downtime × FTE × Stundensatz): ca. 28.000 Euro pro Jahr.

 

Troubleshooting: Warum wirken Kontrollen oft nicht?

Selbst wenn Kontrollen definiert sind, wirken sie in der Praxis oft nicht. Hier die häufigsten Ursachen:

 

Rechte sind zu breit vergeben

Wenn jeder alles darf, nützen SoD-Regeln nichts. Prüfen Sie regelmäßig, ob Rechte nach dem Prinzip der geringsten Privilegien (Least Privilege) vergeben sind. Nutzen Sie IAM-Tools mit automatischen SoD-Checks.

 

Logging ist lückenhaft

Wenn kritische Aktionen nicht geloggt werden oder Logs nach kurzer Zeit gelöscht werden, können Sie Verstöße nicht nachvollziehen. Definieren Sie eine Logging-Strategie mit angemessener Retention (mindestens 7 Jahre für finanzrelevante Transaktionen).

 

Ausnahmen sind nicht befristet

Temporäre Workarounds werden zu permanenten Zuständen, wenn sie nicht aktiv überwacht und zurückgebaut werden. Setzen Sie Ablaufdaten und automatische Erinnerungen. Etablieren Sie einen formalen Exception-Workflow.

 

Fehlende Review-Routinen

Kontrollen müssen regelmäßig überprüft werden. Planen Sie monatliche oder quartalsweise Control-Reviews ein, bei denen Sie Logs, Ausnahmen und KPIs analysieren. Involvieren Sie Internal Audit und Compliance.

 

Falsche KPI-Anreize

Wenn Teams nur auf Geschwindigkeit getrimmt werden, werden Kontrollen umgangen. Balancieren Sie KPIs: Schnelligkeit UND Qualität UND Compliance. Machen Sie Compliance-KPIs Teil der Zielerreichung.

 

Fazit und Handlungsempfehlungen: Vom Workaround-Impuls zur Prozessbeherrschung

Der Ruf nach Workarounds – ob in komplexen Systemen oder in Finanzprozessen – ist ein Symptom für fehlende Prozessbeherrschung. Wenn Ihre Teams zu Abkürzungen greifen, liegt das meist nicht an mangelnder Disziplin, sondern an unklaren Regeln, schlechten Daten, umständlichen Tools oder fehlenden Verantwortlichkeiten.

Die gute Nachricht: Sie können Prozessbeherrschung systematisch aufbauen. Der Business Case ist klar: Für ein mittelständisches Unternehmen mit 10.000 Rechnungen und 5 Millionen Euro Rechnungsvolumen liegt das quantifizierbare Einsparpotenzial bei 180.000 bis 380.000 Euro jährlich. Die Amortisationszeit liegt typischerweise bei 12 bis 18 Monaten.

 

Konkrete Handlungsempfehlungen für CFOs

  • Setzen Sie ein KPI-Dashboard auf, das Invoice Cycle Time, Touchless Rate, Fehlerquote und Anzahl Overrides zeigt – täglich aktualisiert.
  • Führen Sie eine Risiko-Heatmap für Ihren P2P-Prozess ein und aktualisieren Sie diese quartalsweise.
  • Definieren Sie kontrollierte Ausnahmeprozesse mit Exception-Workflow.
  • Etablieren Sie quartalsweise Control-Reviews gemeinsam mit Internal Audit und Compliance.
  • Nutzen Sie den 30-60-90-Tage-Plan als Blaupause für Ihre Prozessoptimierung.
  • Quantifizieren Sie den Business Case: Rechnen Sie Prozesskosten, entgangene Skonti, Fraud-Risiken und Audit-Kosten gegen Investitionen in Kontrollen und Automatisierung.

 

Konkrete Handlungsempfehlungen für IT-Leitungen

  • Ziehen Sie IAM und SoD konsequent durch: RBAC, Rezertifizierung mindestens jährlich, MFA für kritische Aktionen.
  • Etablieren Sie eine Sandbox- oder Staging-Umgebung mit Testfallbibliothek und Release-Prozess.
  • Implementieren Sie Monitoring und Alerts für kritische Ereignisse: Bankdatenänderungen, Freigabelimit-Overrides, ungewöhnliche Transaktionsmuster.
  • Definieren Sie klare Architektur-Anforderungen: Must-have (ERP, Workflow, MDM, Banking, Logging) vs. Should-have (IDP, PSP, DMS) vs. Nice-to-have (SIEM, Predictive Analytics, IaC).
  • Nutzen Sie RACI-Matrizen für alle kritischen Prozessschritte.
  • Etablieren Sie eine Logging-Strategie mit Mindestfeldern (Wer, Was, Wann, Warum, Alt- und Neu-Wert) und 7-jähriger Retention – orientiert an einem tragfähigen Compliance-Framework.

Nachhaltige Steuerung entsteht durch Transparenz, klare Verantwortlichkeiten, kontrollierte Änderungen und messbare Outcomes. Wenn Sie diese Prinzipien konsequent umsetzen, verwandeln Sie den Impuls nach Workarounds in einen robusten, zukunftsfähigen Finanzprozess – mit messbarem ROI, reduziertem Risiko und revisionssicherer Compliance. Für eine weitergehende Einordnung von Rollenbildern und Zuständigkeiten kann zudem ein Blick auf Compliance-Manager-Aufgaben hilfreich sein.