Flink und emsig in der Internen Revision

Flink? Emsig? Dieser Blog stellt Ansätze für Agilität in der Internen Revision (IR) vor. Da das Wort „agil“ heute in Revisionskreisen häufig schon als Allergen wirkt, starte ich mit diesen synonymen Adjektiven. Sie werden laut Digitalem Wörterbuch der Deutschen Sprache (dwds.de) eher selten benutzt und bedeuten „schnell, gewandt“ bzw. „unausgesetzt fleissig, ununterbrochen tätig“.

Worum geht es?

Wir arbeiten in der Internen Revision in einem Umfeld, das noch nie in der Geschichte unseres Berufsstands so starken Veränderungen ausgesetzt war, wie dies heute der Fall ist. Unsere Organisationen sind heute so international abhängig (Stichworte Lieferkette und Suez-Kanal), so technologisch verletzlich (Stichworte fehlerhaftes CrowdStrike Security-Update und Microsoft Windows), so stark von Lieferanten abhängig (Stichworte Cloud Computing und AI), so militärisch gefährdet (Stichworte Gefahr eines Nuklearschlags im Ukrainekrieg), so politisch beeinflussbar (Stichworte Klimaaktivismus und Medienzensur), so stark in ihrer Sicherheit angreifbar (Stichworte Cyber Security und Quantencomputer), kurzum so stark Unvorhersehbarkeiten ausgesetzt wie noch nie zuvor. Als Interne Revisoren arbeiten wir daran, die Sicherheit der Zielerreichung in unseren Organisationen zu erhöhen. Derart erhöhte Unvorhersehbarkeiten müssen sich daher zwangsläufig auf die Arbeit einer wirksamen Internen Revision auswirken. Die Frage, die sich uns stellt, lautet: Wie geht die Interne Revision mit den rekordverdächtig erhöhten Unvorhersehbarkeiten ihres Umfelds um? Um diese Frage zu beantworten, möchte ich zunächst die heute so penetrant auftretenden Unvorhersehbarkeiten genauer analysieren.

VUKA-BANI

Jedem von uns ist vermutlich schon das Akronym VUKA (auf Englisch: VUCA) begegnet. Die wenigsten wissen aber, dass die vier damit zusammengefassten Arten von Unvorhersehbarkeiten höchst unterschiedlich sind, verschiedene Antwortstrategien nahelegen und sich ganz spezifisch auf unsere IR-Teams auswirken.

Volatilität kennen wir zum Beispiel von häufig schwankenden Ölpreisen oder Kryptowährungen. Grundsätzlich sind die Ursachen und Folgen von Volatilität bekannt und sie beruht auf verständlichen Ereignissen, die in hoher Frequenz auftreten. Volatilität ist aber meist nicht vorhersehbar und kann uns daher ohne Vorbereitung «auf dem falschen Fuss» erwischen. Eine wirksame Strategie bei Volatilität ist der Aufbau von Reserven (Beispiel: Kauf von Ölvorräten in Zeiten niedriger Preise oder Preis-Hedging). Ist ein IR-Team aus Menschen zusammengesetzt, die häufige unvorhersehbare Änderungen ablehnen, besteht die Gefahr, dass einzelne hier emotional Schiffbruch erleiden und auf Dauer zerbrechen. Dem können Resilienz stärkende Massnahmen entgegenwirken.

Bei Unsicherheit kennen wir wie bei Volatilität die theoretischen Ursachen und Folgen recht genau, wir wissen aber im Gegensatz zur Volatilität nicht, ob sich praktisch überhaupt eine Veränderung ergeben wird. Daher können wir Ereignisse nur schwer danach beurteilen, ob sie für uns relevant sind. Uns fehlen hier wichtige Informationen zur Entscheidungsfindung. Als Beispiel wäre hier die Unsicherheit über terroristische Anschläge im Jahr 2001 (Stichwort «World Trade Center») aufzuführen. Als Gegenstrategie rüsteten damals Geheimdienste in aller Welt ihre Fähigkeiten zur Informationsbeschaffung hoch und wendeten sie in neuen Feldern an (Drohnenvideos, Telefon- und Internetüberwachung, Gesichtserkennung, Profildatenbanken, etc.). Unsicherheit erzeugt im Team Angst (was im Beispiel von Terrorismus ja vermutlich auch der erwünschte Haupteffekt ist). Dem kann mit Wertschätzung und Achtsamkeit wirksam begegnet werden.

Komplexität ergibt sich aus vielen verbundenen Einzelteilen, die in ihrer Gesamtheit eine logische Auswertung der vielfältigen, oft eingebetteten Informationen extrem erschweren. Wandel wird aus diesem Grund unberechenbar. So musste zum Beispiel eine grosse Versicherung in der Schweiz ihr Projekt zur Zentralisierung aller Automobil-Haftpflichtverträge Europas in einer einzigen Softwarelösung abbrechen, weil die Komplexität der unterschiedlichen gesetzlichen Vorgaben unterschätzt wurde und sich die vielfältige Realität nicht im geplanten Rahmen abbilden lies. Externe Komplexität lässt sich durch ihre Abbildung in interner Komplexität abfangen. So hat die erwähnte Versicherung die unterschiedlichen rechtlichen Anforderungen dann dadurch unter Kontrolle bekommen, dass sie für die einzelnen Länder massgeschneiderte Teams und Softwarelösungen aufbaute. Wandel (oder verhinderter geplanter Wandel) durch Komplexität erfordert die Fähigkeit von Mitarbeitern, nicht-lineare Entwicklungen zu akzeptieren und sich daran anzupassen.

Als vierte Art von Unvorhersehbarkeit sehen wir uns heute auch öfters mit Ambiguität konfrontiert. Hier müssen wir Entscheidungen treffen, ohne uns auf Präzedenzfälle oder das Wissen um Ursachen und Wirkungen abstützen zu können. Wandel ist hier einzigartig und individuell zugeschnitten und er tritt sicher ein. Wie am Beispiel Quantencomputer ersichtlich wird, die etwa heutige Verschlüsselungslösungen mit Leichtigkeit überwinden helfen werden, wissen wir durch unser Unwissen noch nicht, wie sich ambiger Wandel auf uns auswirken wird und wie wir am besten reagieren sollen. Als Strategie empfiehlt sich hier agiles Austesten über das Prinzip «Versuch und Irrtum»: wir müssen uns selbst langsam an Lösungen herantasten und müssen uns an unseren langsam wachsenden Kenntnisstand und den laufenden Wandel fortlaufend anpassen. Unsere Revisionsteams kämpfen bei Ambiguität des Umfelds mit für sie unverständlichen Entwicklungen und Bedürfnissen. Die beste der hier zur Verfügung stehenden Reaktionsmöglichkeiten ist radikale Transparenz gegenüber dem Team.

Agilität und Anpassungsfähigkeit

Wir haben nun die vier Arten von Unvorhersehbarkeit kennengelernt und ihre Auswirkungen auf unsere IR-Teams. In den vier oben kurz angerissenen unterschiedlichen Lösungsstrategien verstecken sich die Grundlagen der «flinken Emsigkeit», welche trotz unvorhersehbarer Umstände das Erreichen der gesetzten Ziele ermöglicht. Was ist darunter genau zu verstehen? Wir können die kurzfristige Agilität und die mittel-/langfristig wirkende Anpassungsfähigkeit als Strategien gegen Unvorhersehbarkeit unterscheiden.

Agilität ist das kurzfristige «Heilmittel» gegen Unvorhersehbarkeit. Wie am Steuer eines Autos hilft uns Agilität auch in der Internen Revision, auf plötzlich auftretende Gefährdungen oder Chancen flink zu reagieren. Dies ist besonders in mikropolitisch stark aktiven Organisationen und in der IR feindlich gesinnten Umfeldern von grossem Vorteil, da es das «Überleben» der Internen Revision sichern kann: sie entzieht sich so den Angriffen ihrer Gegner durch flinkes Spiel mit ihren zahlreichen Reaktionsmöglichkeiten. Was ist Agilität denn nun genau? Nichts anderes als radikales Wissensmanagement! Mit Hilfe einer Vielzahl frei wähl- und anpassbarer Techniken nutzen agile Interne Revisionen schnell verstehbare Visualisierungen, kontinuierliche Verbesserung, Kundenfokus, Effizienz und Geschwindigkeit, künstlerische Praxis und bewusstes Training der Neuroplastizität unserer Gehirnzellen, um dank der resultierenden Flinkheit und Emsigkeit trotz unvorhersehbarer Veränderungen die Ziele der Organisation sicherer erreichen zu helfen. Für unsere Organisationen ermöglicht Agilität der Internen Revision die Nutzung von Potentialen, welche bei klassischer Vorgehensweise «verschlafen» würden. Agilität lässt sich übrigens mit einer von mir lizensierten Software wie ein Muskel trainieren, wie dies bereits erfolgreich im Sport (Manchester United) und im Militär (US Navy Seals) praktiziert wird.

Anpassungsfähigkeit ist das mittel- bis langfristige «Heilmittel» gegen Unvorhersehbarkeit. Sie wird bei der Diskussion um «agile auditing» in der Regel sträflich vernachlässigt, muss aber fester Teil des Handlungsrepertoirs nachhaltig erfolgreicher Interner Revisionen sein. Es geht hier darum, im Vergleich zu Agilität tiefer gehende Veränderungen anzustossen und umzusetzen, beispielsweise durch das bewusste Erlernen neuer Kompetenzen. Während das Konzept der Anpassungsfähigkeit zunächst nach heisser Luft klingt und leider auch häufig so diskutiert wird, gibt es das empirisch belegte statistische ACE-Modell des britischen Start-Ups AQai.io, dessen Pionierpartner ich seit 2020 bin. Das von Prof. Dr. Nicolas Deuschel an der Universität Carlos III in Madrid entwickelte Modell seziert Anpassungsfähigkeit in den drei Dimensionen Fähigkeit (Ability; hier geht es um das «Wie» des Wandels), Charakter («wer» und «warum») und Umgebung (Environment; «wann») und erlaubt es, ähnlich zum Intelligenzquotienten IQ einen Anpassungsfähigkeitsquotienten AQ auf Personen- und Teamebene zu messen und aus den Ergebnissen Handlungsempfehlungen abzuleiten. Für unsere Organisationen ermöglicht die erhöhte Anpassungsfähigkeit der Internen Revision ihre in der Zukunft erhöhte Kompetenz zum Umgang mit künftigen Herausforderungen. Dies führt zu höherem Mehrwert und sichererer Zielerreichung dank der besser an ein zukünftiges Umfeld angepassten IR-Kompetenzen.

Reagieren und Gestalten

Sowohl Agilität als auch Anpassungsfähigkeit können optimierend reagierend mit einem Fokus auf der Verwertung und besseren Ausnutzung der gegebenen Möglichkeiten praktiziert werden. In diesem Zusammenhang passt der Begriff Business Excellence. Kurzfristig kann so die Arbeitsweise über kontinuierliche Verbesserung in kleinen graduellen Schritten optimiert werden («exploitative agility»), wobei agile Vorgehensweisen wie Lean oder Kaizen zum Einsatz kommen können. Mittel- oder langfristig bedeutet dieser Verwertungsfokus, dass die Interne Revision auf Wandel systematisch reagiert (z.B. über ein Qualitätsmanagement- und Prozessführungssystem) und sich reagierend vorausschauend an diesen anpasst («exploitative adaptability»).

Agilität und Anpassungsfähigkeit können beide auch gestaltend mit einem Fokus auf der Eroberung gänzlich neuer Möglichkeiten praktiziert werden. Hier passen Begriffe wie Innovation und Kreativität. Kurzfristig können so neue Arbeitsweisen und Arbeitsinhalte mit Versuch und Irrtum ausprobiert werden, wobei sich die Interne Revision in wiederholenden Schritten an bessere Lösungen herantastet («explorative agility»). Agile Vorgehensweisen wie Scrum oder XP können hier unterstützen. Mittel- oder langfristig bedeutet dieser Eroberungsfokus, dass die Interne Revision auf Wandel proaktiv zugeht und versucht, den Wandel und damit die Zukunft mit Kreativität zu gestalten («explorative adaptability»).

Nach diesen theoretischen Betrachtungen stellt sich uns die Frage, wie sich die Anwendung von Agilität und Anpassungsfähigkeit im beruflichen Alltag der Internen Revision manifestiert.

Flink und emsig im IR-Alltag

Der Alltag einer Internen Revision sollte sich am Grundauftrag der Internen Revision orientieren, nämlich die Zielerreichung ihrer Organisation abzusichern. Risikobasierte Revision («risk-based auditing») ist in aller Munde. Seit in der Neuformulierung der internationalen Norm ISO31000:2018 zum Risikomanagement ein Risiko neu als «Auswirkung von Unsicherheit auf Ziele» definiert wird (der Standard meint hier nicht das «U» in VUKA sondern den Überbegriff der Unvorhersehbarkeit), wird diese radikale Zielorientierung der Internen Revision noch deutlicher. Doch wie kann eine Interne Revision eine «flinke Durchgängigkeit» zwischen den Zielen der Organisation und ihrer täglichen Arbeit gewährleisten? Die Antwort liegt in einem von unserem Berufsstand bisher wie eine «heilige Kuh» in allen Neuformulierungen von Berufsstandards und in allen nicht-österreichischen(*) Weiterbildungen unberührt belassenen und oft komplett ignorierten starren Fundament der Revisionsarbeit, dem sogenannten Audit-Universum.

Das Audit-Universum bestimmt das zu Prüfende und hat daher einen nicht zu unterschätzenden Einfluss auf die Themen und den Inhalt der IR-Prüfungen. Meist wird das Audit-Universum als Kollektiv aller Organisationseinheiten und/oder aller (auf einer praktikablen «Flughöhe» zu wählenden) Prozesse angesehen. Die Statik der Aufbauorganisation und die meist auf Beharren ausgerichtete Ablauforganisation bestimmen so ganz fundamental die Arbeit der Internen Revision – und lähmen sie. Ein agiles Audit-Universum entspricht dem Grundauftrag der Internen Revision viel besser, da es radikal die Zielerreichung der Organisation abbildet und so die IR-Arbeitsleistung ohne verzögernde Puffer direkt auf die Unterstützung der Zielerreichung legt. Konkret heisst dies, dass das agile Audit-Universum als «Prüfobjekte» anstatt Organisationseinheiten oder Prozesse direkt die Ziele der Organisation umfasst. Das Audit-Universum sollte von Natur aus anpassungsfähig sein. Bei klassischer Gestaltung des Audit-Universums sollte die Interne Revision regelmässig ihre Organisation nach Änderungen in Prozessen oder der Organisationsstruktur abscannen, um keine unbekannten Abdeckungslücken zu übersehen. Bei agiler Gestaltung ergibt sich die Anpassungsfähigkeit automatisch durch die jeweils direkt nachvollzogene Änderung der Ziele.

In der Praxis ergeben sich bei der Gestaltung eines agilen Audit-Universums zwei lösbare Herausforderungen. Zum einen setzen sich Organisationen oft strategische Ziele, die derart wolkig oder unpräzise sind, dass eine direkte Anknüpfung der IR-Arbeit daran schwierig oder nicht sinnvoll wäre. Ich habe das erste mir bekannte agile Audit-Universum 2022 bei der Internen Revision der Siegfried AG, eines führenden Pharma-CDMO-Unternehmens (contract and development manufacturing organisation), entdeckt. Der Leiter der Internen Revision von Siegfried, Philipp Husi, ermittelt die Prüfobjekte seines Audit-Universums in Workshops mit den eine Hierarchiestufe unter der Geschäftsleitung wirkenden Führungskräften. In diesen Gesprächen, die er als kurzen Gesprächspunkt in anderen ohnehin stattfindenden Besprechungen integriert hat, fragte er die Führungskräfte nach dem Beitrag ihrer Einheit zum Gesamtunternehmen und was diesen Beitrag stören könnte. Die sich ergebenden Themen bilden sein Audit-Universum. Dieses natürlich entwickelte Vorgehen ist Agilität in Bestform und ermöglicht eine radikale Zielorientierung der IR ohne durch die strategische Komponente strategischer Ziele zu weit von operativer Prüfbarkeit entfernt zu sein.

Zum anderen wirken Interne Revisionen häufig auch in Organisationen der öffentlichen Hand, wo sich die Zielsetzung deutlich von gewinnorientierten Unternehmungen unterscheidet. Dieser Unterschied stellt keine Hürde für ein agiles Audit-Universum dar. So definiere ich aktuell als Leiter der Internen Revision des Steueramts des Kantons Zürich dessen agiles Audit-Universum als Summe der gesetzlich geregelten und abgeleiteten Aufgaben des Steueramts, der Jahresziele und Risiken der Geschäftsleitung und der periodisch angepassten strategischen und föderalen Ziele. Auf diese Weise wirkt die Interne Revision des Steueramts ihrer berufsständischen Mission voll entsprechend direkt an der Erhöhung der Sicherheit der Zielerreichung und der gesetzlichen Aufgabenerfüllung des Steueramts mit.

Ich habe dank meiner Tätigkeit als Coach für agiles Arbeiten in der Internen Revision häufig erlebt, dass die Arbeitszufriedenheit und die Leistungsfähigkeit von Internen Revisoren, die mit Freude «flink und emsig» innovative Lösungen in ihrem Arbeitsalltag leben, deutlich steigen. Wer mit Agilität und Anpassungsfähigkeit arbeitet, setzt, orientiert an firmenspezifischer Notwendigkeit, gerne Innovationen entlang des gesamten Lebenszyklus eines Revisionsprozesses und in allen Kern-, Führungs- und Unterstützungsprozessen der Internen Revision um. Es würde den Umfang dieses Blogbeitrags sprengen, hier auf alle Möglichkeiten im Detail einzugehen. Ich erwähne daher im Folgenden nur kurz und stichwortartig einige im Allgemeinen besonders sinnvolle Varianten.

Da Interne Revisionen in den letzten Jahren mit einer Vielzahl an neuen Gefährdungen und potentiellen Chancen konfrontiert wurden (Stichwörter «künstliche Intelligenz und Algorithmen», «Cloud Computing», «Cyber Security», «Generationswechsel», «Fachkräftemangel», «Energiekrise», «radikale Klimapolitik»…), sich aber ihr Personalbestand in der Regel nicht erhöhte, muss der Berufsstand effizienter arbeiten. Hierfür bieten agile Vorgehensweisen folgende Möglichkeiten:

Die Berichterstattung verschlingt häufig einen grossen Anteil der IR-Arbeitszeit. In meiner Zeit als Leiter der Internen Revision der schweizerischen Unfallversicherungsanstalt Suva waren dies anfänglich 60% der Arbeitszeit, bevor wir als weltweit erste Interne Revision Scrum als agiles IR-Vorgehen einführten und die bis zu 60-seitigen Revisionsberichte durch eine agile Berichterstattung ersetzten. Diese basierte auf einer agilen Datenbank aus Feststellungen und Empfehlungen, die jeweils einzeln und noch während der laufenden Prüfungsarbeiten in Vernehmlassung bei den Geprüften geschickt werden konnten. Für das Audit Committee fertigten wir halbjährlich einseitige Kurzdarstellungen aller abgeschlossenen Prüfungen an, einen anderen Prüfbericht der Internen Revision gab es nicht.

Die Planung der Internen Revisionsarbeit wird häufig immer noch als starre «Jahresplanung» oder sogar «Mehrjahresplanung» betrieben. In einer agilen Planung kann hier eine fortlaufend aktualisierte und priorisierte Aufgabenliste aller geplanten Aufgaben und Prüfungen, das sogenannte IR-Backlog, ersatzweise zum Einsatz kommen. Prüfthemen, welche hoch oben auf dem IR-Backlog sind, werden in Kürze angegangen, die weiter unten befindlichen Themen bilden dann in Summe die in Abhängigkeit von der ziel-/risikoorientierten Priorisierung fluide Quartals-, Jahres- oder Mehrjahresplanung.

Effiziente Arbeit der Internen Revision setzt eine wirksame Zusammenarbeit im Revisionsteam voraus. Agiles Zusammenarbeiten im IR-Team ermöglicht es, die Kompetenzen aller Internen Revisoren für jede einzelne Prüfung zu aktivieren. Anstatt wie im traditionellen IR-Prüfvorgehen einzelne Interne Revisoren oder Minigruppen in siloartiger Abschottung einzelne Prüfungen parallel und isoliert bearbeiten zu lassen, fördern agile Arbeitsweisen die Kommunikation, das Teilen von Wissen und die aufgaben- und kompetenzgetriebene Bearbeitung von Prüfungen als selbstorganisiertes Team.

Wenn wir die Entwicklung unseres Berufsstandes vorherzusehen versuchen, können wir individuell je nach Organisation besondere Herausforderungen auf uns zukommen sehen, deren Lösung eine Entwicklung der heutigen Kompetenzen der Internen Revision und ihrer Internen Revisoren benötigt. Bei diesen mittel- bis langfristigen Anpassungen der IR-Kompetenzen, insbesondere im Themenfeld der digitalen Transformation, hilft uns eine entwickelte Anpassungsfähigkeit.

Flink und emsig Aufgaben erledigen, Kompetenz teilen, Entscheidungsträger informieren und die Zielerreichung der eigenen Organisation absichern helfen macht Spass! Agilität und Anpassungsfähigkeit sind mächtige Werkzeuge der Internen Revision, die – richtig genutzt – unseren Mehrwert für unsere Organisationen steigern helfen und die Motivation der IR-Mitarbeiter erhöhen können. Herzliche Empfehlung, dies im eigenen Team selbst auszuprobieren! Wer hierfür Unterstützung und kreative Ideen wünscht: ich bin sehr gerne als agiler Coach für Euch da.

(*) Das Thema «agiles Audit-Universum» wurde weltweit erstmals im zweitägigen Weiterbildungsseminar «Agiles Auditing» (Seminarprogramm 2023 und 2024) der Akademie des IIA Austria in Wien von mir vorgestellt.