OnlineBilanz›Blog›Internes Kontrollsystem (IKS) in der GmbH: Pflichten, Kontrollen und Aufbau

Internes Kontrollsystem (IKS) in der GmbH: Pflichten, Kontrollen und Aufbau

Veröffentlicht: 15.10.2026Aktualisiert: 15.10.2026Lesezeit: ca. 11 Minuten

Was ein internes Kontrollsystem ist

Unter einem internen Kontrollsystem versteht man alle Grundsätze, Verfahren und Maßnahmen, die die Unternehmensleitung einführt, um mehrere Ziele zu erreichen:

• wirksame und wirtschaftliche Geschäftsprozesse,
• eine ordnungsgemäße und verlässliche Rechnungslegung,
• die Einhaltung der maßgeblichen rechtlichen Vorschriften.

Das IKS umfasst zwei Ebenen. Zur prozessintegrierten Überwachung gehören automatische Plausibilitätsprüfungen der Software, Freigabeschritte und Abstimmungen. Die prozessunabhängige Überwachung umfasst etwa Stichproben durch die Geschäftsführung oder eine interne Revision.

Wichtig ist die Abgrenzung zu verwandten Begriffen:

• Das Risikomanagementsystem soll bestandsgefährdende Entwicklungen erkennen und steuern.
• Ein Compliance-Management-System (CMS) soll Regelverstöße insgesamt verhindern.
• Das Tax-CMS ist der steuerliche Ausschnitt des CMS.

In der Praxis überschneiden sich diese Systeme stark. Für die GmbH ist vor allem das IKS im Rechnungswesen relevant, also das Kontrollsystem der Buchhaltung, weil hier handelsrechtliche und steuerliche Pflichten zusammenlaufen.

IKS als Sorgfaltspflicht der Geschäftsführung

§ 43 GmbHG: Sorgfalt eines ordentlichen Geschäftsmannes

Nach § 43 Abs. 1 GmbHG haben Geschäftsführer in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Verletzen sie diese Pflicht, haften sie der Gesellschaft nach § 43 Abs. 2 GmbHG solidarisch für den entstandenen Schaden.

Aus dieser Generalklausel leiten Rechtsprechung und Literatur zwei Pflichten ab:

• die Legalitätspflicht: Die Geschäftsführung muss sich selbst rechtmäßig verhalten;
• die Legalitätskontrollpflicht: Sie muss das Unternehmen so organisieren und überwachen, dass Rechtsverstöße aus dem Unternehmen heraus möglichst verhindert werden.

Eine Delegation von Aufgaben, etwa an die Buchhaltung, ist zulässig. Sie verwandelt die Ausführungspflicht jedoch in eine Auswahl-, Einweisungs- und Überwachungspflicht.

Hinzu kommt die Pflicht zur Buchführung. Nach § 41 GmbHG sind die Geschäftsführer verpflichtet, für die ordnungsmäßige Buchführung der Gesellschaft zu sorgen. Die Anforderungen an diese Buchführung ergeben sich aus § 238 HGB und § 239 HGB. Die Formulierung „dafür sorgen“ macht deutlich, dass die Geschäftsführung nicht selbst buchen muss. Sie muss aber Strukturen schaffen, die eine ordnungsmäßige Buchführung sicherstellen. Genau das ist der Kern eines IKS.

Weitere Anknüpfungspunkte

• Aktienrecht mit Ausstrahlungswirkung: Für die AG verlangt § 91 Abs. 2 AktG ein Früherkennungssystem. Für börsennotierte AG schreibt § 91 Abs. 3 AktG ausdrücklich ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem vor. Auf die GmbH sind diese Normen nicht unmittelbar anwendbar. Je nach Größe und Komplexität der Gesellschaft werden sie aber als Maßstab für die Sorgfaltspflicht herangezogen.
• Krisenfrüherkennung: Nach § 1 StaRUG müssen die Geschäftsleiter juristischer Personen fortlaufend Entwicklungen überwachen, die den Fortbestand gefährden können. Eine verlässliche, kontrollierte Buchhaltung ist dafür die Datengrundlage.
• Aufsichtspflicht: § 130 OWiG sanktioniert die vorsätzliche oder fahrlässige Verletzung von Aufsichtspflichten in Betrieben und Unternehmen.
• Steuerliche Haftung: Nach § 34 AO hat der Geschäftsführer die steuerlichen Pflichten der GmbH zu erfüllen. Bei vorsätzlicher oder grob fahrlässiger Pflichtverletzung haftet er nach § 69 AO persönlich.

Internes Kontrollsystem nach GoBD

Steuerlich ist das IKS ausdrücklich in den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) verankert. Maßgeblich ist das BMF-Schreiben vom 28.11.2019 in seiner jeweils geänderten Fassung.

Die GoBD konkretisieren die Ordnungsvorschriften der § 145 AO und § 146 AO. Danach müssen Buchungen vollständig, richtig, zeitgerecht und geordnet vorgenommen werden. Außerdem gilt die Unveränderbarkeit: Eine Eintragung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist.

Im Abschnitt zum internen Kontrollsystem (Rz. 100 ff.) verlangen die GoBD, dass der Steuerpflichtige Kontrollen einrichtet, ausübt und protokolliert. Als Beispiele nennen sie unter anderem:

• Zugangs- und Zugriffsberechtigungskontrollen auf Basis entsprechender Zugangs- und Zugriffsberechtigungskonzepte,
• Funktionstrennungen,
• Erfassungskontrollen wie Fehlerhinweise und Plausibilitätsprüfungen,
• Abstimmungskontrollen bei der Dateneingabe,
• Verarbeitungskontrollen,
• Schutzmaßnahmen gegen die beabsichtigte und unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten.

Die GoBD stellen klar, dass sich die konkrete Ausgestaltung nach der Komplexität und Diversifikation der Geschäftstätigkeit sowie nach der Organisationsstruktur und dem eingesetzten DV-System richtet. Ein Handwerksbetrieb mit drei Mitarbeitern braucht daher kein IKS im Umfang eines Konzerns. Eine Dokumentation der tatsächlich bestehenden Kontrollen braucht er aber trotzdem.

Beschrieben wird das IKS in der Verfahrensdokumentation, die die GoBD als Bestandteil eines ordnungsmäßigen DV-gestützten Buchführungssystems verlangen. Sie besteht in der Regel aus vier Teilen:

• allgemeine Beschreibung,
• Anwenderdokumentation,
• technische Systemdokumentation,
• Betriebsdokumentation.

Die Beschreibung des IKS ist ein Querschnittsthema, das in allen Teilen auftaucht. Aufbau, Inhalte und Bedeutung in der Betriebsprüfung behandelt der Beitrag Verfahrensdokumentation nach GoBD: Pflicht, Inhalt und Betriebsprüfung.

Typische Kontrollen in der Buchhaltung

Ein Kontrollsystem in der Buchhaltung besteht aus wenigen Grundbausteinen, die je nach Prozess kombiniert werden.

Vier-Augen-Prinzip

Wesentliche Vorgänge werden von einer zweiten Person geprüft und freigegeben, bevor sie wirksam werden. Typische Anwendungsfälle sind:

• Zahlungsfreigaben ab einer Wertgrenze,
• Änderungen von Lieferantenstammdaten, insbesondere Bankverbindungen,
• Gutschriften an Kunden,
• manuelle Korrekturbuchungen.

Technisch lässt sich das Prinzip über Freigabe-Workflows in der Buchhaltungssoftware oder über Bankvollmachten mit gemeinschaftlicher Zeichnungsberechtigung abbilden.

Funktionstrennung

Unvereinbare Tätigkeiten werden auf verschiedene Personen verteilt. Klassisch getrennt werden:

• das Anlegen und Ändern von Kreditoren, die Rechnungsprüfung und die Zahlungsausführung;
• die Kassenführung und die Kassenbuchung bzw. die Kassenprüfung;
• die Fakturierung und die Bearbeitung von Zahlungseingängen bzw. Mahnungen.

Ziel ist, dass keine einzelne Person einen Vorgang von Anfang bis Ende allein durchführen und zugleich verschleiern kann.

Berechtigungskonzept

Ein Berechtigungskonzept legt fest, wer welche Daten sehen, erfassen, ändern oder löschen darf. Es folgt dem Prinzip der minimalen Rechte. Dazu gehören:

• personalisierte Zugänge statt Sammelkennungen,
• ein regelmäßiger Rezertifizierungslauf, etwa jährlich,
• die Sperrung von Zugängen beim Ausscheiden von Mitarbeitern,
• die Protokollierung von Änderungen (Änderungshistorie bzw. Log).

Das Berechtigungskonzept gehört nach den GoBD zur Verfahrensdokumentation.

Abstimmungs- und Plausibilitätskontrollen

• monatlicher Abgleich der Bankkonten mit den Kontoauszügen;
• Abstimmung der Offene-Posten-Listen von Debitoren und Kreditoren mit den Sachkonten;
• Abstimmung von Umsatzsteuer-Voranmeldung und Umsatzsteuer-Konten;
• Prüfung auf Doppelzahlungen und lückenlose Rechnungsnummern;
• Abgleich von Lohnjournal und Finanzbuchhaltung.

Praxisbeispiel: Manipulierte Bankverbindung

Die Muster GmbH beschäftigt 14 Mitarbeiter und eine Buchhalterin. Die Buchhalterin darf Kreditoren anlegen und ändern sowie Zahlungen allein ausführen. Eine E-Mail, die scheinbar von einem Stammlieferanten stammt, teilt eine neue Bankverbindung mit. Die Buchhalterin ändert die Stammdaten und überweist eine ordnungsgemäß bezogene Lieferantenrechnung über 20.000 Euro netto zuzüglich 3.800 Euro Umsatzsteuer, also 23.800 Euro, auf das neue Konto. Wochen später mahnt der echte Lieferant.

Die bilanzielle Einordnung sieht so aus:

• Die Verbindlichkeit gegenüber dem Lieferanten besteht fort, denn die Zahlung an einen Dritten hat sie nicht erfüllt.
• Der Vorsteuerabzug aus der Rechnung bleibt bestehen. Er hängt von Leistung und Rechnung ab, nicht von der Zahlung.
• Die fehlgeleitete Zahlung wird zunächst als Schadensersatz- bzw. Rückforderungsanspruch erfasst.
• Ist dieser Anspruch voraussichtlich nicht realisierbar, wird er abgeschrieben und belastet das Ergebnis.

Insgesamt fließen 47.600 Euro ab, das Ergebnis mindert sich um 23.800 Euro. Eine bestehende Vertrauensschadenversicherung kann einen Erstattungsanspruch begründen. Ob dieser aktiviert werden darf, richtet sich nach den allgemeinen Ansatzgrundsätzen; regelmäßig setzt das eine hinreichende Konkretisierung voraus.

Zwei Kontrollen hätten den Schaden mit hoher Wahrscheinlichkeit verhindert:

• eine Vier-Augen-Freigabe für Bankdatenänderungen mit Rückruf beim Lieferanten unter der bereits bekannten Telefonnummer;
• die Trennung von Stammdatenpflege und Zahlungsausführung.

Für die Geschäftsführung stellt sich zudem die Frage nach § 43 Abs. 2 GmbHG: Wer sie haftungsrechtlich vermeiden will, sollte belegen können, dass solche naheliegenden Kontrollen eingerichtet und überwacht wurden.

Tax-CMS und Bedeutung für § 153 AO

Ein Tax-Compliance-Management-System ist der Teil des IKS, der auf die Erfüllung steuerlicher Pflichten ausgerichtet ist. Dazu gehören etwa:

• Fristenkontrolle,
• Prüfroutinen für Umsatzsteuer-Voranmeldungen,
• Regeln zur umsatzsteuerlichen Behandlung von Auslandssachverhalten,
• Kontrollen bei Lohnsteuer und Reisekosten.

Als fachlicher Orientierungsrahmen wird häufig der IDW Praxishinweis 1/2016 herangezogen. Für die Prüfung von Compliance-Management-Systemen gibt es den Prüfungsstandard IDW PS 980. Eine gesetzliche Pflicht zur Zertifizierung eines Tax-CMS besteht nicht.

Bedeutsam ist das Tax-CMS im Zusammenhang mit § 153 AO. Erkennt ein Steuerpflichtiger nachträglich, dass eine abgegebene Erklärung unrichtig oder unvollständig ist und dies zu einer Steuerverkürzung führen kann, muss er dies unverzüglich anzeigen und richtigstellen.

Die Abgrenzung zwischen einer bloßen Berichtigung und einer strafrechtlich relevanten Steuerhinterziehung bzw. leichtfertigen Steuerverkürzung hängt davon ab, ob Vorsatz oder Leichtfertigkeit vorlag. Der Anwendungserlass zur AO (AEAO zu § 153) führt dazu aus: Hat der Steuerpflichtige ein innerbetriebliches Kontrollsystem eingerichtet, das der Erfüllung der steuerlichen Pflichten dient, kann dies ein Indiz sein, das gegen Vorsatz oder Leichtfertigkeit spricht. Es befreit jedoch nicht von der Prüfung des jeweiligen Einzelfalls.

Dokumentation und Aufbau in sechs Schritten

Ein IKS, das nicht dokumentiert ist, lässt sich gegenüber Betriebsprüfung, Gesellschaftern oder im Haftungsfall kaum nachweisen. Für eine GmbH hat sich folgendes Vorgehen bewährt:

Für die Aufbewahrung gilt: Die Verfahrensdokumentation und die Kontrollnachweise sind Unterlagen, die zum Verständnis der Buchführung erforderlich sind. Sie unterliegen den Aufbewahrungsfristen des § 147 AO. Ältere Fassungen sind aufzubewahren, solange die damit verarbeiteten Daten aufbewahrungspflichtig sind. Änderungen sollten versioniert werden, damit nachvollziehbar bleibt, welches Verfahren zu welchem Zeitpunkt galt.

Mit dem Jahresabschluss endet die Kontrollkette nicht. Die Geschäftsführung stellt den Abschluss auf, die Gesellschafter stellen ihn fest. Ein IKS sorgt dafür, dass die Zahlen, auf denen diese Entscheidungen beruhen, abgestimmt und nachvollziehbar sind.

IKS in der kleinen GmbH und Ein-Personen-GmbH

In kleinen Gesellschaften stößt die Funktionstrennung an natürliche Grenzen. Wenn eine Gesellschafter-Geschäftsführerin Rechnungen schreibt, Zahlungen ausführt und Belege erfasst, lässt sich keine personelle Trennung herstellen. Die GoBD verlangen in diesem Fall kein unmögliches System. Sie verlangen ein angemessenes. An die Stelle fehlender Trennung treten kompensierende Kontrollen:

• Systemseitige Kontrollen: Protokollierung aller Änderungen, Festschreibung der Buchungsperioden, lückenlose Rechnungsnummernkreise.
• Feste Routinen: monatliche Bank- und Offene-Posten-Abstimmung, Kontrolle der Umsatzsteuer-Voranmeldung vor Übermittlung, Fristenkalender.
• Externe Durchsicht: Wer einen Steuerberater, Rechtsanwalt oder Wirtschaftsprüfer mit der Prüfung des Abschlusses beauftragt, schafft eine zusätzliche Kontrollebene. Diese Beauftragung ist freiwillig. Eine GmbH darf ihren Jahresabschluss und ihre Steuererklärungen auch selbst erstellen und übermitteln.
• Technische Sicherung: Zwei-Faktor-Authentifizierung für Onlinebanking und Buchhaltungssoftware, regelmäßige Datensicherung.

Gerade in der Ein-Personen-GmbH ist der Nachweis wichtig, dass diese Routinen tatsächlich stattfinden. Ein kurzes Monatsabschluss-Protokoll mit Datum, erledigten Abstimmungen und Auffälligkeiten erfüllt diesen Zweck mit geringem Aufwand.

Eine gesetzliche Abschlussprüfung nach § 316 HGB besteht nur für mittelgroße und große Kapitalgesellschaften. Kleine GmbH im Sinne des § 267 HGB, also bis 7,5 Mio. Euro Bilanzsumme, 15 Mio. Euro Umsatz und 50 Arbeitnehmer, unterliegen ihr nicht. Auch deshalb liegt die Verantwortung für funktionierende Kontrollen hier vollständig bei der Geschäftsführung.

Fazit

Ein internes Kontrollsystem ist für jede GmbH Teil der ordnungsgemäßen Geschäftsführung, auch ohne ausdrückliche gesetzliche Einzelvorschrift. Die Pflicht ergibt sich aus der Sorgfaltspflicht nach § 43 GmbHG, der Buchführungsverantwortung nach § 41 GmbHG und den Ordnungsvorschriften der AO, die die GoBD konkretisieren.

Der Umfang richtet sich nach Größe und Risiken des Unternehmens. Kernbausteine sind Vier-Augen-Prinzip, Funktionstrennung, Berechtigungskonzept sowie Abstimmungs- und Plausibilitätskontrollen. In kleinen Gesellschaften treten kompensierende Kontrollen an die Stelle fehlender personeller Trennung.

Ein steuerlich ausgerichtetes Tax-CMS kann bei der Beurteilung von Erklärungsfehlern im Rahmen des § 153 AO als Indiz berücksichtigt werden. Entscheidend bleibt in allen Fällen die Dokumentation, also eine gepflegte Verfahrensdokumentation und nachvollziehbare Kontrollnachweise.

Wer sich ansehen möchte, wie ein Jahresabschlussentwurf in OnlineBilanz aufgebaut ist, findet eine Demo. Die Kosten des OnlineBilanz-Service zeigt der Kostenrechner.

Häufig gestellte Fragen

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle steuerliche oder rechtliche Beratung. Steuerliche Beratung im Einzelfall erteilen nur die nach dem Steuerberatungsgesetz dazu befugten Personen und Gesellschaften, insbesondere Steuerberater, Rechtsanwälte und Wirtschaftsprüfer. Stellen Sie den Abschluss selbst fest, stellen wir Software sowie die technische Datenübermittlung nach § 87d AO bereit; Prüfung, Entscheidung und Feststellung obliegen Ihnen. Beauftragen Sie Prüfung und Freigabe, erbringt ein namentlich benannter Steuerberater sämtliche Vorbehaltsaufgaben in eigener beruflicher Verantwortung. Stand der Rechtslage: 10/2026.