Aufgabenketten
Teil von Freigabeprozesse gestalten mit Beteiligten und Regeln
Vier-Augen-Prinzip im Freigabeprozess: Anforderungen und Umsetzung
Vier-Augen-Prinzip im Freigabeprozess: rechtliche Pflichten nach § 91 AktG und IDW PS 980 und die digitale Umsetzung mit Rollen, Protokollen und Ausnahmen.
Das Wichtigste auf einen Blick
- Das Vier-Augen-Prinzip ist kein einzelner gesetzlicher Tatbestand, sondern folgt aus Organisations- und Überwachungspflichten.
- § 91 Abs. 2 AktG verlangt ein Überwachungssystem; der Prüfungsstandard IDW PS 980 beschreibt den Maßstab für Compliance-Management-Systeme.
- Digital braucht es getrennte Rollen, Pflichtgegenzeichnung, unveränderbare Protokolle und eine geregelte Vertretung.
- Ausnahmen wie Eilfreigaben sind zulässig, müssen aber begründet, befristet und nachträglich bestätigt werden.
Rechtliche Anforderungen an Freigaben
Das Aktiengesetz nennt das Vier-Augen-Prinzip nicht beim Namen. Es ergibt sich aus Pflichten, die das Gesetz den Organen zuweist. Nach § 91 Abs. 2 AktG muss der Vorstand geeignete Maßnahmen treffen, damit bestandsgefährdende Entwicklungen früh erkannt werden. Dazu gehört ein Überwachungssystem, das wesentliche Geschäfte an Kontrollen bindet.
Der Aufsichtsrat überwacht die Geschäftsführung nach § 111 AktG. Diese Überwachung setzt voraus, dass Entscheidungen nachvollziehbar dokumentiert sind. Für die innere Ordnung des Aufsichtsrats und die Bildung beschlussfähiger Ausschüsse gilt § 107 AktG.
Für Compliance-Management-Systeme hat das Institut der Wirtschaftsprüfer den Prüfungsstandard IDW PS 980 veröffentlicht. Er benennt Grundelemente wie Ziele, Organisation, Kommunikation und Überwachung. Ein wirksames Freigabeverfahren ist Teil dieser Organisation.
Aus diesen Normen folgt keine allgemeine Pflicht, jeden Vorgang von zwei Personen freigeben zu lassen. Maßgeblich sind Art, Umfang und Risiko des Geschäfts.
Wo das Prinzip verbindlich greift
Für Kreditinstitute und Finanzdienstleister ergänzen aufsichtsrechtliche Vorgaben das Aktienrecht. § 25a KWG verlangt angemessene Regelungen für die Unternehmensorganisation, dazu zählen Kontrollen und Funktionstrennungen. Die MaRisk konkretisieren dies für das Risikomanagement.
In der öffentlichen Verwaltung ergeben sich vergleichbare Anforderungen aus Haushaltsordnungen und Dienstanweisungen. Dort sind häufig Wertgrenzen festgelegt, ab denen eine zweite Zeichnung nötig ist.
Entscheidend ist die Funktionstrennung: Wer einen Vorgang anlegt oder anweist, darf ihn nicht selbst genehmigen.
Vier-Augen-Prinzip digital abbilden
| Anforderung | Umsetzung im Freigabesystem |
|---|---|
| Funktionstrennung | getrennte Rollen für Antrag und Genehmigung, keine Selbstfreigabe |
| Identität | eindeutige Benutzerkonten, starke Authentifizierung |
| Nachweis | unveränderbares Protokoll mit Zeitstempel und Version |
| Vertretung | benannte Stellvertretung, ebenfalls ohne Selbstfreigabe |
| Ausnahme | Eilfreigabe mit Begründung und nachgelagerter Bestätigung |
Für die Absicherung solcher Systeme liefert der BSI IT-Grundschutz methodische Vorgaben zu Prozessen, Schnittstellen und Freigaben.
Einführung in fünf Schritten
- Freigabefälle klassifizieren: Wertgrenzen, Risikoklassen und Pflichten je Vorgangsart festlegen.
- Rollen trennen: Berechtigungen für Antrag, Prüfung und Genehmigung getrennt vergeben.
- Workflow konfigurieren: Gegenzeichnung als Pflichtschritt ohne Umgehungsmöglichkeit.
- Protokollierung sichern: Freigaben unveränderbar speichern, Zugriffe protokollieren.
- Ausnahmen regeln: Eilfreigaben befristen, begründen und regelmäßig auswerten.
Ergänzend beschreibt das BSI die Grundlagen eines Managementsystems für Informationssicherheit, das Freigabeprozesse dauerhaft absichert.
Prüfung durch die Revision
Die interne Revision prüft, ob Freigaben vollständig, zeitnah und durch berechtigte Personen erfolgt sind. Sie zieht Stichproben und wertet Ausnahmen aus. Häufige Schwachstellen sind geteilte Konten, fehlende Stellvertreterregelungen und Freigaben per E-Mail ohne Systembezug.
Häufige Fragen
Ist das Vier-Augen-Prinzip gesetzlich vorgeschrieben?
Nicht als eigener Paragraf. Es folgt aus Organisations- und Überwachungspflichten, etwa § 91 Abs. 2 AktG, und aus aufsichtsrechtlichen Vorgaben. Für einzelne Geschäfte kann es durch Satzung, Dienstanweisung oder Arbeitsanweisung verbindlich werden.
Reicht eine E-Mail als Freigabe?
Nur, wenn sie eindeutig zuordenbar, protokolliert und unveränderbar abgelegt ist. Besser ist eine Freigabe im Workflow-System mit Zeitstempel und Rollenprüfung.
Wie sichere ich Freigaben bei Abwesenheit?
Mit einer schriftlich geregelten Stellvertretung. Die Vertretung muss dieselben Rollentrennungsregeln beachten. Eine nachträgliche Bestätigung ersetzt keine gültige Freigabe.
Was muss ein Freigabeprotokoll enthalten?
Vorgang, Betrag oder Umfang, Antragsteller, Prüfer, Genehmiger, Zeitpunkt, Version und Begründung. Bei Ausnahmen zusätzlich den Grund der Abweichung.
Müssen Kleinbeträge ebenfalls geprüft werden?
Das hängt von den internen Wertgrenzen ab. Eine risikoorientierte Staffelung ist üblich. Die Grenzen müssen dokumentiert und nachvollziehbar angewendet werden.