){kind=logo}
Kurz vor dem Jahresabschluss fällt der kaufmännischen Leitung etwas auf: Dieselbe Person legt Lieferant:innen an, gibt Rechnungen frei und startet den Zahlungslauf. Das Unternehmen ist von 20 auf 50 Beschäftigte gewachsen, die Rollen im Finanzteam sind jedoch gleich geblieben.
Ein Vier-Augen-Prinzip gibt es zwar, meist aber nur bei der Zahlung. Bestellung, Rechnungsprüfung und Lieferant:innenstammdaten liegen davor weiterhin in einer Hand. Genau hier setzt die Funktionstrennung an. Sie verteilt kritische Tätigkeiten auf verschiedene Personen und reduziert dadurch das Risiko von Fehlern, Manipulationen und unbemerkten Interessenkonflikten.
Dieser Artikel zeigt, wie Finanzteams den Prozess von der Bedarfsmeldung bis zur Zahlung strukturieren, welche Aufgaben kleine Teams trennen sollten und wie kompensierende Kontrollen fehlendes Personal ausgleichen.
Das Wichtigste in Kürze
- Funktionstrennung verteilt unvereinbare Tätigkeiten auf verschiedene Personen.
- Das Vier-Augen-Prinzip ergänzt die Funktionstrennung, ersetzt sie aber nicht.
- Der Purchase-to-Pay-Prozess sollte von der Bedarfsmeldung bis zur Zahlung in klare Schritte gegliedert sein.
- Stammdatenpflege und Zahlungsfreigabe sollten nicht bei derselben Person liegen.
- Kleine Teams können Rollen zusammenlegen, wenn kompensierende Kontrollen eingerichtet werden.
- Vertretungen und Eilzahlungen brauchen vorab definierte und zeitlich begrenzte Regeln.
- Eine Rollenmatrix gehört in das Berechtigungskonzept und die Verfahrensdokumentation.
- Ein vollständiger Audit-Trail erleichtert Abschlussprüfung, interne Kontrollen und Betriebsprüfung.
- Berechtigungen sollten mindestens zweimal pro Jahr und bei jedem Rollenwechsel überprüft werden.
Funktionstrennung geht weiter als das Vier-Augen-Prinzip
Funktionstrennung (Segregation of Duties, SoD) verteilt unvereinbare Tätigkeiten auf verschiedene Personen. Das Vier-Augen-Prinzip verlangt dagegen eine zusätzliche Prüfung oder Freigabe desselben Vorgangs.
Beides ergänzt sich, ist aber nicht dasselbe.
Eine Person in der Finanzbuchhaltung lässt beispielsweise jede Zahlung von zwei Personen freigeben. Gleichzeitig darf die zweite freigebende Person neue Lieferant:innen inklusive IBAN anlegen und ändern.
Die Zahlung wird dann zwar von zwei Personen bestätigt. Niemand prüft jedoch unabhängig, ob Zahlungsempfänger und Bankverbindung korrekt sind. Eine formal korrekte Zahlung kann dadurch an einen falschen oder manipulierten Empfänger gehen.
Rechtliche Einordnung
Die GoBD verlangen ein angemessenes internes Kontrollsystem. In Randziffer 100 werden Kontrollen genannt, die eingerichtet, ausgeübt und dokumentiert werden müssen. Dazu gehören auch Kontrollen der Zuständigkeiten und Berechtigungen.
Wie streng die Funktionstrennung ausfällt, hängt von Größe, Komplexität und Risikoprofil des Unternehmens ab. Ein kleines Dienstleistungsunternehmen braucht kein Kontrollsystem wie ein internationaler Konzern. Die Kontrollen müssen jedoch geeignet sein, wesentliche Fehler und Missbrauch zu verhindern oder zeitnah aufzudecken.
Für börsennotierte Aktiengesellschaften verlangt Paragraph 91 Absatz drei des Aktiengesetzes ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Für eine GmbH ergibt sich aus Paragraph 43 des GmbH-Gesetzes die Pflicht der Geschäftsführung zur Sorgfalt eines ordentlichen Geschäftsmannes. Eine feste gesetzliche SoD-Matrix für jede GmbH gibt es nicht. Eine angemessene Funktionstrennung ist jedoch ein wichtiger Bestandteil ordnungsgemäßer Unternehmensorganisation.
Den Purchase-to-Pay-Prozess in fünf Schritte aufteilen
Der beste Ausgangspunkt ist der Einkaufsprozess. Teilen Sie ihn in einzelne Schritte auf und legen Sie für jeden Schritt eine verantwortliche Rolle fest.
Bedarf melden
Der Fachbereich erstellt eine Bedarfsmeldung mit:
Zweck der Ausgabe,
Betrag oder erwarteten Kosten,
Lieferant:in,
Kostenstelle oder Projekt,
Leistungszeitraum,
gewünschtem Liefertermin.
Die antragstellende Person sollte die eigene Bestellung nicht selbst freigeben.
Bestellung auslösen
Das Beschaffungs- oder Finanzteam löst die Bestellung nach der Freigabe aus. Bei kleineren Beträgen kann dieser Schritt im Fachbereich liegen. Bei höheren oder risikoreicheren Ausgaben sollte eine zusätzliche Prüfung erfolgen.
Betragsgrenzen sollten sich an Ausgabenart, Lieferant:innenrisiko, Budgetgröße und internen Richtlinien orientieren. Eine allgemeingültige Grenze gibt es nicht.
Bestellung freigeben
Die budgetverantwortliche Person prüft, ob die Ausgabe fachlich erforderlich ist und in das verfügbare Budget passt. Mit Spendesk Budgets können Freigebende die Budgetauswirkung einer Anfrage vor ihrer Entscheidung einsehen. Der konkrete Ablauf hängt vom Produktumfang und der Konfiguration ab.
Leistung bestätigen und Rechnung prüfen
Der Fachbereich bestätigt, dass die Ware geliefert oder die Leistung erbracht wurde. Die Buchhaltung prüft anschließend Betrag, Rechnung und Zuordnung.
Bei Bestellungen sollte ein Drei-Wege-Abgleich zwischen Bestellung, Wareneingang oder Leistungsbestätigung und Rechnung erfolgen.
Die sachliche Prüfung liegt damit beim Fachbereich, die formale und rechnerische Prüfung bei der Buchhaltung.
Zahlung freigeben
Die Zahlungsfreigabe sollte durch eine Person erfolgen, die keine Lieferant:innenstammdaten anlegen oder ändern darf. Für höhere Beträge kann zusätzlich eine Freigabe durch die kaufmännische Leitung oder Geschäftsführung erforderlich sein.
Tätigkeiten mit erhöhtem Konfliktrisiko
Folgende Kombinationen sollten nach Möglichkeit getrennt werden:
Lieferant:innenstammdaten anlegen oder ändern und Zahlungen freigeben,
Bestellungen auslösen und Wareneingänge bestätigen,
Rechnungen erfassen und Zahlungen ausführen,
Zahlungsvorschläge erstellen und selbst freigeben,
Berechtigungen verwalten und Buchungen oder Zahlungen durchführen,
Stammdaten ändern und Bankkonten abstimmen.
Besonders kritisch ist die Kombination aus Stammdatenpflege und Zahlungsfreigabe. Wer eine IBAN ändern kann, beeinflusst künftige Zahlungen.
Bei einer Änderung der Lieferant:innenbankverbindung sollte deshalb eine unabhängige Bestätigung erfolgen. Rufen Sie die Lieferant:innen über eine bereits bekannte Telefonnummer zurück. Eine Telefonnummer aus derselben E-Mail wie die Änderungsmitteilung kann ebenfalls manipuliert sein.
Mit Bestellanforderungen und Purchase Orders (PO) lassen sich Einkauf und Freigabe strukturieren. Spendesk-Ausgabensteuerung unterstützt Regeln für Ausgaben, Karten und Freigabeprozesse. Rollen, Stammdatenrechte und Zahlungsrechte müssen trotzdem passend eingerichtet und regelmäßig überprüft werden.
Rollenmatrix für kleine Finanzteams
Eine Rollenmatrix legt fest, wer einen Prozessschritt ausführt, freigibt, prüft oder informiert wird. Eine RACI-Matrix kann dafür als Vorlage dienen:
R, Responsible, führt die Aufgabe aus.
A, Accountable, trägt die Ergebnisverantwortung.
C, Consulted, wird beratend einbezogen.
I, Informed, wird informiert.
Prozessschritt | Fachbereich | Budgetverantwortliche | Buchhaltung | Kaufmännische Leitung | Geschäftsführung |
Bedarfsmeldung | R | A | C | I | I |
Bestellung | R | A | C | I | I |
Lieferant:innenstammdaten | I | I | R | A oder C | I |
Leistungsbestätigung | R | C | I | I | I |
Rechnungserfassung | C | I | R | I | I |
Rechnungsprüfung | C | C | R | A bei Ausnahmen | I |
Zahlungsvorschlag | I | C | R | A oder C | I |
Zahlungsfreigabe | I | I | C | R oder A | A bei hohen Beträgen |
Kontrolldurchsicht | I | C | C | R | A |
Die genaue Zuordnung hängt vom Unternehmen ab. Entscheidend ist, dass eine Person nicht alle kritischen Schritte eines Vorgangs kontrolliert.
Beispiel für ein dreiköpfiges Finanzteam
Ein Unternehmen mit 45 Beschäftigten hat eine Person in der Buchhaltung, eine Person im Controlling und eine kaufmännische Leitung.
Die Buchhaltung:
pflegt Lieferant:innenstammdaten,
erfasst Eingangsrechnungen,
erstellt Zahlungsvorschläge.
Das Controlling:
prüft neue Lieferant:innen und Bankverbindungen,
kontrolliert Zahlungsvorschläge,
überwacht Budgets und Abweichungen.
Die kaufmännische Leitung:
gibt Zahlungen frei,
besitzt keinen Schreibzugriff auf Lieferant:innenstammdaten,
entscheidet über Ausnahmen und hohe Beträge.
So bleiben Stammdatenpflege und Zahlungsfreigabe getrennt, obwohl das Finanzteam nur aus drei Personen besteht.
Die Matrix sollte in das Berechtigungskonzept und die Verfahrensdokumentation nach GoBD übernommen werden.
)
Kompensierende Kontrollen bei fehlendem Personal
Eine vollständige Funktionstrennung ist in kleinen Unternehmen nicht immer möglich. Dann sollten kompensierende Kontrollen eingerichtet werden.
Präventive Kontrollen verhindern Fehler vor der Zahlung, zum Beispiel:
verpflichtende Bestellanforderungen,
automatische Freigabestufen,
Kartenlimits,
gesperrte Lieferant:innenstammdaten,
getrennte Bankberechtigungen.
Detektive Kontrollen decken Fehler im Nachhinein auf, zum Beispiel:
unabhängige Prüfung neuer Lieferant:innen,
monatliche Kontrolle geänderter IBANs,
Bankabstimmungen,
Stichproben aus Zahlungsausgängen,
regelmäßige Prüfung der Nutzerrechte.
Beispiel für eine kompensierende Kontrolle
Eine GmbH hat nur eine Person in der Buchhaltung und eine Person in der Geschäftsführung. Die Buchhaltung pflegt Lieferant:innen, erfasst Rechnungen und bereitet Zahlungen vor.
Die Geschäftsführung erhält am ersten Arbeitstag jedes Monats eine Liste der:
neu angelegten Lieferant:innen,
geänderten Bankverbindungen,
ungewöhnlichen Zahlungen.
Sie prüft die Änderungen anhand unabhängiger Unterlagen und dokumentiert die Kontrolle. Zahlungen ab einer festgelegten Schwelle werden zusätzlich mit zwei Bankfreigaben ausgeführt.
Diese Kontrolle ersetzt keine vollständige Funktionstrennung, reduziert aber das Risiko bei begrenzten personellen Ressourcen.
Ausnahmen und Eilzahlungen vorher regeln
Ausnahmen sind besonders riskant, weil unter Zeitdruck etablierte Rollen häufig außer Kraft gesetzt werden.
Für Vertretungen sollten Sie vorab festlegen:
wer die Freigabe übernimmt,
welche Betragsgrenze gilt,
welche Rechte die Vertretung erhält,
wann die Rechte wieder entzogen werden,
wie die Ausnahme dokumentiert wird,
wann eine nachträgliche Kontrolle stattfindet.
Die Vertretung kann beispielsweise Zahlungen freigeben, erhält aber kein Recht zur Änderung von Lieferant:innenstammdaten. Die Berechtigung wird zeitlich befristet.
Für Eilzahlungen dokumentieren Sie mindestens:
Grund der Eilzahlung,
Lieferant:in,
Betrag,
antragstellende und freigebende Person,
Zeitpunkt,
nachträgliche Prüfung.
Eine nachträgliche Freigabe sollte innerhalb eines festgelegten Zeitraums erfolgen, beispielsweise innerhalb von zwei Arbeitstagen.
Bei Firmenkarten können Ausgabenlimits das Risiko bereits vor der Zahlung begrenzen. Die Person, die eine eigene Ausgabe tätigt, sollte die zugehörige Spesenabrechnung jedoch nicht selbst freigeben.
Überprüfen Sie Berechtigungen mindestens zweimal pro Jahr sowie bei jedem Eintritt, Austritt und Rollenwechsel.
Funktionstrennung dokumentieren und nachweisen
Zur Dokumentation gehören:
Rollen- und Berechtigungsmatrix,
Liste der Nutzerrechte,
Freigabegrenzen,
Vertretungsregelungen,
Ausnahmeprotokolle,
Änderungsprotokolle für Lieferant:innenstammdaten,
Nachweise regelmäßiger Kontrollen,
Protokolle der Berechtigungsprüfung,
dokumentierte Bankabstimmungen.
Ein Audit-Trail sollte zeigen:
wer einen Vorgang angelegt hat,
wer ihn geprüft hat,
wer ihn freigegeben hat,
wann die Handlung stattgefunden hat,
ob nachträgliche Änderungen erfolgt sind.
Freigaben per E-Mail sind nicht automatisch unwirksam, aber schwerer eindeutig einem Beleg zuzuordnen. Ein zentraler digitaler Workflow erleichtert die Nachvollziehbarkeit.
Spendesk verbindet je nach Produktumfang Anfragen, Freigaben, Bestellungen, Karten- und Rechnungsprozesse. Über die DATEV-Integration können strukturierte Belegdaten und digitale Belege an DATEV Unternehmen online übergeben werden. Welche Daten übertragen werden, hängt von Einrichtung, Schnittstelle und Produktumfang ab.
Für Bücher und bestimmte Organisationsunterlagen gelten nach Paragraph 147 der Abgabenordnung lange Aufbewahrungsfristen. Für viele Buchungsbelege gilt seit dem Jahr 2025 grundsätzlich eine Frist von acht Jahren. Die konkrete Frist hängt von Dokumentart und Funktion ab. Freigabenachweise sollten gemeinsam mit dem zugrunde liegenden Geschäftsvorfall archiviert und ausreichend lange auffindbar bleiben.
Funktionstrennung als Teil des Finanzprozesses verankern
Funktionstrennung ist kein einmaliges Projekt, sondern ein laufender Bestandteil der Finanzorganisation. Eine klare Rollenmatrix, passende Systemberechtigungen und regelmäßige Kontrollen helfen, Fehler und Missbrauch frühzeitig zu erkennen.
Mit Spendesk-Ausgabensteuerung und Spendesk Budgets können Unternehmen Freigaberegeln, Ausgabenlimits und Budgetinformationen in den operativen Prozess einbinden. Die Funktionstrennung muss jedoch im gesamten Berechtigungskonzept festgelegt und regelmäßig überprüft werden.
Kontrollierte Freigaben für sichere Finanzprozesse
Mit Spendesk verbinden Sie Ausgaben, Budgets und Freigaben in einem nachvollziehbaren Workflow. So bleiben Zuständigkeiten klar und kritische Zahlungsschritte besser kontrollierbar.
Demo buchen){kind=logo}
)
)
)
)
)