Viele Transformationsprojekte im Finanzbereich behandeln Risiko- und Kontrollthemen wie eine lästige Pflichtübung: Es gibt Checklisten, vereinzelte Freigaben und am Ende ein Abnahmeprotokoll. In der Steuerung dominieren jedoch Terminpläne, Budgets und Feature-Listen, während Fragen zur Kontrollabdeckung oder zum verbleibenden Restrisiko nur am Rand auftauchen. Das rächt sich spätestens dann, wenn erste Vorfälle auftreten oder Prüfungen kritische Lücken aufdecken. Typisch ist die Trennung zwischen Projektwelt und Linienorganisation. Im Projekt wird mit Risiko-Logs gearbeitet, in der Linie mit traditionellen Kontrollmatrizen, und beide sprechen selten dieselbe Sprache. Kennzahlen zu Risiken beschränken sich häufig auf Ampelfarben in Statusberichten oder auf die Anzahl offener Maßnahmen. Diese Größen sind leicht zu erzeugen, sagen aber wenig darüber aus, wie gut digitale Prozesse in Finance kritische Risiken tatsächlich abdecken. Hinzu kommt ein verbreitetes Missverständnis: Viele Teams setzen Risiko mit Fehlerhäufigkeit gleich. Wenn keine Vorfälle gemeldet werden, gilt ein Prozess als sicher. Dabei können ausbleibende Meldungen genauso gut ein Hinweis auf fehlende Transparenz, unklare Meldewege oder eine Kultur sein, in der Fehler lieber verdeckt als adressiert werden. Reine Incident-Zählung ist deshalb eine schwache Basis für Steuerung. Ein weiterer Stolperstein sind Kennzahlen, die ausschließlich auf formaler Dokumentation beruhen. Anteil dokumentierter Kontrollen oder Zahl abgeschlossener Testfälle klingen eindrucksvoll, verschleiern aber, ob Kontrollen wirksam, verstanden und im Alltag gelebt werden. Wer digitale Finanzprozesse so misst, erhält ein Bild der Papierlage, nicht der tatsächlichen Risikosituation. Digitale Risiko-KPIs sollten deshalb einen anderen Weg gehen: Sie verbinden Prozesssicht, Kontrollebene und Governance-Routinen. Statt nur die Existenz von Kontrollen zu zählen, fragen sie nach deren Reichweite, Wirksamkeit und Stabilität. So entsteht ein Kennzahlensystem, das Risiken nicht eliminiert, aber sichtbar und diskutierbar macht.

Ein praxistauglicher Ansatz für Risiko-KPIs in der Finanztransformation beginnt mit einer einfachen Struktur aus drei Ebenen: Risikoquellen, Kontrollabdeckung und Governance-Wirkung. Jede Ebene erhält eigene Kennzahlen, die zusammen ein schärferes Bild ergeben als klassische Ampellisten. Auf der Ebene Risikoquellen geht es darum, wo in digitalen Finance-Prozessen grundsätzlich etwas schiefgehen kann. Dazu gehören Schnittstellen, Automatisierungen, manuelle Korrekturen, Berechtigungen und Datenänderungen. Kennzahlen können hier zum Beispiel Anzahl kritischer Prozessvarianten, Häufigkeit manueller Eingriffe in automatisierten Strecken oder Volumen von Buchungen mit erhöhtem Fehlerrisiko sein. Ziel ist nicht, alle Risiken zu zählen, sondern die strukturell sensiblen Stellen sichtbar zu machen. Die Ebene Kontrollabdeckung betrachtet, wie diese Risikoquellen adressiert werden. Kennzahlen fragen etwa danach, welcher Anteil kritischer Prozessschritte durch präventive Kontrollen abgesichert ist, wie viele Kontrollen auf nachgelagerte Prüfungen setzen oder wie häufig definierte Kontrollen tatsächlich ausgelöst und bearbeitet werden. Wichtig ist, nicht nur das Vorhandensein, sondern die Nutzung von Kontrollen messbar zu machen. Auf der Ebene Governance-Wirkung schließlich geht es um den Umgang mit Auffälligkeiten. Kennzahlen können hier die Durchlaufzeit von Risiko- und Incident-Bearbeitung, den Anteil fristgerecht umgesetzter Maßnahmen oder die Häufigkeit wiederkehrender Befunde erfassen. Ergänzend lohnt sich ein Blick auf die Qualität von Risiko-Reviews: Finden sie planmäßig statt, werden Entscheidungen dokumentiert, und fließen Erkenntnisse zurück in Prozess- und Systemdesign? Aus diesen drei Ebenen entsteht ein überschaubares, aber wirksames Kennzahlenset. Es ersetzt nicht die qualitative Beurteilung komplexer Situationen, gibt Finance-Teams jedoch einen strukturierten Rahmen, um über Risiken in Transformationsprojekten zu sprechen – jenseits von vagen Einschätzungen wie „beherrschbar“ oder „unter Beobachtung“.

Wie sieht das in der Praxis aus? Ein Unternehmen digitalisiert den Record-to-Report-Prozess, führt neue Workflows ein und automatisiert Buchungsschritte. Im Projektstatus erscheinen Risiken als Liste mit Prioritäten, nach Go-live werden sie archiviert. Einige Monate später stellt eine interne Prüfung fest, dass bestimmte Korrekturbuchungen kaum nachvollziehbar sind und Berechtigungen für sensible Funktionen zu breit vergeben wurden. Mit Risiko-KPIs auf Basis der drei Ebenen hätte sich ein anderes Bild ergeben. Auf der Ebene Risikoquellen wäre früh sichtbar geworden, wie viele Prozessvarianten außerhalb des Standardablaufs laufen, wie häufig manuelle Korrekturen in automatisierten Strecken vorkommen und welches Volumen an Buchungen über Ausnahmepfade abgewickelt wird. Schon diese Zahlen hätten Fragen nach Klarheit von Rollen, Freigaben und Dokumentationspflichten ausgelöst. Auf der Ebene Kontrollabdeckung hätten Kennzahlen gezeigt, welcher Anteil dieser kritischen Schritte durch systemseitige Sperren, Vier-Augen-Prinzipien oder nachgelagerte Abstimmungen abgedeckt ist. Besonders aufschlussreich wären Indikatoren gewesen, wie oft definierte Kontrollen tatsächlich ausgelöst wurden und ob sie zu Anpassungen führten oder routinemäßig bestätigt wurden. Die Ebene Governance-Wirkung hätte schließlich sichtbar gemacht, wie mit Auffälligkeiten umgegangen wird. Kennzahlen zur Bearbeitungszeit kritischer Tickets, zur Wiederholungsrate ähnlicher Vorfälle oder zum Anteil geschlossener Maßnahmen ohne nachhaltige Prozessanpassung hätten deutlich gemacht, ob das System nur Symptome verwaltet oder Ursachen adressiert. Auf Basis eines solchen Kennzahlensets hätte der Finanzbereich nicht nur auf Prüfungsfeststellungen reagiert, sondern bereits während der Transformation strukturiert nachsteuern können. Past performance doesn't guarantee future results, deshalb ersetzen auch diese Risiko-KPIs keine zukünftige Wachsamkeit. Sie schaffen jedoch einen Rahmen, in dem Risiken nicht nur intuitiv, sondern mit nachvollziehbaren Signalen diskutiert werden.