Besonders bei wachstumsstarken Unternehmensgruppen mit mehreren operativen Einheiten, einer zentralen Steuerungsfunktion sowie verschiedenen Dienstleistungssegmenten kann die Ausgestal-tung des IKS durch strukturelle Gegebenheiten beeinflusst werden. Die zentrale Fragestellung dieser Arbeit lautete daher, inwiefern das IKS der Auftraggeberschaft den regulatorischen Anforderungen unter Berücksichtigung ihrer Organisationsstruktur entspricht. Ziel war es, eine organisationsspezifi-sche Risikomatrix zu entwickeln, die als Grundlage für einen internen Abgleich dienen kann.

Zur Beantwortung jener Fragestellung wurde die bestehende Organisationsstruktur des Unterneh-mens mittels Fragebogen, ergänzender Gespräche und einer Literaturanalyse evaluiert. Dabei wur-den zunächst die Tendenzen zu bestimmten Organisationsformen analysiert und deren potenzielle Auswirkungen auf das IKS identifiziert. Die theoretisch abgeleiteten Risiken wurden anschliessend mit einer Ansprechperson aus dem Unternehmen diskutiert und hinsichtlich ihrer Eintrittswahrschein-lichkeit und potenziellen Auswirkungen auf das Kontrollsystem eingeordnet.

Die Untersuchung zeigte, dass das bestehende IKS insgesamt solide aufgebaut ist. Es wurden keine wesentlichen Systemrisiken identifiziert. Einzelne strukturell bedingte Schwachstellen wie eine potenzielle Überlastung zentraler Stellen bei weiterem Wachstum, punktuell uneinheitliche Kontrolle offener Debitorenposten, fehlende Angabe des Kontrolltyps in der Risikobeurteilung oder partieller Spartenegoismus wurden jedoch festgestellt. Diese Risiken sind von mittlerer bis geringer Relevanz, sollten aber im Rahmen einer vorausschauenden Weiterentwicklung des IKS berücksichtigt werden. Die entwickelte Risikomatrix bietet eine fundierte Grundlage, um interne Einschätzungen mit theoretischen Anforderungen abzugleichen und gezielte Handlungsfelder zu identifizieren. Die Ergebnisse leisten einen praxisnahen Beitrag zur Weiterentwicklung interner Kontrollsysteme in komplexen Organisationsstrukturen. Die Methodik erlaubt eine erste fundierte Risikoeinschätzung, ersetzt jedoch keine Prüfung der tatsächlichen Umsetzung. Ein nächster Schritt wäre eine interne Validierung und der Abgleich mit der bestehenden Risikomatrix.