Das Vier-Augen-Prinzip ist eine der ältesten Kontrollen überhaupt und eine der am häufigsten ausgehöhlten. Die Idee ist schlicht: Was erheblichen Schaden anrichten kann, soll nicht eine Person allein entscheiden. In der Praxis wird daraus oft ein Klick ohne Blick.
Welche Vorgänge zwei Personen brauchen
Zahlungen ab einer definierten Grösse und Zahlungen an neue Empfänger. Änderungen an Bankverbindungen und Stammdaten, weil sie ein klassischer Weg für Betrug sind. Die Aufnahme und Weiterführung von Beziehungen mit erhöhtem Risiko, bei denen ohnehin verstärkte Sorgfaltspflichten gelten. Der Versand von Berichten an Familien, wenn sie Grundlage für Entscheidungen sind. Und Rechnungen, die auf Basis des Vermögens berechnet werden.
Funktionstrennung
Eng verwandt ist die Funktionstrennung: Wer eine Zahlung erfasst, gibt sie nicht frei; wer Stammdaten pflegt, erstellt keine Zahlungen; wer eine Kundenbeziehung betreut, entscheidet nicht allein über ihre Risikoeinstufung. Die Trennung verhindert, dass eine Person einen Vorgang von Anfang bis Ende kontrolliert.
Kleine Teams
In einem Family Office mit drei Personen ist strikte Trennung nicht immer möglich. Dann helfen kompensierende Kontrollen: eine externe Person, etwa aus Treuhand oder Compliance, die bestimmte Freigaben übernimmt; eine nachgelagerte Durchsicht aller Vorgänge einer Periode; oder ein System, das Ausnahmen markiert. Entscheidend ist, dass die Lösung bewusst gewählt und festgehalten ist, statt stillschweigend zu entfallen.
System statt Disziplin
Ein Vier-Augen-Prinzip, das auf Disziplin beruht, hält bis zum ersten hektischen Tag. Systeme können es erzwingen: Ein Vorgang ist erst wirksam, wenn eine zweite berechtigte Person ihn freigibt, und die Freigabe ist mit Person und Zeitpunkt im Audit-Trail festgehalten. Das macht auch sichtbar, ob die zweite Person tatsächlich geprüft hat oder Freigaben in Sekunden abarbeitet.
Im Zusammenhang mit dem Mandat
Freigaben gehören zum Mandat, nicht in ein separates Postfach. Wer sehen will, welche Zahlungen einer Familie im Quartal freigegeben wurden, braucht die Antwort am Mandat. Das gilt auch für QR-Rechnungen an Kunden, deren Beträge aus Vermögensdaten berechnet werden.