Präambel 

Die interne Revision unterstützt das oberste Management des Unternehmens, insbesondere die Geschäftsführung bei der Wahrnehmung seiner wesentlichen Kontroll- und Überwachungsaufgaben, der Sicherstellung von Qualität, Innovation, Effizienz und Effektivität sowie der Einhaltung sämtlicher gesetzlichen Vorschriften und Regelungen der Länder und Regionen, in denen das Unternehmen aktiv ist.

Die Revision wird von der Geschäftsführung als Steuerungsinstrument eingesetzt und leistet einen aktiven Wertbeitrag. Die Revision garantiert Transparenz und forciert Lösungen.

Inhalt 

Dieses Buch ist für Berufseinsteiger gleichermaßen wie für erfahrene Revisoren gedacht. Es soll einen kurzen und schnellen Überblick über die Tätigkeiten und die Arbeitswelt des Revisors geben, neue Ideen fördern und im mittelständischen Unternehmen zur Kreativität inspirieren.

Bitte beachten Sie, dass aus Gründen der leichteren Lesbarkeit auf eine geschlechtsspezifische Differenzierung, wie z.B. Revisor/in, verzichtet wird. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung für beide Geschlechter.

Autor 

Dr.h.c. Mike Peter Harijan wurde 1964 in Berlin geboren, nach seinem Abschluss, als Diplom Betriebswirt an der Fachhochschule Rheinlandpfalz in Ludwigshafen suchte sich Herr Harijan eine Herausforderung im Bereich Management und Rechnungswesen. Zahlreiche Projekte im In- und Ausland prägten die Berufserfahrung von Herrn Harijan, bis er 2006 als Abteilungsleiter Finanzrevision seine Berufung gefunden hat.

Imprint

Der kleine Revisor – Transparenz sichern Lösungen forcieren

Dr.h.c. Mike Peter Harijan

published by: epubli GmbH, Berlin, www.epubli.de

Copyright: © 2013 Dr.h.c. Mike Peter Harijan

Dr.h.c. Mike Peter Harijan

ISBN 978-3-8442-7489-9

Inhaltsverzeichnis

1 Entwicklung und Stand der internen Revision

1.1 Aufgaben der internen Revision

1.2 Entwicklungsstufen der internen Revision

1.3 Interne Revision im Wandel der Zeit

1.4 Ethikkodex und Standard

2 Wichtige Schnittstellen der Revision

2.1 Internal Audit – Sicherheit

2.1.1 Datensicherheit, Informationssicherheit

2.1.2 IT-Sicherheitsmanagement

2.1.3 IT-Notfallmanagement und IT-Notfallplan

2.1.4 Mögliche Prüfungsthemen auf Basis des COBIT Modells

2.2 Internal Audit – Risikomanagement

2.2.1 IT-Risikomanagement

2.3 Internal Audit – Compliance

2.3.1 Internes Kontrollsystem (IKS)

2.3.2 IT-Compliance

2.4 Internal Audit – Datenschutz

3 Zielsetzung und Grundsätze der modernen Revision

3.1 Prüfung der Ordnungsmäßigkeit und Sicherheit

3.1.1 Grundsätze der Ordnungsmäßigkeit

3.1.2 Begriffsklärung

3.1.3 Prüfungsarten

3.1.4 Prüfung der Effizienz und Wirtschaftlichkeit einer Organisation

3.1.5 Financial Audits

4. Die personelle Seite der internen Revision im Unternehmen

4.1. Wo steht die Revision in der Unternehmenshirachie?

4.2. Generalist oder Spezialist?

4.2.1 Klassischer Revisor

4.2.2 IT-Revisor

4.2.3 Technischer Revisor

4.3. Abgrenzung der internen Revision gegenüber anderer Kontrollinstanzen

4.3.1 Rechnungprüfungsstelle

4.3.2 Controllingbereich

4.3.3 Informatikbereich und Revision

4.3.4 Qualitätsüberwachungsstelle

4.3.5 Datenschutzstelle

4.3.6 Externe Wirtschaftsprüfung

5. Wichtige Arbeitstechniken der internen Revision

5.1. Informationsbeschaffungstechniken

5.1.1 Grundsätze und Regeln der Interviewführung

5.1.2 Lüge oder Wahrheit

5.1.3 Der Fragebogen als Hilfsmittel der internen Revision

5.2 Anschauliche Darstellungs- und Diagrammtechniken der internen Revision

5.3 Was gehört zur Dokumentation der Revision?

5.3.1 Organisation der Revisionsdokumentation

5.3.2 Ablage der Prüfungsdokumente

6 Die Prüfungsarten der Revision

6.1 Definitionen

6.2 Einzelfallprüfungen zur Überwachung der Ordnungsmäßigkeit

6.3 Systemprüfung

6.4 Geschäftsabwicklungsprüfung

6.5 Ex-ante-Prüfungen

6.6 Sonderprüfungen und Spezialeinsätze

6.7 Self-Auditing

6.8 Systematische vs. Fallbezogene Prüfungsstrategie

7. Der Revisionsprozess

7.1. Das Revisionsmanagement

7.1.1 Revisionshandbuch

7.1.2 Unterteilung des Unternehmens in Prüfungsbereiche

7.2. Die Planung

7.2.1 Risikoanalyse als Basis der Planung

7.2.2 Die Mittelfristplanung

7.2.3 Planung des Jahresrevisionsprogramms

7.2.4 Leitsätze für den Aufbau des Jahresprogramms

7.2.5 Die Prüfungsplanung

7.3 Vorbereitung

7.3.1 Prüfungsankündigung

7.3.2 Prüfprogramm

7.4. Durchführung

7.4.1 Prüfungshandlungen

7.4.2 Arbeitspapiere

7.5. Berichtslegung

7.5.1 Entwurf/Abstimmung/finaler Bericht

7.5.2 Berichtsablage

7.6. Follow-up

7.6.1 Maßnahmenverfolgung

7.6.2 Nachprüfung

7.7. Qualitätssicherung

8 Abkürzungsverzeichnis

9 Literaturverzeichnis

10 Weblinks

1 Entwicklung und Stand der internen Revision

1.1 Aufgaben der internen Revision

Die interne Revision ist das wesentliche Überwachungsinstrument, mit dem sich die Unternehmensleitung von der Einhaltung der von ihr gesetzten Normen und der rechtlichen und regulatorischen Vorgaben überzeugt. Ein wichtiges Merkmal ist hierbei die prozessunabhängige Funktion der Internen Revision, die sie gegenüber anderen Unternehmensbereichen hervorhebt und unterscheidet.

Die Interne Revision erbringt unabhängige und objektive Prüfungs- und Beratungsdienstleistungen, welche darauf ausgerichtet sind, Mehrwerte zu schaffen und die Geschäftsprozesse zu verbessern. Sie unterstützt die Organisation bei der Erreichung ihrer Ziele, indem sie mit einem systematischen und zielgerichteten Ansatz die Effektivität des Risikomanagements, der Kontrollen und der Führungs- und Überwachungsprozesse bewertet und diese verbessern hilft. Wie bereits oben erläutert, ist die Basis des systematischen und zielgerichteten Ansatzes die risikoorientierte Prüfungsplanung.

1.2 Entwicklungsstufen der internen Revision

Der Stand der Entwicklung der Revision hängt vom Unternehmen ab:

von den von der Unternehmensleitung gewünschten Zielsetzung und dem Leistungsspektrum der Revision,

von den Kompetenzen und der Qualität der Prüfer,

von der Akzeptanz der Revision bei den geprüften Stellen,

von der Qualität anderer Prüfungsinstanzen im Unternehmen, zum Beispiel dem Controlling und der Qualitätskontrolle.

Eine Verschlankung der Unternehmensstrukturen im Allgemeinen führte auch zu einem Abbau bei der Revision. In diesem Zusammenhang wurde Revisionsfunktionen auf andere Prüfungsstellen im Unternehmen übertragen. Eine ausgebaute Revision ist heute nur in den Wirtschaftszweigen anzutreffen, wo es gesetzlich vorgeschrieben ist oder ein erhebliches Risiko- oder Deliktpotential besteht.

Prüferische Kernaufgaben der Revision:

eine erfolgreiche Deliktvorbeugung, die auch die hochsensiblen Telekommunikations- und Internetprozesse umfasst,

die Mitwirkung bei der Vereinfachung und Verbesserung der Geschäftsprozesse und

die Beratung der Geschäftsleitung und der Fachbereiche in allen Fragen der Kontrollsicherheit und der höchstmöglichen Geschäftsabwicklungseffizienz.

Die Revision muss durch ein kompetentes Auftreten und belegbare Ergebnisnachweise den Eindruck vermitteln, dass die Revisionsmitarbeiter „ihr Geld wert sind“ und die Sicherheit des Unternehmens ohne die Revision nicht gewährleistet ist.

1.3 Interne Revision im Wandel der Zeit

Über einen risikoorientierten Prüfungsansatz wird das mittelfristige und das jährliche Prüfungsprogramm von der Internen Revision ermittelt. Die Revisionsdurchführung, also das abarbeiten des jährlichen Prüfungsprogramms, führt zu Feststellungen und Maßnahmen, die im Revisionsbericht fixiert werden. Durch die Maßnahmenverfolgung und der Maßnahmenumsetzung werden signifikante Risiken abgebaut und eine höhere Unternehmenssicherheit erreicht.

1.4 Ethikkodex und Standard

Der Ethikkodex beschreibt die Prinzipien für und Erwartungen an Einzelpersonen und Organisationen bei der Durchführung von Revisionsaufträgen. Der Ethikkodex beschreibt die Minimalanforderungen an das Verhalten; es enthält eher Verhaltenserwartungen als spezifische Handlungen.

Die Standards als Rahmenwerk stellen den Strukturplan für das Zusammenführen einer Erkenntnisbasis und eines Regelwerks dar. Das Rahmenwerk ermöglicht konsistente Entwicklung, Auslegung und Anwendung von Konzepten, Methoden und Techniken zur Nutzung durch eine Tätigkeit oder einen Berufsstand. Die Struktur der Standards umfasst Attribut-, Ausführungs- und Umsetzungsstandards und die Standards bestehen aus folgenden Komponenten:

Festlegungen grundlegender Anforderungen an die Berufsausübung der internen Revision und zur Beurteilung der Wirksamkeit ihrer Ausübung, die international sowohl von Einzelpersonen als auch von Organisationen anwendbar sind.

Erläuterungen, die in den Festlegungen enthaltene Begriffe oder Konzepte verdeutlichen.

Die Standards dienen folgenden Zwecken:

Darstellen der verbindlichen Grundprinzipien der Berufsausübung der Internen Revision.

Bereitstellen eines Rahmenwerks für Ausführung und Förderung eines breiten Spektrums wertschöpfender Aktivitäten der Internen Revision.

Schaffung einer Basis für die Beurteilung der Leistung der Internen Revision.

Fördern von verbesserten Prozessen und Ergebnissen einer Organisation.

Grundsätze der internen Revision:

Rechtschaffenheit

Objektivität

Vertraulichkeit

Fachkompetenz

Wenn interne Revisoren oder Revisionsfunktion auf Grund von Gesetzen und Vorschriften Teile der Standards nicht einhalten können, ist es notwendig, dass die Abweichung kommuniziert und die darüber hinaus gehenden Standards eingehalten werden.

2 Wichtige Schnittstellen der Revision

2.1 Internal Audit – Sicherheit

2.1.1 Datensicherheit, Informationssicherheit

Als Mindeststandard soll folgendes IT-Grundschutz-Set dienen, was auch in ähnlicher Form unter dem IT-Sicherheitsmanagementaspekt in Teilen wiederholt wird:

Verantwortlichkeiten:

Festlegung der Verantwortlichkeiten rund um die Informationssicherheit?

Wer ist der zentrale Ansprechpartner?

Wer führt die Datensicherung durch?

Mitarbeiter müssen sich zur Verschwiegenheit gegenüber Außenstehenden verpflichten.

Die nicht delegierbare Verantwortung liegt in der Geschäftsführung.

Datensicherung:

Alle relevanten Daten müssen täglich gesichert werden. Der Prozess „Datensicherung“ muss auch das wieder zurück lesen der Daten beinhalten. Eine regelmäßige Überprüfung ist unabdingbar.

Informationssicherheit

Im Mittelpunkt der Informationssicherheit steht die Frage: Wie gehe ich mit meinen Daten um?

Sind meine Daten sicher?

mein Rechner ist gegen Diebstahl gesichert (Schloss, Transportschutz, etc.)

die Daten sind gegen unbefugten Zugriff geschützt (Bios Passwort, Bildschirmschoner ist kennwortgeschützt, Sichtschutzfolien für Monitor…)

meine elektronischen Datensind gegen unberechtigte Nutzung geschützt (Verschlüsselung von Festplatten, USB-Sticks und mobilen Datenträger, CD …)

physische Daten (z.B. Prüfungsordner) sind geschützt (verschlossener Schrank, Safe, Clean Desk, …)

Weitergabe von vertraulichen Informationen erfolgt sicher (verschlossener Brief, verschlüsseltes Versenden…)

2.1.2 IT-Sicherheitsmanagement

Im IT-Sicherheitsmanagement sollen folgende Sicherheitsziele geschützt werden:

Vertraulichkeit

Gespeicherte oder übertragene Daten sind nur befugten Personen (oder Systemen) zugänglich.

Verfügbarkeit

Die Funktionen eines IT-Systems stehen zu geforderten Zeitpunkten zur Verfügung und funktionieren korrekt.

Integrität

Die Daten eines IT-Systems sind vollständig und unverändert, d.h. unbefugte Änderungen sind ausgeschlossen.

Authentizität

Bei Kommunikationsvorgängen sind Sender und Empfänger zu identifizieren und die Integrität der Inhalte nachweisbar.

Verbindlichkeit

Wenn Formvorschriften es verlangen, dann sind Änderungen von Daten eindeutig nachvollziehbar und zurechenbar (revisionssicher).

Im Rahmen des Risikomanagements werden Risiken identifiziert und bewertet, im Ergebnis werden erhebliche Schäden befürchtet. Bei Fehlverhalten muss mit Haftungsansprüchen gerechnet werden.

Folgende Brennpunkte können identifiziert werden:

IT-Systeme: … dürfen nur nach klar geregelten Benutzerrechten genutzt werden, Mitarbeiter dürfen nur über Benutzerrechte für ihre Aufgaben erforderlichen Mindestmaß verfügen;

Passwörter: … müssen geeigneten Richtlinien gehorchen und z.B. Mindestanforderungen an Aktualität, Länge und Vielfalt erfüllen; der Umgang mit Passwörtern darf ihre Wirksamkeit nicht einschränken (Weitergabe an Kollegen, etc.)

Sicherheitsrichtlinien, -maßnahmen und –vorkehrungen müssen ausreichend verbreitet und erläutert werden.

Zugangspunkte (Endgeräte, Netzknoten): … sind physikalisch und technisch zu schützen (z.B. Einbruchssicherung, Firewall).

Zugriffe auf IT-Systeme: … müssen gesichert werden, damit diese nicht unkontrolliert (über Netze wie Internet, Telekommunikation, funkbasierte Techniken) erfolgen können.

Daten und Anwendungen (Software): … sind geeignet zu sichern, damit sie nach Ausfällen möglichst rasch und vollständig wiederhergestellt werden können.

Änderungen an IT-Systemen: … sind ausschließlich gezielt und kontrolliert vorzunehmen und vor dem Einsatz zu testen; technische und organisatorische Änderungen sind zu kontrollieren und zu dokumentieren.

Notfälle sind ausreichend zu planen und vorzubereiten; Richtlinien, Maßnahmen und Vorkehrungen müssen vorbereitet, erläutert und geübt werden.

Ein systematisches IT-Sicherheitsmanagement umfasst u.a. einen Sicherheitsprozess, eine Sicherheitsstrategie, sowie Mitarbeiter und Ressourcen. Sicherheitsmanagement muss mit einem definierten Prozess geplant, organisiert und kontrolliert werden.

Sicherheitsstrategie: Die Geschäftsführung legt die Aufgaben und Zuständigkeiten im Rahmen der Bedeutung der IT-Sicherheit und einer möglichen Sicherheitsorganisation fest. Diese Grundsätze werden in Form einer Sicherheitsrichtlinie fixiert und kommuniziert. Die IT-Sicherheitsstrategie muss den Grundsätzen der Wirksamkeit und Wirtschaftlichkeit Rechnung tragen.

Mitarbeiter: Die Mitarbeiter müssen für das Thema IT-Sicherheit sensibilisiert werden. Dies erfolgt durch gezielte Maßnahmen an Hand denen den Mitarbeitern mögliche Risiken, unsichere Verhaltensweisen und mögliche Gegenmaßnahmen aufgezeigt werden.

Ressourcen: Die Unternehmensleitung muss weitere Ressourcen freigeben, soweit sie zur Umsetzung der Sicherheitsstrategie notwendig sind. Folgende Maßnahmen können zu einer wesentlichen IT-Sicherheit beitragen:

Sicherheitsaspekte werden bei der Gestaltung von Prozessen und der Beschaffung von Software beachtet. Für die Feststellung des Schutzbedarfs sind im Rahmen der IT-Compliance relevante gesetzliche Vorgaben und Regelungen und im Rahmen des Risikomanagements Verlustrisiken (bezüglich Know-how, Betriebsgeheimnisse, Kundendaten, IT-Systemen …) zu erheben.

Zur Abwehr von Schadprogrammen, die über Datenträger oder Netze (z.B. Internet) eingeschleppt werden, sind heute Viren-Schutzprogramme unverzichtbar, auch auf Rechnern ohne Netzanschluss. E-Mails sollten zentral auf Viren untersucht werden. Ein Berechtigungskonzept soll den Zugang zu den für IT-Systemen regeln und immer nur so weit reichen, wie sie für die zugeordnete Aufgabenstellung notwendig sind.

Die Sicherheit von Netzen kann durch den Einsatz einer Firewall abgesichert werden. Im Unternehmen führen Sicherheitsmaßnahmen wie zum Beispiel, das Anbieten von Daten und Diensten nach außen wird auf das Mindestmaß beschränkt und das Ausführen von E-Mail-Anhängen ohne Sicherheitsvorkehrungen wird verhindert.

Der „Faktor Mensch“ muss für das IT-Sicherheitsthema sensibilisiert werden. Zusätzlich müssen klare Regeln zur Nutzungen der IT-Infrastruktur festgelegt werden. Neben dem technischen Aspekt ist die Informationssicherheit zu beachten, wie dürfen z.B. CD-ROMs, USB-Sticks oder externe Festplatten verwendet werden. Der Zugang und Zutritt zu wichtigen Räumen, Rechnern und Systeme muss konsequent geregelt werden. Bei Wartungs- und Reparaturarbeiten muss darauf geachtet werden, dass Sicherheitsmechanismen nicht außer Kraft gesetzt werden.

Die Sicherheitsvorkehrungen müssen immer auf Änderungen und IT-Systeme auf ihre Funktionalität und Sicherheit im Echtzeitbetrieb überprüft und getestet werden.

Mit Passwörtern und Verschlüsslungen kann ein Mindestschutz sensibler Daten und Systeme gewährleistet werden. Wichtig zur Sicherung des Mindestschutzes ist es, das Arbeitsplatzrechner automatisch nach einer Zeit von ca. 3 Minuten im unbenutzten Zustand in den Stand-by-Modus gehen und zum weiterarbeiten ein Passwort verlangen. Das Passwort sollte nur 3 Monate gültig sein, aus mindestens 7 Stellen bestehen, mindestens 1 Sonderzeichen und eine Ziffer beinhalten. Sensible Daten sollten nur verschlüsselt abgelegt oder verschickt werden.

2.1.3 IT-Notfallmanagement und IT-Notfallplan

Die gesetzlichen Randbedingungen zum Notfallmanagement sind im Folgenden Schaubild dargestellt:

Mangelnde Notfallvorsorge kann gegenüber dem Kunden zur Haftung aus Verzug oder Nichterfüllung führen und Vertragsstrafen auslösen. Versicherungen versagen gegebenenfalls einen Vertraglich vereinbarten Versicherungsschutz, wenn unangemessene IT-Notfallplanung als Verschulden gewertet werden kann. Für Mitglieder kann sich daraus eine persönliche Haftung auf Schadenersatz ergeben.

In IT-Systemen und in der IT-Infrastruktur kann es immer mal zu Ausfällen kommen. Nicht jeder Ausfall ist eine Katastrophe. In der IT-Welt wird in erster Linie zwischen („Incidents“) Störfällen und („Disaster Recovery“) Notfälle unterschieden.

Bei Incidents funktioniert das IT-System nicht wie vorgesehen. Die entstehenden Schäden sind jedoch als gering einzuschätzen und die Behebung der Störung kann im Rahmen des Normalbetriebs erfolgen.

Notfälle wie z.B. Angriffe auf die IT-Systeme, Irrtum oder Versehen, Elementarereignisse, höhere Gewalt, technische Mängel und technisches Versagen der IT-Systeme oder Funktions- und Organisationsmängel können nicht während des Normalbetriebs behoben werden. Ein Notfall führt zum Ausfall des Normalbetriebs, muss erkannt werden, repariert werden und der eigentliche Zustand muss wiederhergestellt werden. Ziel ist es das die Wiederherstellung so wenig Zeit wie möglich in Anspruch nimmt. Neben einem potentiellen Datenverlust sollen operative Schäden (z.B. Umsatzverlust bei fehlender Verfügbarkeit der Website) verhindert oder minimiert werden.

Durch die Implementierung eines Notfallkonzept und Notfallplänen soll die Ausfallzeit im Notfall reduziert werden. Das IT-Notfallmanagement kann inhaltlich kaum vorgegeben werden. Folgende Checkliste soll den dringendsten Regelungsbedarf aufzeigen:

Krisenstab mit Zuständigkeiten

Kontaktliste (Information zu wichtigen Ansprechpartnern wie Unternehmensleitung, IT-Service-Anbieter, etc.)

Welche Ausfälle können auftreten?/Welche Schäden können verursacht werden?

Mit welchen technischen oder organisatorischen Maßnahmen können Schäden verhindert oder vermindert werden?

Welche wichtigen Prozesse und Abläufe sind gefährdet?/Wie können Prozesse und Abläufe im Rahmen eines Notbetriebs behelfsmäßig aufrechterhalten werden?

Welche Personen können im Notfallhelfen?

Wie werden Daten und IT-Systeme für den Notfall gesichert?

Wie kann die Wiederherstellung nach dem Notfall (Wiederanlauf, Disaster Recovery) unterstützt werden?

Sind die Maßnahmen der Notfallvorsorge getestet, geübt, verbessert?

2.1.4 Mögliche Prüfungsthemen auf Basis des COBIT Modells

2.2 Internal Audit – Risikomanagement

Ziel der Reduzierung von Risiken ist es, Eintrittswahrscheinlichkeiten und Schaden höhen der Risiken durch die Implementierung stabiler Prozesse sowie durch Sofortmaßnahmen zu verringern. Die Reduzierung von Risiken umfasst ein angemessenes Sicherheits- und Notfallmanagement. Beim Transfer werden Risiken und damit verbundene potentielle Schäden auf Externe übertragen.

Es ist Wesentlich, das beim Risikotransfer, eine mögliche Versicherbarkeit der Risiken, die sich in der Praxis oft als kompliziert erweist. IT-Risiken werden bewusst akzeptiert, wenn sie unter einer durch die Unternehmensleitung festgelegten Risiko-Akzeptanzlinie liegen und somit nur einen akzeptablen Schaden verursachen. Über ein Berichtswesen ist die Geschäftsleitung über die aktuelle Lage und Entwicklung zu den Risiken zu informieren.

Zusätzlich wirkt beim Management von Risiken ein Faktor wesentlich und nachhaltig:

Eine Risikokultur, die im Unternehmen ein ausgeprägtes und einheitliches Risikobewusstsein sowie Risikoverständnis erzeugt. Der Aufbau und die Pflege der Risikokultur flankieren und stützen direkte Maßnahmen des Risikomanagements.

Die steuerende Wirkung der Risikokultur zielt dabei auf …

… die Akzeptanz von Risiken, d.h. mit welchen IT-Risiken wir wie umgegangen.

… die Befolgung von IT-Richtlinien und Regularien, d.h. wie strikt werden Richtlinien und Vorgaben von allen angenommen und befolgt.

… den Umgang mit negativen Ereignisse, d.h. wie werden negative Ereignisse aufgenommen und gehandhabt, auch: Welche Lernprozesse werden in der Folge angestoßen?

2.2.1 IT-Risikomanagement

Das IT-Risikomanagement kann, wie IT-Conpliance (dazu nachher mehr), in verschiedene Phasen eingeteilt werden.

Sammeln von Risiken durch ein Self-Assessment und Meldungen von Risiken durch die Mitarbeiter. Die Bewertung des Risikos erfolgt über das Produkt aus der Eintrittswahrscheinlichkeit und Schadenshöhe. Daher werden beide Größen häufig nur mit Ordinalskalen gemessen, auf denen mit Schätzwerten operiert wird, also mit den Werten „hoch“, „mittel“, „niedrig“.

An der Risikobewertung werden angemessene Steuerungsmaßnahmen abgeleitet, indem identifizierte und bewertete Risiken vermieden, reduziert, transferiert oder akzeptiert werden.

Eine Vermeidung von Risiken ist lediglich durch Aufgabe bzw. Unterlassungsrisikoreichen Aktivitäten möglich. Eine solche Entscheidung kann nur damit begründet werden, wenn die Verlustrisiken die Erfolgschancen deutlich übersteigen. Ziel der Reduzierung von Risiken ist es, Eintrittswahrscheinlichkeit und Schadenhöhen der Risiken

2.3 Internal Audit – Compliance

Auf dem Fachgebiet Compliance, im Sinne der Einhaltung von Gesetzen und Regularien, untersucht die Revision das Prozessdesign wie auch die Einrichtung des internen Kontrollsystems (IKS), das die Einhaltung der Anforderungen sicherstellen soll.

Mit der Neufassung des §107 (3) AktG ist die Überwachung des IKS durch den Aufsichtsrat explizit erwähnt. Im § 107 (5) AktG werden die wesentlichen Elemente des IKS im weiteren Sinne dargestellt. Die Interne Revision ist integraler Bestandteil des IKS und aufgrund ihrer Überwachungsfunktion Hauptakteur und unterstützt so den kontinuierlichen Verbesserungsprozess. Auf diese Art trägt die Interne Revision unmittelbar zur Wertschöpfung im Unternehmen bei. In Bezug auf Compliance im Sinne der Einhaltung von Gesetzen und Regularien untersucht die Revision das diesbezügliche Prozessdesign wie auch die Einrichtung des IKS, das die Einrichtung dieser Anforderungen sicherstellen soll.

2.3.1 Internes Kontrollsystem (IKS)

Durch ausschließliche Einzelfallprüfungen lässt sich in einem größeren Unternehmen mit seinen komplexen Aufbau- und Ablaufstrukturen und integrierten Systemen keine effiziente Revisionsarbeit durchführen.

Eine ausreichende Absicherung gegen betriebliches Kontrollsystem gewährleistet, dass die Aufbau- und Prozessorganisation eines Unternehmens umfasst. Ein IKS ist gegenüber direkter Einzelprüfungen die wirtschaftlichere Methode der Risikoabsicherung.

Alle risikobehafteten Geschäftsprozesse müssen in ein Kontrollnetz eingebettet sein, das eine wirksame Abwehr aller allgemeinen und spezifischen Risiken und Bedrohungen ermöglicht. Der moderne Revisor ist in einem Unternehmen der Spezialist für den Aufbau und die Überwachung effizienter Kontrollsysteme.

Unter einem IKS versteht man die Gesamtheit aller Kontrollen und Sicherheitsmechanismen eines Unternehmens oder einer Behörde zur Erreichung der erforderlichen Ordnungsmäßigkeit und Sicherheit der Geschäftsabläufe.

Die Kontrolleinrichtungen müssen so funktionieren, dass sie das speziell angesprochene Risiko erkennen und abwenden. Es müssen möglichst vorbeugende „rote Signallampen“ aufleuchten, wenn die Sicherheitsvorkehrungen nicht eingehalten werden.

Die Grundpfeiler eines IKS bauen auf den Grundsatz der Ordnungsmäßigkeit und Sicherheit auf. Zu diesen Kernzielen gehört auch eine ausreichende Funktionsfähigkeit einer Stelle, eines Ablaufs oder eines Verfahrens. Hier stößt der Prüfer für alle wesentlichen Wiederholvorgänge auf Anweisungen, Richtlinien und Arbeitsbeschreibungen.

Ein wirksames Abwehrsystem gegen Fahrlässigkeitsmängel, Korruption, Manipulation und Betrug muss organisiert und ständig in ausreichendem Maß kontrolliert werden. In Abhängigkeit von Risiko- und Bedrohungsumfang müssen Sicherheitsan- forderungen definiert und in der Form von Kontrollen in die Aufbau- und Ablauf- organisation eingebaut werden.

Sicherungsarten:

personelle Sicherungen durch Vorgesetzte und spezielle Kontroll- und Revisionsstellen

organisatorische Sicherungen durch Dienstanweisungen, geeignete Maßnahmen und festgelegte Dokumentationsanforderungen

sachliche Sicherungen, zum Beispiel Zugriffsberechtigungen, Firewalls und Schlösser

Die Funktionstrennung und das Vier-Augen-Prinzip sind die wichtigsten personellen Kontrollarten. Die Funktionstrennung sorgt dafür, dass miteinander vereinbare Funktionen nicht in einer Person oder in einer Stelle vereint sind.

Dies zählt für folgende Funktionen:

Anweisungsfunktion/Entscheidungsfunktion (Genehmigung einer vermögenswirksamen Leistung, eine Zahlungsanweisung, die Genehmigung einer Gehaltserhöhung, usw.)

Verwaltungsfunktion/Ausführungsfunktion (Kassenführung und –auszahlung)

Verbuchungsfunktion (Buchhaltung)

Der Umfang der Funktionstrennung hängt von der Risikohöhe ab. Der Revisor muss Risiken und Kontrollaufwand gegeneinander abwägen. Die kontrollierende Stelle sollte ebenso wie die ausführende Selle eine ausreichende Fachkompetenz besitzen.

Beim Vier-Augen-Prinzip wird ein wichtiger Vorgang von einer zweiten Person kontrolliert.

Die manuellen und IT-gestützen Kontrollen werden nach Möglichkeit in die Ablaufschritte eines Geschäfts- oder Verwaltungsprozess eingebaut.

Zeitnahe Kontrollen sind wirkungsvoller als Kontrollen in einem zeitlichen Abstand. Mängel lassen sich bei sofortigen Kontrollen leichter beheben.

Die Verankerung einer Kontrolle mit dem Geschäfts- und Verwaltungsprozess folgt entsprechend der folgenden Kontrollhierarchie:

zwangsläufige Verbindung der Kontrolle mit dem Arbeitsschritt

Kontrolle durch denselben Mitarbeiter im Anschluss an einen Arbeitsschritt

Kontrollen durch einen speziellen Kontrollinhaber des Fachressorts

Kontrollen durch eine spezielle Kontrollstelle

Bei manueller Abwicklung eines Verwaltungsprozesses finden Kontrollen überwiegend nach jedem Arbeitsschritt statt. In Softwarepaketen sind die Kontrollen überwiegend im Anschluss an die Belegerfassung in der Form von Eingangskontrollen konzentriert. Bei einem hohen Risikograd kommen am Schluss der Verarbeitung Ausgangskontrollen hinzu.

Aufbau und Überwachung eines internen Kontrollsystems

Der Aufbau eines IKS ist eine gemeinsame Aufgabe von Organisation/Informatik und Fachressort. Er erfolgt zusammen mit der Modellierung und Einführung eines manuellen oder IT-gestützten Organisationssystems.

Bei risikobehafteten Geschäfts- und Verwaltungsprozessen sollte die Revision den Korruptionsbeauftragten hinzuziehen.

Die Verantwortlichkeit für die Funktionsfähigkeit und ständige Überwachung eines internen Kontrollsystems liegt beim Linienvorgesetzten.

Im Rahmen der Revisionsarbeit stellen die Revisoren fest, ob

das IKS-Gitter eines sensiblen Ablaufs Schwachstellen aufweist und

bei den stichprobenhaft vorgenommenen Prüfungshandlungen zu Verwaltungsvorgängen oder Projekten sich Vermutungen für Delikthandlungen oder Beweise für Verstöße ergeben.

Als Ergebnis einer vorbeugenden IKS-Prüfung oder einer Sonderprüfung in einem eingetretenen Deliktfall können sich Anforderungen an eine Nachprüfung des IKS- Systems ergeben. Verbesserungsvorschlägen aus einer IKS-Prüfung werden von der Fachseite umgesetzt.

Ablauflogik einer IKS-Prüfung:

Aufnahme der Aufbauorganisation

Revisionsstrukturierung in der Form einer Top-down-Aufgabengliederung in grafischer oder tabellarischer Form oder als Aufzählung der Prüfungsfelder

Aufnahme der für die Prüfung relevanten Geschäfts- oder Verwaltungsprozesse (grafische oder verbale Darstellung)

Feststellung der Risikozonen und Gefährdungspunkte (Risiko- und Bedrohungsanalyse)

Bewertung der Risiken und der Deliktgefährdung (zur Hervorhebung der Kernpunkte)

Überprüfung des vorhandenen personellen, organisatorischen und sachlichen IKS und Feststellung der zu ändernden und neu festzulegenden IKS-Punkte

Umsetzung der zu ändernden und der neuen IKS-Vorbeugungspunkte im Rahmen der Aufbau- und Ablauforganisation und Abstimmung mit den Möglichkeiten der prüften Stelle

Bei Bedarf am Schluss der Prüfung (oder einem sich anschließenden Trainingsblock) Schulung der betroffenen Führungskräfte und Sacharbeiter in der Handhabung der geänderten und neuen IKS-Punkte und ihre Sensibilisierung, wenn IKS-Punkte der Deliktvorbeugung dienen.

Nachrevision nach einer angemessenen Zeit (3-6 Monate), ob die geprüfte Stelle das geänderte IKS-System akzeptiert hat oder Änderungen wünscht.

IKS-Fragen richtig formulieren:

Ist sichergestellt, dass ... ?

Ist gewährleistet, dass ... ?

Wie ist sichergestellt, dass ... ?

Wie ist gewährleistet, dass ... ?

Nachfassfragen bei Kurzantworten im Interview:

Wie begründen sie diese Antwort?

Wie ist sichergestellt, dass sie eingehalten werden?

Die Erweiterung von Arbeitsprozessen eines Unternehmens oder einer Verwaltungsbehörde um innovative Webstrukturen führt zu einer Herausforderung an die Revision. Die zusätzlichen Risikostrukturen sind wegen der unzureichenden Erfahrungswerte oft schwer zu durchschauen. Der Einsatz teamorientierter Kreativitäts- und Problemlösungstechniken und die Teilnahme an einschlägigen branchenorientierten Erfahrungsaustausch- gruppen kann bei der Erarbeitung wirkungsvoller Kontrollsysteme hilfreich sein. Zu den Ex-post-Prüfungen eines Arbeitsgebiets, die auch heute für jede Revision im Vordergrund steht, gehört nach der IKS-Durchleuchtung die stichprobenhafte Überprüfung von Einzelfällen. Das Ergebnis führt zu quantitativen Prüfungsfeststellungen im Revisionsbericht.

2.3.2 IT-Compliance

Einige einfache Situationen, die in der Praxis immer wieder zu beobachten sind:

Ausgeschiedenen Mitarbeitern ist die Nutzung der IT-Systeme möglich;

Benutzer von IT-Systemen werden nicht ausreichend authentifiziert, so dass unbefugte die Systeme nutzen können;

Datenbestände werden nicht ausreichend gesichert und die Lesbarkeit gesicherter Datenbestände wird nicht getestet;

Rechnerräume sind ungesichert gegen Zugang von Unbefugten.

Nachlässiges oder fahrlässiges Verhalten verletzt in der Regel gesetzliche Vorgaben und sind Verstöße gegen die IT-Compliance.

In KMU stellt Compliance generell eine schwierige Aufgabe dar, weil der Umfang und die Komplexität der Compliance-Anforderungen erheblich und oftmals ausreichende Spezialerkenntnisse nicht verfügbar sind. Die gilt umso mehr für IT-Compliance, da die betriebliche Nutzung von Informationstechnik per se ein Spezialgebiet mit erheblicher Komplexität darstellt. Damit werden auch Gelegenheiten zu opportunistischen Verhaltensweisen von Mitarbeitern und Anbietern eröffnet und typische Regelverstöße wie Korruption, Bestechung und Verstöße gegen Datengeheimnisse relevant.

Die im Allgemeinen zunehmende behördliche Regelungs- und Kontrolldichte greift damit zunehmend auch auf den IT-Einsatz in KMU durch.

Auch Bedrohungen der Unternehmenssicherheit erfordern Aufmerksamkeit. Der Schutz der IT-Landschaften wird immer wichtiger.

Vorstände und Gesellschafter sind persönlich für Versäumnisse und mangelnde Risikovorsorge verantwortlich, daher sind organisatorische und technische Maßnahmen der Vorsorge und Prävention notwendig und sollten dokumentiert sein. Nur so können Vorstände und Gesellschafter pflichtgemäßes Handeln nachweisen und dem Vorwurf der groben Fahrlässigkeit entkräften.

Angemessenes Risikomanagement, Sicherheitsmanagement und Notfallmanagement stellen im Rahmen von Sorgfaltspflichten einen Auftrag an Unternehmensleitungen dar.

Im Ergebnis steigt bei hoher Regelungs- und Kontrolldichte und breitem und umfassenden IT-Einsatz in KMU das Risiko, dass Verstöße gegen Gesetze und Vorgaben geschehen und aufgedeckt werden. Traditionell verfügen KMU über weniger personelle, organisatorische und finanzielle Ressourcen und erzielen wichtige Wettbewerbsvorteile durch Flexibilität und Geschwindigkeit.

Es muss nach externen und internen Compliance-Vorgaben unterschieden werden. Externe Compliance-Vorgaben werden durch Gesetze, Rechtsverordnungen, Rechtsprechung, Verwaltungsvorschriften, Prüfungsanforderungen oder Verträge bestimmt.

Als wesentlich können folgende Vorgaben betrachtet werden:

Datenschutz: Bundesdatenschutzgesetz (BDSG) und Landesschutzgesetze

Externe Kontrolle: Handelsgesetzbuch (HGB) und Abgabenordnung (AO), Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme (GoBS) und Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GdPDU), Prüfungsstandards und Stellungnahmen des IDW (PS 330 oder FAIT 1 bis 3)

Interne Kontrolle: Gesetz zur Kontrolle und Transparenz im Unternehmens-bereich (KonTraG), Aktiengesetz (AktG)

Handels- und Umsatzsteuerrecht: Umsatzsteuergesetz (UStG), Signaturgesetz (SigG)

Urheberrecht (UrhG) und Lizenzrecht

Branchenspezifische Vorgaben:

Banken und Kapitalanlagengesellschaften: Kreditwesengesetz (KWG), Kapitalanlagegesetz (KAG), Basel II, BaFin-Regeln

Versicherungen: Solvency II

Pharma und Lebensmittelbranche: FDA-Regeln, Registration, Evaluation, Authorisation and Restriction of Chemicals (REACH)

Öffentliche Verwaltung: luK-Mindestanforderungen

Internationale Vorgaben: Sarbanes Oxley Act (SOX)

Über die externen Compliance-Anforderungen hinaus können vom Unternehmen intern weitere Anforderungen anerkannt und verbindlich festgelegt werden.

Information Technology Infrastructure Library (ITIL)

Control Objectives for Information and Related Technology (COBIT)

ISO Normen (ISO 20000, ISO 27000)

Zur Einhaltung dieser Vorgaben und Auflagen sind die Unternehmen nicht verpflichtet, sondern entscheiden sich dafür, um die Stabilität und Qualität der Leistungserstellung zu sichern oder Marktchancen zu erhöhen.

Neben dem Datenschutz, auf den im Kapitel 2.4 eingegangen wird, muss der IT- Einsatz im Unternehmen zuvorderst den Regelungen der Steuergesetzgebung unterworfen werden. Dies fordert die Ordnungsmäßigkeit der Dokumentation der Geschäftstätigkeit, wie auch das Handelsgesetz, die Abgabenordnung, sowie weitere Gesetze, Verordnungen und Vorschriften.

Ziel der Regelungen ist die Steuerehrlichkeit und die revisionssichere Handhabung aufbewahrungspflichtiger Daten.

Exkurs:

Private Nutzung des geschäftlichen E-Mail Accounts oder die Nutzung des privaten E-Mail Accounts für geschäftliche Belange.

Wenn die private Nutzung vom Unternehmen zugelassen wird, dann wird damit das Unternehmen nach §3 des Telekommunikationsgesetzes (TKG) zum Dienstanbieter und hat damit nach §85 TKG bezüglich der E-Mails das im Grundgesetz geschützte Post- und Fernmeldegeheimnis zu beachten. Da damit eine Inhaltskontrolle der E- Mails untersagt ist, führt dies zu Hindernissen bei der zentralen Kontrolle von E- Mails auf SPAM-Mails, denn die Kontrolle ist so vorzunehmen, dass Dritte keine Kenntnis von den Inhalten privater E-Mails erlangen können. Auch bei archivierten Mails muss dies sichergestellt sein. Wenn SPAM-verdächtige Mails nicht an die Adressaten weitergeleitet werden weitergeleitet werden, dann kann dies für private E-Mails eine strafbare „Datenunterdrückung“ nach §303a StGB darstellen; die Unterdrückung schadhafter (z.B. mit Viren behafteter) E-Mails wird als zulässige Schutzmaßnahme angesehen. Wenn die private Nutzung zugelassen ist, dann ist strittig, ob auf das E-Mail-Konto eines Mitarbeiters zugegriffen werden darf, wenn dieser etwa bei plötzlicher Erkrankung oder nach Ausscheiden aus dem Unternehmen nicht antworten kann und dem Unternehmen damit Schaden entsteht, weil Kunden oder Aufträge verloren gehen.

Auch die Nutzung privater E-Mail-Adressen für Zwecke des Unternehmens ist kritisch. Wenn Mitarbeiter betriebliche E-Mails an ihre private E-Mail-Adresse weiterleiten, um beispielsweise diese trotz Abwesenheit vom Arbeitsplatz rasch beantworten zu können, dann kann bezüglich der eingegangenen und versandten E-Mails gegebenenfalls nicht der Archivierungspflicht genügt werden.

Wichtig im Zuge von IT-Compliance ist die Thematik rund um das Softwareschutzrecht und Nutzungsrecht. Beim Kauf von Software wird ein Nutzrecht, d.h. eine Lizenz, erworben und berechtigt zur Nutzung der erworbenen Software oder Datenbank. Individuell entwickelte Software im Zuge eines Arbeitsverhältnisses basiert meist auf einem Arbeits- oder Werkvertrag. Solange nichts geregelt ist, stehen einem Arbeitgeberalle Nutzrechte ausschließlich und ohne besonderes Entgelt zu.

Um eindeutige Klarheit zu haben sollte dies ausdrücklich im Arbeitsvertrag fixiert sein. Bei einem Werkvertrag ist durchgehend