Handbuch / Leitfaden 3.0 der Internen Revision der Goethe-Universität Frankfurt

Transkript

1 Handbuch / Leitfaden 3.0 der Internen Revision der Goethe-Universität Frankfurt Als Information für Dritte Wie geht die Interne Revision allgemein vor? Stand:

2 Änderungshistorie Version Datum Beschreibung der Änderung Erstellung des Dokuments Überarbeitung der ersten Fassung Aktualisierung der zweiten Fassung Version 3.0 Seite 2 von 9

3 Inhaltsverzeichnis Änderungshistorie Aufgaben und Ziele Aufbauorganisation Risikoorientierter Prüfungsansatz Auditplan Drei-Jahres-Planung Jährlicher Revisionsplan Auditablauf Allgemein Vorbereitung Prüfungsankündigung Auditkonzept und Informationsanfrage Durchführung Kick-Off Meeting Durchführung: Ist-Aufnahme, Dokumentation und Risikoanalyse Close-Out Meeting Erstellung des Prüfungsberichts Abstimmung des Berichts Verteilung des Berichts Nachschauprüfung (Follow-up Prüfungen) Erstellung des Jahresberichts Arbeitsorganisation Dokumentation der Arbeiten in der Internen Revision Sicherheit Archivierung und Aufbewahrungsfristen für Auditunterlagen Überprüfung des Handbuchs... 9 Version 3.0 Seite 3 von 9

4 1 Aufgaben und Ziele Grundlage der Arbeit der Stabsstelle Interne Revision ist die Geschäftsordnung der Internen Revision der Goethe-Universität. Diese orientiert sich an der Dienstanweisung für die Interne Revision an den Hochschulen des Hessischen Ministeriums für Wissenschaft und Kunst (HMWK) vom In dieser ist explizit definiert, dass sich der Prüfungsbereich der Internen Revisionen auf alle Geschäftsprozesse und administrative und wirtschaftlich relevante Tätigkeiten in Forschung und Lehre, Wissenstransfer und Weiterbildung der Hochschulen erstreckt. Davon abgeleitet wurde die Geschäftsordnung zur grundlegenden Konzeption der Stabsstelle erstellt. Die Geschäftsordnung der Internen Revision gilt als Leitfaden, in der übergreifend der Auftrag sowie die Rechte und Pflichten der Internen Revision festgelegt sind. Das vorliegende Handbuch stellt - im Vergleich zur Geschäftsordnung - detaillierter die Arbeitsweise der Internen Revision dar, insbesondere den Ablauf von Audits und die interne Arbeitsorganisation der Stabsstelle. Darüber hinaus existiert eine ausführlichere interne Arbeitsgrundlage für den Revisionsmitarbeiter, in der jeder Arbeitsschritt genau beschrieben wird. Dieses Handbuch richtet sich grundsätzlich an alle Mitarbeiter der Universität. Es informiert u.a. über Anforderungen an die Interne Revision, deren Aufgaben, Ziele und Arbeitsfelder. In diesem Sinne ist das Handbuch neben der Geschäftsordnung der Internen Revision auch Informationsquelle für geprüfte Fachbereiche und andere Organisationseinheiten. Darüber hinaus dient das Handbuch zur übergreifenden ersten Information neuer Mitarbeiter sowie externer Revisionsdienstleister bei der Unterstützung der Internen Revision der Goethe-Universität. Die Interne Revision der Goethe-Universität ist den Grundsätzen des Deutschen Instituts für Interne Revision (DIIR) und des Institute of Internal Auditors (IIA) verpflichtet. Das Tätigkeitsfeld der Internen Revision erstreckt sich grundsätzlich auf alle Verwaltungsprozesse der Goethe-Universität. Darüber hinaus erstreckt sich das Tätigkeitsfeld auf die Beteiligungen und verbundenen Einrichtungen sowie die einzelnen Fachbereiche. Im Rahmen der Audits sind Mängel, Schwachstellen und Verbesserungsmöglichkeiten festzustellen und Maßnahmen abzuleiten. In diesem Rahmen nimmt die Interne Revision auch eine Beratungsfunktion wahr. Die Umsetzung der Maßnahmen wird bis zu deren Abschluss bzw. solange Mängel bestehen durch Follow-up Prüfungen begleitet. In all ihren Aufgaben übt die Interne Revision eine unabhängige Funktion aus. Durch die universitätsweite Tätigkeit der Internen Revision wird der Know-how-Transfer gefördert und damit die Optimierung der Verfahren in allen Organisationseinheiten unterstützt. Die Vertraulichkeit der Untersuchungsergebnisse bleibt dabei uneingeschränkt gewahrt. Der Kanzler / die Hochschulleitung ist grundsätzlich nicht Gegenstand eines Audits, da diese Auftraggeber sind. Diese werden von externen Stellen überprüft. 2 Aufbauorganisation Die Interne Revision ist funktionell und organisatorisch unabhängig von den geprüften Stellen und untersteht als Stabsstelle unmittelbar dem Kanzler der Universität. Die Beauftragung erfolgt nur über diesen in Form des jährlichen Auditplans sowie über Sonderaufträge. Die Interne Revision ist nicht weisungsbefugt. Sie wird bei der Durchführung der Audits durch externe Revisionsdienstleister unterstützt. Für die Erfüllung der Aufgaben ist die Leitung der Interne Revision verantwortlich. 3 Risikoorientierter Prüfungsansatz Die Interne Revision verfolgt einen prozess- und risikoorientierten Prüfungsansatz. Dieser sieht vor, Bereiche und Prozesse mit höherem Gefährdungspotenzial häufiger und intensiver zu prüfen als solche mit geringem. Das Audit Universe dient dabei als strategisches Instrument, das das Prüfinventar der Internen Revision übersichtlich darstellt. Es bildet das Grundgerüst für die Risikoidentifikation, Risikobewertung und die risikoorientierte Prüfungsprogrammplanung. Version 3.0 Seite 4 von 9

5 4 Auditplan 4.1 Drei-Jahres-Planung Abteilungsintern wird eine Drei-Jahres-Planung aufgestellt und regelmäßig den Gegebenheiten angepasst. Ziel dieser längerfristigen Planung ist die systematische Festlegung der Audit- Erfordernisse für einen Planungshorizont von maximal fünf Jahren (i.d.r. drei Jahre) unter Beachtung von Prioritäten und der Risikostruktur der Goethe-Universität. Dabei werden die verfügbaren quantitativen und qualitativen Kapazitäten sowie das vorhandene Budget berücksichtigt. Wichtige Kriterien für die Festlegung von Audits sind u.a.: Audits der Vorjahre Ergebnisse aus durchgeführten Audits Informationen über aktuellen Auditbedarf, z.b. Hinweise des Jahresabschlussprüfers Politische Bedeutung und universitätsspezifische Aspekte Vorgaben / Wünsche des Kanzlers Haushaltsvolumen der Arbeitsbereiche Vermutete Defizite bei der Ablauforganisation Es wird eine Prioritätsanalyse auf Grundlage des Audit-Universe durchgeführt mit dem Ziel, die Risiken der einzelnen Abteilungen besser einschätzen zu können. 4.2 Jährlicher Revisionsplan Ausgehend von der abteilungsinternen Mehrjahresplanung wird für jedes Geschäftsjahr ein jährlicher Revisionsplan (Auditplan) aufgestellt, welcher vom Kanzler der Goethe-Universität im Nachgang der Wirtschafts- und Finanzausschusssitzung (WFA) genehmigt wird. Die Verantwortung für die Erstellung der Jahresplanung liegt bei der Leitung der Internen Revision. Bei Bedarf wird der Jahresplan auf zwei Jahre erweitert. Bezüglich der zeitlichen Genauigkeit wird der Revisionsplan flexibel gestaltet, um u.a. Sonderaufträge zu ermöglichen. Akuter Bedarf hat Vorrang vor geplanten Audits. Die geplanten Audits werden in diesem Fall entsprechend verschoben. Die Audits werden rechtzeitig mit Vorlauf geplant. Sie werden derzeit mit Unterstützung externer Revisionsdienstleister im Team bearbeitet. Die Verantwortung für die Zeit- und Einsatzplanung obliegt der Leitung der Internen Revision. Die Jahresplanung beinhaltet eine ausgewogene Verteilung der Kapazität auf alle Universitätsbereiche. Unterjährig wird der Kanzler über den Stand der Abarbeitung des Revisionsplans in regelmäßigen Abständen durch die Einzelberichterstattung der Audits informiert. Darüber hinaus erstellt die Interne Revision am Ende eines jeden Geschäftsjahres einen Jahresbericht. Dieser wird dem Präsidium sowie dem WFA vorgestellt. 5 Auditablauf 5.1 Allgemein Das Ergebnis und der Mehrwert eines Audits hängen entscheidend von der Mitwirkung des untersuchten Bereichs ab. Deshalb ist es außerordentlich wichtig, den Bereich einzubeziehen und offen mit ihm zu kommunizieren. Maßnahmen sollen möglichst einvernehmlich verabschiedet werden. Version 3.0 Seite 5 von 9

6 Der Auditablauf gliedert sich wie folgt: 5.2 Vorbereitung Prüfungsankündigung Die Audits werden jeweils mit dem Kanzler auf der Basis des jährlichen Revisionsplans abgestimmt. Dieser kündigt i.d.r. zusammen mit der Leitung der Internen Revision das Audit schriftlich bei der betreffenden Abteilung / dem Bereich an. Zeitnah kontaktiert die Interne Revision nach Versand der Ankündigung den Bereich / die Abteilung, um den Zeitrahmen zu bestätigen, die Inhalte kurz zu besprechen, eventuelle Rückfragen zu beantworten und die ersten Termine zu koordinieren Auditkonzept und Informationsanfrage Die Vorbereitung auf ein Audit beinhaltet die Beschaffung von Informationen über den Prüfungsschwerpunkt. Als Grundlage für die Durchführung wird in der Regel ein Prüfungskonzept erstellt, welches im Laufe des Audits ergänzt oder modifiziert wird. Das Prüfungskonzept kann zur strukturierten Vorgehensweise genutzt werden und dient besonders neuen und unerfahrenen Kollegen als Leitfaden. Die geprüfte Einheit wird per im Vorfeld eines Audits per Informationsanfrage gebeten relevante Unterlagen zusammenzustellen, sodass sie spätestens zu Beginn des Audits zur Verfügung stehen. Diese Informationsanfrage ist an das Auditthema und, soweit möglich, die zu prüfende Abteilung anzupassen. Dokumente, die in der Abteilung vorhanden sind (z.b. Organigramme, Richtlinien etc.), werden umgehend erbeten. Alle anderen Dokumente sollten spätestens zu Beginn des Audits vorliegen, um eine entsprechende Vorbereitung zu gewährleisten. Es empfiehlt sich in der Woche vor dem Vorlagetermin den Bereich zu kontaktieren und nach dem Status zu fragen und sie ggf. an die Unterlagen zu erinnern, sodass ein zeitgerechter Ablauf des Audits gewährleistet ist. 5.3 Durchführung Kick-Off Meeting Ziel des Kick-Off Meetings ist es, die geplante Vorgehensweise zu erläutern und diese für den geprüften Bereich transparent zu machen. Das Kick-Off Meeting findet zu Beginn eines jeden Audits statt. Es ist vorbereitet, strukturiert und kooperativ zu führen. Es soll auch dem Abbau von Berührungsängsten dienen und ein offenes Klima schaffen. Es sollte genügend Zeit für Fragen seitens der Geprüften eingeplant werden, um Unklarheiten zu beseitigen bzw. einzelne Aspekte zu vertiefen. Die Interne Revision stellt im Kick-Off Meeting folgende Punkte dar: Ausgangssituation des Auftrags und Prüfungsziel Ablauf des Audits Zeitlicher Rahmen Vorgesehene Inhalte und Schwerpunkte Berichtsentwurf, Abstimmung und Berichtsversand Ein weiteres Ziel des Kick-Off Meetings ist es, dass die Interne Revision einen besseren Überblick über den Bereich / die Abteilung und deren Umfeld gewinnt. Der jeweilige verantwortliche Ansprechpartner sollte den zu prüfenden Bereich / die Abteilung und die wesentlichen Aufgabenbereiche kurz vorstellen. Version 3.0 Seite 6 von 9

7 5.3.2 Durchführung: Ist-Aufnahme, Dokumentation und Risikoanalyse Die drei wesentlichen Schritte der eigentlichen Prüfungshandlung sind: (1) Aufnahme und Dokumentation der Prozesse zu dem jeweiligen Auditthema (Ist-Aufnahme). (2) Verfolgung einer Stichprobe von Belegen durch alle Schritte der untersuchten Abläufe (Walkthrough Test). (3) Prüfung der Wirksamkeit von ausgewählten Maßnahmen und Kontrollen über einen festgelegten Zeitraum bzw. für eine begrenzte Anzahl von Belegen (Stichprobe) Close-Out Meeting Am Ende eines Audits findet eine Schlussbesprechung mit dem verantwortlichen Bereich statt. Die Ergebnisse der Prüfung sind während des Meetings zu erläutern und zu diskutieren. Das Close-Out Meeting soll dem Bereich und dem Revisor die Möglichkeit zur Diskussion der Feststellungen und möglicher Maßnahmen geben. Das Gespräch ist offen und konstruktiv zu führen. Vorschläge für Maßnahmen seitens der Geprüften sind oft gut und sollten mit aufgenommen werden. Alle wesentlichen Punkte für das Close-Out Meeting sollten vorher bereits in den Statusmeetings besprochen worden sein. Nur in seltenen Ausnahmefällen wird der nachträglichen Zusendung von Informationen und Dokumenten zugestimmt. Ein Audit sollte im definierten Zeitrahmen durchgeführt werden und nicht durch Nacharbeiten neue Projekte behindern. Ausnahmen sind möglich, wenn z.b. erst am letzten Tag Dokumente angefordert wurden oder der Bereich die Dokumente von einem Dritten beschaffen muss. Für das Close-Out Meeting sollte ein ausreichender Zeitrahmen von ca. zwei Stunden, als Abschluss des Audits vor Ort, eingeplant werden Erstellung des Prüfungsberichts Die Ergebnisse des Audits werden im Prüfungsbericht festgehalten. Dieser vermittelt im Wesentlichen die Feststellungen, die Empfehlungen und die sich daraus ergebenden Maßnahmen. Der Bericht beinhaltet im Wesentlichen folgende Punkte: 1. Kurzbeschreibung des Auftrages bzw. was die Interne Revision untersucht hat 2. Kurzprozessbeschreibung und Sachverhaltsbeschreibung (Feststellungen) 3. Je nach Audit: Managementaktionen oder implementierte Kontrollen 4. Kurzbeschreibung der gewählten Stichprobe 5. Prüfungsergebnisse und Empfehlungen Die durch das Audit festgestellten Feststellungen / Risiken werden hinsichtlich ihrer Wichtigkeit/Bedeutung klassifiziert. Diese Klassifizierung soll als Orientierung für die Priorisierung einzuleitender Maßnahmen zur Beseitigung der Feststellungen dienen. Wichtigkeit der Feststellung / des Risikos A/*** = hoch B/** = mittel Beschreibung Feststellungen, die schwerwiegende Auswirkungen auf die Universität haben können und / oder wesentliche Schwächen des Internen Kontrollsystems darstellen, z.b. fehlende Funktionstrennung. Es bestehen hohe Risiken für die geprüften Bereiche. Es besteht kurzfristiger Handlungsbedarf, die zeitnahe Überwachung der Umsetzung durch den Kanzler ist erforderlich. Kontrollschwächen oder Verbesserungsmöglichkeiten, die ein mäßiges Risiko für die geprüfte Einheit bergen. Es ist mittelfristiger Handlungsbedarf gegeben, die Überwachung der Umsetzung ist erforderlich. Version 3.0 Seite 7 von 9

8 C/* = niedrig Kontrollschwächen oder Verbesserungspotentiale, die beachtet werden müssen, jedoch keinen sofortigen Handlungsbedarf darstellen. Die Verbesserungsmaßnahmen können mit niedriger Priorität umgesetzt werden Abstimmung des Berichts Der von der Internen Revision intern verabschiedete Entwurf des Berichts wird i.d.r. der auditierten Abteilung per übermittelt. Die ist als vertraulich sowie ggf. keine Kopie zulassen zu kennzeichnen, um weitgehend zu verhindern, dass Berichtsentwürfe ohne Absprache mit der Internen Revision an weitere Personen verteilt werden. Die Abteilung wird gebeten, die Sachverhaltsbeschreibung auf Richtigkeit hin zu überprüfen. Danach durchläuft dieser nochmals die interne Qualitätskontrolle der Internen Revision Verteilung des Berichts Der Bericht wird nach der finalen Abstimmung als finale PDF-Datei zum Versand vorbereitet. Die Berichte werden zusammen mit einem Anschreiben an die Personen auf dem Verteiler geschickt. Der Berichtsverteiler ist begrenzt und geschlossen. Empfänger der Berichte ist immer der Kanzler. Darüber hinaus wird der Bericht den Verantwortlichen der auditierten Bereiche zur Verfügung gestellt. Eine nachträgliche Verteilung an weitere Stellen ist nur in Ausnahmefällen und nur mit Zustimmung der Leitung der Internen Revision möglich. Die Jahresabschlussprüfer erhalten auf Aufforderung die Berichte. Dies ist mit der Leitung der Internen Revision in jedem Fall abzustimmen und intern in den Unterlagen zu dokumentieren. Der Jahresabschlussprüfer erhält generell den zusammengefassten Jahresbericht der Interne Revision. 5.4 Nachschauprüfung (Follow-up Prüfungen) Um die Umsetzung der festgelegten Maßnahmen sicherzustellen, werden von der Internen Revision Nachschauprüfungen (Follow-ups) durchgeführt. Das erste Follow-up wird in der Regel sechs bis zwölf Monate nach der Prüfung durchgeführt. Ziel der Nachschauprüfung ist es, die Empfänger des ursprünglichen Berichts in standardisierter Form über den Stand der Umsetzung von Maßnahmen zur Minimierung der bestehenden Risiken zu informieren. Verantwortlich für die Umsetzung der empfohlenen Maßnahmen zur Risikominimierung sind die Leitung des geprüften Bereichs sowie die Hochschulleitung. Die Hochschulleitung sowie der WFA werden regelmäßig über den Stand der Umsetzungen informiert. 6 Erstellung des Jahresberichts Zum Ende eines Geschäftsjahres wird von der Leitung der Internen Revision ein Jahresbericht erstellt. Dieser enthält eine Übersicht der im Geschäftsjahr durchgeführten Revisionsprüfungen. Die jeweiligen Audits und Feststellungen werden kurz beschrieben. Berichtsempfänger des Jahresberichts ist der Kanzler sowie das Präsidium. Der Jahresbericht wird darüber hinaus durch die Interne Revision dem Präsidium sowie im WFA vorgestellt. 7 Arbeitsorganisation 7.1 Dokumentation der Arbeiten in der Internen Revision Alle Informationen und Unterlagen, die die Geschäftstätigkeit der Internen Revision betreffen, werden entsprechend dokumentiert und abgelegt. 7.2 Sicherheit Da die Interne Revision Zugang zu sensiblen und vertraulichen Daten hat, müssen diese sicher verwahrt werden. Dies gilt für Papierdokumente ebenso wie für Dateien. Deshalb werden intern definierte Sicherheitsmaßnahmen beachtet. Version 3.0 Seite 8 von 9

9 7.3 Archivierung und Aufbewahrungsfristen für Auditunterlagen Bei den Arbeitspapieren handelt es sich grundsätzlich nur um Kopien von ggf. aufbewahrungspflichtigen Unterlagen aus den jeweiligen Bereichen. Die Originalbelege verbleiben bei den auditierten Bereichen. Eine gesetzliche Aufbewahrungspflicht der Arbeitspapiere von Audits besteht nicht. Die Interne Revision verpflichtet sich jedoch zwingend für eine Aufbewahrung von fünf Jahren. 7.4 Überprüfung des Handbuchs Das Handbuch dient als übergreifende Richtlinie und wird regelmäßig von der Leitung der Internen Revision auf Aktualität und ggf. Ergänzungsbedarf hin überprüft und entsprechend angepasst. Version 3.0 Seite 9 von 9