COBIT 5 Anwendung in der Revision

Transkript

1 COBIT 5 Anwendung in der Revision

2 Agenda Überblick Deutsche Leasing Risikoorientierte Prüfungsplanung Prüfungsdurchführung Praktische Erfahrungen Diskussion zwischen den Teilnehmern und Erfahrungsaustausch Seite 2

3 Mehr als Leasing. Setzen Sie auf unsere volle Leistung und starten Sie von Beginn an durch. Vielfältige Finanzierungslösungen: Leasing, Miete, Mietkauf oder Investitionskredit Ergänzende Services von der Anschaffung bis zur Vermarktung am Laufzeitende Optimale Einbindung öffentlicher Fördermittel Flexibles Factoring Umfängliche Inkassolösungen Individuelle Absatzfinanzierung sowie ergänzende Händlereinkaufsfinanzierung Unternehmenspräsentation Seite 3

4 Mehr Wissen. Bauen Sie auf unsere Assetkompetenz und unser Servicespektrum. Maschinen Produktionsanlagen Werkzeugmaschinen Agrar- und Baumaschinen Medizintechnik IT und Kommunikationstechnik Hardware Software Lifecycle-Management Transport und Logistik Schienen- und Luftfahrzeuge Schiffe, Container Logistik- und Technikzentren Fahrzeuge PKW Nutzfahrzeuge Fuhrpark-Management Immobilien Neubauten Bestandsimmobilien Baumanagement Energie Wind- und Bioenergie Kohle- und Gaskraftwerke Gas-, Strom-, Wärmenetze Unternehmenspräsentation Seite 4

5 Mehr im Blick. Und überall für Sie da. Nutzen Sie den direkten Weg, um Ihr Vorhaben zu realisieren. Hamburg Münster Monheim Berlin Leipzig Mainz/Wiesbaden (Zentrale DAL) Stuttgart Bad Homburg v. d. Höhe (Zentrale Deutsche Leasing) Nürnberg München Unternehmenspräsentation Seite 5

6 Mehr als Deutschland. Nutzen Sie unsere Unterstützung für Ihre internationalen Vorhaben. Asien China Amerika Brasilien Kanada USA Europa Belgien Bulgarien Frankreich Deutschland Großbritannien Irland Italien Luxemburg Niederlande Österreich Polen Portugal Rumänien Russland Schweden Slowakei Spanien Tschechische Republik Ungarn Unternehmenspräsentation Seite 6

7 Mehr Erfahrung und Stärke. Setzen Sie auf einen soliden Asset-Finance-Partner für Ihr Unternehmen / / 2014 Neugeschäft Mio Mio. Assets under Management 33,5 Mrd. 33,3 Mrd. Bilanzsumme 15,9 Mrd. 16,2 Mrd. Substanzwert Mio Mio. Eigenkapital 596 Mio. 629 Mio. Kennzahlen zum Unternehmenspräsentation Seite 7

8 Überblick Deutsche Leasing Deutsche Sparkassen Leasing AG & Co. KG Sitz in Bad Homburg v. d. Höhe Mutterunternehmen der Deutsche Leasing Gruppe Mitarbeiter in 23 Ländern Europas, Asiens und Amerikas Die DL unterliegt als Finanzdienstleistungsinstitut der Aufsicht durch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und die Deutsche Bundesbank Seite 8

9 COBIT in der IR In der IR der Deutschen Leasing: Beginn und Einstieg in COBIT 5 Ohne eine der Vorgängerversionen in Ex-post Prüfungen genutzt zu haben Seite 9

11 Prüfungsuniversum Führendes Prinzip bei der Erstellung des Prüfungsuniversums ist die Orientierung an den Kernprozessen der Deutschen Leasing. Durch die Zuordnung der Prozesse und Funktionen wird sichergestellt, dass das Prüfungsuniversum: die Deutsche Leasing vollständig und inhaltlich korrekt abbildet. bei Änderungen zeitnah überarbeitet werden kann. Die Aufbauorganisation wird laufend fortgeschrieben und aktualisiert. Seite 11

12 Prüfungsobjekte, grundsätzliche Betrachtung Prüfungsobjekte für das Prüfungsuniversum der Deutschen Leasing werden nach folgenden Kriterien festgelegt: 1. Prozesse: Prüfungen über Organisationsgrenzen hinweg Beispiel: Leasing-Prozess Sparkasse und Mittelstand 2. Funktionen: -> Prüfung vom Vertrieb bis zur Objektverwertung Beispiel: Compliance -> prozessorientiert innerhalb der Funktion (der aufbauorganisatorischen Einheit) Dabei werden Prüfungsobjekte vorrangig aus Prozessen abgeleitet. Sofern dies nicht sinnvoll umsetzbar ist, werden Prüfungsobjekte aus Funktionen abgeleitet. Anzahl der Prüfungsobjekte wurde deutlich reduziert (aktuell: 52), davon 5 IT-Prozesse, die an COBIT 5 orientiert geprüft werden. Außerdem: Prüfung des Projektmanagements Seite 12

13 Beispiel für aus Prozessen abgeleiteten Prüfungsobjekten Leasingprozess Sparkasse und Mittelstand Vertrieb Neugeschäft Scoring Prozessorientierte, organisationsübergreifende Ableitung von Prüfungsobjekten Laufende Offenlegung Vertragsende Bestandsgeschäfte Servicebearbeitung Zahlungsverkehr Objektverwertung Seite 13

14 Beispiel für aus Funktionen abgeleitete Prüfungsobjekte Compliance Funktionsorientierte Ableitung von Prüfungsobjekten Stand: GJ 2013/2014 Seite 14

15 COBIT 5 Domänen als Basis für Prüfungsobjekte im Organisations- und Informatikumfeld Die Anzahl der Prüfungsobjekte im Organisations- und Informatikumfeld wurde von 29 auf 5 aggregiert. Dadurch soll eine bessere Vergleichbarkeit und Bewertbarkeit der Prüfungsobjekte erreicht werden. Weiterhin soll sichergestellt werden, dass die 5 Prüfungsobjekte die Gesamtheit der Organisations- und Informatikprozesse abdecken. Im detaillierten Prüfungsdesign (Prüfungskonzept) wird innerhalb einer Domäne (eines Prozessbereichs) auf einzelne Management-Praktiken abgestellt. Seite 15

16 Risikobewertung Die Bewertung der einzelnen Prüfungsobjekte erfolgt jährlich im Rahmen der Prüfungsplanung. Die Bewertung erfolgt anhand von quantitativen und qualitativen Faktoren. Quantitative Faktoren: die Priorität eines Prüfungsobjekts wird dabei anhand der folgenden Formel berechnet: Qualitative Faktoren: ü h ( h ). ( ) ü h Prüfungshinweise des Vorstands - die qualitative Einschätzung des Vorstands, ob ein Prüfungsobjekt im Rahmen der Prüfungsplanung für das nächste Jahr bevorzugt berücksichtigt werden soll. Der Indikator kann die Ausprägungen ja oder nein annehmen. Prüfung aufgrund außerordentlicher Ereignisse - eine qualitative Einschätzung der Konzernrevision, ob ein Prüfungsobjekt im Rahmen der Prüfungsplanung für das nächste Jahr bevorzugt berücksichtigt werden soll. Der Indikator wird dabei als sogenanntes Open Assessment umgesetzt. Seite 16

17 Risikokennzahl Risikoarten Risikokategorien Risikoarten (gem. aktueller Version des Risikohandbuches) werden aus den MaRisk Anforderungen abgeleitet und an die Risikosituation in der Deutschen Leasing jährlich angepasst, Risikokennzahl ist quantitative Einschätzung: wie viele der o.g. Risikoarten wirken auf ein Prüfungsobjekt ein, Eine Risikoart kann die Ausprägungen 0 oder 1 annehmen, Ausprägungen 0 oder 1 beziehen sich nur auf als wesentlich eingestufte Risikokategorien (z.b.: Adressrisiko von Kunden), Risikokennzahl kann die Ausprägungen von 1 bis 5 annehmen. Seite 17

19 Anwendung im Unternehmen Im Geschäftsjahr 2013/2014 wurden ergänzend zur Projektbegleitung ex ante folgende Prüfungen orientiert an COBIT durchgeführt: Management von Anforderungen Beschaffungsmanagement in Projekten Projektmanagement Seite 19

20 Anwendung im Unternehmen Im Geschäftsjahr 2013/2014 wurden ergänzend zur Projektbegleitung ex ante folgende Prüfungen orientiert an COBIT durchgeführt: Management von Anforderungen Beschaffungsmanagement in Projekten Projektmanagement Die Prüfungen wurden Risiko-orientiert bewertet und die höchst-bewerteten werden angelehnt an COBIT 5 geprüft. Seite 20

21 Anwendung im Unternehmen Die Prüfungsgebiete waren z.b. beim Prüfungsobjekt: Projektmanagement Starten und Initiieren von Projekten Planen von Projekten Managen der Projektqualität Managen des Projektrisikos Überwachen und Steuern von Projekten Abschließen eines Projekts Seite 21

22 Anwendung im Unternehmen Die Prüfungsgebiete waren an COBIT angelehnt, z.b. beim Prüfungsobjekt: Projektmanagement Die Prüfungsgebiete lassen sich z.t. direkt Managementpraktiken zuordnen: Starten und Initiieren von Projekten BAI01.07 Planen von Projekten BAI01.08 Managen der Projektqualität BAI01.09 (ohne Programmqualität) Managen des Projektrisikos BAI01.10 (ohne Programmrisiko) Überwachen und Steuern von Projekten BAI01.11 Abschließen eines Projekts BAI01.13 Seite 22

23 Prüfungsdurchführung am Beispiel Projektmanagement Quelle: ISACA Seite 23

24 Prüfungsdurchführung am Beispiel Projektmanagement Lfd. Nr. Schritt COBIT 5 Referenz Auditierung Umsetzung Deutsche Leasing Bemerkung A-1 Interessengruppen der Auditierung bestimmen. Die primäre Interessengruppe ergibt sich aus der Einordnung der Konzernrevision der Deutsche Leasing als Instrument der Geschäftsleitung (MaRisk AT 4.4.3, Ziffer 2) Weitere Interessengruppen sind: Programm- bzw. Projektleiter Auftraggeber außerhalb der Geschäftsleitung A-2 Prüfungsziele Projekt- und Programmbegleitung MaRiskAT [Interne Revision], Ziffer 3 Die Interne Revision hat risikoorientiert und prozessunabhängig die Wirksamkeit und Angemessenheit des Risikomanagements im Allgemeinen und des internen Kontrollsystems im Besonderen sowie die Ordnungsmäßigkeit grundsätzlich aller Aktivitäten und Prozesse zu prüfen und zu beurteilen, unabhängig davon, ob diese ausgelagert sind oder nicht. MaRisk BT 2.1, Ziffer 2 [Aufgaben der Internen Revision] Die Interne Revision hat unter Wahrung ihrer Unabhängigkeit und unter Vermeidung von Interessenkonflikten bei wesentlichen Projekten begleitend tätig zu sein. A-3 Die Produktionsfaktoren ( Befähiger ) bestimmen. COBIT unterscheidet grundsätzlich sieben Produktionsfaktoren, sog. Enabler, dt. Befähiger. Kurzfristig sollten Prüfungsgegenstand sein: Schriftlich fixierte Ordnung (Policies, Principles and Frameworks) Aufbauorganisation (Organisational structures). Prozesse (Processes) Mittelfristig sollten alle Produktionsfaktoren, soweit relevant, Gegenstand der Auditierung sein (Erweiterung Nr. 1) Quelle: ISACA Seite 24

25 Prüfungsdurchführung am Beispiel Projektmanagement B-1 Metriken Kurzfristig sind Metriken nicht Gegenstand der Projektbegleitung, es handelt sich um eine zu entwickelnde Erweiterung der Auditierungsmethodik (Erweiterung Nr. 2). Hinweis: Einzelne klassische Projektmanagement-Metriken sind durchaus im GJ 2014/2015 prüfbar (Termin, Meilensteine) B- 2.1, B-2.2 Die für die Programm- /Projektbegleitung relevante schriftlich fixierte Ordnung bestimmen Die für die Programm-/Projektbegleitung relevante schriftlich fixierte Ordnung ergibt sich aus dem inhaltlichen Programm- bzw. Projektgegenstand (z.b. Modifikation Risikoprozesse) sowie aus der für die Abwicklung von Programmen und Projekten spezifischen schriftlich fixierten Ordnung. Mittelfristig sollten aus quantitativen Unternehmenszielen abgeleitete quantifizierte IT-Ziele Grundlage für die Auswahl der zu prüfenden Enabler sein, insbesondere der zu prüfenden Prozesse. Weiterhin sollte die Erreichung quantitativer Unternehmensziele und aus diesen abgeleiteter IT-Ziele auch Prüfungsgegenstand sein. B-2.3 Für Programm- /Projektbegleitung relevante schriftlich fixierte Ordnung bewerten Unter B-2.1 und B-2.2 identifizierte schriftlich fixierte Ordnung bewerten. Prüfungsrelevante Kriterien für die schriftlich fixierte Ordnung sind: Quelle: ISACA Seite 25

26 Prüfungsdurchführung am Beispiel Projektmanagement Quelle: ISACA Seite 26

27 Quelle: ISACA Seite 27

28 Quelle: ISACA Seite 28

30 Praktische Erfahrungen Herausforderungen Zeitbudget für Fortbildung Einstiegshürde Anspruchsvoll und hoher Initial-Aufwand Schnell viele Prüfungen durchführen ist initial nicht möglich COBIT-Material (noch) unvollständig/lückenhaft (PAM MEA fehlt) Teils nur englisch-sprachiges COBIT-Material vorhanden (Quelle: Eigene Erhebung im September/Oktober 2015, Aggregiertes Feedback von Prüfern, nicht repräsentative Grundgesamtheit) Seite 30

31 Praktische Erfahrungen Vorteile / Benefits Verwendung von Standards IT Praktiker in den geprüften Einheiten wussten sofort wovon wir reden plus Auf Management-Ebene ausgerichtet Weniger Diskussionen, warum wir so vorgehen Keine Probleme mit Granularität des Prüfungsplans (ROPP) Sicherheit nichts zu vergessen (Rahmenwerk) Kommunikation mit den Stakeholdern gewann an Bedeutung in der Prüfung Verbindliche bzw. dokumentierte Ziele waren mehr Gegenstand der Prüfung (Quelle: Eigene Erhebung im September/Oktober 2015, Aggregiertes Feedback von Prüfern, nicht repräsentative Grundgesamtheit) Seite 31

32 Praktische Erfahrungen Lessons learned Für jeden beteiligten Mitarbeiter der IR eine COBIT-Schulung vorher anbieten. (Quelle: Eigene Erhebung im September/Oktober 2015, Aggregiertes Feedback von Prüfern, nicht repräsentative Grundgesamtheit) Seite 32

33 Praktische Erfahrungen Verbreitung von COBIT 5 3 von ca. 40 Prüfern setzen das in Ihren Instituten bereits aktiv ein. Hinzu kommt ein Fall, in dem es zum Anlernen eines neuen Kollegen genutzt wurde sowie einige Institute, die es als eine Quelle von vielen bei der Prüfungsvorbereitung einsetzen. In einem der letztgenanntem KI wurde bei Aktualisierung die IT-Policy komplett auf COBIT umgestellt. Hier wird die Meinung vertreten, Kontrollziele gehören in die IT, nicht in die Revision. Die IT-Policy ist aktiv, aber neu, d.h. sie muss sich erst einschleifen. Vorteile: Allgemeine Sprachregelung und Begriffsdefinitionen, die man in die Institution trägt. Es ersetzt nicht Interesse an Prüfungsgegenstand. -> Herrn Gaulke fragen, ob es denn schon einen Umsetzungsleitfaden gibt? (Quelle: Feedback von rund 40 IT-Prüfern aus Deutschland, ca. 25 davon aus Kreditinstituten (je 1 bis 2 Prüfer pro Institut) im September 2015, Aggregiertes Feedback von Prüfern, nicht repräsentative Grundgesamtheit) Seite 33

35 Disclaimer Die Folien wurden als Arbeitsstand einer Diskussion zusammengestellt und geben nicht unbedingt die Meinung des Veranstalters, ISACA, der Teilnehmer und der erwähnten Unternehmen wider. Alle genannten Marken sind Eigentum der jeweiligen Inhaber. ISACA, die Teilnehmer bzw. die erwähnten Unternehmen übernehmen keinerlei Gewähr dafür, das die Verwendung zu den gewünschten Ergebnissen führt. Bei der Überlegung, wie angemessen bestimmte Informationen, Verfahren oder Prüfungsansätze sind, sollte sich der Anwender auf seine fachliche Kompetenz stützen und die spezifischen Umstände (Unternehmen, Prüfung, Risiko und Sicherheit), die sich aus dem jeweiligen System oder der IT-Umgebung ergeben, berücksichtigen. Seite 35

36 Diskussion zwischen den Teilnehmern und Erfahrungsaustausch Herzlichen Dank für Ihr Interesse. Seite 36

37 Und welche Investition planen Sie? Sprechen Sie mit uns über Ihre Erfahrungen im Praxiseinsatz mit COBIT 5 in der IR. Ihr Ansprechpartner: Joachim Rindler Certified Information Systems Auditor (CISA) Deutsche Leasing AG Frölingstrasse Bad Homburg v. d. Höhe Telefon joachim.rindler@deutsche-leasing.com Seite 37