Zukünftige Entwicklung von Datenanalysen im Audit bis hin zu Continuous Monitoring

Transkript

1 Audit Analytics clevere automatisierte Datenanalysen im Prüfungsumfeld Zukünftige Entwicklung von Datenanalysen im Audit bis hin zu Continuous Monitoring 12 Juni 2013 Teodor Pistalu

2 Agenda Lernziele Audit Analytics Ein moderner Ansatz Transforming Internal Audit: A Maturity Model from Data Analytics to Continuous Assurance Datenanalysen im Audit Der Datenanalyseprozess in der Prüfungsmethodologie Beispiel SHIFT zu Continuous Monitoring im Unternehmen Einfluss auf die Audit Funktion Beispielszenarien für Continuous Monitoring im Prüfungskontext APPENDIX Aufbau Continuous Monitoring / Beispiel Purchase to Pay 1

3 Lernziele Nach dieser Präsentation werden die Teilnehmer folgende Themengebiete verstehen: Lernziele Prüfungsansatz im Audit mittels Datenanalysen Prozess zum effektiven und effizienten Einsatz von Datenanalysen im Audit Continuous Monitoring und dessen Einfluss auf das Audit Unterschiede zwischen Continuous Monitoring und Continuous Auditing Szenarien von Continuous Monitoring im Unternehmen mit Einfluss auf das Audit 2

4 Audit Analytics Ein moderner Ansatz Datenanalysen im Audit (1/3) Änderung der Audit Funktion Komplexere Risiken, Kosteneinsparungen und ein stätig wachsender Informationsbestand, führten dazu, dass sich die Audit Funktion im Unternehmen in den letzten Jahren stark verändert hat. FRÜHER Werterhaltend HEUTE Wertschaffend Prozessbasierter Audit Ansatz Effizienzdruck Fokus basierend auf Risikoindikatoren Prüfungsbereiche limitiert durch Audit Universe Dynamische Planung / Continuous Risk Assessment Limitierte / stichprobenbasierte Audits Full-sample / 100% Testing End-to-end Audit von Prozessen und Gesellschaften Limitierter Einsatz von Datenanalysen / Data mining Risikobasierte Prüfung von Kontrollen und Transaktionen Risikobasierte Datenbeschaffung und Einsatz von effizienten Analysen von grossen Stichproben 3

5 Audit Analytics Ein moderner Ansatz Datenanalysen im Audit (2/3) Anwendungen von Datenanalysen im Audit 3 Dimensionen für den Einsatz von Datenanalysen sind relevant: Macro-Level Trends & Results Monitoring Audit Scope und Planung / Continuous Risk Assessment Risk/ Performance Detektive Analysen für interne Kontrollen Continuous Controls Montitoring Continuous Transaction Montitoring Transaktionsbasierte Exception Analysen / / Business Business Rules Rules Management Management 4

6 Audit Analytics Ein moderner Ansatz Datenanalysen im Audit (3/3) Maturität der Anwendung von Datenanalysen basierend auf der Audit Methodologie Die Anwendung von Datenanalysen bedarf einer klaren Evaluation der Audit Methodologie in Bezug auf Audit Planung, Ausführung und Reporting.. Maturität Level 1 Level 2 Level 3 Level 4 Level 5 Audit Methodologie Traditionelles Audit Ad-Hoc Analysen Continuous Risk Assessment & Continuous Auditing Continuous Auditing & Continuous Monitoring Continuous Assurance / Enterprise Risk Management Strategische Analyse Continuous Risk Asses. Entwicklung des Auditplans Ausführung & Reporting Kontinuierliche Verbesserung Art der angewandten Datenanalyse Descriptive Descriptive, Diagnostic, Descriptive, Diagnostic, Predictive Descriptive, Diagnostic, Predictive, Prescriptive Descriptive, Diagnostic, Predictive, Prescriptive Datenanalysen werden nicht im Auditapproach benutzt Datenanalysen werden nur suboptimal im Auditapproach benutzt Datenanalysen sind effektiv und konsistent im Einsatz 5

7 Audit Analytics Ein moderner Ansatz Der Datenanalyseprozess in der Prüfungsmethodologie Planung und Durchführung von Datenanalysen im Audit Ein strukturierter Prozess zur Planung, Durchführung und Reporting der relevanten Analyseergebnisse im Rahmen der Durchführung von Datenanalysen muss in der Prüfungsmethodologie existieren. 1 Definition der signifikanten Bilanzpositionen, der relevanten Audit Risiken und Prüfbereiche. 2 Definition der automatisierten Analyseroutinen basierend auf dem existierenden Control Framework, Prozessumfang und Audit Risiken. 3 Definition der Risikobereiche wo automatisierte Analyseroutinen nicht zum Einsatz kommen. Definition von alternativen Prüfungshandlungen für diese Bereiche. 4 Evaluation der Analyseergebnisse und der verbleibenden Risiken für die Prüfbereiche im Scope. 5 Definition der Follow-up Procedures basierend auf den Analyseergebnissen und zusätzliche Planung traditioneller / manueller Prüfungshandlungen. 6

8 Shift zu Continuous Monitoring Im Unternehmen Einfluss auf die Audit Funktion (1/2) Continuous Monitoring und Continuous Auditing Continuous Auditing Regelmässiges automatisches zusammenbringen und analysieren von Prüfungsnachweisen aus IT Systemen zum Zweck der internen und externen Revision. Continuous Monitoring Ein Mechanismus zur automatischen Überwachung von Transaktionen und Kontrollen innerhalb der IT Systeme mit dem Zweck zeitnahes Feedback an das Management zu liefern. Unterschiede zwischen Continuous Auditing / Continuous Monitoring Continuous Monitoring ist eine Management Funktion und kann Teil der internen Kontrollumgebung sein, während Continuous Auditing eine vom Management unabhängige Funktion ist. Continuous Auditing ermöglicht es dem Auditor mit Hilfe von vordefinierten Indikatoren, Prüfungen in einer effizienten und effektiven Weise durchzuführen. Continuous Monitoring ermöglicht dem Management die Überwachung und Behebung von fehlerhaften Aktivitäten und Abweichungen von Richtlinien mit Hilfe von vordefinierten Indikatoren und Kontrollmechanismen. 7

9 Shift zu Continuous Monitoring Im Unternehmen Einfluss auf die Audit Funktion (2/2) Zukunft des Audits mittels Continuous Monitoring Zukünftig wird die Audit Funktion im Unternehmen stärker auf Resultate des Continuous Monitorings aufbauen. Dies führt zu mehr Effizienz im Audit und setzt den Fokus des Audits auf Key Risks. Heute Assurance im Unternehmen hauptsächlich durch klassische Audit Aktivitäten (manual und substantive testing) Periodische Prüfung Kontrollfokus Zukunft Assurance kommt aus der Controlling Funktion, welche mittels Continuous Monitioring relevante Risiken aufdeckt. Diese Risiken werden kontinuierlich durch das Management adressiert. Die Revision prüft und validiert periodisch Compliance KPI s basierend auf den Continuous Monitoring reports und den Management follow-ups. Kontinuierliche Prüfung Transaktionsfokus Reliance on Management Reliance on Continuous Monitoring 8

10 Shift zu Continuous Monitoring Im Unternehmen Beispielszenarien für Continuous Monitoring im Prüfungskontext Szenario 1 Wiederholbare und nachhaltige Durchführung von Analyseroutinen Fokus der Internen Revision ist, historisch durchgeführte Datenanalysen stärker "wiederholbar und nachhaltig" zu gestalten (z.b. in Bezug auf die Automatisierung der Datenextraktion, Analyse und Erstellung des Reportings, etc.). Diese Analysen werden im Continuous Monitoring eingebaut und die Resultate periodisch durch das Controlling nachverfolgt. Periodische Berichte werden dem Management und der Internen Revision für die weitere Auswertung bereitgestellt. Szenario 2 Interne Revision verwendet vorhandene Systeme für die Überwachung relevanter Key Risk Indikatoren Fokus der Internen Revision ist, Datenanalyse Tools an vorhandenen Management Reporting Systeme im Unternehmen anzubinden, um somit bestimmte Key Risk Indikatoren zu überwachen und Trends, welche relevant für das Continuous Risk Assessment sind, zu identifizieren. Zum Beispiel könnte der Audit Plan durch die Änderung eines Key Risk Indikatoren dynamisch angepasst werden, so dass das Management die neuen Risikobereiche abdeckt. Szenario 3 Internal Audit entwickelt und führt ein Continuous Monitoring Pilotprojekt durch In diesem Szenario dient Internal Audit als Pilot für die Entwicklung und die Verbreitung eines Continuous Monitoring Prozesses im Unternehmen. Ursprünglich werden Audit relevante Analysen als Teil vom Continuous Monitoring entwickelt. Anschliessend werden weitere Analysen, welche relevant für das Controlling sind, im Continuous Monitoring Prozess eingefügt. 9

11 Appendix

12 Appendix Aufbau Continuous Monitoring / Beispiel Purchase to Pay (1/2) 1) Extract Transform 2) Analytics 3) Workflow 4) Dashboard All relevant data inside ERP systems will be collected daily and consolidated into a central database Interfaces to all major systems are available using standard software (e.g. Xalerts) Daily automatic scan of critical issues (role conflicts, fraud, suspicious transactional patterns, etc.) for R2R, P2P, O2C or H2R processes KPMG has a large knowledge base including over 1300 standard controls Critical issues will be forwarded for investigation and remediation Self-learning system to minimize false-positives High usability through notifications, reminder and escalation processes Provision of customised management dashboards including KPIs and drilldown features for evaluation and reporting purposes SAP Rule-Set CM Portal / Frontend Non-SAP Special applications Existing ERP infrastructure Interface & Monitoring Central Database Analytics Backend User Frontend 11

13 Appendix Aufbau Continuous Monitoring / Beispiel Purchase to Pay (1/2) Approval Approval Tolerance level Tolerance level Purchase Requisition Purchase Order Goods Receipt Invoice Verification Payment Authorization Create purchase requisition Change purchase requisition Approve purchase requisition Collective approval of purchase requisition Vendor master data maintenance (MM-View) Create a purchase order Change purchase order Approve purchase order Maintain vendor master data (Accounting-View) Change purchase info record Post goods receipt Post goods receipt without purchase order Returns Approve under delivered goods receipt manually Register invoice Cancel invoice Invoice verification Change contract / conditions Maintain GR/IR accounts Approve blocked invoices Maintain bank data Execute payment run Posting to general ledger accounts Continuous Monitoring Purchase requisition duplicates Ageing of purchase requisition Adjustment after approval of purchase requisition Price deviation to purchase requisition Manual price adjustments Changes of purchase order after approval Order splitting Purchase orders just under the approval amount Numerical analysis of the purchase order amounts (benfords law) Goods receipt without purchase order or contract Goods receipt without invoice Comparison of the estimated date of delivery with GR Matching of the amount and quality per supplier Difference in days between order and GR Invoices without purchase order Invoices without goods receipt Duplicate invoices One-time-vendor postings Incomplete supplier master data Supplier duplicates Comparison of bank data and personnel master data Numerical analysis of the outgoing payments Analysis of the changes of suppliers master data Compliance KPI Amount of the incorrect purchase requisition from the interface (IDOC) Amount of open, revoked and incomplete orders Amount of manually chosen suppliers Amount of automatic acceptance of purchase requisition No invoice received Amount of returns and credit notes per supplier Processing time between goods receipt and posting Processing time between delivery note over document scan till invoice allocation Goods in transit Amount of the invoice reduction due to incorrect delivery Ageing of invoices with status pre-entered, with payment ban and in invoice verification Suppliers with debt balances DPO Days Payable Outstanding Use of discounts Payments before due date Performance 12

14 Contact Teodor Pistalu Manager, Advisory Data Insight Services Tel Mobile