Fall 8: IKS-Prüfung nicht dokumentiert

Transkript

1 Fall 8: IKS-Prüfung nicht dokumentiert Peter Steuri CISA / dipl. Wirtschaftsinformatiker Partner BDO AG, Solothurn Fall-8: IKS-Prüfung nicht dokumentiert a) Die Prüfung des IKS wurde nicht dokumentiert Aus der Dokumentation geht hervor, dass Befragungen von Kaderleuten des Kunden stattfanden, hingegen kann aus der Dokumentation der Umfang der Befragung nicht entnommen werden. Beispielsweise kann nicht nachgewiesen werden, welche Schlüsselkontrollen Gegenstand der Befragung bildeten. Weiter weist die Dokumentation nicht nach, ob z.b. für die in der Prozessbeschreibung Bereich Verkauf erwähnten Kontrollen zu Bonität, Vollständigkeit und Abstimmung der Bücher seitens der Revisionsstelle konkrete Einhalteprüfungen gemacht wurden. Die RAB kommt zum Schluss, dass aufgrund ungenügender Beurteilung der Konzeption und fehlender Beurteilung des wirksamen Funktionierens interner Kontrollen weder hinreichende noch angemessene Prüfungsnachweise erlangt wurden. IKS, Prozessprüfungen, PS 890 und IT-Audit: Die Lehren aus der Aufsichtstätigkeit der RAB Peter Steuri, Bern, 15. Juni

2 Fall-8a: IKS-Prüfung nicht dokumentiert Prüfungsdokumentation Alle wichtigen und relevanten Sachverhalte, die als Nachweis zur Stützung des Prüfungsurteils über die IKS-Existenz wichtig sind, sind ausführlich zu dokumentieren Ebenfalls ist festzuhalten, dass die Prüfung in Übereinstimmung mit dem PS 890 vorgenommen wurde 3 Fall-8a: IKS-Prüfung nicht dokumentiert Prüfungsdokumentation Die Arbeitspapiere müssen ein gesamthaftes Verständnis der Prüfung zur IKS-Existenz vermitteln, dazu gehören: Informationen zur Planung der Arbeiten Prüfungshandlungen mit Art, Zeitpunkt und Umfang die Prüf-Ergebnisse die Schlussfolgerungen 4 2

3 Fall-8a: IKS-Prüfung nicht dokumentiert Prüfungsdokumentation Es sind Überlegungen und Schlussfolgerungen zu denjenigen Sachverhalten zu dokumentieren, die wesentliche Ermessensentscheide bedingen Schwierige Grundsatz- und Ermessensfragen sind mit den relevanten Fakten festzuhalten, die zu den Schlussfolgerungen bekannt sind. 5 Fall-8: IKS-Prüfung nicht dokumentiert b) Kenntnisse über Tätigkeit und Umfeld des Unternehmens Nach PS muss ein Prüfer Kenntnisse über die Tätigkeit und das Umfeld des Unternehmens haben, die ausreichen, um diejenigen Ereignisse, Transaktionen und Praktiken ausfindig zu machen und zu verstehen, welche nach seiner Beurteilung eine bedeutsame Auswirkung auf den Abschluss, dessen Prüfung oder die Berichterstattung haben können. Das Prüfungsteam hat es unterlassen, sich umfassende Kenntnisse vom Unternehmen anzueignen, diese schriftlich festzuhalten und jährlich zu aktualisieren. IKS, Prozessprüfungen, PS 890 und IT-Audit: Die Lehren aus der Aufsichtstätigkeit der RAB Peter Steuri, Bern, 15. Juni

4 Fall-8b: IKS-Prüfung nicht dokumentiert Scoping-Prozess gemäss Fall-1 resp. gemäss Vorgehensmodell Anwendungsprüfung des Stab Informatik der Treuhand-Kammer! 7 Fall-8: Exkurs VM Anwendungs-Prüfung Analyse von Bilanz und Erfolgsrechnung Identifikation der Geschäftsprozesse und Datenflüsse Identifikation der Kernanwendungen und wichtigsten IT-relevanten SST Identifikation der Risiken und Schlüsselkontrollen Walk-Through Beurteilung des Kontroll-Designs Beurteilung der Umsetzung der Kontrollen Gesamtbetrachtung und Ergebnisfindung 8 4

5 Fall-8: IKS-Prüfung nicht dokumentiert c) Fehlende Prüfungshandlungen Obwohl die IT Umgebung einen signifikanten Einfluss auf den Jahresabschluss hat und diese als komplex beurteilt wird, wurden bezüglich des IT Umfeldes keine Prüfungshandlungen durchgeführt. d) Fehlende Prüfungshandlungen In Kapitel 1 zur Prüfungsstrategie wird erwähnt, dass in sämtlichen Gesellschaften der Gruppe noch nie eine IT Revision durch durchgeführt wurde. Da die operative Geschäftstätigkeit bei der Gruppe stark von der IT abhängt, hätte gemäss PS zwingend ein Verständnis über das ICT Umfeld und dessen Einfluss auf die Prüfung erlangt werden müssen. Um das Prüfungsrisiko auf einen vertretbaren Grad zu reduzieren, hätte bei der Planung der Prüfungshandlungen das ICT-Umfeld berücksichtigt werden müssen (PS ). IKS, Prozessprüfungen, PS 890 und IT-Audit: Die Lehren aus der Aufsichtstätigkeit der RAB Peter Steuri, Bern, 15. Juni Fall-8c + d: IKS-Prüfung nicht dokumentiert Prüfungsplanung und Festlegung des Prüfungsumfanges Generelle IT-Kontrollen (ITGC) sind ebenso wie die Kontrollen auf Unternehmens- und Prozessebene ein unabdingbarer Bestandteil ITGC bilden die Grundlage für ordnungsgemässes Funktionieren der IT Prüfungsumfang sollte risikoorientiert bestimmt werden und fokussieren auf die Bereiche mit den grössten Risiken für die Rechnungslegung 10 5

6 Fall-8c + d: IKS-Prüfung nicht dokumentiert IKS-Bereiche der ITGC Programmentwicklungen Programmanpassungen Datenbankanpassungen Programm- und Datenzugriffe Informatikbetrieb 11 Fall-8: Exkurs Ideales IKS im IT-Bereich Unternehmensebene Informatik-Strategie, -Organisation und -Personal, Risiko- und Sicherheits-Management sowie Steuerung und Management von Informatikprojekten Geschäftsprozesse Aufbau- und Ablauforganisation sowie Kontrollen primär in denjenigen Geschäftsprozessen, die Einfluss auf den Wertefluss sowie auf die Buchführung und Jahresrechnung haben Informatik-Anwendungen Kontrollen bei der Erfassung, Eingabe, Verarbeitung und Ausgabe von Transaktionen und Daten sowie Kontrollen an den Schnittstellen zwischen Informatik-Anwendungen Informatik-Betrieb Kontrollen bei Programm-Entwicklung und -Änderung, Betrieb und Änderung der Informatikmittel, der System- und Datensicherheit sowie der Überwachung der Informatik 12 6

7 Fall-8: IKS-Prüfung nicht dokumentiert Eine Stützung auf die vom Unternehmen durchgeführten Einhalteprüfungen ist ebenfalls möglich - allerdings nur auf Basis einer aktuellen und angemessenen Dokumentation Vielen Dank für ihre Aufmerksamkeit! Gibt es Fragen zum Fall 8? 13 7