IT-Risikoanalyse für KMU Einsatz bei Revisionen - Fallbeispiel

Transkript

1 1 IT-Risikoanalyse für KMU Einsatz bei Revisionen - Fallbeispiel Peter Steuri Partner / Verantwortlicher CC Informatik BDO AG, Solothurn Einsatz des VM IT-RA in WP-Mandaten Inhaltsübersicht Modell von BDO Konkretes Vorgehen bei IT-Check Berichterstattung (Beispiel aus der Praxis) Knacknüsse Schlusswort 2

2 2 Modell von BDO Zielsetzungen (1) Klare Anweisung an den Wirtschaftsprüfer, wie weit er bei der IT- Prüfung gehen muss und in welchen Fällen der Beizug eines IT-Prüfers angezeigt ist. Qualitätsverbesserung in Prüfung und Dokumentation im IT-Bereich gemäss den Vorgaben der relevanten Prüfungsstandards (PS, ISAs, US GAAS). Wir halten die Prüfungshandlungen und -ergebnisse in unseren Arbeitspapieren fest. 3 Modell von BDO Zielsetzungen (2) Die fachmännische Einschätzung der IT-Risiken und der generellen IT- Kontrollen bei Prüfkunden mit komplexen Informationssystemen wird durch ausgebildete IT-Prüfer sichergestellt; wir minimieren dadurch unser Haftungsrisiko. Wir dokumentieren die wichtigsten Ergebnisse aus der IT-Prüfung in der Berichterstattung an den Kunden und bieten damit einen Mehrwert aus der Revision. 4

3 3 Modell von BDO - Überblick 5 Modell von BDO IT-Risikoanalyse Ziel: Bedeutung der Informatik für das Unternehmen des Kunden sowie die mit dem Informatikeinsatz verbundenen Risiken zu erkennen. Erhebung anhand der 16 Maturitätsfragen in Arbeitspapiere-IT / Phase-1, auch mit "IT-Risikoanalyse" bezeichnet. Ergibt IT-Risikoanalyse in den meisten Fragen eine Bewertung in den Stufen 4 oder 3 (d.h. niedriges oder mittleres Risiko) besteht kein unmittelbarer Handlungsbedarf für weitere IT-Prüfungen; es genügt, einen IT-Check in die Mehrjahresplanung aufzunehmen. Einleitung eines IT-Check ist zwingend, wenn - Änderungen in Kernanwendungen (Frage 10) oder Zeitpunkt letzte unabhängige Beurteilung Informatik (Frage 16) auf Stufe 1 ist - zwei oder mehr Kriterien auf Stufe 1 sind - ein Kriterium auf Stufe 1 und drei oder mehr Kriterien auf Stufe 2 sind 6

4 4 Modell von BDO IT-Kurzcheck (1) Mit dem IT-Kurzcheck werden die generellen IT-Kontrollen gemäss PS890 abgedeckt. Der IT-Kurzcheck umfasst die wichtigsten Fragen aus dem IT-Check; er wird durch einen Wirtschaftsprüfer mit gutem Informatikwissen oder einen IT-Prüfer durchgeführt. Der IT-Kurzcheck basiert in der Regel auf dem vom CC Informatik für den Kunden erstellten IT-Check. Erhebung der rund 30, speziell markierten Maturitätsfragen in Arbeitspapiere-IT / Phase-2, auch mit "IT-Kurzcheck / IT-Check" bezeichnet. Als Hilfsmittel werden dem Kunden vorgängig die Arbeitspapiere-IT / IT-Schlüsseldokumente abgegeben (vom Kunden bereitzustellende Unterlagen). Ergänzend wird, sofern bereits vorhanden, die Übersicht der IT- Anwendungen und der IT-relevanten Schnittstellen aktualisiert. 7 Modell von BDO IT-Kurzcheck (2) Ergibt der IT-Kurzcheck in den meisten Fragen eine Bewertung in den Stufen 4 oder 3 (d.h. niedriges oder mittleres Risiko) besteht kein unmittelbarer Handlungsbedarf für weitere IT-Prüfungen; es genügt, einen IT-Check in die Mehrjahresplanung aufzunehmen Einleitung eines IT-Check (im Folgejahr) ist zwingend, wenn - bei der Bearbeitung der Arbeitspapiere Phase-1 eines der in IT- Risikoanalyse" definierten Kriterien für Einleitung IT-Check erfüllt ist - bei Bearbeitung der Arbeitspapiere Phase-2 bei fünf oder mehr der (rund 30) Schlüsselkontrollen eine tiefere Stufe als bei der letzten Prüfung erreicht wird - bei Bearbeitung der Arbeitspapiere Phase-2 bei zehn oder mehr der (rund 30) Schlüsselkontrollen eine tiefere Stufe als 3 erreicht wird 8

5 5 Modell von BDO IT-Check (1) Mit dem IT-Check werden rund zwanzig wichtige Themen zum Informatikeinsatz beurteilt. Die Ergebnisse zeigen, ob erhebliche IT- Risiken bestehen und ein umfassendes IT-Audit zu erwägen ist. Mit dem IT-Check werden, wie beim IT-Kurzcheck, die generellen IT- Kontrollen gemäss PS890 abgedeckt. Der IT-Check wird durch einen IT-Prüfer des CC Informatik durchgeführt. Erhebung anhand der rund 90 Maturitätsfragen in den Arbeitspapieren-IT / Phase-2, auch mit "IT-Kurzcheck / IT-Check" bezeichnet. Als Hilfsmittel werden dem Kunden vorgängig die Arbeitspapiere-IT / IT- Schlüsseldokumente abgegeben (bereitzustellende Unterlagen). Ergänzend wird Übersicht der IT-Anwendungen und der IT-relevanten Schnittstellen erstellt resp. aktualisiert. Sie beinhaltet die (Kern-) Anwendungen sowie die wesentlichen Daten- und Werteflüsse (Schnittstellen) in Form einer grafischen oder tabellarischen Darstellung. 9 Modell von BDO IT-Check (2) Ergibt der IT-Check in den meisten Fragen eine Bewertung in den Stufen 4 oder 3 (d.h. niedriges oder mittleres Risiko) besteht kein unmittelbarer Handlungsbedarf für weitere IT-Prüfungen; es genügt, in den Folgejahren einen IT-Kurzcheck durchzuführen. Einleitung eines IT-Audit (im Folgejahr) ist angezeigt, wenn - bei Bearbeitung der Arbeitspapiere Phase-2 bei fünf oder mehr der (rund 30) Schlüsselkontrollen eine tiefere Stufe als 2 erreicht wird -bei Bearbeitung der Arbeitspapiere Phase-2 bei fünf oder mehr der 20 Themen eine tiefere Stufe als 2 (Durchschnittswert) erreicht wird In den anderen Fälle liegt es in der Beurteilung und Verantwortung des Mandatsleiters, über die Notwendigkeit und den Zeitpunkt eines umfassenden IT-Audits zu entscheiden. 10

6 6 Konkretes Vorgehen bei IT-Check (1) Vorbereitung Dem Rechnungswesen-Verantwortlichen des Kunden werden die Arbeitspapiere-IT / Phase-1 (16 Fragen) zugestellt mit der Bitte, eine Einschätzung der Risiken (Self Assessment) aus seiner Sicht vorzunehmen, die dann bei den Erhebungen «vor Ort» gemeinsam diskutiert wird. Dem Informatik-Verantwortlichen des Kunden werden die Arbeitspapiere-IT / Phase-2 (90 Fragen) und die Arbeitspapiere-IT / IT- Schlüsseldokumente (2 Blätter) zustellen, damit er die Erhebungen «vor Ort» vorbereiten (Unterlagen bereitstellen) und ggf. weitere Mitarbeitende aufbieten kann. 11 Konkretes Vorgehen bei IT-Check (2) Durchführung (1) Eröffnungsgespräch führen mit dem Rechnungswesen- und dem Informatik-Verantwortlichen Grundlagen zur IT-Organisation und zum IT-Einsatz erheben Rundgang machen mit dem Informatik-Verantwortlichen Überblick zur IT-Infrastruktur gewinnen Arbeitspapiere-IT / Phase-1 (16 Fragen; Self Assessment) besprechen mit dem Rechnungswesen- und dem Informatik-Verantwortlichen Bedeutung der Informatik für das Rechnungswesen und das Unternehmen erkennen sowie Risiko-Einschätzung des Kunden hinterfragen 12

7 7 Konkretes Vorgehen bei IT-Check (3) Durchführung (2) Arbeitspapiere-IT / Phase-2 (90 Fragen) und Arbeitspapiere-IT / IT- Schlüsseldokumente (2 Blätter) durcharbeiten mit dem Informatik- Verantwortlichen Stark- / Schwachstellen in IT-Organisation und -Prozessen erkennen; «Reife» der Informatik einschätzen Kern-Anwendungen und Schnittstellen erheben mit dem Informatik- Verantwortlichen Übersicht über die Kern-Anwendungen sowie die wesentlichen Werte- und Datenflüsse (Schnittstellen) gewinnen; finanzrelevante Anwendungen kategorisieren (Standard-, angepasste Standard- oder Individual-Software); Ansprechpartner für deren Nutzung, Pflege und Betrieb erheben Kurzes Feedback (mündlich) an die Verantwortlichen 13 Konkretes Vorgehen bei IT-Check (4) Berichterstattung Kurzbericht an Management des Kunden - Management-Summary / Gesamt-Beurteilung - Übersicht zum IT-Einsatz (Anwendungen, Systeme, Infrastruktur) - Feststellungen, Beurteilung und ggf. Empfehlungen zu IT-Organisation und -Prozessen - Feststellungen, Beurteilung und ggf. Empfehlungen zu den Kern- Anwendungen Anhang: IT-Risikoanalyse (Arbeitspapiere-IT / Phase-1) Anhang: Übersicht der Kern-Anwendungen und Schnittstellen IT SCM (IT Summary Completion Memorandum) an den Wirtschaftsprüfer 14

8 8 Berichterstattung Beispiel aus der Praxis Berichterstattung aus dem IT-Check Kurzbericht siehe Beilage-1 IT Summary Completion Momorandum siehe Beilage-2 IT Risikoanalyse (AP-IT / Phase 1) siehe Beilage-3 Anwendungs- und Schnittstellen-Übersicht siehe Beilage-4 Arbeitspapiere-IT / Phase 2 siehe Beilage-5 Arbeitspapiere-IT / IT-Schlüsseldokumente siehe Beilage-6 15 Knacknüsse (1) Aufwand? Für die IT-Risikoanalyse (16 Fragen) haben der Kunde und der Wirtschaftsprüfer rund 1 Stunde einzusetzen. Für einen IT-Kurzcheck ist, wenn vorgängig ein IT-Check stattgefunden hat, mit 2 4 Stunden zu rechnen. Für einen IT-Check ist mit je einem Tag vor Ort und für die Berichterstattung zu rechnen (wenn ein Kurzbericht abgegeben wird). Kosten? Die IT-Risikoanalyse und der IT-Kurzcheck gehen zulasten des WP-Mandates. Bei IT-Checks wird, v.a. wenn ein Kurzbericht abgegeben wird, eine Kostenteilung zwischen dem Kunden und dem WP angestrebt. Umfassende IT-Audits gehen zulasten des Kunden. 16

9 9 Knacknüsse (2) Reihenfolge IT-Kurzcheck IT-Check? In der Praxis hat es sich bewährt, mit einem IT-Check zu starten, da dabei eine umfassende Erhebung und Beurteilung des IT-Einsatzes gemacht wird. Self-Assessment durch Kunde? In WP-Mandaten ist ein reines Self-Assessment abzulehnen: Der Kunde neigt zu einer besseren Beurteilung v.a. in den Arbeitspapieren Phase-2; zudem entspricht dies weder PS890 noch dem BDO Modell. IT-Check durch Wirtschaftsprüfer? Ist an sich denkbar. Zu beachten ist, dass ein erfahrener IT-Prüfer eher in der Lage ist, gewisse Fragen aufgrund bereits erhaltener Antworten zu überspringen sowie versteckte Widersprüche und Unwahrheiten zu erkennen oftmals arbeitet der IT-Prüfer effizienter und wirksamer. 17 Knacknüsse (3) Kurzbericht an Kunde? Wird von Kunden sehr geschätzt. Mit dem Kurzbericht erhält der Kunde einen klaren Gegenwert für die von ihm und seinen Mitarbeitenden investierte Zeit (Erhebungen vor Ort ). Problematisch ist allenfalls die Kostenseite resp. die Aufteilung der Kosten zwischen dem Kunden und dem Wirtschaftsprüfer. Wann ist mehr zu machen? Das Modell von BDO formuliert klar, wann aufgrund der Ergebnisse aus einer IT-Risikoanalyse resp. einem IT-Kurzcheck ein IT-Check einzuleiten ist; gleiches gilt für den Entscheid, wann nach einem IT- Check ein umfassendes IT-Audit einzuleiten ist. IKS gemäss PS 890 bestätigen? Der abschliessende Entscheid liegt beim Wirtschaftsprüfer die Aufgabe des IT-Prüfers ist es, verlässliche Grundlagen zu liefern. 18

10 10 Knacknüsse (4) Ihre Knacknüsse und Fragen! 19 Schlusswort Das aufgezeigte Modell ist auf die Bedürfnisse und Situation im IT- Bereich von KMU ausgerichtet es bewährt sich bei BDO seit rund drei Jahren. Durch einen IT-Check kann Klarheit über die Bedeutung der Informatik für das Unternehmenund die mit dem Informatikeinsatz verbundenen Risiken gewonnen werden. Gemäss Einschätzung und Erfahrung des Referenten stehen der Aufwand und die Kosten sowohl für den Kunden wie auch für den Wirtschaftsprüfer ein einem vernünftigen Verhältnis. 20