IT-Prüfung im Rahmen der Jahresabschlussprüfung

Transkript

1 IT-Prüfung im Rahmen der Jahresabschlussprüfung Dr. Michael Schirmbrand Mai KPMG Information Risk Management 1

2 INHALTSVERZEICHNIS 1. Ausgangslage/Überblick über den Vortrag 2. Exkurs IT-Governance 3. Nationale und internationale Gesetze/Regularien IT und Prüfung 4. Gesetze/Standards - IT-Security; Risk Management/Kontinuitäts-Management 5. Prüfungen der IT im Rahmen von Jahresabschlussprüfungen 6. Ausbildung 7. IRM Services der KPMG Michael Schirmbrand 2004 KPMG Information Risk Management 2

3 Dr. Michael Schirmbrand Kontakt: Partner von KPMG Österreich Leiter des Bereiches Information Risk Management der KPMG Wirtschaftsprüfer und Steuerberater Vorstandsvorsitzender von ISACA Austria CISA - Certified Informations Systems Auditor CISM Certified Information Security Manage Vorsitzender des Fachsenats für Datenverarbeitung der Kammer der WT Mitglied des weltweiten ISACA Research Board und des Cobit Steering Committee Autor von Fachbüchern zu Themen von IT Governance, IT Security und Prüfung der IT sowie diverser Fachartikel, Vortragender, Universitätslektor Michael Schirmbrand 2004 KPMG Information Risk Management 3

4 Regelmäßige Problemfelder in IT-Prozessen Mangelnde Ausrichtung auf Unternehmensziele Keine IT-Governance Vorstandsverantwortung und -Haftung IT stellt eine Black-Box dar Abläufe Kosten Risiken IT-Prozesse sind nicht überschaubar, nicht dokumentiert, nicht messbar und nicht vergleichbar, nicht effizient Michael Schirmbrand 2004 KPMG Information Risk Management 4

5 Prüfung Ausgangssituation Komplexe, vernetzte Systeme Systemvielfalt, Konvergenz der Technologien Verbindungen zu Kunden und Lieferanten,... Automatisierte, in Echtzeit ablaufende Transaktionen Neue Gesetze, die den Bedarf an und die Verantwortung für die (IT-)Revision regeln Dokumentation der Geschäftsfälle, falls überhaupt, dann nur elektronisch Unternehmen kennen neue Gesetze und Normen kaum IT betreffende so gut wie nie Wirtschaftsprüfer kennen die IT und deren Auswirkungen auf das Business oft auch nicht Michael Schirmbrand 2004 KPMG Information Risk Management 5

6 Exkurs: IT-Governance Corporate Governance IT Governance Das IT Governance Framework CobiT Die wichtigsten Standards Integration der Modelle in ein gesamthaftes Modell Michael Schirmbrand 2004 KPMG Information Risk Management 6

7 Nationale und internationale Gesetze / Regularien IT und Prüfung AktG/GmbHG/HGB Standards IFAC Standards AICPA Stellungnahmen IdW Fachgutachten Kammer der Wirtschaftstreuhänder (Institut der Wirtschaftsprüfer Sarbanes Oxley Michael Schirmbrand 2004 KPMG Information Risk Management 7

8 Gesetze/Standards - IT-Security DSG Fernabsatzgesetz/TKG/ Überwachungsverordnung SigG (+SigVo) ECommerceG BS7799 (ISO 17799, Ö-Norm A 7799) BSI Grundschutzhandbuch RFC 2527, RFC 2528 (X.509) EnSec (TÜV DE) WebTrust (auch Vergleich mit Ö. ecom Gütezeichen,...) SysTrust egovg ECV Michael Schirmbrand 2004 KPMG Information Risk Management 8

9 Prüfung der IT im Rahmen der JAP Grundlagen Risk assessment für Inherent Risk und Control Risk auf Assertion level (vgl ISA 401) Preliminary assessment of significant misstatement with HIGH, MEDIUM or LOW. HIGH until we Identify relevant internal controls (at assertion level) Perform Test of Controls Durch Prüfung der IT wesentliche Einsparung von substantiellen Prüfungshandlungen Michael Schirmbrand 2004 KPMG Information Risk Management 9

10 Beurteilung des IKS im Rahmen der JAP Prozessanalyse Nicht durchgeführt Controls Application IT-General Manual Nicht geprüft Geprüft und kontrolliert Nicht wirksam Risk = Low Risk = high Michael Schirmbrand 2004 KPMG Information Risk Management 10

11 Prüfung von Kontrollen Categories of Controls (vgl. Prüfungsmethoden) authorisation system configuration and account mapping controls exception / edit reports interface / conversion controls key performance indicators management review reconciliation segregation of duties system access. IT IT Die meisten dieser Kontrollen sind IT-Kontrollen; diese sind daher sinnvollerweise von IT-Prüfern zu prüfen Michael Schirmbrand 2004 KPMG Information Risk Management 11

12 Ausbildung CISA CISM CISSP SANS SAP-CC Microsoft CE Michael Schirmbrand 2004 KPMG Information Risk Management 12

13 Unterlagen Michael Schirmbrand 2004 KPMG Information Risk Management 13