Continuous Auditing eine gut gemeinte aber schlechte Idee kommt zurück

Transkript

1 Continuous Auditing eine gut gemeinte aber schlechte Idee kommt zurück Michel Huissoud Lic.iur, CISA, CIA 5. November ISACA/SVIR-Fachtagung - Zürich Überwachung Continuous Monitoring Continuous Auditing

2 2 Continuous auditing bis 1994 Die EFK musste sämtliche Zahlungsanweisungen des Bundes freigeben

3 3 GTAG 3, die erste «neue» Quelle (IIA 2005)

4 4 Continuous Auditing, Definition Traditionally, internal auditing s testing of controls has been performed on a retrospective and cyclical basis, often many months after business activities have occurred. The testing procedures have often been based on a sampling approach and included activities such as reviews of policies, procedures, approvals, and reconciliations. Today, however, it is recognized that this approach only affords internal auditors a narrow scope of evaluation, and is often too late to be of real value to business performance or regulatory compliance. Continuous auditing changes the audit paradigm from periodic reviews of a sample of transactions to ongoing audit testing of 100 percent of transactions. It becomes an integral part of modern auditing at many levels. It also should be closely tied to management activities such as performance monitoring, balanced scorecard, and enterprise risk management (ERM).

5 5 Continuous Auditing, Beispiele aus dem GTAG3 1. Each week, an extract of the system access log file is sent to the internal audit department. The auditors extract the sign-on information and match each user with a current employee master file. All users who are not employees are flagged, and an is automatically sent to the system security officer to have the user identifications (IDs) revoked. In addition, the test looks for failed logons. 2. Examining transactional data e.g. flagging all purchase card expenses that are greater than the card limit or that involve prohibited merchants. ( ) In all cases, auditors can drill down into the details quickly to discover the cause and perform the required follow-up quickly and easily.

6 6 Das System hat Grenzen (ähnlich wie dasjournal Entry Testing / JET) Ist ein Betrug erfasst oder eben nicht erfasst? Wenn etwas erfasst worden ist, ist es: in der Periode, in der man sucht? im Buchungskreis/Unternehmen, wo man sucht? nach einem Betrugsschemata efolgt, das bekannt und programmiert ist? Eine Datenanalyse ist noch keine Prüfung

7 7 Ein echter Paradigmenwechsel

8 8 Hier ist es noch klarer?

9 9 Weitere Fazetten Einsitz in Projektorganisation Einsitz in permanenten Gremien Dokumente systematisch bestellen «Kopie an der EFK» Permanente Zugriffsrechte auf Datenbanken Quality-Gate bei der internen Revision Problemfrüherkennung? Präventive Wirkung? Haftung?

10 10 Was wir (eventuell) übernehmen könnten Dynamische Revisionsplanung: kontinuierliche Integration der KPI (Key Performance Indicators) und der KRI (Key Risk Indicators) in der Risikoanalyse wenn KPI und KRI auditstrategiekonform sind wenn KPI und KRI zuverlässig sind wenn KPI und KRI als Daten in der Firma vorhanden sind wenn eine Schnittstelle zur Audit-Software vorhanden ist

11 11 Was wir unbedingt vermeiden sollten Systematisch immer das Gleiche zu prüfen Eng mit der Linie zusammen zu arbeiten, um verdächtige Transaktionen abklären zu lassen Auf eine eigene Berichterstattung zu verzichten Offiziell zu melden, was und wie wir immer prüfen werden Unsere Ressourcen für detektive Kontrollen einzusetzen Teil des IKS zu werden

12 12 Unabhängigkeit ist unser höchstes Gut!.Merci, dass Sie auf sie aufpassen