Zeitschrift des Instituts für Interne Revision Österreich - IIA Austria

Transkript

1 IIA 07 Institut für Interne Revision Audit Journal Audit Journal Zeitschrift des Instituts für Interne Revision Österreich - IIA Austria Rückblick: Das Jubiläumsjahr 2011 IIA Zertifizierungen 2011 Vorschau auf 2012 Neue Zertifizierung: CRMA Certification in Risk Management Assurance TM ECIIA Konferenz 2011 in Madrid AK Wirtschaftskriminalität vom ediscovery und Was uns Schriften, Texte und Urkunden verraten können WAPES Peer learning on internal audit Richard Chambers: Die Hüter des öffentlichen Vertrauens in den USA Prüfleitfaden SAP ERP 6.0 Kapitel 9: Systemintegrität auf der Betriebssystemebene Kapitel 10: Kommunikations- und Netzsicherheit News aus den Arbeitskreisen Buchpräsentation Prüfung des öffentlichen Sektors Buchbesprechungen Handbuch Compliance Quality Control und Peer Review in der IR Neue Mitglieder Heft 4 / Dezember 2011

2 Der Vorstand des Institutes für Interne Revision Österreich IIA Austria, das Sekretariat und das Team der Akademie Interne Revision wünschen allen Mitgliedern und deren Familienangehörigen ein frohes Weihnachtsfest und ein gesundes und erfolgreiches Jahr 2012! Wir bedanken uns ganz herzlich bei Dkfm. Heinrich Sandler, der uns auch heuer das Weihnachtsbild für das Deckblatt dieses Audit Journals zur Verfügung gestellt hat. Kursleiter für Aquarellmalerei an der Akademie Stift Geras, am Bildungszentrum St. Benedikt in Seitenstetten, bei der Steinwandklamm und den Myrawasserfällen in Niederösterreich, sowie in Griechenland. Ausstellungen: 1982: Volksbank Friesach 1989: Bankhaus Rössler AG, Wien 1997: Galerie Dr. Theodor Kraus 2000: Bel Art Gallery Inc. Vancouver (Kanada) City Hall Vancouver (Kanada) 2001: Schloß Belvedere (Alpengarten) 2006: Geschichtsmuseum Deutsch-Wagram 2009: Enzersfeld bei Wien Salzburg

3 Das Jubiläumsjahr 2011 VON MITGLIEDERN FÜR MITGLIEDER das war das Motto meiner Rede anlässlich der 50 Jährigen Jubiläumsfeier am 3. Mai 2011! 50 Jahr Feier des Instituts für Interne Revision Österreich IIA Austria im UNIQA Tower, Global Council (jährlich stattfindendes Strategiemeeting der Institutsvertreter weltweit) erstmals in Österreich, 6. CEE Konferenz erstmalig ebenso in Österreich, zum 2. Mal fand die Drei- Länderkonferenz der Internen Revision in Versicherungsunternehmen in Österreich statt, erstmals wurde die 200 Teilnehmergrenze bei einer Jahrestagung des IIRÖ überschritten, die erste Buchpräsentation bzw. Podiumsdiskussion des IIRÖ des Buches Prüfung des Öffentlichen Sektors. Mit Recht und Stolz kann man das Jahr 2011 als ein bedeutendes Jahr in der Geschichte und Entwicklung des österreichischen Revisionsinstituts bezeichnen, aber schön langsam neigt sich auch dieses dem Ende zu. des PCB (Professional Certification Board); darauf folgte das weltweit einmal jährlich stattfindende Strategiemeeting Global Council mit Vertretern aus über 40 Ländern mit einem für Wien bzw. für Österreich typischen Rahmenprogramm. Am Dienstag Abend durfte das IIRÖ zu seinem 50 jährigen Jubiläums seines Bestehens seine Mitglieder, Ehrenmitglieder und auch die internationalen Gäste des Global Council in den UNIQA Tower einladen. Ein großer Dank an dieser Stelle nochmals an die UNIQA Versicherungen AG die das Event in ihren Räumlichkeiten tatkräftig gesponsert hat und insbesondere an Prof. Dr. Hauser, der uns dies erst ermöglicht hat. Es war ein sehr feierlicher Abend, mit sehr persönlichen Grußworten aus den befreundeten Instituten Deutschland und der Schweiz, sowie vom Chairman als auch vom Präsidenten und CEO des IIA Global, gefolgt vom ECIIA Präsident. Die erste Maiwoche schloss mit der 6. CEE Konferenz im Arcotel Wimberger mit über 300 Teilnehmern. IIA 07 Institut für Interne Revision Audit Journal Personell gab es eine Veränderung im Vorstand Hr. Dir. Zotter musste seine Funktion als Kassier des Vereins leider Anfang des Jahres aus beruflichen Gründen zurücklegen an seiner Stelle wurde im Rahmen der Mitgliederversammlung im Juni Hr. Ing. Otto Mayerhofer in den Vorstand berufen und er verstärkt nun das Team um meine Kolleginnen und Kollegen, Mag. Weiszgerber, Dr. Schuh, Mag. Fahrnberger, Mag. Goldstein und Mag. Kopetzky, CIA. Das Veranstaltungsjahr begann mit der österreichischen CIA Tagung, in Bregenz bei der Fa. Wolford AG, gefolgt von einem im wahrsten Sinne des Wortes besonderen Frühjahrs-ERFA in Graz, auf Einladung der Energie AG Steiermark, zum Thema Die Interne Revision im Spannungsfeld zwischen Vorstand und Aufsichtsrat, inhaltlich gestaltet vom AK Energie unter Dr. Fally. Erstmals war die Zahl der Teilnehmer bzw. das Interesse so groß, dass das ERFA ein zweites Mal am 4. Mai, in Wien, wiederholt wurde. Die intensive erste Maiwoche ist wohl noch vielen unter Ihnen in Erinnerung den Anfang machten für zwei Tage das weltweite CSO (Chief Staff Officer) Meeting und das Meeting Mit dem diesjährigen Jahrestagungsthema Compliance und Interne Revision haben wir DAS Interesse bei Ihnen geweckt; mit erstmals über 200 Teilnehmern war die Jahrestagung im schönen Ambiente der Rogner Therme Bad Blumau ein voller Erfolgt. Das Herbst-ERFA im November wurde vom AK Public Sector unter dem interessanten Thema Wissen und Steuerung ausgerichtet und war mit über 80 Teilnehmern sehr gut besucht. Am Tag vor dem ERFA hat das IIRÖ, gemeinsam mit PwC und dem Linde Verlag die erste Buchpräsentation mit Podiumsdiskussion in den Räumlichkeiten der Sparkassen Versicherung AG VIG veranstaltet; der Titel des Buches von Dr. Schuh und Mag. Gastinger lautet Prüfung des Öffentliche Sektors. Die Podiumsdiskussion geleitet von Mag. Gastinger war von interessanten Beiträgen der Diskutanten geprägt und trug zu einer aktiven Teilnahme des Publikums bei. Daneben fanden auch 2011 Veranstaltungen aus der LTA statt; wie erstmals eine Frühstücksveranstaltung im Hotel Sacher im September als Rückblick auf die internationale Kon- Seite 1

4 ferenz von IIA Global im Juli 2011 in Kuala Lumpur war und ist schon aus einem Grund ein bedeutendes Jahr nie zuvor war das IIRÖ so oft in der Öffentlichkeit, in der Presse genannt wie in diesem Jahr. Das Motto VON Mitarbeitern FÜR Mitarbeiter wird insbesondere in den Arbeitskreisen aktiv gelebt; Ihre aktive Teilnahme an den spezifischen AK Sitzungen bringen Mehrwert für Sie selbst in erster Linie, für Ihre tägliche Arbeit, Ihr Revisionsteam, Ihr Unternehmen bzw. Ihre Organisation, und letztendlich trägt Ihre Einsatz zum Erfolg des Instituts bei. 10 permanente Arbeitskreise sind derzeit aktiv tätig (Energiewirtschaft, Universitäten, Public Sector, Privatversicherer, CIA, New Auditors, SAP und EDV, Wirtschaftskriminalität und Banken). In den nächsten Tagen findet der jährliche Workshop der AK-Leiter mit dem Vorstand statt auch diese enge Zusammenarbeit werden wir 2012 fortsetzen. Ein herzliches Dankeschön an alle Arbeitskreisleiter für Ihren ehrenamtlichen Einsatz. Die neue Ausbildungsschiene zum Diplomierten Internen Revisor ist im Jahr 2011 sehr gut angelaufen; wir freuen uns mittlerweile 5 erfolgreiche Diplomierte Interne Revisoren in unseren Reihen zu haben. Das Interesse an dem vorgelagerten Vorbereitungskurs und der Ausbildung insgesamt ist weiterhin ungebrochen. Die IIA Zertifizierungen, allen voran der CIA, gemeinsam mit dem neuen Zertifikat Risk Management Assurance (CRMA) werden auch weiterhin einen festen Platz innerhalb der Aktivitäten des IIRÖ besitzen. Die auch im Jahr 2011 kräftig steigende Mitgliederanzahl zeigt sehr deutlich, dass der Stellenwert der Internen Revision bei den Stakeholdern ebenso zunimmt wie der Mehrwert der IR für ein Unternehmen egal welcher Branche, ob im regulierten bzw. nicht regulierten Bereich, an Bedeutung gewinnt. Es zeigt aber auch, dass das IIRÖ in den letzten Jahren den richtigen Weg für Sie, für die Mitglieder, eingeschlagen hat ständig steigende Teilnehmerzahlen an den unterschiedlichsten Veranstaltungen und Ihr Interesse an der Mitarbeit in den themen bzw. branchenspezifischen Arbeitskreisen spiegelt diese Tendenz sehr deutlich wieder. Aus meiner ganz persönlichen Sicht ist es von besonderer Wichtigkeit im Rahmen des gesamten Leistungspaketes des Instituts für Interne Revision Balance zu halten zwischen den internationalen Revisionstrends, Strategien und Themen UND den österreichischen, deutschsprachigen, europäischen Trends und Entwicklungen unseres Berufsstands. Neben dem Institut ist es mir am Jahresende natürlich ein Anliegen die Akademie Interne Revision unter der Geschäftsführung von Mag. Norbert Wagner hervorzuheben; nachdem in den letzten beiden Jahren die Auswirkungen der Wirtschaftskrise mit straffen Aus- und Weiterbildungsbudgets auch vor dem Seminarbetrieb der Akademie nicht halt gemacht haben, ist im Jahr 2011 wieder ein sehr erfreulicher Aufwärtstrend fest zu stellen; steigende Teilnehmerzahlen an Seminaren und Ausbildungsveranstaltungen zeigen deutlich diese positive Entwicklung. Es gibt aber auch Trauriges im Institutsleben. Unser ehemaliges Vorstandsmitglied, Dkfm. Dr. Georg Schorn ist im Herbst dieses Jahres verstorben. Er war Leiter der Internen Revision der Porsche Holding und von 1991 bis 1998 Mitglied des Vorstandes der Arbeitsgemeinschaft Interne Revision (Vorläufer des heutigen Instituts für Interne Revision Österreich). Er bleibt uns u.a. auch als ein unermüdlicher Kämpfer für interessante und spannende Jahrestagungen in Erinnerung. Leider musste das Revisionsinstitut 2011 Abschied von einem langjährig treuen Mitglied, Dkfm. Dr. Josef Kondor (Leiter der Internen Revision der Agrarmarkt Austria), nehmen; auch nach seiner Pensionierung war er stets an der Internen Revision interessierter Zuhörer aber nicht nur, auch kritisch Fragender bei zahlreichen Veranstaltungen in den letzten Jahren. Auch im - mit schnellen Schritten - nahenden neuen Jahr erwartet Sie eine Reihe von Aktivitäten des IIRÖ; auch wenn nicht jedes Jahr ein Jubiläumsjahr sein kann, sind wir mit vollem Elan und Einsatz daran, Ihnen eine Vielzahl an Leistungen zu bieten. Seite 2

5 Die Vorbereitungsaktivitäten zur Audit Competence 2012 Ende Jänner DER Konferenz für MitarbeiterInnen der Internen Revision - sind dem Ende zugehend; der derzeitige Anmeldungsstand ist wieder sehr positiv. Zwei ERFAs Frühjahr und Herbst werden wieder veranstaltet ausgerichtet werden die ERFAs, nach derzeitigem Planungsstand, wieder von aktiven Arbeitskreisen des IIRÖ, dem AK SAP und dem AK Universitäten. Die Jahrestagung 2012 findet wie bereits angekündigt Ende September 2012 wieder am schönen Wörthersee, im Parkhotel Pörtschach, statt. Ebenso ist vorgesehen, die Let`s Talk Audit Reihe gemeinsam mit Ernst & Young fort zu setzen. Weiters arbeiten wir bereits daran vom Format her neue Veranstaltungen für 2012 und für die nächsten Jahre vorzubereiten; wir werden Sie dazu zu gegebener Zeit selbstverständlich informieren und Ihnen die Details in gewohnter Weise ankündigen. Großer Dank gebührt an dieser Stelle dem Back Office Team sowie der Geschäftsführung von Institut und Akademie, ohne deren kollegiale Zusammenarbeit all die zu Beginn nur beispielhaft - aufgezählten Aktivitäten und Leistungen nicht möglich gewesen wären: Ein herzliches Dankeschön gilt insbesondere Ihnen, den Mitgliedern des Vereins, für Ihre so zahlreiche Teilnahme an den breitgefächerten Veranstaltungen des Instituts und ebenso an den Seminaren der Akademie; Ihr Interesse an der Profession der Internen Revision, an Ihrer persönlichen Aus- und Weiterbildung und Ihrem Interesse an der Weiterentwicklung unseres Berufsstandes durch Ihre aktive Mitarbeit in Arbeitskreisen sowie durch Ihr Engagement in der inhaltlichen Ausrichtung von Veranstaltungen des IIRÖ! Der Vorstand des Instituts für Interne Revision Österreich IIA Austria wünscht allen Mitgliedern und deren Angehörigen ein frohes und besinnliches Weihnachtsfest und ein gutes und erfolgreiches Jahr 2012! Mag. Angela Witzany, CIA, CRMA im Namen des Vorstandes des IIRÖ IIA 07 Institut für Interne Revision Audit Journal Fr. Herrloss war und ist für die hervorragende Betreuung unserer Mitglieder, der Arbeitskreise und für die Zertifizierungen des IIA zuständig; Mag. Wagner obliegt die Geschäftsführung in Akademie und Institut, weiters vertritt er das IIRÖ in internationalen Belangen insbesondere im Rahmen der weltweiten und europäischen CSO / Chief Staff Officer Gruppe und ist intensiv um die Aufbauarbeit junger / neuer Institute im CEE-Raum bemüht; Fr. Rautner ist in bewährter Weise gemeinsam mit Fr. Sharma für den erfolgreichen Seminarbetrieb der Akademie verantwortlich und ist das Herzstück des Veranstaltungsmanagements des Instituts. Seite 3

6 IIA Zertifizierungen 2011 Vorschau auf 2012 auch das Certification Year 2011 neigt sich schön langsam aber doch dem Ende zu. Bevor ich das Jahr 2011 kurz Revue passieren lasse, sei gesagt, es stehen Jahre der Veränderungen und Änderungen im Bereich der Zertifizierungen - ausgehend vom IIA Global - an, die, wie ich persönlich meine, durchaus positive Auswirkungen haben werden. Erste Neuerungen bzw. Änderungen haben schon in diesem Jahr ihren Anfang genommen. Auch 2011 hat das IIRÖ wieder erfolgreich zertifizierte Kolleginnen und Kollegen zu vermelden; insgesamt durften wir seit dem letzten Berichtsstichtag - in der letzten Audit Journal Ausgabe bis zur letzten Ergebnismeldung im Oktober CIAs und 2 CFSAs herzlich zur erfolgreichen Absolvierung gratulieren! Das österreichische Revisionsinstitut kann nunmehr stolz 168 österreichische CIAs verzeichnen. Trotz dieses schönen Erfolges ist es notwendig an dieser Stelle anzumerken es könnten wesentlich mehr erfolgreiche IIA Zertifizierte sein und verglichen mit dem Vorjahr müssen wir leider insgesamt einen Rückgang an KandidatInnen und AbsolventInnen feststellen! Die Erhöhung des Stellenwertes der IIA Zertifizierungen in Österreich sowie den Mehrwert dieser globalen Ausbildung - sowohl für den Einzelnen als auch vor allem für das Unternehmen aufzuzeigen, sind nur zwei der geplanten Schwerpunkte, die sich der Vorstand des Instituts, zusammen mit dem CIA Arbeitskreis, für das Jahr 2012 zum Ziel gesetzt hat; ein ambitioniertes Ziel, das wir aber sicherlich auch mit Ihrer Unterstützung erreichen werden. Welche Aktivitäten hat das IIRÖ im Bereich der Zertifizierungen nun im Jahr 2011 gesetzt? Anfang März 2011 gab es die CIA Tagung in Bregenz, bei Wolford AG und der Start im Sommer für die Neuausrichtung des CIA Arbeitskreises unter neuer Leitung ist ebenso gelungen wie die Jahrestagung in Bad Blumau im September, wo wir auch diesmal wieder unseren erfolgreichen AbsolventInnen gratulieren konnten, bis hin zur Start up Sitzung des CIA Arbeitskreises unter der neuen Leitung von Mag. Konrad, CIA und Mag. Staudacher, Bakk., CIA im November Die Einführung des CIA Learning Systems im Herbst als neues Lernmaterial für die Ablegung der Prüfung zum CIA (self-study), über die Ankündigung des neuen IIA Zertifikats ab 2013, dem CRMA (Certification in Risk Management Assurance), waren weitere Highlights des Jahres Zurückkommend auf unsere Jahrestagung im September, war es wieder ein schöner Moment, den erfolgreich zertifizierten Kolleginnen und Kollegen der letzten Periode im Rahmen der Tagung gemeinsam mit dem Past Chairman des IIA Global, Ing. Günther Meggeneder, CIA mit der Überreichung eines Gutscheines aus der Schriftenreihe des Instituts, ganz herzlich zu gratulieren. Alle AbsolventInnen konnten - wie in den vergangenen Jahren auch - an der Jahrestagung als Gast des Instituts teilnehmen und erhielten erstmals als kleine Erinnerung an die kleine Zeremonie Fotos zugesandt. Diesen Ausdruck der Wertschätzung werden wir - in eben dieser Form - auch im nächsten Jahr fortsetzen. Mit Juli diesen Jahres. kam es leider zu einer einschneidenden Veränderung für das österreichische Institut; mit der Umstellung der Prüfung von Paper and Pencil auf CBT (Computer Based Testing), im deutschen Revisionsinstitut (DIIR), verloren wir alle deutschen KandidatInnen, die das Examen nun nur mehr ausschließlich über das DIIR ablegen können. Dies bedeutete auch eine Umstellung für unsere Kolleginnen und Kollegen aus dem Nachbarland; denn die mehr als nur sehr positive Resonanz und ebensolches Feedback über die hervorragende Betreuung durch unsere Monika Herrloss zeigt deutlich, wie wichtig der persönliche Kontakt noch immer ist. Dies wurde durch sehr persönliche Worte unserer deutschen KandidatInnen und AbsolventInnen sehr deutlich in diesem Jahr zum Ausdruck gebracht. Hier sei auch auf die hervorragende Zusammenarbeit mit der Geschäftsstelle des DIIR hingewiesen, so dass der Übergang und die Übergabe sowohl der erfolgreichen zertifizier- Seite 4

7 ten Kolleginnen und Kollegen als auch der Kandidatinnen und Kandidaten zwar mit einem weinenden Auge, aber in sehr kollegialer und unterstützender Art und Weise erfolgt ist. Herzlichen Dank an Monika Herrloss für die hervorragende, fachlich kompetente aber auch gleichzeitig persönliche Betreuung aller KandidatInnen und AbsolventInnen, die hoch geschätzt wird! Diesen Weg, den direkten Kontakt zu Interessierten, KandidatInnen und natürlich AbsolventInnen zu halten, werden wir auch im nächsten Jahr ebenso fortsetzen! Mag. Larissa BICHLER, CIA Dipl.-Ing. Gerald JANISCH, CIA Elodie PAYET-GASPARD, MSc, CIA Mag. Judith RESCH, CIA Dr. Mario SCHASCHKO, CIA Mag. Stefan SCHROTT, CIA Aber wir dürfen hier nicht nur neue erfolgreiche CIA KandidatInnen, sondern auch neue AbsolventInnen der Spezialzertifikate begrüßen. Die CFSA (Certified Financial Services Auditor) Prüfung erfolgreich bestanden haben: IIA 07 Institut für Interne Revision Audit Journal 2012 was erwartet Sie im neuen Jahr im Bereich der Zertifizierungen? CRMA ab bis 2013, mit dem Start des Examens weltweit, haben Sie unter Erfüllung festgelegter Voraussetzungen die Möglichkeit den CRMA zu erlangen ( Grandfathering ) CIA Tagung Anfang Mai Regelmäßige Sitzung des Arbeitskreises CIA, mit folgender Zielrichtung: o Start des Mentoring Programms o Themenplattform o Informationsveranstaltungen zu o Aufbau der Kontaktpflege zu Personalberatern und HR Abteilungen uvm. Selbstverständlich werden wir Sie über alle anstehenden Änderungen und Neuerungen von Seiten IIA Global rechtzeitig über entsprechende Kanäle ( , Homepage, Informationsveranstaltungen, Newsletter etc.) informieren. Im Zeitraum November 2010 bis Oktober 2011 konnten wieder einige Kolleginnen und Kollegen erfolgreich das Berufsexamen des IIA ablegen. Die CIA Prüfung erfolgreich absolviert haben: (8 österreichische AbsolventInnen) Ing. Jiri BENES, CIA Mag. Christiana BERGER-CHALOUPKA, CIA Veronika MOOSBRUGGER, CFSA Mag. Rüdiger WEHRKÖNIG, CFSA Auch haben Revisionskolleginnen und Kollegen aus Deutschland sich dazu entschieden die CIA Prüfung über Computer Based Testing (CBT) über das österreichische Revisionsinstitut abzulegen. Herzlich gratulieren dürfen wir: Mathias ALLENZON, CIA Diana BASTIANS, CIA Martin GRATZ, CIA Igor GRINKO, CCSA Matthias HESSE, CIA Felix HOFFMANN, CIA Mario KARSTENS, CIA Markus KOCH, CIA Andreas MONSCHEIN, CIA Ulrike MÜLLER, CIA Carina RAPPOLD, CIA Daniela RECKNAGEL, CIA Oliver REINHARDT, CIA Bodo RID, CIA Christoph SCHULTEJANS, CIA Frank SPENNES, CIA Ersin TASTAN, CIA Susanne TRESCHER, CIA Maria TUNTEVA-WINKLER, CIA Der Vorstand des Instituts für Interne Revision Österreich gratuliert allen erfolgreichen Prüfungsteilnehmerinnen und Prüfungsteilnehmern herzlich zu den bestandenen Prüfungen und wünscht für die weitere berufliche Zukunft alles Gute! Mag. Angela Witzany, CIA, CRMA Seite 5

8 CRMA - Certification in Risk Management Assurance Professional Experience Recognition Application What is the CRMA Professional Experience Recognition (PER)? The CRMA Professional Experience Recognition (PER) is an opportunity for qualified individuals to obtain the CRMA designation prior to the CRMA program launch in Individuals who have demonstrated professional experience within the five domains of the CRMA and credentials in education and/or other AUDIT RELATED certifications are welcome to apply for the CRMA PER. This document contains important program requirements, process, and information that must be followed to apply to for the CRMA PER. How does the CRMA PER work? Candidates will need to submit an application form that provides detailed information regarding education, current certifications held, and professional experience with the 5 domains for the CRMA. Candidates will receive points for the amount of professional experience and credentials held. Candidates who obtain MORE than 150 points on the application can earn the designation prior the launch of the CRMA exam. How does scoring work? To receive a CRMA designation through the PER, candidates will need to obtain MORE than 150 points through the PER application process. The application is divided into three sections (Education, Current Certifications Held and Professional Experience). Candidates will need to submit a separate experience verification form that has been attested to by someone who is currently a certified CIA, CCSA, CFSA, CGAP, or current / former supervisor for EACH EMPLOYER you are claiming experience with. Below is the scoring for each section. Education Maximum of 25 points (points awarded for highest level degree only) Associates Degree (2 year post secondary degree from a University) - 15 points or Bachelors Degree (4 year post secondary degree from a University) - 20 points or Master Degree (6 year post secondary degree from a university) - 25 points Current Certifications Held Maximum of 30 points (points awarded for highest certification only) ACTIVE CIA or CCSA with the IIA - 30 points or Other Currently Active Audit Related Certification - 20 points Professional Experience in CRMA Domains Maximum of 140 points (experience is cumulative across all domains and all employers) Less than 120 month experience points Between 120 and 300 months experience points More than 300 months points What is the cost to apply for the CRMA PER? The cost will be fixed when the CRMA PER starts ( ). Where do I go if I have additional questions? Candidates should contact IIA Austria for additional questions that are not answered with this guide. What is the process for applying for the CRMA PER? Obtain this application packet from IIA Austria. Complete the application packet, including professional experience verification Return complete application packet back to IIA Austria for review. Include documentation of education, other audit related active certifications (if IIA Austria does not already have the information on file). Submit payment to IIA Austria. IIA Austria will review your application and forward your packet to IIA Global Headquarters for final review and approval. IIA Global headquarters will advise IIA Austria about the result of your application. IIA Austria will provide you with the final outcome of your application. Please find some more information on our website ( by end of December. Seite 6

9 ECIIA Konferenz 2011 in Madrid IIA Spain und Madrid waren 2011 die Gastgeber der jährlich stattfindenden Konferenz der ECIIA (European Confederation of Institutes of Internal Auditing). Madrid wurde unter dem Motto moving forward von 19. bis 21. Oktober zum europäischen Revisionszentrum! Mag. Wagner und meine Person hatten die Gelegenheit an der sehr erfolgreichen und interessanten Veranstaltung teilzunehmen. Mag. Wagner in seiner Funktion als Geschäftsführer des IIRÖ auf Einladung von IIA Spain und ich selbst hatte die Möglichkeit von Seiten der Sparkassen Versicherung AG, VIG, sowie als Vorstandsvorsitzende exzellenten Vorträgen zu aktuellen Themen zu hören. Die Konferenz begann wie üblich mit einer Welcome Reception des spanischen Instituts mit Begrüßungs- bzw. Eröffnungsreden des Präsidenten des spanischen Revisionsinstituts Jose Manuel Muries sowie des amtierenden ECIIA Präsidenten Phil Tarling - am Vorabend zur Konferenz im Penthouse des offiziellen Konferenzhotels Silken Puerta de America; bereits hier konnte jeder die Gelegenheit zum persönlichen Kennenlernen und Netzwerken nutzen. IIA Spain ist es gelungen, erstmalig die 600 Teilnehmergrenze im Rahmen einer ECIIA Konferenz zu überschreiten. Die Konferenz wurde im North Convention Center of IFEMA vom Chairman des IIA Spain und Phil Tarling feierlich eröffnet. David L. Landstittel, Chairman COSO, hielt zum Thema COSO current acitivites and a look ahead den ersten Plenarvortrag. Danach, sowie am zweiten Konferenztag standen Präsentationen zu unterschiedlichen Themenschwerpunkten Best Practice, IT Governance, Personal Development, Fraud und Corporate Governance zur Wahl auf dem Programm. Aufgrund der Vielfalt an Themen und Referenten nur ein kleiner Auszug an dieser Stelle: Andrew Tucker (Research fellow at the Magna Carta Institute, Brunel University) zum Thema Auditing Corporate Governance Culture Jonathan Shatforf (Head of Investigations, JP Morgan) mit dem Vortrag Forensic Technology in Support of Investigations Manfred Wolf und Markus Wochner (CAE und Head of EMEA Internal Audit; beide SAP) zu einem Best Practice Bericht Excellence driven organization of a global internal audit department Auditing the Disney way; Gary Dean Hansen (CAE, The Walt Disney Company) Zum Ende der Konferenz fand eine sehr interessante Podiumsdiskussion zum Thema EU Green Paper on Corporate Governance mit Vertretern European Issuers, FERMA und ECODA statt; Richard Chambers, President and CEO IIA Global, bildete den Abschluss mit einem ausgezeichneten Vortrag unter dem Motto The new corporate world order: how does internal audit fit. Donnerstag abends begann das Social Program mit einer City Bustour zu den Highlights der Stadt Madrid, gefolgt von einer Privatbesichtigung des Museo del Traje mit anschließender Cocktail Dinner Party im Vorgarten zum Museum. Natürlich durfte auch eine Flamenco Show nicht fehlen; trotz der leider an diesem Abend niedrigen Temperaturen war es ein sehr geselliger Abend bei Tappas und Wein im Kreise von RevisionskollegInnen aus zahlreichen nicht nur europäischen Ländern. Das Abendprogramm wurde von einem Kamerateam begleitet von der Bustour bis zur Tanzparty; dieser Kurzfilm bildete einen gelungen Abschluss der Konferenz an der die Teilnehmer die südländische Gastfreundschaft und die hervorragende Konferenzorganisation des spanischen Revisionsinstitutes genießen konnten. Norbert Wagner und ich haben den Vertretern des IIA Spain unsere Gratulation zu einer gelungenen und erfolgreichen Veranstaltung ausgesprochen. IIA 07 Institut für Interne Revision Audit Journal Seite 7

10 Im Anschluss an die Konferenz fand am Samstag die Generalversammlung der ECIIA statt. Es ist dem IIRÖ eine große Freude und auch Ehre Ihnen zum Jahresende noch ankündigen zu dürfen, dass im Jahr 2013 die ECIIA Konferenz in Österreich ausgerichtet wird! Zum Abschluss möchte ich Sie darauf Aufmerksam machen bzw. Ihr Interesse wecken, dass die ECIIA Konferenz 2012 von 12. bis 14. September in Amsterdam statt findet. Das mehr als nur positive Feedback aus der internationalen Veranstaltungswoche Anfang Mai in Wien und die damit verbundene Professionalität der Veranstaltungsorganisation hat dem IIA Austria diese Möglichkeit bereitet und wir können stolz darauf sein, die Anfrage zur Konferenzausrichtung erhalten zu haben! Dies ist eine weitere und noch höhere Herausforderung an unser im internationalen Vergleich kleines Revisionsinstitut; ich bin jedoch überzeugt, dass wir mit Einsatz und Tatkraft dies auch wieder ausgezeichnet meistern werden. Wir werden Sie selbstverständlich über die Details zur ECIIA Konferenz 2013 in Österreich zu gegebenem Zeitpunkt informieren. Mag. Angela Witzany, CIA, CRMA Seite 8

11 AK-Wirtschaftskriminalität vom : ediscovery und Was uns Schriften, Texte und Urkunden verraten können Das neblige November-Wetter war ein passender Rahmen für unser letztes Treffen des AK Wirtschaftskriminalität und die Aussicht vom 12. Stock des Gebäudes der BIG ließ die Schönheit des Ausblicks bei klarem Wetter deutlich erahnen. Wir 18 TeilnehmerInnen hatten jedoch wenig Zeit, diese zu bewundern, denn beide Themen des AK waren fesselnd und brachten wieder viel Neues und Interessantes ins Gespräch: Hr. Georg Beham, MSc., Senior Manager für Forensische Technologien in Österreich bei KPMG, brachte uns ediscovery Analyse elektronischer Beweismittel von der Definition von ediscovery bis zur Anwendung und der Präsentation eines gekürzten Falles am Computer näher. Die großen Mengen an Daten und deren Vermehrungen sind ein Problem für uns und so sind alle Hilfsmittel zur logischen Eingrenzung der Daten und zum systematischen Finden von Unregelmäßigkeiten oder aufklärungswürdigen Gegebenheiten willkommen. Als interessante Relation: Wissen Sie z.b., wie groß das durchschnittliche Datenvolumen eines/er Mitarbeiters/in auf dem Computer ist, dessen Inhalt vielleicht angeschaut werden muss? (Was glauben Sie? Wissen Sie es schon oder wollen Sie mitschätzen? Dann bitte erst nach Ihrer Antwort am Ende des Beitrags nachlesen! Und: Ja, es fehlen einige Parameter zur genauen Bestimmung es soll vielmehr ein Erfahrungswert für die riesige Datenmenge eines Mitarbeiters mit durchschnittlicher Verweildauer im Unternehmen sein, ohne Anspruch auf absolute Richtigkeit.) Und was glauben Sie: wie viele A4-Seiten ist ein (1) GB an Datenvolumen und wie lange bräuchten wir, diese zu lesen und zu analysieren! Herr Beham zeigte sehr anschaulich und interessant, dass es z.b. einen Unterschied zwischen strukturierten und nicht-strukturierten Daten gibt und wie er es angeht mit dem Electronic Discovery Reference Model. Viele Fragen und Anmerkungen aus dem Teilnehmerkreis rundeten seine Ausführungen ab. Nach einer Pause, in der weiterhin diskutiert und Meinungen ausgetauscht wurde, zeigte uns Hr. Georg Hirtl einiges aus seiner Welt der Detektiv-Arbeit, im Speziellen: Schriften, Texte, Urkunden: kriminalistische Ermittlungsansätze und forensische Auswertungsstrategien. Er erklärte z. B. die verschiedenen Spurenarten, die Suche und die Wichtigkeit des Findens der relevanten Spuren, sowie deren Sicherung und einer verständlichen Nachvollziehbarkeit. Er betonte u. a. auch die Notwendigkeit eines standardisierten und dokumentierten Prozedere für die Arbeit und zeigte auch einige Exemplare von Fälschungen und Originalen ob wir wohl das Richtige bzw. das veränderte Schriftbild herausfinden konnten?! Er machte weiters deutlich, dass sowohl Kreativität wie akribisches Arbeiten gefragt ist, und dass es auch wichtig und richtig ist, rechtzeitig unabhängige Fachleute, Sachverständige, Experten in kriminaltechnischen Labors, etc. zu involvieren. Mögliche Risikofelder und Gegebenheiten können wir durch das Verstehen der verschiedenen Ansätze im Vorfeld besser erkennen und beachten. Mit Beispielen aus seiner langjährigen Praxis zeichnete er uns ein lebhaftes Bild seiner Arbeit. ( Der Abschluss der Veranstaltung war der Diskussion über aktuelle Themen für den nächsten Workshop gewidmet. Einige interessante Themenvorschläge und die Anmerkungen der TeilnehmerInnen lassen auf ein weiteres, wiederum sehr spannendes Arbeitskreis-Treffen schließen, welches für Ende Februar bzw. Anfang März 2012 geplant ist. Großer Dank gebührt auch der Gastgeberin Fr. Mag. Schlappinger, Leiterin Interne Revision der BIG und dem Vorort-Team, sowohl für die Bereitstellung der Infrastruktur wie auch für den Energienachschub für uns! Brigitte H. Juen Auflösung: Haben Sie schon eine Antwort für sich festgelegt? Datenvolumen/Mitarbeiter zwischen 5 15 GB; und 1 GB ist mehr als 100,000 A4-Seiten. IIA 07 Institut für Interne Revision Audit Journal Seite 9

12 WAPES Peer learning on internal audit Die IIA Standards sind die Basis der Prüftätigkeiten von Revisionsabteilungen der öffentlichen Arbeitsmarktverwaltungen und deren Umsetzung ein Gradmesser für die Professionalität und Qualität dieser Revisionseinrichtungen - dies ist ein wesentliches Ergebnis einer Peer Learning Group, die sich im Rahmen von WAPES (World Association for Public Employment Services), das ist die weltweite Vereinigung der öffentlichen Arbeitsmarktverwaltungen, mit diesem Thema beschäftigte. Angeregt und hervorragend organisiert durch die deutsche Bundesagentur für Arbeit fand im Mai 2011 eine Konferenz zum Thema Internal Audit in Nürnberg statt. Die Inhalte dieser Konferenz wurden in mehreren vorangehenden Arbeitstreffen von der Peer Learning Group vorbereitet. Teilgenommen haben VertreterInnen der Revisionsabteilungen der Arbeitsmarktverwaltungen von Belgien (VDAB und Le Forem), Deutschland, Kroatien, Österreich, Schweden und Russland. Ziel war es, einen fachlichen Austausch zu den einzelnen Prozessschritten der Revision zu ermöglichen, Besonderheiten einzelner Länder aufzuzeigen und good practice Beispiele der teilnehmenden Arbeitsmarktverwaltungen darzustellen. Nicht unerheblich war die Möglichkeit, eine Standortbestimmung der eigenen Arbeit vorzunehmen und Verbesserungspotentiale abzuleiten. Übereinstimmend konnte sehr früh festgestellt werden, dass die IIA Standards bei allen teilnehmenden Revisionsabteilungen die Grundlage für die Revisionsarbeit darstellen. Das International Professional Practices Framework war somit eine gemeinsame Basis und auch die verbindende Revisionssprache über die gegebenen Länder-Grenzen hinweg. Am Beginn des Peer Learning Prozesses stand ein Self- Assessment der beteiligten Revisionen. Anschließend wurde anhand der international geltenden Standards der Revisionsprozess von der risikoorientierten Planung bis zum follow up sowie die Support- und Management-Prozesse eingehend analysiert und diskutiert. Ergänzt wurde diese Beurteilung durch bilaterale Arbeitsbesuche, bei denen die Übereinstimmung von Theorie und Praxis ganz im Sinne einer Revision überprüft wurde. Seite 10

13 Über die Ergebnisse informiert ein Abschlussbericht und ein Toolkit Internal Audit. Dieser Bericht sowie zusätzliche Informationen und Dokumente zu den Veranstaltungen der Peer Learning Group sind öffentlich zugänglich und finden sich unter folgendem Link: jspkyqr3yslnpjhnnwprqtdmrmgvnjzjts! ! ?id=405&idtrim= Als Teilnehmerin dieser Peer Learning Group kann ich bestätigen, dass diese systematische Auseinandersetzung mit den Revisionsgrundlagen und der Umsetzung in den Revisionsabteilungen der unterschiedlichen Arbeitsmarktverwaltungen höchst spannend war. Neben ausführlichen inhaltlichen Auseinandersetzungen kamen auch das Kennenlernen der Kolleginnen und Kollegen und die Freude an der gemeinsamen Arbeit nicht zu kurz. So ist aus dieser Gruppe der Wunsch entstanden, auch künftig zu ausgewählten Revisionsthemen einen internationalen Austausch umzusetzen. Mag. Eva Weiszgerber Leiterin der Abt. Revision des Arbeitsmarktservice Österreich IIA 07 Institut für Interne Revision Audit Journal Seite 11

14 Die Hüter des öffentlichen Vertrauens in den USA Branche gelernt habe. Dieser, nunmehr bereits fast ein Vierteljahrhundert umfassende Lernprozess hat mich unter anderem in ein paar der größten staatlich geführten Betriebe der USA, wie die Tenessee Valley Authority, U.S. Postal Service und die U.S. Army geführt. IIA Präsident und CEO Richard Chambers, CIA, CGAP, CCSA über Revisoren im öffentlichen Sektor in den USA, welche er als die heimlichen Helden unseres Standes bezeichnet. Rund vier Jahre nach Ausbruch der bisher beispiellosen Wirtschaftskrise, hat sich die USamerikanische Wirtschaft noch nicht wieder vollständig von deren Auswirkungen erholt und wird deren Gesundung nach wie vor von wechselnden Höhen und Tiefen beeinträchtigt. Auf allen Ebenen der Regierung kämpfen die LeiterInnen der Abteilungen mit aus der Wirtschaftskrise resultierenden, gewaltigen fiskalen Veränderungen. Hierbei ist man unter anderem darum bemüht, die Bonität der eigenen Abteilung aufrecht zu erhalten sowie budgetäre Problemstellungen in Angriff zu nehmen. Primär geht es darum, entbehrliche Ausgabenpositionen ausfindig zu machen und zu eliminieren. Diese Maßnahmen sollen dazu beitragen, die durch hohe Arbeitslosigkeit, niedrige Grundstückswerte sowie der Investitionsträgheit von Unternehmen und Konsumenten sinkende Einkommenslage des Staates zu stützen. Die vermutlich wichtigste Aufgabe besteht jedoch darin, das Vertrauen der amerikanischen Bürger in das nationale Parlament wieder herzustellen, welches sowohl im Vorfeld als auch im Folgezeitraum der Finanzkrise 2008 stark erschüttert worden ist. Kürzlich erst habe ich darüber nachgedacht, was ich während meiner Tätigkeit in dieser Hierbei ist mir Folgendes klar geworden: Prüfungsorgane im öffentlichen Dienst können insbesondere in schwierigen Zeiten wie diesen, sowohl für die Regierenden als auch die Regierten nützliche Dienste leisten. Und dennoch werden ihre Leistungen nur gering bis gar nicht wertgeschätzt bzw. wird ihre Arbeit, so ironisch es klingt, oftmals sogar mit Budget- und/oder Personalkürzungen belohnt. Des Weiteren musste ich während meiner fortlaufenden Tätigkeiten in dieser Branche leider auch feststellen, dass die Arbeit der Revisoren im Öffentlichen Sektor nicht nur in wirtschaftlich schlechten Zeiten sondern auch in guten Jahren zumeist in den Hintergrund gedrängt bleibt. Lediglich in politisch heikleren Angelegenheiten wird diesen eine erhöhte Aufmerksamkeit zuteil. In Gehaltsfragen bleiben die Revisoren im Staatsdienst weit zurück, sie verdienen einen Bruchteil dessen was ihre, im privaten Sektor beschäftigten Kollegen verdienen. Trotz der ausgeprägten Unterschiede zwischen den Arbeitssituationen im öffentlichen und privaten Sektor, sind die Auditoren im öffentlichen Bereich beharrlich bemüht die mit ihrer Arbeit einhergehenden, sowohl politischen als auch technischen Hürden zu bewältigen. Hürden die überwunden werden müssen um das Endziel, eine leistungsfähige und funktionierende öffentliche Verwaltung, zu erreichen. Genau aus diesem Grund, weise ich gerne, wenn immer sich die Gelegenheit ergibt, auf die herausragenden Leistungen der Innenrevision im Öffentlichen Sektor hin, welche den Titel der heimlichen Helden unseres Standes verdient hat. Hohes Engagement, wenig Lob Eine mit ausreichend Personal ausgestattete Interne Revision, deren Abteilungsleiter weiters genügend Unabhängigkeit besitzt um im Zuge der Berichterstattung auch schwierige Entschlüsse zu fällen, sowie hohe Forderungen an die Politik zu stellen, kann einen gravierenden Seite 12

15 Einfluss auf die Entscheidungsfindung in der Politik haben. Insbesondere in angespannten Perioden kann die Interne Revision auf verschiedenste Weise die Politiker bei ihren Aufgaben maßgebend unterstützen. Ein Beispiel für die zentrale Rolle der Innenrevision ist die operative Rechnungsprüfung, welche das A & O für annähernd jede Prüfungsorganisation im öffentlichen Sektor ist. Aufgrund langjähriger Erfahrung verfügen Prüfungsorgane über jenes Wissen, welches notwendig ist, um den Politikern für sie brauchbare Empfehlungen zur bestmöglichen Aufgabenerfüllung zu geben. Solche Ratschläge betreffen vorrangig Hinweise dahingehend wie Arbeitsschritte effektiver und effizienter gestaltet werden können, während gleichzeitig auch Kosten reduziert werden sollen. Solche von der Innenrevision vorgeschlagenen Schritte zur Verbesserung hängen oftmals mit teils schmerzhaften und unangenehmen Eingriffen zusammen, die auch Anlass für Uneinigkeit innerhalb der Politik sein können. Politiker sind daher häufig sehr zögerlich was die Umsetzung solcher Maßnahmen betrifft, da sie sich nicht ohne Schutzvorkehrungen einer möglichen Angriffsfläche aussetzen wollen, welche mit Abbaumaßnahmen, der Zusammenlegung von Bereichen sowie gänzlicher Schließung von Programmen und Abteilungen ohne Zweifel geboten wird. Insgesamt kann eine funktionierende Innenrevision insofern eine abschreckende Wirkung entfalten, als das sie dazu beiträgt, dass die Politik ganz von selbst bessere, vernünftigere, schnellere und kosteneffektivere Entscheidungen für die breite Öffentlichkeit trifft. Glaubwürdige Aufzeichnungen über die Vermögenslage sind sowohl für die öffentliche Hand als auch den privaten Sektor gleichermaßen von hoher Bedeutung, wenn diese auf die Kapitalmittel von Kreditgebern und/oder dem Kapitalmarkt abhängig sind, um laufende Kosten und bestehende Verbindlichkeiten finanzieren zu können. öffentlichen Sektor obliegt diese Aufgabe, verschiedene Akteure wie den Prüfungsausschuss, sonstige Überwachungsorgane, Interessensvertreter und die breite Öffentlichkeit selbst von der Richtigkeit und der den Richtlinien und Regeln entsprechenden Erstellung der vorgelegten Unterlagen zu überzeugen, oftmals dem Leiter der Innenrevision. Der unabhängige und unparteiische Rechnungshof der USA, welcher in seiner Funktion auch dem Kongress Bericht erstattet, spielt in diesem Zusammenhang eine wichtige Rolle. So werden die konsolidierten Jahresabschlüsse der Bundesregierung und ihrer ausgegliederten Zweigstellen jährlich vom Rechnungshof auf Richtigkeit geprüft. Die herkömmliche Meinung besteht darin, dass eine Regierung die nicht das Vertrauen der Öffentlichkeit genießt, nicht erfolgreich sein kann. Den Innenrevisoren im öffentlichen Sektor kommt daher eine entscheidende Rolle zu um dieses Vertrauen aufrechtzuerhalten. Sie werden daher auch immer wieder als die Wächter des öffentlichen Vertrauens bezeichnet. Ohne sie hätte die Öffentlichkeit keinen vertrauenswürdigen Zugang zu Informationen hinsichtlich der hausinternen Vorgänge der Regierung, wobei angemerkt wird, dass sich dieser Einblick auf die Gesamtheit der Abläufe bezieht und nicht nur auf das Rechnungswesen des öffentlichen und die internen Kontrollstrukturen beschränkt ist. Wachsende Herausforderungen, schwindende Ressourcen Kürzlich hat eine Studie des Instituts Interne Revision (IIA) den Einfluss der Auditoren im öffentlichen Sektor sowohl auf Bundes-, Landes- und lokaler Ebene in ganz Nordamerika - näher beleuchtet. Hierbei hat sich herausgestellt, dass diese Männer und Frauen es fertig bringen in dem, heutzutage doch eher anspruchsvollen und dynamischen politischen Umfeld, Strategien zu entwickeln, diese systemwirksam zu implementieren und in weiterer Folge zu einem sichtbaren Wertzuwachs für die so genannten stakeholder der Regierung führen. IIA 07 Institut für Interne Revision Audit Journal In der gewerblichen Wirtschaft beauftragt der Aufsichtsrat normalerweise einen externen Wirtschaftsprüfer um die betriebsintern geführten Unterlagen zu prüfen und damit deren Vollständigkeit und Richtigkeit sicher zu stellen. Im Ansehnliche 38% der Befragten, wovon rund 90% eine führende, oder führungsnahe Position in der Innenrevision bekleiden gaben an, den Fokus ihres Aufgabenbereichs, während der Rezession des Öfteren geändert zu haben um Seite 13

16 ihren Schwerpunkt den stark schwankenden, immer neu entstehenden Bedürfnissen und Erwartungen der verschiedenen Adressaten Führungsebene, Aufsichtsrat und Steuerzahler - anzupassen. Die Gewichtung der Aufgaben der Innenrevision hat sich hierbei in Richtung der Bereitstellung hochwertiger Prüfungsmethoden im Rahmen der operativen Tätigkeit im Betrieb (62%) sowie der Konformitätsprüfung (62%) und des Betrugsaudits (51%) verschoben. Des Weiteren wird auch ein verstärkter Fokus in Bezug auf die Aufdeckung von Möglichkeiten zur Reduzierung entscheidender Aufwandspositionen gesetzt. Ein Großteil der Befragten erklärte weiters, eine größere Verantwortung in bisher untypischen Revisionsbereichen im öffentlichen Sektor, wie Betrugsermittlungen (63%), Risikomanagement (37%), den Aufbau einer Hotline in Bezug auf Fragen zum moralischen Wertesystem (32%) sowie die Durchführung von Untersuchungen in Zusammenhang mit der Wahrung der Sittlichkeit, wahrgenommen zu haben. Eine Folge dieser von der Innenrevision angestrebten Veränderungen wurde laut den Angaben eines Großteils der Befragten sehr positiv wahrgenommen. Die jeweiligen Führungsebenen (70%) und Aufsichtsräte (72%) haben die gegenwärtigen Leistungen der internen Revision als gut oder außerordentlich bewertet. Trotz dieser positiven Resonanz aus dem Management wird in diesen Zeiten der finanziellen Budgetknappheit, die von der Innenrevision gewährleistete Sicherheit bis zu einem gewissen Grad als vernachlässigbar angesehen. Rund 30% der Befragten gaben beispielsweiße an, genötigt worden zu sein ihr Budget dieses Jahr zu kürzen und weitere 13% erklärten mit Personalabbaumaßnahmen konfrontiert worden zu sein. Zur gleichen Zeit jedoch wurde von rund der Hälfte der Umfrageteilnehmer angeführt, dass von ihnen erwartet wird, den stark wechselnden und darüber hinaus auch wachsenden Aufgabenbereich bei gleichbleibenden finanziellen Mitteln (53%) bzw mit der gleichen Menge an Personal zu bewerkstelligen. Offen gestanden kommen diese Daten nicht überraschend für mich. Auch ich war mehrmals gezwungen meine Prüfungsaktivitäten zu reduzieren. Obwohl diese Zahlen sehr enttäuschend sind, haben derartige Abbaumaßnahmen oft einen Grund. Sie basieren auf dem unbestimmten aber unguten Gefühl der Entscheidungsträger zu viele Prüfungsorgane um sich zu haben, welche ihnen bei ihren Entscheidungen über die Schulter schauen können. Insbesondere in Zeiten in welchen teils schmerzhafte und auch umstrittene Entscheidungen getroffen werden, erscheint es verführerisch und in jenem Moment auch vertretbar, sich an jenen zu rächen die die Wirksamkeit sowie die möglichen Konsequenzen der von der Politik getroffenen Entscheidungen, öffentlich in Frage stellen könnten. Tatsächlich stellen, aufgrund der von verschiedenen US-amerikanischen Offenlegungsgesetzen im öffentlichen Recht geforderten Transparenz beispielsweise das Bundesgesetz zur Informationsfreiheit und sogenannte sunshine - Gesetze sogar wirtschaftlich gute Zeiten für die interne Revision im Staatsdienst eine echte Herausforderung dar, was insbesondere auf das hohe öffentliche Interesse in diesem Bereich zurückzuführen ist. Sie müssen sich vorstellen, dass auch nur der Entwurf eines Prüfungsberichts der Innenrevision morgen schon die Schlagzeile in den lokalen, regionalen und nationalen Nachrichten sein könnte. Mehr Ähnlichkeit als Unterschied Nachdem ich die im Staatsdienst stehende Innenrevision verlassen habe und einige Zeit für das Institut Interne Revision arbeitete, habe ich eine mit großen Herausforderungen verbundene Stelle bei PriceWaterhouseCoopers LLP angenommen, wo meine Tätigkeit in der Bewertung von einigen der größten gewinnorientierten Unternehmen der Vereinigten Staaten bestanden hat. Viele Menschen haben mich gefragt, wie ich bei meiner Vergangenheit im Staatsdienst bzw im Dienste von Non-Profit Organisationen gleichzeitig als glaubwürdiger Begutachter und Berater dieser Konzerne auftreten konnte. Meine Antwort hierauf war, dass es zwischen diesen verschiedenen Organisationstypen gewinnorientiert oder nicht, staatlich oder privat - gar nicht so viele Unterschiede gibt, wenn es um die vom Leiter der Innenrevision angewendeten Herangehensweise und realisierten Arbeitsabläufe geht. So besteht die Grundaufgabe aller Führungskräfte in der Innenrevision gleichermaßen darin, umfassende Prüfungsmaßnahmen im operati- Seite 14

17 ven, finanziellen und IT Bereich der Organisation, sowie weiters in Bezug auf mögliche Ruf(schädigungs)risiken und sonstige maßgebliche Risikofaktoren durchzuführen. Prüfungsschemata hinsichtlich möglicher Betrugstatbestände gehören ebenfalls zu den routinemäßig durchgeführten Standardaufgaben der Innenrevision sowohl im staatlichen als auch im privaten Sektor. Eine weitere Gemeinsamkeit stellt das Streben der internen Revision nach mehr Unabhängigkeit dar. Hierbei geht es darum eine direkte Beziehung zu möglichst hoch gelegenen Führungs- und Kontrollebenen aufzubauen und direkt an die Prüfungskommission, andere geeignete Aufsichtsbehörden, den Geschäftsführer bzw an einen höheren Beamten Bericht zu erstatten. Des Weiteren ist eine Annäherung zwischen den von gewinn- und nicht gewinnorientierten Privatorganisationen verwendeten The IIA s International Standards for the Professional Practice of Internal Auditing (Standards) und den in erster Linie von bundesstaatlichen und Prüfern aus anderen staatlichen Bereichen verwendeten Generally Accepted Government Auditing Standards (Yellow Book) erkennbar. Selbstverständlich gibt es auch einige Unterschiede zwischen den Prüfern in den verschiedenen Organisationstypen, was deren Stärken und Schwächen betrifft. So sind beispielsweise Auditoren des privaten Sektors erfahrener im Bereich des continuous risk assessment (zu Deutsch: kontinuierliche Risikobewertung) und ist es für diese auch gebräuchlicher Rotationsmechanismen in Bezug auf den Aufgabenbereich des Personal zu realisieren. Dem gegenüber haben Revisoren des öffentlichen und des Non-Profit-Sektors mehr Sinn für Risiken in Zusammenhang mit der Reputation der Organisation nach Außen hin. Natürlich gibt es auch wesentliche Unterschiede in Bezug auf den Aufgaben- und Wirkungsbereich der Auditoren in den verschiedenen Organisationstypen. So sind staatliche Auditoren beispielsweise neben der Aufgabe unabhängige Bilanzprüfungen durchzuführen was ihnen mit öffentlichen Wirtschaftprüfern gemein ist weiters verpflichtet, nach Außen hin der höher gelagerten Prüfungskommission und der Unternehmensleitung Bericht zu erstatten. In meiner Funktion als Generalinspektor gehörte es zu meinen Pflichten halbjährlich dem Kongress und der allgemeinen Öffentlichkeit zu berichten, allein diese Aufgabe hat meine Prüfungstätigkeit von jenen im privaten Sektor beschäftigten Revisoren stark unterschieden. Aufgrund dieser Unterschiede und den verschieden gelegenen Stärken der Auditoren in den einzelnen Organisationstypen gebe ich meinen ehemaligen Kollegen aus dem staatlichen Bereich immer gerne den Rat ihren Schwerpunkt auf Risikoerkennung zu setzen. Des Weiteren empfehle ich die Erwartungen der verschiedenen Interessensgruppen (stakeholder) ständig im Auge zu behalten und in diesem Zusammenhang auch die Arbeitsgeschwindigkeit und -effizienz der eigenen Abteilung hervorzuheben. Darüber hinaus sollten auch Prüfungsansätze abseits der gebräuchlichen und weit verbreiteten Schemata, wie beispielsweise die Einführung von Aufgabenrotationen beim Personal, angewendet werden um einen besseren Einblick in die zu prüfenden Strukturen zu gewinnen und gleichzeitig auch das Ansehen der Innenrevision in den Augen der Öffentlichkeit zu stärken. Im übrigen dränge ich auch immer wieder darauf die Qualitätseigenschaften der Innenrevision, wie Fairness, Objektivität, Geduld, Einfühlungsvermögen, gesunder Menschenverstand, die starke ethische Orientierung, Aufrichtigkeit und vor allem Mut - herauszustreichen um somit sich selbst und der Berufsgruppe im Gesamten, besonders in diesen finanziell fortwährend angespannten Zeiten, ein besseres Image zu verleihen. Wertvolle Überlebenstipps für Revisoren im öffentlichen Sektor Die Experten die im öffentlichen Sektor mit der Prüfung bundesstaatlicher, regionaler, lokaler und anderer Regierungsorganisationen beschäftigt sind, sind im Gegensatz zu den meisten Auditoren des privaten Sektors, tagtäglich mit politischen Risikofaktoren konfrontiert, welche mit unter auch äußerst riskant im Hinblick auf deren Karriere sein kann. In Laufe meiner rund 25 Jahre andauernden Karriere im öffentlichen Sektor habe ich fünf wesentliche Dinge gelernt, um diese Risiken zu minimieren und trotzdem noch ein hochwertiges Audit durchzuführen: IIA 07 Institut für Interne Revision Audit Journal Seite 15

18 Vergessen Sie nie, dass Sie sich bei der Ausführung Ihrer Prüfungshandlungen mitten am Schauplatz der Politik befinden. Sie dürfen nicht vergessen, dass die Hauptakteure die sich in diesem Umfeld bewegen mehr oder weniger immer absolut von der Richtigkeit ihrer Entscheidungen überzeugt sind und daher auch ihre politischen Meinungen und Entscheidungen immer als vernünftig ansehen. Außerdem will gesagt sein, dass die Dauer einer politischen Karriere von der zeitweise mitunter auch stark schwankenden Meinung der Wählerschaft abhängig ist. Seien Sie sicher dass Ihr Glashaus bruchsicher ist, bevor Sie selbst den ersten Stein werfen. Revisoren die unermüdlich, den gängigen Praxen der Berufsgruppe folgend, ihre Ziele befolgen, ohne dabei die eigene Abteilung unter Kontrolle zu haben, sind schnell politischen Vergeltungsschlägen ausgesetzt. Auch wenn Sie 1000-mal richtig liegen, können Sie es sich zu keinem Zeitpunkt leisten auch nur ein Mal mit Ihrer Analyse daneben zu liegen ohne Ihre Glaubwürdigkeit dauerhaft zu gefährden. Ich habe von zu vielen Fällen gelesen oder gehört in welchen ansonsten ausgezeichnete staatliche Revisoren aufgrund eines einzigen Fehlers ihre Arbeit verloren oder zur Verrichtung minderer Tätigkeiten degradiert worden sind nachdem der Fauxpas in der Öffentlichkeit breit getreten worden ist. Glaubwürdigkeit ist eine wesentliche Eigenschaft eines jeden Auditors, einmal verloren ist diese schwer wiederzuerlangen. Auch wenn immer alle Analysen korrekt ausgeführt werden und im besten Interesse der Öffentlichkeit sind, ist es quasi unvermeidlich sich als Revisor im öffentlichen Sektor nicht irgendwann Feinde in der Politik zu machen. Aus den Medien kann man fast täglich mitverfolgen, dass ein staatlicher Auditor der Wut eines Mitglieds der Regierung ausgesetzt ist, weil diese/r nicht mit dem Ergebnis eines Prüfberichts einverstanden ist. Die kleinsten Steinchen können der Auslöser für eine Flutwelle sein. Politiker genauso wie die Öffentlichkeit selbst können kleinere Geldbeträge besser in Relation setzen als hohen Summen. Während meiner Tätigkeit als Generalinspektor bei der Tennessee Vallez Authority habe ich festgestellt, dass die Erkenntnis, dass ein leitender Angestellter mit ein paar tausend Doller aus der Betriebskasse sein Büro neu eingerichtet hat, eine Schlagzeile für jede lokale Zeitung ergibt. Dem gegenüber bleiben Meldungen über Millioneneinsparungen der Behörden durch effizientere Auftragvergaben ohne Beachtung, da die Journalisten wissen, dass die Bevölkerung derartig große und komplexe Informationen nicht nachvollziehen kann. Richard F. Chambers CIA, CGAP, CCSA President and Chief Executive Officer The Institute of Internal Auditors 247 Maitland Ave. Altamonte Springs, FL USA Nur weil Sie paranoid sind, heißt das nicht, dass man Sie in Ruhe lassen wird. Seite 16

19 Prüfleitfaden SAP ERP 6.0 Kapitel 9: Systemintegrität auf der Betriebssystemebene Kapitel 10: Kommunikations- und Netzsicherheit Von der deutschsprachigen SAP-Anwendergruppe wurde ein neuer Prüfleitfaden erarbeitet, welcher von der DSAG unter zum allgemeinen Download bereitgestellt wurde. Die SAP-Arbeitsgruppe des IIA Austria befasst sich im Rahmen einer Artikelserie mit den wichtigsten Punkten dieses neuen Leitfadens. Bisher sind im Audit Journal folgende Kapitel erschienen: Kapitel 3: Identifikation und Authentisierung - AJ 1/2010: Kapitel 5: Systemintegrität auf der Anwendungsebene - AJ 2/2010: Kapitel 4: Autorisierung - AJ 2/2011: 1 Systemintegrität auf der Betriebssystemebene Das Kapitel 9 beschäftigt sich mit der Authentisierung und Autorisierung in den Betriebssystemen UNIX und Windows. Da über das Betriebssystem die Installation und Konfiguration des SAP möglich sein muss, kann darüber auch auf alle Programme und Daten eines SAP-Systems, und zwar unabhängig vom Zugriffschutz in SAP, zugegriffen und diese damit auch geändert werden. Die Risiken entstehen dabei, weil Sicherheitsempfehlungen von SAP nicht umgesetzt wurden bzw. sicherheitsrelevante Einstellungen im Betriebssystem falsch gesetzt sind. Beispiele dafür sind, die Kennwörter von SAP- Systemusern auf Auslieferungsstandard zu belassen oder der Zugriff auf Betriebssystemebene ist schlecht konfiguriert und unzureichend abgesichert bzw. ist der Zugriff aus dem Netz auf vertrauliche Informationen oder ausführbare SAP-Programme möglich. Weitere Risiken ergeben sich daraus, dass Anmeldungen an das Betriebssystem nicht protokolliert und überwacht werden oder auch das Betriebssystem selbst hat eine bekannte Sicherheitslücke. Der Leitfaden liefert hier Checklisten sowohl für den Zugriff auf SAP unter dem Betriebssystem UNIX als auch für Windows. 1.1 Authentisierung und Autorisierung in Unix Für die Authentisierung unter UNIX muss vorab untersucht werden, ob angemessene Zugriffskontrollen eingerichtet sind. So gehört überprüft, ob auf das Betriebssystem wirklich nur die zuständigen Systemadministratoren und keine Benutzer aus Fachabteilungen Zugriff haben. In weiterer Folge sollte sichergestellt sein, dass für jeden User ein Passwort vergeben ist. Regeln zur Vermeidung der Verwendung trivialer Passwörter sollten umgesetzt sein. Hier gibt die Systemdokumentation des jeweiligen Herstellers Auskunft. Alle Anmeldungen am System, insbesondere fehlerhafte, müssen zur späteren Nachvollziehbarkeit protokolliert werden. Ein weiterer Aspekt betrifft die Zugriffsrechte auf die Verzeichnisse und Dateien. Grundsätzlich sollten diese Rechte nach dem Prinzip der minimalen Berechtigung vergeben werden um unbefugte Aktionen auf Betriebssystemebene zu verhindern und die Integrität der Systemund Datendateien des SAP-Systems nicht zu gefährden. Hier sind vor allem die Vorgaben von SAP zu beachten bzw. werden diese bei der standardmäßigen Installation von SAP bereits berücksichtigt. Das Network File System (NFS), ein Protokoll, das den Zugriff auf Dateien über ein Netzwerk ermöglicht, muss restriktiv und kontrolliert eingesetzt sein. Verzeichnisse mit vertraulichen Daten dürfen nicht exportiert werden. Aus Betriebssystemsicht sollten die Sicherheitshinweise des Herstellers bekannt und beachtet worden sein. Das System soll mit den freigegebenen Sicherheitspatches auf dem letzten Stand sein. Sofern vom System unterstützt, sollten Integritätsprüfungen der Systemdateien durchgeführt werden. IIA 07 Institut für Interne Revision Audit Journal Seite 17

20 1.2 Authentisierung und Autorisierung unter Windows Sollte das SAP-System statt auf UNIX auf einer Windows-Domäne installiert sein, gelten bzgl. der Risiken ähnliche Fragestellungen. Auch hier gilt das Prinzip der minimalen Berechtigung. Sollten nämlich zu weitreichende Rechte vergeben werden, wären unbefugte Aktionen auf Betriebssystemebene möglich, die die Integrität des SAP-Systems gefährden könnten. Vorerst ist abzuklären, ob das SAP-System auf dem Windows-Domänencontroller installiert ist. Die Empfehlung von SAP wäre, getrennte Domänen für das SAP-System anzulegen und zwar eine Domäne für Benutzer inklusive der SAP-Systembenutzer und eine weitere für die SAP-Server-Services und Administration. Auf den SAP-Servern in der Windows-Domäne sollten nur die Windows Standardgruppen sowie die SAP-System- und Datenbankgruppen registriert sein, während auf den lokalen SAP- Servern die lokalen Benutzergruppen bzw. User vorliegen. Den Administrationsusern einer Windows- Domäne gilt es besondere Beachtung zu schenken. So sollte der in Windows eingebaute Superuser-Administrator deaktiviert sein. Dem Benutzer <SID>ADM, das ist der Superuser für die SAP-Systemverwaltung, sollte nach Installation des Systems die Gruppenmitgliedschaft in den Gruppen Administrator und Domain Administrators entzogen und das Kennwort regelmäßig geändert werden. Weitere schützenswerte Benutzer sind dem Leitfaden zu entnehmen. Wie bei UNIX sollten auch unter Windows die Sicherheitshinweise des Betriebssystemherstellers beachtet werden und das System mit den Sicherheitspatches auf aktuellem Stande gehalten sein. 2. Kommunikations- und Netzsicherheit Das Kapitel 10 des Leitfadens beschäftigt sich mit der sicheren Installation und Verwendung von SAP Internet Transaction Server, SAPRouter und SAP Single Sign-On. 2.1 Internet Transaction Server Der SAP Internet Transaction Server (ITS) dient zur Darstellung von graphischen Anwendungsoberflächen als HTML-Seiten. Hierdurch benötigt der Benutzer lediglich einen Web- Browser statt einer Software wie dem SAP GUI (Graphical User Interface). Die Service-Dateien und die Dateien zur Steuerung der Anwendungen sind gegen unbefugten Zugriff zu schützen, da ansonsten das Risiko besteht, dass Angreifer aus dem Internet Lücken erkennen, ausnutzen und unbefugt zugreifen. An dieser Stelle gibt es den SAP-Hinweis Empfehlungen zur Sicherheit von ITS- Services der umgesetzt werden muss. In weitere Folge müssen die Administration und der Zugriff verschiedener Administratorfunktionen auf das ITS geregelt und restriktiv geschützt werden. Der WGate (Web-Gateway) verbindet den ITS mit dem Web-Server. Er erhält Anfragen vom Web-Browser über den Web-Server und leitet sie an das AGate (Anwendungs-Gateway) über TCP/IP weiter. Der WGate befindet sich auf derselben Maschine wie der Web-Server. Das AGate (Anwendungs-Gateway) wiederum verbindet den ITS mit dem SAP-System, indem es Anfragen des Web-Browsers vom WGate über den Web-Server erhält und mit dem Anwendungsserver kommuniziert. Die ITS- Komponenten Webserver, WGate und AGate müssen entsprechend implementiert werden, um nicht vertrauenswürdige von vertrauenswürdigen Netzsegmenten über eine DMZ (De- Militarized Zone) zu trennen. Zwischen WGate und AGate sollte eine physische Trennung implementiert sein, die Kommunikation zwischen Webbrowser und WGate, WGate und AGate sowie AGate und SAP Web Application Server muss verschlüsselt von statten gehen. Die Benutzeranmeldungen über den ITS am Web Application Server bedürfen einer starken Authentisierung. 2.2 SAPRouter Der SAPRouter muss, als Zwischenstation (Proxy) in einer Netzwerkverbindung zwischen SAP-Systemen oder einem SAP-System und der Außenwelt, sicher konfiguriert werden. Er dient dazu den Zugang zum Netzwerk zu regeln. Ohne den SAPRouter wäre ein direkter Zugriff aus einem nicht vertrauenswürdigen Netzsegment auf einen SAP Web Anwendungsserver möglich. Seite 18