Lösungen

Bei der Jahresabschlussprüfung soll eine IT-Prüfung eine Übersicht über die im Hinblick auf die Rechnungslegung relevanten Systeme und die in der IT-genutzten Kontrollverfahren vermitteln. Eine Beurteilung auf der Basis der Prüfungsstandards des IDW kann die die diesbezügliche Prüfungsicherheit gewährleisten.


Prüfung von IT-Systemen im Rahmen der Jahresabschlussprüfung bei Mittelstandsunternehmen und ggf. unter Berücksichtigung der MaRisk und BAIT im Bankenumfeld. Identifikation wesentlicher Anwendungsprogramme, die für die Rechnungslegung eingesetzt werden. Analyse und Prüfung relevanter Kontrollverfahren, insbesondere

• Übersicht über die für die Rechnungslegung relevanten Systeme:
• Hard- und Software,
• Nutzung der Cloud und E-Commerce/Web-Shop etc.,
• Einsatz von KI-Systemen und etablierte Kontrollen,


• Verfahren für die Pflege von Anwendungssystemen:
• Konzept, Aufwandsschätzung, Genehmigung (organisatorische Verfahren und Kontrollen, Abstimmung mit der Fachabteilung),
• Umsetzung, Test und Dokumentation (Nachvollziehbarkeit der Entwicklung),
• Freigabe und Abnahme von Programmänderungen, Produktivsetzung (Nachvollziehbarkeit der unveränderten Produktivsetzung und des Systemeinsatzes),


• Pflege und Überwachung der Systemumgebung
• Patch-Management, Systemupdates für Server und Client-PCs (z.B. Auswertung der in Windows installierten Patches),
• Überwachung der Systemumgebung, insbesondere Auswertung von Betriebssystem und Firewallprotokollen,
• Analyse von Art und Umfang der Protokollinformationen,


• Zugriffsschutz auf Anwendungs- und Systemebene
• Analyse des Berechtigungskonzept auf der Basis der Arbeitsplatzbeschreibung bzw. der jeweiligen Mitarbeiterverantwortung, Auswertung von Kompetenzregeln,
• Formale Verfahren für die Einrichtung von Benutzerkonten und entsprechenden Berechtigungen, Genehmigung durch Vorgesetzten, Dokumentation und Archivierung,


• Datensicherung, Rücksicherung und Archivierung
• Umfang der Datensicherungen, z.B. hinsichtlich der Anwendungsprogramme selbst, der Anwendungsdaten, Daten in Datenbanken, Sicherung der Systemumgebung, Notfallsicherungen,
• Art der Sicherung (voll, inkrementell, differenziell),
• Häufigkeit der Datensicherung (täglich, monatlich, jährlich, Archivsicherungen etc.),
• Überwachung der Datensicherung hinsichtlich Fehlern,
• Analyse der Recovery Time Objective / Recovery Point Objective, RPO- / RTO-Definition
• Test der Wiederherstellung, einzelner Datenbestände, eines kompletten Systems etc.
• Archivsicherungen und Aufbewahrungsfristen,


• Physische Sicherheit und Notfallmaßnahmen
• Zugang zu Rechnerräumen, Datensicherungsarchiven, Etagen-IT-Verteilern etc.,
• Schlüsselverwaltung,
• Datenträgerverwaltung (wo werden Sicherungsbänder gelagert etc.),
• Notfalltests und Dokumentation.

• Arbeitspapiere mit der Dokumentation des Prüfungsvorgehen,
• Managementpräsentation und
• Prüfungsbericht