IT Audit

Der Inahlt des Berichts muss vom geprüften Bereich akzeptiert werden. 

• Inhaltliche Korrektheit der Feststellung
• Wording für geprüften Bereich akzeptabel
• Fristen für Behebung machbar
• Zuordnung Verantwortlichkeit für Feststellung und Behebung korrekt

Entity Level Controls

Die Kontrollen auf Unternehmensebene sind interne Kontrollen, die dazu beitragen, dass die für das gesamte Unternehmen geltenden Management-Richtlinien eingehalten werden.

• Monitoring
• Information und Kommunikation
• Kontrollaktivitäten
• Risikobeurteilung
• Kontrollumgebung

Automated Application Controls

Automatisierte Prozesse die geprüft werden können (Interfaces, Reports etc.)

IT General Controls

Allgemeine IT-Kontrollen (ITGC) sind Kontrollen, die sich auf alle Systeme, Komponenten, Prozesse und Daten für eine bestimmte Organisation oder eine IT-Umgebung (IT) beziehen. Die Ziele der ITGCs sind die Sicherstellung der ordnungsgemäßen Entwicklung und Implementierung von Anwendungen sowie der Integrität von Programmen, Dateien und Computeroperationen.

• Access to Programs & Data 
• Program Changes
• Program Development
• Computer Operations (Backup, Job Processing, Incident Mgmt)

End User Computing

Sind Daten die aus die aus Applikationen stammen, in denen der User sie manipulieren könnte (Excel usw.).

Manual Controls

Eine Kontrolle die ohne IT Bezug stat findet.

• Interviews mit der Geschäftsleitung / Top Management
• Inspektion von Strategiedokumenten, internen Weisungen und Richtlinien

1. Die Risikobeurteilung identifiziert hoch, mittel und teife Risikobereiche
2. ELCs können gewisse Risikos mitigieren, reduzieren die Notwendigkeit für ein detailiertes "transaction level"testing (Jede Buchung wird einzeln angeschaut)
3. Übrig bleiben die hoch Risikoberieche, denen mehr Aufmerksamkeit gegeben werden muss.

What could go wrong

Eingabekontrollen

• Input Autorisierung
• Batch Kontrollen (Summentotalt, Anazahl Zeilen, Hash Total)
• Exception Reporting (Flagging von bestimmten transaktionen)

Verarbeitungskontrollen

• Datenvalidierung
• Programmprüfungen (Nachkalkulation)
• Abstimmung (Vollständigkeit der Daten zweier Systeem)
• Exception Reporting (Nachverfolgung von fehlern)

Ausgabekontrollen

• Logging und Archiving
• Reportverteilung

Vollständigkeit

Genauigkeit

Existenz

ITGCs stellen sicher / unterstüzen, dass die AAC(Prozess Level Kontrollen) immer funktionieren. 

Inspection

Observation (Betrachtung von Transaktionen, Dokumenten oder physischen Assets)

Inquiry (Interviews mit Bestätigung des gesagten in zusätzlichen Dokumente)

Computation (Nachrechenen von kontrollen)

Analytical procedures (Vorjahresvergleich, Plaubilisierung mi Drittinformationen)

Ergebnisorientierte Prüfungen orientieren sich am Resultat, in der Regel an konkreten Zahlen, während verfahrensorientierte Prüfungen bestätigen, dass ein Prozess robust genug ist, um das Resultat herzustellen. 

Wirkung: detektiv / präventiv

Ausführungsart: manuell / automatisch / halbautmatisch

Häufigkeit der Ausführung: jähtlich, monatlich, quartalsweise, halbjährlich, wöchentlich, täglich, bei Bedarf

• Menschliche Komponente -> schwieriger einzuschätzendes Kontrollrisiko, abhängig von 
  • Kompetenz 
  • Objektivität des Kontrolldurchführenden
• Verschiedene Kontrolldurchführende können zu "Qualitätsschwamkungen" führen
• Die operationelle Effektivität muss i.d.R. mit Stichproben geprüft werden

Kontrollbeispiel:

Jede IT Änderung wird auf einem Papierformular schriftlich vom Business und vom IT Verantwortlichen bewilligt, bevor sie in die Produktionsumgebung eingespielt wird.

• Kontrollausführung erfolg automatisiert - Fehlerrisiko i.d.R. geringer
• Wir die Kontrolle einmal als korrekt geprüft, so funktioniert sie immer gleich
• Sofern die sie unterstüzenden ITGCs richtig funktionieren
• und in der Prüfperiode keine Änderungen and der Kontrolle vorgenommen wurden
• Operationelle Effektivität kann mit einem "Test of One" geprüft werden

Kontrollbeispiel:

Das System berechnet monatlich die Kontogebühren aufgrund der vereinbarten Zinssätze und belastet diese jedem einzelnen Kunden

Intern

• Internal Audit
• Operative Überwachung
• IT Controlling

Extern

• Big 4 
  • Finanzprüfung
  • Regulatorische Prüfung
• Zertifizierungen 

Regulatorisch

• Staat 
• Behörden
• FINMA

• Systemfunktionalität
• Systemintegrität
• IT Security
• IT Governance
• Externe Perspektive
• Risikoanalyse
• Stresstest
• Testing (UAT)

Kennzeichnung der Eventualität, dass mit einer Wahrscheinlichkeit ein Schaden bei einer Entscheidung eintritt oder ein erwarteter Vorteil ausbleiben kann - Gabler Wirtschaftslexikon

• AD Ausfall 
• Datenintegrität
• Fehlbedienung
• Systemänderungen
• Phishing
• Naturgewalten
• Access Management
• Systemausfall
• usw.

• Risikobasiert
• Zwecksorientiert
• Klar definierte Kontrollziele
• einen oder mehrere Adressaten
• Haben einen festgelegten Prüfzeitraum und eine Deadline
• Faktenbasiert
• Für Dritte nachvollziehbar dokumentiert

Die IT-Governance liegt in der Verantwortung der Führungskräfte und des Vorstands und besteht aus der Führung, den Organisationsstrukturen und den Prozessen, die sicherstellen, dass die IT des Unternehmens die Strategien und Ziele der Organisation aufrechterhält und erweitert.

COSO ist ein Kontrollmodell, dass der Dokumentation, Analyse und gestaltung des interenen Kontrollsystem deint. Es befähigt Führungskräfte wirksam mit Unsicherheiten und den damit eingehenden Riskien und Chancen umzugehen und hierbei ihre Fähigkeit zu Wertschöpfung zu stärken (unternehmensweites Risikomanagement). COSO unterteilt die festgelegte Mission oder Vision eines Unternehmen in vie Kategorien:

• Strategische Ziele - übergeordnete Ziele, die mit der Mission abgestimmt sind und diese unterstützen
• Betriebliche Ziele - wirksamer und wirtschaftlicher Ressourceneinsatz
• Berichterstattung - Zuverlässigkeit der berichterstattung
• Regeleinahaltung - Einhalten anwendbarer Gesetze und Vorschriften

Die vier Kategorien werden in acht Komponenten unterteilt, welche wiedergeben, was nötig ist um die Mission zu erreichen:

• Internes Umfeld - Kultur einer Unternehmung (Risikobereitschaft usw.)
• Zielfestlegung - Um Ereignisse festzulegen die zur Erreichung der Mission beitragen
• Ereignisidentifikation -. die das Erreichen der Ziele einer Organisation beeinflussen oder unterstüzen identifizieren
• Risikobeurteilung - Inherent und Residual Risk
• Risikosteuerung - Wie soll mit Risiken umgegangen werden (Vermeiden, Annehmen, Verringern / Teilen)
• Kontrollaktivitäten - Vorschrifften und Verfahren
• Information und Kommunikation 
• Überwachung

Diese werden dann pro Organisationseinheit angewandt: 

• Subsidiary
• Business Unit
• Division
• Entity-Level

COBIT ist ein international anerkanntes Framework zur IT-Governance und gliedert die Aufgaben der IT in Prozesse und Control Objectives . COBIT definiert hierbei nicht vorrangig wie die Anforderungen umzusetzen sind, sondern primär was umzusetzen ist.

COBIT hat fünf Prinzipien:

• Erfüllung der Anforderungen der Anspruchsgruppen
• Abdeckung des ganzen Unternehmens
• Anwendung eines einheitlichen, integrierten Rahmenwerkes
• Ganzhetilcher Ansatz
• Klare Unterscheidung zwischen Governacne und Management

Prozesslandkarte für

• Governance (5 Prozesse) - Domäne: Evaluieren, Vorgeben und Überwachen
• Manageemnt der Unternehmens-IT (32 Prozesse) Domänene:
  • Anpassen, Planen und Organisieren
  • Aufbauen Beschaffen und Implementieren
  • Bereitstellen, Betreiben und Unterstützen
  • Überwchen, Evaluieren und Beruteilen

ITIL, ISO 20000, PRINCE 2, PMP

IT-Startegie ist die Disziplin die definiert, wie die IT im Unternehmen genutzt wird um zu gewinnen (Erfolg zu haben).

Strategisch

Taktisch / Administrativ 

Operativ

Information Systems Audit and Control Association

.. ist ein unabhängiger globaler Berufsverband für IT-Revisoren, Wirtschaftsprüfer sowie Experten der Informationssicherheit und IT-GOvernance. Die ISACA unterstüzt ihre Mitglieder durch Angebote zur Aus- und Wieterbildung sowie die Entwicklung, Einführung und nutzung von weltweit anerkannten Fachkenntnissen und Methoden

Support (Café, Bauernhof)

• Analyse der Veränderunge der strategischen Relevanz der IT (Veränderung der Chancen pder Risiken im Zeitablauf)
• Monitoring der IT-Aktivitäten der Wttbewerber
• Kosteneffiziente Steuerung der IT-Budgets (Vermeidung von unnötigen Innovationen)

Umstrukturierung (Cloudmigration)

• Sicherstellung des finanziellen Budgets zur Nutzung der Innovationspotenziale der IT
• Aufstockung des IT-Personals zur Nutzung der Chance
• Veränderung der organisatorischen Einordnung der IT in die Unternehmensorganisation

Strategische Ausrichtung (High Frequency Trader)

• Permanente Abstimmung der IT-Strategie mit der Unternehmensstrategie
• Analyse der Innovationsfähigkeit der IT-Systeme
• Herstellung von Transparenz über die IT-Performance der Wettbewerber

Abarbeitung / Fabrikmodus (Hotel Software für Check-In)

• Gewährleistung der Ausfallsicherheit durh redudante IT-Systeme und Datenahltung
• Gewährleistung der Datensicherheit durch Vermeidung von Angriffen von aussen. 

Wie wichtig ist die IT für den Erfolg der Organisation? 

Welche strategische Rolle spielt die IT in der Organisation?

Wer nutzt die IT

Werden schützenswerte Daten durch IT Systeme gespeicehrt/geschützt?

Sind die Verantwortlichkeiten über die IT und entsprechende Entscheidungsgewalten in der Qrganisation eindeutig definiert?

Wie stark ist die Verbindung und das Alignemtn zwischen Business und IT?

• Digitale Infrastruktur
• Anwendungen
• Fachwissen & qualifizierte Mitarbeiter
• Breite Akzeptanz
• Nutzen & Mehrwert
• Definierte / gelebte Regeln

Positiv:

• Effizienz
• Digitale Information
• Kundenerlebnis
• Jobs in der IT
• Fehlerreduktion
• Planbarkeit
• Überwachung
• Transparenz

Negativ:

• Abhängigkeit von Technologie
• Datensicherheit
• Rationalisierung von Arbeitsplätzen
• Weniger Jobs???

Die digitale Transformation kann sich auf alles beziehen, von der IT-Modernisierung (z.B. Cloud Computing) über die digitale Optimierung bis hin zur Erfindung neuer digitaler Geschäftsmodelle. Der Begriff wird in öffentlichen Organisationen häufig verwendet, um bescheidene Initiativen wie die Online-Bereitstellung von Diensten oder die Modernisierung von Legacy-Systemen zu bezeichnen. 

Ziel einer Abschlussprüfung ist die Abgabe eines Urteil darüber, ob der Abschluss in allen wesentlichen Punkten den anzuwendenden Rechnungslesungsnormen entspricht.

Durch die Abschlussprüfung soll mit angemessener Sicherheit festgestellt werden, dass der Abschluss keine wesentlichen Fehlaussagen enthält (material Missstatments).