Alle Zusammen
ALle Zusammen
ALle Zusammen
-
- 1 / 300
-
Flashcards
- Genehmigungen - PrŸferische Durchsicht - physische Kontrollen etc.
Kontrollen nach persšnlichem Ermessen oder gestŸtzt auf GeschŠftsreglemente
Hierunter versteht man u.a. Authentisierung durch Passwšrter, Kontrollsummen etc
Damit das IKS ein wirkungsvoles Intrument darstellt, sind sachdienliche Informationenen zu identifizieren, zu erfassen und zu kommunizieren. Hierzu muss der PrŸfer ein VerstŠndnis des rechnungslegungsbezogenenen Informationssystems gewinnen
Hierbei ist die †berwachung bzw. Nachschau des IKS durch die Verantwortlichen gemeint. Folgende Punkte sind durch den AbschlussprŸfer zu klŠren: - An wen wurde die †erwachnung des IKS delegiert - Wird das IKS durch die interne Revision geprŸft? - FŸhrt die Unternehmensleitung spontane Kontrollen durch?
1. /Manuelle) GeschŠftsprozesse --> manuelle Anwendungskontrollen 2. (Automatisierte GeschŠftsprozesse = IT-Anwendungen --> automatisierte Anwendungskontrollen 3. IT- Basissysteme --> GITC 4. IT-Infrastrukktur --> GITC
BeschŠftigt sich primŠr mit den Schichten GeschŠftsprozesse und IT-Anwendungen: 0. Analyse von Bilanz und Erfolgsrechnung 1. Identifikation der GeschŠftsprozesse und DatenflŸsse 2. Identifikation der Kernanwendungen und der wichtigsten IT-relevanten Schnittstellen 3. Identifikation der Risiken und SchlŸsselkontrollen 4. Walkthrough 5. Beurteilung des Kontroll-Designs 6. Beurteilung der Wisksamkeit der Umsetzung der Kontrollen 7. Gesamtbetrachtung Die Schritte 0.-3 gehšren zu Panung und Risikoidentifikation Die Schritte 4.-5. zur Strategie und Risikobeurteilung
Dies erfolgt Ÿblicherweise in drei Schritten: '- Erstellen der Landkarte der Kernanwendungen - Inventarisierung und Kategorisierung der finanzrelevanten IT-Anwendungen - Darstellung der Informationen
Risiken und entsprechende Kontrollen kšnnen auf allen vier Schichten vorliegen.
Standardanwendungen weisen in der Regel eine Vielzahl integrierter Kontrollen auf. Im Minimum muss der PrŸfer sicherstellen, dass - die relevanten Kontrollen existieren und zur Anwendung kommen - Anwendungsparameter korrekt sind - GITC Ÿber die gesamte PrŸfperiode effektiv waren.
Standardanwendungen, welche durch Customizing und individuelle Zusatzprogrammierung eine stark kundenspezifische AusprŠgung erhalten kšnnen
- Standardanwendungen - Stark angepasste Standardanwendungen - Eigenentwicklungen
Es ist sicherzustellen, dass - die identifizierten Risiken vollstŠndig erfasst werde - die festgelegten Kontnrollziele mit den Kontrollen tatsŠchlich erreicht werden kšnnen - die Kontrollrisiken und damit das Risiko wesentlicher falscher Darstellungen verringert werden kšnnen - PrŸfansatz wirtschaftlich ist
Der Test der Wirksamkeit der Kontrollen (FunktionsprŸfung) umfasst die Beurteilung, ob eine Kontrolle gemŠss ihrem Design funktioniert und ob sie tatsŠchlich, vollstŠndig und korrekt durchgefŸhrt wurde.
PS 330: - Befragungen - Inaugenscheinnahme - Beobachtung
- Einmaltest (Test of one) - Direktes Testen - Baselining/Benchmarking - Datenanalyse
Bei effektiven generellen IT-Kontrollen muss eine automatische Kontrolle prinzipiell nur einmal getestet werden. Achtung: Falls die Kontrolle verschiedene Arten von Transkationen unterschiedlich unterschiedlich behandelt, so muss fŸr jede einzelne Transaktionsart ein separater Test of one durchgefŸhrt werden.
Ziel ist es, in Folgeperioden auf FunktionsprŸfungsen verzichten zu kšnnen. --> Man stŸtzt sich auf vorherige Perioden ab. Voraussetzungen: - GITC effektiv - Keine €nderungen an der Anwendungskontrolle
Die Wirksamkeit der Anwendungskontrolle wird mittels computergestŸtzter Analyse von Anwendungsdaten geprŸft.
- Zugriff auf Programme und Daten (Access to programs and data) - ProgrammŠnderungen (program changes) - Programmentwicklung (program development - Betrieb der IT (computer operations)
Das Management hat Kontrollen aufgestellt, um das Risiko eines nicht authorisierten Zugriffs auf rechnungslegungsrelevante Informationssysteme zu reduzieren. Beispiele: - Berechtigungsadministration - Physischer Zugriff
Management hat Kontrollen aufgestellt, um festzulegen, dass €nderungen an bestehenden Systemen authorisiert, getestet, ordnungsgemŠss eingerichtet und dokumentiert werden.
Das Management hat Kontrollen aufgestellt, um festzulegen, dass neu angeschaffte oder entwickelte Systeme authorisiert, getestet, genehmigt und ordnnungsgemŠss eingerichtet werden.
Das Management hat Kontrollen aufgestellt, um festzulegen, dass die Verarbeitung von Informationen durch die Systeme angemessen authorisiert und geplant sind und Abweichungen von der geplanten Verarbeitung identifiziert und geklŠrt werden.
Anwendungskontrollen kšnnen nur durch direktes Testen oder durch Datenanalyse gepŸft werden.
- Handelt es sich um GITC-Feststellung mit direktem Einfluss auf Anwendungskontrolle? - Kšnnen die IT-Risiken durch andere GITC abgedeckt werden? - Kšnen anstelle der Anwendungskontrollen andere kompensierende manuelle Kontrollen getestet werden (HLC / PLC)
- Das Gesetz verlangt in Art. 728a Abs. 1 Ziff. 3 OR bei der ordentlichen Revision eine PrŸfung der Existenz des IKS - Die Implementierung und Aufrechterhaltung eines angemessenen IKS ist eine originŠre Aufgabe des Verwaltungsrates
Die Revisionsstelle prŸft hŠhrlich einmal die Existenz des IKS fŸr die finanzielle Berichterstattung und erstattet darŸber Bericht an die Generalversammlung. Desweitern erstattet der AbschlussprŸfer dem Verwaltungsrat im umfassenden Bericht, indem auch die Feststellungen Ÿber das IKS festgehalten sind.
Voraussetzung einer IKS-ExistenzbestŠtigung ist, dass - das vom VR definierte IKS vorhanden und ŸberprŸfbar ist - es den GeschŠftsrisiken und der GeschŠftstŠtigkeit angepasst ist - es den zustŠndigen Mitarbeitern bekannt ist und angewandt wird - ein Kontrollbewusstsein im Unternehmen vorhanden ist.
Auf SchlŸsselkontrollen, die fŸr die finanzielle Berichterstattung relevant sind.
SchlŸsselkontrollen gemŠss PS 890 sind Kontrollen, die darauf ausgerichtet sind, wesentliche falsche Darstellungen in der finanziellen Berichterstattung zu verhindern oder aufzudecken
Der AbschlussprŸfer hat die Existenz der Kontrollen auf Unternehmensebene inkl. Der GITC jedes Jahr zu prŸfen. Die Existenz der Kontrollen auf Prozessebene, falls darin bedeutsame Risiken enthalten sind. Sofern andere SchlŸsselkontrollen rotiert werden, ist sicherzustellen, dass seit der letzten PrŸfung keine wesentlichen €nderungen der KontrollaktivitŠten und den Rahmenbedinungen des Unternehmens eingetreten sind. Der maximale Rotationsysklus ist in der Regel 3 Jahre.
- Durchsicht der Dokumentation - Befragung - Beobachtung - †berprŸfung - Wurzelstichproben (Walk through Tests)
PrŸfung auf Unternehmensebene: - Durchsicht Richtlinien zur Corporate Governance - Befragung Mitglieder VR, GL, PrŸfungsausschuss PrŸfung auf Prozessebene: - Durchsicht von Prozessdokumentationen - Befragung von Prozessverantwortlichen - Beobachtung von im Prozess involvierten Mitarbeitern
- IKS wird bejaht - IKS wird mit EinschrŠnkung bejaht - IKS wird verneint
Im umfassenden Bericht sind die Feststellungen in Bezug auf das IKS darzulegen. Ziel ist es, Verbesserungsmšglichkeiten im IKS darzulegen oder auf gewisse MŠngel in der Umsetzung hinzuweisen.
- IKS ist in keiner Weise den Risiken des Unternehmens angepasst - In allen wesentlichen Bereichen keine schriftliche Dokumentation des IKS - IKS wurde in allen wesentlichen Bereichen nicht umgesetzt
IKS existiert im Ÿberwiegenden Teil der Prozesse, gewisse okumentationen fehlen oder Anwendung ist nicht lŸckenlos
- Kontrollen auf Konzernebene - Kontrollen betr. Konsolidierungsprozess - Kontrollen bei den einzelnen Unternehmensteilen
Bei der Auswahl der Teilbereiche, bei welchen die Existenz der IKS zu berŸcksichtigen ist, berŸcksichtigt der KonzernprŸfer folgendes: - bedeutende Positionen des Abschlusses des Teilbereichs (WesentlicheitsŸberlegungen) - Beurteilung ob im Teilbereich Prozesse enthalten sind, welche fŸr den Konzern bedeutend sind (z.B. Treasury) - Beachtung Risikobeurteilungsprozess der Unternehmung