KSB 315: IT-Nachweise für das Audit

IT-Systeme als Quellen von Finanzdaten

KSB 315 (2022 überarbeitet) betrifft die Identifizierung und Beurteilung von Risiken wesentlicher falscher Darstellungen im Abschluss. Laut PIBR gilt er für Berichtszeiträume ab dem 1. Januar 2023; frühere Anwendung ist zulässig. Die Bewertung von IT-Systemen und Kontrollen liefert Prüfungsunterlagen und ersetzt weder das Urteil des Prüfers noch den Bestätigungsvermerk.

Wie IT die Abschlussprüfung unterstützt

IT zeigt, ob Finanzdaten vertrauenswürdig sind. Der Prüfer muss Quellsysteme, Zugriffsrechte, Änderungen, Backups, Protokolle, Integrationen und manuelle Umgehungen verstehen. Nach KSB 315 können schwache IT-Kontrollen den Prüfungsumfang erhöhen, daher müssen die Nachweise vor dringenden Rückfragen vorbereitet sein.

Warum IT Teil der Finanzprüfung ist

KSB 315 ist ein polnischer Prüfungsstandard zur Identifizierung und Beurteilung von Risiken wesentlicher falscher Darstellungen. Der Abschlussprüfer bestimmt relevante Anwendungen, IT-Risiken und zugehörige Kontrollen. Der Standard verlangt keine einheitliche Prüfung jedes IT-Werkzeugs.

• Datenquellen, Flüsse zwischen Systemen, Berechtigungen und manuelle Prozessumgehungen werden überprüft.
• Änderungskontrollen, Backups, Verwaltungsprotokolle, Rollentrennung und Abgleichshistorie sind wichtig.
• Schwache IT-Kontrollen können andere oder zusätzliche Prüfungshandlungen erfordern. Fehlende ausreichende geeignete Nachweise können das Prüfungsurteil beeinflussen; dies beurteilt der Abschlussprüfer.

Neue Herausforderungen bei der Abschlussprüfung

Durch Automatisierung, Cloud-Arbeit, E-Commerce-Integration, verteilte Tabellenkalkulationen, Fernzugriff und externe IT-Anbieter ergeben sich neue Herausforderungen bei der Finanzprüfung. Gleichzeitig liefern gut organisierte Systeme dem Prüfer bessere Nachweise: Änderungshistorie, Abnahmeprotokolle, Protokolle, Backup-Berichte und konsistente Datenquellen.

Was den Prüfer am häufigsten interessiert

Der Abschlussprüfer benötigt nachvollziehbare Angaben zu Datenquellen, Änderungsrechten, relevanten Kontrollen und Nachweisen ihrer Ausführung.

Nachweispaket für die Finanzprüfung

Das Nachweispaket soll Zeitraum, Quelle, Umfang, Verantwortliche und bekannte Lücken jeder Kontrolle nennen. Es erleichtert die Bewertung, garantiert aber weder kürzere Prüfungen noch ein bestimmtes Prüfungsurteil.

• Karte der Quellsysteme: Buchhaltung, ERP, Vertrieb, Lager, Personalwesen, Bankwesen, E-Commerce und Integrationen.
• Rollen- und Berechtigungsmatrix mit fachlich verantwortlicher Person, Überprüfungsdatum und Liste der privilegierten Konten.
• Register der Änderungen in der Konfiguration wichtiger Anwendungen mit Genehmigung des Prozessinhabers.
• Nachweis der Sicherung und Wiederherstellung berichtsrelevanter Daten, einschließlich RTO, RPO und Testergebnis.
• Manuelle Abläufe: Exporte in Tabellenkalkulationen, Importe, Korrekturen, Abstimmungen und Versionskontrolle.
• Korrekturplan für Feststellungen, die vor Beginn der Prüfung nicht behoben werden können.

Entscheidungen, die nicht bis zum Prüfungsende verschoben werden sollten

Die schwierigsten Audit-Fragen entstehen, wenn nicht bekannt ist, wer für Daten, Berechtigungen oder eine Änderung im System verantwortlich ist. Es lohnt sich, diese vor der Übergabe des Nachweispakets zu klären.

• Datenverantwortlicher: bestätigt, dass das System die Datenquelle für einen bestimmten Finanzprozess ist.
• Zugriffsverantwortlicher: akzeptiert Rollen, privilegierte Konten, Ausnahmen und Aufgabentrennung.
• Änderungsverantwortlicher: genehmigt eine Konfiguration, Integration, einen Patch oder eine manuelle Prozessumgehung.
• Backup-Verantwortlicher: bestätigt, dass die Wiederherstellung die für die Berichterstellung erforderlichen Daten enthält.
• Planverantwortlicher: schließt Empfehlungen nach der Prüfung und berichtet dem Vorstand über Fortschritte.

Wann lohnt es sich, einen externen IT-Partner zu engagieren?

Ein IT-Partner stimmt technische Begriffe, Umfang und Nachweisquellen mit Finanzteam und Prüfer ab. Prozessverantwortliche bestätigen weiterhin Daten und Entscheidungen; technische Unterstützung ersetzt ihre Beteiligung nicht.

Wie fangen wir an?

Wir legen zunächst kurz den Umfang fest: Welche Systeme generieren Finanzdaten, wer ist Prozessverantwortlicher, welche Fragen hat der Prüfer gestellt und welche Nachweise liegen bereits vor. Anschließend erstellen wir eine Liste der Mängel, Prioritäten, Verantwortlichen und einen Plan zum Sammeln oder Verbessern von Materialien.

IT-Risikokarte gemäß KSB 315

Eine kompakte Risikolandkarte sollte jeden Finanzprozess mit der zugehörigen Anwendung, dem Verantwortlichen, der Kontrolle und ihrem Nachweis verknüpfen. Dadurch stützt sich das Gespräch mit dem Prüfer auf überprüfbares Material statt auf bloße Erklärungen.

• Keine Rollentrennung in Buchhaltung, Vertrieb oder Lager.
• Konfigurationsänderungen ohne Genehmigung des Prozesseigentümers.
• Tabellenexporte ohne Versionskontrolle und Freigabe durch Datenverantwortliche.
• Ehemalige Mitarbeiterkonten oder gemeinsame Administratorkonten.
• Sicherung ohne Wiederherstellungstest von Daten, die für die Berichterstellung wichtig sind.

So bereiten Sie die Umgebung vor einem Audit vor

Vorhandene Nachweise für den geprüften Zeitraum sichern. Lücken, Einführungsdaten neuer Kontrollen und Maßnahmen dokumentieren. Neu erstellte Unterlagen nicht als Nachweis früherer Kontrollausführung darstellen. Dringende Risiken zeitnah behandeln.

• Identifizieren Sie die Anwendungen und Datenbanken, die wichtige Finanzdaten generieren.
• Bereiten Sie eine Liste der Administratoren, fachlich Verantwortlichen und privilegierten Konten vor.
• Exportieren Sie Zugriffsüberprüfungen, Änderungsprotokolle, Backup-Zeitpläne und Wiederherstellungstestergebnisse.
• Beschreiben Sie manuelle Anpassungen, Integrationen und den Ort, an dem Daten zwischen Systemen verschoben werden.
• Bestimmen Sie den Verantwortlichen jedes Risikos und die Frist für den Abschluss der Empfehlung.

Wo ISO 27001 und TrustGuard helfen

Unterlagen aus ISMS und TrustGuard können unterstützen, wenn Umfang und Zeitraum zur Prüfung passen. Eine Zertifizierung ersetzt weder Nachweise zur tatsächlichen Ausführung einzelner Kontrollen noch das Urteil des Abschlussprüfers.

Wie sieht der Virtline-Support aus?

Wir fungieren als technischer Partner für Wirtschaftsprüfer, Vorstand und Finanzabteilung. Wir übersetzen IT-Risiken in die Sprache der Kontrolle, sammeln Nachweise und weisen auf Maßnahmen hin, die das Risiko von Datenfehlern tatsächlich reduzieren. Wir stützen uns auf Erfahrungen aus Audits, der Wartung von IT-Umgebungen und unserem eigenen, vom TÜV NORD zertifizierten Informationssicherheitsmanagementsystem ISO/IEC 27001:2022. Wir kombinieren Wissen über Systemwartung, Cybersicherheit, Backup, ISO 27001, KSB 315 und praktische Nachweise, sodass das Finanzteam technische Einstellungen nicht selbst in die Sprache der Kontrolle übersetzen muss.

• Wir dokumentieren Kontrollen, Verantwortlichkeiten, Ausnahmen und Nachweise so, dass Wirtschaftsprüfung, Finanzteam und IT mit demselben Sachstand arbeiten.
• Dank unserer langjährigen Erfahrung erkennen wir, welche Lücken für Ihre Finanzdaten entscheidend sind und welche in einem priorisierten Umsetzungsplan behoben werden können.
• Praktische Audit- und Pentest-Erfahrung bietet Einblick in Systeme, Zugriffe, Backups und technische Risiken.
• Das TrustGuard-Programm unterstützt die Diskussion über Vertrauen und geordnete Kontrolle in Organisationen, die anspruchsvolle Kunden bedienen.
• Nach dem Audit können wir die Kontrollen im IT-Outsourcing-Modell aufrechterhalten, anstatt dem Kunden eine einmalige Empfehlungsliste zu überlassen.

Was der Kunde nach der Arbeit bekommt

Wir liefern eine Übersicht über Systeme, Risiken, Kontrollen und Nachweislücken mit Maßnahmenverantwortlichen. Dringende Lücken bei Zugriff, Backup und Vorfallreaktion zeitnah behandeln. Prüfungen nach 30/60/90 Tagen verfolgen den Fortschritt und verschieben keinen Basisschutz.

• Liste der für Finanzdaten relevanten Systeme mit ihren Verantwortlichen und Abhängigkeiten.
• Tabelle der ITGC-Risiken und Anwendungskontrollen im Zusammenhang mit Rechnungslegungsprozessen.
• Liste fehlender oder schwacher Nachweise: Protokolle, Genehmigungen, Backup-Tests, Änderungen, Zugriffsüberprüfungen.
• Prioritätsempfehlungen, die zwischen schnellen Maßnahmen, Prozessänderungen und Projektarbeiten unterscheiden.
• Materialien für den Prüfer: technische Antworten, Umfang der Nachweise und Entscheidungsträger.

Wann lohnt es sich anzufangen?

Am besten vor Beginn der eigentlichen Prüfung oder vor der Einführung eines neuen ERP-, Buchhaltungs-, Data-Warehouse- oder E-Commerce-Systems. Dann lassen sich Kontrollen entwerfen, bevor das Audit fehlende Nachweise aufdeckt.

• Das Unternehmen ändert sein Finanz- und Buchhaltungssystem oder integriert mehrere Datenquellen.
• Der Prüfer fragt nach ITGC, Anwendungskontrollen, Protokollen oder Berechtigungen.
• Finanzdaten werden in mehreren Blättern außerhalb des Quellsystems aufbereitet.
• Es gibt keine Backup-Tests oder Zugriffsüberprüfungshistorie.
• Kunden fragen nach ISO 27001, TrustGuard oder Sicherheitsreife.

Verwandte Leistungen

Wenn bei einer Finanzprüfung technische Lücken aufgedeckt werden, lohnt es sich, diese als Plan zur Verbesserung der Datensicherheit und -zuverlässigkeit zu betrachten und nicht als einmalige Reaktion an den Prüfer.

Kontakt

Umfang der technischen Prüfungsunterstützung und vorhandene Nachweise abstimmen.

Quellen und weiterführende Informationen