Besser gesichert

Abschlussprüfer können gemeinsam mit IT-Experten der DATEV mit dem Prüfungsstandard IDW PS 330 (Abschlussprüfung bei Einsatz von Informationstechnologie) die für die Rechnungslegung verwendeten IT-Systeme prüfen. Die Prüfungsschwerpunkte ergeben sich aus den spezifischen Risiken des Mandanten. Beispiele können das automatisierte Buchen über das Internet, die Integration mehrerer Anwendungen oder umfassende automatisierte Berechnungen sein. Dabei beurteilt der Abschlussprüfer die bestehenden Sicherheitsmaßnahmen auf Angemessenheit und Wirksamkeit. Er interviewt die verantwortlichen Personen, sichtet Dokumentationen und Aufzeichnungen, begeht Räumlichkeiten, beobachtet die Fachbereiche und führt stichprobenweise Kontrollen durch.
In die Untersuchungen fließen sowohl prozessübergreifende Sicherheitsmaßnahmen als auch die prozessintegrierten Kontrollen ein. Automatisiert generierte Buchungen und Salden sind nur verlässlich, wenn zufällige oder absichtliche Veränderungen hinreichend ausgeschlossen werden können. Nur dann ist die Buchführung ordnungsmäßig. Aus diesem Grund muss ein IT-Prüfer neben Kenntnissen der Rechnungslegung, Prozess- und Anwendungswissen auch Kenntnisse der IT-Sicherheit haben. Da mittelständische Unternehmen häufig über keine eigene interne Revision verfügen, kann der externe IT-Systemprüfer die notwendige prozessunabhängige Überwachung wahrnehmen. Vorhandene Schwachstellen im IT-Kontrollsystem werden so aufgedeckt, um Verbesserungsmaßnahmen vorschlagen zu können. Der IT-Systemprüfer gibt dem Mandanten auch Hinweise für die Umsetzung weiterer rechtlicher Anforderungen. Beispielsweise für den Umgang mit elektronischen Rechnungen, digitale Archivierung, Umsetzung datenschutzrechtlicher Vorgaben sowie zur Einbindung von Cloud- und Outsourcing-Dienstleistern.
Für mehr Planungssicherheit bietet DATEV auf Basis des IDW PS 330 einen Prüfungsansatz über mehrere Jahre an. Hierzu gehört eine Erstprüfung, die im ersten Jahr alle Prüfungsgebiete des IDW PS 330 mittels einer Aufnahme- und Aufbauprüfung durchläuft. Wie wirksam das ist, zeigen weitere Funktionsprüfungen.
Für die Folgejahre wird ein Prüfungsplan erstellt, der die nach der Erstprüfung getroffenen Feststellungen aktualisiert und die mit dem Abschlussprüfer abgestimmten vertiefenden Funktionsprüfungshandlungen in einzelnen Geschäftsfeldern vorsieht. So wird bei nahezu gleichbleibenden jährlichen Prüfungsbudgets immer der vollständige IDW PS 330 berücksichtigt.