Audit - IKS / Kontrollen Flashcards

Question

Was sind die Auswirkungen, falls eine GITC für eine bestimmte Applikation als GESAMTHAFT "nicht effektiv" beurteilt wir?

Answer 1

Werden die Generellen IT Kontrollen für eine bestimmte Applikation als gesamthaft «nicht effektiv» beurteilt, so hat dies folgende Auswirkungen: • Auch wenn die unterstützte Applikationskontrolle als effektiv beurteilt wurde können wir keine Aussage über das ganze Jahr machen. • Ein Ausweg besteht eventuell, falls wir an einer bestimmten Ausführung der Applikationskontrolle interessiert sind. • In diesem Fall kann genau diese Ausführung geprüft werden, um angemessene Sicherheit über das Funktionieren der Applikationskontrolle zu erhalten. • Beispiel: Vollständigkeit und Korrektheit eines Reports aus dem System Falls wir genau denjenigen Report im richtigen Zeitpunkt prüfen, welcher die Grundlage für weitergehende Prüfungshandlungen ist, so kann dies ausreichend sein. • Falls keine der obigen Optionen anwendbar ist, kann die unterstützte Applikationskontrolle für unsere Beurteilung nicht mehr verwendet werden und es kommt das auf den nachfolgenden Folien beschriebene Vorgehen bei ineffektiven Applikationskontrollen zur Anwendung!

Answer 2

Wird eine einzelne Generelle IT Kontrolle als nicht effektiv beurteilt, so hängt der Einfluss dieser Kontrollschwäche auf unsere Gesamtbeurteilung von verschiedenen Faktoren ab: • Existenz von kompensierenden Kontrollen auf ITGC Ebene (z.B. regelmässiger Rechte Review kompensierend für Schwäche bei Benutzeradministration) • Relevanz der Kontrolle für das Prüfziel des ITGC Bereichs als Ganzes • Ergebnis von zusätzlich durchgeführten (ev. aussagebezogene) Prüfaktivitäten • Direkter Einfluss der Kontrollschwäche auf das Funktionieren der durch sie unterstützten Applikationskontrolle (z.B. Einfluss einer Schwäche bei der Benutzeradministration bei einer Kontrolle, welche nur als Batch ausgeführt wird) • In allen Fällen müssen wir die Ergebnisse dieser Risikobeurteilung in unseren Arbeitspapieren dokumentieren, so dass ein sachkundiger Dritter unsere Entscheidung nachvollziehen kann!

Answer 3

Vorgehen gemäss den im Rahmen der Prüfungsdurchführung besprochenen Möglichkeiten: • Beurteilung der Behebung der Kontrollschwäche • Behebung per welches Datum • Beurteilung des Einflusses der Kontrollschwäche für die Zeit, in welcher sie bestand (abhängig von der Art der Kontrolle!) • Identifikation von zusätzlichen Kontrollen, welche mitigierend wirken • Bestimmung von zusätzlichen, tiefergehenden Prüfschritten, um tatsächliche Auswirkungen der Kontrollschwäche zu bestimmen • Achtung: Bei vollautomatischen Kontrollen liegen Design und operative Effektivität sehr nahe beieinander!

Answer 4

Vorteile • Hohe Sicherheit durch Prüfung des gesamten Bestandes an Geschäftsfällen. Ermöglicht oftmals weiterführende Analysen • Durch Automatisierung relativ geringer Aufwand für aussagebezogene Prüfung Nachteile • Oft hoher Initialaufwand, um Daten zu extrahieren und aufzubereiten • In vielen Fällen keine Abdeckung des IKS da vollständig aussagebezogenes Vorgehen

Answer 5

Ziel: • Ausgestaltung der notwendigen Prüfungshandlungen und deren Umfang • Identifizierung von risikoreichen Prüfungsfeldern • Effiziente Gestaltung des Prüfungsansatzes (verfahrens und/oder ergebnisorientiert) • Verständnis des IKS lediglich ‚summarisch‘ (ausreichend, um zuverlässige Risikoeinschätzung vorzunehmen) • Ausprägung: weniger breit, dafür tief Merkmale - Keine umfassende Prüfung des IKS - Aber - Berücksichtigung des IKS durch den Prüfer im Rahmen seiner Arbeit - Abstützen auf vorhandene Kontrollen - IKS ist laut PS "Mittel zum Zweck"

Answer 6

Ziel: • IKS als separater Prüfungsgegenstand • Hinweis an Bilanzleser, ob das Unternehmen entsprechend aufgestellt ist • Das Unternehmen wird gezwungen, ein überprüfbares IKS einzurichten: • Verlässliche Finanzberichterstattung • Einhaltung von Vorschriften • Vermeidung und Aufdeckung von Fehlern und Unregelmässigkeiten • Sicherstellung der Zuverlässigkeit und Vollständigkeit der Buchführung • Zeitgerechte und verlässliche finanzielle Berichterstattung • Gesamtheitliches Verständnis des IKS (Unternehmens --, IT und Prozessebene) • Ausprägung: breit, dafür weniger tief Merkmale Das IKS als Prüfungsgegenstand - Ausweitung des gesetzlichen Prüfungsauftrages - Überprüfung der EXISTENZ eines IKS in seiner Gesamtheit - Berichterstattung an den Verwaltungsrat über IKS - Ergänzung des bisherigen Bestätigungsvermerks an die GV

Answer 7

• Schriftliche Dokumentation zu: - Vorgaben des VR - Umsetzung der GL - Durchführung der Kontrollen * Umfang und Detaillierungsgrad der Dokumentation an Grösse und Komplexibilität des Unternehmens angepasst * Angemessene Berücksichtigung aller Kontrollkomponenten auf Unternehmens --, Prozess und allgemeiner IT Ebene

Answer 8

1. Das IKS ist vorhanden und dokumentiert - J/N? 2. Das IKS ist umgesetzt und wird angewendet - J/N? 3. Das IKS funktioniert dauernd und richtig - J/N? Prüfungen zu 1. und 2. sind erforderlich. Weitergehende Prüfungen zu 3. (Wirksamkeitspüfung / Operating Effectiveness ) sind nicht erforderlich. --> Wirksamkeitsprüfung nicht bestandteil des IKS-Existenzprüfung

Answer 9

* Kontrollen auf Unternehmensebene (inkl. GITC) sind jährlich zu prüfen. * Kontrollen auf Prozessebene sind regelmässig zu prüfen (rotierend) * Prüfung der Schlüsselkontrollen in der Regel alle 3 Jahre.

Answer 10

• Wahl des Zeitpunkts ist frei; • Berichterstattung nimmt auf den Stichtag der Jahresrechnung Bezug.

Answer 11

* Durchsicht der Dokumentation * Befragung * Beobachtung * Überprüfung * Walk-through --> Befragung und Durchsicht der Dokumentation alleine geben nicht genügend Prüfsicherheit

Answer 12

Die Existenz eines IKS muss nur für ordentliche Prüfungen bestätigt werden, für die „eingeschränkte“ Prüfung ist keine IKS Prüfung notwendig.

Answer 13

* Die Bestätigung der Revisionsstelle gemäss Art. 728a OR erfolgt per Bilanzstichtag. * Demzufolge kann ein Kontrollmangel während des Jahres bis zum Bilanzstichtag „geheilt“ werden.

Answer 14

* Art. 728a OR verlangt von der Revisionsstelle, dass sie die Existenz des IKS überprüft. * Art. 728a OR gilt für alle Unternehmen, die der ordentlichen Revisionspflicht unterstehen und zwar Einzelabschluss und Konzernrechnung , damit sind ausländische Tochtergesellschaften eingeschlossen.

Answer 15

* Nur wesentliche Tochtergesellschaften sind zu berücksichtigen. * Die Festlegung des sogenannten „ Scoping “ sollte im Projekt frühzeitig adressiert werden.

Answer 16

* Ja, es kann Überschneidungen mit der ISO Dokumentation geben. * Die ISO Dokumentation erfasst sämtliche für das Qualitätsmanagement relevanten Prozesse und Kontrollen einer Unternehmung. * Das IKS gemäss OR 728a fokussiert sich allerdings nur auf die finanzielle Berichterstattung, d.h. auf die Vermeidung möglicher Fehler in der Konzernrechnung oder im Einzelabschluss. * Diese Verbindung zur finanziellen Berichterstattung fehlt in der ISO Dokumentationen meistens.

Answer 17

• Vorgaben für das Verhalten der Revisionsstelle bei Kontrollmängeln sind im Prüfungsstandard (PS) geregelt. • Es gibt im Prinzip zwei Möglichkeiten: – Entweder ist das IKS nicht formalisiert, d.h. es fehlt eine minimale Dokumentation der Schlüsselkontrollen, oder – das IKS ist zwar formalisiert, aber die definierten internen Kontrollen sind ungenügend ausgestaltet oder werden in der Praxis nicht gelebt. • Die negative Beurteilung über das IKS heisst aber nicht, dass der Jahresabschluss somit nicht stimmt. Wir können die Richtigkeit des Jahresabschlusses dann aufgrund von alternativen Prüfungshandlungen bestätigen. • Die festgestellten Mängel müssen insgesamt so gravierend sein, dass wesentliche Fehler in der Konzern bzw. JR nicht mit vernünftiger Wahrscheinlichkeit ausgeschlossen werden können.

Answer 18

• Gemäss PS 402 muss der Abschlussprüfer berücksichtigen, wie die Inanspruchnahme der Dienstleistungsorganisation das Rechnungswesen System und die interne Kontrollen des Kunden beeinflusst. • Falls die Aktivitäten der Dienstleistungsorganisation für den eigenen Jahresabschluss wesentlich sind, bestehen folgende 2 Optionen: – Durchführen von IKS Prüfungen beim Dienstleister – Beauftragung des Wirtschaftsprüfers des Dienstleisters zur Durchführung der IKS Prüfung sowie Erstellen eines Berichtes • PS 402 regelt den Umfang und die Berichterstattung durch den Wirtschaftsprüfer der Dienstleistungsorganisation.

Answer 19

* COSO hat weltweit und in der Schweiz klar die grösste Akzeptanz und Verbreitung als allgemeiner Standard für die Ausgestaltung eines IKS. * Daneben gibt es im internationalen Bereich noch eine Reihe weiterer Frameworks ( z.B CoCo , COBIT, Cadbury , aber auch die IKS Richtlinie der Schweiz. Bankiervereinigung ). * Es gibt kein spezifisch schweizerisches Framework zur Ausgestaltung eines IKS.

Answer 20

„Schlüsselkontrollen“ sind darauf ausgerichtet, die aus Sicht des Gesamtunternehmens wesentlichen falschen Angaben in der finanziellen Berichterstattung zu verhindern oder aufzudecken. Die Prüfung der Existenz eines IKS nach Art. 728a Abs. 1 Ziff . 3 OR sieht keine systematische Prüfung aller Kontrollen vor, sondern beschränkt sich auf die periodische Prüfung der Existenz der Schlüsselkontrollen.

Answer 21

Definition IT Applikationskontrollen / Anwendungsabhängige Kontrollen Jede Anwendung (und somit jeder zielgerichtete Geschäftsprozess) beinhaltet Kontrollen, welche sicherstellen, dass die definierten Zielgrössen erreicht werden. Beispiele sind Kontrollen für: - Vollständigkeit - Richtigkeit - Gültigkeit - Funktionstrennung Anwendungsunabhängige Kontrollen sollen die ordnungsmässige und sichere Verarbeitung der Transaktionen gewährleisten und den Nachweis der Richtigkeit der Ergebnisse erbringen. Kontrollen nehmen damit zur Erreichung der Unternehmensziele, Vermögensschutz, Genauigkeit und Zuverlässigkeit der Buchführung und Einhaltung der Geschäftspolitik eine zentrale Stellung ein.

Answer 22

Definition Generelle IT Kontrollen / Anwendungsabhängige Kontrollen Generelle IT Kontrollen bilden die Grundlage für ein ordnungsmässiges Funktionieren der IT Anwendungen und decken die identifizierten Risiken ab. Beispiele sind Kontrollen für: - Systementwicklung - Änderungswesen von Daten - Änderungswesen von Zugriffen - Sicherheit - Betrieb

Audit - IKS / Kontrollen Flashcards

(46 cards)