Interne Revision, externe Revision und Audit – IKS

Prüfer erwarten klare Verantwortlichkeiten, aktuelle Dokumentation, nachvollziehbare Verbindung von Risiken und Kontrollen, verlässliche Nachweise sowie transparente Mängelbearbeitung. Sie achten darauf, ob Beschreibung und tatsächliche Praxis übereinstimmen. Widersprüche, nachträglich erstellte Nachweise oder unerklärte Lücken schwächen das Vertrauen. Offene Probleme sollten früh und sachlich kommuniziert werden, statt sie bis zur Prüfung zu verbergen.

Häufig verlangt werden Governance-Dokumente, Scope, Prozessbeschreibungen, Risiko-Kontroll-Matrizen, Kontrollinventar, Kontrollnachweise, System- und Berechtigungsinformationen, Mängelregister, Massnahmenstatus sowie Managementreporting. Bei IT-Kontrollen kommen Change-, Zugriffs- und Betriebsnachweise hinzu. Die genaue Auswahl richtet sich nach Prüfziel und Stichprobe. Eine zentrale, strukturierte Ablage beschleunigt die Bereitstellung erheblich.

Sie analysieren, ob die Kontrolle zum Risiko passt, rechtzeitig wirkt, ausreichend präzise ist und von einer geeigneten Rolle mit verlässlichen Daten ausgeführt wird. Häufig wird ein Walkthrough anhand eines realen Vorgangs durchgeführt. Auch Umgehungsmöglichkeiten, Funktionentrennung und Reaktion auf Abweichungen werden beurteilt. Ein dokumentierter Prozess allein beweist noch kein angemessenes Kontrolldesign.

Prüfer wählen Kontrolldurchführungen aus dem relevanten Zeitraum aus und prüfen, ob Tätigkeit, Zeitpunkt, Verantwortlichkeit, Nachweis und Abweichungsbehandlung der Beschreibung entsprechen. Bei automatisierten Kontrollen werden Systemänderungen und ITGC berücksichtigt. Ausnahmen werden auf Häufigkeit und Auswirkung analysiert. Die Schlussfolgerung bezieht sich auf den definierten Zeitraum und Scope, nicht automatisch auf die gesamte Organisation.

Aus einer vollständigen Population werden Fälle nach statistischen oder risikobasierten Kriterien ausgewählt. Prüfer kontrollieren, ob die definierte Kontrolle bei diesen Fällen korrekt ausgeführt wurde. Auswahl, Population und Ergebnis werden dokumentiert. Festgestellte Abweichungen können zusätzliche Stichproben oder eine angepasste Prüfungsstrategie auslösen. Die Organisation sollte die Population reproduzierbar bereitstellen können.

Nachweise müssen authentisch, vollständig, verständlich, zeitnah und eindeutig der Kontrolle zugeordnet sein. Sie sollten zeigen, welche Daten geprüft, welche Kriterien angewendet und wie Abweichungen behandelt wurden. Zeitstempel und Benutzeridentität erhöhen Verlässlichkeit. Nachträglich erstellte Zusammenfassungen können ergänzen, ersetzen den ursprünglichen Durchführungshinweis aber nicht ohne Weiteres. Vertrauliche Daten sind kontrolliert bereitzustellen.

Zugriffe werden nach Need-to-know, Auftrag, Vertraulichkeit und Dauer eingerichtet. Eine sichere Datenablage oder ein Prüfungsportal ist besser als unkontrollierte E-Mail-Anhänge. Verantwortliche protokollieren bereitgestellte Unterlagen, Versionen und Rückfragen. Personen- oder geheimhaltungsrelevante Daten werden minimiert. Zugriffsrechte sind nach Abschluss der Prüfung zeitnah zu entziehen.

Feststellungen enthalten Kriterium, tatsächlichen Zustand, Ursache, Risikoauswirkung, Beleg und Empfehlung. Schweregrade werden anhand einheitlicher Kriterien abgestimmt. Management erhält Gelegenheit zur sachlichen Stellungnahme und definiert Massnahme, Eigentümer sowie Frist. Uneinigkeit über Bewertung wird transparent dokumentiert und auf der richtigen Ebene entschieden. Kritische Feststellungen werden sofort eskaliert.

Ein Management Letter enthält Feststellungen und Empfehlungen der externen Revision, die neben dem formellen Revisionsbericht an die Leitung adressiert werden. Er kann Schwächen in Kontrollen, Prozessen oder Rechnungslegung aufzeigen. Die Organisation sollte jede Feststellung bewerten, Verantwortliche und Massnahmen bestimmen und den Abschluss nachweisen. Ein wiederholt unbehandelter Punkt kann auf schwache Governance hinweisen.

Zuerst wird der Sachverhalt mit der Revisionsstelle geklärt und intern hinsichtlich Ursache und Risiko validiert. Danach entsteht ein konkreter Massnahmenplan mit Eigentümer, Frist, Ressourcen und Wirksamkeitsnachweis. Fortschritt wird an Management und gegebenenfalls Audit Committee berichtet. Eine Feststellung gilt nicht bereits mit einer schriftlichen Antwort als erledigt, sondern erst nach Umsetzung und angemessener Validierung.

Ein Follow-up-Audit prüft, ob vereinbarte Massnahmen aus früheren Prüfungen umgesetzt und wirksam sind. Umfang und Tiefe richten sich nach Risikoklasse und Veränderung. Der Auditor beurteilt Nachweise, kann Stichproben durchführen und verbleibende Risiken neu einstufen. Nicht wirksame oder verspätete Massnahmen bleiben offen oder führen zu einer neuen Feststellung. Follow-up schafft Rechenschaft und verhindert symbolische Schliessungen.

Gemeinsame Prozess- und Risikostrukturen, abgestimmte Terminpläne und wiederverwendbare Nachweise reduzieren Doppelarbeit. Die Revision kann verlässliche IKS-Daten nutzen, muss jedoch ihre Unabhängigkeit und eigene Beurteilung behalten. Zuständigkeiten für Self-Assessments, Tests und Follow-up werden klar getrennt. Ein Assurance-Mapping zeigt, welche Risiken von welcher Funktion überwacht werden und wo Lücken bestehen.

Ein zentraler Prüfungsplan bündelt Scope, Zeiträume, Ansprechpartner und Informationsanforderungen. Interne Revision und externe Prüfer tauschen sich im zulässigen Rahmen über Risikoanalyse, geplante Arbeiten und relevante Ergebnisse aus. Vertraulichkeit und Unabhängigkeit bleiben gewahrt. Die Organisation koordiniert Terminbelastung und vermeidet widersprüchliche Datenlieferungen. Ergebnisse werden in einem gemeinsamen Mängel- und Massnahmenprozess konsolidiert.

Möglichkeiten sind externe Fachprüfungen, Peer Reviews, Verwaltungsrats- oder Audit-Committee-Prüfungen, rotierende bereichsfremde Reviews und gezielte Agreed-Upon Procedures. Die beurteilende Person sollte fachkundig und vom geprüften Prozess ausreichend unabhängig sein. Umfang, Kriterien und Aussage werden vorab festgelegt. Eine externe Beurteilung ersetzt nicht die laufende Managementüberwachung, kann aber wichtige Objektivität schaffen.

Kontrollen, Nachweise, Versionen und Massnahmen werden laufend und nicht rückwirkend gepflegt. Verantwortliche kennen ihre Pflichten, Datenqualität wird überwacht und offene Probleme werden transparent eskaliert. Regelmässige interne Stichproben simulieren typische Prüfungsanforderungen. Eine zentrale, strukturierte Lösung erleichtert Suche und Export. Audit-Readiness ist ein Ergebnis guter Betriebsführung, kein kurzfristiges Projekt vor dem Jahresabschluss.