IT-Systeme und automatisierte Prozesse gehören längst auch zum Rechnungswesen mittelständischer Unternehmen. Für Abschlussprüfer stellt sich damit nicht mehr nur die Frage, ob IT für die Prüfung relevant ist, sondern vor allem:
- Wie weit muss die IT-Prüfung im konkreten Mandat gehen?
- Muss eine kleine WP-Praxis dafür einen IT-Spezialisten hinzuziehen?
- Welche Anforderungen ergeben sich aus ISA DE 315?
- Wie sind Feststellungen zu dokumentieren – und
- Welchen zusätzlichen Prüfungsnutzen bringen Datenanalysen und Journal Entry Tests?
In ihrem wp.net-Seminar „IT-Prüfung & Datenanalyse als Teil der Jahresabschlussprüfung“ zeigt Frau WPin Bettina Siglmüller, wie sich diese Anforderungen auch in der mittelständischen Prüfungspraxis umsetzen lassen.
wp.net: Viele kleinere WP-Praxen verbinden IT-Prüfung zunächst mit zusätzlichem Aufwand, Spezialwissen und der Notwendigkeit eines IT-Spezialisten. Ist dieses Bild richtig?
Bettina Siglmüller: Nicht zwingend. Eine IT-Prüfung bedeutet nicht automatisch, dass eine kleine Praxis eine eigene IT-Abteilung oder für jedes Mandat einen IT-Spezialisten benötigt. Entscheidend ist zunächst,
- die IT-Umgebung des konkreten Mandanten zu verstehen,
- deren Komplexität einzuschätzen und
- daraus die für die Abschlussprüfung relevanten Risiken abzuleiten.
Erst daraus ergibt sich dann, wie weit die Prüfung gehen muss. Die entsprechenden Prüfungshandlungen helfen, die Risiken einzuschätzen, entsprechend darauf zu reagieren und führen dadurch zu mehr Prüfungssicherheit.
wp.net: Was muss ein Abschlussprüfer nach ISA (DE) 315 tatsächlich über die IT seines Mandanten wissen und prüfen – und was eben nicht?
Bettina Siglmüller: ISA 315 DE verlangt keine zwingende IT-Prüfung. Allerdings muss der Abschlussprüfer ein Verständnis der IT des Unternehmens erlangen, vgl. ISA 315 DE (2019 rev.) – die Mindestanforderung ist also ein ausreichendes Verständnis der IT-Landschaft und der daraus resultierenden Risiken, und zwar unabhängig von der Größe des Mandanten. Welche Prüfungshandlungen bzw. Fragen sich dazu anbieten, werde ich im Seminar erläutern.
wp.net: Woran erkennt der Abschlussprüfer, dass er die IT noch mit eigenen fachlichen Ressourcen beurteilen kann – und ab welchem Punkt sollte er einen IT-Spezialisten hinzuziehen?
Bettina Siglmüller:: Das hängt vor allem von der Größe und Komplexität der IT-Systeme des jeweiligen Prüfungsmandanten und den daraus resultierenden Risiken ab. Bei überschaubaren IT-Strukturen kann die Prüfung grundsätzlich mit den eigenen fachlichen Ressourcen durchgeführt werden. Bei komplexeren IT-Systemen oder besonderen IT-Risiken kann es dagegen sinnvoll sein, einen IT-Spezialisten hinzuzuziehen. Auch die eigenen fachlichen und zeitlichen Kapazitäten der Prüfungspraxis spielen bei dieser Entscheidung eine Rolle.
Bei den Plattformlösungen mit ihren vordefinierten KI-Fähigkeiten geht es unter anderem darum, wie sie helfen können, Prüfungsabläufe effizienter zu gestalten.
wp.net: Welche Bereiche eines IT-Systems muss der Abschlussprüfer generell im Blick haben?
Bettina Siglmüller: Im Rahmen der IT-Prüfung geht es unter anderem um die
- IT-Infrastruktur,
- allgemeine IT-Kontrollen,
- die sogenannten General-IT-Controls,
- IT-Anwendungskontrollen und
- die vom Unternehmen für die Rechnungslegung verwendeten Informationen, also IPE.
Entscheidend ist, die für die Abschlussprüfung relevanten Systeme, Prozesse und Kontrollen zu identifizieren und daraus die entsprechenden Risiken und notwendigen Prüfungshandlungen abzuleiten. Dabei geht es nicht darum, jedes technische Detail eines IT-Systems zu prüfen, sondern den für die Abschlussprüfung erforderlichen Umfang angemessen festzulegen.
wp.net: Wo sehen Sie im KMU-Umfeld die häufigsten Schwachstellen bei IT-Prüfungen – eher bei der Durchführung selbst oder bei der Dokumentation?
Bettina Siglmüller: Meines Erachtens wird der IT häufig noch zu wenig Bedeutung beigemessen. In der Praxis kommt es darauf an, dass Prüfungshandlungen in angemessenem Umfang durchgeführt und die dabei gewonnenen Erkenntnisse nachvollziehbar dokumentiert werden und auf erkannte Risiken entsprechend reagiert wird.
Anhand von Praxisbeispielen werde ich zeigen, wo typische Feststellungen bei IT-Prüfungen im KMU-Umfeld liegen, welche Prüfungshandlungen mindestens durchgeführt werden sollten und worauf bei der Dokumentation besonders zu achten ist.
wp.net: Viele mittelständische Unternehmen nutzen externe IT-Dienstleister oder Cloud-Anwendungen. Was bedeutet das für den Abschlussprüfer?
Bettina Siglmüller: Auch ausgelagerte IT-Prozesse müssen im Rahmen der Abschlussprüfung angemessen berücksichtigt werden. Dabei können beispielsweise Berichte über das interne Kontrollsystem eines Dienstleistungsunternehmens eine Rolle spielen. Der Abschlussprüfer muss beurteilen können, welche Aussagen ein solcher Bericht für seine eigene Prüfung enthält und welche Konsequenzen sich daraus gegebenenfalls für seine weiteren Prüfungshandlungen ergeben. Im Seminar werden wir deshalb auch darauf eingehen, wie Berichte externer IT-Prüfer – beispielsweise im Zusammenhang mit IDW PS 951 (Prüfung des IKS bei Dienstleistungsunternehmen) – zu lesen und auszuwerten sind.
wp.net: Wechseln wir von der IT-Prüfung zur Datenanalyse. Was bringen Journal Entry Tests dem Abschlussprüfer konkret?
Bettina Siglmüller: Journal Entry Tests ermöglichen es,
- Buchungsdaten systematisch zu analysieren und
- auf Auffälligkeiten zu untersuchen.
Dabei werden mindestens die Hauptbuchdaten einer Validierung unterzogen. Die Tests können unterschiedliche Prüfungsziele verfolgen und auch Hinweise auf Unregelmäßigkeiten liefern. Sind die Daten passend aufbereitet, lassen sich für analytische Prüfungshandlungen relativ schnell diagramm-artige Vergleiche ziehen wie bspw. Umsatz zu Materialaufwand pro Monat, im Vorjahresvergleich u.v.m.
wp.net: Datenanalyse wird häufig mit mehr Effizienz verbunden. Spart sich der Abschlussprüfer tatsächlich Zeit?
Bettina Siglmüller: Nicht zwangsläufig. Die Planung einer Datenanalyse, die Einrichtung der Prüfungsumgebung und die Vorbereitung der Daten können zunächst zeitintensiv sein. Der Nutzen liegt deshalb nicht ausschließlich in einer möglichen Beschleunigung der Prüfung. Datenanalysen können vor allem dazu beitragen, die Qualität der Prüfungshandlungen zu verbessern und Auffälligkeiten systematisch zu identifizieren. Aus den Ergebnissen können sich zudem wertvolle Hinweise sowohl für die weitere Abschlussprüfung als auch für den Mandanten ergeben.
wp.net: Braucht eine kleinere Prüfungspraxis für den Einstieg in die Datenanalyse spezielle Software und umfangreiche technische Ressourcen?
Bettina Siglmüller: Grundsätzlich können Datenanalysen bereits in Excel durchgeführt werden oder auch mit einer Software speziell für Datenanalysen. Für eine kleinere Prüfungspraxis kommt es dabei auf die Fertigkeiten in Excel an, auch bspw. seitens des Mandanten sog. Massendaten den Umfang von Excel ggf. sprengen und ob sich anhand von Kosten- & Nutzengesichtspunkten eine Softwarelösung besser anbietet. Für Journal-Entry-Tests können bereits die GoBD-Daten des Mandanten als Datengrundlage ausreichen.
Anhand eines Beispiels zeige ich, wie Analyseergebnisse in der Praxis aussehen können.
Dabei geht es nicht darum, im Seminar einen vollständigen Datenbestand live in ein Datenanalysetool zu importieren und zu bearbeiten. Es geht mir darum, den Teilnehmern zu vermitteln, welche Tests sinnvoll sind, welche Aussagen sich daraus ableiten lassen und wie die Ergebnisse in die weitere Abschlussprüfung einbezogen werden können.
wp.net: Wenn ein Teilnehmer das Seminar verlässt und anschließend seine nächste Abschlussprüfung plant: Was sollte er konkret sicherer beurteilen können als vorher?
Bettina Siglmüller: Die Teilnehmer sollen besser beurteilen können, warum und wie Prüfungshandlungen zur IT im Rahmen der Jahresabschlussprüfung nach ISA DE 315 zu planen und durchzuführen sind. Sie sollen verstehen:
- Was kann/soll ich selbst erfragen?
- Wie geht man mit typischen Feststellungen im KMU-Umfeld um?
- Was prüft ein (externer) IT-Prüfer – und was nicht?
- Wie wertet man IT-Prüfungsberichte aus?
Bei der Datenanalyse soll man einschätzen können:
- Welche Tests sind sinnvoll?
- Welchen Nutzen bringen diese Tests für das Prüfungsergebnis?
- Welcher Mindestumfang ist erforderlich und wie ist zu planen?
Unser Ziel ist es, dass die Teilnehmer IT-Prüfungshandlungen und Datenanalyse anschließend strukturierter und sicherer in die eigene Prüfungspraxis einordnen können.
wp.net: Liebe Frau Kollegin Siglmüller, vielen Dank für den umfassenden Einblick in die IT-Prüfung.
Deutlich wird: Bei der IT-Prüfung geht es für den Abschlussprüfer nicht darum, selbst zum IT-Spezialisten zu werden.
Wie dies in der Praxis gelingt und welchen Beitrag Journal-Entry-Tests und weitere Datenanalysen zur Abschlussprüfung leisten können, zeigt Ihnen WPin Bettina Siglmüller im wp.net-Seminar
„IT-Prüfung & Datenanalyse als Teil der Jahresabschlussprüfung“.
Es grüßt Sie herzlichst
Ihr Michael Gschrei
und das Team von wp-net
