Michael Claaßen, Bereichsleiter Interne Revision, Volksbank Marl-Recklinghausen eG

Das audit universe erfährt aufgrund neuer und veränderter gesetzlicher Regelungen kontinuierlich Anpassungen. Ergaben sich vor Jahren die Prüfungsfelder nur auf Basis nationaler Gesetze und Verordnungen, sind heute im Rahmen der EU-Harmonisierung regelmäßig neue Regelungen bzw. Anpassungsprozesse bestehender Vorgaben zu beachten. Diese entfalten entweder direkt oder nach Überführung in nationale Vorgaben Wirksamkeit. Die Digitalisierungsanforderungen führen zusätzlich zu weiteren Anpassungen im Risikomanagement und workflow der Prozesse. Im audit universe und der damit verbundenen Prüffeldbearbeitung sind diese Anforderungen ganzheitlich – holistisch – zu berücksichtigen. Eine interne Revision benötigt Instrumente, um diesen Anforderungen zeitnah gerecht zu werden. Diese zusätzlichen Aufgaben führen grundsätzlich nicht zu einer Kapazitätsanpassung in der Internen Revision. Es sind vielmehr effiziente Methoden zu wählen, um trotz Prüffeldausweitung Einsparpotentiale zu generieren. Vernetztes Agieren könnte ein Ansatz sein.

Grundlagen

Im Laufe der letzten Jahre mussten in der Prüffeldplanung für einzelne Prüfungsthemen – unabhängig von der Größe und Mitarbeiterkapazität in der Internen Revision – zusätzliche Prüfungstage in der Planung berücksichtigt werden. Es ergeben sich viele Beispiele. So hat die Komplexität im Meldewesen, im Auslagerungsmanagement und in den IT-Prozessen erheblich zugenommen. An einen Informationssicherheitsbeauftragten hätte man vor zehn Jahren noch nicht gedacht. Für die IT-Systeme gab es einen IT-Dienstleister und die Prozesse im Meldewesen waren überschaubar. Unabhängig vom Prozess sind Risikomanagementanforderungen und Kontrollanforderungen zu gewährleiten. Kontrollziele sind zu erfüllen. Daraus ergeben sich je Prüfungsfeld weitere Aufgaben. Welchen Wert haben Meldungen im Rahmen einer Meldeverpflichtung, wenn die Datenbasis fehlerbehaftet ist, auf das genutzte Softwaresystem jeder zugreifen kann und Input gleich Output ist, d. h. keine Kontrollen der Daten erfolgen. 

Vor dem Hintergrund dieser und weiterer Anforderungen stellt sich aus Sicht der Internen Revision die Frage, mit welchen Methoden und Maßnahmen auf der einen Seite alle Prüfungsanforderungen erfüllt und gleichzeitig Kosten- und Effizienzvorteile erzielt werden können. Umgangssprachlich ausgedrückt: “Eine Fülle voller Aufgaben ist effizient zu erledigen.”

SEMINARTIPPS

Grundlagen der Internen Revision, 05.10.2020, Frankfurt/M.

Schlanke Revisions- & Prüfungs-Prozesse, 06.10.2020, Frankfurt/M.

(Pool-)Audits bei Rechenzentren & anderen Mehrmandantendienstleistern, 20.10.2020, Frankfurt/M.

Wirtschaftlichkeitsprüfungen durch die Interne Revision, 02.12.2020, Frankfurt/M.

Projektbegleitung & Projektprüfung durch die Interne Revision, 03.12.2020, Frankfurt/M.

Lösungsansätze 

Eine Vielzahl von Maßnahmen kommen dabei in Betracht, wobei diese kein Selbstzweck sein dürfen, sondern dazu beitragen müssen, Belastungen des ICAAP und ILAAP und insbesondere der IT Governance zu reduzieren. Verschiedene Bausteine können dabei zum Gesamterfolg in der Internen Revision beitragen. Zu nennen sind u. a.

• granulare Prüfungs- und Digitalisierungsstrategie der Internen Revision,
• sinnvolle Verknüpfung von Prüfungsmethoden zur Reduzierung von Prüfungszeiten,
• strukturierte Vorgehensweise durch standardisierte Checklisten zum Risikomanagement,
• Vernetzung des Prüfungsfeldes mit den Risikomanagementanforderungen an einen Prozess,
• auf angemessene und wirksame Kontrollen in allen Bereichen durch die Prüfungen hinwirken.

Die Erhöhung der Prüfungsdichte bei standardisierter Prüfung der Risikomanagementanforderungen der MaRisk, kann es zu einer Entlastung im Prüfungsfeld zum Risikomanagementthema führen. So können bei jeder Prüfung notwendige Notfallmanagementanforderungen mit betrachtet werden. Das entlastet dann später das eigentliche Prüfungsfeld Notfallmanagement. Einsparpotentiale lassen sich aber nur über standardisierte Prozesse erzielen. Das Fehlerrisiko lässt sich zusätzlich zeitnah reduzieren. Relevante Risikoabweichungen sind bei Nichtbeachtung konsequent, z. B. durch wesentliche Feststellungen, zu adressieren.

PRAXISTIPPS

• Prüfen Sie ganzheitlich und berücksichtigen Sie alle Risikomanagementschnittstellen in der Prüfung.
• Tragen Sie konsequent dazu bei, dass entsprechend des Hinweises in der EBA-Leitlinie zur Internen Governance das Verständnis sich bei allen Mitarbeitern verinnerlicht, dass jeder Kontrollinstanz ist und nicht Aufgabe einzelner Funktionen.
• Sammeln und bewerten sie regelmäßig Erkenntnisse zu allen Prüfungsfeldern im Rahmen eines Continuous Auditing Ansatzes.
• die Nutzung der IIA Standards und damit die Prüfung der Anforderungen an Risikomanagement, Kontrollrahmen, Führung und Überwachung je Prüfungsfeld fokussiert Ihre Tätigkeiten auf die relevanten Aspekte.
• Bei Feststellungen führen Sie eine Ursachenanalyse durch, um ex ante Risiken auch in weiteren Prüfungsfeldern zu vermeiden.