Kleine Prüfungsfibel (eBook)

Hinweise und Lösungen für die Interne Revision

Michael Vetter (Autor)

eBook Download: EPUB

2021 | 1. Auflage
116 Seiten
Books on Demand (Verlag)
978-3-7534-1623-6 (ISBN)

Infos

Sie finden in dieser Prüfungsfibel die Zusammenfassung der Erfahrungen dreißigjähriger Prüfertätigkeit. Der Jahres- und der Einzelprüfungsprozess der Internen Revision bestehen aus wenigen, einfachen Schritten. Schwierig ist die praktische Anwendung. Das Buch erleichtert den Einstieg in unbekanntes Terrain und ist zum Nachschlagen hilfreich.

Der Autor war 30 Jahre als interner Prüfer und Prüfungsleiter im Rahmen von Prozess- und IT-Prüfungen, Prüfungen des Jahresabschlusses, projektbegleitenden IT- und Bauprüfungen sowie Untersuchungen tätig. Die Fibel ist das Ergebnis von rd. 100 Prüfungen, von denen er zwei Drittel geleitet hat und aus dem Aufbau einer Internen Revision. Er ist oder war Certified Internal Auditor (CIA), Certified Information Systems Auditor (CISA), Certified Government Auditing Professional (CGAP), Certified Financial Services Auditor (CFSA) und hat die Accreditation in Quality Assessment/Validation.

Textauszug

D. Objektbewertung

Der Prüfungsturnus eines Prüfungsobjektes wird über dessen Risikobewertung ermittelt und ist im Extremfall einjährig. Gesetzliche Vorgaben zur Prüfungshäufigkeit lassen sich auf eine Risikobewertung des Gesetzgebers zurückführen. Wenn der Gesetzgeber die jährliche Prüfung vorschreibt, steckt dahinter ein hohes Risiko. Der Prüfungsturnus der übergeordneten Stufen des Prüfungskatalogs entspricht dem kleinsten Turnus der darunter liegenden Stufe.

Analysiert wird das Restrisiko jedes Prüfungsobjektes, das sich aus dessen inhärentem Risiko abzüglich der Wirkung der im Objekt implementierten Kontrollen ergibt.

Die Analyse berücksichtigt zur Ermittlung des inhärenten Risikos die indirekten Wirkungen der Risikoursachen Volumen, Komplexität, Stabilität des Prozesses und Wahrscheinlichkeit von Unregelmäßigkeiten im Prozess auf Reputation, Rentabilität und Liquidität für jedes Objekt. Jede dieser Risikoursachen wird durch einen Indikator bewertet. Szenarioanalysen deuten darauf hin, dass sie für die Objektbewertung einer Internen Revision in etwa gleich wirken. Sie werden daher gleich gewichtet. Die Analyse der direkten Wirkungen einzelner Risiken auf die Objekte finden Sie im Kapitel D.2 ab S. →.

Zur Beurteilung des internen Kontrollsystems werden aktuelle Informationen aller Art aus der Organisation, aus externen Quellen und das Ergebnis der letzten Prüfung des Objektes herangezogen. Die Risikokennziffer ergibt sich für jedes Objekt aus der Summe der Indikatorgewichte geteilt durch deren Anzahl.

1. Risikoursachen und deren Indikatoren

1.1 Volumen eines Objektes

Ein höheres Volumen eines Prüfungsobjektes führt unter sonst gleichen Umständen zu einer stärkeren Wirkung eines Risikoereignisses. Gemessen wird das relative Volumen mittels des Budgetanteils am Gesamtbudget der Organisation. Zur einfachen Ermittlung des Budgetanteils dient der Stellenanteil an der Gesamtstellenzahl.

0	Budgetanteil kleiner 75 Tsd. €: Es wird von der Annahme ausgegangen, dass eine Wirkungsverstärkung erst ab einem Mindestvolumen eintritt. Als Schwelle wird ein Budget gewählt, das ab einer Stelle überschritten wird. Für Prüfungsobjekte unterhalb einer Stelle bleibt das Volumen unberücksichtigt.

1	Budgetanteil kleiner 10 % des Budgets der Organisation und größer oder gleich 75 Tsd. €: Erreicht das Volumen nicht 10 % des Prüfungsobjektes hält sich die Wirkungsverstärkung in Grenzen.

2	Budgetanteil kleiner 50 % des Budgets der Organisation und größer oder gleich 10 %.

3	Budgetanteil größer oder gleich 50 % des Budgets der Organisation: Wird ein Objekt geprüft, das die Hälfte oder mehr der Organisation beinhaltet, ist von einer erheblichen Wirkung allein auf Grund dieses Volumens auszugehen.

Tabelle D.1 Risikoindikator Objektvolumen

1.2 Komplexität eines Objektes

Höhere Komplexität eines Prüfungsobjektes erhöht unter sonst gleichen Umständen die Wahrscheinlichkeit von Prozessstörungen. Gemessen wird die Komplexität mittels des Automationsgrades der Prozesse im Objekt, der Verfügbarkeit von Prozesswissen und der Wirkung von Prozessstörungen auf andere Prüfungsobjekte.

1

Weitgehend automatisierte Verfahren: Kein Prüfungsobjekt hat keinerlei Komplexität. Prozessstörungen als Risikoursache sind nie auszuschließen. Automatisierte Verfahren werden während der Verfahrensentwicklung oder auf Grund von Prozessänderungen (vgl. Tabelle D.3 Risikoindikator Objektstabilität, S. →) geprüft. Danach ist die Wahrscheinlichkeit von Prozessstörungen wegen der weitgehend automatisierten Verfahren gering.

2

Überwiegend manuelle, standardisierte Verfahren: Bei manuellen, standardisierten Verfahren fehlt die Vorprüfung automatisierter Verfahren. Ferner kommt zur Risikoursache Prozessstörungen die Möglichkeit menschlicher Fehler hinzu, wodurch die Wahrscheinlichkeit von Betriebsstörungen durch Prozessabweichungen zunimmt.

3

Manuelle, nicht standardisierte Verfahren, geringes internes Prozesswissen, direkte Wirkung von Prozessstörungen auf andere Prüfungsobjekte oder Grundsatzaufgaben: Bei nicht standardisierten Verfahren, Projekten und Grundsatzaufgaben ist auf Erfahrungswissen oder auf eine Lernkurve nur in eingeschränktem Umfang zurückzugreifen. Die Wahrscheinlichkeit menschlicher Fehler steigt. Ferner wirken Fehler im Zusammenhang mit Grundsatzarbeiten lange und erheblich auf die gesamte Organisation. Mit der Zeit ist von einem hohen Schadensvolumen auszugehen. Geringes internes Prozesswissen, im Extremfall Auslagerung von wichtigen Prozessen, führt zu Abhängigkeiten und unzureichenden Kontrollmöglichkeiten in der Organisation, wodurch Wirkungen durch den Überraschungseffekt und fehlende Vorsorgemaßnahmen tendenziell verstärkt werden. Direkte Wirkung von Prozessstörungen auf andere Prüfungsobjekte: im Extremfall führt ein Prozessausfall direkt zum Ausfall nachgelagerter Prozesse (Dominoeffekt) und erhöht die Wirkung von Risikoereignissen wesentlich.

Tabelle D.2 Risikoindikator Objektkomplexität

1.3 Stabilität eines Objektes

Änderungen in der Aufbau- oder Ablauforganisation oder personelle Änderungen in Schlüsselstellungen reduzieren die Stabilität eines Prüfungsobjektes und erhöhen dadurch unter sonst gleichen Umständen die Wahrscheinlichkeit menschlicher Fehler. Als Schlüsselstellen werden Leitungs- und Engpassstellen definiert, da sich hier fehlende Erfahrung und Kenntnisse überdurchschnittlich auswirken.

0	Unwesentliche Veränderungen in der Aufbau- oder Ablauforganisation und kein Wechsel in Schlüsselstellen seit der letzten Prüfung: Unter stabilen Verhältnissen kann diese Risikoursache vernachlässigt werden. Tendenziell wirken stabile Verhältnisse eher risikomindernd.

1

Wesentliche Veränderungen in der Aufbau- oder Ablauforganisation ohne Wechsel in Schlüsselstellen seit der letzten Prüfung oder unwesentliche Veränderungen in der Aufbau- und Ablauforganisation bei Wechsel in Schlüsselstellen seit der letzten Prüfung: Änderungen in der Aufbau- oder Ablauforganisation können durch personelle Kontinuität zumindest teilweise aufgefangen werden.

2	Wesentliche Veränderungen in der Aufbau- oder Ablauforganisation und Wechsel in Schlüsselstellen seit der letzten Prüfung.

3

Neukonzeption der Ablauforganisation, wesentliche Änderungen der IT-Anwendungen oder Personalwechsel über 50 % seit der letzten Prüfung: Die Neukonzeption einer Ablauforganisation entwertet Erfahrungswissen. Darüber hinaus müssen fehlende Kenntnis des Prüfungsobjektes in der Revision als risikoerhöhend berücksichtigt werden. Exorbitant hohe Fluktuation erhöht einerseits die Wahrscheinlichkeit menschlicher Fehler und lässt andererseits grundsätzliche Probleme im Prüfungsobjekt vermuten.

Tabelle D.3 Risikoindikator Objektstabilität

1.4 Wahrscheinlichkeit wirtschaftskrimineller Handlungen (Fraud)

Die Wahrscheinlichkeit von wirtschaftskriminellen Handlungen (Fraud) wird entscheidend beeinflusst durch das Entdeckungsrisiko und den individuellen Nutzen für den Täter bzw. die Täterin. Bei der Beurteilung des Entdeckungsrisikos bleibt das interne Kontrollsystem (IKS) des Prüfungsobjektes unberücksichtigt, da die Reduzierung der Risikowirkung durch das IKS an anderer Stelle der Risikobewertung berücksichtigt wird. Als Nutzen sind unmittelbarer finanzieller Gewinn und der finanzielle Wert von im Prüfungsobjekt verfügbaren Objekten und bzw. oder Informationen zu berücksichtigen.

0	Hohes Entdeckungsrisiko bei geringem individuellem Nutzen

1	Geringes Entdeckungsrisiko bei geringem individuellem Nutzen

2	Hohes Entdeckungsrisiko bei hohem individuellem Nutzen

3	Geringes Entdeckungsrisiko bei hohem individuellem Nutzen

Tabelle D.4 Risikoindikator Wahrscheinlichkeit wirtschaftskrimineller Handlungen

2. Direkte Risikowirkungen und deren Indikatoren

2.1 Reputationswirkung eines Objektes

Während...

Produkt-Details

• Erscheint lt. Verlag: 5.5.2021
• Sprache: deutsch
• Themenwelt: Wirtschaft ► Betriebswirtschaft / Management
• ISBN-10: 3-7534-1623-1 / 3753416231
• ISBN-13: 978-3-7534-1623-6 / 9783753416236