IDW PS 330

Question 1

Womit befasst sich der IDW PS 330?

Answer 1

Der IDW PS 330 befasst sich mit der Abschlussprüfung bei Einsatz von Informationstechnologie.

Question 2

Was ist Prüfungsgegenstand von IT-Prüfungen und was ist das Prüfungsziel einer IT-Prüfung?

Answer 2

Prüfungsgegenstand: IT-Kontrollsystem.

Prüfungsziel: IT-Fehlerrisiken feststellen.

Question 3

Anhand welcher Prüfungskriterien erfolgt eine IT-Prüfung?

Answer 3

1. Ordnungsmäßigkeit der Rechnungslegung

2. Sicherheit

Question 4

Konkretisierte die zwei Prüfungskriterien. Was ist genau unter den Prüfungskriterien zu verstehen?

Answer 4

1. Ordnungsmäßigkeit der Rechnungslegung: Prüfung der IT-gestützten Buchführung, ob Vollständigkeit, Richtigkeit, Zeitgerechtigkeit, Ordnung, Nachvollziehbarkeit und Unveränderlichkeit sichergestellt werden
2. Sicherheit: Prüfung Authentizität, Autorisierung, Vertraulichkeit, Verbindlichkeit, Integrität und Verfügbarkeit von Daten

Question 5

Nenne die Bestandteile eines IT-Kontrollsystems.

Answer 5

Das IT-Kontrollsystem setzt sich aus folgenden fünf Bestandteilen zusammen:

1. IT-Geschäftsprozesse
2. IT-Organisation
3. IT-Umfeld
4. IT-Anwendungen
5. IT-Infrastrukturen

Question 6

Aus welchen Bestandteilen setzt sich das IT-Fehlerrisiko zusammen?

Answer 6

1. inhärentes IT-Risiko

2. IT Kontrollrisiken

Question 7

Was ist unter dem inhährenten IT-RIsiko zu verstehen?

Answer 7

Unter dem inhärenten Risiko ist das Risiko zu verstehen, dass durch den Einsatz eines IT Systems Fehler auftreten können, die Auswirkungen auf die Ordnungsmäßigkeit der Rechnungslegung haben.

Question 8

Nennen Sie Beispiele für Risikoindikatoren.

Answer 8

Risikoindikatoren lassen sich differenzieren zwischen Risikoindikatoren auf Unternehmensebene und Prüffeldebene.

1. Zu den Risikoindikatoren auf Unternehmensebene: Abhängikeit, Änderungen, Know-how & Ressourcen sowie geschäftliche Ausrichtung.
2. Zu den Risikoindikatoren auf Prüffeldebene: z.B. sind Abläufe weitgehend automatisiert bzw. komplex und damit fehleranfällig

Question 9

Was ist unter dem IT Kontrollrisiko zu verstehen?

Answer 9

Unter dem IT Kontrollrisiko versteht man das Risiko, dass inhärente IT-Risiken, die zu wesentlichen Fehlern in der Rechnungslegung führen, nicht verhindert bzw. aufgedeckt und korrigiert werden.

Question 10

In welche 3 Kategorien lassen sich die IT-Fehlerrisiken gliedern?

Answer 10

1. It Infrastrukturrisiken
2. IT Anwendungsrisiken
3. IT Geschäftsprozessrisiken

Question 11

In welche Teilschritte lässt sich die IT-Systemprüfung gliedern?

Answer 11

1. Aufnahme des IT-Systems
2. Aufbauprüfung
3. Funktionsprüfung

Question 12

Erläutern Sie den Prüfungsschritt der Aufnahme des IT-Systems.

Answer 12

Es erfolgt eine Aufnahme des IT-Umfelds und -organisation, der IT-Infrastruktur, der IT-Anwendungen sowie der IT-Geschäftsprozesse.

Question 13

Was ist unter der IT-Infrastruktur zu subsumieren?

Answer 13

physische Sicherungsmaßnahmen, logische Zugriffskontrollen, Datensicherungs- und Auslagerungsverfahren, Maßnahmen für den geordneten Regelbetrieb, Verfahren für den Notbetrieb sowie Maßnahmen zur Sicherung der Betriebsbereitschaft

Question 14

Was ist unter den IT-Anwendungen zu subsumieren?

Answer 14

verfahrensbezogene Anforderungen der Grundsätze ordnungsmäßiger Buchführung, die Erfüllung der Anforderungen an die Softwaresicherheit sowie die Anforderungen an rechnungslegungsrelevante Verarbeitungsregeln

Question 15

Was ist unter den IT-Geschäftsprozessen zu subsumieren?

Answer 15

In welchen Prozessschritten sind IT-Anwendungen integriert und/oder werden manuelle Tätigkeiten ausgeführt. Wie und welche rechnungslegungsrelevanten Daten werden aus dem Geschäftsprozess in die Rechnungslegung übergeleitet (Daten-, Belegfluss und Schnittstellen).

Question 16

Nennen Sie 5 IT-gestützte Prüfungstechniken.

Answer 16

1. Erhebung von Informationen: IT-gestützte Darstellung von Geschäftsprozessen
2. Aufbauprüfung: automatische Checklisten
3. Funktionsprüfung: Kontrolltests in Geschäftsprozessen
4. Analytische PH: Abgleich von Konzepten mit gespeicherten Daten
5. Einzelfallprüfungen: Selektion und Bereitstellung gespeicherter Informationen

Question 17

Welche Mindestanforderungen an die Dokumentation und Berichterstattung stellt der IDW PS 330?

Answer 17

1. Dokumentation der Prüfungshandlungen und -erkenntnisse aus Aufbau- und Funktionsprüfung in den Arbeitspapieren und im Prüfungsbericht.
2. Art und Umfang der Dokumentation und Berichterstattung sind dabei abhängig von der Ausgestaltung des IT Systems. Je komplexer das IT System, desto umfassender hat die Dokumentation zu erfolgen.
3. Stellungnahme zur Ordnungsmäßigkeit der Buchführung und zur Sicherheit der verarbeiteten rechnungslegungsrelevanten Daten

Question 18

Wie ist mit festgestellten Schwächen im IT-System umzugehen?

Answer 18

1. Handelt es sich um wesentliche Schwächen im IT System:
   a. die zu wesentlichen Mängeln in der Rechnungslegung führen: Einschränkung/Versagung des Bestätigungsvermerks und Information an die gesetzlichen Vertreter
   b. die nicht zu wesentlichen Mängeln in der Rechnungslegung führen: Berichterstattung über festgestellte Schwächen im Prüfungsbericht
   c. in jedem Fall Information an die gesetzlichen Vertreter über wesentliche Schwächen im IT System
2. Handelt es sich um unwesentliche Schwächen im IT System, dann keine Auswirkungen auf Prüfungsbericht und Bestätigungsvermerk und auch keine Information an die gesetzlichen Vertreter notwendig

Question 19

Was ist bei Verstößen der gesetzlichen Vertreter oder Arbeitnehmer gegen das BDSG bzw. weitere Gesetze zum Schutz personenbezogener Daten zu beachten?

Answer 19

Sofern es sich um einen schwerwiegenden Verstoß handelt ist im Prüfungsbericht hierüber nach § 321 I S. 3 HGB zu berichten.

Question 20

Welcher Hinweis muss in den Prüfungsbericht aufgenommen werden?

Answer 20

Hinweis, dass Prüfung nicht darauf ausgerichtet ist, die Wirksamkeit des IT-Systems für Geschäftsführungszwecke zu beurteilen.

Question 21

Wann ist dieser Hinweis in den Prüfungsbericht aufzunehmen?

Answer 21

Der Hinweis ist nur in den Prüfungsbericht aufzunehmen, wenn bei festgestellten Mängeln zwingend zu berichten ist.

Question 22

Wie ist mit Verbesserungspotentialen umzugehen?

Answer 22

Verbesserungspotentiale sind nicht im Prüfungsbericht zu nennen. Vielmehr erfolgt die Information an die gesetzlichen Vertreter unbeschadet der Darstellung im Prüfungsbericht - in geeigneter Form (z.B. Management letter).