Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

Prüfung VI > IT Prüfung - Buschbeck > Flashcards

IT Prüfung - Buschbeck Flashcards

Tag 1 und 2 zusammengefasst

1
Q

Warum ist die IT Notwendiger Bestandteil der JAP?

A
  • IT Anwendung = Teil IKS Komponente “Informationssysteme und Kommunikation”
    • Verständnis erforderlich
  • Identifikation Risiken = IT Umfeld
    • Dienstleister
    • abgeschottet oder nicht
    • Komplexität
    • aus welchen Aspekten ergeben sich Risiken für JAP
  • Sicherheit bei Prüfung automatischer Kontrolle
    • automatische Kontrolle relevant → allg. IT-Kontrolle zugrundeliegende System zu prüfen
      • ist es richtig programmiert
    • Effektivitätsprüfung allg. IT-Kontrollen → Effizienz erhöhen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Welche Standards sind seit dem 15.12.2021 wichtig für die IT Prüfung?

A
  • ISA DE 315 2019 revised
    • Softwarezertifizierung IDW PS 880
    • Einsatz Dienstleister ISA DE 402
  • Verwertung externe Prüfungsberichte nach ISAE 3402 → IDW PS 951 n.F.
  • Projektbegleitend IDW PS 850
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Welche Ebenen der IT gibt es in einem Unternehmen und was sind die dazugehörigen Prüfungsbereiche?

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Was sind die Aufgaben der IT-Abteilung?

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Was sind die Prüfbereiche in der IT-Abteilung?

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Was ist der Inhalt und das Ziel des ISA DE 315 rev 2019?

A
  • Ziel: unverändert (Identifikation Risiko wesentlicher falscher Darstellung doloser Handlungen / Irrtümer)
  • IT: integrierter Bestandteil IKS
  • IT-Begriffe in Definition enthalten
  • umfangreichere/detaillierte Vorgaben, wann/wie IT-geprüft werden
  • Anlage 5: Informationstechnologie
  • Anlage 6: generelle IT-Kontrolle
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Was sind Informationssysteme nach dem neuen ISA DE 315 rev 2019

A

Verstehen Informationsverarbeitungstätigkeiten der Einheit, einschließlich Daten/Information

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Skizzieren Sie beispielhaft den Einkaufsprozess eines produzierenden Unternehmen

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

In welchen Bereichen wird IT im Bereich der Informationssysteme eingesetzt?

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Welche Kontrollaktivitäten ergeben sich aus dem ISA DE 315 rev. 2019?

A
  1. Identifizierung Kontrollen, die Risiken wesentlicher falscher Darstellungen auf Aussageebene
  2. Identifizierung von IT-Anwendungen und anderen Aspekten der IT-Umgebung, IT-Einsatz ergebenden Risiken
  3. solche IT-Anwendungen
    1. verbundene, aus IT-Einsatz ergebende Risiken
    2. generelle IT-Kontrollen, die solche verhindern sollen
  4. für jede Kontrolle unter 1/3 (D&I Prüfung)
    1. Beurteilung Kontrolle wirksam ausgestaltet
    2. Kontrolle implementiert wurde, Befragung, Prüfungshandlungen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Welche Informationsverarbeitungskontrollen ergeben sich aus dem ISA DE 315 rev. 2019?

A
  • Verarbeitung von Informationen in IT-Anwendungen
  • Integritätsrisiken direkt behandeln
  • kann sagen: neue Daten nur dann, wenn zu alten passt
  • kann nur festlegen: “das was da steht, nicht das da was richtiges steht”
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Welche Risiken ergeben sich für die Informationsintegrität nach ISA DE 315 rev. 2019?

A
  • fehlerhafte/unvollständige Datenerfassung
  • Erfassung Daten ohne Zuordnung
  • Fehlerhafte/unvollständige Datenverarbeitung
  • manueller Eingriff automatisierte Verarbeiteung
  • Fehlerhafte/unvollständige Datengenerierung
  • Fehlerhafte/unvollständige Datenaufbereitung/-extrakt
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Skizzieren Sie Beispielhaft die Kontrollaktivitäten wenn das RoMM die unzutreffende Erfassung der Verbindlichkeiten durch Abweichung von RE zu Bestellung / Wareneingang ist

A
  1. Kontrollaktivität: automatischer Three-Way-Match
  2. Identifikation: It-Anwendung, aus deren Einsatz IT-Risiken entstehen
  3. siehe BIld
  4. GITC für ERP prüfen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Wie wird der Umfang der IT Prüfungsplanung abgeleitet?
Was passiert, wenn er unvollständig ist und warum ist ein gutes Verständnis notwendig?

A
  • unvollständige Identifikation: Umfang wahrscheinlich Unvollständigkeiten
  • gutes Verständnis IT-gestützte Geschäftsprozesse: notwendig für korrekte Prüfungsplanung
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Reichen GITC aus um ein RoMM zu adressieren?

A
  • GITC behandeln nicht direkt RoMM
  • reichen nicht um Risiko zu behandeln
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Wie wird der Einsatz der IT im Informationssystem geregelt? Inwieweit machen sich Unterschiede bemerkbar?

A
  • je komplexer, desto wahrscheinlicher Risiken
  • Unterschiede
    • Ausmaß Automatisierung / Nutzung von Daten
    • IT-Anwendungen und -Infrastruktur
    • IT-Prozesse (Personalmangel)
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Welche Risiken können aus dem Einsatz von IT resultieren?

A
  • Anfällige Kontrollen der Informationsverarbeitung für unwirksame Ausgestaltung/Funktion
    • unautorisierter Datenzugriff
    • Zugriffsberechtigungen, die Funktionstrennung aufheben
    • unautorisierte Änderungen Daten/Stammdaten
    • unautorisierte Änderungen IT-Anwendungen/andere Aspekte IT-Umgebung
    • Versäumnis, notwendige Änderungen/IT-Anwendungen vorzunehmen
    • unangemessene manuelle Eingriffe
    • möglicher Datenverlust / fehlende Möglichkeit für Datenzugriff
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

wann resultieren, und wann nicht aus dem IT-Einsatz Risiken?
Stellen Sie die Bereiche “Anwendung, Datenbank, Betriebssystem und Netzwerk ggü”

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Was sind GITC nach ISA DE 315 rev 2019?

A
  1. Zugriff bzw. Zugang (auf Datenbanken etc.)
  2. Änderungen
  3. IT-Betrieb
    - GITC: typischerweise jeder Aspekt IT-Umgebung implementiert
    - je nach Komplexität → unterschiedlich umfangreich ausgeprägt/implementiert
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

Skizzieren Sie in folgenden Bereichen des Prozess zur Verwaltung des Zugriff/Zugangs die wichtigen Bereiche (8 Stück)

AAPDPÜSP

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
21
Q

Nennen Sie Beispiele für die GITC im Bereich Zugriffsverwaltung

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
22
Q

Nennen Sie im Bereich des Prozesses zur Verwaltung von Programmänderungen und anderen Änderungen die wichtigen Bereiche

CFSD

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
23
Q

Nennen Sie Beispiele für GITC im Bereich Change-Management

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
24
Q

Nennen Sie die Wichtigen Bereiche im Prozess zur Verwaltung des IT-Betriebs

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
25
Q

Nennen Sie Beispielhafte GITC im Bereich des IT-Betriebs

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
26
Q

Wie werden GITC geprüft?

A
  • automatische Kontrollen: auch Kontrollen bzgl. systemgenerierte Berichte
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
27
Q

Wie wird die Wirksamkeitsprüfung der GITC durchgeführt?

A
  • nicht verpflichtend
  • grundsätzliche Frage: Soll Arbeit beim IT-Team oder beim Prüfteam liegen
  • Wirksamkeit GITC nicht verpflichtend, um Wirksamkeit automatischer Kontrollen zu prüfen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
28
Q

Wie ist die Funktionsprüfung der GITC ausgestaltet?

A
  • gem. ISA DE 330
  • keine spezifischen Vorgaben für GITC
  • Nutzung Nachweise aus vorhergehenden AP
    • Wirksamkeit GITC ein zu würdigendes Kriterium
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
29
Q

Warum ist IT Sicherheit wichtig? Welche Wesentliche Bedrohungen umfasst dieser Bereich?

A
  • kann IT Risiken auslösen
  • Wesentliche Bedrohungen
    • Cyber-Erpressungen/Ransomware
    • Schwachstellen Systeme/Anwendungen
    • Distributed Denial of Service Angriffe (DDoS)
    • Advanced Persistent Threats (APT)
    • Phishing
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
29
Q

Was sind die Unterschiedlichen Fokuspunkte der IT Sicherheit heute im Vergleich zu Früher?

A
  • Früher: Ultra-Verfügbarkeit der Server
  • Heute: Unantastbarkeit Datensicherung
  • Wenn bei Erpressung gezahlt wird: Terrorfinanzierung US-Recht
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
30
Q

Was sind die Grundsätze der IDW RS FAIT?

A

Leitfragen:
- GoB beim IT Einsatz wie umgesetzt
- Welche Sicherheitsanforderungen zu beachten
- Welche Maßnahmen umzusetzen

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
31
Q

Was sind die Leitfragen des FAIT 1?

A
  • IT-Systeme wie aufgebaut?
  • IT-Systeme im Unternehmen wie eingesetzt?
  • Einfluss IT auf RL?
  • Was muss bei IT-Einrichtung mit RL-Relevanz beachtet werden?
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
32
Q

Welche Elemente sind Wichtig für den Einsatz von IT in der Rechnungslegung?

A
  • Gesetzliche Vertreter müssen geeignete Regelungen einführen, IT-Risiken zu Managen und O-Anforderungen erfüllen
  • Bandbreite von Standardapplikationen (manuell) zu integrierten Systemen
    • # 238HGB #239HGB und #257HGB sind zu beachten
  • Gesetzeskonformität RL und Sicherheit RL-Daten sind Voraussetzung für Ordnungsmäßigkeit IT-RL
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
33
Q

Welche Zwei Bereiche von Anforderungen hat die IT im Bereich der Rechnungslegung? Geben Sie die Aspekte der Bereiche an.

A
  • Sicherheit
    • Vertraulichkeit (→Datenweitergabe)
    • Integrität
    • Verfügbarkeit (→Ausfallschutz)
    • Autorisierung
    • Authentizität (→Autorisierung)
    • Verbindlichkeit (→wenn Buchung gebucht, muss sie gelten)
  • Ordnungsmäßigkeit
    • GoB
    • Belegfunktion
    • Journalfunktion
    • Kontenfunktion
    • Dokumentation
    • Aufbewahrungspflichten
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
34
Q

Welche Bereiche hat die Einrichtung von IT mit RL Bezug?

A
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
35
Q

Wie wird der Einsatz von IT nach ISA DE 315 rev 2019 iVm ISA DE 330 behandelt?

A
  • Empfehlungen, Hilfestellungen, Hinweise etc. wie IT-Einsatz iRd AP behandelt werden kann
  • Hinweis auf bessere Integration Risiken aus IT-Einsatz in AP
  • Hinweise/Erläuterungen/Beispiele
    • Verständnis Informationssystem bei IT-Einsatz
    • Info-System als Grundlage Identifikation Risiken IT-Einsatz
    • Verständnis IT-Umgebung
    • Automatisierte InfoVerarbeitungskontrollen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
36
Q

Geben Sie Beispiele für GITC allgemein

A
  • automatisierter Schutz automatisierter UE-Konten vor manuellen Buchungen
  • Ausgestaltung Systemberechtigungen
  • Systemeinstellung zu Unveränderbarkeit/Nachvollziehbarkeit von Buchungen
  • Systemseitige Schnittstellenüberwachung
  • Automatisierte UE-Abgrenzung nach IFRS 15
  • Kontenfindung FiBu-System
  • Automatisierte Bewertungsverfahren Anlagenbuchhaltung Vorratsvermögen
  • Systemseitige HB-NB-Abstimmung
  • Automatisierte Funktionstrennung
  • Einstellungen Verhinderungen UE-Buchung ohne Warenausgang
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
37
Q

Nennen Sie beispielhafte GITC für den Verkaufsprozess

A
  • Bonitätsprüfungen vor Auftragsannahme und Erfassung Kreditlimit IT-Anwendung
  • Abgleich Kundenaufträge mit Warenausgängen bzgl. der zu liefernden Waren/Mengen
  • Abgleich gelieferte und berechnete Waren bzgl. Angebotspreis
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
38
Q

Nennen Sie beispielhafte GITC für den Einkauf

A
  • Freigabe Bestellungen durch Leiter Einkauf bei Überschreiten Grenzwerten
  • Abgleich Wareneingänge mit zugrundeliegenden Bestellungen bzgl. gelieferte Waren und Mengen
  • automatisierter Abgleich gelieferter und berechneter Waren bzgl. Bestellpreis
  • automatisierte Rechnungsprüfung iRd RE-Eingang
  • funktionale Trennung Bestellabwicklung, Warenannahme, RE-Prüfung, Zahlungsverkehr
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
39
Q

Nennen Sie beispielhafte GITC für Journalbuchungen

A
  • Automatisierte Überwachung Übertragung, erfasste Geschäftsvorfälle aus NB in HB, z.B: systemseitige Fehlermeldungen
  • nur vorgesehene Soll/Haben-Konten Kombination und Soll/Haben-Gleichheit
  • Systemeinstellungen, dass im HB erfasste Buchungen nicht/ nur mit entsprechender Freigabe geändert werden
  • Änderungen protokolliert
  • Buchungen systemseitig nur in gültigen Perioden
  • Buchungen nur durch MA mit entsprechender Berechtigung
  • unvollständige Buchungen werden nicht verarbeitet
40
Q

Was sind die Ziele der Datenanalyse im Rahmen der AP?

A
  • Einsatz kann umfassende Prüfung ermöglichen
41
Q

Was sind die Voraussetzungen für den Einsatz von Datenanalysen im Bereich der AP?

A
  • ausreichendes Prozessverständnis
  • Verfügbarkeit Daten/Datenexport/Datenverarbeitung
  • Datenqualität/-granularität
  • Vollständigkeit/Korrektheit Grunddaten
  • Ausreichende Kenntnis für Interpretation Analyseergebnisse
42
Q

Was ist der Gegenstand der Datenanalysen im Bereich der AP?

A
43
Q

Was ist das technische Umfeld der Datenanalysen im Bereich der AP?

A
44
Q

Was ist das rechtliche Umfeld der Datenanalyse iRd AP?

A
  • # 320I2HGB #320IIHGB : AP kann Aufklärung und Nachweise verlangen
  • # Art6IcDSGVO Zulässigkeit Verarbeitung personenbezogene Daten bei rechtlichen Verpflichtungen
  • # 51bIWPO Aufbewahrung für Dauer gesetzlicher Fristen
45
Q

Welche Einsatzbereiche kennt die Datenanalyse im Bereich der AP?

A

Fehlerrisiken erkennen
IKS

46
Q

Wie kann Datenanalyse bei der Erkennung von Fehlerrisiken nützlich sein?

A
  • Datenanalyse zur Identifikation von RoMM, insb. mögliche Anfälligkeiten
47
Q

Wie kann Datenanalyse im Bereich des IKS nptzlich sein?

A
48
Q

Welche Instrumente hat die Datenanylse im Bereich des IKS?

A
49
Q

Was sind ausgelagerte Prozesse?

A
  • RL-relevant wenn Sie dazu dienen, folgendes zu speichern oder zu verarbeiten
    • Daten (weit gefasst, alles HR/RL maybe nicht rein operative Produktionsdaten)
    • Geschäftsvorfälle
    • betriebliche Ereignisse
50
Q

Was sind typischerweise ausgelagerte Prozesse und Funktionen?

A
  • Typischerweise ausgelagerte Prozesse und Funktionen
  • IT-gestützte RL-relevante Geschäftsprozesse
  • Verarbeitung RL-Relevante Unterlagen
  • Erfassung und Verarbeitung von für den Abschluss relevante Ereignisse
  • Kontrolltätigkeiten iZm Aufzeichnung von Geschäftsvorfälle
51
Q

Was sind Bestandteile von IT-Outsourcing und Cloud-Computing?

A
  • Rechenzentrumsbetrieb
  • Basisbetrieb von IT-Anwendungen
  • Business Process Management
  • Shared Service Center
  • Cloud Computing
52
Q

Was sind die typischen Arten von Cloud Computing?

A
53
Q

Was sind die typischen Arten von Bereitstellungsmethoden für Cloud-Computing?

A
54
Q

Was sind Sicherheitsrisiken beim IT-Outsourcing?

A
55
Q

Was sind rechtliche Risiken beim IT-Outsourcing?

A
  • Datenschutz
    • Sicherungsmaßnahmen Bundesdatenschutzgesetz
    • IT-Outsourcing: Auftragnehmer #11IIBDSG
    • auslagernde Unternehmen bleibt nach #11IBDSG verantwortlich für Datenschutz
  • National/International
    • grenzüberschreitende Speicherung → weitere rechtliche Risiken
      • national/internationales Handelsrecht
      • Steuerrecht/Strafrecht
      • Zivilrecht
      • Datenschutz
  • Rechnungslegung
    • # 238ffHGB
    • Anforderung an Ordnungsmäßigkeit
56
Q

Welche Verantwortung tragen die gesetzlichen Vertreter beim IT-Outsourcing?

A
  • müssen gesetzliche Anforderung bzgl. Datenschutz sicherstellen
  • Auslagerung Prozesse/Funktionen → IKS muss angemessen ausgestaltet werden
  • Unrichtigkeit/Verstöße müssen Seiten IKS verhindert/aufgedeckt/bereinigt werden
  • von Beginn bis Ende Auslagerung zu steuern und zu überwachen
  • verbundene Systeme/Risiken müssen analysiert und strukturiert werden
57
Q

Was ist das Kontrollumfeld im Bereich des IT-Outsourcing?

A
58
Q

Wie ist die Organisation von IT-Outsourcing gestaltet?

A
  • sachgerechte Umsetzung
  • Bedeutung auszulagernden IT-gestützte Geschäftsprozesse → klar definiert/abgegrenzt
  • ordnungsmäßige organisatorische Verzahnung → Prozesse/Funktionen ist Anpassung
    • RMS
    • Aufbau/Ablauforganisation → Notwendigkeit Dienstleistermanagement
  • Verzahnung → Betriebshandbücher
59
Q

Wie wird das Outsourcing überwacht?

A
  • prozessunabhängige Überwachungsmaßnahmen → gesetzliche Vertreter → unabhängige Dritte, interne Revision, Datenschutzbeauftragte
  • vertraglich vereinbarte Prüfungsrechte → auslagerndes Unternehmen mittels eigener Prüfungshandlungen → Wirksamkeit Kontrollen
  • regelmäßige Prüfungen, durch unabhängige Dritte, ausgelagerte Unternehmen entsprechende Nachweise zur Verfügung zu stellen
60
Q

Welches Verständnis muss im Rahmen des ISA DE 402 über die erbrachten Dienstleistungen vorhanden sein?

A
  • Auswirkungen auf IK
  • Art/Wesentlichkeit vom Dienstleister verarbeitete Geschäftsvorfälle
  • Wechselwirkungen Tätigkeiten Dienstleister und der Einheit
  • Beziehung und vertragliche Bestimmungen
61
Q

Wie kann das Verständnis über erbrachte Dienstleistungen nach ISA DE 402 erlangt werden?

A
  • über auslagernde Einheit erlangt
  • wenn nicht möglich
    • Dienstleisterbericht Typ 1 oder 2
    • Kontaktaufnahme über Einheit zum Dienstleister
    • Aufsuchen Dienstleister / PH vor Ort
    • Hinzuziehen anderer Prüfer
62
Q

Wie wird das Outsourcing geprüft?

A
63
Q

Welche Arten von Dienstleisterberichten gibt es und wie unterscheiden sie sich?

A
  • Typ 1: Beschreibung / Konzeption Kontrollen zu bestimmten Zeitpunkt
  • Typ 2: Prüfung Beschreibung / Konzeption und Wirksamkeit Kontrollen für bestimmten Zeitraum
64
Q

Was müssen Dienstleisterberichte beurteilen und was muss zusätzlich erbracht werden, wenn Sie als Nachweise gebraucht werden?

A
  • Bericht beurteilen ob
    • ausreichend/geeignet ist für IKS Verständnis Dienstleister
    • Prüfer kompetent und unabhängig
    • verwendeter Standard angemessen
  • Verwendung als Nachweis zusätzlich:
    • Zeitpunkt/-raum angemessen
    • Umfang Nachweise ausreichend
    • Komplementärkontrollen definiert
65
Q

Wie funktioniert die Funktionsprüfung bei ausgelagerten Kontrollen?

A
  • Durchführung Prüfung beim Dienstleister
  • Hinzuziehen anderer Prüfer
  • Verwendung Typ 2 Bericht
    • Zeitpunkt/-raum Beschreibung/Konzeption/Wirksamkeit angemessen
    • Komplementärkontrollen eingerichtet / wirksam
    • abgedeckter Zeitraum vergangene Zeit → angemessen
    • Funktionsprüfung → Ergebnisse angemessen
66
Q

Beispiel: Dienstleister A bietet die komplette Lohn- und Gehaltsabrechnung als Dienstleistung an. Dazu verwendet Dienstleister A IT-Anwendungen, die von Dienstleister B betrieben werden. Frage: Was muss bei B betrachtet werden?

A
67
Q

Welche Dokumentationshinweise sind bei Dienstleisterberichten zu beachten?

A
68
Q

Was sind Internationale Alternativen des IDW PS 951 nF?

A
  • ISAE 3402 (International Standard on Assurance Engagements)
  • IASE 3402 = Basis für IDW PS 951 n.F.
  • IDW PS mehr Anforderungen als ISAE 3402
  • USA = Eher SSAE 18
69
Q

Was sind nach ISAE 3402 die Objectives des Service auditors?

A
  • reasonable assurance materially respects
    • service organizations descriptions fairly presents system as designed and implemented in specified period (Type 1 = specific date)
    • controls related to control objectives stated = suitably designed throughout specified period
    • included in scope of engagement, controls operated effectively to provide reasonable assurance that control objectives were achieved
  • report on matters above in accordance with findings
70
Q

Was ist der Gegenstand der Prüfung nach IDW PS 951 nF?

A
  • Beschreibungs Dienstleistungs-IKS und in der IKS-Beschreibung dargestellte Kontrollen und Kontrollziele auf Basis MGT abgegebener Erklärung
  • Subdienstleister ggf. einbeziehen
    • inklusive Methode: IKS Subdienstleister ist Teil Prüfung
    • Carve-Out Methode: Es erfolgt keine Darstellung Kontrollziele und Kontrollen Subdienstleister sondern lediglich Beschreibung erbrachte Subdienstleistungen
71
Q

Was sind Dienstleistungsbezogene IKS?

A
  • Anforderungen an Ausgestaltung
    • Organisatorisch und technisch umgesetzte Sicherung von:
      • Wirtschaftlichkeit
      • Ordnungsmäßigkeit/Verlässlichkeit RL
      • Einhaltung Gesetz/Sonstige Vorschriften
    • Kontrollziele anhand geeigneter Kriterien abgeleitet und beurteilt werden
      • gesetzlich/regulatorisch
      • Themen/Branchen/Industriespezifisch
      • Dienstleister selbst entwickelt
72
Q

Wie wird die Prüfung des Dienstleistungsbezogenen IKS prozessual durchgeführt?

A
  1. Verständnisgewinnung dienstleistungsbezogene interne Kontrollen
  2. Prüfung Beschreibung dienstleistungsbezogene IKS und zugrundeliegende Kriterien/Kontrollziele
  3. Prüfung Angemessenheit eingerichtete Kontrollen
  4. Prüfung Wirksamkeit eingerichtete Kontrollen
  5. Berichterstattung/-erstellung (inkl. Prüfungsurteil)
73
Q

Was sind die Idealtypischen Phasen der Konsolidierung?

A
74
Q

Was sind Risiken der IT Gestützen Konsolidierung?

A
  • ergeben RoMM innerhalb der Konzern RL
75
Q

Was sind Beispiele für die Risiken der IT gestützten Konsolidierung?

A
  • Unterschiedliche
    • Buchungszeitpunkte
    • Abschlusszeitpunkte
    • Informationsstände
  • Unvollständige / fehlerhafte
    • Daten aufgrund fehlender Funktionalitäten/manuelle Anpassungen
    • Datenpakete (Übertragung aus Quellsystem)
    • Automatische/parametrisierte Buchungen
76
Q

Was sind zeitliche Unterschiede zwischen IDW PS 850 vs ISA DE 315?

A
77
Q

Was sind die Projektphasen nach IDW PS 850 nF?

A
78
Q

Was sind Projektrisiken im Rahmen des IDW PS 850 nF?

A
79
Q

Was sind die wichtigen Faktoen des IKS im Rahmen des IDW PS 850 nF?

A
  • zuständige Gremien bereits während Prüfungsdurchführung auf wesentliche Mängel aufmerksam zu machen → Gegenmaßnahmen sollen bereits jetzt möglich sein
    • Indikatoren für weitere Schwachstellen
  • komplexe Projekte = laufende Berichterstattung jeweiliger Phasen
80
Q

Was sind Aspekte der Dokumentation und Berichterstattung nach IDW PS 850 nF?

A
  • Prüfer: Erkenntnisse dokumentieren → wesentliche Ergebnisse im Prüfbericht JAP zusammenfassen (Grundsatz Klarheit)
  • Einige Inhalte
    • Auftraggeber / Auftragsdurchführung
    • Prüfungsgegenstand
    • Art/Umfang PH
    • Informationen über IT-Projekt
    • Fachliche Grundlagen
81
Q

Wie werden Ergebnisse nach IDW PS 850 nF verwertet?

A
  • AP
    • Verwertung anhand Bescheinigung und Bericht
    • Beurteilung Fehlerrisikos
    • Beurteilung projektbegleitende Prüfung sowie Berichterstattung
      → Nachweis / Begründung Prüfung
82
Q

Wie muss bei Ineffektiven GITC vorgegangen werden? Beschreiben Sie die Schritte

A
  • Beurteilung Auswirkung Feststellungen bei GITC anhand 5 Stufen Modell
    1. Einfluss auf Wirksamkeit: kein unmittelbaren Einfluss auf Wirksamkeit Informationsverarbeitungskontrolle
    2. Kompensation alternativer Kontrolle: IT-Risiko kann durch andere GITC / alt. PH innerhalb IT-Kontrollen kompensiert werden
    3. direkte Prüfung GITC: Prüfung Wirksamkeit durch Prüfen Kontrolle
    4. Kompensation durch andere Kontrollen: RoMM durch manuelle Kontrollen behandelbar
    5. Neueinschätzung Kontrollrisiko: Behandlung RoMM durch aussagebezogene PH
  • Zusätzlich:
    • wesentliche Schwäche IKS?
    • Muss Prüfungsbericht über Schwäche berichten?
    • sind zusätzliche PH notwendig um Ordnungsmäßigkeit der Buchführung zu belegen
83
Q

Wie werden Ergebnisse eines zentral geprüften GITCs verwendet?

A
  • Werden alle relevanten IT-Risiken angemessen durch Kontrollen behandelt?
  • Sind GITC für alle relevanten IT-Anwendungen geprüft?
  • Sind Ergebnisse angemessen (Methodik, Zeitraum)
  • Feststellungen, lokale Reaktion nötig?
  • weitere lokale Risiken aus dem Einsatz von IT
84
Q

Wie werden Zertifikate verwertet und welcher Standard greift hier?

A
  • IDW PS 880 nF
    • kompletter Prüfbericht (ISA DE 315 rev 2019 →Zertifikat alleine reicht nicht)
    • Prüfer ausreichend Kompetent (WP+IT-Kenntnisse erkennbar)
    • Stimmt Version überein? ggf. Release-Version?
    • Bericht lesen und prüfen, ob Mandat richtig umgesetzt?
85
Q

Wie werden Softwareprodukte geprüft und welcher Standard ist einschlägig?

A

IDW PS 880 nF

  • Ziel: Beurteilung Ordnungsmäßigkeit / Sicherheit RL-bezogener Programmfunktion
  • neue Fassung: 2022
  • Prüfungsgegenstand können sein: Software insgesamt, einzelne Module, einzelne Funktionen
  • Softwareprüfungen umfassen: Beurteilung für das Aufgabengebiet notwendige Programmfunktionen
  • zu programminternen KS insb.:
    • Eingabe-, Verarbeitungs- und Ausgabekontrolle und programmierte Ablaufsteuerung (Programmabläufe und programmierte Regeln Workflowsteuerung) einschließlich des programmierten Zugriffsschutzsystems
86
Q

Welche Komponenten hat das IPE Risiko?

A
87
Q

Was ist der Unterschied zwischen Kontrolle und Aktivität?

A

Kontrolle ISA DE 315 (rev 2019)
* von Einheit eingerichtet
* Regelung oder Maßnahme zum Erreichen eines Kontrollziels des Mangagements oder Überwachung Verantwortlichen
* Regelungen: Erklärung was innerhalb der Einheit (nicht) getan werden soll um Kontrolle auszuführen
* Erklärungen dokumentieren, ausdrücklich erklärt/ durch Handlungen/Entscheidungen impliziert
* Maßnahmen: Handlungen zur Implementierung Regelungen

88
Q

Was sind Häufige Effizienzpotentiale im Rahmen der IT Prüfung?

A
  • überflüssige Kontrollen
    • keine prüferischen Risiken werden abgedeckt
    • reduziert bei keiner Aussage das RoMM
  • Stichprobengröße im Funktionstest
    • Häufigkeit Kontrolldurchführung, die für prüferische Zwecke benötigt wird, ist relevant und nicht tatsächliche (idR manuelle Auswertung von System-Fehlerreports z.B. Prüfung Altersstrukturliste auf EWB wöchentliche, jährliche Durchführung würde gleiche Sicherheit ergeben → nur YE mit IPE prüfen)
  • manuelle Prüfung automatischer Kontrollen trotz effektiv geprüfter GITC
  • Did-Do-Analysen statt Kontrollen zu nutzen
    • Massendatenanalysen als substantielle PH bieten höhere PH als Stichprobe
    • Bsp: Funktionstrennung im Verkaufsprozess SAP: Analyse, wer mit welchen Transaktionscodes bucht statt Berechtigungsprüfung
    • Bsp: Manuelle UE-Buchungen, manuelle WERE-Buchungen: JET-Routine manuelle Buchungen auf ausgewählten Konten statt Prüfung automatischer Kontrollen
    • Frühzeitig den Prüfungsansatz mit den IT-Prüfern abstimmen
89
Q

Was sind Aktuelle Themen der Digitalisierung?

A
  • schnellere Veränderungen in Unternehmen, Informationen werden zunehmend automatisch verarbeitet
    • Prüfer muss Verarbeitung Prüfungsurteil trotzdem verstehen
    • mehr IT-Knowhow oder Spezialisteneinsatz nötig
    • Routine-Prüfungsnachweise automatisiert erhoben werden
    • weniger Bedarf Assistenten, mehr Zeit komplexe Bilanzierungsentscheidungen
  • Big-Data und KI
    • ChatGPT
    • viel WPG investieren hohe Summen in Entwicklung eigener generativer KI
90
Q

Welcher Standard beinhaltet IT Prüfungen außerhalb der AP, was sind die wichtigen Punkte?

A
  • zwei Aufträge
    • Prüfung einer Erklärung zum IT
      • Erklärung gesetzliche Vertreter frei von wesentlichen Fehler
    • Direkte IT Prüfung
      • Prüfungsauftrag abgegrenzter IT-System auf Basis vereinbarter Kriterien
  • Anwendungsmöglichkeit
    • IDW PH 9.860.1
    • Hintergrund: DSGVO EU-Weit einheitliches Niveau → Mindestanforderungen
    • IDW PH 9.860.1
      • 06/2018 veröffentlicht
      • Anlage 1: konkretisiert Kriterien in Form Anforderungskatalog mit beispielhaften PH
91
Q

Was sind die berufsrechtlichen Auswirkungen der DSGVO?

A
  • kaum Auswirkungen durch Verschwiegenheitspflicht
  • WP/StB = nicht Auftragsverarbeiter, da eigenständig
  • s.a. Erläuterungen rechtliches Umfeld Datenanalysen
92
Q

Was sind Anwendungsmöglichkeiten der DSGVO Einflüsse auf Berufsrecht?

A
  • Prüfung Erklärung Betreiber kritischer Infrastruktur #8aIBSIG
  • Hintergrund: Einige Branchen (Energie, Wasser etc.) müssen Nachweisen dass sie Maßnahmen zur Störungsvermeidung implementiert haben
  • IDW PS 9.860.2 04/2020 veröffentlicht
93
Q

Was sind die Grunddaten der BAIT und VAIT?

A
  • Anforderungen größer als bei ISA DE 315 rev. 2019
  • IDA DE 315 rev 2019: Risiko für AP einschätzen/behandeln
  • BAIT/VAIT/KAIT/ZAIT: Ausgestaltung IT-Systeme/zugehöriger Prozess diesbezüglicher Anforderungen auf IT-Governance
  • auch hier Prüfung nach IDW PS 860 vorstellbar
94
Q

Was sind die Anwendungsmöglichkeiten der BAIT und VAIT?

A

Prüfung Cloud-Diensten IDW PH 9.860.3
- Hintergrund
- Cloud Dienstleister Mindestanforderungen an sicheres Cloud-Computing durch Umsetzung BSI Kriterienkatalog C5
- IDW PH 9.860.3: 10/2021 veröffentlich, Anlage 1 konkretisiert C5 Kriterien via Anforderungskatalog mit beispielhaften PH
- “kleiner Bruder” IDW PS 951 nF
#### Prüfung GoBD Compliance IDW PH 9.860.4
- Hintergrund: abgegrenzte GoBD relevante Geschäftsprozesse können auf GoBD Compliance geprüft werden
- IDW PH 9.860.4: 07/2021 veröffentlicht, Anlage 1 konkretisiert GoBD Kriterien → Anforderungskatalog inkl. beispielhafter PH
- kleiner “Bruder” IDW PS 951 nF (der für ganzen Prozess gilt)

95
Q

Wie werden KI-Systeme geprüft, welcher Standard greift?

A

IDW PS 861
- 2023 veröffentlicht
- Standard freiwillige Prüfung KI-Systeme außerhalb AP
- aufgebaut auf IASE 3000 rev. “Assurance Engagements Other than Audits or Reviews of Historical Financial Information”
- Prüfungsgegenstand: Beschreibung KI-Systems einschl. Beschreibugn enthaltener Darstellungen gesetzlicher Vertreter des Unternehmens, ob beschriebene KI-System die Kriterien einhält
- Prüfung Angemessenheit oder WIrksamkeit möglich

96
Q

Was sind geeignete Kriterien für die Prüfung von KI Systemen?

A
  • miteinander in Wechselwirkung stehend
    1. ethische / rechtliche Anforderungen für KI
    2. Nachvollziehbarkeit
    3. IT-Sicherheit
    4. Leistungsfähigkeit
97
Q

Was sind geprüfe Elemente von KI-Systemen?

A
  • KI-Governance/Compliance/Monitoring
  • Daten
  • Algorithmus
  • Anwendung
  • Infrastruktur

Prüfung VI (8 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions