Kaum ein Unternehmen betreibt heute noch alle Prozesse selbst. Lohnabrechnung, Rechenzentrum, ERP aus der Cloud: Die Verantwortung für Ordnungsmäßigkeit und Sicherheit bleibt trotzdem beim auslagernden Unternehmen. Prüfberichte der Dienstleister sind deshalb ein zentrales Steuerungsinstrument. Viele werden allerdings abgeheftet, ohne gelesen zu werden.
Die drei wichtigsten Berichtsarten
| Standard | Herkunft | Fokus |
|---|---|---|
| ISAE 3402 | international (IAASB) | Kontrollen beim Dienstleister mit Bezug zur Rechnungslegung des Kunden |
| IDW PS 951 | deutsch (IDW) | wie ISAE 3402, auf deutsche Anforderungen zugeschnitten, auch für andere Zwecke nutzbar |
| BSI C5 | deutsch (BSI) | Informationssicherheit von Cloud-Diensten nach einem festen Kriterienkatalog |
Wichtig ist außerdem die Unterscheidung nach Typ 1 und Typ 2 (beim IDW PS 951 Typ A und Typ B). Ein Typ-1-Bericht bestätigt nur, dass Kontrollen zu einem Stichtag angemessen ausgestaltet waren. Ein Typ-2-Bericht bestätigt zusätzlich, dass sie über einen Zeitraum wirksam funktioniert haben. Für die Abschlussprüfung und für eine echte Dienstleistersteuerung brauchen Sie in aller Regel Typ 2.
Fünf Fragen beim Lesen eines Berichts
- Passt der Gegenstand? Deckt der Bericht genau die Leistungen und Systeme ab, die Sie nutzen?
- Passt der Zeitraum? Liegt der Prüfungszeitraum nah genug an Ihrem Geschäftsjahr? Für Lücken gibt es Bridge Letter.
- Gibt es Abweichungen? Lesen Sie den Abschnitt mit den Testergebnissen. Abweichungen im Zugriffs- oder Change-Management betreffen oft auch Sie.
- Welche Kontrollen müssen Sie selbst ausüben? Die sogenannten komplementären Kontrollen beim Kunden werden gern übersehen. Typisch sind die Pflege eigener Benutzer oder die Prüfung von Verarbeitungsergebnissen.
- Gibt es Subdienstleister? Prüfen Sie, ob deren Kontrollen eingeschlossen oder ausgeklammert sind.
Cloud und digitale Souveränität
Bei Cloud-Diensten rückt neben der Sicherheit zunehmend die Frage der Abhängigkeit in den Fokus. Mit den C3A-Kriterien hat das BSI einen Rahmen für Cloud-Souveränität vorgelegt. Eine Einordnung für Prüfung und Beschaffung finden Sie bei unserem Partner GRC Factory: C3A – regulatorische Einordnung und Prüfungsrelevanz.
Unser Tipp
Legen Sie für jeden wesentlichen Dienstleister eine kurze Auswertung des Prüfberichts an: Gegenstand, Zeitraum, Abweichungen, eigene Kontrollen, offene Punkte. Eine Seite pro Bericht genügt. So haben Sie die Antworten parat, wenn Abschlussprüfer, Revision oder Aufsicht fragen.
Passende Seminare der GRC Akademie
- Prüfung von Dienstleistern – ISAE 3402 und IDW PS 951 richtig lesen und verwerten
Webinar, 2 Stunden · nächster Termin Di 23.02.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - Cloud sicher nutzen – Auswahl, Auslagerung, digitale Souveränität
Webinar, 2 Stunden · nächster Termin Di 20.04.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - Microsoft 365 und Cloud-Dienste datenschutzkonform einsetzen
Webinar, 2 Stunden · nächster Termin Di 26.01.2027 · 249 € zzgl. USt. (Frühbucher 199 €)
Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.