IT in der Abschlussprüfung: Was Unternehmen nach ISA [DE] 315 erwartet

Viele IT-Leitungen erleben es jedes Jahr: Kurz vor dem Jahresabschluss kommt eine lange Anforderungsliste des Abschlussprüfers. Berechtigungsauswertungen, Change-Nachweise, Protokolle zur Datensicherung. Seit der Einführung von ISA [DE] 315 (Revised 2019) ist diese Liste nicht kürzer geworden. Wer versteht, warum der Prüfer fragt, kann sich gezielt vorbereiten und spart beiden Seiten viel Zeit.

Warum der Abschlussprüfer auf die IT schaut

Der Abschlussprüfer prüft nicht Ihre IT um ihrer selbst willen. Er will wissen, ob er sich auf die Zahlen verlassen kann, die aus Ihren Systemen kommen. ISA [DE] 315 verlangt dafür, die IT-Umgebung zu verstehen, die Risiken aus dem IT-Einsatz zu identifizieren und die generellen IT-Kontrollen zu beurteilen, die diesen Risiken begegnen.

Die vier klassischen Prüfungsfelder

• Zugriffsschutz: Wer hat Zugriff auf rechnungslegungsrelevante Systeme? Werden Berechtigungen beantragt, genehmigt, regelmäßig überprüft und beim Austritt entzogen? Gibt es Notfall- und Sammelbenutzer?
• Change-Management: Werden Änderungen an Programmen und Einstellungen getestet, freigegeben und getrennt von der Entwicklung in die Produktion übernommen?
• IT-Betrieb: Laufen Datensicherungen und Schnittstellen zuverlässig, und werden Fehler erkannt und behoben?
• Auslagerungen: Welche Prozesse laufen bei Dienstleistern oder in der Cloud, und liegen dafür verwertbare Prüfberichte vor?

Was passiert, wenn Kontrollen fehlen

Eine IT-Feststellung führt nicht automatisch zu einem eingeschränkten Bestätigungsvermerk. Sie bedeutet aber, dass der Prüfer sich weniger auf Ihre Kontrollen stützen kann und mehr Einzelfallprüfungen durchführen muss. Das kostet Zeit und Geld, und wiederkehrende Feststellungen landen im Prüfungsbericht an den Aufsichtsrat.

So bereiten Sie sich vor

1. Führen Sie eine aktuelle Übersicht der rechnungslegungsrelevanten Systeme mit Verantwortlichen.
2. Machen Sie die Rezertifizierung von Berechtigungen zum festen Jahresprozess und dokumentieren Sie sie.
3. Sorgen Sie dafür, dass jede Änderung in der Produktion einem Ticket mit Freigabe zugeordnet werden kann.
4. Fordern Sie Prüfberichte Ihrer Dienstleister rechtzeitig an und prüfen Sie, ob sie den richtigen Zeitraum und die richtigen Kontrollen abdecken.
5. Bearbeiten Sie die Feststellungen des Vorjahres nachweisbar, bevor der Prüfer wiederkommt.

Sie möchten wissen, wie Ihre IT aus Prüfersicht dasteht? Unser Partner GRC Factory unterstützt bei IT-Prüfungen nach ISA 315, bei der Vorbereitung auf die Abschlussprüfung und bei der Optimierung des IKS.

Passende Seminare der GRC Akademie

• IT in der Abschlussprüfung nach ISA [DE] 315 (Revised 2019) – von den Risiken zu den IT-Kontrollen
  Seminar, 1 Tag · nächster Termin Mi 17.02.2027 · 590 € zzgl. USt.
• IT-Prüfung im Mittelstand – Praxisseminar mit Fallstudie
  Seminar, 2 Tage · nächster Termin Mi 30.06.2027 · 990 € zzgl. USt.
• Zugriffs- und Berechtigungsmanagement in der Praxis – Anforderungen, Rollenkonzept, SoD
  Seminar, 1 Tag · nächster Termin Mi 07.04.2027 · 590 € zzgl. USt.

Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.