|
1. Tag
Gesetzliche Rahmen-bedingungen und Anforderungen
- Warum der Abschlussprüfer die IT in seine Prüfung miteinbe-ziehen muss?
- Welche gesetzlichen Vorgaben existieren? – BAO, UGB, DSG, URÄG 2008, etc.
- Was bedeutet der Begriff „Ordnungsmäßigkeit“ für die IT?
- Die Bedeutung des Internen Kontrollsystems (IKS) in der IT.
- Welche Auswirkungen hat die 8. EU Richtlinie und die nationale Umsetzung auf die IT?
- Welchen Prüfungsrisiken ist der Abschlussprüfer ausgesetzt?
- Welche Verantwortung trägt der Abschlussprüfer?
Grundlagen der IT-Revision
- Applikationsunabhängige bzw. -abhängige Kontrollen.
- Eingabe-, Ausgabe- und Verarbeitungskontrollen.
- Welche Vorteile bieten Standards für den Prüfer?
- Internationale Standards (COBIT, ISO/IEC 27001, FAIT, etc.).
- Nationale Standards und Normen.
- Die Fachgutachten der Kammer der Wirtschafts-treuhänder (KFS-DV1, KFS-DV2).
- Informationssicherheit bzw. IKS.
- Wie sind die Prüfungs-handlungen zu dokumentieren?
Die Planung einer effizienten Vorgangsweise
- Was sind die ersten Schritte?
- Überblick über IT-Infrastruktur und Organisation.
- Die Unterstützung der Internen Revision.
- Der Einsatz von COBIT.
Organisation der IT
- Wie ist die IT beim Klienten organisiert?
- Wie werden Entscheidungen getroffen?
- Existieren die notwendigen IT-Prozesse?
- Entspricht die Dokumentation den Erwartungen?
- Sind die Verantwortlichkeiten klar definiert?
- Funktionstrennungen.
- Abhängigkeit von Schlüsselpersonen.
- Investitionsplanung und Budget.
- Entwicklungsstand und Zukunftsorientierung
|
2. Tag
Risikomanagement
- Wie werden die IT-Risiken verwaltet?
- Ist die Erkennung, Bewertung und Behandlung von Risiken gewährleistet?
- Wer trifft die Entscheidungen?
- Sind die Vorgänge zur Behandlung von Risiken nachvollziehbar dokumentiert und prüfbar?
Änderungswesen (Change Management)
- Welche Verfahren sind implementiert?
- Wie wird die Genehmigung und Durchführung von Änderungen durchgeführt?
- Wie wird mit Notfall-Änderungen verfahren?
- Sind die Änderungen nachvollziehbar?
Outsourcing
- Was ist bei einer ausgelagerten IT zu beachten?
- Welche Vorgaben existieren im Unternehmen?
- Sind die Dienstleistungsver-einbarungen (SLA) ausreichend?
- Wie wird die Einhaltung überprüft (Monitoring, IKS)?
Physische Sicherheit
- Sind die IT-Systeme angemessen gegen physische Bedrohungen
geschützt?
- Welche Vorgaben existieren?
- Werden die Mindestanforderungen für IT-Standorte (Serverräume)
erfüllt?
- Sind die Zutritte geregelt und nachvollziehbar?
- Ist eine Videoüberwachung von IT-Standorten notwendig bzw. zulässig?
Systementwicklung und Wartung
- Welche Vorgaben existieren im Bereich der Entwicklung?
- Wie wird Qualitätssicherung betrieben?
- Ist die Durchführung von Test- und Freigabeverfahren
implementiert?
- Wie wird die Einhaltung der gesetzlichen Anforderungen
gewährleistet?
- Wird den Dokumentations- und Aufbewahrungs-pflichten nachgekommen?
|
3. Tag
Verwaltung und Sicherheit von Daten
- Anforderungen des Geschäftes.
- Datensicherung und Wiederherstellung.
- Speicherung und Aufbewahrung.
- Entsorgung von Datenträgern.
Verwaltung von Benutzerkonten
- Prozess der Benutzeranlage.
- Antrag, Genehmigung, Vergabe und Schließung.
- Änderungen der Berechtigungen bei Abteilungswechsel.
- Interne bzw. externe Benutzer.
- Dokumentations- und Aufbewahrungspflichten.
Identifikation und Authentisierung von Benutzern
- Möglichkeiten der eindeutigen Identifikation eines Benutzers.
- Mindestens erforderliche Kontrollen (z.B. Passwortwechsel, Mindestlänge,
etc.).
- Technische Umsetzung des Anmeldeprozesses auf IT-Systemen und Anwendungen.
Case study:
Zum Abschluss des Seminars ist die Durchführung einer IT-Revision im Rahmen einer fiktiven Jahresabschlussprüfung vorgesehen. Dabei haben die Teilnehmer die Möglichkeit, die erworbenen Kenntnisse im
Rahmen einer Gruppenarbeit zu erproben. Die Vortragenden nehmen hierbei die Rolle eines Beobachters ein. Anschließend werden die Ergebnisse und Beobachtungen diskutiert. |
