Animierte Erfahrung — Interne Revision
Ein Internal-Audit-Auftrag in Aktion
01 — Auftragsabgrenzung
Einen Auftrag definieren, der auf die Risiken und Ziele der Organisation ausgerichtet ist, mit einem klaren Mandat, einem expliziten Umfang und identifizierten Stakeholdern.
- Prüfungsuniversum und Plan — Den Auftrag im Prüfungsuniversum und im risikobasierten Jahresplan verorten.
- Ziele und Umfang — Die Ziele der Organisation in Prüfungsziele übersetzen und die Grenzen des Umfangs festlegen.
- Auftragsschreiben — Mandat, Umfang, Zeitplan, Ansprechpartner und Berichtsmodalitäten formalisieren.
- Ergebnisse
- Auftragsschreiben · Prüfungsziele · Umfang · Zeitplan · Stakeholder-Liste
- Interaktionen
- Prüfungsausschuss · Geschäftsleitung · Prozessverantwortliche · Risikomanagement
- Kompetenzen
- Risikobasierte Planung · Verständnis des Kontexts · Festlegung des Umfangs · Auftragssteuerung · Kommunikation mit dem Management
- Erwartete Ergebnisse
- Ein Auftrag, der auf die Risiken und Ziele der Organisation ausgerichtet ist
02 — Risikobeurteilung
Die Arbeit auf Risiken konzentrieren, die die Ziele beeinträchtigen könnten, indem jedes Risiko mit Schlüsselkontrollen und verfügbaren Daten verknüpft wird.
- Prozessdarstellung — Schritte, Akteure, Systeme und Daten des geprüften Prozesses beschreiben.
- Risikoereignisse — Fehlerszenarien identifizieren, die die Ziele gefährden könnten.
- Schlüsselkontrollen — Bestehende Kontrollen erfassen und ihre scheinbare Angemessenheit beurteilen.
- Priorisierung — Die zu prüfenden Bereiche nach Restrisiko und Nutzen der Zusicherung einstufen.
- Ergebnisse
- Vorläufige Risikobeurteilung · Prozessdarstellung · Risiko-Kontroll-Matrix · Arbeitsprogramm
- Interaktionen
- Prozessverantwortliche · Internes Kontrollsystem · Risikomanagement · IT · Finanzabteilung
- Kompetenzen
- Risikoanalyse · Prozessverständnis · Identifikation von Schlüsselkontrollen · Priorisierung · Berufliches Urteilsvermögen
- Erwartete Ergebnisse
- Ein Arbeitsprogramm, das sich auf wesentliche Risiken konzentriert
03 — Prüfungshandlungen und Tests
Schlussfolgerungen auf ausreichende, zuverlässige, relevante und nützliche Nachweise stützen und jeden Test sowie jede festgestellte Abweichung dokumentieren.
- Interviews — Die tatsächliche Praxis verstehen und Beschreibungen mit beobachteten Fakten abgleichen.
- Stichprobenauswahl — Eine nachvollziehbare Stichprobenmethode definieren und ihre Repräsentativität begründen.
- Kontrolltests — Das erwartete Ergebnis mit dem festgestellten Ergebnis vergleichen und Abweichungen festhalten.
- Datenanalyse — Die gesamte Population verarbeiten, um Anomalien und Trends zu erkennen.
- Ergebnisse
- Arbeitspapiere · Testergebnisse · Datenanalysen · Nachweisregister · Festgestellte Ausnahmen
- Interaktionen
- Prozessverantwortliche · Finanzabteilung · IT · Compliance
- Kompetenzen
- Interviewführung · Dokumentenanalyse · Stichprobenverfahren · Kontrolltests · Datenanalyse · Kritisches Denken · Dokumentation der Arbeit
- Erwartete Ergebnisse
- Eine vollständige, nachvollziehbare und überprüfte Arbeitsakte
04 — Feststellungen und Grundursachen
Symptome von Ursachen unterscheiden, um dauerhafte Verbesserungen statt punktueller Korrekturen vorzuschlagen.
- Kriterium und Abweichung — Den festgestellten Sachverhalt mit dem geltenden Kriterium abgleichen und die Abweichung messen.
- Grundursache — Von der Abweichung zu ihrer organisatorischen, technischen oder kulturellen Ursache zurückverfolgen.
- Auswirkung und Risiko — Die potenzielle Auswirkung und das Restrisiko für die Ziele beurteilen.
- Kontradiktorische Validierung — Die Sachverhalte von den Verantwortlichen bestätigen lassen, bevor eine Schlussfolgerung gezogen wird.
- Ergebnisse
- Feststellungsblatt · Ursachenanalyse · Prioritätsstufe · Auswirkungsbewertung · Validierung mit dem Management
- Interaktionen
- Prozessverantwortliche · Geschäftsleitung · Internes Kontrollsystem · Compliance
- Kompetenzen
- Ursachenanalyse · Synthese · Auswirkungsbewertung · Verfassen von Feststellungen · Kontradiktorische Validierung
- Erwartete Ergebnisse
- Sachliche, validierte Feststellungen mit einer identifizierten Ursache
05 — Empfehlungen und Bericht
Feststellungen in realistische, angemessene und wertschöpfende Empfehlungen umwandeln, begleitet von einer formellen Stellungnahme des Managements.
- Empfehlungsoptionen — Mehrere mögliche Maßnahmen nach Kosten, Frist und Auswirkung vergleichen.
- Zusammenfassung für die Geschäftsleitung — Eine entscheidungsorientierte Seite: Thema, Risiko, Empfehlung, erwartete Wirkung.
- Stellungnahme des Managements — Verpflichtung, Verantwortlichen, Frist oder akzeptiertes Risiko einholen.
- Ergebnisse
- Prüfungsbericht · Zusammenfassung für die Geschäftsleitung · Empfehlungen · Stellungnahme des Managements · Maßnahmenplan
- Interaktionen
- Prüfungsausschuss · Verwaltungsrat · Geschäftsleitung · Prozessverantwortliche · Externe Revision
- Kompetenzen
- Beratung · Verfassen von Berichten für die Geschäftsleitung · Kommunikation · Verhandlung · Präsentation vor dem Prüfungsausschuss · Formulierung messbarer Maßnahmen
- Erwartete Ergebnisse
- Ein klarer, entscheidungsorientierter Bericht mit datierten Verpflichtungen
06 — Nachverfolgung und Zusicherung
Eine Empfehlung schafft nur dann Mehrwert, wenn sie umgesetzt und überprüft wird: Die Nachverfolgung schließt den Zusicherungskreislauf.
- Nachverfolgungsregister — Offene Maßnahmen, Verantwortliche, Fristen und Verzögerungen verfolgen.
- Umsetzungsnachweis — Die Wirksamkeit der Maßnahme überprüfen und nicht nur die gemeldete Fertigstellung.
- Abschluss und Berichterstattung — Den Abschluss validieren und den Prüfungsausschuss über verspätete Maßnahmen informieren.
- Ergebnisse
- Nachverfolgungsregister · Dashboard · Nachverfolgungsbericht · Abschlussvalidierung · Information an den Prüfungsausschuss
- Interaktionen
- Prüfungsausschuss · Geschäftsleitung · Prozessverantwortliche · Internes Kontrollsystem · Risikomanagement
- Kompetenzen
- Umsetzungsverfolgung · Rechenschaftspflicht · Berichterstattung an den Prüfungsausschuss · Kontinuierliche Verbesserung
- Erwartete Ergebnisse
- Eine überprüfte Zusicherung über die wirksame Beherrschung der geprüften Risiken