#61: IT-Prüfung in der Abschlussprüfung – Grundlagen für Berufseinsteiger

00:00:02: Herzlich willkommen zu.

00:00:04: im Wesentlichen Keine Beanstaltung.

00:00:06: Dein Podcast zum Thema Wirtschaftsprüfern.

00:00:08: Mein Name ist Wurst

00:00:09: und mein Name ist Tobi.

00:00:11: Zusammen haben wir über zwanzig Jahre Berufserfahrung auf dem Buckel, und wir geben dir einen Einblick in den Alltag, den Beruf und die Aufgaben von Wirtschaftsprüfern.

00:00:19: Ob du dich als Student für den Beruf interessierst oder ob Du Dich als Einsteiger besser für deine Arbeit vorbereiten willst Bei uns bekommst Du Praxisnahe dos and don'ts für deine Zukunft.

00:00:29: Hier bleibt keine Erbser ungezählt.

00:00:42: Ich hab

00:00:51: nie überladen.

00:00:55: Oder war

00:00:56: das der letzte auf der Party-Base, Subsequel-Events?

00:00:59: Ja,

00:00:59: dass man nicht zu früh kommen darf auf Partys oder so.

00:01:02: Nein aber bei Lahnpartys muss du immer sein Rechter mitschleppen.

00:01:05: Du musst diese Lahnkabel dann musst mal alles verknüpfen.

00:01:08: Dann hat fünf Stunden lang nichts getan... ...dann hat man beim einen was getan und wieder beim anderen und am Ende irgendwann nach drei, vier, fünf, sechs Stunden hat dann endlich mal jeder zusammengefunden.

00:01:18: Man konnte zusammen das Spiel spielen Und da muss man schon auch irgendwann heimgehen.

00:01:22: weil es ja dann auch spät geworden ist Habe ich nicht

00:01:25: übernachtet?

00:01:26: Manchmal.

00:01:28: Aber wir hatten auch so fünf Liter Fesschen Bier immer dabei, die waren ganz neu die Party fest.

00:01:32: Ich

00:01:32: war da immer brav.

00:01:36: Auf jeden Fall so stelle ich mir das Thema IT-Infrastruktur vor.

00:01:42: Er fehlt noch die Totenkopfleigel?

00:01:44: Stimmt.

00:01:44: Wahrscheinlich oder?

00:01:45: Ja ja.

00:01:46: Und es leucht eine Keyboard und die Geheimfestplatten

00:01:50: mit den illegalen Spielen in unserem Profi.

00:01:52: Und eine Mikrowelle.

00:01:58: Also genau, wir reden nämlich heute über das Thema IT Prüfung.

00:02:01: Und da werden wir uns einerseits ein bisschen mit IT Infrastruktur auf allem mit den IT Anwendungen beschäftigen und wollen einfach einmal durchgehen was man eigentlich in so einer Jahresabschlussprüfung bei der IT-Prüfung ja ganz am Anfang macht um einfach ein Verständnis darüber zu gewinnen welche Risiken im IT Bereich in einem Unternehmen vorliegen.

00:02:22: Und ja, ich glaube das ist so ein Thema dass viele so ein bisschen sich nicht so gerne damit beschäftigen weil sie nicht ganz genau wissen was zu tun ist.

00:02:30: Dabei sind es eigentlich ganz basic Prüfungshandlungen und Schritte die man da am Anfang macht und da wollen wir einfach weit mal ein bisschen durchgehen zusammen.

00:02:38: Ja der ISO-Dreifünfzehn hätte den Fokus deutlich mehr auf IT prüfen gelegt und ich weiß auch noch Tobi das waren meine Erinnerungen unsere ersten Arbeitsjahre dass man dann ein äh dreieinachtigseitiges IT Memo bekommen hat, wo die IT-Brüffungen da drin stand.

00:02:52: Ausseite neun und siebzig dann drehen Blitzkonzerte oder so was.

00:02:57: Genau!

00:02:57: Und ursprünglich war das oft so... Man sieht es ja teilweise immer noch, dass die IT Prüfung so bisschen neben der Jahresabschlussprüfung verläuft.

00:03:04: Aber der Drei Fünfzehn ist schon sehr klar, dass er sagt, nee, das kannst du nicht machen, das gehört dazu.

00:03:09: Also die alte Welt mit dem ich glaube PS three Dreißig war das?

00:03:12: Oder PS drei dreißig Die funktioniert nicht mehr, dass man in zwei Parallelen erbält und arbeitet.

00:03:17: Sondern es hat logischerweise Konsequenzen wenn die IT nicht funktioniert.

00:03:20: auf meine ja das Abschlussprüfung sagt immer ganz platt oder das hat mal mein IT-Manager gesagt naja wenn du in SAP ein Report aufmachst und der zeigt was Falsches an dann ist halt doof

00:03:31: so.

00:03:32: deswegen muss wir da schon gucken ob das alles ordentlich angeht.

00:03:34: Und ehrlich gesagt war auch die alte IDWPS Welt da nicht getrennt.

00:03:38: Es waren nur zwei Standorts und es waren irgendwie geführt manchmal zwei Prüfungsteams die nebeneinander hergelaufen sind Aber der Grundgedanke war ja eigentlich schon immer der gleiche.

00:03:46: Und jetzt ist es halt zusammen noch mal ein bisschen enger verzahnt worden in den ISAS.

00:03:51: Ja, und weil wir immer wieder die Fragen gestellt bekommen und das auch immer wieder aufpuppt was muss ich dann überhaupt machen?

00:03:57: Das ist halt immer wie immer's kommt drauf an und wir wollen uns heute gar nicht so wirklich auf das Thema IT Operations oder Access or the Change konzentrieren sondern wirklich auf des Vorgelagerte.

00:04:07: Was sind denn so die Basic Sachen?

00:04:09: worauf muss ich achten und was sind denn die Implikationen daraus?

00:04:14: Okay, Tobi.

00:04:15: Dann starten wir los!

00:04:16: Wie geht es denn jetzt mal aus deiner persönlichen Sicht?

00:04:18: Wie geht's nur da vor wenn du so bei einer Erstprüfung oder?

00:04:22: Wir prüfen mal die Max Mussermann GmbH.

00:04:25: Eigentlich ist ja bei einer erst Prüfung egal ob es um IT- oder Verkaufsprozess oder allgemein das Unternehmen geht.

00:04:31: man hat noch nicht richtig Ahnung und muss erstmal Kenntnis überhaupt erlangen was eigentlich im Unternehmen alles so auftritt.

00:04:41: Genau das Gleiche ist es ja mit den IT-Anwendungen und den IT, ich sag mal Prozessen im Unternehmen.

00:04:45: Es ist eigentlich eine Prozessaufnahme die man am Anfang mal macht und sich überlegt und einen Überblick gewinnen muss was alles im Unternehmen vorhanden heißt.

00:04:55: Ich würde mal mit meiner Kontaktperson im Unternehmen, sei es beim Kickoff Gespräch oder wahrscheinlich in einem nachgelagerten Gespräch einfach mal fragen welches ERP System gibt's denn?

00:05:05: So kann man immer ganz gut einsteigen, weil das System wird in irgendeiner Form der Mandant haben.

00:05:09: Irgendwo werden die Buchhaltungsdaten schon gepflegt werden und so kann man sich ja dann einfach mal durchhangeln.

00:05:15: Und vielleicht gibt es auch einen Organikram von Mandanten wo er einfach mal zeigen kann welche IT Anwendungen eigentlich im Einsatz sind.

00:05:22: Da ist natürlich nicht jede IT-Anwendung interessant.

00:05:24: Also ich habe auch schon Übersichten von Mandatten bekommen.

00:05:26: da war dann Word und Excel aufgelistet.

00:05:29: Ja das ist gut aber das ist jetzt auch nicht das Interessanteste.

00:05:31: Aber Ich denke dass ist einfach der Einstieg.

00:05:33: einfach die Frage, welche Anwendung haben Sie denn im Einsatz in dem Unternehmen?

00:05:38: Ja das ist so der Kick-off und dabei würde ich es aber nicht belassen tatsächlich weil das sind ja oft dann die Hauptansprechpartner in der Bilanzierung usw.

00:05:46: Und dann geht man hier einen Schritt weiter und überlegt sich dann welche Teilprozesse gibt's hier in einem Unternehmen, nicht nur den Erstabschlusserstellungsprozess oder diesen ganzen Prozess was in der FIBU läuft sondern gibt sie ein Schritt weiter um.

00:05:55: man guckt sich dann zum Beispiel den Einkaufsprozess an und dann kommt meistens Dann wird es spannend, weil dann kommt plötzlich neue Systeme hoch die da aufpoppen.

00:06:03: Weil denn das ist nicht nur SAP oder nicht nur Datav sondern dann ist es ein Scansystem was da vorne dran hängt, ein Bestellsystem, der Freigabeprozess und so weiter.

00:06:12: Das wird ja auch irgendwo alles abgebildet in der Regel.

00:06:14: Und dann kommt eine IT-Systemlandschaft zu Tage wo man sich wundert, woher kommt das plötzlich?

00:06:21: Absolut!

00:06:22: Und ich meine, da hilft es natürlich auch irgendwie eine Vorlage zu haben in den Prüfungsunterlagen.

00:06:27: Einfach mal ne Liste.

00:06:27: welche Art von Systemen würde ich denn erwarten also neben dem ERP-System wie du sagst das ist ein Bestellsystem gibt dass es vielleicht in der Lagerverwaltung irgendein System gibt.

00:06:37: Es wird vielleicht ein eigenes System geben wo die Mitarbeiter ihre Zeiten erfassen müssen und so weiter.

00:06:42: Da hilft's natürlich einfach mal eine Liste zu haben und damit dann auch auf die Mandanten zugehen, weil sonst wird das ein sehr schwieriges Gespräch.

00:06:50: Und dann landet man natürlich sehr schnell da bei der Erkenntnis dass wenn man dann Powerpoint XL und Wörth einsetzt und dann hilft es natürlich nie mehr so viel.

00:06:58: Ja aber nicht jedes System ist relevant.

00:07:00: also ich sag mal einen Zugangsberechtigungssystem.

00:07:04: dass man irgendwie durch einen Drehkreuz durchkommt, allein das keine Personalerfassungszeiten sind sondern einfach nur ein Zutrittsberechtigung.

00:07:10: Das kann man da wirklich auch rausstreichen ist völlig irrelevant.

00:07:13: Da muss man sich einfach mal überlegen und dann denken was hat denn tatsächlich Einfluss auf den Jahresabschluss an sich?

00:07:19: Das sind sehr viele alte Systeme in der Regel aber es gibt halt auch ein paar die laufen dem mehr.

00:07:22: also eine komische Handy App oder sowas oder Mitarbeiter Kommunikation alleine das wäre jetzt nicht ausreichend um nicht zu sagen das muss wir da zwingen mit aufnehmen

00:07:30: genau Gut, also das ist schon mal die erste Information, die man irgendwie von Mandanten braucht.

00:07:35: Ich brauche die Arteanwendungen, die relevant sind und ich erfüll dann halt zu jeder Art der Anwendung aus.

00:07:42: welche Anwendungen?

00:07:43: Wie heißt denn die Anwendigung?

00:07:44: Welche Version es ist?

00:07:45: Und ja wie heißen die Anwändungen letztendlich?

00:07:47: Ja, ich weiß nicht ob das jetzt sein würde, aber was ich immer viel gesehen habe war denn Es ist SAP!

00:07:52: Genau.

00:07:54: Es gibt nämlich viele verschiedene SAP Systeme, Versionierungen gibt es, es gibt eine Cloud-Version vor Harnach.

00:08:00: Ich meine da gibt's einen guten Advisory Hinweis auch vom IDW tatsächlich das kann man sich ja mal gucken.

00:08:04: und die zur Einführung.

00:08:06: aber es gibt natürlich noch ganz andere Systeme und es gibt auch Eigenentwicklungen.

00:08:09: deswegen ist es schon wichtig auch eine Versionierung aufzunehmen damit man auch im Zweifel zu einer Historie hat Stichwort Migration kommen nachher noch draufzusprechen.

00:08:16: Und ihr merkt an der Stelle und auch im laufenden noch, es reicht da oft nicht dann auch mit dem Buchhalter zu reden oder mit dem, der für den Einkauf zuständig ist.

00:08:25: Weil er weiß halt in zwei Filiales das SAP und weil's noch hoch klicken muss.

00:08:30: aber da muss man dann auch mal mit der IT-Fahrerabteilung reden die dann auch sagt ja dass eben diese Version die wir haben die wir nutzen und dann hat man da auch vernünftige Antworten und gute Informationen.

00:08:41: im Endeffekt

00:08:41: Ja und der Klassiker ist, man geht hin zu den IT Ansprechpartnern.

00:08:44: Und die sind tierisch nervös, wissen gar nicht was man will.

00:08:47: Man verfangen sich dann gleich in einen IT-technischen Sonnekoponetten, die wir nicht verstehen.

00:08:52: Da muss man denen immer sagen es gehe gar nicht drum dass wir jetzt hier Fehler finden wollen sondern das wir verstehen.

00:08:55: wie fließen denn die Daten durch die Prozesse?

00:08:58: Das

00:08:58: kann ich tatsächlich aus der Praxis auch berichten dadurch dass die IT Abteilung im Zweifel gar nicht mit der Rechnungslegung so nah sind und mit der Abschlussprüfung zu tun haben.

00:09:08: Und vielleicht auch eher dann Prüfungen im Zertifizierungsbereich kennen, wo sie vielleicht auch mal eher auf die Finger bekommen haben wenn irgendwas nicht funktioniert?

00:09:16: Das hilft da manchmal einfach zu sagen wir brauchen jetzt einfach nur ein Verständnis es geht nicht um irgendetwas zu kontrollieren.

00:09:21: und dann ist die Stimmung und vielleicht schon bisschen lockerer.

00:09:24: und ja das ist nicht alles so nervös und angespannt im Gespräch

00:09:29: Genau.

00:09:30: Und wenn man so eine erste Bestandsaufnahme hat, dann kriegt man in der Regel eine relativ große Liste raus.

00:09:35: Jetzt kann man sich ein bisschen überlegen wie dokumentiere ich das?

00:09:37: Dokumentiere ich es in den jeweiligen Prozessen?

00:09:40: Das wird natürlich schnell unübersichtlich und vor allem man hat viele Doppelungen.

00:09:44: oder man nimmt halt eine eigene Dokumentationsbasis, in der ich die Systeme gesammelt aufnehme.

00:09:49: Ich sage mal in der Regie sind's vielleicht drei oder vier.

00:09:51: Es ist ein ERP-System, vielleicht noch ein Personalsystem Also auch vielleicht ein Reporting System, das war es dann.

00:10:00: Und dann überlege ich mir was ich jetzt mit diesen drei weiter verfahren.

00:10:03: oder ich gehe natürlich in die einzelne Prozessdokumentationen und sehe sich im Zwei, zwei, sechs SAP-Systeme, die sich da natürlich auch widersprechen könnten wo man da nicht wirklich sinnvoll drauf reagieren kann.

00:10:12: also da muss man einfach ein bisschen darauf achten dass wir dann eine saubere gute Dokumentation baut.

00:10:17: aber der Wertcheck ist natürlich wie du sagst auch interessant.

00:10:19: wenn ich dann mein Einkaufs- und Verkaufsprozessen so weiter aufgenommen habe Wenn das sich da Informationen natürlich am Ende widersprechen, dann sollte ich in meiner Dokumentation einfach auch gucken.

00:10:28: Ja passt es zu.

00:10:29: meiner Gesamtübersicht ist ja auch manchmal interessant ob dann wirklich jede Abteilung überhaupt weiß welche Software sie da nutzen und welche Version genau.

00:10:38: Und dann würde ich einfach in meine Dokumentations aufnehmen wenn nicht die Anwendungen habe eine ganz kurze Beschreibung was macht das Ding eigentlich bei SAP beim ERP System?

00:10:48: weil es vielleicht jeder bei Datas relativ klar Kurzer Punkt, aber es kann ja auch mal ganz ERP-Systeme geben wo manche Mandanten alle Module nutzen.

00:10:58: Manchmal werden auch nur Teile der Module genutzt.

00:11:00: dann sollte ich das auf jeden Fall aufnehmen.

00:11:01: und eine kurze Beschreibung wofür wird's denn genutzen für welche Prozesse?

00:11:05: Und was wird denn abgebildet dass sich einfach eine klare Dokumentation hat Wofür in welchen Bereichen mit welchen Funktionalitäten wird die Anwendung genutst?

00:11:14: Ja Das ist schonmal ein guter Startpunkt.

00:11:19: Dann gehts weiter Weil jetzt fange ich nämlich an, als ein paar Parameter abzufragen.

00:11:24: Abzustimmen mit den Mandanten die mir einen ersten Indikator geben muss sich mehr machen oder höre ich danach auf?

00:11:30: So und die gehen wir mal so bisschen durch was aus unserer Sicht relevant ist und was nicht relevant ist.

00:11:35: Und die erste Frage die ziemlich viel in der Weichenstellung schon ausmacht Was das Thema Risiko angeht Ist es eine Standard Software?

00:11:44: Ist es ne Standard Software die irgendwie angepasst wurde?

00:11:47: Customized wurde?

00:11:49: Oder ist es vielleicht sogar eine ganz komplette Eigenentwicklung, die der Mann dann da nutzt und gemacht hat.

00:11:55: Ich meine das kann sich glaube ich jedes ein bisschen vorstellen.

00:11:57: wenn's halt nicht Standard Software ist von der Stange Dann weiß man einfach dass gewisse Funktionen gegeben sind.

00:12:02: Es gibt hoffentlich auch irgendwie ein entsprechendes Software-Zertifikat Wo sie in Wirtschaftsprüfer die Funktion der Software schon angeschaut hat.

00:12:10: Dann kann ich mir den Prüfbericht dazu einholen.

00:12:12: Das wäre schon mal ein guter erster Schritt Und vielleicht ist ja auch nicht aus dem Jahr Ich weiß es nicht, um irgendeine Zahl zu nennen.

00:12:21: Aber das wäre natürlich schon mal super wenn ich die vorliegen habe.

00:12:25: dann kann ich gewisse Risiken vielleicht auch schon so ein bisschen ausschließen und weiß einfach die wurden adressiert geprüft und ich kann mich drauf stützen.

00:12:32: ja dem moment wo ich eine angepasste standard software hab das heißt man hat eine software gekauft und gewisse bereiche anpassen lassen dann wär interessant natürlich auch welche bereiche das betrifft und was standardisiert übernommen wurde genau um einfach dann vielleicht auch in den Bereichen die angepasst wurde, ein bisschen risikoorientierte Prüfungshandlung vornehmen zu können.

00:12:53: Ja

00:12:54: und beim Thema Eigenentwicklung ja, da muss man natürlich am umfassenden sich damit beschäftigen und hat wahrscheinlich ganz andere Risiken haben als bei einer Standard-Softwaren.

00:13:04: Ja was man so immer mal wieder hört und die Einschätzung wieder erteilen also eine Standardsoftware wo ich quasi aufhören mehr oder weniger aufhauen kann ist Dativ.

00:13:12: das Nur nach den fünfzehn Programmen, da kann man wenig ändern.

00:13:15: Das ist straightforward.

00:13:17: Ich glaube, da braucht man nicht viel machen versus eine Eigenentwicklung.

00:13:19: Ehrlicherweise wenn man die Eigenentwirkungen hat, dann wird man nicht um eine IT-Orde drum kommen, dass man sich zumindest mal ein Grundverständnis darüber aufbaut weil keine Ahnung ob die Datenbank richtig schreibt und so weiter.

00:13:30: Da muss man schon ein bisschen tiefer ansteigen, da werde ich nicht drum herumkommen.

00:13:33: Da kann ich nicht am Ende sagen es ist eine Eigen Entwicklung, die schon dreißig Jahre alt ist wo keiner mehr programmieren kann.

00:13:37: das ist kein Risiko für

00:13:38: mich

00:13:39: Das wird dann schwierig, ja.

00:13:41: Und ich meine um ganz klar mal zu sagen was werden bei einer eigenen Entwicklung Risiko?

00:13:45: ihr könnt ja nicht sicher davon ausgehen dass wenn ihr jetzt eine offene Postenliste der Debitoren abruft das da wirklich alle auf einem Posten haben wenn die auch abgerufen und dargestellt werden also wenn da einfach eine eigene Entwicklung vorhanden ist die sich niemand angeschaut hat Dann könnt ihr nicht einfach sagen, ja das ist jetzt der Abruf funktioniert sicher.

00:14:04: Da kann ich mich drauf stützen.

00:14:05: dann werdet ihr damit Sicherheit irgendwie noch weitere IPI Prüfungshandelungen.

00:14:08: durchschöne es

00:14:09: auf jeden Fall.

00:14:10: genau das könnte eine Reaktion sein auch ein Risiko dazu.

00:14:12: also wenn ich das Risiko identifiziert habe dass sie mich nicht auf die Vollständigkeit oder die Akkurat halt der Daten verlassen, dann muss ich meinen IPI-Testing einfach auswalten.

00:14:20: Ich meine das klingt immer so großes IT Audit hatte hieß es gar nicht so groß weil am Ende des Tages kommt da Risiken raus wo ich mehr überlegen muss meist über eine IT audit oder kriegst vielleicht durch substantielle oder durch alternative Prüfungshandel abgewickelt.

00:14:33: Standards of the bei SAP schwierig wesentlichlich ja.

00:14:36: also SAP ist eigentlich immer Kastemeister ist so schwierig super sauber einzustellen dass man schon immer sich damit beschäftigen muss was es ist und dass man da mal ein bisschen näher reinguckt, genau.

00:14:47: Und ich meine es gibt in letzter Zeit ja auch einige Softwareanbieter die sehr stark damit werben das sie gut anpassbar und individuell anpasbar sind.

00:14:57: Ich habe irgendwie eine Bushaltestelle in der letzten Zeit, oh du oft in der Werbung gesehen?

00:15:01: Die werben sehr stark dafür, dass sie anpassbare sind!

00:15:04: Ich kenne auch aus eigener Erfahrung.

00:15:07: Man dann, die das nutzen... Wirklich?

00:15:08: Ja tatsächlich

00:15:10: Keine

00:15:11: Werbung machen, aber es ist halt sehr individualisierbar.

00:15:15: Es passt dann irgendwie ran, aber manchmal muss man auch vielleicht mit meinen Danten genau nachfragen was das jetzt heißt wenn er so erzählt was die da angepasst haben.

00:15:24: also da lassen sich einfach sehr individuelle Reports nach meiner Erfahrung rauslassen Auswertungen aus dem System exportieren und ich meine dass das natürlich aus Prüversicht ja immer mit Vorsicht zu genießen.

00:15:38: Genau, ein weiterer Indikat und neben der Art des Softwares ist natürlich immer Anzahl der Nutzer.

00:15:43: Das heißt jetzt erst mal nicht wenn es viele Nutzer sind das Hochrisikobearzt hat, das zeigt einfach nur die Relevanz tatsächlich für die Software.

00:15:48: Da gibt's aber nur zwei weitere Kategorien.

00:15:50: einmal die Administratoren und da gibts noch eine Sonnerkategorie, die so genannte Superuse.

00:15:54: und ich weiß doch am Anfang meiner Zeit dann wenn die IT-Prüfer reinkamen und gesagt gibt's eine Superuse?

00:16:00: Ich hab die eingestellt, was ist denn das?

00:16:01: Was soll das sein?

00:16:03: Dann sind wir meistens zu der Erkenntnis gekommen, dass es welche gibt.

00:16:06: Also das haben die dann rausgefunden und da hat man jetzt als normaler Prüfer wenig damit zu tun.

00:16:12: Man muss einfach unterscheiden, so Superuser haben halt sehr umfassende Berechtigungen und das geht soweit, dass sie Sachen löschen können und dass sie irgendwelche Regeln umgehen können für auch im Prinzip Regeln

00:16:21: usw.,

00:16:21: was dem System hinterlegt ist.

00:16:23: Diesen immer kritisch.

00:16:24: So wenn ich ein Superuser habe, muss ich mir zumindest mal Gedanken darüber gemacht haben ob ich einen Risiko daraus habe.

00:16:29: Wer dich kaum drumherum kommen muss ich zumindest mal analytisch gucken hat der Super User irgendwie was gebucht.

00:16:35: Und falls ja was sind das?

00:16:37: Verbuchungen?

00:16:37: sind die unerwartet

00:16:38: so ist es.

00:16:40: jetzt kommt ironie.

00:16:40: ich glaube da haben wir auch schon ein paar Mal drüber geredet.

00:16:42: oft gibt's praktikanten null eins und null zwei Accounts die dann zu heißen und diesen am ende die super user Weil der Praktikant durch alle Abteilungen einmal wandert und dann wäre das ja umständlich, jedes Mal eine paar Monate die Berechtigung zu ändern.

00:16:59: Deswegen kann er einfach alles... Ja, da kann man schon mal draufgucken.

00:17:03: Das ist irgendwie so die Genie an den Ganzen.

00:17:05: Kann

00:17:05: alles und es anonymisiert sein?

00:17:07: Das sind nur die besten!

00:17:09: Und der Buch dann auch immer wild durchs gesamte Hautbuch, denn freut man sich ja.

00:17:13: Das macht richtig viel Spaß.

00:17:15: Genau.

00:17:15: Und wenn man Administratoren hat, die wirklich Sachen verändern können, dann muss man immer gleich gucken gibt es Protokollierungen in den Systemen?

00:17:22: also kann der irgendwie die Datenbank ändern ohne dass er nicht mehr mit schreibt so kann wir das Risiko noch adressieren.

00:17:29: und natürlich gibt's Administraturen Es gibt jedem System.

00:17:33: Das gehört auch dazu.

00:17:34: Das ist auch wichtig.

00:17:35: aber man muss sich dann halt überlegen wie gehe ich da prüferisch rum oder sind die administratoren auch okay?

00:17:39: Ja passt es

00:17:40: gut?

00:17:41: Dann kann man sich natürlich technisch so ein bisschen mit der Infrastruktur beschäftigen.

00:17:45: Das heißt, wenn das jetzt irgendwie auf gewissen Betriebssystemen läuft oder läuft es in der Cloud dann kann ich einfach mal festhalten, dass steht das Lokal im Server im Keller, der dann dem Zweifel bei der nächsten Überschwemmung geflutet wird?

00:17:58: Oder ist es halt ausgelagert an den professionellen Anbieter?

00:18:01: Welche Datenbanken stehen dahinter?

00:18:04: Mit welchen Netzwerken läuft das?

00:18:06: Also da wird es ein kleines bisschen technisch.

00:18:08: Spätestens da wird man die IT-Abteilung brauchen, die es dann ausfüllt und dann kann man gucken ob man daraus Risiken identifiziert oder nicht.

00:18:16: Die Zendenz ist ja ganz klar dass vieles in den Cloud wandert auch bei entsprechenden Anbietern ist Und ja auch die Netzwerkstrukturen von Microsoft und coden genutzt werden entsprechend.

00:18:27: Das sind denn schon so technische Sachen muss man sich immer belegen um das für einen wirklich tief relevant ist oder ob das in der oberflächlichen Beschreibung reicht.

00:18:34: Meistens reißt es in den Oberflächen die Beschreibung, wo's jetzt wirklich auch spannend wird und wo wir immer wieder in der Praxis auch oder ich zum Beispiel im Röbelstopper bin, wahrscheinlich auch ist das ganz große Thema Schnittstellen.

00:18:44: So ERP-Systeme haben ja keine Schnittstellen, sondern diese schieben mir Daten vor links nach rechts im gleichen System.

00:18:49: aber dann kommt's halt doch immer wieder vor dass Personalesystem läuft da vorgelagert oder sonst Gending läuft davor oder eine Faktorierung läuft danach.

00:18:57: oder muss man natürlich höllisch aufpassen weil gerade dieses Schnittstein natürlich Fehler anfällig sind und die müssen gewartet werden.

00:19:03: Wir müssen überprüft werden, das heißt man muss sich schon einen Überblick verschaffen.

00:19:06: Ich kann nicht nur sagen es gibt die Folien drei Systeme sondern ich muss auch verstehen wie hängt die zusammen?

00:19:10: In welchem Turnus hängt sie zusammen?

00:19:11: Werden die einmal im Jahr übertragen oder täglich usw.

00:19:14: Und dann kann man sich da wirklich schöne Gedanken darüber machen und echt spannende Prüfungshandlungen auch kreieren und sich einverlassen um das Risiko dass nicht alles sauber und vollständig übertragend wurde denn abgefangen wird.

00:19:25: Das kann von dem IBI-Testing sein Sie hat einfach mal quer rüber oder man geht wirklich auf den Kontrolle und schaut sich dann eher sowas an.

00:19:35: Also müssen wir mal gucken, was gibt es da für Reports?

00:19:38: Einfach mit Augen auf durchgehen.

00:19:39: Und ich habe schon ein paar Mal die Erfahrungen gemacht, weil er fragt ist das eine Schnittstelle wo jemand manuell eingreifen kann.

00:19:44: Dann kommt sehr schnell die Antwort Nein!

00:19:48: sieht oder gezeigt bekommt, wie die Schnister jetzt funktioniert.

00:19:51: Ja dann fängt es schon damit an.

00:19:52: ja dann wird die Datei auf das Laufwerk gelegt, dann kopiere ich sie und spiele sie da ein.

00:19:57: Moment aber dann greift sie ja manuell ein und dann können Sie ja die Excel-Datei die daraus kommt ändern.

00:20:02: Ahja doch stimmt!

00:20:03: Dann mache ich teils.

00:20:04: was manuell also manuell heißt glaube ich manchmal für viele weiß ich nicht ich drücke etwas aus uns kennen zu wieder einen oder rechne irgendwas zusammen oder so?

00:20:12: Nein in dem moment wo jemand händisch eingreifend und ändern kann, dann haben wir schon irgendwie eine manuelle Schnittstelle.

00:20:19: Und damit eventuell auch ein Risiko mit der ich mich irgendwie umgehen muss.

00:20:25: Gut!

00:20:25: Dann haben wir noch das ganze Thema Migration.

00:20:27: Migration ist natürlich ja auch immer ein Thema... Da hat man halt gerade sehr viele Mandanten.

00:20:32: Du wirst grad von einer neuen Software gesprochen.

00:20:34: Immer wenn du auf eine neue Software gehst aber auch innerhalb von Software Releases kommt es davor dass man migrieren muss auf einen neuen Datenmarkt oder auf eine andere Software.

00:20:43: was will sie?

00:20:44: Und da wird es ja natürlich super spannend, weil man natürlich anschauen musste die Daten vollständig übernommen worden.

00:20:49: Ja und jetzt kannst du gleich mal berichten.

00:20:51: also ich habe da schon den einen oder anderen Spezialfall gehabt zum Beispiel in dem Bücher unterschiedlichen Zeitpunkt haben als Hauptbücher bei der Migration.

00:20:59: dann ging die Bilanzumme plötzlich nicht mehr auf.

00:21:01: das war so ein Bisschen worst case aber auch tatsächlich beim Übertrag von einem Release auf den nächsten dass nicht alles übertragen wurde und dass einfach irgendwo Debiton oder Kreditoren gefällt haben und plötzlich die Nebenbücher nicht mehr abstimmbar waren, weil halt das neue System nicht einfach numerisch konnte oder nur numerisch war.

00:21:18: Ich weiß gar mal woran es lag aber das ist schon wichtig.

00:21:21: wenn der Mandant kein ausgeklügeltes System hat oder sich ein Prozess überlegt hat wie er das überprüft dann wird keinen Weg dran vorbeiführen sich das wirklich in der Prüfung anzuschauen.

00:21:31: und da kleiner Hinweis das ist eigentlich nicht die Aufgabe des WPs sich diesem Prozess an zu schauen um die Prüfungshandlungen zu finden Sondern man sollte das eher so sehen wie eine Inventurbeobachtung.

00:21:40: Ich schaue mir an, was der gemacht hat und stütze mich dann da

00:21:42: drauf.".

00:21:43: Also wenn ihr das machen müsst oder dürft, dann geht mal zumindest zu eurem Managern und könnt schon mal sein, dass wird ein Mehraufwand werden, er kann es schon mal direkt die Hand heben.

00:21:51: Ja ich habe auch die Erfahrung gemacht... Da muss man... Es ist ja logisch, dass ein Unternehmen macht das nicht jedes Jahr und natürlich werden sie oft begleitet von entsprechenden Beratern, die dann schon wissen, was zu tun.

00:22:04: aber wenn man da irgendwie hört Das kann jedem Berufseinsteiger auch so gehen in den Prozessgesprächen, wenn da irgendjemand mal im Halbsatz sagt ja damit habe ich jetzt nicht so beschäftigt.

00:22:14: In zwei Jahren wechseln wir eh das System oder?

00:22:16: Das passt mir jetzt nicht mehr an.

00:22:17: Das läuft nicht ganz rund weil wir wechselt ihr bald.

00:22:19: Ja dann sagt es doch mal euren Teamleiter eurem Wirtschaftsprüfer Weil dann kann man da auch aktiv das Gespräch mit Mandanten suchen.

00:22:27: Erstens darauf hinweisen, hey in dem Moment wo du die Übernahme machst erstens wähl den gleichen Zeitpunkt und vielleicht kriegst du es ja auch zum Jahresübergang hin Dann hast du nicht unterjährig, dann misst irgendwie mit Übertragungen Und vor allem dokumentier was du getan hast Erziehe einmal das alte System ab gleichs ab und legt die Excel oder PDF einfach irgendwo ab.

00:22:45: Dass mir die Frage wird kommen In der Prüfung, dann kannst du sie mir gleich schicken.

00:22:49: Da hilft's einfach frühzeitig drauf hinzuweisen.

00:22:53: Ich hatte auch schon den Fall.

00:22:54: Da habe ich lange drauf hingewiesen und dann gingen wir irgendwann ins Gespräch.

00:22:58: Und da hat er mir, ach übrigens!

00:23:00: Wir haben über den letzten Monat jetzt... wir waren so mutig und haben jetzt gewechselt.

00:23:04: Und er wollte doch erst ein Viertel jahr wechseln?

00:23:06: Ja, wir haben es jetzt getan.

00:23:07: Und dann war halt die Dokumentation nicht mehr da und dann wird's schwierig nachzuziehen usw.. Ich hab das auch schon erlebt.

00:23:16: gewechselt und dann gibt es ja meistens am Anfang so ein Testsystem, wo man einfach mal testet ob alle Funktionen tun.

00:23:21: Ja das hat man irgendwann über Bord geworfen und hat halt im Live-System getestet.

00:23:25: Das wird da größtenteils auch wieder storniert.

00:23:27: aber dass ist natürlich auch wenn ich da irgendwelche Buchungen drin habe die Testbuchung sind.

00:23:32: Dann hab' ich natürlich auch ein Problem in der Prüfung weil dann muss ich mal schauen... Da ist wirklich keine großen Effekte oder keine Effekt dem Optimalfall daraus gab!

00:23:42: Ich glaube, da hilft es einfach frühzeitig den Mandanten zu sagen hey wir werden uns mit dem Thema auseinandersetzen müssen.

00:23:47: Wenn wieder investierst du während dem Wechsel wo's auch stressig für dich ist kurz fünf Minuten dokumentierst das sauber oder es ist halt ein halbes Jahr später wenn ich da bin und dann wirds in Zweifel aufwendiger das noch nachzudokumentieren.

00:24:00: Ja gut und dann gibt es einen noch das große Thema Auslagerung und ich glaub dann sind so die wesentlichen Parameter aus unserer Erfahrung.

00:24:09: Das große Thema Auslagerung, jeder der mal im VP XAMVAC hat plötzlich diese Typ eins, Typ zwei Bescheinigungen mal plötzlich gelesen und das braucht man genau für die Auslagungsthematik also dann wirklich rechnungslebungsbezogene Sachverhalte ausgelagert sind.

00:24:23: Dann muss man natürlich auch diesen Prozess verstehen.

00:24:25: ich kann ja nicht sagen ach wenn es bei dem denn da ist das wird schon passen muss wir das anschauen und da gibt's eben verschiedene Bescheinigungen, die man sich da einholen kann und dadurch dann die entsprechende Prüfungssicherheit herausrehen.

00:24:35: Ringen kann zum Beispiel ob der Kontrollen implementiert hat usw.

00:24:38: Und das sind diese Typ eins, Typ zwei Bescheidungs eines Aufbauprüfungs mit Funktionsprüfung für jeweiligen Kontrollens.

00:24:45: Vorsicht!

00:24:46: Man muss den Bericht schon lesen, man kann ihn nicht aber blind ablegen.

00:24:48: also die Kontrolle, die beschrieben wird dem muss natürlich zu meinem Risiko auch passen weil sonst bin ich wieder blanko unterwegs Und vor allem das Mandantensystem muss auch auf dieser Infrastruktur dann laufen.

00:24:57: Das hatte ich auch schon mal, dass es dann irgendwo anders lief bei den Separationsgebungen.

00:25:01: Also da muss man einfach gucken, das sauber lesen, verstehen und da muss natürlich ganz normal würdigen ist derjenige, der das Ding gestellt hat, auch ordnungsgemäß und kann ja in dementsprechender Aussage treffen.

00:25:13: Vor allem kann natürlich auch das Ergebnis des Berichts gewesen sein, dass die Kontrollen nicht funktionieren und nicht angemessen sind.

00:25:19: Und dann sollte ich es natürlich auch nicht einfach nur ablegen weil dann aber ja ein Problem

00:25:22: ist immer ganz schlecht.

00:25:24: Immer darauf achten schon mal durchlesen und sich dann aber das Gute ist wenn man so eine tipp zwei Bescheinigung hat oder tipp eins da wird dir sehr viel beschrieben auf Prozessuale beschrieben.

00:25:32: Da werden auch Kontrollern beschrieben.

00:25:34: Ich kann auch, wenn ich davor vielleicht keine Control-Reliance-Strategie hatte mehr daraus eine gewisse Prüfungssicherheit generieren und kann da vielleicht auch Effizienzen heben.

00:25:42: Das heißt es macht schon Sinn sich das alles mal anzuschauen.

00:25:45: die Kollegen schreiben das nicht einfach nur so sondern man muss sich das auch anschauen und vor allem wenn man die Typ zwei Bescheidigung hat schaut er sehr auch für den Zeitraum relevant ist.

00:25:54: Früher war das der Pesk neunfünfzig glaube jetzt ist der Isaii vierunddassig neu zweit oder sowas?

00:25:58: Den Pferze

00:25:58: hätte ich noch sagen können beim Isar bin ich mir gerade nicht mehr sicher aber ja Keine

00:26:01: Ahnung mehr werden.

00:26:04: Die Kombination

00:26:04: ist gerade schlecht, das tauscht.

00:26:05: Wir

00:26:06: müssen heute auch wieder am Stehen aufnehmen weil die Mikrofonhaltung immer noch kaputt ist und wie heute viele Leute im Büro haben.

00:26:13: Und genau das ist das Thema.

00:26:14: also wenn wirklich was ausgelagert wird und auch das erfährt man nur in den Prozessgesprächen Weil es wird oft vergessen dass da etwas ausgelagert wird.

00:26:22: Beispielsweise eine Lohnbuchhaltung Wer hat dir einen Steuerberater ausgeladet?

00:26:26: Da wird's auf keinen Fall eine Typ zwei Bescheinigung nehmen.

00:26:28: Das kann ich jetzt schon sagen Aber das ist eine Auslage rum.

00:26:31: Deswegen muss man ein bisschen drauf achten und entsprechend die Konsequenzen draus ziehen.

00:26:35: Genau, wichtig nicht dass jetzt jeder immer zum entsprechenden Steuerberat einen Lobbuchhalter rennt und sagt hey ich brauche da so ne Bescheidigung habe ich im Podcast gehört.

00:26:43: Nein wenn es dir nicht kippt dann ist kann das auch okay sein?

00:26:45: Dann müsst ihr euch halt mit dem Prozess beschäftigen.

00:26:48: Ja und im Zweifels waren wir bei dem Steuerberate vorbei schauen.

00:26:50: Kann man ja machen oder was will man mit dem sprechen?

00:26:53: Gut!

00:26:53: So etwas was wir jetzt ausgeklammert hatten war eigentlich das was man zu Beginn macht.

00:26:56: Man beginnt hier mit den wesentlichen Posten Prüffelder, die ich da prüfen will und auf der Basis identifiziere ich dann die relevanten IT-Systeme.

00:27:04: Und diese Allokation brauche ich auch noch.

00:27:07: Also für alle nichtrelevanten Prüfungsfelder brauchte ich auch keine IT Aufnahme.

00:27:11: Wenn ich sage, die ihr sonstige Vermögensgegenständes sind irrelevant, dann brauche mich damit nicht beschäftigen.

00:27:15: wo kommen die Daten her?

00:27:17: Also dieser risikorientierte Prüfungseinsatz gilt übrigens auch für die IT-Prüfungen.

00:27:21: Genau!

00:27:21: Und wenn ich das dann alles irgendwie aufgenommen habe in einen großen Topf geworfen hab hoffentlich dokumentiert habe sauber Und auch entsprechend, wie du sagst den entsprechenden Prüffeldern zugewiesen habt.

00:27:33: Ab dem Sachanlage für Möwen und so weiter.

00:27:35: Ja dann kann ich jetzt irgendwie Risiken die ich identifiziert habe festhalten daraus oder musst sie identifizieren?

00:27:41: Das muss ich mir dann eben überlegen.

00:27:42: Wie gesagt wenn es Superuser gibt, wenn es Eigenentwickelte Anwendungen sind das ist natürlich hoch individuell und in dem Moment wo ich meine Risiken identifiziert habe und auch ausgewertet haben, beurteilt hat ob es da vielleicht Risiken gibt die halt bedeutsamer sind als andere und höher sind.

00:28:00: Ich hab die Risiken identifiziert.

00:28:03: Kann mir natürlich überlegen gibt's dazu eigentlich Kontrollen ja?

00:28:06: Die dann wieder entsprechend im Prozess verankert sind.

00:28:09: zum Beispiel wenn sie eben Schnittstellen gibt gibts eine Kontrolle die einmal ein Monat überprüft das alles sauber durchgelaufen ist.

00:28:15: Auch die halte ich fest wie ich das in jedem anderen Prozess auch tun würde Hab den Aufbau dann geprüft in der Grundtendenz eben angemessen und geeignet, um überhaupt das Risiko zu adressieren.

00:28:27: Und kann mir dann überlegen ob ich noch eine Funktionsprüfung durchführe oder nicht?

00:28:31: Das hängt im Wesentlichen davon ab wie ich meine Risiken beurteilt habe, ob ich höhere Risiken IT-Risiken identifiziert hab oder nicht.

00:28:39: Genau!

00:28:40: Wenn ich sage, dass ich keine IT-Resiken habe, dann war es das.

00:28:43: Dann

00:28:43: habe ich ein Verständnis gewonnen, dokumentiere das.

00:28:45: Tagendran.

00:28:46: Ja genau.

00:28:47: Sehr gut.

00:28:51: Also es ist eigentlich nichts anderes als eine Prozessaufnahme von einem Verkauf, vom Einkauf.

00:28:57: Man kann ja komplett die Angst

00:28:58: vorführen.

00:28:58: Genau und auch... Das hat jetzt nicht so viel mit Technik zu tun!

00:29:03: Wenn ich irgendwie Funktionen prüfe, dann muss man vielleicht ein bisschen IT-Verständnis haben.

00:29:08: Muss verstehen wie sich Systeme funktionieren, Schnittstellen funktionieren usw.. Aber das reine Verständnis des Aufbaus und der Risiken, die daraus folgen Ja, ich glaube das kann man sich zutrauen als in der Wirtschaftsprüfung tätige Person.

00:29:22: Eine Ergänzung noch eine letzte Thema Cyber Security.

00:29:26: Angriffe die durchgegangen sind Die Veränderungen an den Datenbeständigen Vorsacht haben eine Verschlüsselung und so weiter immer schlecht.

00:29:32: Da werde ich nicht drum herum kommen da werde ich ein Risiko haben.

00:29:34: auf die Daten die im Jahresabschluss verarbeitet werden kommt natürlich immer drauf an was wurde verschlüsselt?

00:29:39: Was wurde geklaut?

00:29:40: Was sind die Konsequenzen?

00:29:41: Nehmt es mal bitte noch mit auf und fragt es auch ab Okay gut top

00:29:46: Dann sind wir einmal durchgeflogen.

00:29:48: Einmal durch?

00:29:49: Freucht man noch eine Zusammenfassung?

00:29:50: Ja, machen wir oder?

00:29:52: Also, eine Minute quick and dirty

00:29:54: jetzt!

00:29:56: Genau.

00:29:56: also die IT-Prüfung ist nichts Schweres ja es ist nichts Außergewöhnliches das gehört einfach mit in die Jahresabschlussprüfungen hin dazu.

00:30:03: wie geht man vor?

00:30:05: Man schaut sich einfach an was möchte ich überhaupt prüfen?

00:30:06: und dann gehe ich mal ins erste Gespräch mit dem Mandanten und fahre welche Systeme habt ihr denn überhaupt im Einsatz und ordne die den relevanten Prüffeldern zu.

00:30:14: Das sind die drei relevanten Systeme.

00:30:18: Für jedes dieser Systeme gehe ich in ein Grundverständnis rein, das sich dann verstehen möchte und entsprechend weiterverarbeiten möchte und daraus Strückschlüsse ziehen wollen würde.

00:30:28: Darunter fallen insbesondere natürlich erst mit der Beschreibung, was ist es?

00:30:31: Versionierung usw.

00:30:33: Und auch wofür wird das überhaupt eingesetzt – das ist immer sehr wichtig damit man über die Jahre hinweg sich dieses Thema anschaut, dass man sieht wie entwickelt sich die IT-Landschaft.

00:30:41: Und dann gibt es sehr viele Einzelparameter, die Risikoimplikation haben könnten.

00:30:45: Darunter zum Beispiel ist eine Eigenentwicklung.

00:30:48: Gibt's sehr viele Superuser?

00:30:51: Ja, nein!

00:30:52: Gibt es Migrationen?

00:30:53: Gibt das irgendwelche komischen Schnittstellen oder unsauere Schnittstellen, die nicht funktionieren?

00:30:58: Ist ein Teil ausgelagert?

00:30:59: Gabs Migratione oder gab es auch einen Cybersecurity-Angriff der zur Datenverschlüsselung geführt hat?

00:31:04: und das verdichte ich am Ende zu einer Einschätzung ob ich daraus jetzt ein Risiko sehe oder nicht.

00:31:09: Und wenn ich sage, ich habe keinen Risiko dann kann ich damit aufhören.

00:31:11: Wenn ich sage Ich habe wirklich einen Risiko aus dem Einsatz von IT Dann muss sich den nächsten Schritt gehen die Aufbau- und Funktionsprüfung.

00:31:17: Da sprechen wir dann in der Regel immer von Manage Access, Manage Change und IT Operations.

00:31:22: Das ist dann der zweite Schritt, der dann wirklich den IT Prüfen gehört.

00:31:25: aber bis zu diesem Zeitpunkt kann man das ganze mal im Prüfungsteam abarbeiten um dann zu sagen wieso es für mich relevant ja oder nein.

00:31:32: Minute?

00:31:33: Oh fast!

00:31:34: Schneller oder kürzer?

00:31:35: Länger wahrscheinlich.

00:31:36: Okay naja gut Ich habe es nicht beschleunen.

00:31:41: Okay, klasse!

00:31:42: Vielen Dank und

00:32:07: bis bald!