Was ist IT-Audit?

Eine Tätigkeit, bei der fachkundige, vom geprüften Bereich unabhängige Auditoren (IT-Auditoren) prüfen und beurteilen, ob die Kontrollen für die Risiken von Informationssystemen angemessen ausgestaltet sind und wirksam betrieben werden, und die Ergebnisse der Unternehmensleitung und anderen als Bestätigung oder als Empfehlung zur Verbesserung berichten. Es verläuft über Auditplanung, Vorerhebung, Hauptprüfung, Beurteilung und Schlussfolgerung, Berichterstattung und Follow-up. In Japan veröffentlicht das Wirtschaftsministerium (METI) die System Audit Standards und die System Management Standards.

Japanische Bezeichnung: システム監査

„IT-Audit“ kommt in 8 Übungsfragen aus 1 Themen vor, z. B. IT-Service-Management und IT-Audit.

Fachgebiet: IT-Service-Management und IT-Audit

Ablauf eines Audits

Ein IT-Audit beginnt mit der Auditplanung, die Ziele, Umfang und Zeitpunkt festlegt. In der Vorerhebung sichtet der Auditor Unterlagen und befragt Beteiligte, um den tatsächlichen Zustand und die Risiken des Prüfungsgegenstands zu erfassen, und legt dann die Prüfungshandlungen für die Hauptprüfung konkret fest. In der Hauptprüfung werden durch Prüfungshandlungen wie Abgleich von Aufzeichnungen, Beobachtung und Tests Prüfungsnachweise gesammelt und in den Arbeitspapieren festgehalten. Aus der Beurteilung der Nachweise ergibt sich eine Schlussfolgerung; Feststellungen und Verbesserungsvorschläge werden im Auditbericht berichtet, und im anschließenden Follow-up wird der Stand der Verbesserungen geprüft.

Unabhängigkeit und Fachkunde

IT-Auditoren müssen vom Prüfungsgegenstand unabhängig sein. Sind sie an Entwicklung oder Betrieb des geprüften Systems beteiligt, beurteilen sie ihre eigene Arbeit oder die ihrer Abteilung; sie könnten dann nicht objektiv urteilen und würden nach außen auch nicht unparteiisch wirken. Auditoren nehmen Verbesserungen nicht selbst vor, sondern schlagen sie vor; für die Umsetzung ist die geprüfte Abteilung (und die Unternehmensleitung, die sie anweist) verantwortlich. Außerdem ist Fachwissen über Informationssysteme, Risiken und Kontrollen nötig.

Prüfungstechniken

Neben dem Sichten von Unterlagen, Befragungen, der Beobachtung vor Ort und dem Abgleich von Aufzeichnungen nutzen Auditoren auch computergestützte Techniken. Dazu gehören die Testdatenmethode, bei der ein Programm vom Auditor vorbereitete Daten verarbeitet und die Ergebnisse geprüft werden, die ITF-Methode, die im Produktionssystem fiktive Prüfkonten einrichtet, die Snapshot-Methode, die Daten mitten in der Verarbeitung ausgibt, und die Analyse aller Datensätze mit generalisierter Prüfsoftware. Zusammen heißen sie CAAT (computergestützte Prüfungstechniken).

Jetzt üben: Fragen zu IT-Audit

Welche Beschreibung des Zwecks eines IT-Audits trifft zu?

AAus unabhängiger, fachkundiger Sicht prüfen und beurteilen, ob die Kontrollen für die Risiken von Informationssystemen angemessen ausgestaltet und wirksam betrieben werden, und die Ergebnisse den Beteiligten als Bestätigung oder Empfehlung mitteilen
BSich an einem Entwicklungsprojekt für ein Informationssystem beteiligen, selbst Programme schreiben und testen und so die Entwicklung beschleunigen
CBei einer Störung in einem Informationssystem die Wiederherstellungsarbeiten leiten und selbst Maßnahmen gegen ein erneutes Auftreten umsetzen

Antwort und Erläuterung anzeigen

Antwort: A. Aus unabhängiger, fachkundiger Sicht prüfen und beurteilen, ob die Kontrollen für die Risiken von Informationssystemen angemessen ausgestaltet und wirksam betrieben werden, und die Ergebnisse den Beteiligten als Bestätigung oder Empfehlung mitteilen

Bei einem IT-Audit prüfen und beurteilen fachkundige Auditoren, die vom geprüften Bereich unabhängig sind, ob die Kontrollen (Steuerungs- und Überwachungsmechanismen) für die Risiken von Informationssystemen angemessen ausgestaltet sind und wirksam betrieben werden. Die Ergebnisse werden der Unternehmensleitung und anderen Beteiligten als Bestätigung, dass keine Probleme bestehen, oder als Empfehlung zur Verbesserung (Verbesserungsvorschlag) berichtet. Würden die Auditoren selbst Entwicklungs- oder Betriebsarbeiten ausführen, beurteilten sie ihre eigene Arbeit, und ihre Unabhängigkeit wäre beeinträchtigt.

Wer ist unter dem Gesichtspunkt der Unabhängigkeit von IT-Auditoren am besten geeignet, ein Vertriebsmanagementsystem zu prüfen?

AEin Mitarbeiter der IT-Abteilung, der das Vertriebsmanagementsystem entwickelt hat und noch heute für seine Wartung zuständig ist
BEin Gruppenleiter im Vertrieb, der das Vertriebsmanagementsystem täglich nutzt und das Geschäft steuert
CEin Mitarbeiter der Internen Revision, der weder an Entwicklung noch Betrieb des geprüften Geschäftsprozesses oder Systems beteiligt ist

Antwort und Erläuterung anzeigen

Antwort: C. Ein Mitarbeiter der Internen Revision, der weder an Entwicklung noch Betrieb des geprüften Geschäftsprozesses oder Systems beteiligt ist

IT-Auditoren müssen vom Prüfungsgegenstand unabhängig sein. Prüfen Personen, die an Entwicklung, Betrieb oder Nutzung des geprüften Bereichs beteiligt sind, beurteilen sie ihre eigene Arbeit oder die ihrer Abteilung; sie urteilen dann womöglich nicht objektiv und wirken nach außen auch nicht unparteiisch. Deshalb wird die Prüfung Mitarbeitern einer von der geprüften Abteilung unabhängigen Internen Revision oder externen Auditoren übertragen.

Häufige Fragen

Wie unterscheidet sich ein IT-Audit von einem Informationssicherheitsaudit?

Ein IT-Audit umfasst das gesamte Spektrum der Risiken von Informationssystemen, etwa Wirksamkeit, Effizienz, Zuverlässigkeit und Sicherheit. Ein Informationssicherheitsaudit konzentriert sich darunter auf die Informationssicherheit. Da sich die Prüfungsbereiche überschneiden, führen manche Organisationen beide gemeinsam durch.

Kann ein Mitarbeiter der Internen Revision IT-Auditor sein?

Ja. Eine interne Prüfung durch Mitarbeiter der Internen Revision der Organisation kann als IT-Audit durchgeführt werden, solange diese von den geprüften Geschäftsprozessen und Systemen unabhängig sind. Daneben gibt es externe Audits, mit denen Fachleute von außen beauftragt werden; beide werden je nach Zweck eingesetzt.

„IT-Audit“ in den Erläuterungen

Bei einem IT-Audit prüfen und beurteilen fachkundige Auditoren, die vom geprüften Bereich unabhängig sind, ob die Kontrollen (Steuerungs- und Überwachungsmechanismen) für die Risiken von Informationssystemen angemessen ausgestaltet sind und wirksam betrieben werden.
Welche Beschreibung des Zwecks eines IT-Audits trifft zu?
IT-Auditoren müssen vom Prüfungsgegenstand unabhängig sein.
Wer ist unter dem Gesichtspunkt der Unabhängigkeit von IT-A…
Ein IT-Audit verläuft im Allgemeinen in der Reihenfolge Auditplanung, Vorerhebung, Hauptprüfung, Beurteilung und Schlussfolgerung, Berichterstattung und Follow-up.
Was geschieht unter den Schritten eines IT-Audits in der Vo…
Im Follow-up prüft der IT-Auditor, ob die geprüfte Abteilung die vorgeschlagenen Verbesserungen planmäßig umsetzt.
Ein IT-Auditor hat im Auditbericht Verbesserungsvorschläge …
Die System Management Standards fassen zusammen, was eine Organisation tun sollte, um ihre Informationssysteme angemessen zu verwalten, und IT-Auditoren verwenden sie als Maßstab für ihre Prüfungsurteile.
Was verwendet ein IT-Auditor bei einem IT-Audit hauptsächli…