Auditplanung: Phasen, Risikobewertung und Strategie

Phase 1: Auditplanung

In dieser Phase wird ein vorläufiges Verständnis für die zu prüfenden Bereiche entwickelt und die relevanten Fragestellungen für die Evaluierungsphasen detailliert untersucht. Sie umfasst die vollständige Identifizierung von Prozessen, Risiken und Kontrollen, um die für eine bestimmte Prüfung relevanten Themen zu erkennen. Zudem wird ermittelt, welche Informationen von den Prozessverantwortlichen benötigt werden.

Jährliche Aspekte der Auditplanung

Die Planung der Prüftätigkeit sollte den zu prüfenden Umfang, die Häufigkeit und den Zeitpunkt der Prüfungen sowie die entsprechenden Budgets für Stunden und Kosten festlegen. Die Auditplanung ist eine jährlich stattfindende Tätigkeit, bei der jedoch folgende Aspekte zu berücksichtigen sind:

• Zunächst muss ein Plan definiert werden, der langfristige Prüfungsziele festlegt. Aufgrund der Unternehmensgröße und der Vielfalt der Abläufe ist eine umfassende Überprüfung in einem einzigen Jahr oft nicht möglich. Daher ist ein Plan erforderlich, der die Häufigkeit und den Zeitplan der durchzuführenden Revisionen definiert.
• Grundlage für die Erstellung dieses Plans ist die Analyse der grundlegenden strategischen Risiken, denen die Organisation ausgesetzt ist.
• Die Jahresplanung muss die Rahmenbedingungen berücksichtigen, welche die langfristigen Prüfungsziele beeinflussen. Dazu gehören die wirtschaftliche Entwicklung, Prioritäten der Verwaltung und Veränderungen der Risiken an den Finanzmärkten im Berichtsjahr.
• Der Planungsprozess sollte hauptsächlich die oberen Führungsebenen der Finanzkontrolle (z. B. Comptroller, Abteilungsleiter, Supervisoren) einbeziehen. Beiträge und Leitlinien der Geschäftsleitung sowie die Mitwirkung anderer beteiligter Manager (z. B. aus Prozessdesign, Risikomanagement) sollten ebenfalls berücksichtigt werden.
• Die Planung ist ein fortlaufender Prozess, der nicht mit der Erstellung eines Plans endet. Neue Fakten oder Umstände und ihre Auswirkungen auf die zukünftige Jahresplanung müssen stets berücksichtigt werden.

Zur Durchführung der oben genannten Aspekte müssen die folgenden Schritte durchlaufen werden:

Prozessverständnis und Voruntersuchung

Die Vorprüfung dient dazu, die Bereiche zu ermitteln, die für die Prüfung von größtem Interesse sind, um die Anstrengungen gezielt zu lenken. Diese Untersuchung sollte alle relevanten wirtschaftlichen, politischen und kulturellen Aspekte der Organisation sowie ihre wichtigsten Merkmale berücksichtigen, wie z. B. Ziele, Strategien, Richtlinien, Ressourcenmerkmale, zukünftige Projekte und die Organisationskultur. Ein wichtiger Aspekt dieser Phase ist die allgemeine Überprüfung der Risiken, Kontrollen, Systeme und Verwaltungspraktiken, die die Grundlage für die Festlegung von Risikobereichen bilden.

Risikobereiche beziehen sich auf Sachverhalte, die für das reibungslose Funktionieren der Organisation entscheidend sind und bei denen eine hohe Wahrscheinlichkeit besteht, Fehler zu finden, oder die aufgrund ihrer Bedeutung einen erheblichen Einfluss haben. Bei der Auswahl können Faktoren wie die Höhe der betreffenden Beträge, die Risiken geplanter Audits, die Sensibilität des Themas oder die Interessen der Geschäftsführung und der geprüften Einheit berücksichtigt werden.

Schritte der Voruntersuchung

Die Voruntersuchung umfasst die folgenden Schritte:

• Vorläufige Datensammlung
• Ermittlung von Bereichen, Prozessen und strategische Risikobewertung
• Bewertung des Kontrollumfelds

Sammlung von Hintergrundinformationen

Diese Phase besteht aus der Sammlung von Hintergrundinformationen, um die zu prüfenden Bereiche in ihrer ursprünglichen Form zu verstehen. Im Wesentlichen umfasst dies die Sammlung von Dokumenten wie dem strategischen Geschäftsplan, Budget- und Managementberichten, früheren Audit-Berichten, Informationen zu Produktions- und Informationssystemen, Arbeitspapieren der externen Revision, Verfahrenshandbüchern, Organisationsplänen usw.

Alle Unterlagen müssen gesammelt werden, um Verfahren zu bewerten, eine gründliche Kenntnis aller zu prüfenden Bereiche zu erlangen und relevante Fragestellungen für die Prüfung zu identifizieren. Diese Phase dient dem Verständnis der Kontrollmechanismen und der Identifizierung von übergeordneten Kontrollen (High-Level-Kontrollen).

Das Ziel ist es, den gesamten zu prüfenden Betrieb oder Geschäftsbereich zu verstehen. Dies geschieht durch den Dialog mit den verschiedenen Managern, um Kenntnisse über deren Pläne, Projekte, Systemänderungen und alle anderen Aspekte zu erlangen, die die interne Kontrolle im Betrieb beeinflussen. Letztendlich zielt dieser Schritt darauf ab, die Risikofaktoren für jeden Bereich zu ermitteln, zu aktualisieren und zu bestätigen.

Identifikation von Bereichen und Risikobewertung

Basierend auf den in den vorherigen Phasen gesammelten Informationen müssen die Gefahren identifiziert werden, die die Erreichung der Unternehmensziele beeinträchtigen könnten.

Zu diesem Zweck wird eine Matrix entwickelt, um die Risiken für jeden Prozess zu identifizieren und anschließend zu quantifizieren.

Die Erstellung dieser Matrix erfordert die Ausführung der folgenden Aufgaben:

• Beschreibung und vorläufige Bewertung: Jedes zu bewertende Risiko wird beschrieben und seine Relevanz vorläufig eingeschätzt.
• Bewertung nach Auswirkung und Wahrscheinlichkeit: Jedes Risiko sollte hinsichtlich seiner Bedeutung oder Auswirkung (hoch, mittel, niedrig) und der Eintrittswahrscheinlichkeit (hoch, mittel, niedrig) bewertet werden.
• Gewichtungsanalyse: Analyse der Gewichtung der einzelnen identifizierten Elemente.
• Definition einer Risikoskala: Es wird eine Skala definiert, die den verschiedenen Risiken zugeordnet wird.