IT-Audit, Zentralisierung & Risikomanagement: Planung und Schritte

Planung eines IT-Audits: 6 Schlüsselelemente

Im Rahmen eines internen IT-Audits fordert die Prüfungsleitung die Planung des Audits. Diese Planung muss mindestens 6 zentrale Begriffe umfassen:

1. Umfang und Ziele festlegen

   Definieren Sie, worauf sich die Prüfung beschränkt, welche Ziele erreicht werden sollen und wie die Zielerreichung gemessen wird. Dies schafft Klarheit über das zu prüfende Problem.

2. Ressourcenbedarf für die Prüfung

   Dies umfasst die benötigten personellen Ressourcen sowie die erforderliche Software und Hardware (z. B. Computer) zur Durchführung des Audits.

3. Ergebnisübermittlung (Wer, Wann, Wo)

   Legen Sie fest, wie die Ergebnisse berichtet werden. Dies beinhaltet die Erstellung offizieller Berichte, die Bestimmung, wer die Feststellungen erhält und in welchen Intervallen die Berichte übermittelt werden.

4. Zeitplan für die Aktivitäten erstellen

   Planen Sie die Phasen der Prüfung, einschließlich Terminen für Aktivitäten, die Lieferung von Berichten und die Frist für den Abschluss der Prüfung, um sicherzustellen, dass diese pünktlich erfolgt.

5. Verwendung von Techniken

   Bezieht sich auf die Methoden zur Informationssammlung und -analyse, wie Interviews, Fragebögen, Beobachtungen, Checklisten und die Begehung des Auditbereichs.

6. Sammeln relevanter Informationen

   Hierbei werden alle notwendigen Informationen und Materialien gesammelt, um die Prüfungsstudien durchzuführen und die Erkenntnisse zu testen.

Zentralisierung vs. Dezentralisierung in der IT

Die Wahl zwischen zentralisierter und dezentralisierter Datenverarbeitung und Geräteverwaltung hat weitreichende Konsequenzen für die Organisation.

Zentralisierung

Vorteile der Zentralisierung

• Skaleneffekte (Economies of Scale).
• Gemeinsamer Zugriff auf multiple Datenquellen.
• Bessere Kontrolle über Informationsausgaben und -flüsse.
• Zentrale Speicherung erleichtert die Verwaltung der Informationen.

Nachteile der Zentralisierung

• Die Verantwortung für Entwicklungsprojekte ist oft auf wenige Personen beschränkt.
• Mangelnde Kontrolle der Benutzer über die Entwicklung von Betriebssystemen.
• Mögliche Frustration innerhalb der Organisation aufgrund von Veränderungen in den Informationsdienstleistungen.

Dezentralisierung

Vorteile der Dezentralisierung

• Einsparungen bei Telekommunikationskosten.
• Größere Autonomie und Kontrolle durch die Nutzer.
• Höhere Reaktionsfähigkeit auf die spezifischen Bedürfnisse der Nutzer.

Nachteile der Dezentralisierung

• Verlust der zentralen Managementkontrolle.
• Doppelarbeit und redundante Personalressourcen.
• Potenzielle Inkompatibilität zwischen den implementierten Systemen oder Teams.

5 Schritte im Prozess der Risikobewertung

Die Verwaltung der Risikobewertung folgt einem strukturierten Prozess, um potenzielle Verluste zu minimieren:

1. Einrichtung eines Ausschusses

   Gründung eines Gremiums, das für die Entscheidungsfindung im Risikomanagement zuständig ist.

2. Bestimmung der Ziele

   Definition der strategischen Ausrichtung und der Ziele, die erreicht werden sollen (Was wollen wir erreichen?).

3. Identifizierung der Risiken

   Ermittlung der Art und Beschaffenheit der potenziellen Risiken.

4. Bewertung der Risiken

   Die Risiken sollten nach ihrem potenziellen Verlust und ihrer Kritikalität bewertet werden, wobei die wichtigsten Risiken priorisiert werden.

5. Prüfung von Alternativen und Behandlung

   Nach der Identifizierung und Bewertung der Risiken muss die geeignete Behandlung oder Lösung festgelegt werden, um die negativen Auswirkungen zu minimieren.