IT-Audit im Mittelstand - Ansätze, Risiken und Schwachstellen

Wie das IT-Audit Schwachstellen aufdeckt und worauf sich Abschlussprüfer jetzt einstellen sollten

Im Mittelstand unterliegt die IT-Landschaft einer ständigen Veränderung. Geschäftsprozesse, Produkte und Dienstleistungen der zu prüfenden Unternehmen verlagern sich zunehmend in die digitale Umgebung. Mittelständische Unternehmen stehen dabei vor zahlreichen Herausforderungen. Dieser Blogbeitrag zeigt auf, wie das IT-Audit ein entscheidendes Werkzeug des Abschlussprüfers sein kann, um Mandanten dabei zu unterstützen.

Die technologischen Veränderungen und damit die Gefahren von Cyberkriminalität und Sicherheitsverletzungen nehmen zu. Dies setzt Unternehmen in der heutigen Zeit dem Risiko von IT-Systemausfällen, Cyber-Angriffen und Datenschutzverletzungen aus. IT-Audits spielen eine zentrale Rolle bei der Sicherstellung der IT-Integrität und -Effizienz in mittelständischen Unternehmen. Gleichwohl steigen damit die Anforderungen an das Knowhow und die Expertise des Abschlussprüfers. Hier könnte die Hinzunahme externer Partner ein Lösungsansatz sein. Die Implementierung von ISA [DE] 315 (Revised 2019) bietet grundsätzlich eine hervorragende Gelegenheit, IT-Audits in den Fokus zu stellen und mit den Erkenntnissen der Prüfung den wachsenden Herausforderungen in der IT-Landschaft des Mandanten erfolgreich zu begegnen.

Möchten Sie das Thema vertiefen? Im Online-Seminar der IDW Akademie „Typische Schwachstellen bei KMU“ behandeln wir weitere Themen und Praxisbeispiele.

Risiken und Schwachstellen in der IT

Die IT ist das Rückgrat moderner Unternehmen, ermöglicht Innovation, Effizienz und Wettbewerbsvorteile. Doch mit der wachsenden Abhängigkeit von IT-Systemen steigen auch die Risiken und Schwachstellen, die Unternehmen bedrohen.

Durch den Prüfungsstandard ISA [DE] 315 (Revised 2019) erfolgt ein verstärkter Fokus auf die Auditierung der IT des Mandanten im Rahmen der Jahresabschlussprüfung. Damit wird dem IT-Audit mehr als nur eine Kontrollfunktion zu Teil. Es kann ein strategisches Instrument zur Reduzierung von Risiken im Kontext IT sein. Diese Risiken umfassen ein breites Spektrum, welches sich in folgende Bereiche gliedern lässt:

Menschliches Versagen ist eine der häufigsten Ursachen für IT-Sicherheitsvorfälle. Dies kann unbeabsichtigtes Löschen wichtiger Daten, das Teilen sensibler Informationen, die Verwendung schwacher Passwörter oder das Ignorieren von Sicherheitsupdates umfassen. Menschliches Versagen ist oft auf mangelnde Schulung, Sensibilisierung oder unzureichende Kontrollen (Vier-Augen-Prinzip) zurückzuführen.
Technisches Versagen kann auf Softwarefehler, Hardwareausfälle oder Sicherheitslücken zurückgeführt werden. Veraltete Systeme sind besonders anfällig für Angriffe, da sie oft nicht mehr unterstützt werden und bekannte Schwachstellen aufweisen. Technische Defekte können auch durch natürliche Ereignisse wie Überschwemmungen oder Brände verursacht werden.
Spam und Phishing sind weit verbreitete Methoden, mit denen Angreifer versuchen, an vertrauliche Informationen zu gelangen. Phishing versucht, Nutzer dazu zu bringen, sensible Informationen preiszugeben oder schädliche Links zu öffnen, während Spam oft als Vehikel für Malware oder als Ablenkungstaktik eingesetzt wird.
Unbefugte Zugriffe sind ein weiteres großes Risiko. Sie können durch externe Angreifer erfolgen, die Sicherheitslücken ausnutzen, oder durch Insider, die missbräuchlich auf Informationen zugreifen. Die Folgen können Datenverlust, Datenmanipulation oder der Diebstahl geistigen Eigentums sein.

Die Schäden für Unternehmen durch solche Sicherheitsvorfälle sind vielfältig. Finanzielle Verluste aufgrund von Betriebsunterbrechungen, Wiederherstellungskosten, Bußgelder und Rechtskosten. Der Ruf eines Unternehmens kann nachhaltig beschädigt werden, was zu Kundenverlust und einem Rückgang des Vertrauens bei Partnern und Investoren führt.

Was das IT-Audit untersucht

Das IT-Audit dient dazu, die Integrität, Sicherheit und Effizienz der im Einsatz befindlichen IT zu gewährleisten. Dafür werden systematisch die IT-Infrastruktur, IT-Policies und IT-Operationen eines Unternehmens bewertet.

Im Rahmen des IT-Audits können unterschiedliche Prüfungsschwerpunkte gelegt werden, wie unter anderem:

Informationssicherheit und Zugriffskontrollen
Netzwerkinfrastruktur und Architektur
IT-Governance und -Management
Datensicherungen und Desaster Recovery
IT-Operationen und Servicemanagement

Während die Kontrolle von bestehenden IT-Dokumentationen, sowie Berechtigungs- und Notfallkonzepten von Bedeutung ist, gilt es auch die operativen Prozesse, die durch IT-Systems abgebildet sind und tagtäglich durchlaufen werden zu berücksichtigen. Im täglichen Geschäftsbetrieb ist die korrekte Erfassung der Geschäftsvorfälle essenziell. Das IT-Audit kann dabei unterstützen.

Best Practices für das IT-Audit

Im Rahmen eines IT-Audits empfiehlt sich die Anwendung von Branchenstandards und Rahmenwerken (wie bspw. COBIT und ISO/IEC 27001). Parallel dazu bestehen hohe Anforderungen, was die Expertise im Kontext IT-Systeme angeht. Der Fokus liegt auf den rechnungslegungsrelevanten IT-Systemen und der Feststellung der Verfügbarkeit, Vertraulichkeit und Integrität der verarbeiteten Daten.

Mögliche Fragen in der Prüfung können hier sein:

Ist eine IT-Strategie vorhanden und inwieweit ist diese mit der Unternehmensstrategie verknüpft?
Welche Schnittstellen gibt es zwischen den Systemen?
Welche kritischen Berechtigungen sind in den jeweiligen Systemen vergeben?

Ein wesentlicher Anknüpfungspunkt ist die Prüfung der IT-Strategie des Mandanten. Grundlage für ein erfolgreiches Management der IT-Sicherheit in Unternehmen ist eine ganzheitliche IT-Strategie. Die IT muss dabei auf die Unternehmensziele ausgerichtet sein und in die gleiche Richtung führen. Eine enge Verzahnung zwischen IT-Auditoren und Abschlussprüfern ist ein kritischer Erfolgsfaktor.

Auf den Ergebnissen des IT-Audits aufbauend ist die Schulung von Mitarbeitern in Sachen Sicherheitsbewusstsein und die Implementierung von effektiven IT-Kontrollen und Sicherheitsmaßnahmen der nächste große Hebel für Unternehmen. Damit einher geht die Etablierung einer Kultur der kontinuierlichen Verbesserung. Unternehmen, die regelmäßige IT-Audits durchführen, berichten von einer stärkeren Compliance, verbesserten Sicherheitsstandards und einer effizienteren IT-Performance.

Worauf sich Abschlussprüfer jetzt einstellen sollten

Als Abschlussprüfer gilt es Expertise im Kontext IT aufzubauen. Gerade mit dem Standard des ISA [DE] 315 (Revised 2019) und vor dem Hintergrund, dass sich viele Unternehmen im Mittelstand mitten in der digitalen Transformation befinden, gilt es Schritt zu halten. Bisherige IT-Prüfungen waren oft nicht in die Tiefe gehend, aber unter anderem mit der Einführung des ISA [DE] 315 (Revised 2019) müssen sich die Abschlussprüfer intensiver mit IT-Systemen auseinandersetzen. Dies bedeutet eine Veränderung in der Prüfungspraxis und führt zu einem verstärkten Bedarf an IT-Prüfern.