Dieser Beitrag analysiert, unter welchen Voraussetzungen bei einer Fondsverwaltungsgesellschaft auf eine vertiefte Prüfung von IT General Controls (ITGC) verzichtet werden kann. Ausgangspunkt ist ein Geschäftsmodell, bei dem Vermögenswerte ausschließlich zum Jahresende anhand externer Stichtagskurse bewertet und die Finanzbuchhaltung an einen externen Steuerberater (DATEV) ausgelagert ist. Der Beitrag stellt dar, wie diese Konstellation risikoorientiert nach ISA 315 sowie aufsichtsrechtlich nach der Prüfungsberichtsverordnung (PrüfbV) zu beurteilen ist und welche Abstimmungen hierzu mit dem Wirtschaftsprüfer erforderlich sind.
Einleitung
Eine Fondsverwaltungsgesellschaft, die ihre Vermögenswerte lediglich zum Jahresende anhand externer Kursdaten bilanziert und deren Finanzbuchhaltung vollständig durch einen externen Steuerberater in DATEV geführt wird, stellt einen klassischen und praxisrelevanten Sonderfall der IT-Prüfung dar. In dieser Konstellation stellt sich die zentrale Frage, ob und in welchem Umfang eine Prüfung von IT General Controls erforderlich ist – sowohl aus Sicht der Jahresabschlussprüfung nach ISA 315 als auch aus aufsichtsrechtlicher Sicht nach der PrüfbV. Maßgeblich ist hierbei eine risikoorientierte Betrachtung der tatsächlichen Rolle der IT-Systeme im Geschäftsmodell.
Schritt 1: Verständnis des Geschäftsmodells und der IT-Nutzung
Im vorliegenden Geschäftsmodell erfolgt keine laufende automatisierte Verbuchung von Fondsbewegungen. Die Bewertung der Vermögenswerte wird ausschließlich zum Bilanzstichtag auf Basis externer Kursquellen vorgenommen und manuell verbucht. Die Finanzbuchhaltung wird nicht in eigenen Systemen geführt, sondern beim Steuerberater in DATEV. Interne IT-Systeme erzeugen keine Buchungssätze, sondern dienen primär Dokumentations-, Reporting- oder Übersichtszwecken.
ISA 315 verlangt zunächst ein hinreichendes Verständnis des Unternehmens, seiner Prozesse sowie der eingesetzten IT-Systeme und Kontrollen. Dies umfasst insbesondere die Beurteilung, ob und in welcher Weise IT-Systeme einen wesentlichen Einfluss auf die Rechnungslegung ausüben (ISA 315.19–21 sowie A61–A65). Parallel dazu fordert die PrüfbV die Prüfung der Ordnungsmäßigkeit der Geschäftsorganisation einschließlich der IT-Systeme als Bestandteil des internen Kontroll- und Risikomanagementsystems.
Mit dem Wirtschaftsprüfer ist daher insbesondere abzustimmen, welche Systeme buchungsrelevante Informationen erzeugen, wo die eigentliche Rechnungslegung erfolgt (interne Systeme versus DATEV beim Steuerberater) und welche Systeme lediglich unterstützende Funktionen ohne unmittelbaren Einfluss auf Abschlusszahlen haben.
Schritt 2: Beurteilung des Risikos wesentlicher falscher Darstellungen
Liegt die Bewertung auf externen, unabhängigen Kursquellen, erfolgen Buchungen manuell und lediglich einmal jährlich und bestehen wirksame manuelle Kontrollen (z. B. Vier-Augen-Prinzip, Abstimmungen), ist das IT-bezogene Risiko wesentlicher falscher Darstellung regelmäßig als gering einzustufen. ISA 315 fordert die Identifikation und Beurteilung solcher Risiken (ISA 315.25–26) und stellt klar, dass IT nur insoweit zu berücksichtigen ist, als sie für prüfungsrelevante Assertions bedeutsam ist (ISA 315.31).
Eine Prüfung von ITGC ist insbesondere dann erforderlich, wenn sich der Wirtschaftsprüfer auf automatisierte Kontrollen oder systemgenerierte Daten als Prüfungsnachweise stützt (ISA 315.A148). Ist dies nicht der Fall, kann auf eine ITGC-Prüfung verzichtet werden und stattdessen auf substanzielle Prüfungshandlungen abgestellt werden.
Schritt 3: Rolle des externen Steuerberaters als Service Organization
Da die Finanzbuchhaltung beim Steuerberater in DATEV geführt wird, handelt es sich um eine Service Organization im Sinne von ISA 315. Der Wirtschaftsprüfer kann hierbei entweder eigene Prüfungshandlungen beim Dienstleister durchführen, vorhandene Berichte (z. B. PS 951 / ISAE 3402) nutzen oder sich auf die Prüfung der Endbuchungen im Unternehmen beschränken (ISA 315.22 sowie A90–A94).
Sofern nur wenige Buchungen vorgenommen werden, keine automatisierten Schnittstellen bestehen und Salden manuell abgestimmt werden, ist eine separate ITGC-Prüfung innerhalb der Gesellschaft regelmäßig nicht erforderlich. Die substanzielle Prüfung der Buchungen und Bewertungen ist in diesen Fällen ausreichend.
Schritt 4: Aufsichtsrechtliche Anforderungen nach PrüfbV
Im aufsichtsrechtlichen Kontext ist die Schwelle für eine IT-Prüfung grundsätzlich höher als im Rahmen der Jahresabschlussprüfung. Die PrüfbV verlangt die Beurteilung der Ordnungsmäßigkeit der Geschäftsorganisation einschließlich IT-Systemen, internem Kontrollsystem, Notfallmanagement und Auslagerungen. Auch wenn IT-Systeme nicht buchungsrelevant sind, ist zu prüfen, ob sie angemessen organisiert sind, Zugriffe geregelt sind, Auslagerungen ordnungsgemäß gesteuert werden und Notfallkonzepte existieren.
Bei einem Geschäftsmodell ohne automatisierte Geschäftsprozesse, ohne algorithmische Entscheidungen und ohne buchungsrelevante IT-Systeme genügt jedoch regelmäßig eine vereinfachte aufsichtsrechtliche Prüfung auf Angemessenheit (Design-Level). Tiefgehende technische ITGC-Tests sind in diesen Fällen nicht erforderlich.
Schritt 5: Entscheidung über den Verzicht auf eine ITGC-Prüfung
Aus Sicht der Jahresabschlussprüfung ist ein Verzicht auf ITGC möglich, wenn keine Reliance auf automatisierte Kontrollen erfolgt, keine wesentlichen systemgenerierten Daten verwendet werden und substanzielle Prüfungshandlungen ausreichend sind (ISA 315.A148–A149). Typische Ersatzhandlungen sind der Nachvollzug der Jahresendbuchungen, die Prüfung der Kursquellen, Rechenprüfungen, Vier-Augen-Freigaben und Saldenabstimmungen.
Aus aufsichtsrechtlicher Sicht ist ein vollständiger Verzicht nicht zulässig. Der Prüfungsumfang kann jedoch auf die Prüfung von IT-Governance, Zugriffsregelungen, Auslagerungssteuerung, Datensicherung und Notfallkonzept beschränkt werden. Dies entspricht dem risikoorientierten Ansatz der PrüfbV, der die Angemessenheit und Funktionsfähigkeit vor technische Detailtiefe stellt.
Schritt 6: Abstimmung mit dem Wirtschaftsprüfer – Leitfragen
Die Festlegung des Prüfungsumfangs erfordert eine enge Abstimmung mit dem Wirtschaftsprüfer. Dabei sind insbesondere folgende Fragen zu klären:
1. Welche Geschäftsprozesse und IT-Systeme sind prüfungsrelevant?
2. Gibt es interne Systeme mit direktem Einfluss auf Abschlusszahlen?
3. Kann eine In-Scope-/Out-of-Scope-Abgrenzung dokumentiert werden?
4. Welche wesentlichen Risiken bestehen?
5. Erfolgt Reliance auf IT-Kontrollen?
6. Ist eine ITGC-Prüfung erforderlich?
7. Welche Ersatzhandlungen sind ausreichend?
8. Wie wird der Steuerberater (DATEV) in die Prüfungsstrategie eingebunden?
9. Ergibt sich daraus ein Bedarf für ITGC?
10. Welcher Mindestumfang ergibt sich aus der PrüfbV?
11. Reicht eine Prüfung von Governance, Zugriffen und Notfallmanagement aus?
12. Welche Nachweise werden erwartet?
13. Ist eine Angemessenheits- oder Wirksamkeitsprüfung vorgesehen?
14. Welche Kriterien erzwingen eine Wirksamkeitsprüfung?
15. Wie wird die Entscheidung dokumentiert?
16. Bestehen Risiken beim Verzicht auf ITGC?
17. Kann die Prüfungsstrategie ohne ITGC festgelegt werden?
18. Welche Änderungen würden künftig eine ITGC-Prüfung erforderlich machen?
Fazit
Der Umfang der IT-Prüfung folgt dem Risiko und der tatsächlichen Rolle der IT im Geschäftsmodell. Bei einer Fondsverwaltungsgesellschaft mit manueller Jahresendbewertung und ausgelagerter Buchhaltung kann auf eine vertiefte ITGC-Prüfung in der Jahresabschlussprüfung verzichtet werden, sofern substanzielle Prüfungshandlungen ausreichend sind. Aufsichtsrechtlich ist eine reduzierte, auf Angemessenheit fokussierte IT-Prüfung erforderlich. Maßgeblich ist eine transparente und dokumentierte Abstimmung dieser Prüfungsstrategie mit dem Wirtschaftsprüfer.
