Dieser Beitrag analysiert, unter welchen Voraussetzungen bei einer Vermögensverwaltungsgesellschaften auf eine vertiefte Prüfung von IT General Controls (ITGC) verzichtet werden kann und skizziert ein mögliches Vorgehen.
Ausgangspunkt ist ein Geschäftsmodell, bei dem Vermögenswerte ausschließlich zum Jahresende anhand externer Stichtagskurse bewertet werden und die Finanzbuchhaltung an einen externen Steuerberater (DATEV) ausgelagert ist. Der Beitrag stellt dar, wie diese Konstellation risikoorientiert nach ISA [DE] 315 (Revised 2019) zu beurteilen ist, welche Rolle der Steuerberater als Dienstleister im Sinne von ISA [DE] 402 einnimmt und welche aufsichtsrechtlichen Anforderungen sich für externe Kapitalverwaltungsgesellschaften aus KAGB und KAPrüfbV ergeben. Sämtliche Verweise auf ISA [DE] 315 wurden anhand des Standardtextes (IDW-Verlautbarung, Werkstand IDW Life 5/2023) einschließlich der Anlagen 5 und 6 verifiziert. Eine Übersicht der gegenüber der Erstfassung korrigierten Fundstellen enthält Anhang A.
1. Einleitung
Eine Vermögensverwaltungsgesellschaft, die ihre Vermögenswerte lediglich zum Jahresende anhand externer Kursdaten bilanziert und deren Finanzbuchhaltung vollständig durch einen externen Steuerberater in DATEV geführt wird, stellt einen klassischen und praxisrelevanten Sonderfall der IT-Prüfung dar. In dieser Konstellation stellt sich die zentrale Frage, ob und in welchem Umfang eine Prüfung von IT General Controls erforderlich ist. Die Frage ist zweigeteilt. Aus Sicht der Jahresabschlussprüfung ist sie nach ISA [DE] 315 (Revised 2019) zu beantworten, der für die Prüfung von Abschlüssen für Zeiträume gilt, die am oder nach dem 15.12.2021 beginnen (nach der Übernahmeregelung des IDW erstmals für Zeiträume, die am oder nach dem 15.12.2022 beginnen). Aus aufsichtsrechtlicher Sicht ist der maßgebliche Rahmen zunächst zu bestimmen, denn für externe Kapitalverwaltungsgesellschaften gilt nicht die Prüfungsberichtsverordnung (PrüfbV) für Institute nach dem KWG, sondern § 38 KAGB in Verbindung mit der Kapitalanlage-Prüfungsberichte-Verordnung (KAPrüfbV). Maßgeblich ist in beiden Dimensionen eine risikoorientierte Betrachtung der tatsächlichen Rolle der IT-Systeme im Geschäftsmodell.
Der Beitrag folgt einem siebenstufigen Vorgehensmodell. Zunächst werden der normative Rahmen und die zentralen Begriffe geklärt (Abschnitt 2) sowie die Prinzipien der Skalierbarkeit und Risikoorientierung dargestellt (Abschnitt 3). Anschließend werden die Prüfungsschritte vom Verständnis des Geschäftsmodells über die Risikobeurteilung und das IT-Scoping bis zur Einbindung des Steuerberaters als Dienstleister entwickelt (Abschnitte 4 bis 7). Abschnitt 8 behandelt die aufsichtsrechtliche Dimension, Abschnitt 9 die Verzichtsentscheidung einschließlich ihrer Dokumentation. Abschnitt 10 enthält Leitfragen für die Abstimmung mit dem Abschlussprüfer, Abschnitt 11 Indikatoren für eine künftige Neubewertung.
2. Normativer Rahmen und Begriffe
2.1 ISA [DE] 315 (Revised 2019)
ISA [DE] 315 (Revised 2019) regelt die Identifizierung und Beurteilung der Risiken wesentlicher falscher Darstellungen. Für die IT-Prüfung sind drei Definitionen zentral. Generelle IT-Kontrollen sind Kontrollen über die IT-Prozesse der Einheit, die den kontinuierlichen ordnungsgemäßen Betrieb der IT-Umgebung unterstützen, einschließlich der kontinuierlich wirksamen Funktion der Kontrollen der Informationsverarbeitung und der Integrität von Informationen (ISA [DE] 315 Tz. 12(d)). Die IT-Umgebung umfasst IT-Anwendungen, unterstützende IT-Infrastruktur sowie IT-Prozesse und das eingebundene Personal (Tz. 12(g)). Aus dem IT-Einsatz resultierende Risiken bezeichnen die Anfälligkeit der Kontrollen der Informationsverarbeitung für unwirksame Ausgestaltung oder Funktion sowie Risiken für die Integrität von Informationen im Informationssystem der Einheit (Tz. 12(i)).
Wichtig für die Einordnung ist ferner, dass sich das übergeordnete Ziel und der Umfang einer Abschlussprüfung nicht danach unterscheiden, ob eine Einheit in einem hauptsächlich manuellen, einem vollständig automatisierten oder einem gemischten Umfeld tätig ist (Tz. A94). Die Anlagen 5 und 6 des Standards konkretisieren das Verständnis des IT-Einsatzes in den IKS-Komponenten (Anlage 5, betrifft Tz. 25(a), 26(b)–(c), A94 und A166–A172) sowie das Verständnis genereller IT-Kontrollen (Anlage 6, in Bezug genommen in den erläuternden Hinweisen zu Tz. 26(c)).
2.2 Aufsichtsrechtlicher Rahmen für Vermögensverwaltungsgesellschaften
Handelt es sich bei der Vermögensverwaltungsgesellschaft um eine externe Kapitalverwaltungsgesellschaft im Sinne des KAGB, richtet sich die aufsichtliche Jahresabschlussprüfung nach § 38 KAGB in Verbindung mit der KAPrüfbV. Die KAPrüfbV stellt die Prüfung ausdrücklich unter den Grundsatz der Risikoorientierung und Wesentlichkeit (§ 2 KAPrüfbV). Zu berichten ist unter anderem über die rechtlichen, wirtschaftlichen und organisatorischen Grundlagen einschließlich wesentlicher Auslagerungen (§ 8 KAPrüfbV) sowie über die Einhaltung der allgemeinen Verhaltensregeln und Organisationspflichten einschließlich des Risikomanagements nach §§ 26 bis 28 KAGB (§ 22 KAPrüfbV, bei der Verwaltung von Sondervermögen ergänzend § 30 KAPrüfbV). Die IT-bezogene Organisationspflicht folgt aus § 28 Abs. 1 Satz 2 Nr. 5 KAGB, wonach die ordnungsgemäße Geschäftsorganisation angemessene Kontroll- und Sicherheitsvorkehrungen für den Einsatz der elektronischen Datenverarbeitung umfasst. Konkretisiert werden die Organisationsanforderungen durch die KAMaRisk (BaFin-Rundschreiben 01/2017 (WA)).
Seit dem 17.01.2025 ist zudem die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) anwendbar. Die BaFin hat die Kapitalverwaltungsaufsichtlichen Anforderungen an die IT (KAIT) mit Wirkung zum 16.01.2025 aufgehoben. Registrierte AIF-Kapitalverwaltungsgesellschaften im Sinne des Art. 3 Abs. 2 der Richtlinie 2011/61/EU sind vom Anwendungsbereich der DORA ausgenommen (Art. 2 Abs. 3 Buchst. a DORA), sodass für sie die allgemeinen Organisationsanforderungen des KAGB maßgeblich bleiben. Sollte die betrachtete Gesellschaft ausnahmsweise ein Institut nach dem KWG sein, etwa als Finanzdienstleistungsinstitut, wären stattdessen § 29 KWG und die PrüfbV einschlägig. Die weitere Darstellung geht vom Regelfall der externen Kapitalverwaltungsgesellschaft aus.
3. Skalierbarkeit und Risikoorientierung als Leitprinzipien
ISA [DE] 315 (Revised 2019) ist ausdrücklich skalierbar konzipiert. Art und Umfang der Prüfungshandlungen zur Risikobeurteilung hängen von Größe und Komplexität der Einheit ab (Tz. 9, A92). Bei weniger komplexen Einheiten können Kontrollen weniger formalisiert sein, ohne dass dies ihre Wirksamkeit in Frage stellt (A156–A157). Für die IT-Dimension konkretisiert Tz. A170 die Skalierbarkeit anhand mehrerer Fallgruppen, die für die hier betrachtete Konstellation unmittelbar einschlägig sind. Nutzt eine Einheit Standardsoftware ohne Zugriff auf den Quellcode, ist es unwahrscheinlich, dass sie formalisierte generelle IT-Kontrollen hat oder benötigt. Stützt sich das Management nicht auf automatisierte Kontrollen oder generelle IT-Kontrollen zur Verarbeitung von Geschäftsvorfällen oder Datenpflege und hat auch der Abschlussprüfer keine solchen Kontrollen identifiziert, kann er planen, die mittels IT erstellten Informationen unmittelbar zu prüfen. In diesem Fall identifiziert er unter Umständen keine IT-Anwendungen, die aus dem IT-Einsatz resultierenden Risiken unterliegen (A170, dritter Spiegelstrich). Genau hierauf baut die Argumentation für einen Verzicht auf eine vertiefte ITGC-Prüfung auf.
Aufsichtsrechtlich korrespondiert hiermit § 2 KAPrüfbV, der Prüfungstiefe und Berichterstattung an der Risikolage des Einzelfalls ausrichtet. Beide Regelwerke tragen damit denselben Grundgedanken. Der Prüfungsumfang folgt dem Risiko und nicht einem pauschalen Prüfprogramm.
4. Schritt 1: Verständnis des Geschäftsmodells und der IT-Nutzung
Im vorliegenden Geschäftsmodell erfolgt keine laufende automatisierte Verbuchung von Geldbewegungen. Die Bewertung der Vermögenswerte wird ausschließlich zum Bilanzstichtag auf Basis externer Kursquellen vorgenommen und manuell verbucht. Die Finanzbuchhaltung wird nicht in eigenen Systemen geführt, sondern beim Steuerberater in DATEV. Interne IT-Systeme erzeugen keine Buchungssätze, sondern dienen primär Dokumentations-, Reporting- oder Übersichtszwecken.
ISA [DE] 315 verlangt zunächst ein Verständnis von der Einheit und ihrem Umfeld, insbesondere vom Geschäftsmodell einschließlich des Umfangs, in dem das Geschäftsmodell den IT-Einsatz integriert (Tz. 19(a)(i) sowie A61–A64). Das Beispiel in Tz. A61 verdeutlicht die Spannbreite. Ein stationärer Vertrieb mit unterstützendem Kassensystem und ein vollständig onlinebasiertes Geschäftsmodell führen zu grundlegend unterschiedlichen IT-bezogenen Geschäftsrisiken, obwohl beide dieselbe Leistung erbringen. Ergänzend ist ein Verständnis vom Informationssystem zu erlangen, einschließlich der für die Informationsflüsse relevanten Ressourcen und damit der IT-Umgebung (Tz. 25(a)(iv) sowie A131–A143). Anlage 5 des Standards unterstützt diese Analyse mit Merkmalskatalogen für IT-Umgebungen unterschiedlicher Komplexität und stellt klar, dass das Verständnis der IT-Umgebung bei einem weniger komplexen Unternehmen mit geringem Automatisierungsgrad mit vergleichsweise geringem Aufwand erlangt werden kann (Anlage 5, insb. Tz. 4 und 6).
Parallel dazu verlangt die KAPrüfbV die Darstellung der organisatorischen Grundlagen einschließlich der Auslagerungen (§ 8 KAPrüfbV) und die Beurteilung der Organisationspflichten einschließlich des Risikomanagements (§ 22 KAPrüfbV). Mit dem Abschlussprüfer ist daher insbesondere abzustimmen, welche Systeme buchungsrelevante Informationen erzeugen, wo die eigentliche Rechnungslegung erfolgt (interne Systeme versus DATEV beim Steuerberater) und welche Systeme lediglich unterstützende Funktionen ohne unmittelbaren Einfluss auf Abschlusszahlen haben.
5. Schritt 2: Beurteilung des Risikos wesentlicher falscher Darstellungen
Die Identifizierung und Beurteilung der Risiken wesentlicher falscher Darstellungen ist in Tz. 28 bis 37 geregelt. Der Abschlussprüfer identifiziert Risiken auf Abschlussebene und auf Aussageebene (Tz. 28), stellt die relevanten Aussagen und die zugehörigen bedeutsamen Arten von Geschäftsvorfällen, Kontensalden und Abschlussangaben fest (Tz. 29) und beurteilt für Risiken auf Aussageebene das inhärente Risiko anhand von Eintrittswahrscheinlichkeit und Ausmaß (Tz. 31). Liegt die Bewertung auf externen, unabhängigen Kursquellen, erfolgen Buchungen manuell und lediglich einmal jährlich und bestehen wirksame manuelle Kontrollen wie Vier-Augen-Prinzip und Abstimmungen, ist das IT-bezogene inhärente Risiko regelmäßig als gering einzustufen.
Für die Frage der ITGC-Relevanz ist sodann die Kontrollenidentifikation nach Tz. 26(a) maßgeblich. Zu identifizieren sind Kontrollen, die bedeutsame Risiken behandeln, Kontrollen über Journalbuchungen, Kontrollen, deren Funktionswirksamkeit der Abschlussprüfer zu prüfen plant, sowie weitere Kontrollen nach pflichtgemäßem Ermessen (Tz. 26(a)(i)–(iv)). Die Identifikation von IT-Anwendungen mit IT-Risiken knüpft ausschließlich an diese identifizierten Kontrollen an (Tz. 26(b)). IT ist damit nur insoweit prüfungsrelevant, als identifizierte Kontrollen vom IT-Einsatz abhängen oder sich das Management zur Wahrung der Informationsintegrität auf generelle IT-Kontrollen verlässt (A168). Plant der Abschlussprüfer keine Funktionsprüfungen, hat er das Kontrollrisiko so zu beurteilen, dass die Beurteilung des Risikos wesentlicher falscher Darstellungen der Beurteilung des inhärenten Risikos entspricht (Tz. 34). Gesondert festzustellen bleibt, ob es Risiken gibt, bei denen aussagebezogene Prüfungshandlungen allein keine ausreichenden geeigneten Prüfungsnachweise liefern (Tz. 33), denn solche Risiken erzwingen Funktionsprüfungen und damit regelmäßig auch die Würdigung genereller IT-Kontrollen. Bei jährlich einmaliger, manuell nachvollziehbarer Stichtagsbewertung auf Basis externer Kurse ist eine solche Konstellation typischerweise nicht gegeben.
6. Schritt 3: IT-Scoping nach Tz. 26(b)–(c) und die ITGC-Entscheidungskaskade
Der Standard gibt eine klare Kaskade vor. Ausgehend von den identifizierten Kontrollen werden IT-Anwendungen und andere Aspekte der IT-Umgebung identifiziert, die aus dem IT-Einsatz resultierenden Risiken unterliegen (Tz. 26(b) sowie A166–A172). Erst für diese identifizierten IT-Anwendungen werden die zugehörigen IT-Risiken und die sie adressierenden generellen IT-Kontrollen identifiziert (Tz. 26(c) sowie A173–A174) und deren Ausgestaltung beurteilt sowie Implementierung festgestellt (Tz. 26(d) sowie A175–A181). Werden auf der ersten Stufe keine IT-Anwendungen mit IT-Risiken identifiziert, entfällt die Folgestufe. Andere Aspekte der IT-Umgebung wie Datenbank, Betriebssystem oder Netzwerk werden üblicherweise nicht identifiziert, wenn keine IT-Anwendungen mit IT-Risiken identifiziert wurden (A172).
Eine vertiefte ITGC-Würdigung ist danach insbesondere erforderlich, wenn sich der Abschlussprüfer auf automatisierte Kontrollen stützen will, wenn identifizierte Kontrollen von systemgenerierten Berichten abhängen oder wenn von der Einheit erstellte, aus IT-Anwendungen stammende Informationen als Prüfungsnachweis verwendet werden sollen, ohne dass Inputs und Outputs unmittelbar geprüft werden (A166, A168–A169, ergänzend Anlage 5 Tz. 10–11 zu systemgenerierten Berichten). Umgekehrt gilt: Plant der Abschlussprüfer, die Inputs und Outputs systemgenerierter Berichte unmittelbar zu prüfen, muss er die erzeugenden IT-Anwendungen unter Umständen nicht als risikobehaftet identifizieren (A169). In der hier betrachteten Konstellation können die Jahresendbuchungen, die herangezogenen Kursquellen und die Berechnungen vollständig substanziell nachvollzogen werden, sodass regelmäßig keine IT-Anwendungen mit IT-Risiken zu identifizieren sind und auf eine vertiefte ITGC-Prüfung verzichtet werden kann.
Kommt es im Einzelfall doch zu einer ITGC-Würdigung, strukturiert Anlage 6 die Betrachtung nach den Ebenen der IT-Umgebung (Anwendung, Datenbank, Betriebssystem, Netzwerk) und nach drei IT-Prozessen: dem Prozess zur Verwaltung des Zugangs (unter anderem Authentifizierung, Autorisierung, Provisionierung, Funktionstrennung, privilegierte Zugriffe), dem Prozess zur Verwaltung von Programm- und anderen Änderungen der IT-Umgebung sowie dem Prozess zur Verwaltung des IT-Betriebs einschließlich Datensicherung und Wiederherstellung. Dieser Katalog eignet sich zugleich als Gliederung für die reduzierte aufsichtsrechtliche IT-Prüfung (siehe Abschnitt 8).
7. Schritt 4: Der externe Steuerberater als Dienstleister (ISA [DE] 402)
Da die Finanzbuchhaltung beim Steuerberater in DATEV geführt wird, nimmt die Gesellschaft die Dienstleistung eines Dritten für ihre Rechnungslegung in Anspruch. Maßgeblicher Standard hierfür ist nicht ISA [DE] 315, sondern ISA [DE] 402 über die Überlegungen bei der Abschlussprüfung von Einheiten, die Dienstleister in Anspruch nehmen. ISA [DE] 315 nimmt hierauf ausdrücklich Bezug, etwa bei den komplementären Kontrollen der auslagernden Einheit (A165 mit Fußnote 44) und bei IT-Risiken aus der Nutzung externer oder interner Dienstleister für Aspekte der IT-Umgebung (A174).
Nach ISA [DE] 402 hat der Abschlussprüfer ein Verständnis von den in Anspruch genommenen Dienstleistungen und deren Bedeutung für das IKS der auslagernden Einheit zu erlangen und darauf aufbauend zu entscheiden, wie er ausreichende geeignete Prüfungsnachweise erlangt. In Betracht kommen im Wesentlichen drei Wege. Er kann eigene Prüfungshandlungen beim Dienstleister durchführen, er kann Berichte über die beim Dienstleister eingerichteten Kontrollen nutzen (Typ-1- oder Typ-2-Berichte nach ISAE 3402 bzw. IDW PS 951 n.F.) oder er kann sich auf Prüfungshandlungen bei der auslagernden Einheit selbst beschränken, sofern deren eigene Kontrollen über die an den Dienstleister übergebenen und von ihm zurückerhaltenen Informationen hinreichend sind. Für die DATEV-Rechenzentrumsleistungen liegen üblicherweise entsprechende Bescheinigungen vor, deren Abdeckungsumfang, Berichtszeitraum und komplementäre Anwenderkontrollen im Einzelfall zu würdigen sind.
Sofern nur wenige Buchungen vorgenommen werden, keine automatisierten Schnittstellen bestehen und Salden manuell abgestimmt werden, wird der Abschlussprüfer regelmäßig den dritten Weg wählen und die Endbuchungen substanziell prüfen. Eine separate ITGC-Prüfung innerhalb der Gesellschaft ist dann nicht erforderlich. Zu den komplementären Kontrollen der Gesellschaft gehören in dieser Konstellation insbesondere die vollständige und richtige Übergabe der Bewertungsunterlagen an den Steuerberater, die Durchsicht und Freigabe der vom Steuerberater erstellten Auswertungen sowie die Abstimmung der Salden zum Stichtag.
8. Schritt 5: Aufsichtsrechtliche Anforderungen nach KAGB und KAPrüfbV
Im aufsichtsrechtlichen Kontext ist die Schwelle für eine IT-Prüfung anders gelagert als in der Jahresabschlussprüfung, denn die Berichtspflichten der KAPrüfbV knüpfen nicht an die Buchungsrelevanz der IT an, sondern an die Ordnungsmäßigkeit der Geschäftsorganisation insgesamt. Zu beurteilen sind die Einhaltung der Organisationspflichten einschließlich des Risikomanagements (§ 22 KAPrüfbV in Verbindung mit §§ 26–28 KAGB), die organisatorischen Grundlagen einschließlich der Auslagerungen (§ 8 KAPrüfbV) und bei der Verwaltung von Sondervermögen die ordnungsgemäße Geschäftsorganisation (§ 30 KAPrüfbV). Auch wenn IT-Systeme nicht buchungsrelevant sind, ist daher zu prüfen, ob angemessene Kontroll- und Sicherheitsvorkehrungen für den Einsatz der elektronischen Datenverarbeitung bestehen (§ 28 Abs. 1 Satz 2 Nr. 5 KAGB), ob Zugriffe geregelt sind, ob Auslagerungen ordnungsgemäß gesteuert werden (§ 36 KAGB) und ob Notfallkonzepte existieren. Für unter DORA fallende Kapitalverwaltungsgesellschaften treten die Anforderungen an das IKT-Risikomanagement, das IKT-Vorfallsmanagement und das Management des IKT-Drittparteienrisikos nach der Verordnung (EU) 2022/2554 hinzu.
Bei einem Geschäftsmodell ohne automatisierte Geschäftsprozesse, ohne algorithmische Entscheidungen und ohne buchungsrelevante interne IT-Systeme genügt jedoch regelmäßig eine an § 2 KAPrüfbV ausgerichtete, verhältnismäßige Prüfung mit Fokus auf die Angemessenheit der Regelungen (Design-Ebene). Tiefgehende technische ITGC-Tests, etwa Konfigurationsanalysen oder Berechtigungs-Rezertifizierungstests auf Systemebene, sind in diesen Fällen nicht erforderlich. Ein vollständiger Verzicht auf die aufsichtsrechtliche IT-Betrachtung ist demgegenüber nicht zulässig, da die Organisationspflichten unabhängig von der Buchungsrelevanz der Systeme gelten.
9. Schritt 6: Entscheidung über den Verzicht auf eine ITGC-Prüfung und deren Dokumentation
Aus Sicht der Jahresabschlussprüfung ist ein Verzicht auf eine vertiefte ITGC-Prüfung möglich, wenn kumulativ keine Reliance auf automatisierte Kontrollen erfolgt, keine wesentlichen systemgenerierten Daten ungeprüft als Prüfungsnachweis verwendet werden, keine Risiken bestehen, bei denen aussagebezogene Prüfungshandlungen allein nicht ausreichen (Tz. 33), und substanzielle Prüfungshandlungen ausreichende geeignete Nachweise liefern (A169–A170 in Verbindung mit Tz. 34). Typische Ersatzhandlungen sind der Nachvollzug der Jahresendbuchungen, die Prüfung der Kursquellen gegen unabhängige Quellen, Rechenprüfungen, die Einsichtnahme in Vier-Augen-Freigaben und Saldenabstimmungen sowie die Abstimmung mit den Auswertungen des Steuerberaters.
Die Entscheidung ist prüfungssicher zu dokumentieren. Nach Tz. 38 sind unter anderem die Diskussion im Prüfungsteam, die wesentlichen Elemente des erlangten Verständnisses von Einheit, Umfeld und IKS, die Informationsquellen sowie die identifizierten und beurteilten Risiken festzuhalten. Für die hier betrachtete Konstellation empfiehlt sich eine explizite In-Scope-/Out-of-Scope-Übersicht der Systeme mit Begründung je System, die Herleitung, weshalb keine IT-Anwendungen mit aus dem IT-Einsatz resultierenden Risiken identifiziert wurden (Anknüpfung an Tz. 26(b) und A170), sowie die Dokumentation der Ersatzhandlungen und ihrer Ergebnisse. Damit bleibt die Verzichtsentscheidung auf den Nachweis rückführbar und gegenüber Aufsicht und Qualitätskontrolle vertretbar.
10. Schritt 7: Abstimmung mit dem Wirtschaftsprüfer – Leitfragen
Die Festlegung des Prüfungsumfangs erfordert eine enge Abstimmung mit dem Wirtschaftsprüfer. Die folgenden Leitfragen strukturieren diese Abstimmung in vier Blöcken.
Block A – Prüfungsrelevanz und Abgrenzung
- Welche Geschäftsprozesse und IT-Systeme sind prüfungsrelevant?
- Gibt es interne Systeme mit direktem Einfluss auf Abschlusszahlen?
- Kann eine In-Scope-/Out-of-Scope-Abgrenzung dokumentiert werden?
- Welche wesentlichen Risiken bestehen?
Block B – Reliance und ITGC-Bedarf
- Erfolgt Reliance auf IT-Kontrollen oder automatisierte Kontrollen?
- Werden systemgenerierte Berichte als Prüfungsnachweis verwendet und wie werden sie geprüft?
- Ist eine ITGC-Prüfung erforderlich?
- Welche Ersatzhandlungen sind ausreichend?
Block C – Dienstleister
- Wie wird der Steuerberater (DATEV) in die Prüfungsstrategie eingebunden (ISA [DE] 402)?
- Liegen Bescheinigungen nach IDW PS 951 n.F. / ISAE 3402 vor und decken sie die genutzten Leistungen und den Berichtszeitraum ab?
- Welche komplementären Kontrollen der Gesellschaft werden vorausgesetzt und sind diese implementiert?
- Ergibt sich aus der Dienstleisterbeziehung ein Bedarf für ITGC-Würdigungen?
Block D – Aufsichtsrecht und Dokumentation
- Welcher Mindestumfang ergibt sich aus KAPrüfbV und KAGB (bzw. PrüfbV bei KWG-Instituten)?
- Reicht eine Prüfung von Governance, Zugriffsregelungen, Datensicherung und Notfallmanagement auf Angemessenheitsebene aus?
- Welche Nachweise werden erwartet?
- Ist eine Angemessenheits- oder Wirksamkeitsprüfung vorgesehen und welche Kriterien erzwingen eine Wirksamkeitsprüfung?
- Wie wird die Verzichtsentscheidung dokumentiert und welche Risiken bestehen beim Verzicht auf ITGC?
- Welche Änderungen würden künftig eine ITGC-Prüfung erforderlich machen?
11. Änderungsindikatoren für eine Neubewertung
Die Verzichtsentscheidung gilt nicht statisch. Erlangt der Abschlussprüfer neue Informationen, die zu den ursprünglichen Prüfungsnachweisen inkonsistent sind, hat er die Risikoidentifikation und -beurteilung anzupassen (Tz. 37). Typische Auslöser einer Neubewertung sind die Einführung einer eigenen Fonds- oder Portfolioverwaltungssoftware mit Buchungsschnittstelle, die Automatisierung von Bewertungs- oder Buchungsprozessen, die unterjährige Bewertung mit erhöhter Buchungsfrequenz, der Bezug von Kursdaten über automatisierte Schnittstellen ohne manuelle Kontrolle, die Verlagerung der Buchhaltung in eigene Systeme sowie wesentliche Änderungen beim Dienstleister oder in dessen Kontrollumfeld. Solche Änderungen sind im Rahmen der jährlichen Prüfungsplanung ausdrücklich abzufragen und zu würdigen.
12. Fazit
Der Umfang der IT-Prüfung folgt dem Risiko und der tatsächlichen Rolle der IT im Geschäftsmodell. Bei einer Vermögensverwaltungsgesellschaft mit manueller Jahresendbewertung auf Basis externer Kursquellen und an einen Steuerberater ausgelagerter Buchhaltung führt die Entscheidungskaskade des ISA [DE] 315 (Tz. 26(a)–(d) in Verbindung mit A166–A174) regelmäßig dazu, dass keine IT-Anwendungen mit aus dem IT-Einsatz resultierenden Risiken zu identifizieren sind. Auf eine vertiefte ITGC-Prüfung in der Jahresabschlussprüfung kann dann verzichtet werden, sofern substanzielle Prüfungshandlungen ausreichende geeignete Nachweise liefern und das Kontrollrisiko entsprechend Tz. 34 auf dem Niveau des inhärenten Risikos beurteilt wird. Die Einbindung des Steuerberaters ist nach ISA [DE] 402 zu würdigen. Aufsichtsrechtlich bleibt für externe Kapitalverwaltungsgesellschaften eine reduzierte, auf die Angemessenheit der Geschäftsorganisation fokussierte IT-Prüfung nach § 22 KAPrüfbV in Verbindung mit § 28 Abs. 1 Satz 2 Nr. 5 KAGB erforderlich. Maßgeblich ist in jedem Fall eine transparente, dokumentierte und auf die Fundstellen der Standards rückführbare Abstimmung der Prüfungsstrategie mit dem Wirtschaftsprüfer.
