Prüfungsformat und Rahmenbedingungen
Prüfungsformat und Zielgruppe
Die CIA-Zertifizierung des Institute of Internal Auditors (The IIA) besteht im Syllabus 2025 aus drei getrennten Prüfungen: Part 1 umfasst 125 Fragen in 150 Minuten, Part 2 und Part 3 jeweils 100 Fragen in 120 Minuten. The IIA verwendet eine skalierte Punkteskala von 250 bis 750; zum Bestehen eines Prüfungsteils sind 600 Punkte erforderlich. Dieser Leitfaden richtet sich an angehende und erfahrene Interne Revisorinnen und Revisoren, die Konzepte auf Fallsituationen anwenden möchten.
Die Global Internal Audit Standards sind seit Januar 2025 wirksam. Der Syllabus und Prüfungsdetails können sich ändern; prüfen Sie deshalb vor der Anmeldung die aktuellen Angaben von The IIA, einschließlich der verfügbaren Prüfungssprachen und Buchungsbedingungen. Die deutsche Sprache dieses Leitfadens ist keine Aussage über das aktuelle Sprachangebot der offiziellen Prüfungen.
Die folgenden Lernprioritäten sind eine redaktionelle Orientierung, keine Prognose der Fragenverteilung. Dieser unabhängige Leitfaden behandelt alle drei Teile getrennt und ist weder eine offizielle Prüfung noch ein vollständiger Fragenpool. Die Beispiele sind eigenständig erstelltes Lernmaterial und keine offiziellen oder aus Prüfungen rekonstruierten Aufgaben.
Offizielle Quellen
Die drei Prüfungsteile im Überblick
| Prüfungsteil | Themen und offizieller Rahmen | Lernfokus |
|---|---|---|
| Part 1 – Internal Audit Fundamentals | Grundlagen 35 %, Ethik und Professionalität 20 %, Governance, Risiko und Kontrolle 30 %, Betrugsrisiken 15 %; außerdem die Interne Revisionsfunktion im Rahmen der Global Internal Audit Standards. | Rollen, Verantwortlichkeiten und Grenzen sicher einordnen; bei Dilemmata zwischen Unabhängigkeit, Objektivität, Governance und Risiko unterscheiden. |
| Part 2 – Internal Audit Engagement | Engagementplanung, Informationsbeschaffung und -analyse, Nachweise, Stichproben, Bewertung, Supervision, Kommunikation und Überwachung von Maßnahmenplänen. | Den sachgerechten nächsten Prüfungsschritt aus Ziel, Umfang, Risiko und Qualität der verfügbaren Nachweise ableiten. |
| Part 3 – Internal Audit Function | Strategie und Planung, Ressourcen, Kommunikation, Qualität, Leistungsüberwachung und Koordination mit anderen Assurance-Anbietern. | Aus Sicht der Leitung der Internen Revision Risikodeckung, Kapazität, Qualität und Rechenschaft gegenüber dem Leitungs- oder Überwachungsorgan abwägen. |
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 1–10
1. Zweck der Internen Revision
Part 1 – Grundlagen
Die Interne Revision stärkt die Fähigkeit einer Organisation, Wert zu schaffen, zu schützen und zu erhalten. Dafür erbringt sie unabhängige, risikobasierte und objektive Assurance- und Beratungsleistungen. Ihr Zweck geht über das Auffinden von Fehlern hinaus: Sie unterstützt Governance, Risikomanagement und Kontrollen mit nachvollziehbaren Erkenntnissen. Die Verantwortung für Entscheidungen und den Betrieb bleibt bei der Leitung, nicht bei der Revision.
Praxisbeispiel: Bei wiederholten Verzögerungen in einem wichtigen Prozess untersucht das Revisionsteam Ursachen und Kontrollen und berichtet, welche Risiken dadurch entstehen. Die Prozessleitung entscheidet anschließend über Änderungen.
Häufiger Denkfehler: Ein häufiger Fehler ist, die Interne Revision als operative Problemlöserin zu behandeln. Sie darf Verbesserungen anregen, sollte aber nicht selbst die Verantwortung für Prozesse oder deren Kontrollen übernehmen.
2. Global Internal Audit Standards
Part 1 – Grundlagen
Die Global Internal Audit Standards bilden den professionellen Rahmen für die Interne Revision. Ihre fünf Bereiche führen vom Zweck und ethischen Verhalten über die Governance und Leitung der Funktion bis zur Erbringung von Revisionsleistungen. Die 15 Prinzipien werden durch verbindliche Anforderungen konkretisiert. Hinweise zur Umsetzung und Beispiele für Konformitätsnachweise unterstützen die Anwendung, sind aber nicht mit zusätzlichen Pflichtanforderungen gleichzusetzen. Für Prüfungsfälle ist entscheidend, welche Anforderung gilt und wer für ihre Erfüllung verantwortlich ist.
Praxisbeispiel: Eine Revisionsfunktion entwickelt eine eigene Vorlage für Abschlussberichte. Sie prüft, ob diese alle nach den Standards erforderlichen Inhalte abdeckt. Das Layout darf zur Organisation passen; vorgeschriebene Inhalte dürfen nicht allein aus Gründen der Kürze entfallen.
Häufiger Denkfehler: Ein häufiger Fehler ist, Anforderungen, Umsetzungshinweise und Nachweisbeispiele als gleichermaßen verbindliche Checkliste zu behandeln. Umgekehrt bedeutet eine anpassbare Umsetzung nicht, dass die zugrunde liegende Anforderung optional ist.
3. Ethik und professionelles Verhalten
Part 1 – Ethik und Professionalität
Professionelles Verhalten verlangt Integrität, sachgerechtes Urteilsvermögen und die Beachtung der einschlägigen beruflichen Anforderungen. Integrität bedeutet, ehrlich und verantwortungsvoll zu handeln, auch wenn ein Ergebnis für die Organisation unbequem ist. Prüfer sollen Tatsachen weder beschönigen noch übertreiben. Bei einem ethischen Konflikt sind die relevanten Fakten, möglichen Auswirkungen und geeigneten Eskalationswege zu prüfen.
Praxisbeispiel: Ein Manager schlägt vor, einen gut belegten Befund aus dem Bericht zu streichen, weil er die Zielerreichung beeinträchtigen könnte. Das Team dokumentiert den Vorschlag und hält am sachlich gestützten Ergebnis fest.
Häufiger Denkfehler: Höflichkeit gegenüber Stakeholdern ist wichtig, darf aber nicht mit Nachgiebigkeit gegenüber unzutreffenden Aussagen verwechselt werden. Ein sachlicher Ton ersetzt nicht die Pflicht, Ergebnisse wahrheitsgemäß zu kommunizieren.
4. Sorgfalt und professionelles Urteilsvermögen
Part 1 – Ethik und Professionalität
Angemessene professionelle Sorgfalt bedeutet, Risiken und Umstände mit der gebotenen Aufmerksamkeit zu beurteilen, nicht absolute Fehlerfreiheit zu garantieren. Prüfer berücksichtigen unter anderem die Bedeutung eines Sachverhalts, die Komplexität der Tätigkeit und die Qualität verfügbarer Informationen. Ihr Urteil muss nachvollziehbar sein und darf nicht auf unbelegten Annahmen beruhen. Auch eine sorgfältige Prüfung kann nicht jedes Fehlverhalten oder jeden Fehler aufdecken.
Praxisbeispiel: Bei einem kleinen, wenig komplexen Teilprozess prüft das Team gezielt die relevanten Kontrollen. Bei einer wesentlichen Systemumstellung erweitert es die Analyse, weil Umfang und mögliche Auswirkungen größer sind.
Häufiger Denkfehler: Professionelle Sorgfalt ist weder eine Garantie, jedes Problem zu entdecken, noch eine Rechtfertigung für oberflächliche Arbeit. Maßstab ist ein begründetes, zum Risiko und den Umständen passendes Vorgehen.
5. Kompetenz und fachliche Weiterentwicklung
Part 1 – Ethik und Professionalität
Interne Revisorinnen und Revisoren müssen die für ihre Aufgaben erforderlichen Kenntnisse und Fähigkeiten besitzen oder erwerben und ihre Kompetenzgrenzen erkennen. Dazu können Branchenwissen, Datenanalyse oder technische Spezialkenntnisse gehören. Die Leitung der Internen Revision stellt sicher, dass die Funktion insgesamt über die benötigten Kompetenzen verfügt oder geeignete Unterstützung erhält. Fachkundige Aufsicht ersetzt nicht die für eine zugewiesene Aufgabe notwendige Kompetenz. Kontinuierliche Weiterbildung erhält und entwickelt die Fähigkeiten; für Zertifizierte gelten zusätzlich die jeweiligen Fortbildungsanforderungen.
Praxisbeispiel: Für eine Cloud-Prüfung fehlen dem Team Kenntnisse zur technischen Konfiguration. Eine qualifizierte Fachperson übernimmt die entsprechenden Tests; andere Teammitglieder prüfen die organisatorischen Kontrollen innerhalb ihrer Kompetenz. Die Leitung plant außerdem Weiterbildung für künftig wiederkehrende Cloud-Prüfungen.
Häufiger Denkfehler: Ein Prüfertitel oder Erfahrung in einem anderen Gebiet belegt nicht automatisch die Kompetenz für jede Aufgabe. Eine Wissenslücke muss behandelt werden; sie wird weder durch Zeitdruck noch allein durch die Anwesenheit einer erfahrenen Aufsichtsperson aufgehoben.
6. Vertraulichkeit und Informationsschutz
Part 1 – Ethik und Professionalität
Interne Revisorinnen und Revisoren müssen Informationen verantwortungsvoll schützen und nur für zulässige berufliche Zwecke verwenden. Zugang zu vertraulichen Unterlagen begründet keine Erlaubnis, sie außerhalb des Auftrags weiterzugeben oder persönlich zu nutzen. Bei der Arbeitsweise sind außerdem Zugriffsrechte, sichere Speicherung und angemessene Kommunikation zu beachten. Vertraulichkeit darf jedoch nicht als Vorwand dienen, notwendige Berichterstattung an befugte Stellen zu unterlassen.
Praxisbeispiel: Ein Team erhält sensible Personalunterlagen für eine Prüfung. Es beschränkt den Zugriff auf die beteiligten Personen und verwendet im Bericht nur die für den Befund erforderlichen Angaben.
Häufiger Denkfehler: Vertraulichkeit bedeutet nicht, jede Information vor allen Stakeholdern geheim zu halten. Maßgeblich sind Zweck, Berechtigung und der erforderliche Empfängerkreis; sensible Details sollen trotzdem minimiert werden.
7. Unabhängigkeit der Revisionsfunktion
Part 1 – Governance und Revisionsfunktion
Organisatorische Unabhängigkeit ermöglicht der Internen Revision, ihre Aufgaben ohne unangemessene Einflussnahme auszuführen. Dafür benötigt die Leitung eine direkte funktionale Berichtslinie zum zuständigen Leitungs- oder Überwachungsorgan, das die Standards als Board bezeichnen. Eine administrative Zuordnung zur Geschäftsleitung kann daneben bestehen, darf aber Auftrag, Zugang, Durchführung oder Kommunikation nicht unangemessen beschränken. Die Leitung bestätigt dem Board mindestens jährlich die organisatorische Unabhängigkeit und kommuniziert relevante Beeinträchtigungen sowie die zugehörigen Schutzmaßnahmen. Persönliche Objektivität ist davon getrennt zu beurteilen.
Praxisbeispiel: Ein Bereichsleiter verweigert Unterlagen, die für einen wesentlichen Teil des genehmigten Prüfungsumfangs erforderlich sind. Die Leitung der Internen Revision dokumentiert die Einschränkung und versucht, sie mit dem zuständigen Management zu lösen. Bleibt sie bestehen, berichtet sie dem Board über die Auswirkungen auf die Prüfung und die Unabhängigkeit.
Häufiger Denkfehler: Unabhängigkeit bedeutet nicht organisatorische Isolation. Zusammenarbeit und administrative Unterstützung sind zulässig; problematisch wird es, wenn dadurch Prüfungsumfang, Zugang oder sachliche Berichterstattung unangemessen beeinflusst werden.
8. Objektivität einzelner Prüfer
Part 1 – Ethik und Professionalität
Objektivität verlangt, Informationen unvoreingenommen zu beurteilen und Schlussfolgerungen nicht durch persönliche Interessen, Beziehungen oder frühere Verantwortlichkeiten zu verzerren. Auch eine wahrgenommene Beeinträchtigung kann Schutzmaßnahmen erfordern. Interne Revisorinnen und Revisoren dürfen nicht unbefangen ihre eigene frühere Arbeit beurteilen. Bei Assurance-Leistungen zu einer Tätigkeit, für die sie innerhalb der vorhergehenden zwölf Monate verantwortlich waren, gilt ihre Objektivität nach Standard 2.2 als vermutlich beeinträchtigt. Nach Ablauf dieses Zeitraums entfällt nicht automatisch die Pflicht, verbleibende Interessenkonflikte zu beurteilen.
Praxisbeispiel: Ein Prüfer hat bis vor acht Monaten den Einkauf geleitet und soll nun in einem Assurance-Auftrag die damaligen Beschaffungsprozesse bewerten. Die Engagement-Leitung weist diese Prüfung einer unbefangenen Person zu, statt eine bloße Offenlegung als ausreichende Lösung zu behandeln.
Häufiger Denkfehler: Objektivität ist nicht erst bei nachgewiesener Parteilichkeit relevant. Ebenso ist die Zwölfmonatsregel keine allgemeine Freigabe nach Ablauf eines Jahres: Weitere Beziehungen, Interessen oder frühere Verantwortlichkeiten müssen weiterhin beurteilt werden.
9. Beeinträchtigungen offenlegen und behandeln
Part 1 – Ethik und Professionalität
Wenn tatsächliche oder mögliche Beeinträchtigungen von Unabhängigkeit oder Objektivität erkennbar werden, müssen sie nach den einschlägigen Anforderungen offengelegt und angemessen behandelt werden. Offenlegung macht den Konflikt sichtbar, beseitigt ihn aber nicht automatisch. Je nach Umständen kann eine Anpassung der Aufgaben, zusätzliche Überprüfung oder eine andere Besetzung erforderlich sein. Die Entscheidung und ihre Begründung sollten nachvollziehbar sein.
Praxisbeispiel: Eine Prüferin entdeckt während des Auftrags, dass eine nahe stehende Person für einen geprüften Lieferanten arbeitet. Sie informiert die Engagement-Leitung, die die Auswirkungen bewertet und eine passende Schutzmaßnahme festlegt.
Häufiger Denkfehler: Die Annahme, eine einmalige Offenlegung erlaube stets die Fortsetzung derselben Arbeit, ist falsch. Die Leitung muss beurteilen, ob die Beeinträchtigung mit geeigneten Maßnahmen tatsächlich ausreichend behandelt wird.
10. Verantwortung des Leitungs- oder Überwachungsorgans
Part 1 – Governance
Das in den Standards als Board bezeichnete zuständige Leitungs- oder Überwachungsorgan beaufsichtigt die Interne Revision. Zu seinen wesentlichen Aufgaben gehören die Genehmigung der Geschäftsordnung und des Prüfungsplans sowie die Aufsicht über Unabhängigkeit, ausreichende Ressourcen und Qualität. Es benötigt dafür einen unmittelbaren Austausch mit der Leitung der Internen Revision und Informationen über wesentliche Einschränkungen. Welches Organ diese Rolle wahrnimmt, hängt von der Governance-Struktur ab; die Standards ersetzen keine nationalen gesellschaftsrechtlichen Regelungen.
Praxisbeispiel: Die Leitung der Internen Revision berichtet dem zuständigen Prüfungsausschuss, dass fehlende Spezialkenntnisse die Prüfung eines wesentlichen Technologierisikos verhindern. Der Ausschuss beurteilt die Deckungslücke und die vorgeschlagenen Ressourcenoptionen im Rahmen seiner Aufsicht. Er führt die technischen Prüfungshandlungen nicht selbst aus.
Häufiger Denkfehler: Aufsicht bedeutet nicht operative Durchführung. Das Board unterstützt die Wirksamkeit und Unabhängigkeit der Revision, während die Revisionsleitung die Funktion führt und das Management für die geprüften Geschäftsprozesse verantwortlich bleibt.
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 11–20
11. Drei-Linien-Modell: Rollen und Verantwortlichkeiten
Part 1 – Governance, Risiko und Kontrolle
Das Drei-Linien-Modell von The IIA unterscheidet Rollen, nicht zwingend drei getrennte Abteilungen. Rollen der ersten Linie erbringen Leistungen und steuern die damit verbundenen Risiken. Rollen der zweiten Linie unterstützen, überwachen und hinterfragen bestimmte Aspekte des Risikomanagements, etwa durch Compliance oder Risikocontrolling. Beide gehören zum Management. Die Interne Revision übernimmt die Rolle der dritten Linie mit unabhängigen, objektiven Prüfungs- und Beratungsleistungen. Das Leitungs- oder Überwachungsorgan beaufsichtigt das Zusammenwirken und trägt die übergeordnete Governance-Verantwortung.
Praxisbeispiel: Der Einkauf prüft neue Lieferanten und verantwortet die zugehörigen Kontrollen. Compliance entwickelt Vorgaben und überwacht deren Einhaltung. Die Interne Revision beurteilt unabhängig, ob Risikomanagement und Kontrollen des Lieferantenprozesses wirksam sind, und berichtet an die zuständigen Stellen.
Häufiger Denkfehler: Die drei Linien sind keine zeitliche Prüfkette und müssen nicht drei eigenständige Organisationseinheiten sein. Insbesondere wird die Interne Revision durch ihre unabhängige Beurteilung nicht zur Eigentümerin der Geschäftsrisiken oder operativen Kontrollen.
12. Governance, Risikomanagement und Kontrollen
Part 1 – Governance, Risiko und Kontrolle
Governance, Risikomanagement und Kontrollen hängen zusammen, erfüllen aber unterschiedliche Aufgaben. Governance legt Richtung, Aufsicht und Verantwortlichkeit fest; Risikomanagement identifiziert und behandelt Unsicherheit; Kontrollen unterstützen die Umsetzung von Zielen und die Begrenzung bestimmter Risiken. Eine Prüfung sollte untersuchen, wie diese Elemente im konkreten Prozess zusammenwirken, anstatt sie als voneinander unabhängige Listen zu behandeln.
Praxisbeispiel: Bei einer neuen Produktfreigabe untersucht das Team, wer die Risikobewertung überwacht, wie Risiken behandelt werden und ob die erforderlichen Freigabekontrollen tatsächlich funktionieren.
Häufiger Denkfehler: Eine vorhandene Kontrolle beweist nicht, dass das gesamte Risikomanagement wirksam ist. Ebenso ist eine Governance-Richtlinie allein kein Nachweis dafür, dass Verantwortlichkeiten im Alltag wahrgenommen werden.
13. Risikomanagement und Risikotoleranz
Part 1 – Governance, Risiko und Kontrolle
Risikomanagement umfasst das Erkennen, Bewerten, Behandeln und Überwachen von Risiken, die Ziele beeinflussen können. Risikobereitschaft beschreibt, welches Maß an Risiko die Organisation im Zusammenhang mit ihren Zielen zu tragen bereit ist; Toleranzen konkretisieren akzeptable Schwankungen oder Abweichungen. Die Revision prüft, ob diese Konzepte nachvollziehbar in Entscheidungen einfließen, ohne die Verantwortung der Leitung für die Risikosteuerung zu übernehmen.
Praxisbeispiel: Ein Unternehmen toleriert begrenzte Lieferverzögerungen, aber nicht den Ausfall einer zentralen Lieferquelle. Das Revisionsteam prüft, ob Eskalationswege und Ausweichmaßnahmen diese unterschiedlichen Grenzen berücksichtigen.
Häufiger Denkfehler: Eine allgemeine Risikobereitschaft ersetzt keine konkrete Bewertung des Einzelfalls. Prüfer sollten auch nicht selbst festlegen, welches Geschäftsrisiko die Organisation akzeptieren muss.
14. Arten und Funktionen von Kontrollen
Part 1 – Governance, Risiko und Kontrolle
Kontrollen können vorbeugend, aufdeckend oder korrigierend wirken und manuell, automatisiert oder kombiniert sein. Ihre Funktion hängt davon ab, welche Ursache oder Folge eines Risikos sie beeinflussen sollen. Eine einzelne Kontrolle kann mehrere Zwecke erfüllen, doch diese Zwecke müssen anhand des tatsächlichen Prozessdesigns beurteilt werden. Die Einordnung hilft, passende Prüfungshandlungen auszuwählen und keine Kontrolle nur nach ihrem Namen zu bewerten.
Praxisbeispiel: Eine automatische Berechtigungsprüfung verhindert unzulässige Zugriffe, während eine regelmäßige Auswertung ungewöhnliche Zugriffe aufdecken kann. Das Team prüft beide Funktionen anhand der beschriebenen Abläufe.
Häufiger Denkfehler: Die Bezeichnung einer Maßnahme als Kontrolle beweist weder ihre Funktion noch ihre Wirksamkeit. Eine nachgelagerte Überprüfung verhindert beispielsweise nicht unbedingt, dass ein Fehler zunächst entsteht.
15. Kontrolldesign und Umsetzung
Part 1 – Governance, Risiko und Kontrolle
Beim Kontrolldesign geht es darum, ob eine Kontrolle geeignet ist, ein relevantes Risiko zu adressieren. Bei der Umsetzung geht es darum, ob sie eingerichtet und tatsächlich in den Prozess integriert wurde. Erst danach lässt sich sinnvoll prüfen, ob sie über einen Zeitraum verlässlich funktioniert. Dokumentierte Absichten, ein Richtliniendokument oder eine Prozessbeschreibung belegen nicht automatisch die praktische Anwendung.
Praxisbeispiel: Zur Vermeidung nicht genehmigter Zahlungen ist vor der Auszahlung eine zweite Freigabe durch eine unabhängige, berechtigte Person vorgesehen. Das Team beurteilt zunächst die Eignung dieses Designs. Anschließend prüft es die Einrichtung im Zahlungssystem und vollzieht einen Vorgang nach. Für die verlässliche Durchführung untersucht es zusätzlich eine geeignete Auswahl von Zahlungen aus dem relevanten Prüfungszeitraum.
Häufiger Denkfehler: Ein gut beschriebenes Design belegt keine Umsetzung. Ein einzelner korrekt bearbeiteter Vorgang kann die Einrichtung einer Kontrolle stützen, beweist aber weder ein grundsätzlich geeignetes Design noch ihre verlässliche Durchführung während des gesamten Prüfungszeitraums.
16. Inhärentes und Restrisiko
Part 1 – Governance, Risiko und Kontrolle
Inhärentes Risiko bezeichnet die Exponierung ohne Berücksichtigung von Maßnahmen zur Risikobehandlung. Das aktuelle Restrisiko ist das Risiko, das nach den bestehenden Maßnahmen und unter Berücksichtigung ihrer Wirksamkeit verbleibt. Ein Zielrestrisiko beschreibt dagegen das angestrebte Niveau nach zusätzlichen, noch geplanten Maßnahmen. Für eine belastbare Bewertung muss deshalb klar sein, welche Maßnahmen nur vorgesehen, bereits eingerichtet oder nachweislich wirksam sind. Diese Unterscheidung beeinflusst die Priorisierung und den Umfang einer Prüfung.
Praxisbeispiel: Ein Prozess besitzt eine dokumentierte Zugriffskontrolle, deren Wirksamkeit noch nicht getestet wurde. Das Team berücksichtigt diese Unsicherheit bei der Bewertung des aktuellen Restrisikos und plant entsprechende Tests. Eine zusätzlich geplante Mehrfaktorauthentifizierung behandelt es als künftige Maßnahme, nicht als bereits wirksame Risikominderung.
Häufiger Denkfehler: Eine Kontrollbeschreibung oder geplante Verbesserung senkt nicht automatisch das aktuelle Restrisiko. Außerdem darf das angestrebte Zielrestrisiko nicht als bereits erreicht dargestellt werden.
17. Betrugsrisiken und Verantwortung
Part 1 – Betrugsrisiken
Die Interne Revision berücksichtigt Betrugsrisiken bei Planung und Durchführung ihrer Arbeit und beurteilt, ob relevante Kontrollen diese Risiken angemessen adressieren. Daraus folgt nicht automatisch, dass jedes Engagement aufgedeckten Betrug feststellen muss oder dass die Revision für Prävention und Ermittlung allein verantwortlich ist. Zuständigkeiten können je nach Governance und Organisationsregelungen verschieden verteilt sein; die Grenzen des eigenen Auftrags sind zu beachten.
Praxisbeispiel: Bei der Prüfung von Lieferantenstammdaten berücksichtigt das Team Risiken wie nicht genehmigte Änderungen und prüft passende Kontrollen. Es macht keine Betrugsfeststellung, bevor die Fakten untersucht sind.
Häufiger Denkfehler: Die Pflicht, Betrugsrisiken zu berücksichtigen, bedeutet weder eine Garantie, Betrug zu entdecken, noch eine automatische Übernahme der Ermittlungsverantwortung. Entscheidend sind Auftrag, Nachweise und die geregelten Zuständigkeiten.
18. Betrugsindikatoren richtig einordnen
Part 1 – Betrugsrisiken
Ungewöhnliche Transaktionen, fehlende Dokumentation oder Umgehungen von Kontrollen können auf ein erhöhtes Risiko hindeuten. Solche Indikatoren sind Ausgangspunkte für weitere Prüfung, nicht bereits Beweise für Betrug oder die Absicht einer bestimmten Person. Prüfer sollten alternative Erklärungen, Zusammenhänge und zusätzliche Nachweise untersuchen und ihre Aussagen auf das beschränken, was sich belegen lässt.
Praxisbeispiel: Mehrere Rechnungen eines Lieferanten liegen knapp unter einer Freigabegrenze. Das Team analysiert Transaktionen, Genehmigungswege und mögliche sachliche Erklärungen, bevor es einen Befund formuliert.
Häufiger Denkfehler: Ein auffälliges Muster rechtfertigt nicht sofort die Behauptung, jemand habe vorsätzlich gehandelt. Eine solche Schlussfolgerung geht über den Indikator hinaus, solange belastbare Nachweise fehlen.
19. Assurance- und Beratungsleistungen
Part 1 – Revisionsfunktion
Assurance-Leistungen liefern eine unabhängige Beurteilung von Governance, Risikomanagement oder Kontrollen anhand geeigneter Kriterien und Nachweise. Beratungsleistungen unterstützen Stakeholder bei Fragen oder Verbesserungsmöglichkeiten; Art und Umfang werden klar vereinbart, und die Revision übernimmt keine Managementverantwortung. Frühere Beratung schließt spätere Assurance-Leistungen nicht automatisch aus. Die Leitung der Internen Revision muss jedoch bestätigen, dass die Art der vorherigen Beratung die Objektivität nicht beeinträchtigt, und die Besetzung so steuern, dass die individuelle Objektivität gewahrt bleibt.
Praxisbeispiel: Die Revision erläutert bei der Entwicklung eines Freigabeprozesses verschiedene Kontrollalternativen. Das Management wählt die Kontrollen aus und führt sie ein. Vor einer späteren Assurance-Prüfung beurteilt die Revisionsleitung die Auswirkungen der vorherigen Beratung auf die Objektivität und legt eine geeignete Besetzung sowie gegebenenfalls Schutzmaßnahmen fest.
Häufiger Denkfehler: Beratung ist weder automatisch unzulässig noch eine Erlaubnis zur Übernahme von Managemententscheidungen. Sie ist außerdem nicht mit einer zuvor selbst verantworteten operativen Tätigkeit gleichzusetzen; für solche Tätigkeiten gelten besondere Anforderungen an die Objektivität.
20. Mandat und Geschäftsordnung der Internen Revision
Part 1 – Revisionsfunktion
Das Mandat beschreibt Befugnisse, Rolle und Verantwortlichkeiten der Internen Revision. Die Geschäftsordnung der Internen Revision, auch Internal Audit Charter genannt, dokumentiert dieses Mandat und die grundlegende Stellung der Funktion. Sie umfasst mindestens den Zweck der Internen Revision, die Verpflichtung zur Einhaltung der Global Internal Audit Standards, das Mandat einschließlich Umfang und Arten der Leistungen sowie die organisatorische Stellung und Berichtslinien. Die Leitung entwickelt die Geschäftsordnung, bespricht sie mit Geschäftsleitung und Board und legt sie dem Board zur Genehmigung vor. Die darin geregelten Zugangsrechte müssen die Aufgabenerfüllung ermöglichen.
Praxisbeispiel: Eine neu eingerichtete Revisionsfunktion hat einen Entwurf ihrer Geschäftsordnung, der bereits von der Geschäftsleitung unterstützt wird. Die Genehmigung durch das zuständige Überwachungsorgan fehlt jedoch. Die Revisionsleitung bespricht den Entwurf mit diesem Organ und holt dessen Genehmigung ein, statt die Zustimmung der Geschäftsleitung als ausreichend anzusehen.
Häufiger Denkfehler: Eine allgemeine Aufforderung der Geschäftsleitung, Risiken zu prüfen, ersetzt keine genehmigte Geschäftsordnung. Ebenso lassen sich fehlende Befugnisse, Zugangsrechte oder Berichtslinien nicht durch einen unverbindlich formulierten Auftrag zuverlässig klären.
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 21–30
21. Engagement-Zielsetzung
Part 2 – Engagementplanung
Die Zielsetzung beschreibt, was ein konkretes Engagement erreichen soll und welche Frage die Prüfung beantworten muss. Sie lenkt Umfang, Risikobeurteilung, Prüfungshandlungen und spätere Schlussfolgerungen. Ein präzises Ziel ist weder so allgemein, dass es keine Auswahl ermöglicht, noch so eng, dass ein wesentlicher Teil des zu prüfenden Risikos ausgeblendet wird. Die Zielsetzung sollte mit dem Auftrag und den verfügbaren Informationen zusammenpassen.
Praxisbeispiel: Statt den gesamten Zahlungsprozess unbestimmt zu prüfen, soll das Engagement klären, ob Änderungen an Bankverbindungen ausreichend autorisiert und nachvollziehbar sind.
Häufiger Denkfehler: Ein umfangreicher Arbeitsplan kann eine unklare Zielsetzung nicht ausgleichen. Wenn nicht feststeht, welche Frage beantwortet werden soll, sind auch viele Prüfungshandlungen schwer zu rechtfertigen.
22. Engagement-Umfang
Part 2 – Engagementplanung
Der Umfang grenzt Aktivitäten, Standorte, Systeme, Zeiträume und Prozesse ab und muss ausreichen, um die Prüfungsziele zu erreichen. Ressourcenknappheit rechtfertigt keine stillschweigende Einschränkung, die diese Ziele unerreichbar macht. Die Leitung der Internen Revision muss Ziele, Umfang und deren Änderungen genehmigen; Änderungen sind den relevanten Beteiligten zu kommunizieren. Beschränkungen, etwa verweigerter Informationszugang, werden zunächst mit dem Management geklärt. Bleibt eine Beschränkung ungelöst, muss die Leitung der Internen Revision sie nach dem festgelegten Verfahren an das zuständige Leitungs- oder Überwachungsorgan eskalieren.
Praxisbeispiel: Für die Prüfung von Bankdatenänderungen benötigt das Team Änderungsprotokolle, deren Zugriff der Prozessverantwortliche verweigert. Das Team erläutert, weshalb ohne diese Daten das Prüfungsziel nicht hinreichend erreicht werden kann. Bleibt die Klärung mit dem Management erfolglos, eskaliert die Revisionsleitung die Beschränkung, statt den Umfang unbemerkt zu verkürzen.
Häufiger Denkfehler: Ein kleinerer Umfang ist nicht schon deshalb angemessen, weil er zum verfügbaren Budget passt. Entscheidend bleibt, ob die Prüfungsziele erreichbar sind und Einschränkungen ordnungsgemäß behandelt werden.
23. Engagement-Kriterien
Part 2 – Engagementplanung
Kriterien sind Maßstäbe, mit denen der tatsächliche Zustand beurteilt wird. Sie können aus internen Richtlinien, vereinbarten Prozessanforderungen, Standards oder anderen einschlägigen Quellen stammen. Damit ein Befund tragfähig ist, müssen die Kriterien zur Fragestellung passen und verständlich sein. Fehlen geeignete Kriterien oder sind sie widersprüchlich, sollte das Team dies früh erkennen und klären, bevor es Abweichungen bewertet.
Praxisbeispiel: Das Team vergleicht tatsächliche Zugriffsänderungen mit der genehmigten Berechtigungsrichtlinie und prüft, ob diese Richtlinie für das untersuchte System gilt.
Häufiger Denkfehler: Eine Abweichung von der persönlichen Erwartung eines Prüfers ist noch kein belastbarer Befund. Es braucht einen geeigneten und nachvollziehbaren Maßstab, der zum Auftrag und Sachverhalt passt.
24. Risikobeurteilung im Engagement
Part 2 – Engagementplanung
Die Risikobeurteilung im Engagement hilft, relevante Risiken für die Prüfungsziele zu erkennen und Prüfungshandlungen angemessen auszurichten. Dabei zählen mögliche Auswirkungen, Eintrittsbedingungen, bestehende Kontrollen und neue Informationen. Die Beurteilung ist kein einmaliger Schritt, der nach der Planung abgeschlossen ist: Erkenntnisse aus Tests können Prioritäten oder Umfang verändern. Solche Anpassungen sollten anhand der Fakten begründet werden.
Praxisbeispiel: Bei der Planung erscheint ein manueller Prozess wenig bedeutend. Erste Tests zeigen jedoch häufige Ausnahmen mit möglichen Auswirkungen auf mehrere Standorte; das Team überdenkt daraufhin die Prüfungsprioritäten.
Häufiger Denkfehler: Die ursprüngliche Risikobewertung ist kein unveränderlicher Plan. Wer neue Hinweise ignoriert, hält zwar am Ausgangsscope fest, kann aber die wesentlichen Risiken verfehlen.
25. Prüfungsprogramm und Prüfungshandlungen
Part 2 – Engagementplanung
Ein Prüfungsprogramm übersetzt Ziele und Risiken in konkrete Aufgaben. Es benennt die Bewertungskriterien, benötigten Informationen, Methoden und Werkzeuge und ordnet die Aufgaben den prüfenden Personen zu. Dadurch wird nachvollziehbar, welche Handlung welche Prüfungsfrage beantworten soll. Die Leitung der Internen Revision muss das Programm vor seiner Durchführung prüfen und genehmigen. Spätere Änderungen müssen ebenfalls zeitnah geprüft und genehmigt werden. Neue Erkenntnisse können Anpassungen erfordern; deren Begründung und Auswirkungen auf die Prüfungsziele sind nachvollziehbar festzuhalten.
Praxisbeispiel: Zur Prüfung unautorisierter Zahlungen legt das Programm fest, welche Freigaberegeln gelten, wie Transaktionen ausgewählt und mit Berechtigungsdaten abgeglichen werden und wer die Tests durchführt. Nach der Genehmigung beginnt das Team. Neue Hinweise führen zu zusätzlichen Tests; die Anpassung wird begründet und zeitnah zur Genehmigung vorgelegt.
Häufiger Denkfehler: Weder das bloße Abhaken eines Programms noch eine informelle Änderung durch das Team genügt. Die Handlungen müssen die Prüfungsziele unterstützen; Programm und Änderungen unterliegen der vorgesehenen Prüfung und Genehmigung.
26. Relevanz und Zuverlässigkeit von Informationen
Part 2 – Nachweise
Relevanz beschreibt, ob eine Information zur Prüfungsfrage passt; Zuverlässigkeit betrifft, wie vertrauenswürdig sie als Grundlage einer Schlussfolgerung ist. Die Einschätzung hängt unter anderem von Quelle, Entstehung, Kontrolle und möglicher Veränderung der Information ab. Ein systemgenerierter Datensatz kann nützlich sein, muss aber nicht automatisch fehlerfrei sein. Prüfer beurteilen deshalb sowohl den Inhalt als auch die Herkunft und Integrität der Informationen.
Praxisbeispiel: Ein Bericht zeigt ungewöhnliche Änderungen an Lieferantenkonten. Das Team klärt, wie der Bericht erzeugt wurde, ob alle relevanten Datensätze enthalten sind und ob die Änderungen unabhängig bestätigt werden können.
Häufiger Denkfehler: Ein offizielles Dateiformat oder ein vertrauter Absender macht Informationen nicht automatisch zuverlässig. Auch scheinbar präzise Daten benötigen eine Prüfung ihrer Herkunft und Vollständigkeit.
27. Ausreichende und geeignete Nachweise
Part 2 – Nachweise
Nachweise müssen sowohl in ihrer Qualität geeignet als auch in ihrem Umfang ausreichend sein, um Schlussfolgerungen nachvollziehbar zu stützen. Geeignetheit hängt eng mit Relevanz und Zuverlässigkeit zusammen; Suffizienz betrifft die Menge und Aussagekraft im Verhältnis zu Risiko und Prüfungsziel. Mehr Unterlagen bedeuten nicht automatisch mehr Sicherheit. Bleibt eine wesentliche Lücke, sollte die Schlussfolgerung begrenzt oder zusätzliche Arbeit geplant werden.
Praxisbeispiel: Ein Interview legt nahe, dass eine Kontrolle regelmäßig durchgeführt wird. Das Team prüft zusätzlich geeignete Aufzeichnungen und Transaktionen, bevor es die Aussage über die tatsächliche Anwendung trifft.
Häufiger Denkfehler: Viele schwache Nachweise werden nicht automatisch zu einem starken Nachweis. Ebenso kann eine einzelne sehr überzeugende Information für ein komplexes oder weitreichendes Urteil unzureichend sein.
28. Befragung und Bestätigung
Part 2 – Informationsbeschaffung
Befragungen dienen dazu, Abläufe, Entscheidungen und mögliche Erklärungen zu verstehen. Eine Bestätigung holt gezielt eine Auskunft über einen bestimmten Sachverhalt direkt von einer geeigneten Quelle ein, beispielsweise von einem externen Geschäftspartner. Beide Methoden liefern unterschiedliche Informationen: Eine interne Erklärung zu einem Saldo ist nicht dasselbe wie dessen direkte Bestätigung durch die Gegenpartei. Bei Bestätigungen sind insbesondere die Identität und Zuständigkeit der antwortenden Person, der Übermittlungsweg und mögliche Abweichungen zu beurteilen. Auch eine Bestätigung ist nur im Rahmen ihrer konkreten Aussage aussagekräftig.
Praxisbeispiel: Die Buchhaltung erläutert, weshalb eine Kundenforderung noch offen ist. Das Prüfungsteam holt zusätzlich direkt beim Kunden eine Bestätigung des Saldos zu einem festgelegten Stichtag ein. Eine Abweichung untersucht es anhand von Zahlungen, Rechnungen und möglichen zeitlichen Buchungsunterschieden.
Häufiger Denkfehler: Eine vom geprüften Bereich weitergeleitete Nachricht ist nicht automatisch eine unabhängig eingeholte Bestätigung. Ebenso beweist eine ausbleibende Antwort weder die Richtigkeit noch die Unrichtigkeit des geprüften Sachverhalts.
29. Beobachtung und Inspektion
Part 2 – Informationsbeschaffung
Beobachtung ermöglicht es, einen Prozess in einer bestimmten Situation unmittelbar wahrzunehmen; Inspektion untersucht Dokumente, Objekte oder Aufzeichnungen. Beide Verfahren liefern wertvolle Informationen, doch ihre Aussagekraft ist begrenzt: Beobachtetes Verhalten kann sich ändern, sobald jemand weiß, dass er beobachtet wird, und Dokumente belegen nicht immer die tatsächliche Durchführung. Die Methoden sind deshalb passend zur Prüfungsfrage einzusetzen und gegebenenfalls zu ergänzen.
Praxisbeispiel: Eine Prüferin beobachtet eine Bestandszählung und untersucht zusätzlich die zugehörigen Zähllisten und dokumentierten Differenzklärungen. Damit beurteilt sie Ablauf und Dokumentation dieser Zählung. Für eine Aussage über die Durchführung an anderen Terminen benötigt sie weitere geeignete Nachweise.
Häufiger Denkfehler: Eine beobachtete ordnungsgemäße Durchführung beweist nicht, dass sie dauerhaft so erfolgt. Umgekehrt sagt ein schriftliches Verfahren allein nicht aus, dass es im Alltag eingehalten wird.
30. Nachvollziehen und erneutes Durchführen
Part 2 – Informationsbeschaffung
Beim Nachvollziehen eines Prozesses, auch Walkthrough genannt, verfolgt die prüfende Person einen Vorgang durch seine Bearbeitungsschritte und verbindet dies gegebenenfalls mit Befragung, Beobachtung und Dokumentenprüfung. Ziel ist vor allem, Abläufe und Kontrollpunkte zu verstehen. Bei der erneuten Durchführung wiederholt sie eine zuvor durch die Organisation ausgeführte Kontrolle unabhängig mit den maßgeblichen Informationen und vergleicht die Ergebnisse. Dies liefert Nachweise zur Funktionsweise der Kontrolle, beweist aber allein nicht, dass die verantwortliche Person sie ursprünglich oder regelmäßig ausgeführt hat. Die bloße Überprüfung einer Rechnung auf mathematische Richtigkeit ist dagegen eine Nachberechnung.
Praxisbeispiel: Das Team verfolgt eine Bestellung vom Antrag bis zur Zahlung, um die Kontrollpunkte zu verstehen. Anschließend wiederholt es für ausgewählte Rechnungen den Abgleich mit Bestellung und Wareneingang und vergleicht seine Ergebnisse mit den dokumentierten Kontrollentscheidungen.
Häufiger Denkfehler: Ein Walkthrough ersetzt keine Tests über den maßgeblichen Zeitraum. Ebenso darf eine erfolgreich wiederholte Kontrolle nicht ohne weitere Nachweise als Beweis ihrer ursprünglichen Ausführung gewertet werden.
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 31–40
31. Datenanalyse im Engagement
Part 2 – Informationsanalyse
Datenanalysen können Muster, Ausnahmen und Beziehungen in größeren Datenbeständen sichtbar machen und so die Prüfung gezielter ausrichten. Ihre Aussage hängt von der Datenqualität, der Auswahl der Kriterien und der richtigen Interpretation ab. Ein auffälliger Treffer ist zunächst ein Prüfhinweis, der untersucht werden muss. Die Analyse ersetzt weder fachliches Urteil noch die Validierung, dass Daten vollständig und für die Fragestellung geeignet sind.
Praxisbeispiel: Eine Analyse findet doppelte Rechnungsnummern. Das Team prüft, ob es sich um echte Mehrfachzahlungen, legitime Wiederverwendung von Nummern oder einen Fehler in der Datenaufbereitung handelt.
Häufiger Denkfehler: Ein auffälliges Analyseergebnis ist nicht automatisch ein Befund. Fehlerhafte Daten, ungeeignete Filter oder sachlich zulässige Ausnahmen können dasselbe Muster erzeugen.
32. Stichproben und Aussagegrenzen
Part 2 – Stichproben
Eine Stichprobe untersucht einen ausgewählten Teil einer Grundgesamtheit, um eine begrenzte Aussage über die relevanten Vorgänge zu ermöglichen. Auswahlverfahren, Stichprobengröße und Prüfungsziel beeinflussen, was sich aus den Ergebnissen ableiten lässt. Eine gezielte Auswahl auffälliger Fälle kann Risiken aufdecken, liefert aber nicht automatisch eine statistisch belastbare Aussage über alle Fälle. Die Schlussfolgerung muss zur Methode passen.
Praxisbeispiel: Das Team wählt gezielt hohe und ungewöhnliche Auszahlungen zur Ursachenanalyse aus. Es beschreibt die Ergebnisse als Prüfung dieser Fälle und behauptet nicht, damit die Häufigkeit in der gesamten Population bestimmt zu haben.
Häufiger Denkfehler: Eine große Stichprobe macht eine nicht repräsentative Auswahl nicht automatisch repräsentativ. Ebenso darf ein Ergebnis aus ausgewählten Risikofällen nicht ohne Begründung auf alle Transaktionen übertragen werden.
33. Prüfung der Kontrolldurchführung
Part 2 – Bewertung
Um die tatsächliche Durchführung einer Kontrolle zu beurteilen, braucht es Informationen über ihre Anwendung in der relevanten Situation und im maßgeblichen Zeitraum. Die Prüfung kann Ausführung, Verantwortlichkeit, Zeitpunkt und Umgang mit Ausnahmen betreffen. Ein einzelner erfolgreicher Test ist nicht ohne Weiteres ein Beleg für dauerhafte Zuverlässigkeit. Umfang und Verfahren sollten sich nach Risiko, Häufigkeit der Kontrolle und Engagement-Ziel richten.
Praxisbeispiel: Eine tägliche Abstimmung soll Fehler in Zahlungsläufen aufdecken. Das Team untersucht Aufzeichnungen aus verschiedenen Zeitpunkten und verfolgt Ausnahmen bis zu ihrer Bearbeitung.
Häufiger Denkfehler: Eine unterschriebene Checkliste kann die Ausführung unterstützen, beweist aber allein nicht, dass die Kontrolle sorgfältig und inhaltlich wirksam durchgeführt wurde.
34. Prüfungsfeststellung: Kriterium und Zustand
Part 2 – Feststellungen
Eine Feststellung vergleicht üblicherweise einen geeigneten Maßstab mit dem beobachteten Zustand und beschreibt eine belegte Abweichung oder ein relevantes positives Ergebnis. Der Zustand muss durch Nachweise gestützt sein; das Kriterium muss zur Fragestellung passen. Eine klare Darstellung hilft Stakeholdern zu verstehen, was erwartet wurde und was tatsächlich festgestellt wurde. Vermutungen sollten von bestätigten Tatsachen unterscheidbar bleiben.
Praxisbeispiel: Die Richtlinie verlangt eine dokumentierte Freigabe vor einer Änderung der Bankverbindung. In mehreren geprüften Fällen fehlt der Nachweis einer solchen Freigabe; das Team nennt den untersuchten Umfang.
Häufiger Denkfehler: Ein bloßes Problemgefühl ist keine vollständige Feststellung. Ohne passenden Maßstab und belegten Zustand kann die Leserschaft weder die Abweichung noch ihre Bedeutung nachvollziehen.
35. Ursache und Auswirkung
Part 2 – Feststellungen
Ursache erklärt, warum der beobachtete Zustand entstanden ist; Auswirkung beschreibt das tatsächliche oder plausible Risiko beziehungsweise die Folge. Eine Ursachenanalyse hilft, Empfehlungen auf die zugrunde liegende Schwäche statt auf ein einzelnes Symptom zu richten. Die Auswirkung soll weder übertrieben noch verharmlost werden. Wenn Ursache oder Folge noch nicht sicher feststehen, muss die Formulierung diese Unsicherheit angemessen kenntlich machen.
Praxisbeispiel: Mehrere Freigaben fehlen. Die Analyse zeigt, dass ein Systemwechsel die Zuständigkeit unklar gemacht hat; dadurch steigt das Risiko nicht genehmigter Änderungen.
Häufiger Denkfehler: Ein Symptom als Ursache zu bezeichnen führt oft zu oberflächlichen Maßnahmen. Auch eine denkbare Auswirkung ist nicht automatisch ein bereits eingetretener Schaden.
36. Empfehlung und Maßnahmenplan
Part 2 – Maßnahmen
Eine Empfehlung oder ein Maßnahmenplan sollte die festgestellte Schwäche, das relevante Risiko und, soweit ermittelt, die zugrunde liegende Ursache adressieren. Das Management trägt die Verantwortung für Umsetzung und operative Entscheidungen. Ein nachverfolgbarer Maßnahmenplan benennt konkrete Schritte, verantwortliche Personen und geplante Abschlussdaten; außerdem sollte erkennbar sein, woran die Umsetzung überprüft werden kann. Die Interne Revision beurteilt die Angemessenheit der Reaktion, ohne die Managementverantwortung zu übernehmen. Umfang und Dringlichkeit müssen zur Bedeutung der Feststellung passen.
Praxisbeispiel: Nach einer Systemumstellung fehlen Freigaben, weil Zuständigkeiten unklar sind. Die Leiterin der Kreditorenbuchhaltung übernimmt die Verantwortung dafür, innerhalb von sechs Wochen Zuständigkeiten festzulegen und den Freigabeworkflow anzupassen. Die Umsetzung soll anhand der freigegebenen Rollenbeschreibung, der Systemkonfiguration und geeigneter Transaktionen überprüft werden.
Häufiger Denkfehler: Die Zusage, einen Prozess zu verbessern, ist noch kein belastbarer Maßnahmenplan. Ohne klare Verantwortung, geplanten Abschluss und überprüfbare Schritte lässt sich die Umsetzung kaum sinnvoll nachverfolgen; die Revision darf dabei nicht zur operativen Eigentümerin werden.
37. Überwachung der Maßnahmenumsetzung
Part 2 – Maßnahmen
Die Interne Revision verfolgt vereinbarte Maßnahmen in angemessener Weise, um den Status und gegebenenfalls die verbleibenden Risiken zu verstehen. Eine Managementmeldung, die Maßnahme sei erledigt, ist ein wichtiger Hinweis, aber je nach Risiko nicht immer ausreichender Nachweis. Die Überprüfung sollte zwischen formaler Fertigstellung und tatsächlicher Wirkung unterscheiden und offene oder überfällige Punkte an die zuständigen Stellen kommunizieren.
Praxisbeispiel: Die Geschäftsleitung meldet eine neue Zugriffskontrolle als umgesetzt. Das Team prüft geeignete Unterlagen und ausgewählte Zugriffe, bevor es die Maßnahme als wirksam abgeschlossen einordnet.
Häufiger Denkfehler: Ein geschlossener Vorgang in einem Nachverfolgungssystem beweist nicht, dass das Risiko beseitigt wurde. Status, Umsetzung und tatsächliche Wirkung sind getrennte Fragen.
38. Supervision und Arbeitspapiere
Part 2 – Durchführung
Angemessene Supervision unterstützt Qualität, fachliche Entwicklung und die Einhaltung des Engagement-Auftrags. Arbeitspapiere sollen die durchgeführten Schritte, relevanten Informationen, Bewertungen und Schlussfolgerungen so dokumentieren, dass die Arbeit nachvollziehbar überprüft werden kann. Umfang und Tiefe der Aufsicht richten sich nach Komplexität, Risiko und Erfahrung des Teams. Eine Dokumentation ist dabei kein Selbstzweck, sondern Beleg für die Grundlage des Ergebnisses.
Praxisbeispiel: Eine erfahrene Prüferin überprüft die Herleitung einer wesentlichen Feststellung und bestätigt, dass die Arbeitspapiere Nachweise, Stichprobenumfang und Schlussfolgerung miteinander verbinden.
Häufiger Denkfehler: Viele Seiten Dokumentation garantieren keine Qualität. Wenn zentrale Entscheidungen, Einschränkungen oder Schlussfolgerungen nicht erkennbar sind, bleibt die Arbeit trotz ihres Umfangs schwer nachvollziehbar.
39. Kommunikation während des Engagements
Part 2 – Kommunikation
Laufende Kommunikation hilft, Sachverhalte zeitnah zu klären, Erwartungen abzustimmen und Überraschungen am Ende eines Engagements zu vermeiden. Wesentliche vorläufige Beobachtungen sollten verständlich und angemessen angesprochen werden, ohne ungeprüfte Annahmen als endgültige Feststellungen darzustellen. Stakeholder können zusätzliche Informationen liefern oder Missverständnisse aufklären. Die Verantwortung, Ergebnisse unabhängig zu bewerten und zu dokumentieren, bleibt dennoch bei der Internen Revision.
Praxisbeispiel: Das Team findet widersprüchliche Aufzeichnungen zu einer wichtigen Kontrolle. Es bespricht die offenen Fragen früh mit dem Prozessverantwortlichen und prüft anschließend die ergänzten Informationen.
Häufiger Denkfehler: Frühe Kommunikation bedeutet nicht, einen unfertigen Befund als endgültig zu melden. Umgekehrt kann das Zurückhalten jeder Zwischeninformation vermeidbare Missverständnisse und Verzögerungen verursachen.
40. Engagement-Schlussfolgerung und Bericht
Part 2 – Kommunikation
Die Schlussfolgerung beantwortet die Prüfungsziele innerhalb des untersuchten Umfangs und muss durch Nachweise gedeckt sein. Die abschließende Mitteilung muss Ziele, Umfang, Schlussfolgerungen und gegebenenfalls Empfehlungen beziehungsweise Maßnahmenpläne enthalten. Bei Assurance-Leistungen gehören außerdem die Feststellungen mit ihrer Bedeutung und Priorität, vorhandene Umfangsbeschränkungen und ein zusammenfassendes Urteil zur Wirksamkeit der untersuchten Governance-, Risikomanagement- und Kontrollprozesse dazu. Für erforderliche Maßnahmen sind verantwortliche Personen und geplante Abschlussdaten anzugeben. Vor Ausgabe muss die Leitung der Internen Revision die Mitteilung prüfen und genehmigen sowie über ihre Verteilung entscheiden. Die Darstellung muss klar, sachlich und adressatengerecht sein.
Praxisbeispiel: Die Prüfung zeigt wiederkehrende Ausnahmen bei Bankdatenänderungen. Historische Aufzeichnungen lassen sich für einen Teil des Prüfungszeitraums nicht beschaffen. Der Bericht priorisiert die belegten Feststellungen, erläutert die Umfangsbeschränkung und begrenzt das Gesamturteil entsprechend. Er nennt Verantwortliche und geplante Abschlussdaten für die Maßnahmen und wird vor Ausgabe von der Revisionsleitung geprüft und genehmigt.
Häufiger Denkfehler: Ein Bericht ist nicht vollständig, nur weil er die einzelnen Beobachtungen korrekt wiedergibt. Fehlende Pflichtangaben oder ein Gesamturteil, das über den belegten Umfang hinausgeht, können die abschließende Mitteilung irreführend machen.
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 41–50
41. Strategie der Internen Revision
Part 3 – Strategie und Planung
Eine Strategie für die Interne Revision beschreibt, wie die Funktion ihren Auftrag erfüllen, die strategischen Ziele der Organisation unterstützen und sich weiterentwickeln will. Nach Standard 9.2 umfasst sie eine Vision, strategische Ziele und unterstützende Initiativen. Sie berücksichtigt die Erwartungen des zuständigen Leitungs- oder Überwachungsorgans, der obersten Geschäftsleitung und weiterer wichtiger Stakeholder. Die Revisionsleitung muss die Strategie regelmäßig mit dem Organ und der obersten Geschäftsleitung erörtern. Anders als der Prüfungsplan beschreibt sie nicht nur einzelne Aufträge, sondern die längerfristige Ausrichtung der Funktion.
Praxisbeispiel: Eine Organisation verlagert wesentliche Prozesse auf digitale Plattformen. Die Revisionsleitung formuliert das strategische Ziel einer besseren Prüfung digitaler Risiken und legt dafür Initiativen zur Kompetenzentwicklung und zur Einführung geeigneter Analysewerkzeuge fest. Sie erörtert die Ausrichtung mit dem Überwachungsorgan und der obersten Geschäftsleitung.
Häufiger Denkfehler: Ein Jahresprüfungsplan allein ist noch keine Strategie. Er legt konkrete Prüfungsarbeit fest; die Strategie verbindet die angestrebte Entwicklung der Funktion mit Zielen und Maßnahmen.
42. Risikobasierter Prüfungsplan
Part 3 – Strategie und Planung
Ein risikobasierter Prüfungsplan legt fest, welche Prüfungsarbeit zur Unterstützung der Organisationsziele vorrangig erforderlich ist. Nach Standard 9.4 beruht er auf einer dokumentierten Beurteilung der Strategien, Ziele und Risiken der Organisation, die mindestens jährlich erfolgt. Dabei holt die Revisionsleitung Beiträge des zuständigen Leitungs- oder Überwachungsorgans und der obersten Geschäftsleitung ein. Sie berücksichtigt den Ressourcenbedarf und macht wesentliche Grenzen der Risikodeckung sichtbar. Der Plan und wesentliche Änderungen werden mit diesen Verantwortlichen erörtert und bedürfen der Genehmigung durch das zuständige Organ.
Praxisbeispiel: Nach einer Übernahme bewertet die Revisionsleitung die Integrationsrisiken anhand aktueller Informationen und der Einschätzungen von Geschäftsleitung und Überwachungsorgan. Sie schlägt vor, eine Routineprüfung zugunsten einer Integrationsprüfung zu verschieben, erläutert die Folgen für die Abdeckung und legt die wesentliche Planänderung zur Genehmigung vor.
Häufiger Denkfehler: Weder der Vorjahresplan noch eine Wunschliste des Managements ersetzt eine dokumentierte risikobasierte Planung. Beiträge der Verantwortlichen sind wichtig, entbinden die Revisionsleitung aber nicht von einer eigenständigen Beurteilung.
43. Prüfungsuniversum
Part 3 – Strategie und Planung
Das Prüfungsuniversum umfasst die Bereiche, Prozesse, Einheiten oder Themen, die für die Planung der Internen Revision relevant sein können. Es bildet eine strukturierte Grundlage, um Risiken und mögliche Engagements zu erfassen. Ein geeignetes Universum sollte Veränderungen der Organisation widerspiegeln und darf nicht ausschließlich an Organigrammen ausgerichtet sein: Übergreifende Prozesse, Systeme und Risiken können organisatorische Grenzen überschreiten.
Praxisbeispiel: Ein Unternehmen gliedert sich nach Regionen, betreibt aber eine zentrale Zahlungsplattform. Die Revision nimmt neben den Regionen auch den gemeinsamen Plattformprozess in ihr Universum auf.
Häufiger Denkfehler: Ein bestehendes Register ist nicht automatisch vollständig oder aktuell. Wenn es nur formale Einheiten enthält, bleiben möglicherweise wichtige Querschnittsrisiken unberücksichtigt.
44. Dynamische Plananpassung
Part 3 – Strategie und Planung
Der Prüfungsplan muss auf wesentliche Veränderungen der Geschäftstätigkeit, Risiken, Systeme und Kontrollen reagieren können. Die Revisionsleitung beurteilt deshalb fortlaufend, ob neue Informationen eine Anpassung von Prioritäten, Umfang oder Ressourcen erfordern. Sie macht dabei auch sichtbar, welche bisher geplanten Arbeiten entfallen oder verschoben werden und welche Abdeckungslücken entstehen. Nach Standard 9.4 sind wesentliche Planänderungen mit der obersten Geschäftsleitung und dem zuständigen Leitungs- oder Überwachungsorgan zu erörtern und vom Organ genehmigen zu lassen.
Praxisbeispiel: Ein schwerwiegender Systemausfall macht die Wiederherstellung kritischer Daten zu einem vorrangigen Prüfungsthema. Die Revisionsleitung schlägt eine wesentliche Umpriorisierung vor, erläutert den Ressourcenbedarf und die Risiken einer verschobenen Prüfung und holt die Genehmigung des zuständigen Organs ein.
Häufiger Denkfehler: Dynamische Planung bedeutet weder beliebige Änderungen noch bloße nachträgliche Information. Wesentliche Änderungen benötigen eine nachvollziehbare Risikobegründung und die vorgesehene Genehmigung.
45. Ressourcenplanung
Part 3 – Ressourcen
Ressourcenplanung gleicht die genehmigte Prüfungsarbeit mit den erforderlichen personellen, finanziellen und technologischen Mitteln ab. Bei Personal unterscheidet Standard 10.2 zwischen angemessenen Ressourcen, also dem passenden Mix aus Wissen und Fähigkeiten, ausreichenden Ressourcen, also der benötigten Kapazität, und ihrem wirksamen Einsatz. Ein großes Team kann deshalb trotz ausreichender Kopfzahl ungeeignet sein, wenn entscheidende Kompetenzen fehlen. Die Revisionsleitung beurteilt Alternativen und kommuniziert die Auswirkungen unzureichender Personalressourcen dem zuständigen Leitungs- oder Überwachungsorgan und der obersten Geschäftsleitung.
Praxisbeispiel: Das Team verfügt über genügend allgemeine Prüfungskapazität, aber nicht über die Spezialkenntnisse für eine geplante IT-Prüfung. Die Revisionsleitung prüft qualifizierte externe Unterstützung und eine Umpriorisierung. Sie erläutert dem Überwachungsorgan und der obersten Geschäftsleitung, welche Abdeckung ohne zusätzliche Unterstützung nicht erreicht werden kann.
Häufiger Denkfehler: Die Zahl verfügbarer Personen beweist weder ausreichende Fachkompetenz noch wirksamen Ressourceneinsatz. Im Plan aufgeführte, tatsächlich aber nicht ausführbare Prüfungen dürfen nicht als erreichte Abdeckung dargestellt werden.
46. Kompetenzen des Revisionsteams
Part 3 – Ressourcen
Die Leitung der Internen Revision muss die Fähigkeiten des Teams an den Anforderungen der geplanten Arbeit ausrichten. Eine Kompetenzübersicht kann vorhandenes Wissen, Lücken und künftigen Bedarf sichtbar machen. Je nach Situation kommen Weiterbildung, interne Zusammenarbeit oder externe Unterstützung in Betracht. Entscheidungen über Fachkompetenz sollten auf dem tatsächlichen Anforderungsprofil des Engagements beruhen und die unabhängige Beurteilung der Revision wahren.
Praxisbeispiel: Der Prüfungsplan umfasst ein neues digitales Identitätssystem. Die Leitung stellt fest, dass technische Spezialkenntnisse fehlen, und organisiert qualifizierte Unterstützung für den relevanten Teil der Arbeit.
Häufiger Denkfehler: Ein Team kann nicht jede Spezialkompetenz dauerhaft selbst vorhalten. Entscheidend ist, Lücken früh zu erkennen und eine angemessene Lösung zu wählen, statt sie während der Prüfung zu ignorieren.
47. Technologie und Prüfungswerkzeuge
Part 3 – Ressourcen und Methoden
Technologie kann Planung, Analyse, Dokumentation und Kommunikation der Internen Revision unterstützen. Der Einsatz eines Werkzeugs verbessert die Arbeit jedoch nur, wenn Datenzugang, Funktion, Sicherheit und benötigte Fähigkeiten berücksichtigt werden. Automatisierte Ergebnisse erfordern fachliche Validierung und eine passende Interpretation. Die Leitung sollte den Nutzen von Werkzeugen im Verhältnis zu Kosten, Risiken und Prüfungszielen beurteilen, statt Technologie als Selbstzweck einzuführen.
Praxisbeispiel: Ein Analysewerkzeug soll doppelte Lieferantendaten finden. Das Team prüft vor der Nutzung Datenvollständigkeit, Regeln für Dubletten und Zugriffsschutz und verifiziert auffällige Ergebnisse.
Häufiger Denkfehler: Ein automatisierter Bericht ist nicht allein deshalb verlässlich, weil die Auswertung technisch wiederholbar ist. Falsche Eingangsdaten oder ungeeignete Regeln können systematisch irreführende Ergebnisse erzeugen.
48. Kommunikation mit dem Überwachungsorgan
Part 3 – Kommunikation
Die Revisionsleitung muss dem zuständigen Leitungs- oder Überwachungsorgan die Informationen geben, die es für seine Aufsicht über die Interne Revision benötigt. Nach Standard 8.1 gehören dazu insbesondere Plan und Budget einschließlich wesentlicher Änderungen, wesentliche Ergebnisse und übergreifende Erkenntnisse sowie relevante Einschränkungen und Beeinträchtigungen der Unabhängigkeit. Die Kommunikation muss rechtzeitig, verständlich und entscheidungsorientiert sein. Wesentliche Meinungsverschiedenheiten mit der obersten Geschäftsleitung sind so darzustellen, dass das Organ ihre Bedeutung für die Arbeit der Revision beurteilen kann.
Praxisbeispiel: Eine geplante Prüfung eines wesentlichen Risikobereichs ist wegen fehlender Fachkapazität nicht ausführbar. Die Revisionsleitung erläutert dem Überwachungsorgan die betroffenen Risiken, die Grenzen der bisherigen Abdeckung und mögliche Handlungsoptionen, statt lediglich eine niedrigere Planerfüllungsquote zu melden.
Häufiger Denkfehler: Eine knappe Berichterstattung darf operative Einzelheiten weglassen, aber nicht die Bedeutung wesentlicher Einschränkungen verdecken. Aufsicht erfordert entscheidungsrelevante Informationen, nicht nur günstige Statuszahlen.
49. Koordination mit anderen Assurance-Anbietern
Part 3 – Assurance-Koordination
Nach Standard 9.5 muss die Revisionsleitung die Arbeit mit internen und externen Assurance-Anbietern koordinieren und prüfen, ob deren Arbeit für eigene Zwecke genutzt werden kann. Koordination soll wesentliche Abdeckungslücken und unnötige Doppelarbeit erkennen; sie verpflichtet nicht zur ungeprüften Übernahme fremder Ergebnisse. Vor einer Nutzung beurteilt die Revision insbesondere Kompetenz, Objektivität und professionelle Sorgfalt des Anbieters sowie Umfang und Ergebnisse seiner Arbeit. Die Grundlage des Vertrauens ist zu dokumentieren. Die Revisionsleitung bleibt für die darauf gestützten Schlussfolgerungen verantwortlich.
Praxisbeispiel: Eine andere Funktion hat bereits bestimmte Informationssicherheitskontrollen geprüft. Die Revision beurteilt deren fachliche Kompetenz, Objektivität, Prüfungsumfang und Nachweise. Sie dokumentiert, welche Ergebnisse für den eigenen Auftrag tragfähig sind, und plant ergänzende Prüfungshandlungen für die verbleibenden Risiken.
Häufiger Denkfehler: Koordination und Vertrauen in fremde Arbeit sind unterschiedliche Entscheidungen. Ein vorhandener Bericht genügt nicht als Grundlage für eigene Schlussfolgerungen, und die Verantwortung dafür geht nicht auf seinen Verfasser über.
50. Abstimmung und Assurance-Abdeckung
Part 3 – Assurance-Koordination
Eine Übersicht der Assurance-Abdeckung kann zeigen, welche wesentlichen Risiken durch welche Funktionen beurteilt werden und wo Überschneidungen oder Lücken bestehen. Sie hilft, Prüfungsressourcen gezielt einzusetzen und Stakeholdern ein klareres Bild der Gesamtabsicherung zu vermitteln. Eine solche Übersicht ist nur so nützlich wie ihre Aktualität und die Beurteilung der zugrunde liegenden Arbeiten; eine bloße Zuordnung von Zuständigkeiten beweist keine ausreichende Assurance.
Praxisbeispiel: Für ein wesentliches Lieferkettenrisiko arbeiten Compliance, Risikomanagement und Revision an verschiedenen Teilfragen. Die Leitung vergleicht Umfang und Zeitplan, um offene Bereiche sichtbar zu machen.
Häufiger Denkfehler: Eine Matrix mit mehreren zuständigen Funktionen bedeutet nicht automatisch, dass das Risiko umfassend geprüft wird. Entscheidend ist, welche konkreten Risiken und Kontrollen tatsächlich abgedeckt sind.
60 Konzepte: vom fachlichen Fundament zur Revisionssteuerung 51–60
51. Qualitätssicherungs- und Verbesserungsprogramm
Part 3 – Qualität
Ein Qualitätssicherungs- und Verbesserungsprogramm erfasst alle Aspekte der Revisionsfunktion. Es beurteilt die Übereinstimmung mit den Global Internal Audit Standards und die Erreichung der Leistungsziele und unterstützt fortlaufende Verbesserungen. Das Programm umfasst interne und externe Qualitätsbewertungen. Die internen Bewertungen verbinden laufende Überwachung mit periodischen Selbstbeurteilungen oder Bewertungen durch andere ausreichend fachkundige Personen innerhalb der Organisation. Die Revisionsleitung leitet aus den Ergebnissen geeignete Verbesserungsmaßnahmen ab und berichtet über deren Umsetzung.
Praxisbeispiel: Die laufende Überwachung zeigt wiederholt unklare Prüfungsziele. Eine periodische interne Bewertung untersucht zusätzlich die zugrunde liegenden Vorgaben und die Supervision. Die Revisionsleitung verbessert Methoden und Schulungen und überprüft anschließend, ob die Änderungen wirksam sind; die externe Qualitätsbewertung bleibt ein gesonderter Bestandteil des Programms.
Häufiger Denkfehler: Das Programm ist weder eine einzelne Berichtskontrolle noch nur eine externe Bewertung. Es muss die gesamte Funktion, die Standardskonformität, die Leistung und die daraus abgeleitete Verbesserung erfassen.
52. Laufende Qualitätsüberwachung
Part 3 – Qualität
Laufende Qualitätsüberwachung wird in die täglichen Abläufe der Revisionsfunktion eingebunden. Dazu können Supervision, Überprüfung von Arbeitspapieren und Beobachtung von Prozessen gehören. Sie hilft, Abweichungen früh zu erkennen und zeitnah zu korrigieren. Eine wirksame Überwachung braucht passende Verantwortlichkeiten und Kriterien; sie sollte nicht nur formale Vollständigkeit prüfen, sondern auch, ob die Arbeit ihre Ziele und professionellen Anforderungen erfüllt.
Praxisbeispiel: Eine Engagement-Leitung prüft während der Feldarbeit, ob neue Risiken im Prüfungsprogramm berücksichtigt und wesentliche Schlussfolgerungen mit geeigneten Nachweisen verbunden sind.
Häufiger Denkfehler: Laufende Überwachung beschränkt sich nicht auf die Unterschrift unter einem Arbeitspapier. Eine formale Freigabe ohne inhaltliche Prüfung bietet nur begrenzte Qualitätssicherung.
53. Interne und externe Qualitätsbewertungen
Part 3 – Qualität
Interne Qualitätsbewertungen umfassen laufende Überwachung und periodische Beurteilungen innerhalb der Organisation. Nach Standard 8.4 muss zusätzlich mindestens alle fünf Jahre eine externe Qualitätsbewertung durch eine qualifizierte, unabhängige Person oder ein entsprechendes Team erfolgen. Mindestens eine bewertende Person muss eine aktive Zertifizierung als Certified Internal Auditor (CIA) besitzen. Zulässig ist auch eine Selbstbeurteilung mit unabhängiger Validierung. Die Revisionsleitung erörtert den Bewertungsplan einschließlich Umfang, Häufigkeit und Qualifikation mit dem zuständigen Leitungs- oder Überwachungsorgan; dieses genehmigt den Plan. Ergebnisse und Verbesserungsbedarf sind den zuständigen Verantwortlichen zu berichten.
Praxisbeispiel: Die letzte externe Qualitätsbewertung liegt knapp fünf Jahre zurück. Die Revisionsleitung plant eine Selbstbeurteilung mit unabhängiger Validierung, prüft die Qualifikation und Unabhängigkeit des vorgesehenen Validierers sowie dessen aktive CIA-Zertifizierung und legt den Bewertungsplan dem zuständigen Organ zur Genehmigung vor.
Häufiger Denkfehler: Eine gewöhnliche interne Selbstbeurteilung erfüllt die externe Bewertungsanforderung nicht. Die zulässige Alternative verlangt eine qualifizierte, unabhängige Validierung; auch ein früheres gutes Bewertungsergebnis ersetzt die nächste fällige Bewertung nicht.
54. Leistungsüberwachung der Revisionsfunktion
Part 3 – Leistung
Leistungsinformationen helfen der Leitung zu beurteilen, ob die Funktion ihre Ziele erreicht, ihre Ressourcen sinnvoll einsetzt und ihre Arbeit angemessen erbringt. Kennzahlen sollten den Zweck der Revision und die Qualität der Ergebnisse unterstützen, nicht lediglich leicht zählbare Aktivität belohnen. Quantitative und qualitative Informationen können gemeinsam ein nützlicheres Bild ergeben. Interpretation und Kontext sind erforderlich, bevor eine Kennzahl als Hinweis auf Leistung gilt.
Praxisbeispiel: Die Zahl abgeschlossener Engagements steigt, während wichtige Ergebnisse verspätet kommuniziert werden. Die Leitung ergänzt die Mengenkennzahl um Informationen zu Qualität und rechtzeitiger Wirkung.
Häufiger Denkfehler: Mehr abgeschlossene Prüfungen bedeuten nicht automatisch bessere Leistung. Ein Kennzahlensystem, das nur Menge misst, kann Anreize für oberflächliche oder risikofremde Arbeit schaffen.
55. Budget und finanzielle Ressourcensteuerung
Part 3 – Finanzielle Ressourcen
Die finanzielle Ressourcensteuerung sorgt dafür, dass die Revisionsfunktion ihre Strategie und den Prüfungsplan mit geeigneten finanziellen Mitteln umsetzen kann. Nach Standard 10.1 entwickelt die Revisionsleitung dafür ein Budget, das beispielsweise Personal, Weiterbildung, Technologie und erforderliche externe Unterstützung berücksichtigt. Sie legt das Budget dem zuständigen Leitungs- oder Überwachungsorgan zur Genehmigung vor und steuert die Mittel wirksam. Reichen die finanziellen Ressourcen nicht aus, muss sie die Auswirkungen unverzüglich dem Organ und der obersten Geschäftsleitung mitteilen.
Praxisbeispiel: Eine Budgetkürzung würde die für eine wesentliche Prüfung benötigte externe Fachunterstützung entfallen lassen. Die Revisionsleitung quantifiziert die Folgen, prüft Alternativen und erläutert dem Überwachungsorgan und der obersten Geschäftsleitung, welche Prüfungsziele mit dem gekürzten Budget nicht erreichbar sind.
Häufiger Denkfehler: Ein ausgeglichenes Budget beweist nicht, dass der Prüfungsplan finanzierbar ist. Kosteneinsparungen sind nur dann sachgerecht beurteilt, wenn ihre Folgen für Kompetenz, Qualität und Risikodeckung sichtbar bleiben.
56. Berichterstattung auf Funktionsebene
Part 3 – Kommunikation und Leistung
Die Berichterstattung auf Funktionsebene fasst Informationen zusammen, die für Aufsicht und Steuerung der Internen Revision relevant sind. Dazu können Fortschritt, wesentliche Ergebnisse, Ressourcen, Qualität und Planabweichungen gehören. Eine gute Zusammenfassung macht sowohl Erfolge als auch Grenzen sichtbar und verbindet Zahlen mit ihrer Bedeutung. Sie sollte nicht den Eindruck vollständiger Risikodeckung erzeugen, wenn wichtige Prüfungsbereiche ausgelassen oder verschoben wurden.
Praxisbeispiel: Der Quartalsbericht zeigt abgeschlossene Engagements und erläutert zugleich, welche wesentlichen Risiken noch nicht geprüft wurden und warum sich die Priorisierung verändert hat.
Häufiger Denkfehler: Eine reine Statusliste ist nicht automatisch aussagekräftige Berichterstattung. Stakeholder müssen erkennen können, was die Zahlen für Risiken, Abdeckung und erforderliche Entscheidungen bedeuten.
57. Methoden und Verfahrensvorgaben der Revisionsfunktion
Part 3 – Steuerung der Revisionsfunktion
Methoden und Verfahrensvorgaben schaffen einen systematischen, nachvollziehbaren Rahmen für die Arbeit der gesamten Revisionsfunktion. Nach Standard 9.3 muss die Revisionsleitung solche Vorgehensweisen festlegen, damit Strategie und Prüfungsplan umgesetzt werden und die Arbeit den Global Internal Audit Standards entspricht. Sie können beispielsweise Risikobeurteilung, Bewertung von Feststellungen, Dokumentation und Qualitätskontrollen regeln. Die Leitung beurteilt ihre Wirksamkeit, aktualisiert sie bei Bedarf und stellt die erforderliche Schulung sicher. Anders als ein Prüfungsprogramm gelten sie nicht nur für einen einzelnen Auftrag.
Praxisbeispiel: Mehrere Teams bewerten vergleichbare Feststellungen unterschiedlich. Die Revisionsleitung überprüft die funktionweit geltenden Bewertungskriterien, präzisiert die Methode, schult die Teams und kontrolliert anschließend, ob die Anwendung konsistenter und sachgerecht erfolgt.
Häufiger Denkfehler: Eine Vorlage allein ist noch keine wirksame Methode. Die Vorgaben müssen fachlich geeignet sein, verstanden und angewendet werden; sie dürfen professionelles Urteilsvermögen nicht durch mechanisches Ausfüllen ersetzen.
58. Funktionale und administrative Berichtslinien
Part 3 – Governance der Funktion
Funktionale und administrative Berichtslinien erfüllen unterschiedliche Zwecke. Die direkte funktionale Anbindung an das zuständige Leitungs- oder Überwachungsorgan ermöglicht Aufsicht und die unmittelbare Kommunikation wesentlicher Revisionsangelegenheiten. Eine administrative Berichtslinie unterstützt dagegen die organisatorischen Abläufe der Funktion, etwa Personalverwaltung oder Kostenabrechnung. Sie darf keine unangemessene Einflussnahme auf Prüfungsumfang, Durchführung oder Berichterstattung begründen. Nach Standard 7.1 dokumentiert die Revisionsleitung die Berichtslinien und organisatorische Stellung in der Geschäftsordnung der Internen Revision und bestätigt dem zuständigen Organ mindestens jährlich die organisatorische Unabhängigkeit, einschließlich relevanter Beeinträchtigungen und Schutzmaßnahmen.
Praxisbeispiel: Die Revision berichtet administrativ an die Finanzleitung und funktional an den Prüfungsausschuss. Die Finanzleitung verlangt, eine belegte wesentliche Feststellung aus dem Bericht zu entfernen. Die Revisionsleitung klärt die sachlichen Einwände, dokumentiert den verbleibenden Einflussversuch und kommuniziert die Beeinträchtigung direkt an den Prüfungsausschuss.
Häufiger Denkfehler: Eine administrative Berichtslinie verleiht kein Recht, fachliche Schlussfolgerungen zu unterdrücken. Umgekehrt ist eine sachliche Diskussion über Nachweise nicht schon deshalb eine Beeinträchtigung der Unabhängigkeit, weil sie vom Management ausgeht.
59. Stakeholder-Erwartungen und Transparenz
Part 3 – Kommunikation
Eine wirksame Revisionsfunktion versteht die relevanten Erwartungen ihrer Stakeholder und kommuniziert Auftrag, Prioritäten und Grenzen verständlich. Erwartungsabgleich kann Vertrauen schaffen und Missverständnisse über Prüfungsumfang, Rollen oder Zusicherungsniveau vermeiden. Er bedeutet jedoch nicht, jedem Wunsch nachzugeben. Die Leitung muss unabhängige Prioritäten und die professionelle Grundlage ihrer Arbeit wahren, auch wenn Stakeholder andere Themen bevorzugen.
Praxisbeispiel: Ein Fachbereich erwartet eine vollständige Kontrolle aller Einzeltransaktionen, obwohl das Engagement risikobasiert geplant ist. Das Team erläutert Ziel und Umfang und stimmt ab, welche zusätzlichen Fragen relevant sind.
Häufiger Denkfehler: Stakeholder-Zufriedenheit ist kein Ersatz für unabhängige Priorisierung. Zugleich sollte die Revision Erwartungen nicht einfach ignorieren, wenn ein Missverständnis durch klare Kommunikation lösbar ist.
60. Eskalation nicht vertretbarer Risikoakzeptanz
Part 3 – Ergebnisse, Überwachung und Governance
Kommt die Revisionsleitung zu dem Schluss, dass das Management ein Risiko akzeptiert hat, das die Risikobereitschaft oder Risikotoleranz der Organisation überschreitet, muss sie die Angelegenheit nach Standard 11.5 zunächst mit der obersten Geschäftsleitung erörtern. Bleibt sie ungelöst, muss die Revisionsleitung sie an das zuständige Leitungs- oder Überwachungsorgan eskalieren. Die Beurteilung muss auf tragfähigen Informationen und den maßgeblichen Risikogrenzen beruhen, nicht lediglich auf einer abweichenden persönlichen Präferenz. Die Revision verantwortet die Kommunikation und Eskalation, nicht die operative Lösung des Risikos.
Praxisbeispiel: Eine Nachprüfung belegt, dass vereinbarte Zugangskontrollen für ein kritisches System weiterhin fehlen und die dokumentierte Risikotoleranz überschritten wird. Die Revisionsleitung erörtert die Risikoakzeptanz mit der obersten Geschäftsleitung. Da die Angelegenheit ungelöst bleibt, informiert sie das zuständige Überwachungsorgan mit den Nachweisen und der Begründung der Überschreitung.
Häufiger Denkfehler: Nicht jede verspätete Maßnahme verlangt sofort eine Eskalation an das Überwachungsorgan. Entscheidend sind die belegte Überschreitung der maßgeblichen Risikogrenzen und die erfolglose Erörterung mit der obersten Geschäftsleitung; die Revision übernimmt dadurch nicht die Risikosteuerung des Managements.
Sechs konkrete Lernschritte
Quellen und Aktualität
Maßgeblich sind der CIA Exam Syllabus und die Prüfungsspezifikationen von The IIA sowie die Global Internal Audit Standards. Diese Standards sind seit Januar 2025 wirksam. The IIA kann Syllabus, Format und Prüfungsdetails ändern; vor einer Buchung sind die aktuellen Angaben auf den offiziellen Seiten zu prüfen. Quellen: https://www.theiia.org/en/certifications/cia/exam-prep-resources/exam-syllabus/ ; https://www.theiia.org/en/certifications/cia/ ; https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/