Topics

Prüfung des Outsourcing nach IDW PS 951 und ISAE 3402

Das dienstleistungsbezogene interne Kontrollsystem als Qualitätsnachweis

Unternehmen müssen heute flexibel agieren. Die Auslagerung von Geschäftsprozessen und wichtigen Funktionen auf spezialisierte Dienstleister ist ein entscheidender Faktor, um wettbewerbsfähig zu bleiben. Neben klassischen IT-Dienstleistungen wie dem Hosting oder Housing gewinnen digitale Services über Web-Plattformen zur Lohnbuchhaltung, Zentralregulierung oder Rechnungseingangsverarbeitung an Bedeutung.

Die Augen sind auf den Dienstleister gerichtet. Zwar können die Unternehmen (Teil-)Prozesse auslagern, nicht jedoch die Verantwortung für die Ordnungsmäßigkeit und die Sicherheit der ausgelagerten Tätigkeiten abgeben. Der Dienstleister muss daher Vertrauen gegenüber den auslagernden Unternehmen schaffen. Und Vertrauen kann nur mit einem hohen Maß an Transparenz gewonnen und erhalten werden. Für diesen Zweck gibt es die die Berichterstattung nach den Prüfungsstandards IDW PS 951” und ISAE 3402.

Prüfung nach IDW PS 951 und ISAE 3402

Es geht darum nachzuweisen, dass Compliance-Risiken durchgängig beherrscht werden, gerade wenn (Teil-)Prozesse ausgelagert werden.  Sowohl das auslagernde Unternehmen als auch der Dienstleister haben ein internes Kontrollsystem (IKS) implementiert. Nur, wenn man beide internen Kontrollsysteme ineinanderfügt, entsteht ein schlüssiges Gesamtbild eines durchgängigen Prozesses und des Risikomanagements. Dienstleister können ihr internes Kontrollsystem deshalb einem speziellen Audit unterziehen.

Wir von Kleeberg sind Experten auf diesem Gebiet. Unsere Aufgabe als Wirtschaftsprüfer ist es, die eingerichteten Maßnahmen des Dienstleisters zu prüfen und eine Aussage über ihre Angemessenheit und Wirksamkeit zu treffen. Die Prüfungsstandards, die wir abdecken, sind der IDW PS 951 und der international anerkannte ISAE 3402. Wir erstellen einen umfangreichen Prüfbericht, der alle Details zum internen Kontrollsystem des Dienstleisters und zu unseren Prüfungsschritten enthält. Der Prüfbericht wird an die auslagernden Unternehmen weitergegeben und ist das fehlende Puzzleteil zum Verständnis der Compliance im Gesamtprozess.

Für die Dienstleister werden solche Prüfberichte immer wichtiger, da sie ein probates Mittel sind, um konkret zu belegen, dass die Dienstleistung in einer fortlaufend hohen Qualität erbracht wird. Audits nach IDW PS 951 und ISAE 3402  sind aber mittlerweile auch zu einer wesentlichen Voraussetzung bei Auswahlverfahren geworden. Viele Unternehmen verlangen ein solches Audit in regelmäßigen Abständen. Für den Dienstleister ist es damit auch ein wichtiges Marketinginstrument.

Der Aufbau des internen Kontrollsystems

Das interne Kontrollsystem des Dienstleisters muss sich an gewissen Vorgaben orientieren. Das können rechtliche oder branchenspezifische Anforderungen sein, die im ausgelagerten Prozess zu erfüllen sind. Ausschlaggebend ist aber immer die Art der Dienstleistung: Sofern die Rechnungslegung eine Rolle spielt, sind stets die Grundsätze ordnungsmäßiger Buchführung zugrunde zu legen. Beispiele sind hier die Rechnungseingangsverarbeitung, das Reisekostenmanagement, die Belegarchivierung oder Logistikservices.

Daneben gibt es aber noch weitere Regularien, die maßgeblich für den Aufbau eines internen Kontrollsystems sein können. Dies sind beispielsweise:

  • GoB (Grundsätze ordnungsmäßiger Buchführung)
  • GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff)
  • C5 (Cloud Computing Compliance Criteria Catalogue des BSI Bundesamt für Sicherheit in der Informationstechnologie)
  • ISO 27001 (Informationssicherheits-Managementsysteme)
  • COBIT (Framework zur IT-Governance)
  • Trust Services Criteria der AICPA (“SOC 2”-Prüfung, → siehe hier für mehr Details)
  • BAIT (Bankenaufsichtliche Anforderungen an die IT)
  • ZAIT (Zahlungsdiensteaufsichtliche Anforderungen an die IT von Zahlungs- und E-Geld-Instituten)
  • PCI-DSS (Regelwerk für die Kreditkartenzahlungen)

Kleeberg betreut Dienstleister aus den Bereichen

  • Rechenzentrumsbetrieb
  • SAP Basis und Hosting
  • Managed Services
  • Mobile Payment
  • IAM Identity and Access Management
  • Zentralregulierung
  • Abrechnungsprozesse
  • Dokumentenmanagement
  • Geld- und Wertdienste
  • Immobilienmanagement

Wir unterstützen Sie tatkräftig bei der Umsetzung Ihres ISAE 3402- oder IDW PS 951-Projekts. Starten sollten wir mit einem Workshop, in dem wir die rechtlichen Anforderungen bestimmen, das Gerüst für ein internes Kontrollsystem erstellen und Sie so fit für das Audit machen.

Sie sind Dienstleister?

Wir verfügen über eine langjährige Expertise bei Prüfungen nach IDW PS 951 und ISAE 3402. Wir beraten Sie kompetent bei der Auswahl der geeigneten Kriterienkataloge und beim Aufbau Ihres internen Kontrollsystems. Welcher der beiden Prüfungsstandards für Sie der richtige ist und ob man nicht gleich beide auf einmal abdeckt, klären wir gerne in einem persönlichen Gespräch.
 
Unsere Prüfungen führen wir mit modernen digitalen Tools zeit- und ressourcenschonend durch. Selbstverständlich führen wir auf Wunsch ein Remote Audit per Videokonferenz durch.
IDW_Buch_Lamm_JAP_Outsourcing

Buchtipp

Im April 2018 ist in der Reihe „Praxistipps IT“ des IDW-Verlags das Werk „Jahresabschlussprüfung bei Outsourcing und Cloud-Computing“ erschienen, an dem → Martin Lamm, Geschäftsführer der Crowe Kleeberg IT Audit GmbH, als Autor mitgewirkt hat. Das Werk bietet einen umfassenden Einblick in die Vorgehensweise bei einer Abschlussprüfung, wenn wesentliche Funktionen und Prozesse auf einen Dienstleister ausgelagert wurden. Es veranschaulicht typische Anwendungsfälle mit praxisrelevanten Beispielen, die auch für Dienstleister einen hohen Nutzen stiften.

→ Hier können Sie das Buch bestellen

Diese Themen könnten Sie auch interessieren

Diese News könnten Sie auch interessieren

Tax Audit

Keine gewerbe­steuer­rechtliche Hinzu­rechnung von Auf­wendungen für Messe­stand­flächen

Bei Unternehmen, die Produkte entwickeln und herstellen, aber nicht direkt, sondern über ein Händlernetz vertreiben, sind Aufwendungen für die Ausstellung ihrer Produkte auf turnusmäßig stattfindenden Messen nicht nach § 8 Nr. 1 Buchst. e GewStG hinzuzurechnen. Zum Sachverhalt: Die Klägerin ist eine GmbH, die Produkte entwickelt, herstellt und über...
Tax Audit

Definition von Termin­geschäften und Ab­grenzung von Knock-out-Zertifikaten

Der BFH bestätigt mit seinem Urteil I R 24/19 v. 8.12.2021 die vorangegangene Entscheidung des FG Berlin-Brandenburg in Bezug auf die Abgrenzung von Termingeschäften i.S.v. § 15 Abs. 4 S. 3 EStG von Kassageschäften und die Einordnung von Knock-out-Produkten. Zum Sachverhalt: Eine GmbH erwarb im Jahr 2008 sogenannte Knock-out-Zertifikate,...
Audit

Deutscher Corporate Gover­nance Kodex 2022 in Kraft getreten

Am 27.06.2022 ist der Deutsche Corporate Governance Kodex (DCGK) in seiner neuesten Fassung in Kraft getreten. Der neue Kodex umfasst aktualisierte Grundsätze sowie erweiterte Empfehlungen für Vorstände und Aufsichtsräte von börsennotierten Unternehmen. Wesentliche Schwerpunkte wurden insbesondere auf die nachhaltige Unternehmensführung gesetzt, die weiterhin den Druck auf die ESG-Kriterien verstärken...
Tax Audit

Gewinnzurechnung bei Über­gang eines negati­ven Kapital­kontos auf den Rechts­nachfolger

Das FG Düsseldorf entscheidet über die Gewinnzurechnung nach § 15 Abs. 3 EStG bei einem Rechtsnachfolger, dem Mitunternehmeranteile vom Kommanditisten einer KG unentgeltlich übertragen werden (Urteil 11 K 1039/21 F vom 01.07.2021). Zum Sachverhalt:Im Streitfall erwirtschaftete eine KG in ihrem ersten Geschäftsjahr Verluste, die beim alleinigen Kommanditisten aufgrund der...