Cases

• Unternehmen: Produzierendes Unternehmen
• Standort: Hauptsitz in Deutschland, diverse ausländische Tochtergesellschaften
• Systeme: SAP ECC als ERP System, voll implementiert (u.a. FI, MM, SD)
• Prozesse:
  • Einkaufsprozess abgebildet in SAP MM mit diversen automatischen Kontrollen
  • Absatzprozess abgebildet in SAP SD mit diversen automatischen Kontrollen
• Dokumentation: Risiko-Kontrollmatrix vorhanden, jedoch nicht final ausgearbeitet

Der Auftrag umfasste zwei grundlegende Teilbereiche: die Prüfung der IT General Controls und die Prüfung der zuvor vom Prüfungsteam identifizierten IT Application Controls. Die Ergebnisse der Prüfung der IT General Controls wirkten sich dabei auf die Prüfung der IT Application Controls aus.

Ich begann mit der Prüfung der IT General Controls. Hauptbestandteil dieser Prüfung waren dabei die Bereiche Access Management, Change Management, Schnittstellen und IT-Operations. Aufgrund meiner Erfahrung konnte ich die Systemprüfung komplett autonom im Produktivsystem des Mandanten durchführen, führte Interviews durch und sichtete Unterlagen. Meine Prüfung ergab Schwächen innerhalb der geprüften Kontrollen, insbesondere im Bereich der Berechtigungsvergabe und der Protokollierung. Zu diesen Schwächen beriet ich mich mit den verantwortlichen Wirtschaftsprüfern, wir leiteten kompensierende Prüfungshandlungen ab und führten diese durch.

Die Ergebnisse und meine Handlungsempfehlungen wurden durch mich aufbereitet und im Rahmen einer Präsentation dem Mandanten vorgestellt. Das Feedback war durchweg positiv, mit dankbarer Annahme der Handlungsempfehlungen und der Anmerkung, mit einem kompetenten Prüfer zu tun zu haben, der über die Prüfung hinaus Mehrwert bieten kann.

Anschließend widmete ich mich den Application Controls. Ich nahm Anpassungen an der bestehenden Risiko-Kontroll-Matrix vor und durch weitere Interviews und Einsichten im System stellte sich heraus, dass manche vom Mandanten geschilderte vermeintliche automatische Kontrollen in Wirklichkeit manuelle Kontrollen waren. Ich unterstützte bei der korrekten Kontrollbeschreibung und der Vorbereitung substanzieller Prüfungshandlungen. Die automatischen Kontrollen formulierte ich entsprechend aus und prüfte diese anhand von Systemeinstellungen oder Datenanalysen.

Nach etwa sechs Wochen intensiver Zusammenarbeit, die größtenteils remote und in Calls stattfand, konnten wir die Prüfung abschließen.

Geprüfte IT General Controls mit Feststellungen und Handlungsempfehlungen, aktualisierte IT Application Controls, und weiterführende Datenanalysen. Insgesamt war es eine sehr erfolgreiche Zusammenarbeit mit einem angenehmen Team und kompetenten WP’s.