IT-Audit vorbereiten: vom Prüfauftrag bis zum Maßnahmenplan

So sieht es im Betrieb aus: Der Wirtschaftsprüfer kündigt an, in der Jahresabschlussprüfung die IT-Kontrollen zu betrachten, und schickt Fragen zu Berechtigungen, Änderungen und Betrieb der buchführungsrelevanten Systeme. Gleichzeitig steht das Überwachungsaudit für das ISO-27001-Zertifikat an, und ein Großkunde will den Nachweis sehen, dass die Lieferkette nach NIS2 abgesichert ist. Drei Prüfungen, drei Vokabulare, dieselben Admins. Die Berechtigungsliste liegt im Postfach eines Kollegen, das Änderungsprotokoll im Ticketsystem, die Risikoanalyse in einer Fassung von vor zwei Jahren.

Der Preis ist messbar. Jede Stunde, die Prüfer auf Dokumente warten, ist eine Stunde weniger Stichprobe und eine Stunde mehr Honorar. Jede Abweichung, die nur entsteht, weil ein Beleg nicht auffindbar war, steht im Bericht wie eine echte Schwachstelle. Beim Zertifikat kann eine schwerwiegende Abweichung die Erteilung aufhalten, und bei der Nachweisprüfung für kritische Anlagen landet die Mängelliste nach § 39 BSIG beim BSI. Im Jahresabschluss kann ein unwirksames Kontrollumfeld dazu führen, dass der Prüfer sich nicht mehr auf die Systeme stützt und Belege in großer Zahl einzeln prüft.

Blockiert wird die Vorbereitung selten durch fehlende Maßnahmen. Die meisten Häuser haben ein Berechtigungskonzept, ein Patchverfahren und ein Backup. Was fehlt, ist die Übersetzung zwischen dem, was der Betrieb tut, und dem, was der Prüfer als Beleg akzeptiert: eine Systemausgabe mit Datum, einen Beschluss mit Unterschrift oder ein Protokoll mit Teilnehmerliste. Diese Übersetzung ist die eigentliche Vorbereitungsarbeit, und sie lässt sich planen.