MC-Banksoftware

Revisionshandbuch - Prüfungsberichte

Generelle Informationen zu den Produkten

Seit dem Jahr 1988 bin ich in der Internen Revision einer Bank tätig. Von LSI, SI, MaRisk, BAIT, NCA oder der EBA war seinerzeit noch lange nicht die Rede. Das Aufsichtsrecht war überschaubar. Mittlerweile haben sich die Anforderungen multipliziert. Dies gilt auch für die Risiken, wie z.B. Cyberrisken.

Als Leiter oder Mitarbeiter der internen Kontrollfunktion Interne Revision oder auch der third line übernehmen Sie eine wesentliche Unternehmensfunktion. Diese ist angemessen wahrzunehmen. Schwachstellen im IKS und Risikomanagement sind zu erkennen und auf eine Beseitigung hinzuwirken.

Eine aussagefähige Berichterstattung ist dabei ein wesentlicher Eckpfeiler der Revisionsprozesse. Aussagen zur Wirksameit und der Angemessenheit des audit universe des Prüfungsfeldes sind notwendig. Dabei ist abzuwägen, was im Prüfungsbericht und den Arbeitspapieren festzuhalten ist. Wie detailliert müssen die Aussagen sein? Dies hängt auch vom Adressaten des Berichtes ab. Für die Geschäftsleitung ist sicherlich eine Aussage zur Wirksamkeit und Angemessenheit bei Darstellung der "Mängel" ausreichend. Die Informationen an die geprüfte Stelle sind weitergehend. Auch die Aufsicht ist - und nicht nur bei § 44 KWG Prüfungen- ein möglicher Adresst der Berichte. Insofern ist der Umfang abzuwägen.

Die vorliegenden Berichte gehen auf die relevanten Prüfungsfelder ein und stellen neben der Anforderung die einzelnen Prüfungsfelder aus Sicht eines LSI dar. Ein Anspruch auf Vollständigkeit und Richtigkeit kann nicht gegeben werden, da z.B. jede Auswahl subjektiv ist. Die Berichte sind an ein LSI adressiert und berücksichtigen nationale Vorgaben.

Unzureichende Ergebnisse, nicht erkannte Schwächen, eine falsche Risikoorientierung, mögliche Interessenskonflikte im Rahmen der Prüfung lassen Zweifel an der Wirksamkeit der Internen Revision aufkommen. Im Rahmen von § 44 KWG Prüfungen werden Feststellungen der Aufsicht, die durch die Interne Revison nicht erkannt wurden, an diese "vererbert", so dass deren Wirksamkeit in Frage zustellen ist. Nachvollziehbar.

Die first line muss als System funktionsfähig sein. Dies betrifft die Umsetzung der Risikomanagementanforderungen und eines wirksamen IKS. Die second line in all ihren Ausprägungen, wie z.B.ISM, Risikocontrolling, MaRisk-Complaince, Anti-Fraud-Management, Tax-Compliance muss durch Kontrollen die Qualität der first line sicherstellen. Die Interne Revision als third line hat u.a die Wirksameit der first line und second line zu prüfen. In diesem Sinne sind angemessene Prozesse wesentlich und die von MC-Banksoftware angebotenen Lösungen sollen einen Beitrag zu dieser Angemessenheit beitragen. Dabei ist vernetztes Agieren unter Berücksichtigung aller Schnittstellen der Prozesse notwendig. Dies soll auch in den Produkten zum Ausdruck kommen. Was nützten Prüfungsergebnisse zum Prüffeld, wenn einzelne Prozessketten und insbesondere auch Schnittstellen nicht betrachtet wurden. Nachfolgend einige Beispiele:

- Gab es Anpassungsprozesse im Prüffeld?
- Wass steht in den Strategien zum Prüfeld?
- Wird Software eingesetzt?
- Beseht ein Rechtemanagement zur Software?
- Wie ist der Schutzbedarf der Prozesse und Daten?
- Besteht ein Kontrollziel und Kontrollrahmen?
- Bestehen Auslagerungen und Weiterverlagerungen?
- Gibt es Schnittstellen zu Governanceprozessen(Aufsichtsrat/Vorstand)?
- Sind die Prozesse Teil eines Berichtswesens?

Im Rahmen der Aufbauprüfung wird auf diese Fragen in einzelnen Berichten eingegangen.

Zu den Produkten