Behandlung des Einsatzes von IT nach ISA [DE] 315 (Revised 2019) und ISA [DE] 330
IDW PH 9.315 DE.R2019.1 (04.2024)
Stand: 19.04.2024
Ansprechpartner/in: WP StB Andreas Pöhlmann
Quelle: IDW Life 6/2024, S. 563 ff.
Gremium: Fachausschuss für Informationstechnologie
Wesentliche Inhalte
Mit ISA [DE] 315 (Revised 2019) wurde die Vorgehensweise des Abschlussprüfers zur Behandlung
des Einsatzes von IT insb. in den IKS-Komponenten „Informationssystem“ und „Kontrollaktivitäten“ erweitert.
Die wichtigsten Änderungen und Klarstellungen des ISA [DE] 315 (Revised 2019) in Bezug auf den Einsatz von IT ergeben
sich für den Abschlussprüfer aus
- dem zu erlangenden Verständnis über den Umfang, in dem das Geschäftsmodell des Unternehmens den IT-Einsatz integriert,
- dem erweiterten Umfang des erforderlichen Verständnisses des Abschlussprüfers in Bezug auf die Informationsverarbeitungstätigkeiten des Unternehmens und der dafür relevanten Ressourcen, einschließlich der IT-Umgebung,
- der neuen Defi nition der sich aus dem IT-Einsatz ergebenden Risiken,
- der Möglichkeit zur Identifi zierung und des Verständnisses von Art und Anzahl der IT-Anwendungen und anderer Aspekte der IT-Umgebung im Rahmen der Verschaffung eines Verständnisses über das Informationssystem,
- der verpfl ichtenden Identifi zierung der IT-Anwendungen und anderer Aspekte der IT-Umgebung für die vom Abschlussprüfer identifi zierten Kontrollen, die sich aus dem IT-Einsatz ergebenden Risiken unterliegen,
- der verpfl ichtenden Identifi zierung der mit den identifizierten IT-Anwendungen und anderen Aspekten der IT-Umgebung verbundenen, sich aus dem IT-Einsatz ergebenden Risiken,
- der verpfl ichtenden Identifi zierung und Angemessenheitsprüfung von generellen IT-Kontrollen, die die identifi zierten
- sich aus dem IT-Einsatz ergebenden Risiken behandeln.
Der Prüfungshinweis gibt Empfehlungen, Hilfestellungen und praktische Hinweise dazu, wie der Abschlussprüfer mit den
zuvor genannten Änderungen und Klarstellungen kann. Hinzu kommen Hinweise zum Umgang mit den vom Unternehmen
erstellten Informationen (sog. IPE – Information Produced by the Entity) wie z.B. systemgenerierte Berichte.