Ausgabe 02_2009 [PDF, 1.2 MB] - Institut für Interne Revision ...
Ausgabe 02_2009 [PDF, 1.2 MB] - Institut für Interne Revision ...
Ausgabe 02_2009 [PDF, 1.2 MB] - Institut für Interne Revision ...
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
Audit Journal<br />
Zeitschrift des <strong>Institut</strong>s für<br />
<strong>Interne</strong> <strong>Revision</strong> Österreich - IIA Austria<br />
Heft 2 / Juli <strong>2009</strong>
Norbert Wagner – 12 Jahre Vorstand, 9 Jahre Vorsitzender – eine Bilanz<br />
Nach nahezu vier Vorstandsperioden im Vorstand<br />
und drei Perioden als Vorsitzender war<br />
es aus meiner Sicht bei der Mitgliederversammlung<br />
<strong>2009</strong> der richtige Zeitpunkt um die Aufgaben<br />
an neue, jüngere Kolleginnen und Kollegen<br />
zu übergeben. In diesem Zusammenhang erlauben<br />
Sie mir auch, kurz Bilanz zu ziehen.<br />
Das <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong> Österreich<br />
(damals noch ARGE IR) war zum Zeitpunkt<br />
meiner Übernahme eine gut geführte Organisation<br />
mit einer guten Mitgliederstruktur und einer<br />
soliden finanziellen Absicherung.<br />
Nach einer kurzen Einarbeitungsphase (fünf<br />
der sieben Vorstandsmitglieder waren 2000<br />
neu) und der Unterstützung von Dipl.-Ing.<br />
Gerold Frank wurde die Weiterentwicklung des<br />
<strong>Institut</strong>s entsprechend den neuen Anforderungen<br />
und Bedürfnissen des Marktes, des IIA und<br />
der Mitglieder strukturiert und phasenweise<br />
umgesetzt.<br />
Dazu gehörte bereits im Jahr 2000 die Einstellung<br />
von Fr. Monika Herrloss als teilzeitbeschäftigte<br />
Mitarbeiterin des <strong>Institut</strong>s zur Unterstützung<br />
des Vorstandes in administrativen Belangen<br />
v.a. der Mitglieder. Dazu wurde auch ein<br />
neues Softwareprodukt für die Mitgliederbetreuung<br />
und die Buchhaltung eingesetzt.<br />
20<strong>02</strong> erfolgte die Umbenennung der ARGE IR<br />
in <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong> Österreich –<br />
IIA Austria um dem Gedanken und der Intention<br />
einer modernen, globalen <strong>Institut</strong>ion auch nach<br />
außen hin Rechnung zu tragen. Nach dem Beitritt<br />
des <strong>Institut</strong>s 1991 zur ECIIA und 1996 zum<br />
IIA erfolgte in den Jahren ab 20<strong>02</strong> auch eine<br />
verstärkte aktive internationale Ausrichtung.<br />
Neben der selbstverständlichen intensiven<br />
Teilnahme an internationalen Konferenzen,<br />
dem Global Forum und den Global Councils<br />
arbeitete damals das Vorstandsmitglied Ing.<br />
Günther Meggeneder, CIA im International Auditing<br />
Standards Board des IIA sehr aktiv mit,<br />
wurde dort Vice Chairman und von dieser Position<br />
direkt in das Executive Committee des IIA<br />
(Vorstand) berufen. Heuer im Mai wurde Ing.<br />
Meggeneder zum Senior Vice Chairman des IIA<br />
gewählt und wird damit automatisch nächstes<br />
Jahr im Juni Chairman des IIA (Vorsitzender<br />
des Vorstands) für eine Funktionsperiode. Dr.<br />
Klaus Wöhry, CIA, CFSA arbeitete einige Jahre<br />
im Board of Regents – eines der wichtigsten<br />
Boards des IIA – sehr intensiv mit und genießt<br />
dort hohes Ansehen.<br />
Das Audit Journal wurde erweitert und die Homepage<br />
des <strong>Institut</strong>s eingerichtet - und auch<br />
schon einige Male überarbeitet.<br />
Ein wichtiges Anliegen war dem Vorstand die<br />
Aus- und Weiterbildung der Revisorinnen und<br />
Revisoren in Österreich. Nach reiflicher Überlegung<br />
und entsprechenden Vorarbeiten wurde<br />
2004 der Vertrag mit der Österreichischen<br />
Akademie für Führungskräfte in Graz gelöst<br />
und eine hundertprozentige Tochter des <strong>Institut</strong>s<br />
– die Akademie <strong>Interne</strong> <strong>Revision</strong> GmbH –<br />
gegründet. Verbunden mit der Gründung der<br />
Akademie und der Aufnahme des Seminarbetriebs<br />
zu Beginn des Jahres 2005 war auch<br />
erstmals die Etablierung eines eigenen Büros<br />
für das <strong>Institut</strong>. Zur Durchführung des Seminarbetriebs<br />
wurde Fr. Tanja Rautner im Herbst<br />
2004 eingestellt, die stark zur Prägung der<br />
Akademie in ihrer heutigen Form beigetragen<br />
hat.<br />
Neben der Intensivierung der etablierten Arbeitskreise<br />
und der Ausweitung auf weitere<br />
Arbeitskreise, wie etwa New Auditors, CIA, Universitäten,<br />
Energieversorger wurden auch spezielle<br />
temporäre Arbeitskreise eingesetzt, die<br />
konkrete Themen bearbeiteten und deren Ergebnisse<br />
im Rahmen eines ERFA’s vorgestellt<br />
wurden und dann im Linde Verlag als erfolgreiche<br />
Bücher aufgelegt wurden. Dr. Wöhry und<br />
seinem Arbeitskreis ist das – inzwischen bereits<br />
aktualisierte – Buch über das <strong>Interne</strong> Kontrollsystem<br />
aus der Sicht der <strong>Interne</strong>n <strong>Revision</strong> zu<br />
verdanken. Dr. Walter Mantsch, CIA hatte den<br />
Vorsitz über den Arbeitskreis zum Thema Risikomanagement<br />
aus der Sicht der <strong>Interne</strong>n <strong>Revision</strong><br />
und ich leitete den Arbeitskreis mit dem<br />
Inhalt <strong>Interne</strong> <strong>Revision</strong> – Gestaltung und Organisation<br />
in der Praxis.<br />
Obwohl die ARGE IR grundsätzlich seit 1961<br />
besteht, wurde diese aber erst 1981 ein eigenständiger<br />
Verein. Aus diesem Grund wurde<br />
2006 im Rahmen eines Festaktes die 25-Jahr-<br />
Feier als selbständige <strong>Institut</strong>ion gefeiert.<br />
Neben der Implementierung der Zertifizierungen<br />
(CIA, CCSA, CFSA, CGAP) wurde die Umstellung<br />
der Prüfmethode zum sog. CBT (Computer<br />
Based Testing) eine wichtige Herausforderung<br />
für das <strong>Institut</strong> und seine Mitarbeiter.<br />
Sehr erfolgreich entwickelte sich auch die gemeinsam<br />
mit Ernst & Young im Jahr 2008 eingeführte<br />
Diskussionsreihe „Let’s Talk Audit“, die<br />
2
je zwei Mal pro Jahr in einer großen Runde<br />
bzw. für die börsennotierten Unternehmen nach<br />
jeweils einem Impulsreferat eine Diskussion mit<br />
einer hochkarätigen Persönlichkeit in den<br />
Räumen von Ernst & Young ermöglicht.<br />
Aufgrund des Erfolges der Akademie <strong>Interne</strong><br />
<strong>Revision</strong> wurden ab Ende 2007 neue Büroräumlichkeiten<br />
gesucht und schließlich auch im<br />
U4 Center gefunden, wohin das <strong>Institut</strong> und die<br />
Akademie im Februar <strong>2009</strong> übersiedelt sind.<br />
Aufgrund des stark gestiegenen Aufgabenvolumens<br />
wurde mit November 2008 auch Fr.<br />
Tanya Sharma zur Unterstützung des Teams<br />
aufgenommen.<br />
Eine weitere wichtige Initiative für die Mitglieder<br />
war die Übersetzung des COSO ERM in deutsche<br />
Sprache und deren Publikation.<br />
Parallel dazu wurde auch im Rahmen eines<br />
Corporate Design Projektes gemeinsam mit der<br />
Firma designtextur in Wien ein für <strong>Institut</strong> und<br />
Akademie einheitliches, modernes Erscheinungsbild<br />
erarbeitet. Das neue CD wurde bei<br />
der Mitgliederversammlung <strong>2009</strong> vorgestellt<br />
und wird ab sofort einheitlich verwendet.<br />
Im Laufe der letzten drei Vorstandsperioden<br />
wurde auch sehr intensiv die Frage der Mitgliederstruktur<br />
diskutiert. Insbesondere vom IIA<br />
kam der starke Druck, von der Unternehmensmitgliedschaft<br />
auf die Individualmitgliedschaft<br />
umzusteigen. Bei allen Modellen zeigten sich<br />
jedoch bei einem Umstieg Nachteile für die Mitglieder<br />
und/oder für das <strong>Institut</strong>. Wir sind der<br />
Ansicht, dass die Unternehmensmitgliedschaft<br />
für unsere Mitglieder sehr vorteilhaft ist, noch<br />
dazu wo sie neben sehr günstigen Mitgliedsbeiträgen<br />
nach wie vor auch die kostenlose Teilnahme<br />
eines Unternehmensvertreters an Jahrestagungen<br />
und ERFAs beinhaltet.<br />
Die Mitgliederzahlen haben sich in den letzten<br />
zehn Jahren überdurchschnittlich gut entwickelt<br />
und das Vermögen hat sich im selben Zeitraum<br />
rund verdreifacht. Diese Rücklagen sind<br />
eine sehr wichtige Grundlage für weitere Projekte<br />
und Initiativen des neuen Vorstands.<br />
Es war für mich eine interessante, herausfordernde<br />
Tätigkeit, die mir viel Freude und Erfüllung<br />
und viele für mich wichtige, sehr nette<br />
Kontakte und Freundschaften gebracht hat.<br />
Ich möchte auch die Gelegenheit wahrnehmen<br />
und mich sehr herzlich bedanken. Allen voran<br />
bei meiner Frau und meiner Familie, die mich<br />
oft entbehren mussten, bei meiner Kollegin<br />
Weiszgerber und meinen Kollegen Wöhry,<br />
Grabher, Mantsch, Reitmeier und Schuh im<br />
Vorstand, denen ich insbesondere für deren intensive<br />
Arbeit und das nette Arbeitsklima danke,<br />
bei den Mitarbeiterinnen von <strong>Institut</strong> und<br />
Akademie, Fr. Herrloss, Fr. Rautner und Fr.<br />
Sharma für ihre intensive Unterstützung, bei<br />
den Arbeitskreisleitern, den Vortragenden und<br />
Referenten und bei allen Mitgliedern für ihre aktive<br />
Teilnahme am <strong>Institut</strong>sgeschehen und den<br />
Veranstaltungen.<br />
Ich freue mich, dass es gelungen ist, einen<br />
neuen Vorstand zu wählen, der aktiv und engagiert<br />
seine Arbeit aufgenommen hat und wünsche<br />
ihm eine erfolgreiche Tätigkeit für das <strong>Institut</strong>.<br />
(Mag. Norbert Wagner)<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
Dr. Klaus Wöhry, CIA, CFSA – 9 Jahre im Vorstand des <strong>Institut</strong>s<br />
Klaus Wöhry gehörte dem Vorstand des <strong>Institut</strong>s<br />
für drei Vorstandsperioden (9 Jahre) als<br />
Stellvertretender Vorsitzender an.<br />
Viele Initiativen gingen von ihm aus und er war<br />
bei der Umsetzung einer Reihe von Arbeiten<br />
sehr aktiv tätig. So ist ihm und seinem temporären<br />
Arbeitskreis das –inzwischen bereits aktualisierte<br />
– Buch über das <strong>Interne</strong> Kontrollsystem<br />
aus der Sicht der <strong>Interne</strong>n <strong>Revision</strong> zu verdanken.<br />
Klaus Wöhry leitete auch den Arbeitskreis<br />
Privatversicherer und ist einer der Initiatoren<br />
der Dreiländertagung der Privatversicherer, die<br />
alternierend in Österreich, Deutschland und der<br />
Schweiz stattfindet.<br />
Eine sehr wichtige – und zeitintensive – Tätigkeit<br />
war die Betreuung der website durch ihn.<br />
Klaus Wöhry war auch in der CEE-Gruppe tätig,<br />
deren Aufgabe der Erfahrungsaustausch<br />
mit anderen nationalen <strong>Institut</strong>en im CEE-Raum<br />
ist. Er war auch für einige Jahre im Board of<br />
Regents des IIA sehr intensiv tätig und hat damit<br />
nachhaltig an der Weiterentwicklung der<br />
Zertifizierungen des IIA mitgewirkt. Dadurch er-<br />
3
geben hat sich konsequenterweise auch die<br />
Betreuung der CIA-Agenden in Österreich und<br />
aller damit zusammenhängenden Arbeiten.<br />
Klaus Wöhry war immer erreichbar und arbeitete<br />
häufig und intensiv am Abend und am Wochenende<br />
für das <strong>Institut</strong>. Ich danke seiner Frau<br />
Uta für ihr Verständnis und ihm persönlich für<br />
sein Engagement, seinen intensiven fachlichen<br />
und zeitlichen Einsatz, seinen Humor und die<br />
Möglichkeit, mit ihm in einer sehr angenehmen<br />
und freundschaftlichen Atmosphäre arbeiten zu<br />
können.<br />
Klaus Wöhry hat die Gelegenheit, anlässlich<br />
der Umstrukturierung des Wüstenrot Konzerns<br />
eine neue, herausfordernde Tätigkeit außerhalb<br />
der <strong>Interne</strong>n <strong>Revision</strong> wahrnehmen zu können,<br />
angenommen.<br />
Ich wünsche ihm im Namen des „alten“ Vorstands<br />
und ganz persönlich von mir viel Erfolg<br />
in seiner neuen Funktion und danke ihm für die<br />
vergangenen neun Jahre.<br />
(Mag. Norbert Wagner)<br />
Dr. Walter Mantsch, CIA - 9 Jahre im Vorstand des <strong>Institut</strong>s<br />
Walter Mantsch gehörte dem Vorstand des <strong>Institut</strong>s<br />
für drei Vorstandsperioden (9 Jahre) in<br />
verschiedenen Funktionen an.<br />
Walter Mantsch war bei der Umsetzung einer<br />
Reihe von Arbeiten sehr aktiv tätig. So ist ihm<br />
und seinem temporären Arbeitskreis das Buch<br />
über das Risikomanagement aus der Sicht der<br />
<strong>Interne</strong>n <strong>Revision</strong> zu verdanken. Er vertrat den<br />
Bereich Industrie im Vorstand und war bei einer<br />
Reihe von Initiativen intensiv tätig.<br />
Walter Mantsch scheidet auf eigenen Wunsch<br />
aus dem Vorstand aus, den er lange Zeit mitgeprägt<br />
hat.<br />
Ich wünsche ihm im Namen des „alten“ Vorstands<br />
und ganz persönlich von mir viel Erfolg<br />
in seinem weiteren Berufsleben und danke ihm<br />
für die vergangenen neun Jahre.<br />
(Mag. Norbert Wagner)<br />
Ich danke ihm für sein Engagement, seinen intensiven<br />
Einsatz und die angenehme Arbeit mit<br />
ihm für das <strong>Institut</strong>.<br />
28. Mitgliederversammlung – 16. Juni <strong>2009</strong> in Wien<br />
Die 28. Mitgliederversammlung des <strong>Institut</strong>s für<br />
<strong>Interne</strong> <strong>Revision</strong> fand am 16. Juni <strong>2009</strong> wieder<br />
im Don Bosco-Haus in Wien statt. Sehr erfreulich<br />
für die Veranstalter war das große Interesse<br />
der Mitglieder, das sich in der beachtlichen<br />
Zahl der Teilnehmer zeigte.<br />
Auf dem Programm stand neben dem Bericht<br />
des Vorstandes über das abgelaufene Jahr<br />
auch die Neuwahl des Vorstandes für die nächsten<br />
drei Jahre. Hier waren Veränderungen angesagt,<br />
da 3 der bisherigen Vorstandsmitglieder<br />
nicht mehr zur Wahl angetreten sind.<br />
In seinem Bericht gab der scheidende Vorsitzende<br />
des Vorstandes einen Überblick über die<br />
Highlights des Jahres 2008. Zu nennen waren<br />
hier in erster Linie die Jahrestagung unter dem<br />
Titel „URÄG und 8. EU-Richtlinie und ihre Auswirkungen<br />
auf die IR“ in Pichl/Schladming, die<br />
Erfas „<strong>Interne</strong> <strong>Revision</strong> – Gestaltung und Organisation<br />
in der Praxis in Kombination mit Ergebnissen<br />
CBOK-Befragung“ und „Das <strong>Interne</strong><br />
Kontrollsystem (IKS) in der IT“ aus 2008 sowie<br />
das im März <strong>2009</strong> statt gefundene Erfa „Bewertungs-<br />
und Visualisierungssysteme für <strong>Revision</strong>sergebnisse“.<br />
Beachtlich ist, dass bereits 10<br />
Arbeitskreise (Privatversicherer, Banken, Public<br />
Sector Group, New Auditors, CIA, EDV, SAP,<br />
Universitäten, Energiewirtschaft, Wirtschaftskriminalität)<br />
tätig sind. Erfreuliches konnte auch<br />
über die Entwicklung der Akademie <strong>Interne</strong><br />
<strong>Revision</strong> und der CIA-Prüfungen über Computer<br />
Based Testing berichtet werden. Übersetzt<br />
und publiziert wurde das „Enterprise Risk Management<br />
– Integrated Framework (COSO)“, zu<br />
dem schon positive Rückmeldungen vorliegen.<br />
Eine weitere Verbesserung im Seminarbetrieb<br />
der Akademie <strong>Interne</strong> <strong>Revision</strong> und bei den<br />
Rahmenbedingungen für die Administration<br />
konnte durch den Bezug neuer Seminar- und<br />
Büroräumlichkeiten in 1120 Wien, Schönbrunner<br />
Straße 218-220 erreicht werden.<br />
4
Daran anschließend gab Mag. Wagner eine<br />
Zusammenfassung der wesentlichsten Aktivitäten<br />
im Zeitraum 2000-2008. In diesen neun<br />
Jahren lenkte er als Vorsitzender maßgeblich<br />
die Geschicke des <strong>Institut</strong>es und gestaltete mit<br />
seinen Vorstandskollegen die positive Entwicklung<br />
unserer Interessensvertretung. Hinsichtlich<br />
der einzelnen Projekte und Ergebnisse wird auf<br />
den gesonderten Artikel in diesem Audit Journal<br />
verwiesen.<br />
Beruhigend ist sicherlich die stabile Vermögenslage<br />
des <strong>Institut</strong>s, das im Jahr 2008 wieder<br />
einen Überschuss erwirtschaften konnte. Gleiches<br />
gilt für das Ergebnis der Akademie <strong>Interne</strong><br />
<strong>Revision</strong>. Hier bestätigte sich die Richtigkeit der<br />
damals nach intensiven Diskussionen getroffene<br />
Entscheidung, die Seminartätigkeit selbst<br />
abzuwickeln.<br />
Der aktuelle Mitgliederstand beträgt 384 Mitglieder,<br />
wobei die Firmenmitgliedschaften den<br />
weitaus größten Anteil darstellen. Heuer konnten<br />
bereits 27 Beitritte vermerkt werden, sodass<br />
von einer sehr positiven Mitgliederentwicklung<br />
gesprochen werden kann.<br />
Nach der Darstellung der eindrucksvollen internationalen<br />
Aktivitäten folgte noch ein Ausblick<br />
auf die kommenden Veranstaltungen.<br />
Nach der Präsentation des Vorstandes erstattete<br />
Prof. Dr. Hauser in seiner Funktion als<br />
Rechnungsprüfer einen positiven Bericht über<br />
die Finanzgebarung, sowohl des <strong>Institut</strong>s als<br />
auch der Akademie, und stellte den Antrag auf<br />
Entlastung des Vorstandes für das Jahr 2008,<br />
die anschließend durch die Mitglieder erfolgte.<br />
Professor Hauser nutzte die Gelegenheit, einen<br />
kurzen Rückblick auf die Entwicklung des <strong>Institut</strong>s<br />
in den letzten Jahren aus seiner Sicht zu<br />
geben und sich als Rechnungsprüfer persönlich<br />
zu verabschieden.<br />
Im Anschluss fand die Neuwahl des Vorstandes<br />
und der Rechnungsprüfer statt.<br />
Mag. Birgit Fahrnberger<br />
Mag. Thomas Goldstein, CISM<br />
Dietmar Grabher, CIA, CISA<br />
Helmut Reitmeier<br />
Dr. Hannes Schuh, <strong>MB</strong>A<br />
Mag. Eva Weiszgerber<br />
Mag. Angela Witzany, CIA<br />
wurden von der Mitgliederversammlung mit<br />
außerordentlich hoher Zustimmung gewählt.<br />
Zu Rechnungsprüfern bestellt wurden einhellig<br />
Mag. Regina Rossgatterer, CIA<br />
Mag. Manfred Schuster.<br />
Auf eigenen Wunsch ausgeschieden aus dem<br />
Vorstand sind Mag. Norbert Wagner, Dr. Klaus<br />
Wöhry, CIA, CFSA, Dr. Walter Mantsch, CIA<br />
und als Rechnungsprüfer Prof. Dr. Peter<br />
Hauser.<br />
Mag. Wagner wurde in Anerkennung seiner<br />
langjährigen Tätigkeit als Vorsitzender des Vorstandes<br />
und der erzielten Erfolge die Ehrenmitgliedschaft<br />
beim <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
verliehen.<br />
Nach einer Kaffeepause folgte der nächste Höhepunkt<br />
der Veranstaltung – eine Lesung von<br />
Heinz Marecek, die eigentlich ein freies Erzählen<br />
von interessanten Ereignissen, lustigen Geschichten<br />
und Vorkommen im Umfeld des<br />
Theaterlebens war. Mit unvergleichlichem Humor<br />
und Empathie berichtete er von ausgewählten<br />
Begegnungen und Erlebnissen mit<br />
großen Theaterschauspielern, die – so haben<br />
wir erfahren – auch ihre Eigenheiten hatten. Die<br />
Person Marecek und seine Erfolge an dieser<br />
Stelle darzustellen, erübrigt sich, da er wohl allen<br />
von uns durch seine zahlreichen Theaterund<br />
Fernsehauftritte bestens bekannt ist.<br />
Zum Abschluss der Veranstaltung wurde noch<br />
das neue Corporate Design des <strong>Institut</strong>s und<br />
der Akademie vorgestellt, das hinkünftig das<br />
Erscheinungsbild in der Korrespondenz, den<br />
Publikationen u.a. prägen wird. Es soll symbolisieren,<br />
was auch generell gilt: Fortsetzen und<br />
Anschließen an das bisher Geschaffene, Weiterentwickeln<br />
des Bestehenden und Mut für<br />
Neues.<br />
(Mag. Eva Weiszgerber)<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
5
Bewertungs- und Visualisierungsergebnisse für <strong>Revision</strong>sergebnisse –<br />
Erfa am 12.3.<strong>2009</strong><br />
In <strong>Revision</strong> wird viel Wissen und Energie investiert.<br />
Die Ergebnisse werden mit hohem Aufwand<br />
und wohlüberlegt in Berichten dargestellt.<br />
Wie rasch erkennt der Vorstand, der Aufsichtsrat,<br />
der Prüfungsausschuss oder der oberste<br />
Verantwortliche einer öffentlichen Einrichtung<br />
die Bedeutung einer Feststellung in Bezug auf<br />
den Prüfbereich und für das gesamte Unternehmen?<br />
Woraus zieht er seine Informationen<br />
– aus den Prüfberichten, aus Quartalsberichten<br />
und aus Jahresberichten?<br />
Welche Bewertungsansätze und Darstellungsformen<br />
gibt es?<br />
Was kann / soll mit Berichten sonst noch transportiert<br />
werden?<br />
Gibt es internationale Vergleichsmöglichkeiten?<br />
Diese Fragen wurden von Praktikern für Praktiker<br />
im Rahmen des Erfa „Bewertungs- und Visualisierungsergebnisse<br />
für <strong>Revision</strong>sergebnisse“<br />
am 12.3.<strong>2009</strong> beantwortet.<br />
Im <strong>Revision</strong>sbericht der Allianz Elementar<br />
Versicherungs-AG, so Dr. Dieter Graßmück,<br />
werden die Detailergebnisse in Hauptprüfgebieten<br />
zusammengefasst, bewertet und mit einem<br />
4-Farben-Ampelsystem dargestellt. Zweck ist<br />
die Einschätzung des verbleibenden Restrisikos<br />
unter Berücksichtigung der Gestaltung und<br />
Effektivität des IKS. Die Aspekte der Bewertung<br />
des Restrisikos wurden hinsichtlich der Dimensionen<br />
Wahrscheinlichkeit und Auswirkungen<br />
näher beschrieben. Die Prüfberichte bilden die<br />
Basis einer Reportingpyramide, welche als<br />
nächste Stufen das interne Quartalsreporting<br />
und das Konzernreporting vorsieht. Das Quartalsreporting<br />
gibt den Prüfungsstatus und den<br />
Umsetzungsstatus von Empfehlungen wider.<br />
Weiters ist seit vier Jahren ein Feedbacksystem<br />
eingerichtet.<br />
Die Einstiegsfrage von Oliver Fiedler -„Alles<br />
Pizza, oder was?“ führte sehr rasch zu den<br />
Bewertungs- und Darstellungsformen der Zumtobel<br />
group. Feststellungen werden stets auf<br />
Ordnungsmäßigkeit und Sicherheit bewertet.<br />
Die Visualisierung erfolgt in vier, in einer aufsteigenden<br />
Reihe und mit unterschiedlichen<br />
Farben kolorierten Kreisvierteln. Kommentare<br />
werden um Smileys ergänzt. Die Berichte folgen<br />
dem Corporate Design des Unternehmens<br />
und sind klar gegliedert. Die erste Seite des Berichtes<br />
ist eine auf dem Business Process<br />
Maturity Model basierende Darstellung der Bewertung.<br />
Die Symbole ziehen sich im Bericht<br />
konsequent durch.<br />
Sektionschef Mag. Wilhelm Kellner, Rechnungshof,<br />
erörterte die Frage der Darstellung<br />
von Wert und Nutzen der Rechnungshöfe anhand<br />
internationaler Vergleiche. Elemente von<br />
Leistungsvergleichen sind Inputs und Outputs,<br />
aber auch die quantitativ erfassbaren Outcomes,<br />
wie zB Einsparungen durch Empfehlungen,<br />
und die qualitativ erfassbaren Impacts, wie<br />
zB der Beitrag zu Good Governance in der öffentlichen<br />
Verwaltung. Gezeigt wurden Beispiele<br />
des australischen, kanadischen, amerikanischen,<br />
englischen und österreichischen Rechnungshofes.<br />
Abgerundet wurde das Bild durch<br />
eine Aufzählung der häufigsten Performance<br />
Indikatoren europäischer Rechnungshöfe.<br />
Mag. Werner Gutschik und Christian Hamberger<br />
präsentierten die Visualisierung von <strong>Revision</strong>sergebnissen<br />
bei der Bank Austria Unicredit<br />
Group. Der klar strukturierte <strong>Revision</strong>sbericht<br />
enthält eine Bewertungsdarstellung durch Pfeilsymbole<br />
(Farbe und Richtung) in vier Bewertungsklassen.<br />
Neben Management Summary<br />
und Detailbericht werden noch ein Aktionsplan<br />
und ein Tracking der Maßnahmen dargestellt.<br />
Die Kommunikation mit den geprüften Einheiten<br />
erfolgt über die Software „Aktionsplan-<br />
Management International“. Die Monatsberichte<br />
folgen der Darstellungslogik der Bewertung.<br />
Der Quartalsbericht enthält statistische Aussagen<br />
über durchgeführte Prüfungen und <strong>Revision</strong>sergebnisse<br />
(Overall Rating), ähnlich der<br />
Jahresbericht. Das Berichtswesen wird durch<br />
eine interne Reportingsoftware unterstützt.<br />
Die <strong>Interne</strong> <strong>Revision</strong> des Finanzministeriums ist<br />
funktional unmittelbar dem Minister unterstellt,<br />
so Dr. Hannes Schuh. Er und die Top-<br />
Führungskräfte des Ressorts sind Adressat der<br />
Quartalsberichte und des Jahresberichtes. Die<br />
Quartalsberichte sind knapp gehalten. Sie geben<br />
in Tabellenform einen Überblick über laufende<br />
Prüfungen und offene Umsetzungsmaßnahmen<br />
und enthalten – anders als die Prüfberichte<br />
– Bewertungen durch gedrehte Dreieckssymbole<br />
in Ampelfarben. Der Jahresbericht hat<br />
viele Zwecke zu erfüllen. Er dient der sachlichen<br />
Ergebnisdarstellung, als Erstüberblick<br />
über Findings zu einer Prüfung, als Info über<br />
Personalentwicklung, über nationale und<br />
6
internationale Vernetzung und als Marketinginstrument.<br />
Die <strong>Revision</strong>sabteilung des Lebensministeriums<br />
umfasst nach Mag. Alexandra Finz zwei<br />
Teilbereiche, das Referat EU-Finanzkontrolle<br />
und das Referat <strong>Interne</strong> <strong>Revision</strong>. Die Bewertung<br />
der Prüfungsfeststellungen erfolgt anhand<br />
von Budgetgrößen, Kennzahlen / Leistungsindikatoren<br />
und qualitativen Bewertungsmodellen.<br />
Exemplarisch dargestellt wurden der Prüfbericht,<br />
der Leistungsbericht und die <strong>Revision</strong>sdatenbank.<br />
Besonders interessant war das<br />
konsequente, auch elektronisch unterstütze<br />
Weiterziehen der Ampelbewertung in den Umsetzungs-<br />
bzw. Follow Up Bereich. Jeder Bewertungsampel<br />
steht eine Lösungsfortschrittsampel<br />
gegenüber, Veränderungsschritte sind<br />
damit auf einen Blick erkennbar.<br />
Das Erfa ist bereits bei seiner Ankündigung auf<br />
großes Interesse gestoßen. Mit zahlreichen<br />
Anmeldungen nimmt es dabei einen Spitzenplatz<br />
im Ranking der Erfas ein. Die Erfüllung<br />
der hohen Erwartungen wurde durch die überaus<br />
positiven Rückmeldungen vielfach bestätigt.<br />
Die Teilnehmer haben eine Vielzahl guter<br />
Anregungen mit nach Hause genommen.<br />
Die Präsentationen stehen wie immer im Members-Bereich<br />
der Homepage zur Verfügung.<br />
(Dr. Hannes Schuh, <strong>MB</strong>A)<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
Ein Jahr CBT (Computer Based Testing) in Österreich – Zertifizierungen unter<br />
neuer Technik<br />
Im Juni 2008 wurden die ersten Registrierungen<br />
und in den darauf folgenden Wochen die<br />
ersten Prüfungen zum CIA in der neuen Form<br />
durchgeführt. Für das <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Österreich war es ein gewagter Schritt, da<br />
sich ja unser deutsches Partnerinstitut, das<br />
DIIR Deutsches <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong>,<br />
gegen diese technische Weiterentwicklung entschieden<br />
hat und die Prüfungen zum CIA etc.<br />
nach wie vor in Papier und Bleistift abhält.<br />
Wir in Österreich haben unseren anfänglichen<br />
Widerstand gegen CBT aufgegeben und sind<br />
zusammen mit fast allen <strong>Institut</strong>en weltweit auf<br />
diese neue Technologie umgestiegen. Es war<br />
für uns einfach der notwendige Schritt, um die<br />
Prüfungen sicherer zu machen und den Service<br />
für unsere Mitglieder bzw. die PrüfungskandidatInnen<br />
wesentlich zu verbessern. Ich denke hier<br />
vor allem an die Möglichkeit der Unabhängigkeit<br />
von bestimmten Terminen und Orten und<br />
die rasche (fast unmittelbare) Bekanntgabe der<br />
Ergebnisse.<br />
Verbunden mit dem Umstieg waren die Risiken<br />
„Wie wird diese Form der Prüfung angenommen?“,<br />
„Funktioniert die neue Technik?“ und<br />
letztlich das finanzielle Risiko „Wegfall der<br />
KandidatInnen aus dem benachbarten Osten“.<br />
Jetzt 12 Monate später ist es Zeit ein erstes<br />
Resümee zu ziehen:<br />
Von den KandidatInnen wurde die neue Form<br />
der Auslieferung der Prüfungen zu Beginn mit<br />
etwas Zurückhaltung angenommen. Ein Grund<br />
für die geringeren Anmeldezahlen zu Beginn ist<br />
aber auch in einem gewissen Vorzieheffekt im<br />
November 2007 begründet. Der November<br />
2007 Termin sprengte alle bisherigen Teilnehmerzahlen<br />
und lag bei ca. 150% der “normalen“<br />
Termine. Seit dem vierten Quartal 2008 haben<br />
sich die Anmeldungen unter CBT auf einem für<br />
Österreich durchaus erfreulichen Niveau von<br />
rund 20 Prüfungsteilen pro Monat stabilisiert.<br />
Auch ist ein leichter Anstieg der Anzahl von<br />
KandidatInnen aus Deutschland zu verzeichnen.<br />
Nach anfänglichen technischen Problemen,<br />
insbesondere im Registrierungsprozess mit<br />
dem IIA Global hat sich dieses System eingespielt<br />
und arbeitet mittlerweile großteils problemlos.<br />
Hier ist es an der Zeit unserer Monika<br />
Herrloss zu danken, die diesen Registrierungsprozess<br />
und die gesamte CIA Administration zu<br />
unserer und was noch wesentlich wichtiger ist,<br />
zur vollsten Zufriedenheit der KandidatInnen<br />
abwickelt. Nicht selten haben wir noch nach<br />
22:00 Uhr über Zulassungen zur Prüfung und<br />
allfällige Probleme telefoniert bzw. per Mail<br />
kommuniziert und Monika hat jedes (mögliche)<br />
Problem – auch im direkten Kontakt mit IIA<br />
Global – geklärt.<br />
Das System läuft inzwischen sehr stabil und<br />
auch der Ausfall bzw. der Wechsel des Prüfungscenters<br />
in Wien ging erfreulich und ohne<br />
größere Probleme über die Bühne.<br />
7
Bezüglich des erwarteten Einbruchs bei der<br />
Zahl der Registrierungen (immerhin kamen bis<br />
2007 ca. 50% der KandidatInnen aus dem benachbarten<br />
CEE Ländern – insbesondere der<br />
Slowakei) erfüllten sich unsere Prognosen erfreulicherweise<br />
nicht. Einerseits konnten wir einen<br />
Anstieg bei den österreichischen KandidatInnen<br />
erzielen und andererseits wurden Teile<br />
des Ausfalls durch „neue“ KandidatInnen aus<br />
Deutschland aufgefangen, die sich zur Prüfung<br />
unter CBT in Österreich oder der Schweiz registrieren<br />
lassen können. Wir haben dieser Tage<br />
die 200. Registrierung unter CBT vorgenommen<br />
und liegen mit diesem Wert für 12 Monate<br />
zwar noch leicht unter dem Wert von 2007,<br />
aber deutlich über unserem langjährigen<br />
Durchschnitt.<br />
Die Entwicklung der Zertifizierungen unter CBT<br />
verlief bis dato in Österreich deutlich besser als<br />
im Rest der Welt. Die Entscheidung des Vorstand,<br />
der neuen Technologie zu vertrauen hat<br />
sich als richtig herausgestellt und wir können<br />
dadurch unseren KandidatInnen eine nahezu<br />
rund um die Uhr Prüfungsmöglichkeit anbieten,<br />
die es ihnen auch ermöglicht, auf der ganzen<br />
Welt (ohne Deutschland, Israel und China) die<br />
Prüfung in deutscher Sprache abzulegen. Und<br />
auch diese Möglichkeit wird genutzt; wir hatten<br />
schon einige KandidatInnen, die die Prüfung in<br />
Hongkong, Australien, Japan oder den Vereinigten<br />
Staaten abgelegt haben.<br />
Natürlich hat sich auch der Stellenwert des Certified<br />
Internal Auditors (CIA) – als Nachweis eines<br />
umfangreichen Wissens rund um die <strong>Interne</strong><br />
<strong>Revision</strong> – in den letzten Monaten weiter<br />
verbessert. So werden CIAs bei diversen Stellenausschreibungen<br />
bereits gezielt angesprochen<br />
und gesucht und auch die Aufsichtsbehörden<br />
des österreichischen Finanzmarktes<br />
(FMA) akzeptiert einen CIA oder CFSA als<br />
Spezialist (fit and proper) in Sachen <strong>Interne</strong>r<br />
<strong>Revision</strong>.<br />
Ich blicke mit einer gewissen Zufriedenheit und<br />
auch etwas Stolz auf die Entwicklung des CIA<br />
und der IIA Zertifizierungen in Österreich zurück.<br />
Was mit dem hohen persönlichen Einsatz<br />
von Dipl. Ing. Gerold Frank 1998 und der ersten<br />
Prüfung mit sieben Kandidaten begonnen hat,<br />
hat sich zu einem notwendigen, akzeptierten<br />
und auch geforderten Standardangebot des <strong>Institut</strong>s<br />
und der Wirtschaft entwickelt.<br />
Erlauben Sie mir zum Abschluss meiner<br />
9-jährigen Tätigkeit im Vorstand des <strong>Institut</strong>s<br />
und als Leiter des Arbeitskreises Privatversicherer<br />
noch zwei, drei Sätze in eigener Sache.<br />
Ich habe die <strong>Interne</strong> <strong>Revision</strong> auf eigenen<br />
Wunsch (20 Jahre in einer Tätigkeit sind einfach<br />
genug und der Mensch braucht neue Herausforderungen)<br />
verlassen. Nachdem ich aber<br />
nicht nur <strong>Interne</strong>r Revisor gewesen bin, sondern<br />
– und alle die mich näher kennen, werden<br />
das bestätigen – die <strong>Interne</strong> <strong>Revision</strong> praktisch<br />
gelebt habe, bleibe ich dieser Profession und<br />
dem <strong>Institut</strong> natürlich verbunden.<br />
Ich bedanke mich bei allen Kolleginnen und<br />
Kollegen, die mich in den letzten 9 Jahren unterstützt<br />
haben und wünsche euch/Ihnen allen,<br />
den CIAs, den Zertifizierungen und dem <strong>Institut</strong><br />
für <strong>Interne</strong> <strong>Revision</strong> Österreich – IIA Austria,<br />
sowie dem neuen Vorstand alles erdenklich<br />
Gute und einen weiteren Weg steil nach oben.<br />
(Dr. Klaus Wöhry, CIA, CFSA)<br />
8
Viel Energie für URÄG und Contracting!<br />
Seit seiner Gründung im Herbst 2006 belebt<br />
der AK Energiewirtschaft die Arbeitskreis-<br />
Szene des IIA Ö.<br />
Im Jahr <strong>2009</strong> wurden bereits zwei kräftige Lebenszeichen<br />
gesetzt. Nach der intensiven Auseinandersetzung<br />
mit den Thema „Unternehmensrechtsänderungsgesetz“<br />
auf der IIR Ö-<br />
Jahrestagung im September 2008 kam der AK<br />
am 11.3.<strong>2009</strong> am neuen Sitz des IIR Ö zum<br />
Thema „ÜRAG“ (und die Folgen) zusammen,<br />
um sich abseits von Panik und Verdrängung mit<br />
dem professionellen Umgang mit den neuen<br />
Herausforderungen in Richtung Aufsichtsrat /<br />
Audit Committee / Prüfungsausschuss auseinanderzusetzen.<br />
Impulsreferate und die intensive<br />
Diskussion führten zu zahlreichen interessanten<br />
Erkenntnissen.<br />
Tief in das operative Tagesgeschäft ging es<br />
beim relativ spontan organisierten Branchen-<br />
Erfa über das Thema „Prüfung des Contractings“,<br />
zu dem die Kärntner Elektrizitäts AG<br />
(Kelag) nach Klagenfurt eingeladen hatte. Konkrete<br />
Erfahrungsberichte und geplante <strong>Revision</strong>sansätze<br />
wurden den interessierten Teilnehmern<br />
gleichermaßen geboten.<br />
Die beiden Veranstaltungen haben gezeigt, wie<br />
sinnvoll und wichtig es ist, sich unter Revisoren<br />
sowohl in grundlegenden als auch in Detailfragen<br />
auszutauschen und das Netzwerk des IIR<br />
Ö zu nützen. Die nächsten Pläne werden schon<br />
geschmiedet.<br />
(Dr. Markus Fally)<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
Prüfung von Telebankingsystemen<br />
Die Medienberichterstattung Anfang <strong>2009</strong> „ Spitzenbeamter soll bis zu € 60 Mio auf private Konten verschoben<br />
haben“ zeigt die Anfälligkeit von Telebankingsystemen für dolose Tathandlungen mit beträchtlichen<br />
Schadenssummen von unternehmensinternen Tätern.<br />
Aufgrund der vorhandenen Risiken wird versucht, eine für die <strong>Interne</strong> <strong>Revision</strong> in der Praxis anwendbare<br />
Checkliste zu generieren. Der Schwerpunkt der Checkliste ist die Verhinderung von dolosen Handlungen,<br />
die von Mitarbeitern bei der Durchführung von Telebanking begangen werden.<br />
Tathandlungen von Mitarbeitern im Rechnungswesen<br />
Die Tathandlungen von Mitarbeitern im Rechnungswesen betreffend den Zahlungsstrom nach außen<br />
können aufgrund der abteilungsspezifischen Gliederung wie folgt kategorisiert werden.<br />
Abteilung Finanzbuchhaltung:<br />
Buchung von Rechnungen fiktiver Kreditoren<br />
Hinzufügen eigener Kontonummern bei bestehenden Kreditoren und nachfolgende Buchung fiktiver<br />
Belege<br />
Ausnutzen von Zeichnungsberechtigungen auf Firmenkonten für Abhebungen und fiktive Buchungen<br />
Abteilung Zahlungsverkehr:<br />
Eingriffe in den elektronischen Zahlungsvorschlag (Ändern von Kontonummern, Hinzufügen<br />
oder Austausch von Zahlungsempfängern)<br />
Hinzufügen von betrügerischen Zahlungspositionen zum normalen manuellen Zahlungsverkehr<br />
Täter: Zumeist Mitarbeiter, die für die Bedienung des Telebanking verantwortlich sind.<br />
9
Der Schwerpunkt der gegenständlichen Untersuchung ist auf die beschriebene Tathandlung im Zahlungsverkehr<br />
gerichtet. Es sollte aber auch beachtet werden, dass eine längere Tatdauer auch manipulative<br />
Eingriffe in der Kreditorenbuchhaltung erfordert. Ansonsten würde die Tat bei der Ausbuchung<br />
des Kreditors mit dem Bankbeleg auffallen. 1 Insofern ist auch zu unterscheiden zwischen Tathandlungen,<br />
bei denen der Täter versucht einen "großen Coup" zu landen und einen namhaften Betrag in einer<br />
Einmalaktion abzuzweigen (und dabei eine baldige Entdeckung in Kauf nimmt) und Tathandlungen, bei<br />
denen der Täter über einen längeren Zeitraum seine betrügerischen Handlungen begeht und dabei das<br />
Entdeckungsrisiko möglichst klein halten will.<br />
Beschreibung der Tathandlungen im Zahlungsverkehr<br />
Bei dolosen Handlungen im Zahlungsverkehr können zwei Hauptrisiken identifiziert werden:<br />
Einsatz veralteter Telebankingsysteme<br />
Schwachstellen beim IKS im Zahlungsverkehr<br />
Die Schwachstellen von veralteten Systemen ist in folgenden Komponenten ersichtlich:<br />
<br />
<br />
<br />
<br />
<br />
Der TAN – Code wird nicht direkt von den Inhabern in das System eingesetzt. Dieser wird den<br />
Mitarbeiter für die Bedienung des Telebanking mündlich mitgeteilt oder auf den Zahlungsvorschlag<br />
geschrieben.<br />
Der TAN – Code wird zwar auf einem Computer im Zahlungsverkehr vom Inhaber eingesetzt,<br />
jedoch wird das Datenpaket nicht sofort versendet.<br />
Das System unterstützt keine angemessenen Passwortregeln (zB Mindestlänge, Verfallszeit,<br />
zwingende Verwendung von Sonderzeichen, Zahlen, Groß-/Kleinschreibung).<br />
Das System unterstützt keine angemessene Rechteverwaltung (zB in Systemadministratoren,<br />
Erfasser und Unterzeichner).<br />
Besonders kritische Systemtransaktionen können im System nicht auf ausgewählte Benutzer<br />
(zB Systemadministratoren) eingeschränkt werden (zB Ändern/Löschen von importierten Datenbeständen,<br />
Änderung/Löschung von Systemprotokollen, Anlegen/Ändern von Benutzern<br />
bzw. Benutzerrechten, Änderung der Systemparameter).<br />
In sämtlichen dieser Fälle sind die Mitarbeiter im Zahlungsverkehr - direkt oder indirekt - in Besitz des<br />
TAN – Codes und können vor dem Versand der Daten Änderungen im Zahlungspaket vornehmen oder<br />
eigene Zahlungspakete einspielen.<br />
Schwachstellen im IKS sind unter anderem:<br />
<br />
<br />
<br />
<br />
<br />
<br />
Der TAN – Code (oder TAN Generator) wird nicht so aufbewahrt, dass nur der tatsächlich Berechtigte<br />
darauf zugreifen kann ("unter der Schreibunterlage").<br />
Es gibt kein geregeltes Verfahren für die TAN - Weitergabe in Notfällen (zB kein Zeichnungsberechtigter<br />
im Büro anwesend)<br />
Keine strikte Funktionstrennung zwischen Erfassung und Freigabe von Zahlungspaketen (zB<br />
Erfassung von Zahlungspaket und erste Freigabe von ein und derselben Person).<br />
Das Vieraugen-Prinzip (zB Doppelzeichnung von Zahlungen) ist zwar implementiert, entspricht<br />
nicht den bei sensiblen Zahlungsvorgängen notwendigen Erfordernissen (zB relative Unabhängigkeit<br />
der Zeichnungsberechtigten, hierarchische Gleichstellung beider Personen - Gefahr von<br />
"Gefälligkeits-" oder "Blindunterschriften").<br />
Keine angemessene Stichprobenkontrolle von Zahlungspaketen (zB Abstimmung zwischen<br />
Zahlungsvorschlagsliste und Summe importiertes Zahlungspaket, Durchsicht der Zahlungspakete<br />
auf Auffälligkeiten, Anforderung von Ursprungsbelegen beim Erfasser).<br />
Kein geregeltes Verfahren für den Umgang mit Importdateien (zB sofortige, besser automatische<br />
Löschung nach erfolgreichem Import).<br />
1<br />
Sofern keine automatisierte Ausbuchung bei Erstellung des Zahlungsvorschlages erfolgt. In diesen Fällen wird jedoch die Ausbuchung<br />
über Abstimmkonten durchgeführt.<br />
10
Risikoorientierte Betrachtung der Kernprozesse im Telebanking<br />
Eine grafische Darstellung der Kernprozesse zeigt nachfolgendes Bild:<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
11
Prüfung der wesentlichen Maßnahmen in Form einer Checklist<br />
Für die Prüfung bestehender Telebankingssysteme werden folgende Fragestellungen empfohlen:<br />
Besteht eine Funktionstrennung in der Kreditorenbuchhaltung (Bereiche Buchung, Anlage Kreditor,<br />
Verwaltung der Kreditorenstammdaten, Bearbeitung des Zahlungsvorschlages)?<br />
Wenn nein: Welche Stichproben- oder sonstigen Kontrollen gibt es, um diese Schwachstelle zu<br />
mildern?<br />
Besteht eine Funktionstrennung zwischen der Finanzbuchhaltung und dem Zahlungsverkehr?<br />
Wenn nein: Siehe oben ;-)<br />
Besteht ein Berechtigungskonzept für das Telebankingsystem mit der notwendigen Funktionstrennung<br />
in - zumindest - Systemadministratoren (dürfen keine Zahlungsaktivitäten durchführen),<br />
Erfassern (dürfen Zahlungsdaten erfassen oder importieren, aber nicht freigeben) und<br />
Freigebern (dürfen Zahlungsvorgänge freigeben aber weder erfassen, importieren oder ändern)?<br />
Unterstützt das Telebankingsystem state-of-the-art Passwortregeln?<br />
Besteht ein Berechtigungskonzept für jenen Speicherort, wo der Zahlungsvorschlag aus der Finanzbuchhaltung<br />
gespeichert wird?<br />
Welche Personen besitzen Schreibzugriffe auf diesen Speicherort?<br />
Wie ist die Sicherheit der Daten auf den Transportweg gewährleistet (Finanzbuchhaltung –<br />
Speicherort –Telebankingsysteme)?<br />
Wer besitzt die TAN–Codes (Listen oder Karten bzw. Token zur Generierung von Codes) und in<br />
welchen Kombinationen können die TANs eingesetzt werden?<br />
Besteht darüber ein schriftliches Konzept?<br />
Entspricht dieses Konzept tatsächlich den aktuellen Zeichnungsberechtigungen auf den Bankkonten?<br />
Wie werden die TAN’s verwahrt? (Listen oder Karten oder Token)<br />
Wie werden die Daten von den Inhabern der TANs vor dem Einsetzen kontrolliert?<br />
Ist die Veränderbarkeit der Daten nach dem Einsetzen der TANs ausgeschlossen?<br />
Werden die TANs vom Inhaber persönlich im Telebanking-System eingesetzt oder werden sie<br />
den Bedienern der Software Telebanking mitgeteilt?<br />
Welche Kontrollen werden nach erfolgreicher Versendung des Datenpaketes durchgeführt?<br />
Welche Kontrollen werden bei erfolglosen Sendeversuchen von Datenpaketen oder vom Telebankingsystem<br />
zurückgewiesenen Zahlungsfreigaben durchgeführt?<br />
Werden von der kontoführenden Bank Kontrollen durchgeführt, ob der im Zahlungsvorschlag<br />
angeführte Zahlungsempfänger mit der angeführten Kontonummer übereinstimmt?<br />
Werden nur die Summen oder auch die einzelnen Buchungen kontrolliert? (z.B Sendeprotokoll,<br />
Kontoauszüge)<br />
Wie wird diese Kontrolle dokumentiert (Ablage Sendeprotokoll)?<br />
Werden zu der Abstimmung mit der Kreditorenbuchhaltung originale Bankauszüge oder ein eigener<br />
ausgedruckter Kontoauszug verwendet?<br />
Wie wird das Ausbuchen des Kreditors (Kreditor/Bank) durchgeführt?<br />
Werden zumindest einmal jährlich Datenanalysen in der Kreditorenbuchhaltung durchgeführt<br />
(Zumindest: an welche Kreditoren wurden die meisten Zahlungen geleistet).<br />
Erfolgt in regelmäßigen Abständen eine Prüfung des Rechnungswesens, insbesondere der<br />
Kreditorenbuchhaltung (zB durch die <strong>Interne</strong> <strong>Revision</strong>)?<br />
Unterschätztes Risiko: Manueller Zahlungsverkehr<br />
Beim automatischen Zahlungsverkehr wird zB aus der Kreditorenbuchhaltung ein Zahlungsvorschlag<br />
gemacht und sämtliche relevanten Zahlungsdaten werden vom System generiert und an das Telebankingsystem<br />
übergeben. Daneben gibt es aber in jeder Organisation einen mehr oder weniger umfangreichen<br />
manuellen Zahlungsverkehr, bei dem Zahlungsvorgänge – aus welchem Grund immer – direkt<br />
im Telebankingsystem erfasst werden. Bei diesem Verfahren ist es ungleich leichter, betrügerische Daten<br />
einzuschleusen als beim automatischen Zahlungsvekehr.<br />
Dieses höhere Risiko sollte sich auch beim IKS niederschlagen, zB durch mehr Stichproben oder andere<br />
Freigaberegelungen für manuelle Zahlungsvorgänge.<br />
12
Unbekanntes Risiko: Betrügerische Handlungen in der Debitorenbuchhaltung<br />
Das Risiko von dolosen Handlungen im Bereich der Zahlung von Kreditoren ist hinlänglich bekannt.<br />
Weniger bekannt ist hingegen das Risiko von betrügerischen Handlungen im Zusammenhang mit Zahlungseingängen.<br />
Dabei gibt es in fast jeder Organisation Bagatellbetragsgrenzen für Zahlungsabzüge von Kunden (zB zu<br />
viel oder zu spät abgezogener Skonto, Abrundungen bei der Zahlung). Wenn nun bei Zahlungseingängen<br />
regelmäßig solche fiktiven Zahlungsabzüge gebucht und auf einem Konto mit vielen Bewegungen<br />
versteckt werden, so sammeln sich mit der Zeit namhafte Beträge an, die nur noch per manueller Zahlungsanweisung<br />
auf das Konto des Täters transferiert werden müssen. Dabei ist das einzige Entdeckungsrisiko<br />
für den Täter die Zahlungsanweisung. Ein Entdeckungsrisiko auf Ebene der Buchhaltungskonten<br />
gibt es nicht, die Konten sind sämtliche korrekt ausgeziffert.<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
Darstellung der wesentlichen Maßnahmen gegen die vorhandenen Risiken<br />
Die Funktionstrennung zwischen der Kreditorenbuchhaltung und dem Zahlungsverkehr ist eine wesentliche<br />
Maßnahme, um längerfristige Tathandlungen zu verhindern. Nach der Bezahlung muss der Kreditor<br />
gegen die Bank ausgebucht werden, d.h. die Zahlungen müssen sich auch in der Kreditorenbuchhaltung<br />
wieder finden. Falls in einem Unternehmen die Kreditorenbuchhaltung und die Bedienung der<br />
Telebankingssysteme von denselben Personen durchgeführt werden, besteht ein großes Risiko.<br />
Der Zahlungsvorschlag wird zumeist aus einem System der Finanzbuchhaltung exportiert und für den<br />
Import in das Telebanking auf einen Speicherort gestellt. Für diesen Speicherort sollten die Schreibzugriffe<br />
nur nach dem „need to know“ Prinzip vergeben werden.<br />
In einigen Fällen gelang es den Tätern in Besitz der TANs zu kommen, da diese mangelhaft verwahrt<br />
wurden. Die Verwahrung in einer offenen Schreibtischlade bzw. an einem allgemein zugänglichen<br />
Speicherort entspricht nicht den erforderlichen Sicherheitsstandards.<br />
Das überwiegend vorliegende Tatbild zeigt, dass von den Tätern nach dem Einsetzen der TANs in den<br />
Daten Veränderungen vorgenommen werden. In der Praxis werden die TANs von den Inhabern auf den<br />
Zahlungsvorschlag geschrieben, den ausführenden Mitarbeiter (= Täter) im Zahlungsverkehr mündlich<br />
mitgeteilt oder auf den PC des ausführenden Mitarbeiters eingesetzt. In allen diesen Fällen ist das Paket<br />
offen und können von Mitarbeiter Veränderungen vorgenommen werden. Bei modernen Telebankingssystemen<br />
werden die Daten den Zeichnungsberechtigten zur Verfügung gestellt geprüft und sind<br />
nach Einsetzen der TANs gesperrt. Bereits an dieser Stelle sei angeführt, dass moderne Telebankingssysteme<br />
(Kartensysteme bzw. Generierung von Codes über Token) diesen Anforderungen entsprechen.<br />
Nach der Bezahlung der Kreditoren muss die getätigte Zahlung auch in die Finanzbuchhaltung einfließen.<br />
Das heißt, grundsätzlich sollte die bezahlte Summe den offenen Kreditorenforderungen laut dem<br />
aus der Finanzbuchhaltung erstellen Zahlungsvorschlag entsprechen. Es sollte daher diese Abstimmungstätigkeit<br />
nicht in den Verantwortungsbereich eines Mitarbeiters im Zahlungsverkehr stehen.<br />
In den Daten der Finanzbuchhaltung sollten regelmäßig Datenanalysen durchgeführt werden. Es sollte<br />
der Abteilung <strong>Interne</strong>n <strong>Revision</strong> möglich sein, sich Daten aus der Kreditorenbuchhaltung zu beschaffen<br />
und diese nach bestimmten Kriterien auszuwerten. Bereits durch eine Auswertung, welche Kreditoren<br />
die meisten Zahlungen erhalten haben, würden Tathandlungen früher entdeckt werden.<br />
Manuelle Zahlungsvorgänge sollten besonders kritisch hinterfragt und geprüft werden und ein entsprechend<br />
starkes IKS sollte für diese Transaktionen vorhanden sein.<br />
13
Zusammenfassung<br />
Tathandlungen von eigenen Mitarbeitern im Bereich des Telebanking sind zumeist aufgrund erheblicher<br />
Lücken in den <strong>Interne</strong>n Kontrollsystemen möglich. Die beste Prävention gegen diese Tathandlung ist<br />
eine.<br />
<br />
<br />
Funktionstrennung zwischen Kreditorenbuchhaltung und Zahlungsverkehr<br />
Verwendung moderner Telebankingssysteme (Karten oder Token), bei denen die Daten nach<br />
dem Einsetzen der Codes bzw. nach dem Lesen der Karte nicht mehr verändert werden können,<br />
und welche einen angemessenen Schutz des Telebankingsystems an sich unterstützen<br />
(Berechtigungskonzept, Passwortschutz).<br />
(Bernhard Fromm und Dietmar Grabher, CIA, CISA)<br />
Mit Massendatenanalyse einen Stein ins Rollen bringen<br />
1. Vorbemerkungen<br />
Bossert & Partner, ein auf <strong>Revision</strong>sdienstleistung<br />
fokussiertes Beratungsunternehmen<br />
wurde von einem Unternehmen der „öffentlichen<br />
Hand“ beauftragt, eine Prüfung des an einen<br />
Dienstleister vergebenen Parkhausmanagements<br />
durchzuführen. Trotz oder gerade wegen<br />
langjähriger Zusammenarbeit war in der<br />
Vergangenheit noch keine Prüfung durchgeführt<br />
worden, die wirtschaftliche Bedeutung der<br />
Parkraumbewirtschaftung war in den letzten<br />
Jahren jedoch deutlich gestiegen.<br />
Gegenstand der Parkraumbewirtschaftung waren<br />
drei Parkhäuser, mehrere Parkplätze sowie<br />
so genannte Kurzparkzonen. Alle Gebäude und<br />
Grundstücke befinden sich im Besitz des Unternehmens<br />
(Eigentümer), der Dienstleister ist<br />
Betreiber der Parkhäuser und Eigentümer der<br />
Einrichtungen (Automaten etc.) sowie der notwendigen<br />
IT-Struktur.<br />
Im nachfolgenden werden die einzelnen Schritte<br />
beschrieben:<br />
„halbmanuelle“ Prüfung<br />
Massendatenanalyse 8 Millionen Datensätze<br />
Fehlerfeststellungen<br />
Vertragssituation<br />
Prognostizierte Mehreinnahmen<br />
2. Vorgefundene Situation<br />
Im angetroffenen Zustand kümmerte sich der<br />
Betreiber um folgende Prozesse:<br />
A. Kernprozesse:<br />
Instandhaltung/Wartung<br />
Parkzeitermittlung<br />
Kassieren/Faktura<br />
Geldentsorgung bzw. Abrechnung gegenüber<br />
Kreditkartenorganisationen<br />
Pachtabrechnung gegenüber dem<br />
Eigentümer<br />
(nicht kontrollierbar!)<br />
B. Hilfs- bzw. Serviceprozesse<br />
Einkauf/Beschaffung<br />
Bewachung<br />
Buchhaltung<br />
Die Aufgabe des Eigentümers der Parkhäuser<br />
beschränkte sich auf das Dienstleistungsmanagement<br />
(Kenntnisnahme der gemeldeten Umsätze,<br />
Vertragsgestaltung und -prüfung). Ob<br />
damit wirklich alle notwendigen Aufgaben abgedeckt<br />
sind, dazu später.<br />
Die Zusammenarbeit zwischen Eigentümer und<br />
Betreiber der Parkhäuser war grundsätzlich erfolgreich,<br />
jedoch gab es in den letzten Monaten<br />
mehrere Anhaltspunkte, die eine nähere Betrachtung<br />
nahe legten.<br />
Hierzu gehörten im Wesentlichen<br />
die bereitgestellten Statistiken sind nicht<br />
nachvollziehbar und lassen sich nicht nachträglich<br />
erzeugen<br />
der abgeschlossene Dienstleistungsvertrag<br />
ist kurz und nichtssagend, sprich: Wichtige<br />
Dinge sind nicht geregelt<br />
ein direkter Zugriff auf das System der Parkraumbewirtschaftung<br />
durch den Eigentümer<br />
wurde zunächst abgelehnt, lief dann im Weiteren<br />
nicht zufriedenstellend<br />
die Frage an den Betreiber nach der<br />
GdPdU- Fähigkeit der eingesetzten<br />
14
Software konnte nicht beantwortet werden,<br />
sie wurde, schlimmer noch, nicht verstanden<br />
Oberstes Ziel der <strong>Revision</strong>sprüfung war der<br />
Nachweis der Richtigkeit der Provisionsabrechnungen<br />
der vergangenen Jahre. Hierzu war es<br />
erforderlich, die naturgemäß großen Datenmengen<br />
einer genauen Prüfung zu unterziehen.<br />
Für diese Aufgabe wurde WinIdea als Analyseinstrument<br />
eingesetzt, die Arbeiten wurden<br />
durch einen speziell ausgebildeten Mitarbeiter<br />
von Bossert & Partner durchgeführt.<br />
Im Verlauf der Prüfung ergab sich aufgrund des<br />
Verlaufs noch die Zielrichtung, möglicherweise<br />
Versäumnissen in der Vertragsbeziehung bzw.<br />
Fehler in der Provisionsabrechnung nachzuweisen,<br />
um den Vertrag sowohl in inhaltlicher<br />
Hinsicht (bessere Definition der Aufgaben) sowie<br />
naturgemäß in konditioneller Hinsicht nachzubessern.<br />
Dies umso mehr, als der Vertrag<br />
langfristig zu aus Eigentümersicht nicht befriedigenden<br />
Konditionen abgeschlossen worden<br />
war.<br />
3. Prüfung des IT-Systems der Parkhäuser<br />
Vor dem Hintergrund, dass die Bewegungsdaten<br />
eines Jahres von mehreren tausend Parkplätzen<br />
einer Prüfung zu unterziehen sind, liegt<br />
es nahe, dies mit einem modernen Analyseinstrument<br />
für Massendaten durchzuführen.<br />
Letztlich mussten hier die Belegläufe aller einzelnen<br />
Abrechnungen untersucht werden, da<br />
diese in Summe Grundlage der Provisionsabrechnung<br />
sind – ein typischer Fall für die Fragestellung<br />
„vom Urbeleg zum Ergebnis“.<br />
3.1. GdPdU<br />
Die Grundsätze zum Datenzugriff und zur Prüfbarkeit<br />
digitaler Unterlagen (GDPdU) regeln<br />
den automatisierten Datenzugriff der Finanzamtprüfung<br />
auf steuerrelevante Tatbestände.<br />
Dies bedeutet, dass in digitalen Systemen erstellte<br />
Daten mittels spezieller <strong>Revision</strong>s-<br />
Software unmittelbar auswertbar sein müssen.<br />
Bereits in einem Vorgespräch bezog der<br />
Dienstleister die Position, diese Systeme würden<br />
nicht der GDPdU unterliegen, da es sich<br />
um ein Kassen- und nicht um ein Buchführungssystem<br />
handeln würde.<br />
Diese Aussage ist nicht richtig. Da jeder Bezahlvorgang<br />
einen Umsatzsteueranteil enthält<br />
(auch Parken ist ein umsatzsteuerrechtlicher<br />
Vorgang!), müssen sämtliche Daten auch digital<br />
gespeichert werden. Da dies systemseitig<br />
nicht gewährleistet ist, hätte durch einen Finanzamtprüfer<br />
die gesamte Buchhaltung verworfen<br />
werden können.<br />
Durch die fehlende GdPdU-Archivierung war<br />
ein Datenzugriff zur Überprüfung der in den Abrechnungen<br />
aufgeführten Umsätze nicht möglich.<br />
3.2. Abgleich der Umsatzmeldung mit<br />
vorgelegten Unterlagen<br />
Es wurde versucht, mittels der täglich erstellten<br />
Sicherungskopien eine Bestätigung des Jahres-<br />
Umsatzes herbeizuführen. Da die enthaltenen<br />
Datensätze aufgrund ihres Formates nicht automatisch<br />
auswertbar waren, wurde eine individuelle<br />
Software erstellt. Diese Prüfung erfolgte<br />
„halb-manuell“.<br />
Bei Abzug der Sicherungskopien wurde erklärt,<br />
dass diese den Umsatz nicht vollständig ausweisen.<br />
Ursache war eine alte IT-Version bei<br />
mehreren Ausfahrtsschranken, welche die Kreditkartenumsätze<br />
nicht in die Sicherungskopien<br />
einfließen ließen. Der Abgleich der Sicherungskopien<br />
mit den Abrechnungen ergab eine Differenz<br />
von knapp 7% des gemeldeten Jahresumsatzes.<br />
Es wurde untersucht, inwieweit die Differenz<br />
auf fehlende Schrankenumsätze zurückzuführen<br />
war. Hierzu wurden die entsprechenden<br />
Umsätze aus den Tagesabrechnungen erfasst.<br />
Es wurde festgestellt, dass nur ca. die Hälfte<br />
des Betrages durch fehlende Schrankenumsätze<br />
begründet ist, die andere Hälfte ergibt sich<br />
daraus, dass Kassenautomaten zeitweise keine<br />
Umsätze an die Sicherungskopien gemeldet<br />
hatten.<br />
Bis zu diesem Stand waren die Daten lückenhaft,<br />
nicht nachvollziehbar und unzureichend<br />
dokumentiert, es konnte also keine automatisierte<br />
Prüfung mittels einer <strong>Revision</strong>ssoftware<br />
durchgeführt werden.<br />
3.3. Sonstige Auffälligkeiten<br />
A) Ereignisjournal<br />
Mittels des Ereignisjournals werden Systemeingriffe<br />
wie z.B. Automatenöffnungen, Ticketstaus<br />
oder Gerät autark protokolliert. Aus <strong>Revision</strong>ssicht<br />
geben die pro Automat und Schranke<br />
aufgeführten Ereignisse Hinweise auf fehlerhafte<br />
Bearbeitungen oder stellen Sonderfälle<br />
dar. Es bestand der Mangel, dass dieses Journal<br />
systemseitig nur für 79 Tage gespeichert<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
15
wurde. Eine Speicherung analog der gesetzlichen<br />
Aufbewahrungsfristen für Buchhaltungs-<br />
Unterlagen ist nach Ansicht der Berichterstatter<br />
erforderlich.<br />
Bei der Analyse der noch zur Verfügung stehenden<br />
Ereignisjournale wurde festgestellt,<br />
dass die Protokollierung teilweise fehlerhaft ist.<br />
So wurden zum Beispiel die Automatentüren<br />
2.875-mal geöffnet, aber nur in 2.704 Fällen<br />
geschlossen. Ursache hierfür waren angeblich<br />
fehlerhafte Sensorenmeldungen. Auch zeigte<br />
die Analyse sowie Befragungen, dass die Betriebsleiter<br />
die enthaltenen Informationen nicht<br />
ausreichend nutzten.<br />
B) Anlagenbezogener Umsatz<br />
Jeder Kassenautomat und jede Ausfahrtschranke<br />
war einem Parkhaus als Abrechnungsbereich<br />
zugeordnet (z.B. P1 bis P5). Die<br />
Umsätze dieser fünf Bereiche wurden in jeweils<br />
einer schichtbezogenen Abrechnung zusammengeführt.<br />
Diese Auswertung stellte eine Betrachtung<br />
nach dem Zahlungsort dar.<br />
Da ein Kunde, der z.B. im P5 parkte, sein Ticket<br />
auch an einem Kassenautomaten des P4<br />
oder P3 bezahlen konnte, war auf den schichtbezogenen<br />
Abrechnungen eine separate Statistik<br />
vorhanden, die sich nach dem Parkbereich<br />
des Kunden richtete. Diese Statistik wurde als<br />
„Anlagenbezogener Umsatz“ bezeichnet. Der<br />
„Anlagenbezogene Umsatz“ gab die Erlöse der<br />
einzelnen Parkbereiche an. Bei der Überprüfung<br />
der Beträge wurde festgestellt, dass sich<br />
die Summe des „Anlagenbezogenen Umsatzes“<br />
nicht mit dem Gesamtumsatz der Schichtbezogenen<br />
Abrechnungen deckte (Abweichung<br />
bis zu 1%).<br />
C) Fehlende Auflistung Ein- und Ausfahrten<br />
Die in den Sicherungskopien gespeicherten Daten<br />
gaben nur Auskunft über bezahlte Parkvorgänge.<br />
Alle Informationen zu Ein- oder Ausfahrten,<br />
die keinem Zahlvorgang zugeordnet werden<br />
konnten, wurden nach kurzer Zeit gelöscht.<br />
Zur Kontrolle (z.B. welche Einfahrten wurden<br />
nicht abgerechnet) sowie für statistische Zwecke<br />
sollten aber sämtliche Bewegungsdaten<br />
langfristig archiviert werden, was nicht erfolgte.<br />
D) Fehlerhafter Umsatzsteuerausweis<br />
Die Umsatzsteuer wurde nur mit zwei Nachkommastellen<br />
berechnet. Dies führte zu Rundungsdifferenzen<br />
von bis zu € 7,00 pro Parkhaus<br />
und Tag. Üblicherweise wird bei anderen<br />
IT-Systemen zur Vermeidung dieser Differenzen<br />
mit sechs Nachkommastellen gerechnet.<br />
(Anmerkung: Allein diese Tatsache sollte ausreichen,<br />
um bei einer Umsatzsteuerprüfung<br />
eindeutige Fragen der Finanzverwaltung mit<br />
evtl. weitreichenden Folgen zu provozieren.)<br />
4. IT-System Kurzparkzone<br />
Hier waren mehr als 10 Automaten installiert.<br />
Die Geldverwaltung war hier erleichtert, da die<br />
Automaten kein Wechselgeld herausgaben,<br />
d.h. der Kunde zahlte für eine beabsichtigte<br />
Parkzeit. Bei der Prüfung wurden folgende<br />
Schwachstellen ermittelt:<br />
A) Fehlende IT-Einbindung<br />
Die Umsatzmeldung erfolgte bei Automatenleerung<br />
mittels Ausdruck eines Kassenstreifens.<br />
Aufgeführt wurden z.B. Tagesumsatz, lfd. Abschlags-Nr.<br />
und aufgelaufener Umsatz. Eine<br />
Darstellung der Umsätze und Zeiten pro Parkvorgang<br />
war nicht möglich. Insofern war eine<br />
Prüfung nur eingeschränkt möglich und musste<br />
sich auf die aufwendige manuelle Eingabe der<br />
Daten aus den Kassenstreifen beschränken<br />
(3.500 Kassenstreifen mit jeweils zehn Angaben).<br />
B) Fehlerhafte Umsatzdarstellung<br />
Bei der vorgenommen Eingabe aller Umsätze<br />
wurde festgestellt, dass zwischen den Tagesund<br />
den aufgelaufenen Summen Differenzen<br />
entstanden. Zwar waren diese tages- und gerätebezogen<br />
insgesamt im geprüften Zeitraum<br />
etwas unter EUR 1.000 (täglich von € 0,10 bis<br />
zu € 2,00), sie zeigten aber, dass das System<br />
nicht ordnungsgemäß programmiert war. Insoweit<br />
waren auch weitere Fehler möglich, die<br />
aufgrund des fehlenden Datenbestandes aber<br />
nicht ermittelt werden konnten (siehe Pkt. 6).<br />
Insgesamt ergab die Prüfung, dass die Abrechnungen<br />
aufgrund einer fehlerhaften Programmierung<br />
eine Vielzahl von Abweichungen aufwiesen<br />
(in 2006 haben 48% aller Abrechnungen<br />
mindestens eine Differenz zwischen Tageswert<br />
und kumulierten Umsatz- oder Ticketzähler).<br />
Da durch diese Fehler eine ordnungsgemäße<br />
Umsatzdarstellung nicht gegeben war<br />
und zudem keine Einzeldaten pro Zahlungsvorgang<br />
vorlagen, konnten die gemeldeten Umsätze<br />
aus der Kurzparkzone nicht aussagekräftig<br />
geprüft und bestätigt werden.<br />
16
5. Operative Mängel in den Prozessen<br />
Fehlender Umsatzabgleich<br />
Im operativen Geschäft orientierten sich die<br />
Mitarbeiter des Parkhausbetreibers nur nach<br />
den Geldbeständen aus den Automatenleerungen.<br />
Die entnommenen Beträge wurden gezählt<br />
und mit dem bei der Leerung vom Kassenautomaten<br />
ausgedruckten Bon abgeglichen.<br />
Eine Kontrolle bzw. ein Abgleich mit den auf<br />
den Abrechnungen aufgeführten Umsätzen erfolgte<br />
nicht. Außerdem wurde der Bon nach<br />
dem Bargeldabgleich vernichtet und nicht der<br />
Kassenabrechnung beigefügt.<br />
6. Zusammenfassung Punkte 1 - 5<br />
Besonders ins Gewicht fallen letztlich nach unserer<br />
Ansicht folgende Feststellungen:<br />
Keine Dokumentation aller Ein- bzw. Ausfahrten,<br />
sondern nur der Vorgänge, die zu<br />
einem Zahlungsvorgang führen. Dies ist<br />
letztlich eine Folge davon, dass die Software<br />
seitens Hersteller und Betreiber fälschlicherweise<br />
nur als Kassensystem betrachtet<br />
wurde.<br />
Das Ereignisjournal wurde nur für max. 1<br />
Monat vorgehalten – dies ist für Problemanalysen<br />
nicht ausreichend.<br />
Sondervorgänge in den täglichen Sicherungskopien<br />
werden nicht statistisch aufbereitet.<br />
Die Datensätze der täglichen Sicherungskopien<br />
sind nicht vollständig (Umsätze einzelner<br />
Stellen fehlen!)<br />
Diese Datensätze sind nur erschwert auswertbar,<br />
entsprechen nicht der GdPdU<br />
Rundungsfehler in der abzuführenden Umsatzsteuer<br />
führen zu falsch ausgewiesener<br />
Umsatzsteuer<br />
Aus diesen Gründen konnte eine fundierte Bestätigung<br />
der Umsatzwerte nach heutigen Erfordernissen<br />
nicht vorgenommen werden, die<br />
Richtigkeit der Provisionsabrechnung und somit<br />
die Höhe der Provision konnten nicht ermittelt<br />
bzw. bestätigt werden. Erschwerend kam hinzu,<br />
dass gemäß Vertrag eine Buchführung entsprechend<br />
den handels- und steuerrechtlichen<br />
Bestimmungen durchzuführen ist. Hierzu gehört<br />
nach Meinung der Verfasser ein angemessenes<br />
internes Kontrollsystem, das auch nicht in<br />
Ansätzen zu erkennen war.<br />
Somit war ein eindeutiger Vertragsverstoß<br />
nachgewiesen, eine Kündigung des Dienstleistungsvertrags<br />
war möglich.<br />
Die Trennung wurde im vorliegenden Fall<br />
zunächst nicht vollzogen. Die Folge dieser <strong>Revision</strong><br />
waren jedoch die Vorjahre betreffenden<br />
Nachzahlungen, eine deutliche Senkung der<br />
Betreiberprovision sowie definitive Vorgaben im<br />
Hinblick auf IT- und Prozessverbesserungen.<br />
7. Folgeprüfung<br />
Aufgrund der Feststellungen der „halbmanuellen<br />
Prüfung“ wurden auf Empfehlung von Bossert<br />
& Partner die erkannten Systemfehler der<br />
Parkhaussoftware durch den Betreiber bereinigt.<br />
Dadurch war danach eine erweiterte Massendatenanalyse<br />
mittels „Idea“ möglich.<br />
In dieser Prüfung wurden innerhalb von 10 Tagen<br />
ca. 8,5 Millionen Datensätze überprüft. Zusätzlich<br />
wurden die Umsätze auf Parkhausebene,<br />
Kassenautomaten, Schranken ermittelt, jeder<br />
Parkvorgang (Einfahrt – Zahlung – Ausfahrt)<br />
konnte nachvollzogen werden.<br />
Im Folgeschritt wurden für einen Zeitraum von<br />
1 Jahr die gemeldeten Umsätze mit den Umsätzen<br />
lt. Massendatenanalyse abgeglichen.<br />
Dabei wurden Differenzen in Höhe von EUR<br />
150.000 festgestellt.<br />
Nachdem bei dieser Folgeprüfung keine deutliche<br />
Verbesserung der Situation festzustellen<br />
war, übernahm der Eigentümer das Parkhausmanagement<br />
in Eigenregie – die nun nicht<br />
mehr zu zahlende Betreiberprovision war hoch<br />
genug, um damit eigene Investitionen und laufende<br />
Kosten zu rechtfertigen und zu finanzieren.<br />
Die erwarteten Mehrerlöse in den nächsten<br />
Jahren bis 2015 betragen ca. EUR 15 Mio.<br />
8. Schlussbemerkung<br />
Abschließend bleibt im Hinblick auf die oben<br />
dargestellte Aufteilung der Zuständigkeit bzw.<br />
Prozesse festzuhalten, dass folgende Prozesse<br />
zusätzlich in die Zuständigkeit eines Betreibers<br />
fallen und von diesem auch geleistet werden<br />
müssen:<br />
Steuerung der Auslastung<br />
Optimierung der Park-Erlöse<br />
Fraudmanagement – IT-Sicherheit<br />
Controlling und - nicht zu vergessen - auch<br />
<strong>Revision</strong>!<br />
(Klaus-Dieter Göbel)<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
17
Neue Mitglieder<br />
Das <strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong> Österreich – IIA Austria begrüßt folgende neue Mitglieder:<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Mag. Karl Ziegler<br />
Helmut Honz<br />
Mag. Martin Koliander<br />
Mag. Ernestine Schweinschwaller<br />
Gabriele Pregartner<br />
Dipl.-Ing. Kurt Rainer<br />
Karin Holnsteiner<br />
Mag. Brigitte H. Juen<br />
General Electric Capital Global Banking<br />
ETI Elektroelement d.d.<br />
Bfi – Berufsförderungsinstitut Steiermark<br />
Friedrich Winterstein<br />
Prof. Dr. Peter Hauser<br />
Wir freuen uns auf eine gute Zusammenarbeit!<br />
(Mag. Eva Weiszgerber)<br />
Termine des <strong>Institut</strong>es<br />
24.-25.09.09<br />
12.11.<strong>2009</strong><br />
Jahrestagung des IIRÖ<br />
„Wirtschaftskrise – Strategien in schwierigen Zeiten“<br />
Aktiv-Vital Hotel, Gars am Kamp<br />
Erfa<br />
„Compliance – was bedeutet das für die <strong>Interne</strong> <strong>Revision</strong>?“<br />
18
Die Akademie <strong>Interne</strong> <strong>Revision</strong> informiert:<br />
Seminartipps:<br />
„IPPF: Berufsgrundlagen der <strong>Interne</strong>n <strong>Revision</strong>“<br />
Basisseminar – Einführung & Überblick 08.10.<strong>2009</strong><br />
Basisseminar zur Einführung in die Berufsgrundlagen der <strong>Interne</strong>n <strong>Revision</strong><br />
Referent(en): Dr. Ulrich Hahn, CIA, CISA, CCSA<br />
Mitglieder: € 490,00 / Nicht-Mitglieder: € 620,00<br />
IIA 07<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong><br />
Audit Journal<br />
„IPPF – Aktuelle Berufsgrundlagen der <strong>Interne</strong>n <strong>Revision</strong>“<br />
Update / Workshop 09.10.<strong>2009</strong><br />
Weiterführendes Update - Seminar zu den Berufsgrundlagen der <strong>Interne</strong>n <strong>Revision</strong><br />
Referent(en): Dr. Ulrich Hahn, CIA, CISA, CCSA<br />
Mitglieder: € € 490,00 / Nicht-Mitglieder: € 620,00<br />
Buchungskombi<br />
„IPPF – Basisseminar & Update / Workshop 08. – 09.10.<strong>2009</strong><br />
Referent(en): Dr. Ulrich Hahn, CIA, CISA, CCSA<br />
Mitglieder: € 870,00 / Nicht-Mitglieder: € 1.<strong>02</strong>0,00<br />
„IKS effizient gestalten und prüfen mit COSO“ 09. – 10.11.<strong>2009</strong><br />
COSO gilt als international anerkanntes Best Practice für die Gestaltung und Prüfung von IKS und<br />
Risikomanagement. In diesem Workshop lernen Sie, COSO Modelle in der Praxis erfolgreich<br />
anzuwenden. Inkl. Deutschem COSO ERM Buch!<br />
Referent(en): Dietmar Grabher, CIA, CISA<br />
Mitglieder: € 820,00 / Nicht-Mitglieder: € 970,00<br />
„Vernehmungstechnik für Revisoren“ 04. – 05.11.<strong>2009</strong><br />
Training für Befragungen bei dolosen Handlungen mit praktischen Übungen.<br />
Referent(en): Dr. Helmut Salomon / Mag. Bernhard Fromm<br />
Mitglieder: € 780,00 / Nicht-Mitglieder: € 930,00<br />
Ausbildungspaket<br />
„Einführung in die <strong>Interne</strong> <strong>Revision</strong>“ 14. – 16.09.<strong>2009</strong><br />
„Die Arbeitstechniken des Revisors“ 28. – 30.09.<strong>2009</strong><br />
„Prüfungsgrundlagen“ 13. – 15.10.<strong>2009</strong><br />
„Das IKS im Gesamtunternehmen“ <strong>02</strong>. – 03.11.<strong>2009</strong><br />
Referent(en): Mag. Birgit Weidenauer<br />
Dipl.-Ing. Maria-Theresia Stadler<br />
Dietmar Grabher, CIA, CISA<br />
Dr. Ulrich Hahn, CIA, CISA, CCSA<br />
Dr. Markus Fally<br />
Mag. Klaus Wöhry, CIA, CFSA<br />
Mitglieder: € 3.900,00 / Nicht-Mitglieder: € 4.620,00<br />
Berufsspezifische Weiterbildung für Revisoren –<br />
damit Ihr Karriereweg nicht zur Sackgasse wird!<br />
19
Audit Journal<br />
Zeitschrift des <strong>Institut</strong>s für<br />
<strong>Interne</strong> <strong>Revision</strong> Österreich -<br />
IIA Austria<br />
Impressum<br />
Verleger, Hersteller und Herausgeber<br />
<strong>Institut</strong> für <strong>Interne</strong> <strong>Revision</strong> Österreich - IIA Austria<br />
Schönbrunner Strasse 218 - 220<br />
U4 Center, Stiege B, 3. OG<br />
A - 1120 Wien<br />
Für den Inhalt verantwortlich:<br />
Mag. Eva Weiszgerber<br />
Hinweis: Die namentlich gekennzeichneten Beiträge müssen<br />
nicht die Meinung des Herausgebers wiedergeben.<br />
www.internerevision.at<br />
20