3 Vorgehensmodell IT-Risikoanalyse - Bitterli Consulting AG

Vorgehensmodell IT-Risikoanalyse
Arbeitshilfe für KMU-Prüfer
© ITACS Training
6.10.2010
Geschäftsprozesse
IT-Anwendungen
IT-Basissysteme
IT-Infrastruktur

Inhaltsverzeichnis
autoren:
Fachstab für Informatik der Treuhand-kammer
Projektleitung:
Peter r. Bitterli und Peter steuri
grafiken und layout: Felice lutz, ITaCs Training ag
1
«Vorgehensmodell IT-rIsIkoanalyse»
Inhaltsverzeichnis 1
Übersicht und abgrenzung 2
einführung 4
Vorgehensmodell IT-risikoanalyse 6
Phase 1: grobe abhängigkeits-einschätzung 8
Phase 2: erhebung Informatikeinsatz 15
IT-Check als «kombination» der Phasen 1 und 2 19
hinweise zu umfassenderen Informatikrevisionen 21
schlusswort 24
Fragebogen Phase I (anhang 1) 25
Fragebogen Phase II (anhang 2) 27

Im Vorgehensmodell
abgedeckt
Im Vorgehensmodel
nicht abgedeckt
1 Übersicht und Abgrenzung
Abgrenzung des Vorgehensmodells
ein integrierter Prüfansatz von Wirtschaftsprüfer und IT-Prüfer stellt sicher, dass alle wichtigen gebiete mit anwendungs-
abhängigen verfahrens- oder ergebnisorientierten Prüfungen ausreichend abgedeckt werden und gleichzeitig diejenigen
IT-spezifischen gebiete geprüft werden, die ebenfalls einen primären einfluss auf das Prüfziel des Wirtschaftsprüfer haben.
ohne ein aufeinander angestimmtes Vorgehen von Wirtschaftsprüfer und IT-Prüfer besteht hier ein erhöhtes Prüfungsrisiko.
Um diesem Prüfungsrisiko zu entgegnen, haben mitglieder des Fachstabs Informatik der Treuhand-kammer zwei Vorge-
hensmodelle geschaffen. diese basieren auf einem vierstufigen schichtenmodell, welches die wesentlichen Zusammen-
hänge vereinfacht und generisch darstellt. In der realität können die Zusammenhänge wesentlich komplexer sein, doch ist
diese abstraktion für das Verständnis der beiden Vorgehensmodelle zweckdienlich.
Generelle IT-Kontrollen
• Kontrollumgebung
(Richtlinien, Direktiven)
• Softwareentwicklung
• IT-Änderungen
• IT-Betrieb
• Zugriffskontrolle
• Systemsicherheit
• Datensicherheit
• Überwachung
Geschäftsprozesse
IT-Anwendungen
IT-Basissysteme
IT-Infrastruktur
die obige abbildung zeigt vereinfacht das in den beiden vom Fachstab Informatik entwickelten Vorgehensmodellen ver-
wendete schichtenmodell. Jede der vier schichten steht für eine art von Prozessen und ressourcen:
• In der obersten (blauen) schicht finden wir alle wesentlichen (manuellen) geschäftsprozesse – typischerweise aufgeteilt
nach verantwortlichen Fachbereichen und in sub-Prozesse und einzelne aktivitäten;
• In der zweiten (roten) schicht finden wir die automatisierten Teile der geschäftsprozesse, die eigentlichen (IT-) anwendungen.
mit ausnahme der wirklich kleinen kmU wird bei praktisch allen Unternehmen der grösste Teil der geschäftsfälle
mit hilfe solcher anwendungen verarbeitet.
• In der dritten (gelben) schicht finden wir die IT-Basissysteme. dieser Begriff umfasst eine grosse Vielfalt möglicher Plattformen,
auf denen die eigentlichen anwendungen der zweiten schicht laufen. Beispiele sind datenbank-Verwaltungssysteme
(z.B. sQl, oracle), die Basiskomponenten integrierter anwendungen (z.B. saP-Basis) oder auch eher technische
Verarbeitungssysteme (z.B. middleware).
• In der untersten (grünen) schicht finden wir die Informatik-Infrastruktur. Im Wesentlichen umfasst diese die eigentliche
hardware (midrange-systeme, server) wie auch die zugehörigen netzwerk-komponenten und technischen Überwachungssysteme.
2
IT-Anwendungskontrollen
• Vollständigkeit
• Genauigkeit
• Gültigkeit
• Berechtigung
• Rollentrennung
Vierstufiges schichtenmodell

Vorgehensmodell Anwendungsprüfung
3
«Vorgehensmodell IT-rIsIkoanalyse»
das «Vorgehensmodell anwendungsprüfung» wurde 2008 veröffentlicht und ist heute auf deutsch (www.treuhand-kam-
mer.ch), auf Französisch (www.afai.fr) und englisch (www.isaca.ch) erhältlich. es beschäftigt sich primär mit den oberen
beiden schichten, also den anwendungsabhängigen kontrollen in den geschäftsprozessen und den sie unterstützenden
anwendungen.
der aufgezeigte ansatz soll den abschlussprüfer in der entwicklung eines integrierten Prüfungsansatzes unterstützen und
durch den einbezug der Prüfung der relevanten geschäftsprozesse und entsprechenden anwendungen zu einem effizi-
enten und besser auf die risiken ausgerichteten Prüfungsvorgehen führen. der ansatz beginnt deshalb mit der analyse
der finanziellen rechnung des Unternehmens und resultiert in der Betrachtung der auswirkungen der erlangten Prüfungs-
ergebnisse auf diese rechnung.
In dieser analyse der finanziellen rechnung des Unternehmens erfolgt eine Zuordnung der wesentlichen rechnungsposi-
tionen zu den relevanten geschäftsprozessen resp. eine klärung der Fragen: aus welchen datenflüssen werden die wesent-
lichen rechnungspositionen «produziert» und welche kern-anwendungen verwalten diese datenflüsse?
Bei den identifizierten kern-anwendungen interessiert sich der Prüfer in der Folge für die Qualität des kontrollsystems.
dabei beurteilt er zuerst, ob die konzeption des kontrollsystems eine angemessene antwort auf die bestehende risikositu-
ation der geschäftsprozesse darstellt und danach, ob die vorgesehenen kontrollen implementiert und wirksam sind.
mit der Beurteilung des kontrollsystems der im Prüfungsumfang berücksichtigten geschäftsprozesse erlangt der Prüfer
hinweise, in wie weit er auf die Verfahren und kern-anwendungen, aus welchen die wesentlichen rechnungspositionen
entstehen, abstützen kann, und in welchem masse er allenfalls ergebnisorientierte Prüfungshandlungen zusätzlich durch-
führt.
Vorgehensmodell IT-Risikoanalyse
das vorliegende «Vorgehensmodell IT-risikoanalyse» beschäftigt sich primär mit den unteren beiden schichten, also der
IT-Infrastruktur mit den sie unterstützenden IT-Prozessen, aber auch mit den generellen IT-Prozessen für Wartung und
entwicklung der IT-geschäftsanwendungen in der zweiten schicht. das Vorgehensmodell analysiert zusätzlich einige Frage-
stellungen in den oberen beiden schichten, um eine gesamtheitliche Beurteilung der risikolage vornehmen zu können.
mit dem «Vorgehensmodell IT-risikoanalyse» wird ein standardisiertes Vorgehen geschaffen für:
• die erkennung der risiken, die sich aus dem IT-einsatz eines Unternehmens ergeben;
• für die erhebung und Beurteilung der «generellen IT-kontrollen» und des IT-einsatzes insgesamt in kleineren und mittleren
Unternehmen und organisationen.
das «Vorgehensmodell IT-risikoanalyse» liefert damit dem Wirtschaftsprüfer als unverbindliche arbeitshilfe die für die
strategische Prüfungsplanung notwendigen Informationen über den einsatz der Informatik (IT).

2 Einführung
Bedeutung der Informatik für das IKS
gemäss art. 728a or hat die revisionsstelle von wirtschaftlich bedeutenden Unternehmen, die der ordentlichen revision
unterliegen, ab dem geschäftsjahr 2008 die existenz eines Internen kontroll-systems (Iks) zu prüfen und zu bestätigen.
Beobachtungen zeigen, dass in vielen mittleren und kleineren Unternehmen noch Unsicherheit und Fragen über Umfang
und Inhalt sowie insbesondere den konkreten nutzen des Iks bestehen. dies gilt für das Iks auf Unternehmens- und
Prozessebene sowie, in noch stärkerem mass, auch für die kontrollen im Informatikbereich.
der schweizer Prüfungsstandard «Prüfung der existenz des Internen kontrollsystems» (Ps 890) definiert die Bedeutung der
Informatik für das Interne kontroll-system wie folgt:
«Kontrollen im Informatikbereich sind umso wichtiger, je stärker der Rechnungslegungs- und Berichterstattungs-
Prozess von Informatik-Systemen abhängig ist und je höher das Risiko ist, dass Fehler ihre Ursache im Aufbau von
und Umgang mit Informatik-Systemen haben könnten.»
Informatikeinsatz in KMU
die anforderungen an die Informatik weichen in kmU nicht wesentlich von denjenigen in grösseren Unternehmungen ab:
anwendungen mit breitem Funktionsumfang sowie hohe Verfügbarkeit und sicherheit sind oftmals wesentliche Vorausset-
zungen für die effiziente und zuverlässige abwicklung der geschäftsprozesse.
gegenüber grösseren Unternehmen mit bezüglich knowhow und kapazität gut dotierten Informatikabteilungen ist die
situation in kmU, obwohl deren Informatik-systeme und -Infrastruktur im normalfall «überschaubar» sind und im Bereich
der kern-anwendungen standard-software eingesetzt wird, oft von folgenden «typischen» risiken geprägt:
• fehlendes knowhow zu Informatik-anwendungen sowie daten- und Werteflüssen (schnittstellen); daraus resultieren eine
fehleranfällige, ineffiziente nutzung der software, schwachstellen in der internen kontrolle und eine hohe abhängigkeit
von externen Partnern (lieferanten);
• starke konzentration des knowhow auf einzelne, sehr oft einher gehend mit wenig strukturierten und kaum dokumentierten
Prozessen im Informatikbereich; daraus ergibt sich eine hohe abhängigkeit von solchen schlüsselpersonen;
• fehlende Funktionen-Trennung zwischen rechnungswesen und Informatik weil v.a. in kleineren Unternehmen die Verantwortung
und z.T. auch die ausführung in rechnungswesen und Informatik bei derselben Person liegen;
• angemessener Zugriffsschutz auf ebene von netzwerk und Betriebssystem, aber innerhalb der einzelnen anwendungen
kaum differenzierte Zugriffsberechtigungen sowie «schwache» Passwörter und Verzicht auf periodische Passwort-Wechsel;
• Individual-lösungen und -auswertungen in excel oder access, die von einzelnen anwendern auf ihrem PC erstellt und
kaum dokumentiert werden; deren Weiterentwicklung, Test und Funktionsfähigkeit sowie oft auch deren nutzung (v.a.
im Bereich kennzahlen und mIs) sind vollumfänglich von dieser einen Person abhängig;
• schwachstellen im Bereich der physischen sicherheit (Zutritt, rauch- und Branderkennung, klimatisierung und stromversorgung)
von rechenzentrum resp. serverraum;
• regelmässige erstellung von datensicherungen, aber oftmals schwachstellen in deren aufbewahrung (kein datenträgersafe)
sowie ungenügende auslagerung und fehlende restore-Tests (als grundlage für Wiederherstellung nach einem
gravierenden ereignis);
• fehlende Vorsorge und Vorbereitung für die Bewältigung von gravierenden ereignissen (bspw. Zerstörung des rechenzentrums
resp. des serverraumes), obwohl die geschäftsprozesse in hohem mass von der Verfügbarkeit der Informatikmittel
abhängig sind.
4

Das IKS im Informatikbereich
5
«Vorgehensmodell IT-rIsIkoanalyse»
ein umfassendes Iks im Informatikbereich beinhaltet kontrollziele und kontrollen auf verschiedenen ebenen:
• Unternehmen:
Informatik-strategie, -organisation und -Personal, risiko- und sicherheits-management sowie steuerung und management
von Informatikprojekten;
• geschäftsprozesse:
aufbau- und ablauforganisation sowie kontrollen primär in denjenigen geschäftsprozessen, die einen einfluss auf den
daten- und Wertefluss sowie auf die rechnungslegung und Berichterstattung haben;
• Informatik-anwendungen:
kontrollen bei der erfassung, eingabe, Verarbeitung und ausgabe von Transaktionen und daten sowie kontrollen an den
schnittstellen zwischen Informatik-anwendungen;
• Informatik-Betrieb:
kontrollen bei Programm-entwicklung und -Änderungen, bei Betrieb und konfiguration der Informatikmittel, der systemund
datensicherheit sowie der Überwachung der Informatik.

3 Vorgehensmodell IT-Risikoanalyse
Grundsätzliche Überlegungen
das «Vorgehensmodell IT-risikoanalyse» unterstützt den Wirtschaftsprüfer in mittleren und kleineren Unter nehmen
und organisationen bei der erkennung und Bewertung von möglichen risiken, die vom Informatikeinsatz aus-
gehen. der Wirtschaftsprüfer kann daraus erkenntnisse gewinnen für seine eigene Prüfungsplanung und -tätigkeit sowie
auch für seinen entscheid über den einbezug eines spezialisierten Informatikprüfers.
das Vorgehensmodell deckt die im schweizer Prüfungsstandard Ps 890 «Prüfung der existenz des internen kontroll systems»
angesprochenen «generellen Informatik- (IT-) kontrollen» ab. es fokussiert auf diejenigen Bereiche, welche für die Buch-
führung und rechnungslegung direkt und indirekt relevant sind, und es geht in einigen Bereichen darüber hinaus.
das Vorgehensmodell ist unabhängig von der art der revision (ordentlich oder eingeschränkt); es orientiert sich an der
Bedeutung der Informatik für das Unternehmen sowie dessen Buchführung und rechnungslegung.
rechtliche und regulatorische anforderungen hinsichtlich des IT-einsatzes und dessen kontrolle werden im «Vorgehens-
modell IT-risikoanalyse» nicht berücksichtigt – sie können aber sehr wohl ein wesentlicher grund sein, den IT-einsatz von
einem spezialisierten IT-Prüfer beurteilen zu lassen.
Inhalts-Übersicht
Phase 1: Grobe Risikoeinschätzung ➔ siehe Kapitel 4
Bei der Phase 1 handelt es sich um eine einschätzung der risiken und abhängigkeiten im Zusammenhang mit dem Informa-
tikeinsatz. sie erhebt keinen anspruch auf Vollständigkeit und Präzision in allen details, sondern soll den Bedarf nach einer
weiteren – und dann auch detaillierteren – erhebung und Beurteilung des Informatikeinsatzes aufzeigen.
nach abschluss der Phase 1 kann der Wirtschaftsprüfer aufgrund dieser ersteinschätzung der risiken entscheiden, ob das
durchführen der Phase 2 notwendig ist.
Phase 2: Erhebung Informatikeinsatz ➔ siehe Kapitel 5
Bei der Phase 2 handelt es sich um eine breit angelegte und angemessen detaillierte erhebung der stark- und schwach-
stellen im Zusammenhang mit dem Informatikeinsatz. die Bearbeitung der Fragen resp. des Fragebogens von Phase 2 kann
im rahmen der strategischen Prüfungsplanung oder auch im rahmen der (Zwischen-) revision erfolgen.
nach abschluss der Phase 2 kann aufgrund der erhaltenen erkenntnisse entschieden werden, ob und in welchen Prüf-
feldern eine umfassenden Informatikrevision durchzuführen ist.
Fragebogen als Erhebungs- und Beurteilungsgrundlage
Für beide Phasen wurde je ein Fragebogen entwickelt. deren Umfang und Inhalt sind den Zielen der jeweiligen Phase an-
gepasst und ermöglichen eine zielgerichtete und effiziente Bearbeitung.
die «antworten» zu den einzelnen Fragen basieren auf einem 4-stufigen maturitätsmodell; sie erlauben (und verlangen)
dadurch eine eindeutige Bewertung eines sachverhaltes sowie auch einen Vergleich mit anderen Unternehmen.
6

IT-Check als «Kombination» der Phasen 1 und 2 ➔ siehe Kapitel 6
7
«Vorgehensmodell IT-rIsIkoanalyse»
die Inhalte der beiden Phasen 1 und 2 können, insbesondere wenn die erhebungen beider Phasen gleichzeitig von dem-
selben Prüfer durchgeführt werden, zu einem IT-Check zusammengefasst werden.
Was das «Vorgehensmodell IT-Risikoanalyse» nicht ist
das «Vorgehensmodell IT-risikoanalyse» ist keine allumfassende Risikoanalyse – es ist vielmehr ein arbeits instrument primär
für die strategische Prüfungsplanung des Wirtschaftsprüfers, das effizient eingesetzt werden kann sowie eine vernünftige
erkennung und Beurteilung der im Zusammen hang mit dem Informatikeinsatz stehenden risiken erlaubt.
das «Vorgehensmodell IT-risikoanalyse» ist kein Leitfaden für eine umfassende Informatikrevision; diese erachten die
autoren als domäne von spezialisierten IT-Prüfern. Zudem sind allgemein anerkannte Prüfungsansätze wie bspw. das IT
audit Framework von IsaCa oder dem auf Co b iT basierenden IT governance assurance guide verfügbar resp. werden von
grossen Prüfungsgesellschaften unternehmensspezifische Vorgehensmodelle und arbeitspapiere eingesetzt.

4 Phase 1: Grobe Risikoeinschätzung
Positionierung
die Bearbeitung der Fragen resp. des Fragebogens von Phase 1 soll im rahmen der strategischen Prüfungsplanung erfolgen.
damit ist gewähr geboten, dass die sich aus dem IT-einsatz ergebenden risiken frühzeitig erkannt werden und die erkennt-
nisse in die Prüfungsplanung einfliessen können.
Bei der Phase 1 handelt es sich um eine einschätzung der risiken und abhängigkeiten im Zusammenhang mit dem Informa-
tikeinsatz. sie erhebt keinen anspruch auf Vollständigkeit und Präzision in allen details, sondern soll den Bedarf nach einer
weiteren – und dann auch detaillierteren – erhebung und Beurteilung des Informatikeinsatzes aufzeigen.
Vorgehen und Beteiligte
durch die erhebung der Phase 1 soll erkannt werden, welche Bedeutung der Informatik im Unternehmen zukommt. aus
den antworten zu den 16 Fragen lässt sich ableiten, ob aus dem Informatikeinsatz erhöhte risiken für das Unternehmen
resultieren, welche für die strategische Prüfungsplanung des Wirtschaftsprüfers wichtig sind.
der Fragebogen der Phase 1 wird dem kunden vorgängig zugestellt und von den für das rechnungswesen und die Informa-
tik verantwortlichen Personen ausgefüllt. Für den nachfolgenden review des Fragebogens gemeinsam mit Vertretern des
Unternehmens rechnen wir für den Wirtschaftsprüfer mit einem aufwand von rund einer stunde.
mit vernünftigem aufwand kann so aufgrund von nachvollziehbaren Fakten beurteilt werden, ob eine vertiefte risiko-
erhebung im IT-Bereich, d.h. das auslösen der Phase 2, angezeigt ist.
Fragebogen / Kriterien
der Fragebogen beinhaltet fünf Themenkreise; jeder Themenkreis beinhaltet eine bis fünf Fragen.
Geschäft und IT
• Geschäftsstrategie und Informatikeinsatz
• Innovationsgrad beim
Informatikeinsatz
• Abhängigkeit von Verfügbarkeit
der Informatikmittel
Für jede Frage resp. jedes Kriterium werden «antworten» in vier unterschiedlichen Ausprägungen (maturitätsstufen) vor-
geschlagen.
Letzte IT-Prüfung
• Zeitpunkt der letzten unabhängigen
Beurteilung Informatik
Interne Organisation
und Kontrolle
• Risikomanagement
• Internes Kontroll-System
• Awareness für Informationssicherheit
• Funktionentrennung
• Stellvertretung und Anwendungs-
Knowhow im Rechnungswesen
8
IT-Betrieb
• Betriebssicherheit der Informatikmittel
• Stellvertretung in der Informatikabteilung
• Abhängigkeit von externem Personal
(inkl. Outsourcing)
IT-Anwendungen
• Software für das Rechnungswesen
• Änderungen in Kern-Anwendungen
• Integration Wertefluss im
Rechnungswesen
• Programmfehler in Kern-Anwendungen

Geschäft und IT
9
«Vorgehensmodell IT-rIsIkoanalyse»
In diesem Themenkreis wird die Bedeutung der Informatik für das Unternehmen ermittelt. es soll erkannt werden, wie weit
die geschäftsstrategie auf die nutzung von Informatikmitteln setzt und in welchem masse die Primärprozesse des Unter-
nehmens von der Verfügbarkeit der Informatikmittel abhängig sind.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Geschäftsstrategie und
Informatikeinsatz
Innovationsgrad beim
Informatikeinsatz
Abhängigkeit von
Verfügbarkeit der
Informatikmittel
die geschäftsstrategie
basiert wesentlich auf der
nutzung des Internets
bzw. von neuen Technologien
sowie aktivem
Informationsaustausch
über datennetze.
das Unternehmen nutzt
eine moderne und komplexe
IT-Infrastruktur und
adaptiert aufkommende
Technologien deutlich vor
der Branche.
die IT-Verfügbarkeit
ist für das geschäft
(Front geschäft resp.
Primärprozesse) ein
kritischer Faktor; die
akzeptable ausfallzeit
liegt unter 4 stunden.
die geschäftsstrategie
basiert teilweise auf der
nutzung des Internets
bzw. von neuen
Techno logien; wichtige
geschäftsprozesse
basieren auf Informationsaustausch
über datennetze.
das Unternehmen nutzt
eine komplexe IT-Infrastruktur
und adaptiert
neue Technologien ohne
Verzögerung.
die IT-Verfügbarkeit
ist für das geschäft
(Frontgeschäft resp.
Primärprozesse) wichtig;
die akzeptable ausfallzeit
liegt zwischen 4 stunden
und 2 Tagen.
die geschäftsstrategie
ist kaum von neuen
Technologien abhängig;
wichtige geschäftsprozesse
nutzen diese
Technologien aber bereits.
die geschäftsstrategie ist
nicht von neuen Technologien
(z.B. Internet oder
e-commerce) abhängig.
das Unternehmen nutzt das Unternehmen nutzt
eine umfangreiche, vor- eine unkomplizierte
wiegend aus standard- IT-Infrastruktur, die vorkomponenten
bestehende wiegend aus standard-
IT-Infrastruktur und adapkomponenten besteht; die
tiert neue Technologien IT-Infrastruktur bleibt eher
mit Verzögerung. hinter techno logi schen
entwicklungen zurück.
die IT-Verfügbarkeit die IT-Verfügbarkeit ist für
ist für das geschäft den operativen Betrieb
(Frontgeschäft resp. (Frontgeschäft) und die
Primärprozesse) bedingt internen Primärprozesse
wichtig; die akzeptable unkritisch; ein ausfall von
ausfallzeit liegt zwischen mehr als einer Woche
2 Tagen und einer Woche. scheint akzeptabel.

Interne Organisation und Kontrolle
In diesem Themenkreis werden das risikomanagement und das Interne kontrollsystem, die sensibilisierung bezüglich
Informationssicherheit, die Funktionentrennung zwischen Informatik und Fachabteilungen sowie das knowhow und die
stellvertretung im rechnungswesen bewertet.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Risikomanagement es besteht kein erkennbares
risikomanagement;
zur risikominderung
werden ad hoc-massnahmen
eingesetzt.
Internes Kontrollaystem
Awareness für
Informationssicherheit
ein Internes kontrollsystem
(Iks) ist kaum
erkennbar oder ist nicht
vorhanden.
die mitarbeiter sind über
ihre Verantwortung zur
einhaltung interner und
externer anforderungen
zur Informationssicherheit
nicht informiert.
Funktionentrennung es besteht nur eine
rudimentäre, informelle
Funktionentrennung;
es bestehen (auch im
hinblick auf die IT)
abteilungs übergreifende
Funktionen.
Stellvertretung
und Anwendungs-
Knowhow im
Rechnungswesen
Im Unternehmen besteht
nur eine rudimentäre
stellvertretung; der ausfall
von einzelpersonen
führt bereits im normalen
Tagesgeschäft zu
Problemen.
es besteht ein punktuelles,
anwendungsspezifisches
risikomanagement, das
teilweise dokumentiert
ist; daraus hervorgehende
massnahmen zur risikominderung
sind nicht
(einfach) erkennbar.
es besteht ein punktuelles,
fachbereichsspezifisches
Iks; der dokumentationsund
aktualitätsgrad ist
aber unklar.
die mitarbeiter sind über
ihre Verantwortung zur
einhaltung interner und
externer anforderungen
zur Informationssicherheit
informiert.
es besteht eine Funktionentrennung
zwischen
IT und Fachbereich;
Funktionen innerhalb der
Fachabteilungen werden
unter Umständen nicht
getrennt.
Für wichtige Positionen
sind stellvertretungen
definiert aber kaum
geschult; ein ausfall von
Personen wirkt sich nach
einigen Tagen auf das
normale Tagesgeschäft
aus; die Bewältigung von
Problemen und Zwischenfällen
ist bei einem ausfall
nicht möglich.
10
es besteht ein formalisiertes,
firmenumfassendes
risikomanagement; es ist
dokumentiert und wird
periodisch aktualisiert
und die daraus hervorgehenden
massnahmen
zur risikominderung sind
klar erkennbar.
es besteht ein formalisiertes,
firmenumfassendes
Iks; es ist dokumentiert
und wird periodisch
aktualisiert.
die mitarbeiter werden
wiederholt auf ihre
Verantwortung zur
einhaltung interner und
externer anforderungen
zur Informationssicherheit
hingewiesen und
angemessen geschult.
es wird innerhalb
der Fachbereiche
auf eine funktionale
Funktionentrennung
geachtet; diese ist in den
aufgabenbeschreibungen
dokumentiert, wird
jedoch nicht kontrolliert.
es besteht ein formalisiertes,
firmenumfassendes
risikomanagement; es ist
dokumentiert und wird
jährlich aktualisiert und
die risiken werden nachvollziehbar
gemindert.
das risikomanagement
wird durch ein Control
self assessment ergänzt.
es besteht ein formalisiertes,
firmenumfassendes
Iks; es ist dokumentiert
und wird jährlich aktualisiert.
das Iks wird durch
ein Control self assessment
ergänzt.
die mitarbeiter werden
systematisch geschult
und die einhaltung
interner und externer
anforderungen zur
Informationssicherheit
wird regelmässig geprüft.
es wird innerhalb der
Fachbereiche konsequent
auf eine funktionale
Funktionentrennung
geachtet; diese ist in den
aufgabenbeschreibungen
dokumentiert und wird
ständig kontrolliert.
Für alle wesentlichen Für alle wesentlichen
Positionen sind stell- Positionen sind stellvertretungen
vorhanden vertretungen vorhanden
und geschult; das normale und geschult, es
Tagesgeschäft ist sicher- bestehen entsprechende
gestellt, die Bewältigung dokumen tationen; das
von Problemen und normale Tagesgeschäft
Zwischenfällen jedoch und sowie eine effektive
schwierig und führt zu Problembewältigung sind
Verzögerungen. sichergestellt.

IT-Anwendungen
11
«Vorgehensmodell IT-rIsIkoanalyse»
In diesem Themenkreis werden die software für das rechnungswesen und die kern-anwendungen sowie deren Integrations-
grad und Qualität bewertet.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Software für das
Rechnungswesen
Änderungen in
Kern-Anwendungen
Integration Wertefluss
im Rechnungswesen
Programmfehler in
Kern-Anwendungen
die rechnungswesenanwendung
ist eine
eigenentwicklung.
die kern-anwendungen
wurden im letzten oder
aktuellen geschäftsjahr
ersetzt und die «alten»
datenbestände migriert.
Für kern-anwendungen
sind integrierte
lösungen mit hohem
automatisierungsgrad
implementiert; der
nachvollzug von Werte-
und datenflüssen bedingt
spezialistenwissen.
Bei den kern-anwendungen
treten häufig
Probleme auf, die mit
grossem Zeitaufwand
gelöst werden müssen.
Fehler und ausfallgründe
wiederholen sich häufig.
Für das rechnungswesen
wird parametrisierbare
standardsoftware mit
möglichkeiten zur Individualprogrammierung
eingesetzt.
Wesentliche Teile der
kern-anwendungen
wurden im letzten oder
aktuellen geschäftsjahr
ersetzt und datenbestände
migriert.
Für kern-anwendungen
sind integrierte lösungen
mit automatisierten
schnittstellen im einsatz;
Werte- und datenflüsse
sind nachvollziehbar.
Fehler in kern-anwendungen
sind selten, müssen
aber mit grossem Zeitaufwand
gelöst werden.
störungs- und ausfallgründe
wiederholen sich
kaum.
Für das rechnungswesen
wird standardsoftware
eingesetzt, welche nur
über eingeschränkte
möglichkeiten für Parametrisierung
und Individualprogrammierung
verfügt.
Wesentliche Teile der
kern-anwendungen
wurden im letzten oder
aktuellen geschäftsjahr
geändert (bspw. release-
Wechsel) oder erweitert.
Für kern-anwendungen
sind verschiedene
Insellösungen mit (Batch-)
schnittstellen im einsatz;
Werte- und datenflüsse
sind gut nachvollziehbar.
Fehler in kernanwendun
gen sind
selten und können
zeitnah gelöst werden.
Fehler und mängel sind
dokumentiert.
Für das rechnungswesen
wird standardsoftware
ohne jegliche Parametrisierung
und ohne
möglichkeiten für Individualprogrammierung
eingesetzt.
die kern-anwendungen
wurden im letzten und
aktuellen geschäftsjahr
nur geringfügig geändert
oder erweitert
es sind mehrere
funktionsspezifische
Insellösungen mit
einzelnen (Batch-)
schnittstellen im einsatz;
Werte- und datenflüsse
in anwendungen und an
schnittstellen sind anhand
von auswertungen und
schnittstellenprotokollen
nachvollziehbar dokumentiert.
Fehler in kernanwendun
gen sind sehr
selten; Fehler und mängel
werden systematisch,
zeitnah und nachhaltig
gelöst sowie nachvollziehbar
dokumentiert.

IT-Betrieb
In diesem Themenkreis werden die Betriebssicherheit der Informatikmittel sowie die personelle situation (stellvertretung /
abhängigkeit von externen) im Informatikbereich bewertet.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Betriebssicherheit der
Informatikmittel
Stellvertretung in der
Informatikabteilung
Abhängigkeit von
externem Personal
(inkl. Outsourcing-
Partnern)
die IT-mittel (server,
Clients, netzwerk und
Peripherie) sind häufigen
störungen und ausfällen
ausgesetzt; diese wirken
sich auf den gesamten
geschäftsbetrieb aus.
es besteht innerhalb der
IT nur eine rudimentäre
stellvertretungsregelung;
der ausfall von einzelpersonen
führt bereits im
normalen IT-Betrieb zu
Problemen.
das Unternehmen
ist beim Betrieb der
IT weitgehend von
externer Unterstützung
abhängig; insbesondere
bei Proble men ist eine
externe Unterstützung
unabdingbar.
die IT-mittel sind wiederholt
störungen und ausfällen
ausgesetzt; diese
wirken sich auf den gesamten
geschäftsbetrieb
aus.
Für die wichtigsten
Positionen innerhalb der
IT sind stellvertretungen
definiert aber kaum
geschult; der ausfall von
einzelpersonen wirkt sich
nach einigen Tagen auf
den IT-Betrieb aus und
die Bewältigung von
IT-Problemen ist nicht
möglich.
der normalbetrieb
der IT ist ohne externe
Unterstützung
weitgehend möglich;
Fehler oder Probleme
sind ohne externe
Unterstützung kaum
lösbar.
12
die IT-mittel sind kaum
störungen und ausfällen
ausgesetzt; diese wirken
sich nur bedingt auf den
geschäftsbetrieb aus.
Für alle wesentlichen
Positionen innerhalb der
IT sind stellvertretungen
vorhanden und geschult,
aber nicht dokumentiert;
der IT-Betrieb ist sichergestellt,
die Bewältigung
von IT-Problemen ohne
diese Personen jedoch
schwierig.
der normalbetrieb
der IT ist auch ohne
externe Unterstützung
sichergestellt; bei
Fehlern oder Problemen
muss teilweise auf
externe Unterstützung
zurückgegriffen werden.
die IT-mittel sind nur
selten störungen und
ausfällen ausgesetzt;
diese wirken sich nur
auf Teile des geschäftsbetriebs
aus.
Für alle wesentlichen
Positionen innerhalb der
IT sind stellvertretungen
vorhanden und
geschult, es bestehen
ent sprechende dokumen
tationen; der
IT-Betrieb und eine
effektive Bewältigung
von IT-Problemen sind
sichergestellt.
der normalbetrieb und
die Problemhandhabung
sind jederzeit ohne
externe Unterstützung
gewährleistet; eine
externe Unterstützung ist
nur in krisensituationen
erforderlich.
Letzte IT-Prüfung (Zeitrisiko)
dieses kriterium zeigt, zu welchem Zeitpunkt der Informatikeinsatz im Unternehmen letztmals von einem unabhängigen
experten beurteilt wurde.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Letzte IT-Prüfung es wurde noch nie eine IT-
Prüfung durchgeführt.
Ausfüllen des Fragebogens
eine IT-Prüfung wurde
letztmals vor mehr als 5
Jahren durchgeführt.
eine IT-Prüfung wurde
letztmals vor einigen
Jahren durchgeführt.
eine IT-Prüfung wurde im
vergangenen geschäftsjahr
durchgeführt.
Für jedes der 16 kriterien wird aus den vier «antworten» diejenige bestimmt, die den aktuellen gegebenheiten im Unternehmen
am besten entspricht.
Bewertungen «zwischen» den maturitätsstufen (1 – 2, 2 – 3 und 3 – 4) sollten nicht vorgenommen werden, da sie kaum
einen nutzen bieten. Im Zweifelsfall sollte die niedrigere stufe gewählt werden, da dies das Prüfungsrisiko reduziert.

Interpretation der Erkenntnisse / Bewertung
13
«Vorgehensmodell IT-rIsIkoanalyse»
die Interpretation des Fragebogens erfolgt anhand der maturitätsstufen. eine maturitätsstufe entspricht bei der Bewertung
der Phase I nicht unbedingt einem technischen oder organisatorischen reifegrad sondern einem potentiellen risikofaktor.
Bspw. setzt sich ein Unternehmen mit einem Innovationsgrad (Frage 2) der stufe 1 (d.h. mit sehr früher adaption neuer
IT-Technologien) sicher einem höheren risiko aus als eines mit stufe 4 (d.h. mit konservativer adaption, standardisierter und
wenig moderner IT).
die autoren des «Vorgehensmodells IT-risikoanalyse» gehen aufgrund ihrer kenntnisse und erfahrungen davon aus, dass
einstufungen im Bereich der maturitätsstufen 4 und 3 auf geringe risiken hinweisen; demgegenüber weisen einstufungen
im Bereich der maturitätsstufen 2 und 1 auf erhebliche bis hohe risiken hin.
Berichterstattung
Für die Berichterstattung über die Phase 1 besteht eine effiziente und gut visualisierbare lösung darin, die Bewertung
(stufe) direkt im Fragebogen durch einfärben der zutreffenden «antwort» in entsprechenden Farben (z.B. 1 = rot, 2 = gelb,
3 = hellgrün und 4 = dunkelgrün) zu dokumentieren.
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4
Geschäftsstrategie und
Informatikeinsatz
die geschäftsstrategie basiert wesentlich auf der
nutzung des Internets bzw. von neuen Technologien
sowie aktivem Infor mations austausch über
daten netze.
die geschäftsstrategie basiert teilweise auf der nutzung
des Internets bzw. von neuen Techno logien; wichtige
geschäfts prozesse basieren auf Informationsaustausch
über datennetze.
die geschäftsstrategie ist kaum von neuen Technologien
abhängig; wichtige geschäfts prozesse nutzen diese
Techno logien aber bereits.
die geschäftsstrategie ist nicht von neuen Technologien (z.B.
Internet oder e-commerce) abhängig.
Innovationsgrad beim das Unternehmen nutzt eine moderne und komplexe das Unternehmen nutzt eine komplexe IT-Infrastruktur und das Unternehmen nutzt eine umfangreiche, vorwiegend das Unternehmen nutzt eine unkomplizierte IT-Infrastruktur, die
Informatikeinsatz
IT-Infrastruktur und adaptiert aufkommende adaptiert neue Technologien ohne Verzögerung. aus standardkompo nenten bestehende IT-Infrastruktur vorwiegend aus standard komponenten besteht; die IT-Infra-
Technologien deutlich vor der Branche.
und adaptiert neue Technologien mit Verzögerung. struktur bleibt hinter technologischen entwicklungen zurück.
Abhängigkeit von
die IT-Verfügbarkeit ist für das geschäft (Front- die IT-Verfügbarkeit ist für das geschäft (Frontgeschäft die IT-Verfügbarkeit ist für das geschäft (Frontgeschäft die IT-Verfügbarkeit ist für den operativen Betrieb (Frontgeschäft)
Verfügbarkeit der
geschäft resp. Primärprozesse) ein kritischer Faktor; resp. Primärprozesse) wichtig; die akzeptable ausfallzeit resp. Primärprozesse) bedingt wichtig; die akzeptable und die internen Primärprozesse unkritisch; ein ausfall von mehr
Informatikmittel
die akzeptable ausfall zeit liegt unter 4 stunden. liegt zwischen 4 stunden und 2 Tagen.
ausfallzeit liegt zwischen 2 Tagen und einer Woche. als einer Wochen scheint akzeptabel.
Risikomanagement es besteht kein erkennbares risikomana gement; es besteht ein punktuelles, anwendungs spezifisches es besteht ein formalisiertes, firmenum fassendes es besteht ein formalisiertes, firmenumfassen des risikomana-
zur risikominderung werden ad hoc-massnahmen risikomanagement, das teilweise dokumentiert ist; daraus risikomanagement; es ist doku mentiert und wird ge ment; es ist dokumentiert und wird jährlich aktualisiert und
eingesetzt.
hervor gehende massnahmen zur risiko minderung sind periodisch aktualisiert und die daraus hervorgehenden die risiken werden nachvollziehbar gemindert. das risikomana-
nicht (einfach) erkennbar.
mass nahmen zur risikominderung sind klar erkennbar. gement wird durch ein Control self assessment ergänzt.
Internes Kontrollsystem ein internes kontrollsystem (Iks) ist kaum erkennbar es besteht ein punktuelles, fachbereichs-spezifisches Iks; es besteht ein formalisiertes, firmenum fassendes Iks; es es besteht ein formalisiertes, firmenumfassendes Iks; es ist
oder ist nicht vorhanden.
der dokumentations- und aktualitätsgrad ist aber unklar. ist dokumentiert und wird periodisch aktualisiert. dokumentiert und wird jährlich aktualisiert. das Iks wird durch
ein Control self assessment ergänzt.
Awareness für
die mitarbeiter sind über ihre Verantwortung zur die mitarbeiter sind über ihre Verantwortung zur die mitarbeiter werden wiederholt auf ihre Verant- die mitarbeiter werden systematisch geschult und die einhaltung
Informationssicherheit einhaltung interner und externer anforderungen zur einhaltung interner und externer anforderungen zur wor tung zur einhaltung interner und externer
interner und externer anforderungen zur Informationssicherheit
Informationssicherheit nicht informiert.
Informationssicherheit informiert.
anforderungen zur Informations sicherheit hingewiesen
und angemessen geschult.
wird regelmässig geprüft.
Funktionentrennung es besteht nur eine rudimentäre, infor melle es besteht eine Funktionentrennung zwischen IT und es wird innerhalb der Fachbereiche auf eine funktionale es wird innerhalb der Fachbereiche konsequent auf eine
Funktionentrennung; es bestehen (auch im hinblick Fachbereich; Funktionen innerhalb der Fachabteilungen Funktionentrennung geachtet; diese ist in den
funktionale Funktionentrennung geachtet; diese ist in den
auf die IT) abteilungs übergreifende Funktionen. werden unter Umständen nicht getrennt.
aufgabenbe schreibungen dokumentiert, wird jedoch aufgabenbeschreibungen dokumentiert und wird ständig
nicht kontrolliert.
kontrolliert.
Stellvertretung und
Im Unternehmen besteht nur eine rudimentäre Für wichtige Positionen sind stellvertre tungen definiert Für alle wesentlichen Positionen sind stellvertretungen Für alle wesentlichen Positionen sind stellvertretungen vor-
Anwendungs-Knowhow stellvertretung; der ausfall von einzelpersonen führt aber kaum geschult; ein ausfall von Personen wirkt sich vorhanden und geschult; das normale Tagesgeschäft handen und geschult, es bestehen entsprechende dokumen-
im Rechnungswesen
bereits im normalen Tagesgeschäft zu Problemen. nach einigen Tagen auf das normale Tagesgeschäft aus; ist sichergestellt, die Bewältigung von Problemen tationen; das normale Tagesgeschäft und sowie eine effektive
die Bewältigung von Problemen und Zwischenfällen ist bei und Zwischenfällen jedoch schwierig und führt zu Problembewältigung sind sichergestellt.
einem ausfall nicht möglich.
Verzögerungen.
Software für das
die rechnungswesen-anwendung ist eine
Für das rechnungswesen wird parametrisierbare Für das rechnungswesen wird standardsoftware einge- Für das rechnungswesen wird standard software ohne jegliche
Rechnungswesen
eigenentwicklung.
standardsoftware mit möglich keiten zur Individualprosetzt, welche nur über eingeschränkte möglichkeiten für Parametrisierung und ohne möglichkeiten für Individualprogrammierung
eingesetzt.
Parametrisierung und Individualprogrammie rung verfügt. grammierung eingesetzt.
Änderungen in
die kern-anwendungen wurden im letzten oder Wesentliche Teile der kern-anwendungen wurden im Wesentliche Teile der kern-anwendungen wurden im die kern-anwendungen wurden im letzten und aktuellen
Kern-Anwendungen
aktuellen geschäftsjahr ersetzt und die «alten» letzten oder aktuellen geschäftsjahr ersetzt und die letzten oder aktuellen geschäftsjahr geändert (bspw. geschäftsjahr nur geringfügig geändert oder erweitert
datenbestände migriert.
datenbestände migriert.
release-Wechsel) oder erweitert.
Integration Wertefluss Für kern-anwendungen sind integrierte lösungen Für kern-anwendungen sind integrierte lösungen mit Für kern-anwendungen sind verschiedene Insellösungen es sind mehrere funktionsspezifische Insellösungen mit einzelnen
im Rechnungswesen
mit hohem automatisierungs grad implementiert; der automatisierten schnitt stellen im einsatz; Werte- und mit (Batch-) schnittstellen im einsatz; Werte- und (Batch-) schnittstellen im einsatz; Werte- und datenflüsse
nachvollzug von Werte- und datenflüssen bedingt datenflüsse sind nachvollziehbar.
datenflüsse sind gut nachvollziehbar.
in an wendungen und an schnittstellen sind anhand von
spezia listenwissen.
aus wer tungen und schnittstellenprotokollen nachvollziehbar
dokumentiert.
Programmfehler in
Bei den kern-anwendungen treten häufig Probleme Fehler in kern-anwendungen sind selten, müssen aber Fehler in kern-anwendungen sind selten und können Fehler in kern-anwendungen sind sehr selten; Fehler und
Kern-Anwendungen
auf, die mit grossem Zeitauf wand gelöst werden mit grossem Zeitaufwand gelöst werden. störungs- und zeitnah gelöst werden. Fehler und mängel sind mängel werden syste matisch, zeitnah und nachhaltig gelöst
müssen. Fehler und ausfallgründe wiederholen
sich häufig.
ausfallgründe wiederholen sich kaum.
dokumentiert.
sowie nachvollziehbar dokumentiert.
Betriebssicherheit der die IT-mittel (server, Clients, netzwerk und
die IT-mittel sind wiederholt störungen und ausfällen die IT-mittel sind kaum störungen und ausfällen aus- die IT-mittel sind nur selten störungen und aus fällen ausgesetzt;
Informatikmittel
Peripherie) sind häufigen störungen und ausfällen ausgesetzt; diese wirken sich auf den gesamten
gesetzt; diese wirken sich nur bedingt auf den
diese wirken sich nur auf Teile des geschäftsbetriebs aus.
ausgesetzt; diese wirken sich auf den gesamten
geschäftsbetrieb aus.
geschäftsbetrieb aus.
geschäftsbetrieb aus.
Stellvertretung in der es besteht innerhalb der IT nur eine rudimentäre stell- Für die wichtigsten Positionen innerhalb der IT sind Für alle wesentlichen Positionen innerhalb der IT sind Für alle wesentlichen Positionen innerhalb der IT sind
Informatikabteilung
vertretungsregelung; der ausfall von einzelpersonen stell vertretungen definiert aber kaum geschult; der ausfall stellvertretungen vorhanden und geschult, aber nicht stell vertretungen vorhanden und geschult, es bestehen
führt bereits im normalen IT-Betrieb zu Problemen. von einzel personen wirkt sich nach einigen Tagen auf dokumentiert; der IT-Betrieb ist sichergestellt, die entsprechende dokumentationen; der IT-Betrieb und eine
den IT-Betrieb aus und die Bewältigung von IT-Problemen Bewältigung von IT-Problemen ohne diese Personen effektive Bewältigung von IT-Problemen sind sichergestellt.
ist nicht möglich.
jedoch schwierig.
Abhängigkeit von externem das Unternehmen ist beim Betrieb der IT weitgehend der normalbetrieb der IT ist ohne externe Unterstützung der normalbetrieb der IT ist auch ohne externe der normalbetrieb und die Problemhand habung sind jederzeit
Personal (inkl. Outsourcing- von externer Unterstützung abhängig; insbesondere weitgehend möglich; Fehler oder Probleme sind ohne Unterstützung sichergestellt; bei Fehlern oder
ohne externe Unterstützung gewährleistet; eine externe
Partnern)
bei Problemen ist eine externe Unterstützung externe Unterstützung kaum lösbar.
Problemen muss teilweise auf externe Unterstützung Unterstützung ist nur in krisensituationen erforderlich.
unabdingbar.
zurückgegriffen werden.
Zeitpunkt der letzten es wurde noch nie eine IT-Prüfung durchgeführt. eine IT-Prüfung wurde letztmals vor mehr als 5 Jahren eine IT-Prüfung wurde letztmals vor einigen Jahren eine IT-Prüfung wurde im vergangenen geschäftsjahr
unabhängigen Beurteilung
Informatik
durchgeführt.
durchgeführt.
durchgeführt.
die erkenntnisse aus der Phase 1 können so auf einer einzigen seite zusammenfassend dokumentiert werden. da bei dieser
darstellungsart die Beschreibungen aller vier maturitätsstufen ersichtlich sind, ist auch ein rascher Vergleich der eigenen
Verhältnisse mit denjenigen der benachbarten (höheren / tieferen) maturitätsstufen möglich.

neben der umseitigen tabellarischen darstellung der ergebnisse eignet sich für die erkennung der abhängigkeit des
Unternehmens von seiner IT auch sehr gut ein sogenanntes «spinnendiagramm» – nachfolgend je einmal für ein einzel-
unternehmen (links) sowie für vier verschiedene Unternehmen (rechts):
Stellvertretung IT
Betriebssicherheit
IT
Programmfehler
Zeitrisiko IT-Prüfung
Abhängigkeit extern
REWE-Integrationsgrad
Kern-Anwendungen
abb: darstellung aller 16 kriterien abb: Zusammenfassende darstellung der 5 Themenkreise
Empfehlungen zum weiteren Vorgehen
Wenn ein oder mehrere kriterien im Bereich der maturitätsstufen 2 und 1 liegen resp. in den Farben gelb und rot eingestuft
werden, erachten die autoren das einleiten der Phase 2 und damit eine vertiefe erhebung und Beurteilung des Informatik-
einsatzes als angezeigt.
Strategie und IT
4
3.5
3
2.5
2
1.5
1
0.5
0
REWE-SW
Innovation IT
Awareness
Abhängigkeit IT
letztlich obliegt es dem Wirtschaftsprüfer resp. dessen «Professional Judgement», die in der Phase 1 gewonnenen
erkenntnisse zu risiken und abhängigkeiten im Zusammenhang mit dem Informatikeinsatz hinsichtlich deren Bedeutung
für die abschlussprüfung zu bewerten. dazu kann es sinnvoll sein, die erkenntnisse und die notwendigkeit einer vertiefen
erhebung und Beurteilung des Informatikeinsatzes mit einem erfahrenen IT-Prüfer zu besprechen.
IKS
Risikomanagement
Funktionentrennung
Stellvertretung
14
Zeitrisiko
Interne Organisation
und Kontrolle
Geschäft und IT
3.0
2.5
2.0
1.5
1.0
0.5
0.0
IT-Betrieb
IT-Anwendungen
Bank Treuhand Spital Industrie

5 Phase 2: Erhebung Informatikeinsatz
Positionierung
15
«Vorgehensmodell IT-rIsIkoanalyse»
Bei der Phase 2 handelt es sich um eine breit angelegte und angemessen detaillierte erhebung der stark- und schwach-
stellen im Zusammenhang mit dem Informatikeinsatz. die Bearbeitung der Fragen resp. des Fragebogens von Phase 2 kann
im rahmen der strategischen Prüfungsplanung oder auch im rahmen der (Zwischen-) revision erfolgen.
die erkenntnisse aus der Phase 2 können bezüglich den im Ps 890 angesprochenen «generellen Informatik- (IT-)
kontrollen» zur abschliessenden Beurteilung dienen – sie können aber auch die notwendigkeit einer umfassenden und/
oder tief gehenden erhebung und Beurteilung des Informatikeinsatzes insgesamt oder von spezifischen Prüffeldern mit
Fakten belegen.
Vorgehen und Beteiligte
die erhebungen zur Phase 2 sollten von einem mit Informatikprüfungen vertrauten Wirtschaftsprüfer oder von einem IT-
Prüfer vorgenommen werden. sie umfassen, neben einer Besichtigung der IT-Infrastruktur und dem einblick in vorhandene
Unterlagen, vertiefende gespräche mit Vertretern aus dem Informatikbereich des Unternehmens.
Für die erhebungen «vor ort» inkl. Bearbeiten des Fragebogens rechnen wir mit einem aufwand von ca. 1 Tag; der
aufwand ist stark abhängig vom Umfang des Informatikeinsatzes und der anzahl einzubeziehender gesprächspartner.
nach abschluss der Phase 2 können verlässliche aussagen zu vorhandenen risiken im Informatikbereich und konkreten
schwachstellen gemacht werden. darauf basierend kann beurteilt werden, ob und in welchen Prüffeldern eine umfassende
Informatikrevision angezeigt ist.
Fragebogen / Kriterien (➔ Details siehe Anhang 2)
der Fragebogen der Phase 2 umfasst 20 Themenbereiche mit durchschnittlich 4 Prüfpunkten; er deckt nach einschätzung
der autoren die im schweizer Prüfungsstandard Ps 890 «Prüfung der existenz des internen kontrollsystems» angespro-
chenen «generellen IT-kontrollen» vollumfänglich ab resp. geht in einzelnen Bereichen zur reduktion des Prüfungsrisikos
bewusst darüber hinaus.
der Fragebogen beinhaltet insgesamt rund 90 Kriterien (Prüfpunkte) zu folgenden Themenbereichen:
• IT-relevante dokumentation
• Zugriffsschutz
• organisation der IT
• IT-sicherheit
• IT-governance
• Physische sicherheit
• IT-risikomanagement
• IT-Betrieb
• Compliance
• Problem-management
• IT-Projektmanagement
• datensicherung
• software-entwicklung und -Änderungen
• outsourcing (falls relevant)
• Testen von IT-anwendungen
• rechnungswesen
• anwender-richtlinien
• direkte anwendungskontrollen
• anwender-ausbildung
• Unterstützende anwendungskontrollen)

Bei einem grossen Teil der aufgeführten Themenbereiche handelt es sich um generelle IT-kontrollen; zusätzlich werden
weitere Bereiche erhoben, welche für den Wirtschaftsprüfer wichtig sind und eine genauere erkennung von ggf. vorhan-
denen schwachstellen und risiken ermöglichen.
Ausfüllen des Fragebogens
Für jedes kriterium wird aus den vier «antworten» diejenige bestimmt, die den aktuellen gegebenheiten im Unternehmen
am besten entspricht. die Bewertung (stufe) wird in der spalte «stufe» des Fragebogens festgehalten oder direkt durch
ankreuzen der entsprechenden «antwort» festgehalten.
Für die Beurteilung und die Berichterstattung ist es sinnvoll, in der spalte «Feststellung / Beurteilung / empfehlung» ergän-
zende hinweise zu machen; solche hinweise werden idealerweise mit einem «F» für Feststellung, «B» für Beurteilung und
«e» für empfehlung gekennzeichnet.
Bewertungen «zwischen» den maturitätsstufen (1 – 2, 2 – 3 und 3 – 4) sollten nicht vorgenommen werden; die autoren
empfehlen, zur reduktion des Prüfungsrisikos im Zweifelsfall die tiefere stufe zu wählen (also z.B. statt 1 – 2 die 1).
Wenn ein kriterium nicht relevant ist für das Unternehmen (bspw. die Fragen zum outsourcing), kann in der spalte «stufe»
des Fragebogens der Wert «n.a.» (nicht anwendbar) eingetragen werden.
Interpretation der Erkenntnisse / Bewertung
die Interpretation des Fragebogens erfolgt anhand der maturitätsstufen; diese entsprechen aber – im gegensatz zur Phase 1
– eher einem technischen oder organisatorischen reifegrad und nicht unbedingt einem potentiellen risikofaktor. es besteht
aber nachweislich ein Zusammenhang zwischen der Prozess-maturität und dem jeweiligen risiko.
die autoren des Vorgehensmodells IT-risikoanalyse gehen aufgrund ihrer kenntnisse und erfahrungen davon aus, dass
einstufungen im Bereich der maturitätsstufen 4 und 3 auf einen guten reifegrad und geringe risiken hinweisen. demge-
genüber weisen einstufungen im Bereich der maturitätsstufen 2 und 1 auf einen ungenügenden reifegrad resp. erhebliche
bis hohe risiken hin.
16

Berichterstattung
17
«Vorgehensmodell IT-rIsIkoanalyse»
angesichts des Umfanges des Fragebogens sehen wir verschiedene ansätze zur Berichterstattung über die Phase 2; im
Folgenden beschreiben wir zwei von uns mehrfach erprobte Varianten.
Fokus auf detaillierte Darstellung IST-Zustand
eine umfassende Berichterstattung ist durch einfärben der pro kriterium zutreffenden antwort oder der spalte «stufe» in
der passenden Farbe (1 = rot, 2 = gelb, 3 = hellgrün und 4 = dunkelgrün) möglich.
IT-relevante Dokumentation
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Übersicht IT-
Infrastruktur
Hardware-
Inventare
Software-
Inventare
Verträge und
Dienstleistungsvereinbarungen
es besteht keine Übersicht
über die Informatik-Infrastruktur.
es besteht kein hardware-
Inventar.
es besteht kein software-
Inventar.
es bestehen kaum Verträge
zwischen dem Informatikbereich
und dritten,
obwohl leistungen bezogen
werden.
die erkenntnisse aus der Phase 2 können so d.h. pro kriterium mit stark- und schwachstellen auf ca. 10 seiten (Format a4)
umfassend visualisiert werden. eine «inhaltliche» Beurteilung ist anhand der Beschreibungen zu den einzelnen stufen sowie
zusätzlich über die spalte «Feststellung / Beurteilung / empfehlung» gegeben.
Fokus auf Darstellung Handlungsbedarf
es besteht eine veraltete
(älter als 1 jahr) Übersicht
über die Informatik-Infrastruktur.
es besteht ein veraltetes
(älter als 1 Jahr) hardware-
Inventar.
es besteht ein veraltetes
(älter als 1 Jahr) software-
Inventar.
es bestehen eine Übersicht/
Zusammenstellung von im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner);
diese ist jedoch unvollständig
und nicht aktuell.
Wenn primär eine aussage zum «handlungsbedarf» gefragt ist, kann der Umfang der Berichterstattung dadurch reduziert
werden, dass alle kriterien mit Bewertungen den stufen 3 und 4 (gute kontrolle / wenig risiko) sowie «n.a.» (nicht anwend-
bar) «unterdrückt» werden. die bestehenden schwachstellen und damit der handlungsbedarf können so, je nach situation,
auf einigen wenigen seiten (Format a4) zusammengefasst werden.
eine aktuelle Übersicht der eine aktuelle Übersicht
wesentlichen komponenten der gesamten Informatikder
Informatik-Infrastruktur Infra struktur (systeme
(systeme und Vernetzung) und Ver netzung) besteht.
besteht. Beschaffungs-, Pro- Beschaffungs-, Projekt- und
jekt- und Änderungsprozes- Änderungsprozesse beinhalse
führen nicht zwangsläufig ten die zwingende aktuali-
zu einer aktualisierung sierung dieser Übersicht.
dieser Übersicht.
ein hardware-Inventar wird
aktuell geführt; Beschaffungsprozesse
stellen jedoch
die zwingende aktualisierung
dieses Inventars nicht
sicher.
ein hardware-Inventar wird
aktuell und vollständig
geführt. Beschaffungs- und
Projektprozesse beinhalten
die zwingende aktualisierung
dieses Inventars sowie
anpassung/abschluss allfälliger
Wartungsverträge.
ein software-Inventar (auch ein software-Inventar (auch
für die lizenzkontrolle) wird für die lizenzkontrolle)
aktuell geführt; Beschaf- wird aktuell und vollständig
fungsprozesse stellen jedoch geführt. Beschaffungs- und
die zwingende aktualisie- Projektprozesse beinhalten
rung dieses Inventars nicht die zwingende aktualisie-
sicher.
rung dieses Inventars sowie
die klärung allfälliger lizenzierungs-
und nachlizenzierungsfragen.
es besteht eine Übersicht/
Zusammenstellung aller im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner).
es besteht eine Übersicht/
Zusammenstellung aller im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner).
sie wird zentral und aktuell
geführt und beinhaltet alle
Verträge sowie zugehörigen
dokumente wie sla usw.
Feststellungen
Auswirkungen
Empfehlungen

Grafische Darstellung IST-Zustand
Für die Praxis erscheint den autoren als zweckmässig, wenn eine Zusammenfassung der Bewertungen pro Themenbereich
gemacht und bspw. in einem kreisdiagramm dargestellt wird. durch entsprechende Farbgebung können der IsT-Zustand
(hier grün) und der «potentielle» handlungsbedarf (hier rot) sehr gut visualisiert werden.
IT-relevante Dokumentationen
unterstützende Anwendungskontrolle
4
Organisation der IT
direkte Anwendungskontrolle
Rechnungswesen-Anwendung
Outsourcing
Datensicherung
Problem Management
IT-Betrieb
Physische Sicherheit
Ergänzender Kurzbericht
IT-Sicherheit
3.5
3
2.5
2
1.5
1
0.5
0
Zugriffschutz
IT-Governance
18
Compliance
IT-Risikomanagement
IT-Projektmanagement
Software-Entwicklung
Testen von IT-Anwendungen
Anwender-Richtlinien
Anwender-Ausbildung
es erscheint den autoren als zweckdienlich, wenn die wesentlichen stark- und schwachstellen sowie die wichtigsten
empfehlungen zur optimierung der situation in einem kurzbericht zuhanden von management, Verwaltungsrat und
Wirtschaftsprüfer zusammengefasst werden.
der kurzbericht ist eine wertvolle ergänzung zur oben skizzierten grafischen darstellung des IsT-Zustandes und ermöglicht
es, eine gesamt-Beurteilung zum aktuellen stand und handlungsbedarf abzugeben sowie ggf. die notwendigkeit einer
detaillierten IT-Prüfung zu begründen.
Empfehlungen zum weiteren Vorgehen
Wenn eine grössere Zahl von kriterien im Bereich der maturitätsstufen 2 und 1 eingestuft werden, erachten die autoren das
einleiten einer umfassenden Informatikrevision resp. eine weiter gehende Prüfung des Informatikeinsatzes insgesamt oder
von spezifischen Prüffeldern als angezeigt.
letztlich obliegt es dem Wirtschaftsprüfer resp. dessen «Professional Judgement» – bevorzugt im gespräch mit einem
erfahrenen IT-Prüfer – die in den Phasen 1 und 2 gewonnenen erkenntnisse zum Informatikeinsatz sowie die damit einher
gehenden schwachstellen und risiken hinsichtlich deren Bedeutung für die abschlussprüfung zu bewerten.

6 IT-Check als «Kombination» der Phasen 1 und 2
Grundsätzliche Überlegungen
19
«Vorgehensmodell IT-rIsIkoanalyse»
die Inhalte der beiden Phasen 1 und 2 können, insbesondere wenn die erhebungen beider Phasen gleichzeitig und von
demselben Prüfer durchgeführt werden, kostengünstig zu einem IT-Check zusammengefasst werden.
mit vertretbarem aufwand (oft genügt 1 Tag «vor ort») …
• wird klarheit gewonnen über die Bedeutung der Informatik für das Unternehmen und die mit dem Informatikeinsatz
verbundenen risiken;
• werden stark- und schwachstellen in der Informatik-organisation und den Informatik-Prozessen identifiziert und die
«güte» der Informatik generell sowie die im Ps 890 angesprochenen «generellen Informatik- (IT-) kontrollen» abschliessend
beurteilt;
• werden die kern-anwendungen inkl. den wesentlichen Werte- und datenflüsse (IT-relevante schnittstellen) sowie die
ansprechpartner für deren nutzung, Pflege und Betrieb dokumentiert und grob beurteilt.
Ablauf
Vorbereitung
• dem kunden den Fragebogen Phase 1 vorgängig schicken und ihn bitten, eine einschätzung der risiken (self assessment)
aus seiner sicht vorzunehmen, die dann bei den erhebungen «vor ort» gemeinsam diskutiert wird.
• dem kunden den Fragebogen Phase 2 ebenfalls vorgängig schicken, damit er die erhebungen «vor ort» vorbereiten
(bspw. Unterlagen bereitstellen oder weitere mitarbeitende beiziehen) kann.
Durchführung
1. eröffnungsgespräch führen
grundlagen zur IT-organisation und zum IT-einsatz erheben
2. rundgang machen
Überblick zur IT-Infrastruktur gewinnen
3. Fragebogen Phase 1 besprechen
Bedeutung der Informatik für das rechnungswesen und das Unternehmen erkennen sowie risiko-einschätzung des
kunden hinterfragen
4. Fragebogen Phase 2 durcharbeiten
stark- und schwachstellen in IT-organisation und -Prozessen erkennen; «reife» der Informatik einschätzen
5. kern-anwendungen erheben
Übersicht über kern-anwendungen sowie wesentliche Werte- und datenflüsse (schnittstellen) gewinnen; finanzrelevante
anwendungen kategorisieren (standard-, angepasste standard- oder Individual-software); ansprechpartner für deren
nutzung, Pflege und Betrieb erheben
6. kurzes Feedback (mündlich)
anmerkung: die erhebung der kern-anwendungen (schritt 5) ist ein eigenständiger arbeitsschritt, der in diesem Vor-
gehensmodell nicht vertieft behandelt wird. er ist im «Vorgehensmodell anwendungsprüfung» im detail beschrieben.

Berichterstattung / Kurzbericht
• management-summary mit wesentlichen Feststellungen und handlungsbedarf
• Übersicht zu IT-organisation und -einsatz sowie den kern-anwendungen
• erkenntnisse (Feststellungen, Beurteilung und ggf. empfehlungen) zu IT-organisation und -Prozessen
• erkenntnisse (Feststellungen, Beurteilung und ggf. empfehlungen) zu den kern-anwendungen
• erkenntnisse aus dem self assessment (Fragebogen Phase 1)
In der Praxis hat sich bewährt, pro Themenbereich eine separate darstellung der ergebnisse aufzuführen, wie das am nachfol-
genden Beispiel verdeutlicht wird. eine dermassen detaillierte darstellung kann aber nicht das ergebnis einer eintägigen Bewer-
tung sein: Typischerweise ist für einen kurzbericht mit einem leicht erhöhten aufwand für die eigentliche erhebung der Informa-
tionen und einem deutlich erhöhten aufwand für den kurzbericht zu rechnen. der Wirtschaftsprüfer erhält aber eine präzisere
Basis für seine strategische Prüfungsplanung – und der betroffene kunde erhält eindeutig einen wesentlichen mehrwert.
4.14 Datensicherung
Feststellungen
Es besteht ein schriftliches Sicherungskonzept, datiert vom Januar 200x; dieses wurde nicht formell genehmigt. An Werktagen werden vollständige Sicherungen erstellt,
wobei für den Freitag 4 Tapes vorhanden sind (Woche 1 – 4). Wiederherstellungstests zur Überprüfung der Lesbarkeit werden keine durchgeführt. Die Backup-Bänder
werden nicht ausser Haus gelagert, sondern in einer Schublade des zuständigen IT-Verantwortlichen. Ein IT-Notfallplan existiert nicht.
Ermittelter Reifegrad
SicherungskonzeptSicherungsprozessWiederherstellungstest
IT-Notfallplan
Datenauslagerung
Ein Datensicherungskonzept ist dokumentiert und wird in der Regel
angewendet; es wurde aber nIe formell verabschiedet.
Es werden tägliche Sicherungen durchgeführt, aber nicht auf
Vollständigkeit überprüft.
Es werden keine systematischen Testszum Zurückladen der Sicherungen
durchgeführt.
Es wurden kaum Überlegungen zum Thema IT-Notfallplan angestellt.
Es werden keine ausreichend aktuellen Datensicherungen an einem
Standort ausserhalb des Unternehmens aufbewahrt.
abb: detaillierte textliche darstellung der resultate (Beispiel)
Nutzen für den Wirtschaftsprüfer
Bei mandaten resp. kunden, die der ordentlichen Revision unterliegen:
• ist die Beurteilung der IT-risiken ein Teil der strategischen Prüfungsplanung;
• können die im Ps 890 angesprochenen «generellen Informatik- (IT-) kontrollen» abschliessend beurteilt werden;
• liefert ein IT-Check verlässliche und nachprüfbare erkenntnisse für die Bestimmung der in eine umfassende Informatikrevision
einzubeziehenden Prüffelder – oder aber klare argumente für deren Weglassen oder hinausschieben.
Bei mandaten resp. kunden, die der eingeschränkten Revision unterliegen:
• ist die Beurteilung der IT-risiken zwar freiwillig aber, angesichts der oftmals erheblichen abhängigkeit von der Informatik,
trotzdem sinnvoll und oft ein Türöffner für vertiefte Untersuchungen (aus optik revision);
• liefert ein IT-Check verlässliche und nachprüfbare erkenntnisse für die Bestimmung der in eine umfassende Informatikrevision
einzubeziehenden Prüffelder.
ein IT-Check ist zudem immer sinnvoll, wenn eine hohe oder unklare abhängigkeit von der Informatik besteht sowie wenn
wesentliche Teile der Informatik ausgelagert sind.
20
Handlungsbedarf
• formelle Verabschiedung des Backup-Konzeptes
• Durchführung regelmässiger Wiederherstellungstests
• Auslagerung der Bänder ausser Haus
• Definition eines IT-Notfallplans
Risiken
• Unvollständige Datenwiederherstellung im Schadenfall
• Datenwiederherstellung nicht in der geforderten Zeit
• Datenverlust im Katastrophenfall
• Gefährdete Fortsetzung des lI-Betriebes

7 Hinweise zu umfassenderen Informatikrevisionen
Ausgangslage
21
«Vorgehensmodell IT-rIsIkoanalyse»
nach abschluss der Phase 2 können verlässliche aussagen zum technischen oder organisatorischen reifegrad sowie den
vorhandenen risiken im Informatikbereich gemacht und begründet werden.
darauf basierend kann der Wirtschaftsprüfer – bevorzugt im gespräch mit einem erfahrenen IT-Prüfer – entscheiden, ob
und für welche Prüffelder eine umfassende Informatikrevision eingeleitet werden soll bzw. ob und welche «informatiknahen»
gebiete im rahmen von schwerpunktprüfungen bspw. in der Zwischenrevision vertieft geprüft werden sollen.
Mögliche Prüffelder
aufgrund ihrer kenntnisse und erfahrungen sehen die autoren für eine umfassende Informatikrevision im anschluss an die
Phase 2 primär die folgenden zwei Prüffelder:
Prüffeld 1: Informatik-Anwendung und IKS bei deren Nutzung
Prüfungsziele
a) Beurteilung der IT-Anwendung unter den aspekten
- Vorhandensein der notwendigen Verarbeitungsfunktionen
- richtigkeit der programmierten Verarbeitungsregeln
- differenzierungsmöglichkeiten mittels Zugriffsberechtigungen
- Umfang und Wirksamkeit des softwareunterstützten Internen kontrollsystems (Iks) d.h der programmierten kontrollen
- dokumentation (Vollständigkeit/Verständlichkeit und Übereinstimmung mit Programmen)
- Zweckmässigkeit und ausbaugrad der datenausgaben aus der optik der gesetzlichen Buchführungs- und aufbewahrungsvorschriften
- Prüfpfad d.h. nachweis der aus sicht der Buchführung wichtigen Transaktionen vom Ursprung- bis zur rechnungs -
legung (progressiv) und umgekehrt (retrograd)
b) Beurteilung des IKS bei der Nutzung der IT-Anwendung, deren anwender-dokumentation, Installation (Customizing),
Pflege (Programm-Änderungen) sowie ggf. Beurteilung der «generellen IT-kontrollen» bei deren Betrieb.
methoden
«Vorgehensmodell anwendungsprüfung» der Treuhand-kammer sowie Checklisten unterschiedlichster herkunft für die
erhebung und Beurteilung des Internen kontroll-systems. die auswahl der IT-anwendung erfolgt auf der Basis von schritt
5 eines IT-Check (siehe kapitel 6), also der erhebung aller kern-anwendungen.
Prüffeld 2: Informatik-Organisation und -Prozesse
Prüfungsziel
Umfassende erhebung und Beurteilung von organisation, Prozessen und kontrollen im Informatikbereich. damit werden
wesentliche Themenbereiche aus der Phase 2 des Vorgehensmodelles vertieft und erweitert sowie die «generellen
IT-kontrollen» gemäss schweizer Prüfungsstandard «Prüfung der existenz des Internen kontrollsystems» (Ps 890) vollumfänglich
abgedeckt.

methodische grundlage / arbeitspapiere
eine bewährte grundlage bildet Co b iT d.h. die Control objectives for Information and related Technologies; dabei handelt es
sich um einen generell verwendbaren, weltweit akzeptierter standard von IsaCa (➔ www.isaca.ch). das Co b iT-Framework
gliedert die IT-aktivitäten und Verantwortlichkeiten in einem generischen Prozessmodell in die vier domänen «Plane und
organisiere», «Beschaffen und implementiere», «erbringen und unterstütze» sowie «Überwache und beurteile».
Co b iT enthält ein Prozessmodell und eine gemeinsame, für alle im Unternehmen gültige sprache, um die IT-aktivitäten zu
betrachten und zu managen. die einführung eines operativen modells und einer für alle Beteiligten gemeinsamen sprache
ist einer der wichtigsten und ersten schritte in richtung guter governance. das Prozessmodell unterstützt die eigentümer-
schaft für Prozesse und ermöglicht die definition von aufgaben und Verantwortlichkeiten.
Co b iT enthält außerdem ein Framework, um IT-Performance zu messen und zu beurteilen, mit dienstleistern zu kommuni-
zieren und um Best management Practices zu integrieren.
Prüfungsplanung
erfahrungen der autoren zeigen, dass mögliche auftraggeber (Wirtschaftsprüfer / kunde) oft nur unscharfe Vorstellungen
über die Zielsetzungen und möglichkeiten sowie aufwand und nutzen einer «umfassenden Informatikrevision» haben.
damit ein spezialisierter IT-Prüfer effizient und zielgerichtet eingesetzt werden kann, kommt der Formulierung des Prüfungsauftrages
eine hohe Bedeutung zu. deshalb ist es nach auffassung der autoren grundsätzlich sinnvoll, den IT-Prüfer und
auch den kunden einzubeziehen.
der Prüfungsauftrag des Wirtschaftsprüfers an den IT-Prüfer sollte mindestens folgende Punkte beinhalten:
• übergeordnete Ziele / rahmenbedingungen
• detaillierter Prüfungsinhalt und -umfang / abgrenzung
• methodische grundlage / arbeitspapiere
• mögliche ansprechpartner und Informationsquellen
• Berichterstattung inkl. Berichtsstruktur, -inhalt, -umfang und -empfängern
Prüfung
angesichts der bezüglich Prüffeld sowie Prüfungsinhalt und -umfang sehr unterschiedlichen ausprägungen einer umfassenden
Informatikrevision verzichten wir auf detaillierte hinweise zur Prüfung.
als «richtgrösse» ist davon auszugehen, dass für eine umfassendere Informatikrevision in einem kmU 3 – 10 Tage für die
erhebungen «vor ort» sowie zusätzlich 2 – 5 Tage für die Berichterstattung vorzusehen sind.
22

Berichterstattung
23
«Vorgehensmodell IT-rIsIkoanalyse»
die Berichterstattung orientiert sich grundsätzlich an den in der Prüfungsplanung getroffenen Vereinbarungen (siehe oben).
Wesentliche Punkte sind u.a.:
• struktur, Umfang und Inhalt orientieren sich an Zielsetzung und Zielpublikum.
• der Bericht soll klar strukturiert und empfänger-orientiert geschrieben sein:
- management-summary mit wesentlichen Feststellungen und empfehlungen;
- details (Feststellungen, Beurteilung und empfehlungen) zuhanden des management in verbaler Form;
- details mit Feststellungen, Beurteilung und empfehlungen (inkl. Priorität aus sicht des Prüfers) zuhanden der Fach-
Verantwortlichen in tabellarischer Form;
- rekapitulation der empfehlungen (nach Priorität) und ggf. mit stellungnahme der geprüften sowie Termin und
Zuständigen für Umsetzung der empfehlung.
• der Bericht soll die aktuelle situation und den handlungsbedarf klar benennen.
In unserer Praxis hat es sich bewährt, den entwurf des Berichtes mit den geprüften und ggf. dem management zu besprechen
– dies ermöglicht es, allfällige Unklarheiten und missverständnisse zu klären, bevor der definitive Bericht erstellt
und verschickt wird.
ein derartiger Bericht ähnelt dem kurzbericht für einen IT-Check (siehe seite 20), ist aber typischerweise in einigen Punkten
wesentlich konkreter – dies betrifft primär die Priorisierung der empfehlungen und die stellungnahme des geprüften (inkl.
Termin und Zuständigkeiten für die Umsetzung).

8 Schlusswort
Trotz der vorhandenen und eingesetzten hilfsmitteln (Vorgehensmodelle, Fragebogen, Co b iT-Framework, Checklisten etc.)
erfordert die ergebnisfindung die professionelle Beurteilung («professional judgement») des Wirtschaftsprüfers, um den
unternehmens-, prozess- und risikospezifischen anforderungen gerecht zu werden.
diese aufgabe erfordert eine intensive diskussion zwischen Wirtschafts- und IT-Prüfer, um die erkenntnisse aus Prüfungen
beurteilen und allenfalls notwendige weitere Prüfungshandlungen festlegen zu können. das vorliegende «Vorgehens modell
IT risikoanalyse für kmU-Prüfer» soll einen Beitrag zum besseren Verständnis der IT-spezifischen gebiete leisten.
24

Anhänge
anhang 1 Fragebogen Phase 1
Geschäft und IT
Interne Organisation und Kontrolle
25
«Vorgehensmodell IT-rIsIkoanalyse»
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4 Bemerkungen
Geschäftsstrategie
und
Informatikeinsatz
Innovationsgrad
beim Informatikeinsatz
Abhängigkeit von
Verfügbarkeit der
Informatikmittel
Risikomanagement
Internes
Kontrollsystem
Awareness für
Informationssicherheit
Funktionentrennung
Stellvertretung
und Anwendungs-Knowhow
im Rechnungswesen
die geschäftsstrategie basiert
wesentlich auf der nutzung
des Internets bzw. von neuen
Technologien sowie aktivem
Informationsaustausch über
datennetze.
das Unternehmen nutzt
eine moderne und komplexe
IT-Infrastruktur und adaptiert
aufkommende Technologien
deutlich vor der Branche.
die IT-Verfügbarkeit ist für
das geschäft (Frontgeschäft
resp. Primärprozesse) ein
kritischer Faktor; die akzeptable
ausfallzeit liegt unter 4
stunden.
die geschäftsstrategie basiert
teilweise auf der nutzung
des Internets bzw. von neuen
Technologien; wichtige
geschäftsprozesse basieren
auf Informationsaustausch
über datennetze.
das Unternehmen nutzt eine
komplexe IT-Infra struktur und
adaptiert neue Technologien
ohne Verzögerung.
die IT-Verfügbarkeit ist für
das geschäft (Frontgeschäft
resp. Primärprozesse)
wichtig; die akzeptable
ausfallzeit liegt zwischen 4
stunden und 2 Tagen.
es besteht kein erkennbares es besteht ein punktuelles,
risikomana gement; zur anwendungsspezifisches
risikominderung werden ad risikomanagement, das
hoc-massnahmen eingesetzt. teilweise dokumentiert
ist; daraus hervorgehende
massnahmen zur risikominderung
sind nicht
(einfach) erkennbar.
ein internes kontrollsystem
(Iks) ist kaum erkennbar
oder ist nicht vorhanden.
die mitarbeiter sind über
ihre Verantwortung zur
einhaltung interner und
externer anforderungen zur
Informationssicherheit nicht
informiert.
es besteht nur eine
rudimentäre, informelle
Funktionentrennung;
es bestehen (auch
im hinblick auf die IT)
abteilungsübergreifende
Funktionen.
Im Unternehmen besteht
nur eine rudimentäre stellvertretung;
der ausfall von
einzelpersonen führt bereits
im normalen Tagesgeschäft
zu Problemen.
es besteht ein punktuelles,
fachbereichsspezifisches Iks;
der dokumentations- und
aktualitätsgrad ist aber
unklar.
die mitarbeiter sind über
ihre Verantwortung zur
einhaltung interner und
externer anforderungen
zur Informationssicherheit
informiert.
es besteht eine Funktionentrennung
zwischen IT und
Fachbereich; Funktionen
innerhalb der Fachabteilungen
werden unter
Umständen nicht getrennt.
Für wichtige Positionen sind
stellvertretungen definiert
aber kaum geschult; ein
ausfall von Personen wirkt
sich nach einigen Tagen auf
das normale Tagesgeschäft
aus; die Bewältigung von
Problemen und Zwischenfällen
ist bei einem ausfall
nicht möglich.
die geschäftsstrategie
ist kaum von neuen
Technologien abhängig;
wichtige geschäfts prozesse
nutzen diese Techno logien
aber bereits.
das Unternehmen nutzt eine
umfangreiche, vorwiegend
aus standardkomponenten
bestehende IT-Infrastruktur
und adaptiert neue Technologien
mit Verzögerung.
die geschäftsstrategie
ist nicht von neuen
Technologien (z.B. Internet
oder e-Commerce) abhängig.
das Unternehmen nutzt
eine unkomplizierte IT-Infrastruktur,
die vorwiegend aus
standard kompenten besteht;
die IT-Infrastruktur bleibt
eher hinter technologischen
entwicklungen zurück.
die IT-Verfügbarkeit ist für die IT-Verfügbarkeit ist für
das geschäft (Frontgeschäft den operativen Betrieb
resp. Primärprozesse) bedingt (Frontgeschäft) und die
wichtig; die akzeptable internen Primärprozesse
ausfallzeit liegt zwischen 2 unkritisch; ein ausfall von
Tagen und einer Woche. mehr als einer Wochen
scheint akzeptabel.
es besteht ein formalisiertes, es besteht ein formalisiertes,
firmenumfassendes risiko- firmenumfassen des
management; es ist doku- risikomanagement; es
mentiert und wird periodisch ist dokumentiert und
aktualisiert und die daraus wird jährlich aktualisiert
hervorgehenden mass- und die risiken werden
nahmen zur risikominderung nachvollziehbar gemindert.
sind klar erkennbar. das risikomanagement
wird durch ein Control self
assessment ergänzt.
es besteht ein formalisiertes,
firmenumfassendes Iks; es
ist dokumentiert und wird
periodisch aktualisiert.
die mitarbeiter werden
wiederholt auf ihre
Verantwortung zur einhaltung
interner und
externer anforderungen
zur Informationssicherheit
hingewiesen und
angemessen geschult.
es besteht ein formalisiertes,
firmenumfassendes Iks; es
ist dokumentiert und wird
jährlich aktualisiert. das Iks
wird durch ein Control self
assessment ergänzt.
die mitarbeiter werden
systematisch geschult und
die einhaltung interner und
externer anforderungen zur
Informationssicherheit wird
regelmässig geprüft.
es wird innerhalb der Fach- es wird innerhalb der Fachbereiche
auf eine funktionale bereiche konsequent auf
Funktionentrennung eine funktionale Funktionen-
geachtet; diese ist in den trennung geachtet; diese ist
aufgabenbe schreibungen in den aufgabenbeschrei-
dokumentiert, wird jedoch bungen dokumentiert und
nicht kontrolliert.
wird ständig kontrolliert.
Für alle wesentlichen Für alle wesentlichen
Positionen sind stellvertre- Positionen sind stellvertretungen
vorhanden und tungen vorhanden und
geschult; das normale Tages- geschult, es bestehen
geschäft ist sichergestellt, die entsprechende dokumen-
Bewältigung von Problemen tationen; das normale
und Zwischenfällen jedoch Tages geschäft und
schwierig und führt zu sowie eine effektive
Verzögerungen.
Problembewältigung sind
sichergestellt.

IT-Anwendungen
IT-Betrieb
Zeit-Risiko
Kriterium Stufe 1 Stufe 2 Stufe 3 Stufe 4 Bemerkungen
Software für das
Rechnungswesen
Änderungen
in Kern-
Anwendungen
Integration
Wertefluss im
Rechnungswesen
Programmfehler
in Kern-
Anwendungen
Betriebssicherheit
der Informatikmittel
Stellvertretung in
der Informatikabteilung
Abhängigkeit
von externem
Personal (inkl.
Outsourcing-
Partnern)
Zeitpunkt
der letzten
unabhängigen
Beurteilung
Informatik
die rechnungswesenanwendung
ist eine
eigenentwicklung.
die kern-anwendungen
wurden im letzten oder
aktuellen geschäftsjahr
ersetzt und die «alten»
datenbestände migriert.
Für kern-anwendungen sind
integrierte lösungen mit
hohem automatisierungsgrad
implementiert; der
nachvollzug von Werte-
und datenflüssen bedingt
spezialistenwissen.
Bei den kern-anwendungen
treten häufig Probleme auf,
die mit grossem Zeitaufwand
gelöst werden müssen.
Fehler und ausfallgründe
wiederholen sich häufig.
die IT-mittel (server, Clients,
netzwerk und Peripherie)
sind häufigen störungen
und ausfällen ausgesetzt;
diese wirken sich auf den
gesamten geschäftsbetrieb
aus.
es besteht innerhalb der IT
nur eine rudimentäre stellvertretungsregelung;
der
ausfall von einzelpersonen
führt bereits im normalen
IT-Betrieb zu Problemen.
das Unternehmen ist beim
Betrieb der IT weitgehend
von externer Unterstützung
abhängig; insbesondere bei
Problemen ist eine externe
Unterstützung unabdingbar.
es wurde noch nie eine IT-
Prüfung durchgeführt.
Für das rechnungswesen
wird parametrisierbare
standardsoftware mit
möglichkeiten zur Indivi dualpro
grammierung eingesetzt.
Für das rechnungswesen
wird standardsoftware
eingesetzt, welche nur über
eingeschränkte möglichkeiten
für Parametrisierung
und Individualprogrammierung
verfügt.
Wesentliche Teile der kern- Wesentliche Teile der kernanwendungen
wurden anwendungen wurden
im letzten oder aktuellen im letzten oder aktuellen
geschäftsjahr ersetzt und die geschäftsjahr geändert
datenbestände migriert. (bspw. release-Wechsel)
oder erweitert.
Für kern-anwendungen
sind integrierte lösungen
mit automatisierten schnittstellen
im einsatz; Werte-
und datenflüsse sind nachvollziehbar.
Fehler in kern-anwendungen
sind selten, müssen aber mit
grossem Zeitaufwand gelöst
werden. störungs- und
ausfallgründe wiederholen
sich kaum.
die IT-mittel sind wiederholt
störungen und ausfällen
ausgesetzt; diese wirken
sich auf den gesamten
geschäftsbetrieb aus.
Für die wichtigsten
Positionen innerhalb der
IT sind stellvertretungen
definiert aber kaum
geschult; der ausfall von
einzel personen wirkt sich
nach einigen Tagen auf
den IT-Betrieb aus und
die Bewältigung von IT-
Problemen ist nicht möglich.
der normalbetrieb der IT ist
ohne externe Unterstützung
weitgehend möglich; Fehler
oder Probleme sind ohne
externe Unterstützung kaum
lösbar.
eine IT-Prüfung wurde letztmals
vor mehr als 5 Jahren
durchgeführt.
Für kern-anwendungen sind
verschiedene Insellösungen
mit (Batch-) schnittstellen im
einsatz; Werte- und datenflüsse
sind gut nachvollziehbar.
Fehler in kern-anwendungen
sind selten und können
zeit nah gelöst werden.
Fehler und mängel sind
dokumentiert.
die IT-mittel sind kaum
störungen und ausfällen
ausgesetzt; diese wirken
sich nur bedingt auf den
geschäftsbetrieb aus.
Für alle wesentlichen
Positionen innerhalb der
IT sind stellvertretungen
vorhanden und geschult,
aber nicht dokumentiert; der
IT-Betrieb ist sichergestellt,
die Bewältigung von IT-
Problemen ohne diese
Personen jedoch schwierig.
der normalbetrieb der
IT ist auch ohne externe
Unterstützung sichergestellt;
bei Fehlern oder Problemen
muss teilweise auf
externe Unterstützung
zurückgegriffen werden.
eine IT-Prüfung wurde letztmals
vor einigen Jahren
durchgeführt.
26
Für das rechnungswesen
wird standard software ohne
jegliche Parametrisierung
und ohne möglichkeiten für
Individualprogrammierung
eingesetzt.
die kern-anwendungen
wurden im letzten und
aktuellen geschäftsjahr nur
geringfügig geändert oder
erweitert.
es sind mehrere funktionsspezifische
Insellösungen mit
einzelnen (Batch-) schnittstellen
im einsatz; Werte-
und datenflüsse in anwendungen
und an schnittstellen
sind anhand von
auswertungen und schnittstellenprotokollennachvollziehbar
dokumentiert.
Fehler in kern-anwendungen
sind sehr selten; Fehler und
mängel werden syste matisch,
zeitnah und nachhaltig
gelöst sowie nachvollziehbar
dokumentiert.
die IT-mittel sind nur selten
störungen und aus fällen
ausgesetzt; diese wirken
sich nur auf Teile des
geschäftsbetriebs aus.
Für alle wesentlichen
Positionen innerhalb der
IT sind stellvertretungen
vorhanden und geschult,
es bestehen entsprechende
dokumentationen; der
IT-Betrieb und eine effektive
Bewältigung von IT-Problemen
sind sichergestellt.
der normalbetrieb und
die Problemhand habung
sind jederzeit ohne externe
Unterstützung gewährleistet;
eine externe Unterstützung
ist nur in krisensituationen
erforderlich.
eine IT-Prüfung wurde im
vergangenen geschäftsjahr
durchgeführt.

anhang 2 Fragebogen Phase 2
IT-relevante Dokumentation
Organisation der IT
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Übersicht IT-
Infrastruktur
Hardware-
I n v e n t a r e
Software-
I n v e n t a r e
Verträge und
Dienstleistungsvereinbarungen
Verantwortlichkeiten
Architektur /
Technologie
Funktionentrennung
es besteht keine Übersicht
über die Informatik-Infrastruktur.
es besteht kein hardware-
Inventar.
es besteht kein software-
Inventar.
es bestehen kaum Verträge
zwischen dem Informatikbereich
und dritten, obwohl
leistungen bezogen werden.
die Verantwortlichkeiten
für einführung, Betrieb,
Unterhalt und schutz von
IT-ressourcen sind nicht
geregelt.
neue Technologien werden
umgehend eingeführt, ohne
dass ihr wirtschaftlicher oder
strategischer nutzen und ihr
korrektes Funktionieren in
der bestehenden Umgebung
nachgewiesen ist.
es besteht innerhalb der IT
keine Funktionentrennung;
kritische Funktionen (z.B.
entwickler/operator) werden
nicht getrennt.
es besteht eine veraltete
(älter als 1 Jahr) Übersicht
über die Informatik-Infrastruktur.
es besteht ein veraltetes
(älter als 1 Jahr) hardware-
Inventar.
es besteht ein veraltetes
(älter als 1 Jahr) software-
Inventar.
es bestehen eine Übersicht/
Zusammenstellung von im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner);
diese ist jedoch unvollständig
und nicht aktuell.
die Verantwortlichkeiten
für einführung, Betrieb,
Unterhalt und schutz von
IT-ressourcen werden in der
regel informell übertragen.
neue Technologien werden
umgehend eingeführt, wenn
sie einen wirtschaftlichen
oder strategischen Vorteil
versprechen. Vor dem ersten
einsatz werden teilweise
technische abklärungen
durchgeführt.
es besteht innerhalb der IT
nur eine rudimentäre, informelle
Funktionentrennung;
kritische Funktionen (z.B.
entwickler/operator) werden
nicht getrennt.
27
eine aktuelle Übersicht der eine aktuelle Übersicht
wesentlichen komponenten der gesamten Informatikder
Informatik-Infrastruktur Infra struktur (systeme
(systeme und Vernetzung) und Ver netzung) besteht.
besteht. Beschaffungs-, Pro- Beschaffungs-, Projekt- und
jekt- und Änderungsprozes- Änderungsprozesse beinhalse
führen nicht zwangsläufig ten die zwingende aktuali-
zu einer aktualisierung
dieser Übersicht.
sierung dieser Übersicht.
ein hardware-Inventar wird ein hardware-Inventar wird
aktuell geführt; Beschaf- aktuell und vollständig
fungsprozesse stellen jedoch geführt. Beschaffungs- und
die zwingende aktualisie- Projektprozesse beinhalten
rung dieses Inventars nicht die zwingende aktualisie-
sicher.
rung dieses Inventars sowie
anpassung/abschluss allfälliger
Wartungsverträge.
ein software-Inventar (auch ein software-Inventar (auch
für die lizenzkontrolle) wird für die lizenzkontrolle)
aktuell geführt; Beschaf- wird aktuell und vollständig
fungsprozesse stellen jedoch geführt. Beschaffungs- und
die zwingende aktualisie- Projektprozesse beinhalten
rung dieses Inventars nicht die zwingende aktualisie-
sicher.
rung dieses Inventars sowie
die klärung allfälliger lizenzierungs-
und nachlizenzierungsfragen.
es besteht eine Übersicht/
Zusammenstellung aller im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner).
die meisten Verantwortlichkeiten
für einführung, Betrieb,
Unterhalt und schutz
von IT-ressourcen sind
schriftlich dokumentiert. die
dokumentation wird jedoch
nicht zentral verwaltet und
ist teilweise veraltet.
neue Technologien werden
erst eingeführt, wenn sie
sich am markt etabliert
haben und referenzen verfügbar
sind. Vor dem ersten
einsatz werden die üblichen
Tests durchgeführt.
es besteht eine Funktionentrennung
für kritische
IT-Funktionen; diese ist aber
nicht dokumentiert und wird
nicht weiter überwacht.
es besteht eine Übersicht/
Zusammenstellung aller im
Informatikbereich relevanten
Verträge mit dritten (lieferanten,
kunden, Partner).
sie wird zentral und aktuell
geführt und beinhaltet alle
Verträge sowie zugehörigen
dokumente wie sla usw.
die Verantwortlichkeiten
für einführung, Betrieb,
Unterhalt und schutz von
IT-ressourcen sind in stellen-
oder Prozessbeschreibungen
schriftlich dokumentiert.
diese dokumentationen
werden bei Bedarf – aber
mindestens jährlich – überprüft
und angepasst.
neue Technologien werden
systematisch evaluiert und
auf ihre Bedeutung für die
IT-strategie geprüft. Vor
dem ersten einsatz werden
neue Produkte auf Funktionalität,
Zuverlässigkeit und
kompatibilität ausserhalb
der produktiven Umgebung
umfassend getestet.
es wird innerhalb des IT-
Fachbereichs konsequent
auf eine funktionale Funktionentrennung
geachtet;
diese ist in den aufgabenbeschreibungen
dokumentiert
und deren einhaltung wird
ständig überwacht.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Organisation der IT
IT-Governance
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Stellvertretung es besteht innerhalb der IT
keine stellvertretungsregelung.
Freigabeverfahren
für
IT-Infrastrukturänderungen
Nachvollziehbarkeit
von
Freigaben für
IT-Infrastrukturänderungen
es existieren keine Freigabeverfahren
für Änderungen
im IT-Infrastrukturbereich.
Freigaben für Änderungen
an der IT-Infrastruktur
werden nicht schriftlich
festgehalten.
Kostenkontrolle IT-kosten werden in der
Buchhaltung nicht nach
klaren Vorgaben einheitlich
behandelt. die Zurechnung
von kosten und Zeiten zu
IT-aktivitäten ist nicht
möglich.
Abgestimmte
IT-Infrastruktur
Vorgaben für IT
(SLA)
es besteht innerhalb der IT
nur eine rudimentäre stellvertretungsregelung.
es existieren informelle
Freigabeverfahren für Änderungen
im IT-Infrastrukturbereich.
es existieren kaum aufzeichnungen
von Freigaben
für Änderungen an der
IT-Infrastruktur.
kosten für die IT werden
budgetiert und laufend erfasst.
eine aufschlüsselung
zu einzelnen IT-aktivitäten
findet jedoch nicht statt.
Bei Projekten erfolgt keine
nachkalkulation.
Beschaffung, Betrieb und Beschaffung, Betrieb und
Wartung der IT-Infrastruktur
folgen einer vom Business
unabhängigen strategie.
Zwischen der IT-abteilung
und den Fachabteilungen
(Benutzern) bestehen keinerlei
leistungsvereinbarungen
bezüglich servicezeiten, Verfügbarkeit
und Performance
der IT-dienstleistungen.
IT-Governance es findet keine steuerung
der Informatik-organisation
und IT-Prozessen statt.
Wartung der IT-Infrastruktur
folgen keiner übergeordneten,
aus den geschäftszielen
abgeleiteten strategie.
orientiert sich im ansatz
aber am Business.
In der IT-abteilung bestehen
leistungsziele für die erbringung
ihrer services. diese
sind nicht kommuniziert
oder mit den Fachabteilungen
abgesprochen.
die gestaltung und
steuerung von Informatikorganisation
und -Prozessen
orientieren sich an keinerlei
standards, sondern sind
eigenentwicklungen.
Für die wichtigsten Posi- Für alle wesentlichen Positionen
innerhalb der IT sind tio nen innerhalb der IT sind
stellvertretungen definiert stellvertretungen vorhanden
aber kaum geschult; ent- und geschult; entspresprechendedokumenchende
aktuelle dokumentationen
sind teilweise tationen ermöglichen de
vorhanden und unterstützen facto die durchführung der
die durchführung der Tätigkeiten durch den/die
Tätigkeiten durch den/die
stellvertreter.
stellvertreter.
Für sämtliche IT-Infrastrukturbereiche
sind formelle
Freigabeverfahren für
Änderungen definiert, diese
können jedoch umgangen
oder ausgelassen werden.
28
Für sämtliche IT-Infrastrukturbereiche
sind formelle
Freigabeverfahren für Änderungen
definiert. Ihre einhaltung
wird durchgesetzt
und regelmässig überprüft.
Änderungsanträge ohne
die notwendigen Freigaben
werden konsequent zurückgewiesen.
die meisten Freigabevor- alle Freigabevorgänge
gänge für Änderungen an für Änderungen an der
der IT-Infrastruktur sowie die IT-Infrastruktur sowie die
Änderungen selbst werden Änderungen selbst werden
aufgezeichnet; eine Über- lückenlos aufgezeichnet.
wachung findet hingegen die einhaltung der Freigabe-
nur punktuell statt. prozesse wird laufend
überwacht und regelmässig
kontrolliert.
kosten für die IT werden glo- es gibt einen umfassenden
bal budgetiert und laufend Prozess zur finanziellen kon-
erfasst. eine aufschlüsselung trolle aller IT-aktivitäten und
zu einzelnen IT-aktivitäten IT-Projekte inkl. Planung,
findet jedoch nicht statt. Bei Budgetierung, kosten- und
grösseren Projekten erfolgt Zeiterfassung und ergebnis-
eine nachkalkulation, wobei kontrolle. abweichungen
wesentliche Überschreitun- werden systematisch
gen begründet werden. analysiert.
das Unternehmen achtet
darauf, dass die IT-Infrastruktur
abgestimmt auf die
geschäftsziele beschafft,
betrieben und gewartet
wird; es existiert hierzu
jedoch kein formalisierter
Prozess.
Zwischen der IT-abteilung
und den Fachabteilungen
(Benutzer) bestehen informelleleistungsvereinbarungen
bezüglich servicezeiten,
Verfügbarkeit und Performance
der IT-dienstleistungen;
diese sind jedoch nicht
vollständig dokumentiert
und werden nicht periodisch
auf ihre einhaltung geprüft.
die gestaltung und steuerung
von Informatik-organisation
und IT-Prozessen
orientieren sich an standards
wie Co b iT (governance), ITIl
(service-management) sowie
Iso 2700x (sicherheitsmanagement).
es besteht ein formalisierter
Prozess, der sicherstellt, dass
IT-Infrastruktur abgestimmt
auf die geschäftsziele
beschafft, betrieben und
gewartet wird.
Zwischen der IT-abteilung
und den Fachabteilungen
(Benutzern) bestehen
formelle leistungsvereinbarungen
bezüglich
servicezeiten, Verfügbarkeit
und Performance der
IT-dienstleistungen in Form
von schriftlichen sla. diese
werden periodisch auf ihre
einhaltung geprüft.
die gestaltung und steuerung
von Informatik-organisation
und IT-Prozessen
werden gemäss standards
wie Co b iT (governance), ITIl
(service-management) sowie
Iso 2700x (sicherheitsmanagement)
konsequent
umgesetzt.
Feststellungen
Auswirkungen
Empfehlungen

IT-Governance
IT-Risikomanagement
Compliance
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Dokumentation
der IT-Prozesse
Zugriffsschutzkonzept
Daten
ZugriffsschutzkonzeptAnwendungen
Risiko-
Management
IT-Prozesse und zuständige
Verantwortlichkeiten
werden nicht kommuniziert.
einzelpersonen sind frei
in ihrer Tätigkeit. es findet
keinerlei Überwachung und
kontrolle statt.
es besteht kein Zugriffsschutzkonzept,
das die
klassifizierung der daten
und die Zugriffsrechte der
Benutzer regelt.
es besteht kein Zugriffsschutzkonzept,
das die
Zugriffsrechte der Benutzer
auf die applikationen und
die darin verfügbaren applikationsfunktionen
regelt.
IT-risiken und sicherheitserfordernisse
werden nicht
erhoben oder geprüft.
Sicherheitspolitik IT-sicherheitspolitik und
sicherheitskonzept sind nur
rudimentär vorhanden oder
fehlen vollständig.
Versicherungen es bestehen keine Versicherungen
für IT-Infrastrukturen
und -geräte (hardware).
Nichteinhaltung
von Gesetzen /
Normen / Vorschriften
die erkennung der anwendbarkeit
von gesetzen,
normen und Vorschriften
und der einhaltung ist nicht
geregelt.
die IT-Prozesse und zuständigen
Verantwortlichkeiten
werden informell kommuniziert
und einzelpersonen
sind weitgehend frei in ihrer
Tätigkeit. es findet keinerlei
Überwachung und kontrolle
statt.
29
nur die wichtigsten IT-
Prozesse und zuständigen
Verantwortlichkeiten sind
schriftlich festgehalten;
diese dokumentation ist
nicht zwingend aktuell und
korrekt. die einhaltung
dieser Prozesse wird nur
sporadisch überwacht;
kontrollen finden nur nach
aussergewöhnlichen ereignissen
statt.
alle relevanten IT-Prozesse
und zuständigen Verantwortlichkeiten
sind
schriftlich, aktuell und
den Tatsachen entsprechend
doku mentiert; ihre
einhaltung wird laufend
überwacht und regelmässig
kontrolliert.
es besteht ein informelles es besteht ein Zugriffs- es besteht ein Zugriffs-
Zugriffsschutzkonzept, das schutzkonzept, das die klasschutzkonzept, das die klas-
die klassifizierung der daten sifizierung der daten und die sifizierung der daten und die
und die Zugriffsrechte der Zugriffsrechte der Benutzer Zugriffsrechte der Benutzer
Benutzer regelt; jedoch wur- regelt; es wird jedoch nicht regelt. es wird regelmässig
de es den Benutzern nicht regelmässig auf einhaltung auf einhaltung und effektivi-
durchgängig kommuniziert. überprüft und aktualisiert. tät überprüft und bei Bedarf
aktualisiert.
es besteht ein informelles
Zugriffsschutzkonzept, das
die Zugriffsrechte der Benutzer
auf die applikationen
und die darin verfügbaren
applikationsfunktionen
regelt; jedoch wurde es den
Benutzern nicht durchgängig
kommuniziert.
IT-risiken und sicherheitserfordernisse
werden nur
nach sicherheitsrelevanten
ereignissen geprüft. die
Umsetzung von geplanten
Verbesserungsmassnahmen
wird nicht überwacht.
IT-sicherheitspolitik und
sicherheitskonzept sind
teilweise vorhanden, aber
bereits älter als 1 Jahr.
Für IT-Infrastrukturen und
-geräte (hardware) bestehen
teilweise Versicherungen;
jedoch ist unklar, ob
für alle möglichen ereignisse
eine angemessene Versicherungsdeckung
besteht.
es gibt keine Vorkehrungen
zur systematischen erfassung
von für das Unternehmen
relevanten gesetzen,
normen und Vorschriften
und deren einhaltung.
es besteht ein Zugriffsschutzkonzept,
das die
Zugriffsrechte der Benutzer
auf die applikationen und
die darin verfügbaren
applikationsfunktionen
regelt; es wird jedoch nicht
regelmässig auf einhaltung
überprüft und aktualisiert.
neue applikationen werden
nicht oder stark zeitverzögert
berücksichtigt.
IT-risiken und sicherheitserfordernisse
werden in
unregelmässigen abständen
oder wenig systematisch
hinterfragt. geplante
Verbesserungsmass nahmen
werden nur teilweise überwacht.
es besteht ein Zugriffsschutzkonzept,
das die
Zugriffsrechte der Benutzer
auf die applikationen und
die darin verfügbaren
applikationsfunktionen
regelt. es wird regelmässig
auf einhaltung und effektivität
überprüft und bei
Bedarf aktualisiert.
IT-risiken und sicherheitserfordernisse
werden
periodisch und systematisch
hinterfragt und durch ein
regelmässiges Control self
assessment aktiv bearbeitet.
die vollständige Umsetzung
geplanter Verbesserungsmassnahmen
wird zeitnah
überwacht.
IT-sicherheitspolitik und si- IT-sicherheitspolitik und
cherheitskonzept werden in sicherheitskonzept werden
unregelmässigen abständen periodisch überprüft und an
überprüft und angepasst. die konkrete Bedrohungslage
sowie die aktuelle(n)
geschäftsstrategie/geschäftsziele
angepasst.
Für IT-Infrastrukturen und
-geräte (hardware) besteht
eine sachversicherung; der
Bedarf nach weiteren Versicherungen
(z.B. datenträger/
mehrkosten, Betriebsunterbruch)
ist informell geklärt.
die wichtigsten relevanten
gesetze, normen und
Vorschriften sind in den
verschiedenen Fachabteilungen
bekannt. die einhaltung
wird bereichsweise geregelt.
Für IT-Infrastrukturen und
-geräte (hardware) besteht
eine sachversicherung; der
Bedarf nach weiteren Versicherungen
(z.B. datenträger/mehrkosten,Betriebsunterbruch)
ist formell
geklärt. Beschaffungs- und
Projektprozesse beinhalten
die zwingende klärung
zusätzlicher Versicherungsdeckung;
es besteht eine
zentrale aktuelle Übersicht
aller abgeschlossenen Versicherungsleistungen.
es existiert ein definierter
Prozess zur erfassung sämtlicher
relevanten gesetze,
normen und Vorschriften
sowie klare interne kontrollen
zu ihrer einhaltung.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Compliance
IT-Projektmanagement
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Unabhängige
Prüfung der IT
IT-Projektmanagement
(Portfolio)
Projektauf teilung
in Phasen
es werden keine unabhängigen
Prüfungen der
IT-anwendungen, der
IT- Infrastruktur und des IT-
Betriebes durchgeführt.
es besteht keine Übersicht
über die informatikrelevanten
Projekte.
Projekte werden kaum in
Phasen unterteilt; lieferobjekte
oder meilensteine
fehlen zum grössten Teil.
Projektteam es werden keine Teams benannt,
mitarbeiter werden
dynamisch und unkoordiniert
eingebunden.
Grad der
Mitwirkung der
Geschäftsleitung
in Projekten
Bedarfsanalyse /
Anwenderbeteiligung
die geschäftsleitung nimmt
ihre entscheidungsgewalt
nicht wahr und hat diese
auch nicht formell an einen
steuerungsausschuss oder
an den IT-Verantwortlichen
delegiert.
neue IT-systeme werden
ohne einbezug aller relevanten
anwendergruppen
primär auf grund von Wünschen
und Vorstellungen
einzelner kreise konzipiert.
es werden kaum unabhängige
Prüfungen der
IT-anwendungen, der
IT-Infrastruktur und des
IT-Betriebes durchgeführt.
massnahmen zur Behebung
von erkannten schwachstellen
oder lücken werden
nicht umgesetzt.
es werden zwar unabhängige
Prüfungen der IT-anwen
dungen, der IT-Infrastruktur
und des IT-Betriebes
durchgeführt, aber nur
auf grund spezifischer ereignisse
oder anforderungen.
massnahmen zur Behebung
von schwachstellen oder
lücken werden nicht konsequent
umgesetzt.
eine teilweise Übersicht eine aktuelle Übersicht
über laufende IT-Projekte
besteht; es gibt jedoch keine
weiterführende dokumentationen.
Projekte werden in lange
einzelphasen ohne klare
liefer objekte und meilensteine
unterteilt.
Projektleiter und Teams werden
informell benannt; es
gibt aber keine klaren aufgabenbeschreibungen.
eine
schulung der Projektteams
in der angewandten Projektmanagementmethode
hat
kaum stattgefunden.
die geschäftsleitung (gl)
delegiert ihre entscheidungsgewalt
z.B. an einen
steuerungsausschuss oder
den IT-Verantwortlichen.
die geschäftsleitung wird in
Projekten nur auf anfrage
von Benutzervertretern oder
IT-Verantwortlichen tätig.
neue IT-systeme werden primär
durch die IT-abteilung
auf der Basis von Wünschen
und Vorstellungen von
Fachbereichen konzipiert.
einzelne anwendergruppen
werden zur klärung von
detailfragen zugezogen.
aller informatikrelevanten
Projekte besteht; es besteht
jedoch keine zwingende
abstimmung mit einem unternehmensweiten
Portfolio
sämtlicher Projekte.
Projekte werden in wenige
Phasen mit lieferobjekten
unterteilt; die frühen Planungsphasen
(Pflichtenheft
/ spezifikationen) werden
typischerweise zugunsten
der durchführungsphase
verkürzt. eine Projektfortschrittskontrolle
findet nur
teilweise statt.
es werden zwar Projektleiter
und Projektteams benannt,
doch deren konkrete aufgaben
wie auch der damit
verbundene Zeitaufwand
wurde nicht konsequent
eingeplant. eine schulung
der angewandten Projektmanagementmethode
hat
nur teilweise stattgefunden.
die geschäftsleitung (gl)
wird durch regelmässige
Protokolle über den Projektfortschritt
informiert; sie
nimmt jedoch kaum an
Projekt(steurungs)sitzungen
oder Treffen mit Projektleitern
teil.
entwicklung/Beschaffung
von neuen IT-systemen ist
zum Teil formal geregelt.
neue systeme werden
primär von der IT-abteilung
konzipiert, wobei die
ver schiedenen anwendergruppen
frühzeitig zur
Bedarfsabklärung und
-steuerung einbezogen
werden.
30
es werden regelmässig
unabhängige Prüfungen
der IT-anwendungen, der
IT-Infrastruktur und des
IT-Betriebes durchgeführt.
angemessene massnahmen
werden konsequent und
zeitnah umgesetzt, die
dazu notwendigen arbeiten
werden kontrolliert.
es wird ein unternehmensweites
Projekt-Portfolio
gepflegt, dass auch alle
informatikrelevanten
Projekte einschliesst. der
Projektprozess beinhaltet die
zwingende abstimmung mit
diesem Portfolie und dessen
aktualisierung.
Projekte werden eindeutig
in meilensteine sowie
verschiedene haupt- und
Unteraktivitäten mit klaren
lieferobjekten unterteilt
(z.B. Pflichtenheft / spezifikationen
/ durchführung /
Test / abnahme / einsatz);
es finden regelmässige
sitzungen zum Projektfortschritt
statt.
es werden Projektleiter
und Projektteams benannt
und es wird klar festgelegt,
wer für welche aufgaben
mit wie viel Prozent seiner
arbeitszeit im Projekt engangiert.
Projektleiter wie
sämtliche Projektmitarbeiter
sind in der angewandten
Projektmanagementmethode
ausreichend geschult.
die geschäftsleitung (gl)
wird regelmässig über
den Projektfortschritt und
aufgetretende Probleme
informiert und in wichtige
Projektentscheide
einbezogen; dazu trifft sie
die Projektleiter oder nimmt
aktiv an den Projektfortschrittssitzungen
teil.
es existiert ein umfassender
formaler entwicklungs-/
Beschaffungsprozess für
IT-systeme. Vertreter aller
anwendergruppen sind von
anfang an in den Prozess
involviert und verantwortlich
für die Vollständigkeit der
spezifikation. Bedarfs-/spezifikationsänderungenwerden
durch die anwendervertreter
proaktiv gesteuert.
Feststellungen
Auswirkungen
Empfehlungen

IT-Projektmanagement
Software-Entwicklung und -Änderungen
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Kosten- / Nutzenanalyse
Entwicklungs- /
Konfigurationsverfahren
Vollständigkeit
der Spezifikation
Abhängigkeit
von externen
Entwicklern /
Lieferanten
Verfügbarkeit
des Source-Code
Projekte werden initiiert,
ohne dass kosten-/nutzenanalysen
durchgeführt
werden.
es bestehen keine speziellen
Verfahren für entwicklung,
Test und konfiguration von
anwendungen.
eine dokumentation der
spezifikation von neuen
anwendungen ist nur in ansätzen
vorhanden. Wichtige
betroffene organisa tionseinheiten
werden nicht
einbezogen.
abhängigkeiten und stellvertretungen
bei externen
entwicklern/lieferante sind
nicht geregelt, überwacht
oder kontrolliert.
der source-Code von
installierten Programmen
oder Programmversionen ist
kaum dokumentiert.
Projekte werden ad-hoc auf
grund von aktuellen anforderungen
von Fachbereichen
oder der geschäftsleitung
initiiert, wobei kosten-/
nutzenschätzungen auf
optimistischen Wunschvorstellungen
ohne belegbares
Zahlenmaterial basieren.
erforderliche anpassungen
bei anderen Projekten
werden kaum erkannt und
ausgewiesen.
die Verfahren für entwicklungs-,
Test und konfiguration
von anwendungen sind
informell; der Zugang zu
entwicklungs- und Testumgebungen
ist nicht
speziell abgeschottet.
die dokumentation der
spezifikation für neue anwendung
ist unvollständig,
zumal wichtige betroffene
organisationseinheiten nicht
konsequent einbezogen
werden. eine Freigabe der
spezifikation erfolgt nicht.
stellvertretungen bei
externen entwicklern/lieferanten
werden informell
und ad-hoc geregelt. es gibt
keine Verträge, welche die
Verfügbarkeit von kritischem
knowhow sicherstellen.
der source-Code von
installierten Programmen
und Programmversionen
sowie deren konfigurationen
sind lückenhaft
dokumentiert. der Zugriff
auf den source-Code ist bei
eingekaufter software in
vielen Fällen nicht möglich
31
Projekte werden auf der
Basis von nachgewiesenen
Bedürfnissen initiiert.
kosten werden quantitativ,
der nutzen eher qualitativ
geschätzt. die auswirkungen
des Projekts auf
offensichtlich betroffene andere
anwendungen werden
analysiert und Folgekosten
werden berücksichtigt.
Projekte entstehen auf der
Basis der strategischen IT-
Planung des Unternehmens
und einer vollständigen
kosten-/nutzenanalyse
(Business Case). die Zielerreichung
wird nach Projektabschluss
systematisch
gemessen und ausgewertet.
die Verfahren für entwick- es bestehen schriftlich
lung, Test und konfiguration festgehaltene Verfahren
von anwendungen sowie
der Zugang zu den entwicklungs-
und Testumgebungen
sind dokumentiert und
mehrheitlich bekannt; ihre
einhaltung wird aber nur
fallweise überprüft.
die spezifikationen für neue
anwendungen werden
ausreichend dokumentiert,
wobei die anforderungen
der meisten betroffenen
organisationseinheiten
berücksichtigt werden. die
Freigabe erfolgt informell.
spezifikations-Änderungen/
ergänzungen erfolgen
häufig auch noch nach der
Freigabe.
Wo externe entwickler/lieferanten
beigezogen werden,
bestehen für wichtige Funktionen
beim dienstleister
formale stellvertretungen,
was jedoch nicht systematisch
überwacht und geprüft
wird. kritisches knowhow
wird informell weitergegeben
oder muss im
notfall kurzfristig aufgebaut
werden.
der source-Code von
installierten Programmen
und Programmversionen
sowie die jeweiligen
konfigurationen sind zum
grössten Teil und aktuell
dokumentiert. der Zugriff
auf den source-Code bei
eingekaufter software ist
teilweise mit vertraglichen
regelungen (escrow agreement)
sichergestellt.
für entwicklung, Test und
konfiguration von anwendungen,
inkl. dem Zugang
zu den entwicklungs- und
Testumgebungen und der
Bereitstellung der produktiven
Betriebsverfahren. Ihre
einhaltung wird permanent
überwacht und periodisch
kontrolliert.
es existiert ein umfassendes
formales spezifikationsverfahren
für neue anwendungen.
anforderungen
aller betroffenen organisationseinheiten
werden
systematisch erhoben und
analysiert. Vor Beginn der
entwicklung/Beschaffung
wird die spezifikation
formell abgeschlossen und
freigegeben. nachfolgende
spezifikationsänderungen
werden strikt kontrolliert.
Wo externe entwickler/lieferanten
beigezogen werden,
sichern vertragliche regelungen
die Verfügbarkeit von
kompetenten mitarbeitern
ab. kritisches knowhow
wird beim dienstleister
nachweislich durch gezieltes
Training, stellvertretung
und Job-rotation breit
abgestützt.
der source-Code von
sämtlichen installierten
Programmen und Programmversionen
sowie die
jeweiligen konfigurationen
sind umfassend, aktuell und
rekonstruierbar dokumentiert.
der Zugriff auf den
source-Code bei eingekaufter
software ist nachweislich
wirksam sichergestellt
(escrow agreement).
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Software-Entwicklung und -Änderungen
Testen von IT-Anwendungen
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Dokumentation
für Anwendungen
es stehen keine schriftliche
dokumentationen über anwendungen
und ihr Betrieb
zur Verfügung.
Datenmigration Bei der einführung neuer
applikationen werden
die notwendigen daten
migriert. Vor der Betriebsaufnahme
finden jedoch
kaum Prüfungen hinsichtlich
Vollständigkeit, richtigkeit
und kompatibilität der
datenmigration statt.
Änderungsverfahren
Trennung
Entwicklung /
Produktion
Kennzeichnung
von Systemumgebungen
es gibt keine Verfahren zur
kontrolle von Änderungen.
entwickler können uneingeschränkt
Änderungen
vornehmen; Änderungen
sind zudem nicht nachvollziehbar.
es existiert keine Testumgebung.
anwendungen
werden direkt in die Produktionsumgebung
eingespielt
und live getestet.
die verfügbaren systemumgebungen
sind weder
physisch noch logisch
getrennt.
es stehen nur informelle
dokumentationen über
die anwendungen und ihr
Betrieb zur Verfügung; in
zahlreichen Fällen sind die
vorhandenen dokumentationen
unvollständig oder
nicht aktuell.
Bei der einführung neuer
applikationen werden
die daten mit standardtools
migriert. Vor der
Betriebs aufnahme wird mit
stichproben geprüft, ob
die datenstruktur richtig
übernommen wurde.
es bestehen wenig formelle
Änderungsverfahren.
entwickler können auch
unberechtigt Änderungen
in den produktiven Betrieb
überführen oder konfigurationen
ändern. Änderungen
– speziell bei notfällen – sind
kaum rekonstruierbar.
es existiert keine von der
produktiven Umgebung
ausreichend getrennte Umgebung
für entwicklung und
Test von anwendungen.
die verfügbaren systemumgebungen
(entwicklung/
Test/Produktion) sind
nicht dokumentiert und
weder physisch noch logisch
als dedizierte systemumgebungen
erkennbar.
es stehen ausführliche doku- es besteht ein umfassenmentationen
von sämtlichen des formales Verfahren
anwendungen (inkl. Betrieb) für die dokumentation
zur Verfügung; deren aktua- von anwendungen (inkl.
lität und Vollständigkeit Betrieb), mit Beschreibungen
kann jedoch nicht immer aller anwendungen und
sichergestellt werden. ihrer wichtigsten spezifikationen,
inkl. der nachvollziehbarkeit
der zentralen
Projektdokumente sowie der
durchgeführten Tests. die
dokumentationen werden
zwingend bereitgehalten
und aktuell nachgeführt.
Vor dem produktiven Betrieb Vor dem produktiven Betrieb
neuer applikationen werden neuer applikationen werden
die zu übernehmenden die zu übernehmenden
daten teilweise migriert und daten vollständig migriert
die applikation wird mit den und die applikation wird
migrierten daten getestet. im Parallelbetrieb mit den
Bei Betriebsaufnahme wer- migrierten daten umfassend
den nochmals alle aktuellen auf Vollständigkeit, richtig-
daten migriert.
keit und kompatibilität mit
neuen Funktionen durch
eine gruppe von Benutzern
aus den entsprechenden
Fachbereichen getestet.
Bei Betriebsaufnahme wird
nochmals der gesamte aktuelle
datenbestand migriert.
Änderungsverfahren sind für es gibt starke formelle
die meisten systeme weitgehend
geregelt, wobei auch
notfalländerungen abgedeckt
werden. Änderungen
sind nachvollziehbar und nur
durch Berechtigte möglich;
sie werden grösstenteils vor
ihrer Installation getestet
und explizit freigegeben; die
einhaltung der Verfahren
wird aber nur fallweise
überprüft.
Für einzelne wichtige anwendungen
existieren von
der Produktion getrennte
entwicklungs- und Testumgebungen.
die verfügbaren systemumgebungen
(entwicklung/
Test/Produktion) sind
zwar dokumentiert, aber
weder physisch noch logisch
als dedizierte systemumgebungen
erkennbar.
32
regeln für Änderungen an
Programmen und konfigurationen,
welche auch notfalländerungen
abdecken.
Änderungen sind lückenlos
nachvollziehbar, können nur
von Berechtigten vorgenommen
werden und müssen
vor der Installation getestet
und explizit freigegeben
werden. alle Änderungen
werden laufend überwacht
und nachvollziehbar dokumentiert.
neben der entwicklungs-
existiert eine separate
Testumgebung, die von
der Produktionsumgebung
vollständig getrennt ist.
sämtliche anwendungen
können dort vor ihrer
Produktionseinführung
gefahrlos getestet werden.
die verfügbaren systemumgebungen
(entwicklung/
Test/Produktion) sind
dokumentiert. sie sind
sowohl physisch (z.B. mittels
Beschriftung) als auch
logisch (z.B. Bildschirmhintergrund-
oder Textfarbe)
klar erkennbar einem
bestimmten Typ von systemumgebung
zugeordnet.
Feststellungen
Auswirkungen
Empfehlungen

Testen von Anwendungen
Anwender-Richtlinien
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Vollständigkeit
von Tests
Tests beim Produktivstart
der
neuen Anwendung
bzw. der
neuen Version
Verträglichkeitstests
Benutzer-
Richtlinien
Virenschutz
Testplanung, -durchführung
und -dokumentation werden
kaum durchgeführt.
In dieser Projektphase finden es werden zwar Tests
keinerlei Tests statt. eine
definitive aufnahme des
Produktivbetriebs kann auch
ohne bei unvollständigen
Tests und nicht-zufriedenstellenden
resultaten
geschehen.
Vor Produktionseinführung
von neuen oder geänderten
anwendungen werden
keine Tests hinsichtlich
der Verträglichkeit für die
Umgebung durchgeführt.
es gibt keine anwenderrichtlinien
zur Viren-
Prävention. es gibt keine
spezifische ausbildung für
anwender z.B. zum Umgang
mit externen datenträgern,
mail-anhängen, Internet-
Zugriff und unbekannten
downloads.
Tests sind nicht formalisiert; Tests sind formalisiert;
Testplanung, -durchführung
und -dokumentation folgen
keinen konkreten richtlinien.
durch geführt, diese sind
allerdings nicht formalisiert
oder standardisiert. es
erfolgt keine archivierung
der Testergebnisse nach
deren Umsetzung. eine
definitive Freigabe für den
Produktivbetrieb kann auch
ohne erfolgreiche Testdurchführung
erfolgen.
Vor Produktionseinführung
von neuen und geänderten
anwendungen werden nur
rudimentäre Tests hinsichtlich
der Verträglichkeit für
die bestehende Umgebung
durchgeführt.
33
Testplanung, -durchführung
und -dokumentation folgen
rudimentären richtlinien.
Test werden in der regel
in den meisten (späten)
Projektphasen durchgeführt;
dies wird jedoch nicht
zwingend durchgesetzt und
überwacht.
es werden zwar standardisierte
Tests durchgeführt,
diese sind allerdings nicht
formalisiert. es erfolgt
keine archivierung der
Testergebnisse nach deren
Umsetzung. die definitive
Freigabe für den Produktivbetrieb
der anwendung
erfolgt in der regel nach der
korrekten durchführung der
Tests; dies wird jedoch nicht
zwingend durchgesetzt und
überwacht.
es gibt informelle anwen- es bestehen formelle
der-richtlinien zur Viren-
Prävention. die Benutzer
sind zwar informiert, dass
z.B. externe datenträger,
mail-anhänge, Zugriffe auf
zweifelhafte Internet-seiten
und unbekannte downloads
eine gefahr darstellen; es ist
aber kein nachweis möglich,
dass die mitarbeitenden die
richtlinien auch wirklich
einhalten.
Tests sind formalisiert;
Testplanung, -durchführung
und -dokumentation folgen
in allen entwicklungsphasen
klaren richtlinien bezüglich
Umfang und Vollständigkeit
und beziehen sämtliche
Fachstellen inkl. anwenderbereich
mit ein. ausreichend
umfangreiche einzel- und
kettentests werden vollständig
und korrekt durchgeführt,
was permanent
überwacht und regelmässig
überprüft wird.
Während und nach der
In stallation (Produktivsetzung)
werden zahlreiche
Tests mithilfe von
anwenderbefragungen oder
durch die Bereitstellung
der anwendung für eine
repräsentative Test-anwendergruppe
durchgeführt.
die definitive Freigabe für
den Produktivbetrieb erfolgt
ausschliesslich bei der erfüllung
sämtlicher, im Vorfeld
festgehaltenen abnahmekriterien.
die Testdurchführung
(inkl. Testergebnisse) wird
nachvollziehbar festgehalten,
was permanent
überwacht und regelmässig
überprüft wird.
die wichtigsten schnittstel- es bestehen formalisierte
len von neuen und geänder- Prozesse für die durchfühten
anwendungen zu den rung von Verträglichkeitstest
Umsystemen werden Tests neuer oder geänderter
unterzogen. die ergebnisse anwendungen für die beste-
dieser Tests werden jedoch henden Umgebungen (u.a.
nicht immer systematisch schnittstellen). die ergebnis-
dokumentiert und archiviert. se, die aufgetretenen Fehler
und die entsprechenden
lösungen/korrekturmassnahmen
werden systematisch
dokumentiert und
archiviert, was permanent
überwacht und regelmässig
überprüft wird.
anwender-richtlinien zur
Viren-Prävention. die Benutzer
sind informiert, dass
z.B. externe datenträger,
mail-anhänge, Zugriffe auf
zweifelhafte Internet-seiten
und unbekannte downloads
eine gefahr darstellen; eine
eigentliche ausbildung hat
aber in den letzten drei
Jahren nicht stattgefunden.
die einhaltung der
richtlinien wird nur fallweise
überwacht.
es bestehen formelle
anwender-richtlinien zur
Viren-Prävention. die Benutzer
werden im rahmen von
ausbildungsveranstaltungen
instruiert, wie z.B. mit datenträgern,
mail-anhängen
und unbekannten downloads
umzugehen ist. die
einhaltung der richtlinien
wird permanent überwacht
und periodisch kontrolliert.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Anwender-Richtlinien
Anwender-Ausbildung
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Verwendung von
Internet / E-Mail
es bestehen keine anwender-richtlinien
hinsichtlich
der nutzung von Internet
und e-mail. die mitarbeitenden
werden bezüglich der
risiken bei der nutzung des
Internets und e-mails nicht
sensibilisiert. Internet- und
e-mail-aktivitäten werden
nicht protokolliert und nicht
überwacht.
Archivierung es gibt keine anwenderrichtlinien
zur regelung von
aufbewahrung, archivierung
und Vernichtung von
Unterlagen.
Anwender-
Handbuch und
Dokumentation
Informatikschulungen
Schulung bei
Änderung und
Neuentwicklung
es bestehen hinweise
hinsichtlich der nutzung von
Internet und e-mail, und
die mitarbeitenden werden
bezüglich der risiken bei der
nutzung des Internets und
e-mails sensibilisiert. Internet-
und e-mail-aktivitäten
werden weder protokolliert
noch anderweitig überwacht
und analysiert.
es bestehen informelle
anwender-richtlinien und
Verfahren zur regelung von
aufbewahrung, archivierung
und Vernichtung von
Unterlagen. es ist aber kein
nachweis möglich, dass die
mitarbeitenden die richtlinien
auch wirklich einhalten.
die Benutzer verfügen über es stehen nur informelle
keine Benutzer-handbücher Benutzer-handbücher
für die verwendeten anwen- einiger anwendungen zur
dungen.
Verfügung; in zahlreichen
Fällen sind die vorhandenen
dokumentationen aber
unvollständig oder nicht
aktuell.
die anwender erhalten
keinerlei schulung.
Bei grösseren Änderungen
von anwendungen erfolgt
keinerlei Information oder
schulung für die Benutzer.
die anwender werden
nach dem Prinzip "learning
by doing" geschult; für
einzelnen anwendungen
bestehen eigentliche
schulungen.
Bei grösseren Änderungen
von anwendungen werden
keine schulungen angeboten.
die Benutzer werden
nach dem Prinzip "learning
by doing" geschult.
es bestehen anwender- es bestehen formelle
richtlinien hinsichtlich der anwender-richtlinien
nutzung von Internet und
e-mail. die mitarbeitenden
werden bezüglich der
risiken bei der nutzung des
Internets und e-mails nachhaltig
sensibilisiert. die Internet-
und e-mail-aktivitäten
werden zwar protokolliert,
aber nicht weiter überwacht
und analysiert.
34
hinsichtlich der nutzung von
Internet und e-mail sowie
formelle Verfahren für die
regelmässige sensibilisierung
sämtlicher mitarbeitenden
mit Zugang zu Computern
bezüglich der risiken bei
der nutzung des Internets
und e-mails. das e-mail
und Internet-Verhalten wird
permanent aufgezeichnet
und bezüglich unlauterer
oder risikobehafteter
aktivitäten (und einhaltung
des Persönlichkeitsschutzes)
analysiert.
es bestehen anwender- es bestehen formelle
richtlinien und Verfahren für
die aufbewahrung, archivierung
und Vernichtung von
Unterlagen. die einhaltung
der richtlinien wird aber nur
fallweise überwacht.
es stehen ausführliche
Benutzer-handbücher von
relevanten anwendungen
zur Verfügung; deren aktualität
und Vollständigkeit
kann jedoch nicht immer
sichergestellt werden.
anwender-richtlinien sowie
formelle Verfahren für die
aufbewahrung, archivierung
und Vernichtung von
Unterlagen; deren einhaltung
wird überwacht und
periodisch kontrolliert.
es besteht ein umfassendes
formelles Verfahren für die
Benutzer-handbücher und
dokumentation von sämtlichen
anwendungen. die
dokumentationen werden
zwingend bereitgehalten
und aktuell nachgeführt.
es besteht ein schulungspro- ein formelles schulungsprogramm,
um mitarbeitende in gramm und entsprechende
der korrekten und sicheren Verfahren stellen sicher, dass
Benutzung einer anwen- sämtliche anwender gemäss
dung zu schulen; diese ihren spezifischen Bedürf-
ausbildung erfolgt jedoch nissen, ihrem kenntnisstand
nicht zwingend vor der erst- sowie den sicherheitsanmaligen
Verwendung dieser forderungen des Unter-
anwendung und ist nicht an nehmens systematisch in
die spezifischen Bedürfnisse der korrekten und sicheren
der anwender und sicher- Benutzung der anwenheitsanforderungen
des dungen geschult werden,
Unternehmens angepasst. bevor sie damit eigenständig
arbeiten.
die mitarbeitenden werden ein formelles Verfahren stellt
über die grössere Änderun- sicher, dass bei grösseren
gen im Zusammenhang mit Änderungen und neuent-
anwendungen informiert. wicklungen mitarbeitende
schulungen werden angebo- über den (nach-)schulungsten,
jedoch nicht zwingend bedarf informiert werden
von sämtlichen Benutzern und innert nützlicher Frist
besucht.
diese schulungen auch absolvieren.
Zur Beantwortung
typischer Fragen seitens
der anwender wurde eine
anlaufstelle eingerichtet. die
einhaltung wird überwacht
und periodisch kontrolliert.
Feststellungen
Auswirkungen
Empfehlungen

Zugriffsschutz
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Anwenderprofile es bestehen keine auf rollen
basierenden Berechtigungsprofile.
Verwaltung der
Zugangsberechtigungen
Unpersönliche
Benutzerkonten
es bestehen keine eigentlichen
Verfahren, welche
sicherstellen, dass Berechtigungen
korrekt erfasst
und aktualisiert werden und
insbesondere die Berechtigungen
von austretenden
mitarbeitern zeitnah
gelöscht werden.
Unpersönliche Benutzerkonten
werden auch für
alltägliche geschäfts- oder
IT-aktivitäten verwendet,
ohne dass dies speziell
überwacht wird.
Authentisierung Für die Verwendung von
(mit Passwörtern) Passwörtern bestehen keinerlei(technische/konzeptionelle)
Vorgaben. Wichtige
oder besonders exponierte
systeme sind nicht mit Zwei-
Faktor-authentisierungen
geschützt.
es bestehen vereinzelte anwendungen
mit auf rollen
basierenden Berechtigungsprofile.
35
es besteht ein Berechtigungskonzept
mit klaren
rollen und auf rollen basierende
Berechtigungsprofile;
umgesetzt ist dieses jedoch
nur für bestimmte anwendungen
und Funktionen.
die Verfahren für die Ver- die Verfahren für die
waltung von Berechtigungen
sind informell; Benutzeridentifikationen
und Zugriffsrechte
werden ad hoc
beim system-administrator
bestellt.
Unpersönliche Benutzerkonten
werden fallweise
eingesetzt, ohne dass
sie systematisch auf ihre
notwendigkeit überprüft
werden.
der Zugriff auf systeme und
anwendungen ist grundsätzlich
mit Passwörtern
geschützt, für einzelne
besonders exponierte
systeme gibt es Zwei-Faktor
authentisierungen. der periodische
Passwort-Wechsel
wird mindestens 1x pro Jahr
erzwungen, jedoch können
Benutzer beliebige Passwörter
wählen.
Verwaltung von Berechtigungen
sind dokumentiert
und mehrheitlich bekannt,
so dass die Zugriffsberechtigungen
eines mitarbeiters
bei eintritt gemäss seiner
Funktion erstellt und bei
dessen austritt wieder
gelöscht werden; der Zugriff
auf die Berechtigungsverwaltung
ist auf wenige
Personen eingeschränkt. es
finden jedoch keine weiteren
Überprüfungen statt,
um sicherzustellen, dass
unbenutzte konten gelöscht
und nicht mehr benötigte
Zugriffsrechte entfernt
werden.
es ist dokumentiert, in welchen
Fällen unpersönliche
Benutzerkonten verwendet
werden dürfen. der
Zugang dazu ist auf wenige
Personen beschränkt; die
rückverfolgung auf die
jeweilige Person ist jedoch
nicht möglich. eine periodische
Überprüfung auf ihre
notwendigkeit findet nicht
statt.
die Verfahren für die authentisierung
von Benutzerkennungen
sind dokumentiert
sowie grundsätzlich
sicher aufgesetzt. Für
wichtige oder besonders exponierte
systeme sind Zwei-
Faktor-authentisierungen
vorhanden. der periodische
Passwort-Wechsel (mindestens
2x pro Jahr) sowie eine
minimale Passwort-syntax
wird erzwungen.
es besteht ein generelles
Berechtigungskonzept mit
klaren rollen und auf den
rollen basierende Berechtigungsprofile.mitarbeitenden
werden entsprechend
ihrer Funktion und/oder
stellenbeschreibung 1-n Profile
zugeordnet; die Vergabe
von einzelberechtigungen
ist nur in ausnahmefällen
notwendig.
es bestehen schriftlich
festgehaltene Verfahren für
Verwaltung von Berechtigungen,
der sicherstellt,
dass die Zugriffsberechtigungen
eines mitarbeiters
bei eintritt gemäss seiner
Funktion erstellt, periodisch
aktualisiert und bei
dessen austritt gelöscht
werden. der Zugriff auf die
Berechtigungsverwaltung
ist organisatorisch wie
technisch strikt auf wenige
Personen eingeschränkt. die
einhaltung der Verfahren
wird permanent überwacht
und periodisch kontrolliert;
Berechtigungen selbst werden
regelmässig überprüft,
um sicherzustellen, dass
unbenutzte konten nicht
mehr aktiv sind und nicht
mehr benötigte Zugriffsrechte
entfernt wurden.
ein formelles Verfahren stellt
sicher, dass unpersönliche
Benutzerkonten nur in
ausnahmefällen und mit
vorgängigem einverständnis
einer dafür zuständigen stelle
verwendet werden. Unpersönliche
Benutzerkonten
können von mitarbeitenden
nur über eine vorgängige
persönliche authentifizierung
verwendet werden, so
dass die nachvollziehbarkeit
sichergestellt ist. Unpersönliche
Benutzerkonten werden
periodisch auf ihre notwendigkeit
überprüft.
ein schriftlich festgehaltenes
Verfahren stellt sicher, dass
für die authentisierung von
Benutzerkennungen ausreichend
sichere Verfahren
verwendet werden; wichtige
oder besonders exponierte
systeme werden mit einer
Zwei-Faktor-authentisierung
geschützt. Bei der Verwendung
von Passwörtern wird
von den systemen eine starke
Passwort-syntax sowie
der periodische Wechsel von
Passwörtern erzwungen.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Zugriffsschutz
IT-Sicherheit
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Sensibilisierung
zum Umgang mit
Passwörtern
Umgang mit
vertraulichen
Daten
Anwendersensibilisierung
Virenschutzprogramme
Administrationsrechte
am
Arbeitsplatzrechner
es findet keine sensibilisierung
der mitarbeitenden
bezüglich dem sicheren
Umgang mit Passwörtern
statt. Passwörter werden
kaum geändert und häufiger
an andere Personen weitergegeben.
es gibt keine richtlinien für
den Umgang mit vertraulichen
daten. server und
daten sind nicht geschützt.
Unerlaubte Zugriffe können
nicht erkannt werden.
es findet keinerlei sensibilisierung
bzw. schulung
der anwender hinsichtlich
der Informations- und ITsicherheit
statt.
server und arbeitsplätze
(Clients) verfügen über
keinerlei Virenschutzprogramme.
es besteht kein konzept für
die Vergabe von admini stratorberechtigungen;
einzelne
Benutzer in Fachbereichen
verfügen an ihren arbeitsplätzen
über administratorberechtigungen,
wodurch
software ohne genehmigung
eines Verantwortlichen
installiert werden kann.
die mitarbeitenden wurden
mindestens einmal (z.B.
anlässlich ihrer einstellung)
bezüglich dem sicheren Umgang
mit Passwörtern sensibilisiert.
es werden einfach
zu erratende Passwörter
benutzt, Passwörter werden
nicht regelmässig geändert
oder werden anderen Benutzern
bekannt gegeben.
die mitarbeitenden werden
ab und zu hinsichtlich
der Wahl von starken
Passwörtern und dem
sicheren Umgang mit ihnen
sensibilisiert, jedoch wird ihr
ausbildungsstand nicht in
irgendeiner Form ermittelt
und festgehalten. Verstösse
gegen entsprechende
anweisungen werden nicht
zwingend disziplinarisch
verfolgt.
es bestehen informelle es bestehen Benutzer-
Benutzer-richtlinien für den
Umgang mit vertraulichen
daten; es ist aber kein
nachweis möglich, dass die
mitarbeitenden diese richtlinien
auch einhalten. server
und daten sind nicht speziell
geschützt. Unerlaubte Zugriffe
können nicht erkannt
werden.
richtlinien für den Umgang
mit vertraulichen daten. die
einhaltung der richtlinien
wird aber nur fallweise überwacht.Verschlüsselungsverfahren
für vertrauliche daten
und speziell geschützte server
existieren, werden aber
nicht konsequent eingesetzt.
Unerlaubte Zugriffe auf
vertrauliche daten können
teilweise erkannt und rückverfolgt
werden.
eine informelle anleitung es bestehen klare und
zur korrekten nutzung
der Informationssysteme
und zur Informations- und
IT-sicherheit ist vorhanden;
sie wird allerdings nicht
konsequent kommuniziert.
eine schulung der anwender
findet nicht statt.
server und arbeitsplätze
(Clients) verfügen teilweise
über ein Virenschutzprogramm;
dieses wird
aber nicht regelmässig
aktualisiert.
es besteht ein informelles
konzept für die Vergabe von
administrator-Berechtigungen.
einzelne registrierte
Benutzer verfügen an
ihren arbeitsplätzen über
administratorberechtigungen,
wodurch software
ohne genehmigung eines
Verantwortlichen installiert
werden kann.
verbindliche anleitungen
zur korrekten nutzung
der Informationssysteme
und zur Informations- und
IT-sicherheit, welche den
mitarbeitenden bei eintritt in
das Unternehmen ausgehändigt
werden. eine schulung
gibt es zum grössten Teil für
neu-eintretende; andere
mitarbeiter werden nicht
systematisch geschult.
server und arbeitsplätze
(Clients) verfügen über ein
Virenschutzprogramm; dieses
wird aber nicht täglich
aktualisiert.
36
ein schriftlich festgehaltenes
Verfahren stellt sicher, dass
alle mitarbeitenden regelmässig
hinsichtlich der Wahl
von starken Passwörtern und
dem sicheren Umgang mit
ihnen sensibilisiert werden.
alle Benutzer kennen ihre
Verantwortung beim Umgang
mit Passwörtern; ihr
ausbildungsstand sowie die
einhaltung wird kontrolliert;
Verstösse werden disziplinarisch
verfolgt.
es bestehen formelle
Benutzer-richtlinien für den
Umgang mit vertraulichen
daten und die Benutzer sind
dementsprechend ausgebildet.
Vertrauliche daten sind
verschlüsselt oder befinden
sich auf speziell geschützten
servern. Zugriffe auf
vertrauliche daten werden
vollständig protokolliert und
periodisch kontrolliert.
eine formelle anleitung
zur korrekten nutzung der
Informationssysteme und
zur Informations- und ITsicherheit
besteht und wird
aktiv an sämtliche Benutzer
verteilt. systematische
schulungen finden zielgruppen-
und funktionsgerecht
in regelmässigen abständen
statt und werden nachweislich
vom grössten Teil der
mitarbeitenden besucht.
ergänzende sensibilisierungs-massnahmen
werden
geplant umgesetzt.
das Unternehmen verfügt
über ein täglich online
aktualisiertes Virenschutzprogramm,
das auf allen
servern und arbeitsplätzen
installiert ist und von den
Benutzern nicht deaktiviert
werden kann.
es besteht ein formelles es besteht ein formelles
konzept für die Vergabe von
administrator-Berechtigungen.
einzelne registrierte
Benutzer verfügen an ihren
arbeitsplätzen über administratorberechtigungen,
wodurch softwareinstallationen
ohne genehmigung
eines Verantwortlichen
möglich sind. die Benutzer
sind jedoch verpflichtet, die
software vor der Installation
genehmigen und prüfen zu
lassen.
konzept für die Vergabe von
administrator-Berechtigungen.
kein Benutzer verfügt
über administrationsberechtigungen
am arbeitsplatz.
eine softwareinstallation
muss durch ein formelles
antragswesen von verantwortlicher
stelle bewilligt
werden. die software wird
nach vorgängiger Prüfung
von den zuständigen und
berechtigten Fachspezialisten
auf den entsprechenden
arbeitsplätzen installiert.
Feststellungen
Auswirkungen
Empfehlungen

IT-Sicherheit
Physische Sicherheit
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Netzwerkschutz es besteht kein konzept, das
den netzwerk-Perimeterschutz
regelt; das netzwerk
verfügt über keine erkennbaren
schutzmassnahmen;
ein- und ausgehende
daten ströme werden weder
registiert noch weiter überwacht.
Remote Access es besteht kein konzept für
die Vergabe von Fernzugriff;
es bestehen Fernzugriffskonten,
von denen bisher
niemand etwas wusste.
Brandschutz die IT-Infrastruktur ist nicht
vor Bränden geschützt und
es existieren keine mittel zur
Brandlöschung. In räumen
der IT-Infrastruktur oder in
deren unmittelbaren Umgebung
befinden sich grosse
Brandlasten.
Absicherung der das Unternehmen verfügt
Stromversorgung über keinerlei schutzmassnahmen
vor stromausfällen
und spannungsschwankungen.
Zugang zu den
Räumlichkeiten
es bestehen grundlegende
sicherheitsmassnahmen zum
schutz der Verbindungen
zwischen dem internen
netzwerk und der aussenwelt.
ein- und ausgehende
datenströme werden weder
registriert noch weiter
überwacht.
es besteht ein informelles
konzept für die Vergabe
von Fernzugriff; jedoch
wird es nicht systematisch
umgesetzt. Fernzugriffe aus
externen netzen auf die IT-
Infrastruktur (z.B. Fernwartung,
Bereitschaftsdienst)
werden nicht auf auftretenshäufigkeit,
herkunft und
notwendigkeit geprüft.
die IT-Infrastruktur ist
nicht speziell vor Bränden
geschützt und es existieren
nur rudimentäre mittel
zur Brandlöschung. In den
räumen der IT-Infrastruktur
oder in deren unmittelbaren
Umgebung befinden sich
teilweise grosse Brandlasten.
das Unternehmen verfügt
über einen schutz vor
spannungsschwankungen
für die wichtigsten ITeinrichtungen
(z.B. server,
rechenzentrum), aber nur
ausnahmsweise über eine
unterbrechungsfreie stromversorgung.
Personen können die Personen können die
Firmen räumlichkeiten Firmenräumlichkeiten
ungehindert betreten und
sich frei bewegen, ohne sich
am empfang anzumelden.
die Informatikräume sind
unverschlossen und werden
nicht überwacht. ausserhalb
der arbeitszeit sind die
räumlichkeiten nicht durch
ein einbruchmeldesystem
abgesichert.
ungehindert betreten und
sich frei bewegen, ohne sich
am empfang anzumelden.
die Informatikräume sind
verschlossen, werden aber
nicht überwacht. ausserhalb
der arbeitszeit sind die
räumlichkeiten nicht durch
ein einbruchmeldesystem
abgesichert.
37
alle netzwerkverbindungen
zwischen dem internen
netzwerk und der aussenwelt
werden basierend
auf einem klaren konzept
geschützt; ein- und ausgehende
datenströme werden
registriert und permanent
überwacht.
es besteht ein formelles
konzept für die Vergabe
von Fernzugriff. Fernzugriffe
aus externen netzen auf
die IT-Infrastruktur (z.B.
Fernwartung, Bereitschaftdienst)
werden teilweise
protokolliert, jedoch nicht
systematisch auf auftretenshäufigkeit,
herkunft und
notwendigkeit geprüft.
die IT-Infrastruktur wird
trotz der einhaltung der geltendenBrandschutzbestimmungen
nur unzureichend
geschützt; IT-spezifische
anforderungen wie spezielle
löschmittel oder die Vermeidung
von Brandlasten in der
unmittelbaren Umgebung
werden nur teilweise erfüllt.
das Unternehmen verfügt
über eine unterbrechungsfreie
stromversorgung und
schutz vor spannungsschwankungen
für die
wichtigsten server und
einrichtungen. Für die
arbeitsplätze selbst gibt es
allerdings keine unterbrechungsfreiestromversorgung.
das Unternehmen verfügt
über einen empfang, jedoch
nicht über schleusen oder
durchgangssperren für die
Zugangskontrolle zu den
Innenräumen. Besucher
werden nicht systematisch
in internen Zonen begleitet,
aber die Informatikräume
sind über eine Zugangskontrollsystem
abgesichert. Versuchte
oder erfolgte Zutritte
sind nachvollziehbar.
alle netzwerkverbindungen
zwischen dem internen
netzwerk und der aussenwelt
werden basierend
auf einem klaren konzept
geschützt; die anwenderverbindungen
werden
über wacht. die netzwerkverbindungen
werden periodisch
durch unabhängige
experten auf schwachstellen
und Verwundbarkeiten
untersucht.
es besteht ein formelles
konzept für die Vergabe
von Fernzugriff. die Zugriffe
werden systematisch
proto kolliert und periodisch
ausgewertet. Fernzugriffe
werden regelmässig,
mindestens einmal jährlich,
von unabhängiger stelle
auf auftretenshäufigkeit,
herkunft und notwendigkeit
geprüft.
die IT-Infrastruktur ist durch
die einrichtung von Brandschutzzonen,Brandmeldesystemen
und angemessenen
löscheinrichtungen vor
den auswirkungen eines
Brandes geschützt. Brennbare
materialien werden weder
in den Informatikräumen
noch in deren unmittelbaren
Umgebung aufbewahrt.
das Unternehmen verfügt
für die gesamte IT-Infrastruktur
(inkl. der wichtigsten
arbeitsplätze) über eine
unterbruchsfreie stromversorgung
zur Vermeidung
von schäden infolge von
stromausfällen oder spannungsschwankungen.
alle räumlichkeiten werden
überwacht, Zutritte werden
protokolliert. Besucher
müssen sich am empfang
anmelden und werden
während ihres gesamten
aufenthalts in den Unternehmensräumlichkeitenbegleitet.
die Informatikräume
sind gesichert; der Zutritt für
firmenfremde Personen (Besucher,
Wartungstechniker
etc.) muss explizit beantragt
werden. Fremde Personen
werden in sicherheitszonen
permanent überwacht.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

IT-Betrieb
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Aufgaben in
Anwendungen
die Zuständigkeiten und
Verantwortlichkeiten im
Zusammenhang mit der nutzung,
der Pflege und dem
Betrieb der anwendungen
sind nicht festgelegt. es wird
keine gewaltentrennung auf
technischer und organisatorischer
ebene durchgesetzt.
Betrieb Für die Funktion des
administrators wurde keine
Person abgestellt; netzwerk
und systeme werden nicht
überwacht und gepflegt.
Konfigurationsmanagement
Systemüberwachung
& Wartung
der Zugriff auf die konfigurationsdaten
von systemen
ist de facto weder durch
Verfahren geregelt noch
auf berechtigte Personen
eingeschränkt.
system-komponenten werden
kaum überwacht und
nur bei grösseren störungen
ausgewechselt.
Einsatz von Tools Für den Betrieb der IT werden
kaum Tools eingesetzt.
Netzwerküberwachung
das netzwerk wird kaum
überwacht und es besteht
keine klare Verantwortlichkeit
für die netzwerküberwachung.
die Zuständigkeiten und
Verantwortlichkeiten im
Zusammenhang mit der
nutzung, der Pflege und
dem Betrieb der anwendungen
sind den mitarbeitern
grundsätzlich bekannt, aber
nicht dokumentiert. die
technische oder organisatorische
gewaltentrennung
kann von den mitarbeitern
umgangen werden.
es wurde ein administrator
bestimmt; dieser hat jedoch
noch weitere Funktionen im
Betrieb inne und kann sich
somit nicht immer um die
systempflege- und Überwachungsaufgaben
kümmern.
die Zuständigkeiten und
Verantwortlichkeiten im
Zusammenhang mit der
nutzung, der Pflege und
dem Betrieb der anwendungen
sind festgelegt
und dokumentiert; die
technische gewaltentrennung
kann jedoch von
den mitarbeitern umgangen
werden.
es wurde ein administrator
und/oder ein Betriebsteam*
bestimmt, welche für netz-
und systempflege zuständig
ist/sind. eine Überwachung
findet sporadisch aber nicht
täglich statt.
* abhängig von grösse
die Verfahren für die die Verfahren für Ände-
Änderung der konfiguration run gen an der konfigura-
von systemen sind informell; tion von systemen
Änderungen an der konfigu- sind dokumentiert und
ration von systemen werden mehrheitlich bekannt und
nicht aufgezeichnet. der Zugriff auf berechtigte
Personen eingeschränkt.
konfigurations änderungen
werden protokolliert; diese
werden aber nur fallweise
überprüft.
es bestehen informelle
Verfahren für die systemüberwachung;
eine
technische Überwachung
wird teilweise durchgeführt
und system-komponenten
werden bei Bedarf (reaktiv)
ausgewechselt.
Für den Betrieb der Informatik
werden vereinzelte Tools
eingesetzt; deren einsatz
erfolgt aber primär reaktiv
und isoliert.
einzelne Verbindungs- und
Fehlerstatistiken über das
netzwerk und die netzwerkkompenenten
sind verfügbar,
werden aber nicht
systematisch analysiert.
es bestehen formelle
Verfahren für die systemüberwachung;
eine technische
Überwachung wird
durchgeführt und systemkomponenten
werden
nach einem vordefinierten
Plan ausgewechselt. die
relevanten daten werden
teilweise protokolliert und
ausgewertet; teilweise werden
Benutzerbefragungen
durchgeführt.
Für den Betrieb der Informatik
werden Tools eingesetzt;
deren einsatz ist aber wenig
aufeinander abgestimmt
und erfolgt häufig reaktiv.
Verbindungs- und Fehlerstatistiken
des netzwerks
und der netzwerk-komponenten
werden systematisch
protokolliert; diese werden
jedoch eher situativ (z.B.
nach Vorkommnissen)
analysiert.
38
die Zuständigkeiten und
Verantwortlichkeiten im
Zusammenhang mit der
nutzung, der Pflege und
dem Betrieb der anwendungen
sind formal festgelegt
und dokumentiert. die
technische gewaltentrennung
wird regelmässig
auf erfüllung der anforderungen
geprüft.
es wurde ein administrator
und/oder ein Betriebsteam*
bestimmt. netz- und
system pflege- und -überwachungsaufgaben
werden
täglich und systematisch
durchgeführt.
* abhängig von grösse
es besteht ein formelles
Verfahren für Änderungen
an der konfiguration von
systemen; alle Änderungen
werden vor ihrer durchführung
verifiziert und dauerhaft
dokumentiert. erfolgte
konfigurationsänderungen
werden automatisch erkannt,
rapportiert und auf
Übereinstimmung mit einem
entsprechenden Änderungsauftrag
überprüft.
es bestehen formelle Verfahren
für die systemüberwachung,
die konsequent
umgesetzt werden. die
leistung der wichtigen
system-komponenten wird
permanent aufgezeichnet
und regelmässig vom für
systemüberwachung zuständigen
IT-Verantwortlichen
kontrolliert (ausfälle, störungen,
reaktionszeit usw.).
Befragungen der Benutzer
dienen zur Bedarfsermittlung.
Für den Betrieb der Informatik
werden basierend auf
einem klaren konzept Tools
eingesetzt. die verschiedenen
Werkzeuge sind klar
aufeinander abgestimmt; ihr
einsatz erfolgt geplant und
nach klaren Vorgaben.
Verbindungs- und Fehlerstatistiken
des netzwerks
und von netzwerk-komponenten
werden basierend
auf einem klaren konzept
systematisch und vollständig
protokolliert; diese werden
regelmässig überprüft und
aufgetretene Zwischenfälle
systematisch untersucht.
Feststellungen
Auswirkungen
Empfehlungen

IT-Betrieb
Problem-Management
Datensicherung
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Kontrolle der
Systemleistung
Umgang mit
Fehlern
es erfolgt keinerlei kontrolle
der systemleistungen innerhalb
des Betriebs.
es bestehen informelle Verfahren
für die kontrolle der
effektiven systemleistung.
die Beobachtungen werden
nicht festgehalten.
es gibt keine Verfahren zum es bestehen wenig formelle
Umgang mit störungen oder Verfahren zum Umgang
Fehlern.
mit störungen und Fehlern.
Fehler werden nicht systematisch
aufgezeichnet und
sind kaum rekonstruierbar.
Problem-Berichte werden
erstellt.
Help-Desk es besteht kein helpdesk.
Benutzer gehen direkt
auf mitarbeiter der IT zu
und melden ihre Probleme
informell.
Systemverfügbarkeit
Sicherungskonzept
Sicherungsprozess
systemausfälle werden nicht
überwacht und dokumentiert.
es existiert kein datensicherungskonzept.
es werden keine datensicherungen
durchgeführt.
es besteht ein helpdesk; dieser
ist aber aus unterschiedlichen
gründen (ressourcen,
knowhow, etc.) nicht in
der lage, alle mitarbeiteranfragen
zu bewältigen.
Informelle kontakte
zwischen Benutzern und IT
werden als alternative zum
help desk genutzt.
39
es bestehen formelle Verfahren
für die kontrolle der
effektiven systemleistung;
die aufzeichnung erfolgt
auto matisch. eine auswertung
wird nur fallweise
erstellt.
Verfahren für den Umgang
mit störungen und Fehlern
sind für die meisten systeme
weitgehend geregelt; die
einhaltung der Verfahren
wird aber nur fallweise überprüft.
störungen werden
aufgezeichnet, aber nur
fallweise ausgewertet.
ein spezieller Benutzerhelpdesk
steht während
der gesamten arbeitszeit
zur Verfügung und ist in
der lage, die mitarbeiteranfragen
zu bewältigen.
Informelle kontakte
zwischen Benutzern und IT
werden auf den help desk
weiter vermittelt.
Verfügbarkeitsanforderun- es besteht ein konzept
gen werden nur nach sicherheitsrelevanten
ereignissen
geprüft. systemausfälle
werden teilweise dokumentiert.
es besteht ein informelles
datensicherungskonzept; es
ist jedoch nicht schriftlich
festgehalten.
zur aufrechterhaltung der
Verfügbarkeit; es ist aber
nicht vollständig umgesetzt.
die Verfügbarkeit wichtiger
systeme wird automatisch
erfasst. systemausfälle
werden systematisch dokumentiert
und in der regel
auf ihre Ursachen analysiert.
es besteht ein schriftlich
fest gehaltenes datensicherungskonzept,
das klar
regelt, welche daten zu welchem
Zeitpunkt, in welchem
Umfang und in welcher Zahl
generationen gespeichert
werden; aufbewahrungsort
und -dauer sind teilweise
spezifiziert. die einhaltung
des konzepts wird nur
fallweise geprüft.
es werden keine regelmäs- es werden täglich (oder
si gen datensicherungen häufiger) sicherungen
durchgeführt und die er- gemäss dem datensichestellten
sicherungen werden rungskonzept durchgeführt.
nicht kontrolliert.
die durchführung wird
protokolliert, aber die Protokolle
werden nur fallweise
überprüft.
es bestehen formelle
Verfahren für die kontrolle
der effektiven systemleistung;
störungen, ausfälle
und reaktionszeiten der
anwendungen und systeme
werden automatisch erkannt
und konsequent abgeklärt.
eine Zusammenfassung der
Fehler und der eingeleiteten
störungsbehebungsmassnahmen
ist verfügbar.
es gibt formelle Verfahren
für den Umgang mit
störungen und Fehlern.
ereignisse sind lückenlos
nachvollziehbar und werden
systematisch abgeklärt.
die Fehlerberichte werden
systematisch archiviert.
ein spezieller Benutzerhelpdesk
ist während
der gesamten arbeitszeit
verfügbar und ist quantitativ
wie qualitativ in der lage,
die mitarbeiteranfragen zu
bewältigen. anfragen, die
erkannten Probleme wie
die gemachten lösungen
werden in einem system
systematisch erfasst und zur
proaktiven Verbesserung
eingesetzt.
es bestehen formelle
Verfahren zur aufrechterhaltung
der Verfügbarkeit,
das vollständig umgesetzt
ist. die Verfügbarkeit der
systeme wird automatisch
erfasst und periodisch
analysiert. die Ursachen für
ausfälle werden systematisch
abgeklärt, korrigierende
massnahmen proaktiv
implementiert.
es besteht ein schriftlich
festgehaltenes datensicherungskonzept,
das klar
regelt, welche daten zu welchem
Zeitpunkt, in welchem
Umfang und in welcher Zahl
generationen gespeichert
werden. die einhaltung des
konzepts wird regelmässig
geprüft.
es werden täglich (oder
häufiger) sicherungen
gemäss dem datensicherungskonzept
durchgeführt.
die durchführung wird
protokolliert, und die Protokolle
werden nach jeder
sicherung überprüft.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Datensicherung
Outsourcing
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Wiederherstellungstest
es werden keine Tests zum
Zurückladen der sicherungen
durchgeführt.
IT-Notfallplan es wurden keine Überlegungen
zu einem IT-notfallplan
angestellt.
Datenauslagerung
Outsourcing-
Vereinbarungen
Auswahlverfahren
für
Outsourcing-
Partner
datensicherungen werden
nicht ausserhalb des Unternehmens
aufbewahrt.
es bestehen keine outsourcing-Vereinbarungen
mit
den externen dienstleistern.
das Unternehmen ver fügt
über keinerlei auswahlverfahren
für outsourcing-
Partner, das die Berücksichtigung
wichtiger
aus wahl kriterien sicherstellt.
es werden informelle aber
keine systematischen Tests
zum Zurückladen der sicherungen
durchgeführt (z.B.
auf Initiative der Fachabteilungen).
Überlegungen zur Bestimmung
der wichtigsten
daten und der elemente des
Informationssystems, ohne
die das Unternehmen seine
geschäftstätigkeit nicht
fortführen kann, wurden
angestellt. ein IT-Plan zur
Unterstützung der Wiederaufnahme
der geschäftstätigkeit
im schadensfall
wurde nicht erstellt.
datensicherungen werden
ausgelagert, der Prozess ist
aber nicht geregelt und nicht
dokumentiert. der Zugriff
auf die speichermedien ist
für das Unternehmen nicht
jederzeit gewährleistet (z.B.
bei auslagerung in den privaten
räumlichkeiten eines
mitarbeiters).
leistungen von externen
dienstleistern basieren
auf standardverträgen der
dienstleister und enthalten
nur vage oder lückenhafte
angaben zu Qualität, sicherheit
und Verfügbarkeit der
leistung. modalitäten zur
Vertragsauflösung fehlen.
das Unternehmen verfügt
über informelle auswahlverfahren.
die auswahlkriterien
sind jedoch unvollständig,
projektspezifische anfor derungen
sind teilweise vorhanden.
ausschreibungen
werden nicht konsequent
bei allen outsourcing-Vorhaben
durchgeführt.
Tests zum Zurückladen der
daten werden periodisch
durchgeführt; ihre resultate
werden protokolliert, aber
nur fallweise kontrolliert.
Überlegungen zur Bestimmung
der wichtigsten
daten und der elemente
des Informationssystems,
ohne die das Unternehmen
seine geschäftstätigkeit
nicht fortführen kann,
wurden angestellt. ein IT-
Plan zur Wiederaufnahme
der geschäftstätigkeit im
schadensfall wurde erstellt,
aber es wurden noch keine
konkreten technischen und
personellen Vorkehrungen
getroffen.
es besteht ein schriftlich
festgehaltenes konzept
für die auslagerung von
datensicherungen, das
vollständig umgesetzt
ist. die auslagerung wird
protokolliert, das Protokoll
aber nur fallweise überprüft.
der Zugriff auf die speichermedien
innerhalb der
defi nierten Zeitspanne ist für
das Unternehmen aber nicht
immer gewährleistet (z.B.
bei auslagerung in privaten
räumlichkeiten eines mitarbeiters).
leistungen von externen
dienstleistern basieren auf
schriftlichen Vereinbarungen,
welche die vereinbarten
leistungen beschreiben.
Qualität, sicherheit und
Verfügbarkeit sind jedoch
nicht umfassend geregelt. es
gibt informelle Verfahren zur
Überwachung der leistung
und zu deren Verbesserung
bei nichteinhaltung der Vereinbarungen;
modalitäten
zur Vertragsauflösung sind
teilweise festgelegt.
das Unternehmen verfügt
über ein formalisiertes
auswahlverfahren für
out sourcing-Partner, das
mehrheitlich angewandt
wird. die wesentlichen auswahlkriterien
(inkl. Bonität
und leistungsfähigkeit) sind
vorhanden, werden aber
nicht zwingend konsequent
bewertet.
40
systematische Tests zum
Zurückladen der sicherungen
aller kernanwendungen
werden regelmässig (nicht
seltener als 1x pro monat)
durchgeführt; die resultate
werden protokolliert und
systematisch kontrolliert.
es wurden Vorkehrungen für
die Umsetzung des IT-notfallplans
(z.B. Bereitstellung
eines ausweichstandorts für
notfälle bzw. die aufbewahrung
von ersatz-hardware
für störungsfälle) getroffen.
ein IT-Plan zur Wiederaufnahme
der geschäftstätigkeit
wurde formalisiert
und enthält die rollen der
Beteiligten und die prioritär
wiederherzustellenden
systeme. der Plan wird
regelmässig getestet und ist
einsatzbereit.
es besteht ein schriftlich
festgehaltenes konzept
für die auslagerung von
datensicherungen, das
vollständig umgesetzt ist.
die auslagerung wird protokolliert,
und das Protokoll
wird systematisch überprüft.
der Zugriff auf die speichermedien
innerhalb der
definierten Zeitspanne ist für
das Unternehmen jederzeit
gewährleistet, durch einen
Prozess sichergestellt und
dokumentiert.
leistungen von externen
dienstleistern basieren auf
service level agreements
und klaren Verträgen, die
die Qualität der leistungen,
die Verfügbarkeit sowie
sicherheit und Verfügbarkeit
sicherstellen. die einhaltung
der Vereinbarung wird
laufend überwacht. Bei
abweichungen werden gezielt
massnahmen getroffen;
modalitäten zur Vertragsauflösung
sind klar festgelegt.
das Unternehmen besitzt ein
formalisiertes auswahlverfahren
für outsourcing-Partner.
das auswahlverfahren
berücksichtigt alle wesentlichen
auswahlkriterien
(z.B. referenzen, Unternehmensgrösse,spezialkenntnisse,
projektspezifische
anforderungen, Bonität)
und ist einem formalisierten
Freigabeprozess unterstellt,
der alle betroffenen stellen
des Unternehmens miteinbezieht.
es werden grundsätzlich
immer ausschreibungen
durchgeführt.
Feststellungen
Auswirkungen
Empfehlungen

Outsourcing
Rechnungswesen
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Abhängigkeit /
Knowhow-
Verlust
Kontrollmöglichkeit
beim
Outsourcing-
Partner
Überwachung
der Support-
Tätigkeiten
Aufbewahrung
& Archivierung
es gibt keine Vorgaben,
welche Unternehmenstätigkeiten
(unkritische,
kritische, strategische) an
externe dienstleister vergeben
werden dürfen und
welche nicht. es gibt keinen
Verantwortlichen für die
koordination mit externen
dienstleistern.
es besteht keine kontrollmöglichkeit
beim outsourcing-Provider.sicherheitsmassnahmen
auf seite des
outsourcing-Partner sind
nicht bekannt.
die Wartungs- und supporteinsätze
der externen
dienstleister werden nicht
überwacht, das ergebnis
ihrer leistungen wird nicht
mit dem erwarteten ergebnis
verglichen.
es findet keine eigentliche
archivierung statt.
es gibt informelle Überlegun
gen, welche Unternehmenstätigkeiten
(unkritische,
kritische, strategische) an
externe dienstleister vergeben
werden dürfen und
welche nicht. ausgelagerte
Tätigkeiten werden teilweise
schriftlich dokumentiert.
die leistungen sowie die
sicherheitsmassnahmen sind
nur in der dokumentation
des externen dienstleisters
beschrieben. massnahmen
zur kontrolle der leistungen
und einhaltung von sicherheitsanforderungen
sind in
den Verträgen nicht formal
definiert.
die Wartungs- und supporteinsätze
der externen
dienst leister werden
spora disch protokolliert; das
ergebnis ihrer leistungen
wird jedoch nicht mit
dem erwarteten ergebnis
verglichen.
es existiert kein archivierungskonzept.
die für die
archivierung eingesetzten
hilfsmittel (auch elektronische)
und räumlichkeiten
sowie die eigentliche archivierung
entsprechen nicht
den gesetzlichen anforderungen
(z.B. geBüV, eldiv).
41
es gibt formelle Vorgaben,
welche Unternehmenstätigkeiten
ausgelagert werden
dürfen und welche nicht. Für
Tätigkeiten mit strategischer
Bedeutung werden die
ausgelagerten leistungen
konsequent dokumentiert;
eine Überwachung findet
nur fallweise statt. die
dokumentation unterstützt
einen potentiellen lieferantenwechsel.
die leistungen sowie die
vom Provider zu erfüllenden
sicherheitsanforderungen
sind schriftlich festgelegt.
massnahmen zur kontrolle
der leistungen und
einhaltung von sicherheitsanforderungen
sind in den
Verträgen formal definiert;
deren einhaltung wird aber
nicht konkret überprüft. der
externe dienstleister wird
durch eine unabhängige
stelle regelmässig überprüft;
der Prüfbericht wird dem
kunden ausgehändigt.
die Wartungs- und supporteinsätze
der externen
dienst leister werden
syste matisch protokolliert,
das ergebnis ihrer leistungen
wird fallweise mit
dem erwarteten ergebnis
verglichen. die externen
dienstleister stehen in regelmässigem
kontakt mit dem
IT-Verantwortlichen.
es existiert ein archivierungskonzept;
es ist aber
nicht vollständig schriftlich
festgehalten. es ist unklar,
ob das konzept, die für die
archivierung eingesetzten
hilfsmittel (auch elektronische)
und räumlichkeiten
wie auch die archivierung
selbst den gesetzlichen
anforderungen (z.B. geBüV,
eldiv) entsprechen. eine regelmässige
Überprüfung der
archivierung erfolgt nicht.
es gibt formelle Vorgaben,
welche sicherstellen, dass
nur genau definierte, formalisierte
und dokumentierte
Tätigkeiten an externe
Partner vergeben werden.
Für Tätigkeiten mit strategischer
Bedeutung werden die
ausgelagerten leistungen
konsequent dokumentiert
und periodisch überwacht.
Potentielle ersatz- oder
Zweitlieferanten werden
regelmässig evaluiert; die
dokumentation ermöglicht
einen lieferantenwechsel bei
Problemen.
die leistungen sowie die
vom Provider zu erfüllenden
sicherheitsanforderungen
sind detailliert schriftlich
festgelegt; massnahmen zur
kontrolle der leistungen und
einhaltung von sicherheitsanforderungen
sind in den
Verträgen formal definiert
und werden umgesetzt. der
externe dienstleister wird
durch eine unabhängige
stelle regelmässig hinsichtlich
der in den Verträgen
festgehaltenen Zielen überprüft;
der Prüfbericht wird
dem kunden ausgehändigt.
er hat das recht, zusätzliche
Prüfungen beim dienstleister
durchzuführen (right to
audit).
die Wartungs- und supporteinsätze
der externen
dienstleister werden
systematisch protokolliert,
und das ergebnis ihrer
leistungen und die erzielten
Fortschritte werden regelmässig
mit dem erwarteten
ergebnis verglichen – bei
sicherheitsrelevanten
anwendungen werden die
aktivitäten der externen
dienstleister sehr engmaschig
überwacht.
das archivierungskonzept
ist schriftlich festgelegt. das
konzept, die für archivierung
eingesetzten hilfsmittel
(auch elektronische) und
räumlichkeiten sowie die
eigentliche archivierung entsprechen
den gesetzlichen
anforderungen (z.B. geBüV,
eldiv). die Vollständigkeit
und korrektheit der archivierung
wird regelmässig
überprüft.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen

Rechnungswesen
direkte Anwendungskontrollen
unterstützende Anwendungskontrollen
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Jahresabschluss
(Vorbereitung)
Jahresabschluss
(Durchführung)
die vor dem Jahresabschluss nicht alle vor dem Jahres-
zu erledigenden Vorbereiabschluss zu erledigenden
tungsarbeiten,Verarbei- Vorbereitungsarbeiten,
tungsschritte und kontrollen Verarbeitungsschritte und
sind nicht dokumentiert. kontrollen sind dokumentiert.
die einzelnen schritte und
kontrollen der Jahresabschluss-Verarbeitung
sind
nicht dokumentiert.
Datenerfassung die entstehung (origination)
(Dokumentation) und erfassung von daten
ist nicht dokumentiert und
geschieht ad-hoc.
Datenerfassung geschäftsfälle/Trans(Nachvollziehbaraktionen
werden nicht in
keit)
Journalen festgehalten.
System-
Dokumentation
die hauptfunktionen von
kern-anwendungen, die
daten- und Werteflüsse
sowie die schnittstellen zu
vor- und nachgelagerten
anwendungen sind nicht
dokumentiert.
Überwachung sowohl bei den automati-
der Schnittstellen sierten wie auch den manuellen
schnittstellen gibt es
keine Überwachung.
Aktualisierung
der Stammdaten
der Zugang zu Funktionen
der stammdatenaktualisierung
ist de facto weder
durch Verfahren geregelt
noch auf berechtigte Personen
eingeschränkt.
die einzelnen schritte und
kontrollen der Jahresabschluss-Verarbeitung
sind
nur lückenhaft dokumentiert.
die abläufe für die entstehung
(origination) und
erfassung von daten sind
nicht oder nur lückenhaft
dokumentiert.
manuell erfasste und
system generierte geschäftsvorfälle
und Transaktionen
werden nur teilweise auf
Journalen festgehalten.
die hauptfunktionen von
kern-anwendungen, die
daten- und Werteflüsse
sowie die schnittstellen zu
vor- und nachgelagerten
anwendungen sind nur
lückenhaft dokumentiert.
Für manuelle und automatisierte
schnittstellen werden
teilweise abstimmberichte
erstellt; diese werden nicht
näher untersucht und nicht
aufbewahrt.
die Verfahren für die aktualisierung
der stammdaten
sind informell; der Zugang
zu den stammdaten ist nicht
speziell auf berechtigte
Personen beschränkt.
alle vor dem Jahresabschluss alle vor dem Jahresabschluss
zu erledigenden Vorberei- zu erledigenden Vorbereitungsarbeiten,Verarbeitungsarbeiten,Verarbeitungsschritte
und kontrollen tungsschritte und kontrollen
sind dokumentiert; eine sind dokumentiert. Ihre
enge Überwachung erfolgt einhaltung wird strikt über-
nicht.
wacht und kontrolliert.
die einzelnen schritte und
kontrollen der Jahresabschluss-Verarbeitung
sind
dokumentiert. sie sind jedoch
nicht vollständig nachvollziehbar
festgehalten und
eine enge Über wachung
erfolgt nicht.
abläufe für die entstehung
(origination) und eingabe
von daten sind vollständig
dokumentiert. eine regelmässige
Überprüfung der
aktualität dieser dokumentation
findet nicht statt.
manuell erfasste wie auch
systemgenerierte geschäftsvorfälle/Transaktionen
sind
auf Journalen vollständig
nachvollziehbar festgehalten;
eine regelmässige
Überprüfung der aufzeichnungen
findet nicht statt.
Für die meisten kernanwendungen
sind die
hauptfunktionen, daten-
und Werteflüsse sowie die
schnittstellen zu vor- und
nachgelagerten anwendungen
dokumentiert.
Für die meisten kernanwen
dungen werden für
die manuellen und automatisierten
schnittstellen
abstimmberichte erstellt,
aber nur fallweise überprüft.
erkannte Fehler werden
teilweise dokumentiert;
Fehlerkorrekturen sind aber
zu einem späteren Zeitpunkt
nicht nachvollziehbar.
42
die einzelnen schritte und
kontrollen der Jahresabschluss-Verarbeitung
sind
lückenlos nachvollziehbar
dokumentiert; ihre einhaltung
wird strikt überwacht
und kontrolliert.
sämtliche relevanten abläufe
für die entstehung (origination)
und eingabe von
daten sind vollständig dokumentiert;
Änderungs- und
Projektprozesse beinhalten
zwingend die aktualisierung
dieser dokumentationen.
die korrektheit der dokumentation
wird regelmässig
verifiziert.
manuell erfasste wie auch
systemgenerierte geschäftsvorfälle/Transaktionenwerden
in Journalen lückenlos
nachvollziehbar festgehalten;
diese werden periodisch
auf ihre Vollständigkeit,
richtigkeit und aktualität
kontrolliert.
Für sämtliche kern-anwendungen
sind die hauptfunktionen,
daten- und
Werteflüsse sowie die
schnittstellen zu vor- und
nachgelagerten anwendungen
vollständig und aktuell
dokumentiert; Änderungs-
und Projektprozesse
be inhal ten die zwingende
aktualisierung dieser dokumentationen.
Für sämtliche kern-anwendungen
werden die aus der
Überwachung der manuellen
und automatisierten
schnittstellen resultierende
abstimmberichte zeitnah
analysiert. erkannte Fehler
sowie die Verfahren zu
ihrer korrektur sind dokumentiert;
Fehler werden
zeitnah und nachvollziehbar
korrigiert.
die Verfahren für die aktu- es bestehen schriftlich
alisierung der stammdaten festgehaltene Verfahren
sind dokumentiert und für die aktualisierung der
mehrheitlich bekannt und
der Zugriff auf die stammdaten
ist auf berechtigte
Personen eingeschränkt. die
einhaltung der Verfahren
wird aber nur fallweise
überprüft.
stammdaten. der Zugriff auf
die stammdaten ist organisatorisch
wie technisch strikt
auf wenige Personen eingeschränkt.
die einhaltung der
Verfahren wird permanent
überwacht und periodisch
kontrolliert.
Feststellungen
Auswirkungen
Empfehlungen

unterstützende Anwendungskontrollen
Titel Maturitätsstufe 1 Maturitätsstufe 2 Maturitätsstufe 3 Maturitätsstufe 4
Direktzugriffe es bestehen keine geregel-
auf Datenbanken ten Verfahren für direktzugriffe
auf datenbanken.
Installation und gebrauch
von hilfsmitteln, welche
einen direkten Zugriff
auf und die manipulation
von datenbankinhalten
ermöglichen, sind praktisch
uneingeschränkt möglich.
Steuerungsdaten
(Parameter)
der Zugriff auf die steuerungs-
und konfigurationsdaten
ist de facto weder
durch Verfahren geregelt
noch auf berechtigte Personen
eingeschränkt.
die Verfahren für direktzugriffe
auf datenbanken
sowie auch die Installation
und der gebrauch von
hilfsmitteln, welche einen
direkten Zugriff auf und die
manipulation von datenbankinhalten
ermöglichen,
(Tools, sQl, etc.), sind
informell. die Verwendung
dieser Tools ist nicht speziell
eingeschränkt.
43
die Verfahren für direktzugriffe
auf datenbanken z.B.
durch den einsatz von speziellen
hilfsmitteln werden
ausreichend dokumentiert.
die Installation und Verwendung
von Programmen,
welche einen direkten
Zugriff auf und die manipulation
von datenbankinhalten
ermöglichen, ist auf
berechtigte einzelpersonen
beschränkt. die dateneigner
werden nur fallweise in die
direktzugriffe involviert;
eine enge Überwachung
erfolgt kaum.
die Verfahren für die die Verfahren für die
Pflege der steuerungs- und
konfigurationsdaten sind
informell; der Zugang ist
nicht speziell auf berechtigte
Personen eingeschränkt.
Pflege der steuerungs- und
konfigurationsdaten sind
dokumentiert und mehrheitlich
bekannt und der Zugriff
auf diese daten ist auf
berechtigte Personen eingeschränkt.
die einhaltung
der Verfahren wird aber nur
fallweise überprüft.
es besteht ein formelles und
dokumentiertes Verfahren
für direktzugriffe auf
daten banken z.B. durch
den einsatz von speziellen
hilfsprogrammen. direktzugriffe
werden lückenlos
protokolliert und diese
Protokolle aufbewahrt. der
dateneigner muss jeden
derartigen einsatz vorgängig
genehmigen und eng überwachen.
es besteht ein formeller
antrags-, genehmigungs-
und abnahmeverfahren für
sämtliche Änderungen von
steuerungs- und konfigurationsdaten.
die Pflege dieser
daten erfolgt nur durch
Berechtigte mit entsprechendem
Wissen und ist
durch aufzeichnungen nachvollziehbar
dokumentiert.
die einhaltung der Verfahren
wird permanent überwacht
und periodisch kontrolliert.
«Vorgehensmodell IT-rIsIkoanalyse»
Feststellungen
Auswirkungen
Empfehlungen