Global Internal Audit Standards umsetzen: von der risikobasierten Planung zum belastbaren Nachweis

Die Global Internal Audit Standards sind das verbindliche Regelwerk des Institute of Internal Auditors für die interne Revision. Sie dienen als Grundlage, um die Qualität einer Revisionsfunktion zu bewerten und zu verbessern, und sind ein verpflichtender Bestandteil des International Professional Practices Framework. Das Institut erwartet, dass alle internen Revisionsfunktionen konform mit ihnen arbeiten.

Die Standards wurden im Januar 2024 veröffentlicht. Nach einem Jahr Umsetzungszeit sind sie am 9. Januar 2025 in Kraft getreten. In dieser Übergangszeit konnten Revisionsfunktionen die Umstellung vorbereiten.

Die Standards gliedern sich in fünf Domänen mit fünfzehn Prinzipien. Domäne I behandelt den Zweck der internen Revision, Domäne II Ethik und Professionalität, Domäne III die Steuerung der Revisionsfunktion durch das Aufsichtsorgan, Domäne IV die Führung der Funktion einschließlich Planung und Qualitätsprogramm, Domäne V die Durchführung der einzelnen Prüfungen.

Der Prüfungsplan folgt der Risikolage der Organisation und wird angepasst, wenn sich diese ändert. Wer Prüfungsprioritäten aus einer getrennten Risikodatei ableitet, kann im Nachhinein nicht mehr belegen, warum gerade diese Prüfungen im Plan standen. In CRISAM® werden Auditprioritäten direkt aus Risiko-, Kontroll- und Compliance-Modellen abgeleitet.

Das Three Lines Model des Institute of Internal Auditors ordnet die Rollen. Das Aufsichtsorgan übernimmt gegenüber den Anspruchsgruppen die Verantwortung für die Überwachung der Organisation. Das Management führt und steuert, einschließlich der Steuerung von Risiken. Die interne Revision liefert unabhängige und objektive Prüfung und Beratung zur Angemessenheit und Wirksamkeit von Governance und Risikomanagement. Ihre Unabhängigkeit von den Aufgaben des Managements ist entscheidend für Objektivität, Autorität und Glaubwürdigkeit.

Feststellungen werden in Maßnahmen überführt und bis zur Wirksamkeitskontrolle verfolgt. In CRISAM® lassen sich Feststellungen unmittelbar in Maßnahmen überführen, einschließlich Verantwortlichkeiten, Fristen, Status und Wirksamkeitskontrolle. Eine Maßnahme gilt nicht schon dann als erledigt, wenn sie als erledigt gemeldet wurde, sondern erst, wenn die Nachprüfung zeigt, dass die Kontrolle wirksam ist.

Entscheidend ist, ob Prüfung, Risiko und Kontrolle in einem gemeinsamen Modell verknüpft sind. CRISAM® verknüpft Audits direkt mit Risiken, Kontrollen, Maßnahmen, Prozessen und Assets, dokumentiert alle Prüfschritte, Feststellungen, Nachweise und Änderungen vollständig historisiert und versioniert und erstellt Auditberichte für Management, Revision und externe Prüfer.

Ja. Typische Anwendungen sind die interne Revision mit jährlichen Prüfprogrammen, Compliance-Audits zum Nachweis regulatorischer Anforderungen wie ISO 27001 oder DSGVO, Prüfungen des internen Kontrollsystems, IT- und Cybersecurity-Audits nach BSI, NIST oder ISO-Standards sowie Lieferanten- und Partneraudits. Prüfprogramme, Checklisten und Workflows lassen sich an die jeweilige Vorgabe anpassen.