Praxisbewährte Vorgehensweisen

Viele Unternehmen beziehen zentrale IT-Leistungen heute nicht mehr vollständig intern, sondern über externe Dienstleister. Dies kann u.a. den Betrieb der IT-Infrastruktur deutlich erleichtern, führt jedoch auch zu schwer kontrollierbaren Abhängigkeiten. Wenn Dienstleister Infrastruktur betreiben, Anwendungen warten oder personenbezogene und rechnungslegungsrelevante Daten verarbeiten, wirken sich deren Prozesse unmittelbar auf die Sicherheit, die Compliance und teilweise auch auf die Jahresabschlussprüfung aus.

Praxis-Info!

Problemstellung

Ein zunehmend wichtigerer Aspekt des Risikomanagements betrifft die Auslagerung von IT-Leistungen. Im internationalen Fachjargon wird dieser Bereich des Risikomanagements als IT Third Party Relationship Management (kurz: IT TPRM; IT-Beziehungsmanagement mit Drittanbietern) bezeichnet. Transparenz ist hier von großer Bedeutung, da technische Abhängigkeiten vom IT-Dienstleister im Tagesgeschäft (sog. Vendor Lock-In) häufig erst bei Störungen bzw. einem Ausfall, bei einem Dienstleisterwechsel oder bei fehlenden Nachweisen im Rahmen von externen Prüfungen ersichtlich werden.

Lösung

1. Fokussierung auf die Überwachung von IT-Dienstleistungen

Der IT-Dienstleister übernimmt in vielen Unternehmen Aufgaben, die für den laufenden Geschäftsbetrieb von wesentlicher Bedeutung sind. Zu den angebotenen Dienstleistungen zählen meist der Betrieb von ERP-Systemen, Cloud-Anwendungen, Datenbanken oder Infrastrukturkomponenten. Gleichzeitig sind die Verantwortlichkeiten oft auf mehrere Personen verteilt. In der Regel verbleibt die Verantwortung für die Prozesse beim Unternehmen, während die Ausführung einzelner Tätigkeiten durch den Dienstleister erfolgt.

Für die Jahresabschlussprüfung ist vor allem relevant, ob ausgelagerte IT-Prozesse Auswirkungen auf prüfungsrelevante Systeme, Daten oder Kontrollen haben. Wenn wesentliche IT-Kontrollen bei einem Dienstleister liegen, reicht eine rein interne Betrachtung häufig nicht aus. Dann müssen auch die beim IT-Dienstleister erbrachten Leistungen, die vorhandenen Kontrollen und geeignete Nachweise berücksichtigt werden. In diesem Zusammenhang können insbesondere die Vorgaben aus ISA 402 „Überlegungen bei der Abschlussprüfung von Einheiten, die Dienstleister in Anspruch nehmen“ (Teil der Grundsätze ordnungsmäßiger Abschlussprüfung des IDW) relevant werden. Denn bei der Nutzung von Serviceorganisationen werden ausreichende geeignete Prüfungsnachweise im Rahmen der Jahresabschlussprüfung benötigt.

Aus GRC-Sicht (Governance Risk Compliance; Unternehmensführung, Risiko, Compliance) sind außerdem Aspekte wie Governance, Verantwortlichkeiten und Risikosteuerung von entscheidender Bedeutung. Unternehmen sollten über die kritischen IT-Dienstleister informiert sein, u.a. die Verträge und Nachweise über die zu erbringenden Leistungen vorliegen haben sowie eine Liste verantwortlicher Personen besitzen, die intern für die Überwachung der Leistungserbringung zuständig sind. Dadurch lassen sich Risiken besser einordnen und Maßnahmen gezielter nachverfolgen.

2. Anforderungen gemäß DS-GVO hinsichtlich der Auftragsverarbeitung

Wenn IT-Dienstleister im Auftrag des Mandanten personenbezogene Daten verarbeiten, ist Art. 28 DS-GVO (Datenschutz-Grundverordnung) zu beachten. In der Praxis bedeutet dies u.a., dass ein Vertrag zur Auftragsverarbeitung (AV) vorliegen sollte und dass nachvollziehbar ist, ob der Dienstleister geeignete technische und organisatorische Maßnahmen umgesetzt hat. Des Weiteren sollten die Regelungen für IT-Subdienstleister sowie die Kontrollnachweise in ausreichender Form erbracht werden.

3. Vier Bausteine für ein strukturiertes IT-Dienstleistermanagement

Ein wirksames IT TPRM (Third-Party Risk Management; Risikomanagement für Drittparteien) muss nicht unnötig komplex sein. Gerade für mittelständische Unternehmen kann bereits ein schlanker, aber konsequent gepflegter Ansatz einen großen Mehrwert bieten. Vier Elemente erweisen sich dabei als besonders hilfreich:

• IT-Dienstleisterregister: Das IT-Dienstleisterregister gewährleistet zunächst eine umfassende Übersicht über die relevanten IT-Dienstleister. Folgende Informationen können dabei erfasst werden: Name des Dienstleisters, Art der Leistung, betroffene Systeme, Vertragsgrundlage, verarbeitete Daten, Ansprechpartner und eine Risikoeinstufung. Diese Einordnung ist ein hilfreiches Instrument, um kritische IT-Dienstleister von weniger wesentlichen Dienstleistern zu unterscheiden.

• RACI-Matrix: Die Anwendung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed; verantwortungsbewusst, rechenschaftspflichtig, konsultiert, informiert) dient der eindeutigen Zuordnung von Verantwortlichkeiten. Insbesondere bei ausgelagerten IT-Prozessen fehlt häufig eine dokumentierte Aufgabenverteilung zwischen Unternehmen und IT-Dienstleister. Die Matrix schafft Transparenz über die jeweiligen Verantwortlichkeiten und unterstützt die Effektivität der Zusammenarbeit.

• Risikoregister: Im Risikoregister erfolgt eine Bewertung der wesentlichen Risiken aus der IT-Dienstleisterbeziehung. In diesem Zusammenhang sind insbesondere der oben genannte Vendor Lock-In, das mögliche Ausmaß einer Störung, die Kritikalität (existenzielle Gefährdung) der betroffenen Anwendung sowie die vorhandenen IT-Kontrollen von Bedeutung. Auf dieser Grundlage können Risiken priorisiert und Maßnahmen abgeleitet werden.

• Regelmäßige Risikoanalyse: IT-Dienstleisterrisiken verändern sich im Zeitverlauf durch neue Systeme, Subdienstleister oder regulatorische Anforderungen. Aus diesem Grund ist eine regelmäßige Überprüfung der Bewertung unerlässlich, um Veränderungen frühzeitig zu erkennen, offene Maßnahmen nachzuverfolgen und Verantwortlichkeiten aktuell zu halten.