IT General Controls: die Rolle der IT in der ICFR nach der SEC-Leitlinie

Problem in der Praxis

ITGC-Programme wachsen häufig über ihren Zweck hinaus: Aus der Frage, welche IT-Kontrollen die Finanzberichterstattung stützen, wird ein zweites ISMS mit Hunderten Kontrollen. Das bindet Prüfressourcen und verwässert den Blick auf die wenigen Systeme, auf denen die automatisierten Finanzkontrollen tatsächlich laufen. Umgekehrt fehlen in Konzernen mit vielen Standorten oft Nachweise genau für diese Systeme, weil sie lokal betrieben werden und die Kontrollen informell laufen.

Ein weiterer Punkt ist die Auswahl der Kontrollen: Die Leitlinie erlaubt es dem Management, bei wirksamen ITGC automatisierte Kontrollen als effizienter zu beurteilen anzusehen als manuelle. Wer ITGC vernachlässigt, kann diese Effizienz nicht nutzen.

CISO-Einordnung

Aussagen der SEC-Leitlinie 33-8810, auf Managementebene:

• Einordnung. Kontrollen gegen Finanzberichtsrisiken können automatisiert, IT-abhängig oder gemischt sein. Die Beurteilung betrachtet dann die automatisierten beziehungsweise IT-abhängigen Anwendungskontrollen und die relevanten ITGC über die Anwendungen, die die IT-Funktion bereitstellen.
• Zuschnitt. Die Identifikation von Risiken und Kontrollen in der IT soll keine separate Beurteilung sein, sondern integraler Teil des top-down, risikobasierten Ansatzes. Zu beurteilen sind nur ITGC, die für das ordnungsgemäße und gleichbleibende Funktionieren anderer Kontrollen gegen Finanzberichtsrisiken nötig sind.
• Beispiele. Programmentwicklung, Programmänderungen, Systembetrieb und Zugriff auf Programme und Daten werden als Beispiele genannt; die Leitlinie betont, dass die Nennung nicht bedeutet, diese Bereiche seien ganz oder teilweise stets anwendbar.
• Risikobeurteilung. Automatisierte Kontrollen in einem stabilen System, das nicht wesentlich geändert wurde und durch wirksame ITGC gestützt ist, können als geringeres Risiko eingestuft werden als manuelle Kontrollen, die stark auf Urteilen beruhen.
• Nachweise. Das Management muss angemessene Belege für seine Beurteilung vorhalten; dazu gehört die Dokumentation der Ausgestaltung der Kontrollen. Form und Umfang hängen von Größe, Art und Komplexität des Unternehmens ab (Leitlinie Abschnitt e; Instruction 2 zu Item 308 Regulation S-K und zu Form 20-F Item 15).

Für den CISO bedeutet das eine klare Abgrenzung: Der SOX-ITGC-Umfang ist ein Ausschnitt des ISMS, bestimmt durch die finanzberichtsrelevanten Anwendungen und deren Infrastruktur. Die Prozesse dahinter (Change-, Zugriffs- und Betriebsmanagement) sind oft dieselben wie im ISMS; verschieden sind Zuschnitt, Nachweistiefe und Adressat. Der Abschlussprüfer prüft im Rahmen des Prüfervermerks nach PCAOB-Standards (AS 2201), deren Inhalte hier nicht wiedergegeben werden.

Umsetzungsperspektive

• Anwendungsinventar aus Finanzsicht erstellen: Welche Anwendungen erzeugen oder verarbeiten Daten für den Abschluss, und welche automatisierten Kontrollen laufen dort?
• Je Anwendung die Infrastruktur bestimmen, auf der sie läuft (Datenbank, Betriebssystem, Netz, Cloud-Plattform), weil die ITGC dort ansetzen.
• Die vier Beispielbereiche der Leitlinie als Prüffragen nutzen, nicht als Pflichtkatalog: Wie werden Programme entwickelt und geändert, wie wird der Betrieb gesteuert, wer hat Zugriff auf Programme und Daten?
• Stabilität nachweisbar machen: Änderungsprotokolle der finanzberichtsrelevanten Systeme sind der Beleg, der eine geringere Risikoeinstufung automatisierter Kontrollen trägt.
• ISMS-Nachweise wiederverwenden, aber auf den SOX-Zuschnitt filtern.

Typische Fehler

1. Der ITGC-Umfang wird aus dem ISMS-Geltungsbereich übernommen statt aus den finanzberichtsrelevanten Anwendungen abgeleitet.
2. Die vier Beispielbereiche der Leitlinie werden als verbindlicher Katalog behandelt.
3. ITGC werden als eigenständige Beurteilung geführt, ohne Bezug zu den Anwendungskontrollen, die sie stützen.
4. Notfall- oder Direktzugriffe auf Produktionsdaten der Finanzsysteme bleiben ohne Protokoll und Überprüfung.
5. Änderungen an finanzberichtsrelevanten Systemen werden ohne Nachweis durchgeführt, und der Vorteil automatisierter Kontrollen geht verloren.

Risiken und Trade-offs

Ein enger ITGC-Zuschnitt senkt Aufwand und Prüfungslast, setzt aber eine belastbare Ableitung aus den Finanzberichtsrisiken voraus; fehlt sie, droht eine Ausweitung durch den Prüfer. Ein weiter Zuschnitt gibt Sicherheit, kostet aber Ressourcen, die bei den wirklich kritischen Systemen fehlen. Automatisierung von Kontrollen ist effizient, solange die ITGC tragen; bei ITGC-Mängeln kippt der Vorteil.

Entscheidungspunkte

• Welche Anwendungen und Plattformen sind finanzberichtsrelevant?
• Welche automatisierten Kontrollen hängen an welchen ITGC?
• Wie werden Programmänderungen und Zugriffe auf diese Systeme gesteuert und nachgewiesen?
• Welche ISMS-Nachweise lassen sich für SOX nutzen, und wo fehlt Nachweistiefe?

Praktische Empfehlungen

1. Leiten Sie den ITGC-Umfang aus einem Anwendungsinventar mit Finanzbezug ab und dokumentieren Sie die Ableitung.
2. Ordnen Sie jeder automatisierten Kontrolle die stützenden ITGC zu.
3. Nutzen Sie die Beispielbereiche der SEC-Leitlinie als Prüffragen, nicht als Checkliste.
4. Protokollieren Sie Änderungen und privilegierte Zugriffe an den finanzberichtsrelevanten Systemen lückenlos.
5. Stimmen Sie Zuschnitt und Nachweisform früh mit Interner Kontrolle und Abschlussprüfer ab.

Relevante Normreferenzen

• SEC Release 33-8810 (2007), Abschnitt II.A.1.d (Role of Information Technology General Controls) und II.A.1.e (Evidential Matter), Fußnoten 34 bis 37.
• 17 CFR 229.308, Instruction 2; Form 20-F Item 15, Instruction 2.
• PCAOB AS 2201 (nur Referenz).