Wer IT auslagert, lagert die Verantwortung dafür nicht mit aus. Spätestens bei der Abschlussprüfung wird das sichtbar: Der Wirtschaftsprüfer will wissen, ob die Systeme, auf denen Buchhaltung, Warenwirtschaft oder Kundendaten laufen, verlässlich kontrolliert werden. Liegen diese Systeme bei einem Dienstleister, müsste er im Grunde dort prüfen. Bei vielen Kunden hieße das: Jeder Wirtschaftsprüfer jedes Kunden klopft einzeln beim Dienstleister an.

Für genau diesen Fall gibt es den Prüfstandard IDW PS 951. Wir lassen unser internes Kontrollsystem jedes Jahr danach prüfen und erleben dabei, dass der Bericht für Kunden mehr wert ist, als ein Siegel auf der Website vermuten lässt. Welche Nachweise wir insgesamt vorlegen, steht auf unserer Seite zu den Zertifizierungen. Dieser Beitrag zeigt, wie die Prüfung abläuft und wie Kunden den Bericht nutzen.

Was ist IDW PS 951?

IDW PS 951 ist der Prüfstandard des Instituts der Wirtschaftsprüfer für die Prüfung des internen Kontrollsystems bei Dienstleistungsunternehmen. Er regelt, wie ein Wirtschaftsprüfer die Kontrollen eines Dienstleisters prüft, an den ein Unternehmen Aufgaben ausgelagert hat, die für seine Rechnungslegung von Bedeutung sind. Aktuell gilt die Fassung IDW PS 951 n.F. (03.2021).

Das Ergebnis ist ein Bericht, den der Dienstleister an die Abschlussprüfer seiner Kunden weitergibt. Diese können darauf aufsetzen, statt die ausgelagerten Prozesse selbst zu prüfen. Das internationale Gegenstück ist ISAE 3402. Beide beruhen auf demselben Gedanken, für Unternehmen mit deutschen Abschlussprüfern ist IDW PS 951 der übliche Bezugspunkt.

Was ist ein internes Kontrollsystem?

Ein internes Kontrollsystem, kurz IKS, umfasst alle Regeln, Verfahren und Maßnahmen, mit denen ein Unternehmen sicherstellt, dass seine Prozesse ordnungsgemäß laufen und seine Daten verlässlich sind. Für die Abschlussprüfung zählen vor allem die Fragen hinter den Zahlen: Wer darf Änderungen an Systemen vornehmen? Wie wird sichergestellt, dass Daten vollständig und unverändert bleiben? Sind die Systeme verfügbar, wenn sie gebraucht werden?

Bei einem IT-Dienstleister richtet sich das IKS deshalb auf Themen wie Zugriffsrechte, Änderungsprozesse, Datensicherung, Überwachung und den Umgang mit Störungen. Unser IKS basiert auf den Rahmenwerken COSO und COBIT. Jede Kontrolle ist auf bis zu vier Rahmenwerke gleichzeitig abgebildet: IDW PS 951, COBIT, TISAX und ISO 27001. Eine Kontrolle bedient so mehrere Prüfungen.

Was unterscheidet Typ 1 und Typ 2?

Der Zeitraum. Ein Bericht vom Typ 1 bestätigt, dass die Kontrollen zu einem Stichtag angemessen beschrieben und eingerichtet sind. Ob sie im Alltag tatsächlich funktionieren, sagt er nicht. Ein Bericht vom Typ 2 geht weiter: Der Prüfer bestätigt, dass die Kontrollen über einen Zeitraum, in der Regel zwölf Monate, wirksam waren.

Für die Abschlussprüfung des Kunden ist dieser Unterschied entscheidend. Mit einem Typ-1-Bericht muss der Abschlussprüfer die Wirksamkeit weiterhin selbst beurteilen. Ein Typ-2-Bericht kann eigene Prüfungshandlungen ersetzen. Wer einen Dienstleister auswählt, sollte deshalb nach dem Typ fragen und nicht nur nach dem Standard. Ältere Texte sprechen noch von Typ A und Typ B, gemeint ist dasselbe.

Wie läuft die Prüfung nach IDW PS 951 ab?

Anders als bei einer Zertifizierung gibt keine Norm die Prüfkriterien vor. Der Dienstleister beschreibt sein IKS selbst: welche Kontrollziele er verfolgt, mit welchen Maßnahmen er sie erreicht und wie er das belegt. Der Wirtschaftsprüfer prüft dann, ob diese Beschreibung angemessen ist und ob die Kontrollen im Prüfungszeitraum wie beschrieben gewirkt haben.

Für jedes Kontrollziel stellt er drei Fragen:

  1. Welches Ziel soll erreicht werden? Zum Beispiel: Nur berechtigte Personen ändern produktive Systeme.
  2. Welche Maßnahme sorgt dafür? Etwa ein Änderungsprozess mit Ticket, Freigabe und Vier-Augen-Prinzip.
  3. Gibt es belastbare Nachweise? Der Prüfer zieht Stichproben aus dem Prüfungszeitraum und kontrolliert, ob jede Änderung tatsächlich so dokumentiert und freigegeben wurde.

Ein Typ-2-Bericht ist deshalb nichts, was man kurz vor dem Termin vorbereitet. Die Nachweise entstehen das ganze Jahr über im laufenden Betrieb. Bei uns sind Change-Prozess, Freigaben und Dokumentation, wie sie auf unserer Seite zur Infrastruktur beschrieben sind, zugleich die Grundlage der Prüfung.

Was steht im Bericht und was nicht?

Der Bericht beschreibt das IKS des Dienstleisters, die Kontrollziele und die Kontrollen, das Prüfungsvorgehen und das Ergebnis je Kontrolle. Er nennt außerdem die Kontrollen, die beim Kunden liegen müssen, damit das Gesamtsystem funktioniert. Typisch ist etwa, dass der Kunde selbst festlegt und aktuell hält, welche seiner Mitarbeitenden Zugänge beantragen dürfen.

Diese Abgrenzung wird oft überlesen. Ein PS-951-Bericht bestätigt die Kontrollen des Dienstleisters, nicht die des Kunden. Wer ihn in die eigene Prüfung einbringt, sollte die genannten Kundenkontrollen kennen und nachweisen können. Sonst bleibt eine Lücke, die der eigene Abschlussprüfer findet.

Wofür brauchen Unternehmen den Bericht heute?

Ursprünglich vor allem für die Abschlussprüfung. Inzwischen spielt er auch bei regulatorischen Anforderungen eine Rolle. Banken, Versicherungen und andere Finanzunternehmen müssen nach DORA nachweisen, dass sie ihre IKT-Dienstleister überwachen. Ein Typ-2-Bericht ist dafür ein zentraler Baustein, auch wenn er die vertraglichen Prüf- und Auditrechte nicht ersetzt. Wie beides für Finanzunternehmen zusammenkommt, der PS-951-Bericht und DORA-konforme Auslagerungsverträge mit Audit-Rechten, zeigt unsere Seite für Finance und Banking.

Auch bei Ausschreibungen fragen Unternehmen zunehmend gezielt nach einem Bericht vom Typ 2. Er ist einer der wenigen Nachweise, die nicht nur zeigen, dass ein Dienstleister Regeln hat, sondern dass er sie über ein ganzes Jahr eingehalten hat.

Fazit: Der Bericht ist so gut wie das Kontrollsystem dahinter

IDW PS 951 regelt, wie ein Wirtschaftsprüfer das interne Kontrollsystem eines Dienstleisters prüft. Entscheidend ist der Typ: Nur ein Bericht vom Typ 2 belegt, dass die Kontrollen über zwölf Monate gewirkt haben. Nur er kann eigene Prüfungshandlungen des Kunden ersetzen. Wer den Bericht nutzt, sollte auch die Kontrollen kennen, die auf der eigenen Seite liegen. Welche Nachweise wir neben dem PS-951-Bericht vorlegen und wie sie zusammenhängen, zeigt unsere Seite zu den Zertifizierungen.