Startseite > Markt > Schritt für Schritt durch die IT-Revision

Schritt für Schritt durch die IT-Revision

22. Mai 2009, 6:42 Uhr |

Fortsetzung des Artikels von Teil 1

Ansprüche steigen, mehr Vorgaben sind einzuhalten

Weil die Ansprüche an Funktionen und Verfügbarkeit der Informationstechnologie steigen, müssen Unternehmen umfangreiche und teure Vorsorgemaßnahmen treffen. Gerade für kleinere und mittelständische Unternehmen ist das oft zu kostspielig. Daher versuchen sie, dem Problem durch Outsourcing zu entgehen. Allerdings sind sie dann im Rahmen der Auftragsdatenverarbeitung erst recht zur Kontrolle des Leistungserbringers verpflichtet (BDSG §9 Anhang – Auftragskontrolle). Aufgrund der großen Bedeutung der Informationstechnologie hat der Gesetzgeber reihenweise Regelungen zum Umgang mit der IT getroffen. Sie enthalten Bestimmungen für Unternehmen, die Daten geschäftsmäßig verarbeiten und solche, die Computerkriminalität verhindern sollen. Zumindest die Einhaltung entsprechender Gesetze ist auch für kleine Firmen unabdingbar. Internationale Regularien wie etwa Sarbanes-Oxley (SOX/Euro-SOX) stellen teilweise sehr aufwendige Sicherheitsanforderungen an die IT-Prozesse. Dazu kommen neue nationale wie internationale Bestimmungen, die IT-Nutzung in Unternehmen beeinflussen. Sie finden sich in Normen wie dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), dem Bundesdatenschutzgesetz (BDSG), Basel II, dem Aktiengesetz (AktG), dem GmbH-Gesetz (GmbHG), dem Handelsgesetzbuch (HGB) und so weiter. Aus ihnen werden die sogenannten »Grundsätze ordnungsgemäßer Buchführung« und deren Anwendung auf die Informationstechnologie abgeleitet. Das Institut der Wirtschaftsprüfer (IDW) erstellt daraus die Richtlinien für die Durchführung der Wirtschaftsprüfung. Die Regelungen für die Systemprüfung wurzeln weitgehend in den §§ 238, 239, 257 HGB (Handelsgesetzbuch), aber auch den §§ 145-147 AO (Abgabenordnung). Zu den Grundfragen bei einer IT-Revision gehört daher, ob die IT im Risikomanagement des Unternehmens ausreichend berücksichtigt ist. Wichtig ist auch, wer welche Berechtigungen hat, welche Daten auf den Sicherungsmedien gespeichert sind und wer auf sie zugreifen darf. Gerade im Hinblick auf eventuell geschädigte Kunden sollte im Vorhinein festgelegt werden, was bei Schäden durch IT geschieht. Unumgänglich ist auch, festzustellen, welche Gesetze im Einzelfall bezüglich der IT umgesetzt werden müssen.