Abhängigkeit von IT-Dienstleister erfordert spezifisches Risikomanagement
Viele Unternehmen beziehen zentrale IT-Leistungen heute nicht mehr vollständig intern, sondern über externe Dienstleister. Dies kann u.a. den Betrieb der IT-Infrastruktur deutlich erleichtern, führt jedoch auch zu schwer kontrollierbaren Abhängigkeiten. Wenn Dienstleister Infrastruktur betreiben, Anwendungen warten oder personenbezogene und rechnungslegungsrelevante Daten verarbeiten, wirken sich deren Prozesse unmittelbar auf die Sicherheit, die Compliance und teilweise auch auf die Jahresabschlussprüfung aus.
Warum IT-Dienstleister stärker in den Fokus rücken und …
IT-Dienstleister übernehmen in vielen Unternehmen Aufgaben, die für den laufenden Geschäftsbetrieb von wesentlicher Bedeutung sind. Zu den angebotenen Dienstleistungen zählen meist der Betrieb von ERP-Systemen, Cloud-Anwendungen, Datenbanken oder Infrastrukturkomponenten. Gleichzeitig sind die Verantwortlichkeiten oft auf mehrere Personen verteilt. In der Regel verbleibt die Verantwortung für die Prozesse beim Unternehmen, während die Ausführung einzelner Tätigkeiten durch den Dienstleister erfolgt.
… im Risikomanagement zu berücksichtigen sind
Mit IT Third Party Relationship Management (kurz IT TPRM) wird ein Bereich des Risikomanagements bezeichnet, der auf die ausgelagerten IT-Leistungen abzielt und die potenziellen Risiken transparent darlegt. Transparenz ist hier von besonders großer Bedeutung, da technische Abhängigkeiten vom IT-Dienstleister im Tagesgeschäft (sog. Vendor Lock-In) häufig erst bei Störungen/Ausfall, Dienstleisterwechsel oder fehlenden Nachweisen im Rahmen von externen Prüfungen ersichtlich werden.
Problemrelevanz in der Prüfung und …
Für die Jahresabschlussprüfung ist vor allem relevant, ob ausgelagerte IT-Prozesse Auswirkungen auf prüfungsrelevante Systeme, Daten oder Kontrollen haben. Wenn wesentliche IT-Kontrollen bei einem Dienstleister liegen, reicht eine rein interne Betrachtung häufig nicht aus. Dann müssen auch die beim IT-Dienstleister erbrachten Leistungen, die vorhandenen Kontrollen und geeignete Nachweise berücksichtigt werden. In diesem Zusammenhang kann insbesondere der ISA 402 relevant werden, da bei der Nutzung von Serviceorganisationen ausreichende geeignete Prüfungsnachweise im Rahmen der Jahresabschlussprüfung benötigt werden.
… im Führungssystem
Aus GRC-Sicht (Governance Risk Compliance) sind außerdem Aspekte wie Governance, Verantwortlichkeiten und Risikosteuerung von entscheidender Bedeutung. Unternehmen sollten über die kritischen IT-Dienstleister informiert sein, d.h. u.a. die Verträge und Nachweise über die zu erbringenden Leistungen vorliegen haben sowie eine Liste verantwortlicher Personen besitzen, die intern für die Überwachung der Leistungserbringung zuständig sind. Dadurch lassen sich Risiken besser einordnen und Maßnahmen gezielter nachverfolgen.
Vier Bausteine eines strukturierten IT-Dienstleistermanagements
Ein wirksames IT TPRM muss nicht unnötig komplex sein. Gerade für mittelständische Unternehmen kann bereits ein schlanker, aber konsequent gepflegter Ansatz einen großen Mehrwert bieten. Vier Elemente erweisen sich dabei als besonders hilfreich:
IT-Dienstleisterregister
Das IT-Dienstleisterregister gewährleistet zunächst eine umfassende Übersicht über die relevanten IT-Dienstleister. Folgende Informationen können dabei erfasst werden: Name des Dienstleisters, Art der Leistung, betroffene Systeme, Vertragsgrundlagen, verarbeitete Daten, Ansprechpartner und eine Risikoeinstufung. Diese Einordnung ist ein hilfreiches Instrument, um kritische IT-Dienstleister von weniger wesentlichen Dienstleistern zu unterscheiden.
RACI-Matrix
Die Anwendung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed, vgl. Abb. 1) dient der eindeutigen Zuordnung von Verantwortlichkeiten. Insbesondere bei ausgelagerten IT-Prozessen fehlt häufig eine dokumentierte Aufgabenverteilung zwischen Unternehmen und IT-Dienstleister. Die Matrix schafft Transparenz über die jeweiligen Verantwortlichkeiten und unterstützt die Effektivität der Zusammenarbeit.
Abb. 1: RACI-Matrix
Risikoregister
Im Risikoregister erfolgt eine Bewertung der wesentlichen Risiken aus der IT-Dienstleisterbeziehung. In diesem Zusammenhang sind insbesondere der Vendor Lock-In, das mögliche Ausmaß einer Störung, die Kritikalität der betroffenen Anwendung sowie die vorhandenen IT-Kontrollen von Relevanz (vgl. Abb. 2, Heatmap = Darstellungsform für die farbige Visualisierung von Daten). Auf dieser Grundlage können Risiken priorisiert und Maßnahmen abgeleitet werden.
Abb. 2: Heatmap
Regelmäßige Risikoanalyse
IT-Dienstleisterrisiken verändern sich im Zeitverlauf durch neue Systeme, Subdienstleister oder regulatorische Anforderungen. Aus diesem Grund ist eine regelmäßige Überprüfung der Bewertung unerlässlich, um Veränderungen frühzeitig zu erkennen, offene Maßnahmen nachzuverfolgen und Verantwortlichkeiten aktuell zu halten.
Nutzen für Unternehmen und Prüfung
Ein strukturiertes IT TPRM schafft Transparenz über IT-Dienstleister, deren Leistungen und Risiken. Unternehmen können kritische Abhängigkeiten besser steuern, Verantwortlichkeiten klar zuordnen und fehlende Nachweise frühzeitig identifizieren.
Auch für Prüfungen bietet ein strukturierter Nachweisbestand Vorteile. Vorhandene Kontrollen und Dokumentationen ermöglichen eine effizientere Beurteilung von IT-Governance-Themen wie Zugriffsrechten, Change Management, Betriebsprozessen und externe IT-Dienstleisterkontrollen.
