e-Government - ein Prüfungsleitfaden - EUROSAI IT Working Group

64
Auf der Grundlage von Wesentlichkeits- und Risiko-Kriterien wird die Bedeutung
der IT-Anwendung und das Risiko bedeutsamer finanzieller Verluste beurteilt,
falls die IT ausfällt oder nur in vermindertem Umfang zur Verfügung steht.
b. Prüfung der verfahrensunabhängigen, standardmäßig vorhandenen IT-Kontrollen
Ziel der Prüfung der verfahrensunabhängigen, standardmäßig vorhandenen IT-
Kontrollen ist, festzustellen, ob die System-, Daten- und Ablaufsicherheit als
Grundlage der Prüfung der Benutzersysteme ausreichend sind.
Als verfahrensunabhängige, standardmäßig vorhandene IT-Kontrollen gelten
solche Kontrollen, die so im IT-Umfeld implementiert werden, dass die
erreichbaren Grenzwerte der System-, Daten- und Ablaufsicherheit bezogen auf
die Anforderungen der Verwaltung akzeptabel sind.
Diese Prüfungen folgen verschiedenen Ansätzen und können sich auf die
Organisation oder physische Kenngrößen beziehen, sie können vorprogrammiert
oder manuell sein.
Die Prüfung der verfahrensunabhängigen, standardmäßig vorhandenen IT-
Kontrollen wird vornehmlich mittels Interview, Beobachtungen und Auswertung
erhaltener Informationen durchgeführt.
Die Prüfung richtet sich üblicherweise auf die IT-Strategie und IT-Politik,
organisatorische Bedingungen, die System-Entwicklung und den System-Betrieb,
Zugriffskontrollen, Datenaustausch, physikalische Sicherheit, Back up- und
Notfallpläne.
Die Prüfung umfasst beispielsweise das Vorhandensein einer Aufgabentrennung
innerhalb und im Umfeld von einzelnen IT-Funktionalitäten, von System-
Entwicklung und IT-Management, und ob in diesen Bereichen hinreichende
Zugriffskontrollen bestehen.
Ein Rechnungshof sollte nicht zuletzt untersuchen, ob die für die
Datenverarbeitung bestehenden Rechtsvorschriften eingehalten werden.