IKS-Prüfung für Mehrmandantendienstleister

Warum Kunden nach dem Kontrollsystem fragen

Lagern Unternehmen Prozesse aus, bleiben sie für deren Ordnungsmäßigkeit verantwortlich. Ihre Abschlussprüfer müssen beurteilen können, ob die Kontrollen beim Dienstleister funktionieren. Ohne unabhängigen Bericht bedeutet das für Dienstleister viele Einzelanfragen, Fragebögen und Vor-Ort-Audits.

Eine IKS-Prüfung bündelt diesen Nachweis: Ein Wirtschaftsprüfer beurteilt das dienstleistungsbezogene Kontrollsystem einmal, und der Bericht steht allen Kunden zur Verfügung.

Was ein dienstleistungsbezogenes IKS umfasst

Gegenstand ist nicht das gesamte Kontrollsystem eines Unternehmens, sondern der Teil, der die Qualität, Sicherheit und Ordnungsmäßigkeit der vertraglich geschuldeten Leistungen betrifft. Diese Abgrenzung ist der wichtigste erste Schritt.

• Die Beschreibung des Systems mit Prozessen, Risiken, Kontrollzielen und Kontrollen
• Eine Erklärung der gesetzlichen Vertreter zur Angemessenheit der Beschreibung und der Kontrollen
• Der Bericht des Prüfers mit seinem Urteil

Typ 1 und Typ 2: welcher Bericht wann sinnvoll ist

Ein Typ-1-Bericht beurteilt zu einem Stichtag, ob die Kontrollen geeignet ausgestaltet sind. Ein Typ-2-Bericht beurteilt zusätzlich über einen Zeitraum, üblicherweise sechs bis zwölf Monate, ob sie wirksam funktioniert haben. Kunden erwarten langfristig meist Typ 2.

Für Dienstleister, die erstmals geprüft werden, ist Typ 1 ein sinnvoller Einstieg: Er schafft schnell einen Nachweis und deckt Lücken im Design auf, bevor der Beobachtungszeitraum beginnt.

IDW PS 951 n.F. und ISAE 3402

Der ISAE 3402 ist der international anerkannte Standard. Der IDW PS 951 n.F. ist die deutsche Adaption für den deutschen Rechts- und Prüfungskontext. Beide kennen Typ-1- und Typ-2-Berichte. Bei internationalen Kunden wird meist ISAE 3402 verlangt, im deutschen Umfeld häufig IDW PS 951 n.F. Welcher Standard passt, klären wir zu Beginn mit Ihnen und Ihren Kunden.

Wer davon betroffen ist

Die IKS-Prüfung ist nicht auf die IT-Branche beschränkt. Sie betrifft alle Mehrmandantendienstleister, die standardisierte Leistungen für viele Kunden erbringen:

• Software- und IT-Dienstleister mit Betrieb, Hosting bzw. Software-as-a-Service
• Anbieter von Abrechnung, Zahlungsverkehr bzw. Lohnverarbeitung
• Dienstleister für Datenverarbeitung, Rechenzentrum bzw. Administration

Vorbereitung: fünf Schritte

• Leistung abgrenzen: Welche Leistung, welche Standorte, Systeme und Subdienstleister gehören in den Bericht?
• Risiken und Kontrollziele festlegen: Was muss ein Kunde vom Kontrollsystem erwarten können?
• Risiko-Kontroll-Matrix aufbauen: Jedem Risiko ist mindestens eine Schlüsselkontrolle zugeordnet.
• Kontrollen dokumentieren und Nachweise sichern: Wer führt aus, wer überwacht, wo liegt der Beleg?
• Kundenkontrollen benennen: Welche Kontrollen müssen die Kunden selbst einrichten?

Häufige Stolpersteine

• Fehlende Nachweise: Nicht dokumentierte Kontrollen gelten aus Prüfersicht als nicht durchgeführt.
• Wechselnder Umfang: Änderungen während der Prüfung führen zu Hemmnissen.
• Zu viele Kontrollen: Ein risikoorientierter Fokus auf Schlüsselkontrollen ist belastbarer als flächendeckende Formalität.
• Falsche Erwartung: Der Bericht ersetzt weder interne Kontrollen noch die Sorgfalt der Kunden.