IKS-Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402
Nachweis des dienstleistungsbezogenen Kontrollsystems für Mehrmandantendienstleister
Wer Leistungen für eine Vielzahl von Kunden erbringt, wird zunehmend gefragt, ob das eigene Kontrollsystem unabhängig geprüft ist. Kunden und deren Abschlussprüfer benötigen belastbare Belege, dass Prozesse zuverlässig funktionieren. Die IKS-Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402 liefert diesen Nachweis in einem Bericht, den Sie allen Kunden zur Verfügung stellen können.
Wir prüfen dienstleistungsbezogene Interne Kontrollsysteme selbst und unterstützen Wirtschaftsprüfer als externe Spezialfunktion. Die Prüfung richtet sich an alle Mehrmandantendienstleister, nicht nur an die IT-Branche.
Was die IKS-Prüfung leistet
- Prüfungsgegenstand
Die IKS-Beschreibung des Dienstleisters mit den dargestellten Prozessen, Risiken, Kontrollzielen und Kontrollen.
- Ergebnis
Ein Prüfungsbericht mit Urteil zur Angemessenheit (Typ 1) und ggf. zur Wirksamkeit über den Prüfungszeitraum (Typ 2).
- Nutzen
Ein einheitlicher Nachweis für alle Kunden statt vieler Einzelprüfungen, Fragebögen und Audits.
Typ 1 und Typ 2 im Überblick
Typ 1: Design
Beurteilt zu einem Stichtag, ob die Kontrollen konzeptionell geeignet sind, die Kontrollziele zu erreichen. Geeignet als Einstieg.
Typ 2: Design und Wirksamkeit
Beurteilt zusätzlich über einen Zeitraum (üblicherweise 6 bis 12 Monate), ob die Kontrollen tatsächlich wirksam funktioniert haben. Von Kunden meist erwartet.
Für wen die IKS-Prüfung relevant ist
- Software- und IT-Dienstleister mit Betrieb, Hosting bzw. Software-as-a-Service für viele Kunden
- Sonstige Mehrmandantendienstleister, etwa in Abrechnung, Zahlungsverkehr, Datenverarbeitung bzw. Administration
- Dienstleister, deren Kunden Prozesse ausgelagert haben und deren Abschlussprüfer Nachweise verlangen
- Anbieter, für die ein Bericht Voraussetzung für Ausschreibungen bzw. den Marktzugang ist
Unser Leistungsspektrum
- Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402
Typ-1- und Typ-2-Berichte zur Angemessenheit und Wirksamkeit Ihres dienstleistungsbezogenen IKS
- Aufbau und Beratung
Unterstützung beim strukturierten Aufbau eines prüfungsfähigen IKS, von der Risikoanalyse bis zur Dokumentation
- Review zur Prüfungsvorbereitung
Bewertung bestehender Systeme als Vorbereitung auf IKS-Prüfungen und als Qualitätssicherung
- Spezialfunktion für Prüfungsorganisationen
Durchführung der IKS-Prüfung im Auftrag anderer Wirtschaftsprüfer, auf Wunsch im Whitelabel-Modell
Wann eine IKS-Prüfung erforderlich wird
- Wenn Kunden bzw. deren Abschlussprüfer Nachweise über Ihre Kontrollen verlangen
- Wenn Sie standardisierte Leistungen für viele Kunden erbringen
- Bei Auslagerungen wesentlicher Prozesse, z. B. IT, Abrechnung bzw. Zahlungsverkehr
- Bei steigenden regulatorischen Anforderungen bzw. als Voraussetzung für den Marktzugang
Ablauf der IKS-Prüfung
- 1. Vorbereitung
Abstimmung von Leistungsumfang, Kontrollzielen und Berichtstyp (Typ 1 bzw. Typ 2), Klärung von Subdienstleistern und Kundenkontrollen.
- 2. Systemanalyse
Prüfung der IKS-Beschreibung, der Risiko-Kontroll-Matrix und der Prozessdokumentationen.
- 3. Kontrolltests
Stichprobenweise Prüfung der Schlüsselkontrollen auf Wirksamkeit (Typ 2).
- 4. Beurteilung und Bericht
Zusammenfassung der Ergebnisse, Darstellung der Feststellungen und Gesamtbeurteilung des Systems.
Erfolgsfaktoren und typische Stolpersteine
Erfolgsfaktoren
- Klare Abgrenzung
Geprüfte Leistung, Standorte, Systeme und Subdienstleister früh festlegen.
- Risikoorientierung
Schlüsselkontrollen zählen mehr als flächendeckende Formalität.
- Klare Verantwortlichkeiten
Für jede Kontrolle ist geregelt, wer ausführt, überwacht und entscheidet.
Typische Stolpersteine
- Fehlende Nachweise
Nicht dokumentierte Kontrolldurchführung gilt aus Prüfersicht als nicht erbracht.
- Unklare Abgrenzung
Wechselnder Umfang während der Prüfung führt zu Hemmnissen.
- Falsche Erwartung
Ein Bericht ersetzt weder interne Kontrollen noch die Sorgfalt der Kunden.
Betreiben Sie zusätzlich ein eigenes Softwareprodukt, ist ggf. auch eine Softwareprüfung nach IDW PS 880 sinnvoll. Der Vergleich beider Nachweise steht in der Übersicht zur Software- und IKS-Prüfung.
Häufige Fragen
Kostenloser Download, ohne Formular
Praxisleitfaden dienstleistungsbezogenes IKS (IDW PS 951 n.F. bzw. ISAE 3402)
Aufbau, Dokumentation, Prüfung und Nachweis eines dienstleistungsbezogenen internen Kontrollsystems und wie sich Nachweispflichten effizient erfüllen lassen.
Nächster Schritt: Prüfen Sie gemeinsam mit uns, ob Ihre Unterlagen und Kontrollen bereit sind.
IKS-Readiness besprechenWeiterführend: Fachbeitrag IKS-Prüfung für Mehrmandantendienstleister
IKS-Prüfung besprechen
Sie möchten einen IKS-Bericht beauftragen bzw. klären, ob Typ 1 bzw. Typ 2 zu Ihrem Anlass passt? Sprechen Sie uns an.
Jetzt unverbindlich sprechen