Softwareprüfung und IKS-Prüfung
IDW PS 880 · IDW PS 951 n.F. bzw. ISAE 3402
Software- und Mehrmandantendienstleister, die standardisierte Leistungen für eine Vielzahl von Kunden erbringen, stehen unter wachsendem Nachweisdruck: Kunden, deren Abschlussprüfer und zunehmend auch Aufsichtsbehörden verlangen belastbare, unabhängige Belege. Gefragt wird auf zwei Ebenen: beim Produkt und bei der Organisation dahinter.
Wir prüfen beides: Softwareprodukte nach IDW PS 880 n.F. und dienstleistungsbezogene Interne Kontrollsysteme nach IDW PS 951 n.F. bzw. ISAE 3402. Beide Prüfungen folgen demselben risikoorientierten Ansatz und lassen sich sinnvoll kombinieren.
Wie die Prüfungen zusammenhängen
Softwaretestat nach IDW PS 880
Belegt, dass ein konkretes Softwareprodukt in einem definierten Versionsstand die festgelegten Kriterien ordnungsgemäß erfüllt, etwa bei rechnungslegungsrelevanter Software.
IKS-Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402
Belegt, dass das dienstleistungsbezogene Kontrollsystem geeignet ausgestaltet ist (Typ 1) und über den Prüfungszeitraum wirksam funktioniert hat (Typ 2).
Wer Software entwickelt und als Dienstleistung betreibt, braucht häufig beides: Das Testat schafft Vertrauen in das Produkt, der Assurance-Bericht Vertrauen in den laufenden Betrieb. Die IKS-Prüfung ist dabei nicht auf die IT-Branche beschränkt: Sie richtet sich an alle Mehrmandantendienstleister, etwa in den Bereichen Abrechnung, Zahlungsverkehr, Datenverarbeitung oder Administration.
Wir stimmen mit Ihnen ab, welche Prüfung Ihren Nachweisbedarf deckt und in welcher Reihenfolge sie sinnvoll ist.
Softwareprüfung nach IDW PS 880
Unser Leistungsspektrum
- Prüfung nach IDW PS 880 n.F.
Risikoorientierte Prüfung und Beurteilung von Softwareprodukten mit Prüfungsbericht und Softwarebescheinigung
- Unterstützung bei prüffähigen Prozessen
Beratung beim Aufbau von Entwicklungs-, Test- und Release-Prozessen, die einer Softwareprüfung standhalten
- Review zur Prüfungsvorbereitung
Bewertung bestehender Systeme und Prozesse als Vorbereitung auf die Prüfung und als Qualitätssicherung
Wann ist eine Softwareprüfung erforderlich?
- Einsatz in rechnungslegungs- oder kontrollrelevanten Prozessen
- Nachweispflichten gegenüber Anwendern und deren Abschlussprüfern
- Regulatorische Erwartungen an Nachvollziehbarkeit und Kontrollen
Ablauf der Softwareprüfung
- 1. Auftragsdefinition und Abgrenzung
Eindeutige Festlegung von Prüfungsgegenstand, Kriterien, Umfang und Kommunikationswegen.
- 2. Informationsgewinnung und Systemverständnis
Durchsicht der Verfahrens- und Anwenderdokumentation, Identifikation risikobehafteter Funktionsbereiche.
- 3. Prüfung von Design, Implementierung und Tests
Beurteilung, ob der Entwicklungsprozess geeignet ist, Risiken zu beherrschen. Risikoorientiert und stichprobenweise.
- 4. Eigene Funktionstests
Gezielte Ergänzung oder Verifizierung der Herstellernachweise, im Umfang der Risikoeinschätzung.
- 5. Berichterstellung und Abstimmung
Entwurfsbericht zur fachlichen Abstimmung, finaler Prüfungsbericht mit Prüfungsurteil als Grundlage der Bescheinigung.
IKS-Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402
Unser Leistungsspektrum
- Prüfung nach IDW PS 951 n.F. bzw. ISAE 3402
Typ-1- und Typ-2-Berichte zur Angemessenheit und Wirksamkeit Ihres dienstleistungsbezogenen IKS
- Aufbau und Beratung
Unterstützung beim strukturierten Aufbau eines prüfungsfähigen IKS, von der Risikoanalyse bis zur Dokumentation
- Review zur Prüfungsvorbereitung
Bewertung bestehender Systeme als Vorbereitung auf IKS-Prüfungen und als Qualitätssicherung
Wann ist eine IKS-Prüfung erforderlich?
- Wenn Kunden oder deren Abschlussprüfer Nachweise über Ihre Kontrollen verlangen
- Wenn Sie als Mehrmandantendienstleister standardisierte Leistungen für viele Kunden erbringen (z. B. Abrechnung, Zahlungsverkehr, Datenverarbeitung, Administration)
- Bei Auslagerungen wesentlicher Prozesse (z. B. IT, Abrechnung)
- Bei steigenden regulatorischen Anforderungen oder als Voraussetzung für den Marktzugang
Ablauf der IKS-Prüfung
Gegenstand ist die IKS-Beschreibung mit den dargestellten Prozessen, Risiken, Kontrollzielen und Kontrollen. Wir beurteilen zunächst, ob das System sachgerecht beschrieben und konzipiert ist (Typ 1) und gegebenenfalls, ob es im Prüfungszeitraum wirksam funktioniert hat (Typ 2).
- 1. Vorbereitung
Abstimmung des Prüfungsumfangs und des Berichtsformats (Typ 1 oder Typ 2).
- 2. Systemanalyse
Prüfung der IKS-Beschreibung, der Risiko-Kontroll-Matrix und der Prozessdokumentationen.
- 3. Kontrolltests
Stichprobenweise Prüfung der Schlüsselkontrollen auf Wirksamkeit.
- 4. Beurteilung und Bericht
Zusammenfassung der Ergebnisse, Darstellung der Feststellungen und Gesamtbeurteilung des Systems.
Erfolgsfaktoren und typische Stolpersteine
Die meisten Prüfungshemmnisse entstehen nicht im Code oder in fehlenden Kontrollen, sondern in fehlender Struktur. Für beide Prüfungen gilt dabei dasselbe Grundmuster.
Erfolgsfaktoren
- Klare Abgrenzung des Prüfungsgegenstands
Eine frühzeitige, eindeutige Festlegung verhindert Missverständnisse und spätere Prüfungshemmnisse.
- Risikoorientierung statt Vollständigkeit
Der Fokus auf wesentliche Risiken und Schlüsselkontrollen ist wichtiger als flächendeckende Formalität.
- Belastbare Nachweise
Verständlich dokumentierte Tests, Kontrollen und Freigaben sind die Grundlage jeder Prüfung.
- Klare Verantwortlichkeiten
Für jeden Prozess und jede Kontrolle muss klar sein, wer ausführt, wer überwacht und wer entscheidet.
- Frühzeitige Einbindung des Prüfers
Frühe Abstimmung zu Gegenstand, Kriterien und Nachweisen reduziert Aufwand und vermeidet Überraschungen.
Typische Stolpersteine
- Unklare oder wechselnde Abgrenzung
Änderungen am Prüfungsgegenstand während der Prüfung führen zu Hemmnissen oder Einschränkungen des Berichts.
- Unzureichend dokumentierte Anforderungen
Ohne dokumentierte Anforderungen und Prozesse fehlt die Grundlage für eine belastbare Beurteilung.
- Nachweise fehlen oder sind lückenhaft
Nicht dokumentierte Tests und Kontrollen gelten aus Prüfersicht als nicht durchgeführt.
- Unklare Grenzen zu Dritten
Fehlende Transparenz über externe Komponenten, Subdienstleister und Schnittstellen erzeugt Lücken im Prüfungsumfang.
- Falsche Erwartung an den Bericht
Ein Testat oder Assurance-Bericht ersetzt weder interne Kontrollen noch die Sorgfalt der Anwender.
Häufige Fragen
Kostenloser Download, ohne Formular
Praxisleitfaden Softwareprüfung (IDW PS 880)
Anforderungen des IDW PS 880 n.F., Prüfungsvorgehen und typische Feststellungen, inklusive der Kriterien, die vor einer Prüfung erfüllt sein sollten.
Nächster Schritt: Prüfen Sie gemeinsam mit uns, ob Ihre Unterlagen und Kontrollen bereit sind.
PS-880-Readiness besprechenKostenloser Download, ohne Formular
Praxisleitfaden dienstleistungsbezogenes IKS (IDW PS 951 n.F. bzw. ISAE 3402)
Aufbau, Dokumentation, Prüfung und Nachweis eines dienstleistungsbezogenen internen Kontrollsystems und wie sich Nachweispflichten effizient erfüllen lassen.
Nächster Schritt: Prüfen Sie gemeinsam mit uns, ob Ihre Unterlagen und Kontrollen bereit sind.
IKS-Readiness besprechenPrüfung besprechen
Sie möchten ein Softwaretestat oder einen IKS-Bericht beauftragen oder klären, welcher Nachweis zu Ihrem Anlass passt? Sprechen Sie uns an.
Jetzt unverbindlich sprechen