Governance, Compliance, Outsourcing Beratung

Beim Outsourcing gilt der Grundsatz, dass zwar entsprechende Aufgaben, Tätigkeiten, Services etc. fremdvergeben werden, die Verantwortung dafür verbleibt aber im eigenen Hause. Daher ist es im eigenen Interesse sich selbst ein Bild über die Prozesse des externen Dienstleisters zu machen. Outsourcing Dienstleister wiederum müssen ihren Kunden gegenüber glaubhaft nachweisen, dass sie die zur Verfügung gestellten Informationen ordnungsgemäß und sicher laut der zugrunde liegenden Vereinbarungen verarbeiten. Damit nicht jeder Kunde eines Dienstleisters eigenständig vor Ort eine Prüfung durchführen muss, um sich ein Bild über die korrekte Arbeitsweise zu verschaffen, haben sich mehrere Prüfungsstandards entwickelt. Im Fokus der Prüfungen steht jeweils das interne Kontrollsystem (IKS). Der Aufbau eines IKS ist eine Management Aufgabe aus dem Bereich Governance.

Am bekanntesten ist der in den USA entwickelte Prüfungsstandard SAS 70 (Statement on Auditing Standards No. 70). Dieser Standard ist inzwischen vom Standard SSAE 16 (Statement on Standards for Attestation Engagements No. 16) abgelöst worden, der dem internationalen Standard ISAE 3402 (International Standard on Assurance Engagements) sehr ähnlich ist. Den deutschen Gegenpart stellt der Prüfungsstandard PS 951 dar.

Die Prüfung des internen Kontrollsystems gibt es in zwei Ausprägungen:

1. Eine Prüfung des Kontrolldesigns und der Implementierung der Kontrollen, ohne dass durch Stichproben die Wirksamkeit untersucht wird. Diese Art Prüfung bzw. Bericht wird als Type I (SAS 70, SSAE 16, ISAE 3402) bzw. Typ A (PS 951) bezeichnet.
2. Zusätzlich zur Prüfung des Designs und der Implementierung wird die Wirksamkeit der Kontrollen über einen definierten Zeitraum geprüft. Diese Art Prüfung bzw. Bericht wird als Type II (SAS 70, SSAE 16, ISAE 3402) bzw. Typ B (PS 951) bezeichnet.

 Für die Strukturierung eines internen Kontrollsystems liefert der Sarbanes-Oxley Act (SOX) entsprechende Anforderungen. SOX-Compliance ist vor allem für externe Dienstleister zwingend, die ihre Leistungen für Firmen erbringen, die selbst SOX unterliegen.

mITSM unterstützt Sie beim Aufbau eines internen Kontrollsystems und ist kompetenter Ansprechpartner rund um das Thema

Governance, Compliance und Outsourcing.