Governance, Risiken & Kontrollen

Risiken, Kontrollen und Unterstützung der Internen Revision

AploIQ unterstützt Risiko-, Kontroll- und Revisionsteams dabei, Kriterien festzulegen, verfügbare Nachweise zu prüfen, Feststellungen abzuleiten und für erkannte Lücken in Technologie, Informationssicherheit, Daten und Betrieb konkrete Maßnahmen mit festgelegten Verantwortlichen zu vereinbaren.

AploIQ unterstützt die Bewertung von Risiken und Kontrollen, Tätigkeiten der Internen Revision, Prüfungen der Umsetzungsreife und die Steuerung von Verbesserungsmaßnahmen. Nicht Teil der Leistung sind Zertifizierungen, gesetzliche Abschlussprüfungen, externe Prüfungen, allgemeine oder uneingeschränkte Bestätigungsleistungen und Rechtsberatung.

  • Die Arbeit ist auf die vereinbarten Kriterien, den Zeitraum, die Nachweise und die unterstützende Rolle beschränkt; Zertifizierung, gesetzliche Abschlussprüfung, allgemeine oder uneingeschränkte Bestätigungsleistungen und rechtliche Schlussfolgerungen liegen außerhalb der Rolle von AploIQ.

Wenn Kontrollen Nachweise und eindeutige Zuständigkeiten brauchen

  • Zuständigkeit, Zweck oder Nachweisanforderungen einer Kontrolle sind unklar.
  • Feststellungen aus Prüfungen, Bewertungen oder Vorfällen bleiben ohne vereinbarte Maßnahmen oder Abschlussnachweise offen.
  • Für eine Prüfung der Umsetzungsreife anhand vereinbarter Anforderungen aus ISO/IEC 27001, NIS2 oder DORA fehlt ein praxistaugliches Arbeitsprogramm.
  • Ergebnisse von Kontrollprüfungen und der Stand der Verbesserungsmaßnahmen lassen sich nur schwer abgleichen oder für die zuständigen Aufsichts- und Kontrollfunktionen aufbereiten.

Möglicher Leistungsumfang

Risiken und Kontrollen bewerten

Relevante Risiken, vorgesehene Kontrollen, Verantwortliche, Nachweise und Prüfkriterien werden innerhalb des vereinbarten Themenbereichs und Zeitraums zugeordnet.

Unterstützung der Internen Revision

AploIQ unterstützt bei Planung, Arbeitsprogrammen, Prüfung von Nachweisen und Kontrollen, Formulierung von Feststellungen und Nachverfolgung von Maßnahmen.

Umsetzungsreife und Lücken prüfen

Bestehende Regelungen werden mit den vereinbarten Anforderungen aus dem festgelegten Rahmenwerk oder Regelwerk verglichen; Lücken und Abhängigkeiten werden dokumentiert.

Verbesserungsmaßnahmen steuern

Verantwortliche, Prioritäten, benötigte Nachweise, Berichtszeitpunkte und Abschlusskriterien werden festgelegt.

Mögliche Arbeitsergebnisse

  • Übersicht zu Risiken, Kontrollen, Verantwortlichen und Nachweisen
  • Kontrollprüfpläne und zugehörige Nachweisdokumentation
  • Feststellungen aus Lücken- und Reifegradanalysen oder aus der Internen Revision, jeweils mit Einschränkungen
  • Priorisiertes Maßnahmenverzeichnis mit Verantwortlichen und Berichtsterminen
  • Unterlagen zur Nachverfolgung und zu Abschlussnachweisen

Vorgehensweise

  1. Kriterien festlegen

    Anforderungen, Umfang, Zeitraum, Verantwortliche, erwartete Nachweise und vorgesehene Adressaten der Arbeit werden vereinbart.

  2. Kontrollen und Nachweise zuordnen

    Risiken und Anforderungen werden mit Kontrolltätigkeiten, verantwortlichen Personen und verfügbaren Unterlagen verbunden.

  3. Nachgewiesene Umsetzung beurteilen

    Die Kontrollen werden anhand der vereinbarten Kriterien geprüft; Lücken in Ausgestaltung, Umsetzung oder operativer Wirksamkeit sowie in der Nachweisführung werden getrennt ausgewiesen.

  4. Maßnahmen bis zum Abschluss begleiten

    Für Maßnahmen, benötigte Nachweise und Prüftermine werden Verantwortliche festgelegt; Fortschritt und Abschlussstatus werden nachgehalten.

Was in eine erste Nachricht gehört

Nennen Sie in einer kurzen Nachricht ohne sensible oder vertrauliche Angaben den Kontrollbereich, die maßgebliche Anforderung, die aktuelle Feststellung oder das Hindernis, den Nachweiszeitraum und die Berichtsfrist. Fügen Sie keine Prüfungsnachweise bei.

Sachverhalt zu Kontrollen besprechen

Rollen bei Prüfungen der Umsetzungsreife und in der Internen Revision

  • Führt eine Prüfung der Umsetzungsreife zu einer Zertifizierung?

    Nein. Sie ermittelt den Handlungsbedarf anhand vereinbarter Kriterien. Eine Zertifizierung kann nur im entsprechenden unabhängigen Zertifizierungsverfahren erteilt werden.

  • Ist die Unterstützung der Internen Revision eine gesetzliche Abschlussprüfung?

    Nein. AploIQ unterstützt Tätigkeiten der Internen Revision, führt jedoch weder gesetzliche Abschlussprüfungen noch externe Prüfungen durch.