Was ist Prüfungssicherheit (Audit-Bereitschaft)?

Prüfungssicherheit (oft als Audit-Bereitschaft bezeichnet) ist der Zustand, in dem Datensätze, das interne Kontrollsystem und Belege so organisiert sind, dass eine interne oder externe Prüfung jederzeit beginnen kann - ohne dass in letzter Minute irgendetwas rekonstruiert werden muss. Eine prüfungssichere Organisation behandelt Prüfungen nicht als Ereignisse, auf die man sich vorbereitet; sie hält Register, Genehmigungen und Belegketten, die der Prüfer verlangen wird, ganz routinemäßig korrekt - sodass die Prüfung selbst zu einem Abgleich an einer Stichprobe wird statt zu einer Spurensuche.

Was Prüfer tatsächlich verlangen

Die genauen Anfragen variieren nach Prüfungstyp - finanziell, ISO-Zertifizierung, Versicherung, interne Prüfung -, aber wo Assets betroffen sind, ist die Kernliste bemerkenswert stabil:

• Ein aktuelles Asset-Register, das zur Realität passt: was existiert, wo es ist, wer es hat, was es gekostet hat und in welchem Zustand es ist.
• Belege, dass die Kontrollen wirken, nicht nur auf dem Papier stehen - erfasste Genehmigungen für Käufe und Abgänge und eine sichtbare Funktionstrennung zwischen demjenigen, der anfordert, und dem, der genehmigt.
• Eine Spur für jeden Artikel aus der Stichprobe. Prüfer testen in beide Richtungen: Sie greifen sich Datensätze und verlangen das Asset, dann greifen sie sich vom Schreibtisch aus Assets und verlangen den Datensatz. Prüfungssicher heißt, beide Richtungen funktionieren.
• Belege zu Abgang und Ausbuchung - wer es genehmigt hat, wann es ging, und bei datentragenden Geräten ein Nachweis der Löschung.
• Bei sicherheitsorientierten Prüfungen wie ISO 27001 ein Informationswerte-Verzeichnis mit einem benannten Verantwortlichen je Eintrag.

Datensätze, die das ganze Jahr aktuell bleiben sollten

Manche Datensätze altern gut; andere veralten innerhalb von Wochen. Die schnell verfallenden verdienen Routine: wer tatsächlich jeden Laptop und jedes Diensthandy hat (Zuweisungen verschieben sich bei jeder Rollenänderung), der Asset-Status (die Maschine, die im März zur Reparatur ging und im Mai unbemerkt ausgemustert wurde) und die Lizenzplätze bei Softwarelizenzen, die Prüfer zunehmend wie jedes andere Asset behandeln. Kleine tragbare Artikel - externe Festplatten, Adapter, Prüfmittel - verschwinden zuerst aus den Registern und sind am peinlichsten, weil eine fehlende datentragende Komponente ein Sicherheitsbefund ist und nicht bloß eine Bestandsabweichung. Langsamer, aber unverzichtbar: Kaufrechnungen, Garantiedokumente und Entsorgungszertifikate, aufbewahrt so lange, wie Ihre Aufbewahrungsfristen verlangen, dass sie vorgelegt werden können.

Wo Bereitschaft meist bricht

Dieselben Lücken tauchen Prüfung für Prüfung auf. Ghost Assets - Artikel im Register, die physisch nicht mehr existieren - blähen die Bücher auf und fallen sofort beim Test vom Datensatz zum Asset durch. Nachträglich rekonstruierte Belege sind die nächste Lücke: Genehmigungen, die mündlich erteilt und erst in der Woche vor der Prüfung nachgetragen wurden, fallen erfahrenen Prüfern auf und sind schlimmer als gar keine Genehmigung. Dann das Wissen in einem einzigen Kopf, wo das Register technisch in Ordnung ist, aber nur ein einziger Mitarbeitender es erklären kann. Und schließlich die Unart, erst kurz vor knapp den „Audit-Ordner” zu füllen: alles in einem heroischen Kraftakt in der Woche vor dem Besuch zusammentragen. Das ist Prüfungsvorbereitung, kein Dauerzustand - und der Unterschied zeigt sich an den Nähten.

Audit-Bereitschaft in der Praxis

Die Gewohnheit, die Prüfungssicherheit erzeugt, ist einfach zu formulieren: jedes Ereignis erfassen, sobald es eintritt, in einem System, einer benannten Person zugeordnet. Werden Ausgaben, Rückgaben, Übertragungen, Statusänderungen und Abgänge im Moment des Geschehens protokolliert, wird aus der Prüfung eine Sache von Filtern und Exportieren statt forensischer Kleinarbeit. In AMPthilly landen jede Ausgabe, Rückgabe, jede Übertragung, jede Statusänderung und jede Genehmigung in einer dauerhaften Audit-Historie am Asset-Datensatz, als CSV exportierbar, sobald der Prüfer fragt. Welches Werkzeug Sie auch nutzen: Der Test bleibt derselbe - könnten Sie heute für jedes Asset die Belege liefern, ohne jemanden um seine Erinnerung bitten zu müssen?

Verwandte Begriffe

• Internes Kontrollsystem - die Richtlinien und Prüfungen, deren Wirksamkeit Prüfer testen
• Funktionstrennung - die Kontrolle, die Anfordern, Genehmigen und Erfassen auf verschiedene Personen verteilt
• ISO 27001 Assetmanagement - der Zertifizierungskontext, in dem Asset-Belege am gründlichsten stichprobenartig geprüft werden
• Informationswerte-Verzeichnis - das datenseitige Register, das Sicherheitsprüfer neben dem Hardware-Register erwarten
• Aufbewahrungsfristen - die Regeln, wie lange Prüfbelege vorlegbar bleiben müssen