Sein Zweck ist festzustellen, in welchem Ausmaß diese Kriterien erfüllt sind, und Befunde zu berichten, die Rechenschaftspflicht und Korrekturmaßnahmen unterstützen. Audits können intern durch vom auditeten Bereich unabhängiges Personal, für einen Kunden oder durch einen unabhängigen Dritten durchgeführt werden.
Ein glaubwürdiges Audit definiert Ziele, Scope, Kriterien, Methoden, Beweisbedarf, Verantwortlichkeiten und Berichtsprozess im Voraus. Kompetenz und Objektivität des Auditors, Interessenkonflikte, Stichprobenauswahl und Nachverfolgung beeinflussen den Wert seiner Schlussfolgerungen.
Wichtigste Punkte
KriterienDie zu prüfenden Richtlinien, Standards, Vertragspflichten, Kontrollanforderungen oder regulatorischen Bestimmungen sowie die einbezogenen Systeme, Standorte, Zeiträume und Organisationen bestimmen.
BeweiserhebungAufzeichnungen und Konfigurationen prüfen, Verantwortliche befragen, Prozesse beobachten, Transaktionen stichprobenartig untersuchen und ausgewählte Kontrollen mit dem Audit-Ziel angemessenen Methoden testen.
Bericht und NachverfolgungBeweise von Interpretation trennen, Konformität und Befunde klar beschreiben, Korrekturmaßnahmen und Eigentümer zuweisen, die Behebung verfolgen und die für die Aufsicht nötigen Unterlagen aufbewahren.
Wichtige EinschränkungEin Audit liefert zeitlich begrenzte Aussagen über definierte Kriterien und Stichproben von Beweisen. Es kann weder bescheinigen, dass außerhalb des Scopes keine Schwachstelle, kein Betrug, kein Breach und keine Nichtkonformität existiert, noch dass Kontrollen nach dem Audit wirksam bleiben.