Datenanalysen im Rahmen der Jahresabschlussprüfung

Einsatzmöglichkeiten im risikoorientierten Prüfungsansatz

I. Vorbemerkung

[i]Velte, infoCenter, Prüfungstheorie NWB SAAAE-13043 Zülch, infoCenter, Prüfungsprozess NWB VAAAE-25215 Bierkämper/Toll, Einsatz analytischer Prüfungshandlungen im Rahmen der Jahresabschlussprüfung, WP Praxis 10/2015 S. 248 NWB OAAAF-01723 Bierkämper/Toll, Analytische Prüfungshandlungen im Rahmen der Jahresabschlussprüfung, WP Praxis 9/2015 S. 231 NWB TAAAE-99090 Odenthal, BIG DATA und Continuous Auditing – Betriebliche Daten und Betrug im Kontext prüferischer Urteilsbildung, BBK 14/2015 S. 659 NWB FAAAE-94326 In Unternehmen werden Daten in der Rechnungslegung, z. B. in der Buchführung oder in IT-gestützten Geschäftsprozessen, i. d. R. durch IT-Systeme verarbeitet. In den vergangenen Jahrzehnten hat die Bedeutung der IT zugenommen. [1] Bei der Prüfung ist zu berücksichtigen, dass Unternehmensorganisationen, Geschäftsprozesse und die Rechnungslegung maßgeblich durch den Einsatz von IT unterstützt werden bzw. u. U. die IT untrennbar in die Aufbau- und Ablauforganisation des Unternehmens eingebunden ist.

Gemäß § 317 Abs. 1 Satz 1 HGB ist die (IT-gestützte) Buchführung in die Prüfung einzubeziehen. In diese gehen als Grundlagen i. d. R. Daten aus vorgeschalteten Anwendungen ein, die z. T. elektronisch erzeugt wurden. Daher müssen neben der Buchführung sämtliche Elemente des IT-Systems geprüft werden, die Daten über Geschäftsvorfälle und betriebliche Aktivitäten verarbeiten, welche in die IT-gestützte Rechnungslegung einfließen oder als Grundlage für Buchungen dienen. [2] Diese Prüfung kann vom Abschlussprüfer mithilfe von IT-Datenanalysen durchgeführt werden. [3] Das IDW erläutert in IDW PH 9.330.3, wie Wirtschaftsprüfer im Rahmen ihres prüferischen Ermessens Datenanalysen im Rahmen der Abschlussprüfung einsetzen können. Dies erhöht die Wirksamkeit sowie die Wirtschaftlichkeit der Abschlussprüfung, besonders bei der Verarbeitung großer Datenmengen (sog. „Big Data“).

Die vom IDW vorgeschlagene Methodik bezieht sich auf die Darlegung und Beschreibung historischer Daten (sog. Descriptive Analytics). Der Prüfer sollte Daten darüber hinaus zur Erstellung von Vorhersagen (sog. Predictive Analytics) und in der Folge zur Entscheidungsunterstützung nutzen. Schließlich hat der Prüfer z. B. im Lagebericht zukunftsorientierte Stellungnahmen zu prüfen. [4] Diese werden i. d. R. explizit oder implizit Prognosen enthalten. Die Position des Prüfers wird daher besonders gestärkt, wenn er vom Unternehmen gestellte S. 155Prognosen mit eigenen, methodisch durch Verfahren des Predicitive Analytics erstellten Prognosen, abgleichen kann.

Die Anforderung an die organisatorische Struktur, Methodenkenntnis, Softwareverfügbarkeit und -beherrschung stellen insbesondere für kleine und mittlere Organisationen, insofern auch für kleine und mittlere Prüfungsgesellschaften, eine hohe Hürde für die Implementierung von Predictive Analytics dar. [5] Daher ist ein stufenweiser Eintritt in das Feld quantitativer Datenanalyse ratsam, beginnend mit deskriptiven Methoden, die im Folgenden ausschließlich diskutiert werden.

II. Begriff der Datenanalyse

Im Rahmen der Abschlussprüfung stellen Datenanalysen zielgerichtete und IT-gestützte Maßnahmen zur Selektion, Aufbereitung bzw. Auswertung von Daten zur Festlegung von Stichprobenumfängen sowie zur Einholung ausreichender und angemessener Prüfungsnachweise dar. [6]

Datenanalysen können besonders effizient sein, weil Prüfungshandlungen z. T. automatisiert werden können und der manuelle Prüfungsumfang zur Gewinnung hinreichender Prüfungssicherheit insgesamt reduziert werden kann. Auch beim Einsatz von Datenanalysen sind die Grundsätze der Wesentlichkeit und Wirtschaftlichkeit zu beachten. Geradezu unwirtschaftlich sind Datenanalysen, die mangels hinreichender Zielfokussierung eine Vielzahl unpräziser und unscharfer Ergebnisse erzeugen, weil sie oftmals weitere Untersuchungen auslösen, die z. T. keine tieferen Erkenntnisse liefern. [7]

Zwingend zu beachten ist, dass Datenanalysen i. d. R. alleine nicht ausreichend sind, um mit hinreichender Sicherheit ein Urteil über sämtliche bedeutsamen Risiken wesentlicher falscher Angaben in der Rechnungslegung (Fehlerrisiken) oder über die Ordnungsgemäßheit und Sicherheit der IT-gestützten Rechnungslegung treffen zu können. [8] Daher sind diese im Normalfall um aussagebezogene Prüfungshandlungen zu ergänzen.

III. Anforderungen an den Einsatz von Datenanalysen

1. Elektronisch auswertbare Form

Voraussetzung für den Einsatz von IT-gestützten Prüfungshandlungen ist, dass die Verarbeitung der Geschäftsvorfälle bzw. die Dokumentation der Kontrolldurchführung in elektronisch auswertbarer Form erfolgt. [9] In diesem Sinne sollte der Prüfer Erkenntnisse über die Geschäftsvorfälle, Geschäftsprozesse und Kontrollen erlangen, die für die Abschlussprüfung relevant und für Zwecke der Datenanalysen in besonderer Weise geeignet sind. [10]

2. Technisches Umfeld

Technisch können für Datenanalysen die Auswertungsmöglichkeiten des IT-gestützten Rechnungslegungssystems des Mandanten sowie spezifische für die Analyse von Daten entwickelte Werkzeuge des Mandanten und/oder des Prüfers eingesetzt werden. [11] Es stehen zahlreiche Analysewerkzeuge zur Verfügung, teilweise auf der Grundlage von Standardanwendungen, teilweise im Rahmen von explizit für die Datenanalyse im Bereich des wirtschaftlichen Prüfungswesens erstellten Anwendungen. Zu nennen sind

• Tabellenkalkulationen (z. B. MS-Excel),

• Datenbankmanagementsysteme (Auswertung über Anfragen an die Datenbank, Nutzung der integrierten Analysefunktionen oder Bearbeitung der Anfragen in weiterführenden Analysewerkzeuge) sowie

• Datenanalysesoftware (z. B. audit data, IDEA, ACL).

Sofern die Datenanalyse vom Abschlussprüfer mithilfe des Rechnungslegungssystems und/oder mit Analysewerkzeugen des zu prüfenden Unternehmens durchgeführt wird, ist sicherzustellen, dass hierdurch keine Daten des Mandanten geändert werden. In jedem Falle sollte sich der Prüfer mit den relevanten Personen des zu prüfenden Unternehmens hinsichtlich der Art, des Umfangs und vor allem des Zeitpunkts der Maßnahmen abstimmen, wenn Systeme des Mandanten verwendet werden. [12] Große Datenvolumina werden zu Prüfzwecken i. d. R. nicht unmittelbar auf den operativen Systemen des zu prüfenden Mandanten analysiert. Solche Analysen können mithilfe von eigener Analysesoftware des Abschlussprüfers erfolgen. Schließlich ist es sinnvoll, eigene Werkzeuge und Programme zu nutzen, in deren Anwendung der Prüfer und/oder seine Prüfungsassistenten geschult sind. S. 156

3. Bestimmung relevanter Informationen

Wird die Analysesoftware des Prüfers genutzt, müssen die Daten des Mandanten importiert werden. Dies umfasst die Klärung der generellen technischen Voraussetzungen (z. B. Datenträgerüberlassung) sowie Einzelheiten des Datenexports. So sind nicht alle Datenbanken und Datenbankenfelder des Rechnungslegungssystems gleichermaßen relevant. Daher sollte im Hinblick auf die benötigten Informationen bestimmt werden, was überhaupt exportiert werden muss. In jedem Falle sollten nach der Extraktion der Daten Plausibilitätsprüfungen durchgeführt werden, z. B. ob die Zahl der extrahierten Datensätze in der Analysesoftware im Hinblick auf die betrachtete Periode oder eines bestimmten Stammdatenbereichs, einer Kostenstelle bzw. Gesellschaft usw. mit der Zahl der Datensätze des Quellsystems übereinstimmt sowie die Summe der extrahierten Salden, Bestände usw. in der Analysesoftware und dem Quellsystem identisch sind.

Die im ERP-System des Unternehmens anfallenden Daten müssen irgendwo gespeichert werden. In der Regel bedienen sich die einzelnen Softwareprodukte (z. B. Software für die Lagerhaltung, Finanzbuchhaltung usw.) für die Speicherung der Daten spezialisierter Datenbanksysteme (DBS). Ein DBS ist ein von der Software unabhängiges System, welches den sicheren und performanten Zugriff auf die Daten erlaubt.

Zur Anwendung kommen sog. relationale Datenbanken. Hierbei werden die Daten in Tabellen gespeichert, zwischen denen Beziehungen bestehen. Je nach angestrebter Analyse werden unterschiedliche Kombinationen von Spalten aus den Tabellen benötigt. Durch die Aufteilung der benötigten Informationen auf mehrere Tabellen ist es ggf. nötig, bereits vor der Datenanfrage die gewünschten Informationen für die Analysen zu bestimmen. Hierfür müssen gewöhnlich Tabellen aus dem DBS zusammengefügt werden. Dies kann entweder:

• bereits durch die exportierende Software (z. B. Finanzbuchhaltungssoftware) erledigt worden sein,

• durch vom Mandanten ausgeführte Anfragen an die Datenbank durchgeführt werden oder

• durch den Prüfer in (oder vor) der Analysesoftware ausgeführt werden.

Liest der Mandant die Daten für den Prüfer direkt aus der Datenbank aus, so besteht die Gefahr von falsch eingestellten Filtern. Hierbei können für die Analyse wichtige Einträge verloren gehen. Daher sollte der Prüfer die Vollständigkeit der Daten (z. B. Buchungssatznummernlückenanalyse usw.) beurteilen. Datenanalysen sind besonders im Rahmen der Prüfung der Buchführung geeignet. Im Folgenden wird daher für das Buchungsjournal beschrieben, welche Spalten mindestens vorhanden sein sollten. Das Journal enthält alle Buchungen auf Konten (einschließlich der Eröffnungsbilanzbuchungen) des Kontenrahmens. In der Regel sind neben den Buchungen auf den Sachkonten auch die Einträge der Nebenbuchhaltung der Debitoren- bzw. Kreditorenkonten enthalten. Mindestens sollten die folgenden Daten vorliegen:

• Buchungsdatum,

• Buchungstext,

• Konto,

• Kontobezeichnung (i. d. R. über separate Tabelle geliefert: Kontenstamm),

• Gegenkonto,

• Gegenkontobezeichnung sowie

• Betrag und Kennzeichen „Soll/Haben“ oder Betragsspalten für „Soll“ und „Haben“.

Nützlich ist, wenn zudem folgende Informationen vorhanden sind, weil dann zusätzliche Erkenntnisse gewonnen werden können:

• Erfasser (z. B. Nutzerkennung),

• Erfassungsdatum,

• Belegdatum,

• Belegnummer,

• Steuerschlüssel,

• Kennzeichen für automatische Buchungen sowie

• Kennzeichen für Eröffnungsbilanzbuchungen (z. B. EB-Kennzeichen).

IV. Vorgehen beim Einsatz von Datenanalysen im risikoorientierten Prüfungsansatz

1. Überblick

Datenanalysen können im gesamten Prüfungsprozess eingesetzt werden. [13] Der Abschlussprüfer bestimmt eigenverantwortlich die Bereiche, in denen Datenanalysen durchgeführt werden sollen (Anwendungsgebiete). Anwendungsgebiete von Datenanalysen sind in erster Linie rechnungslegungsrelevante Daten sowie Daten im Zusammenhang mit dem rechnungslegungsbezogenen IKS. [14] Zu den rechnungslegungsrelevanten Daten zählen vor allem Buchungen, Geschäftsvorfälle, Konten sowie Journale (Haupt- und Nebenbücher). [15] Relevante Daten im Zusammenhang mit dem IKS umfassen u. a. Veränderungen bzw. Maßnahmen bzgl. IT-Anwendungen und IT-gestützten Geschäftsprozessen, Benutzerberechtigungen sowie Belegfluss bzw. Schnittstellenmanagement. [16]

Nicht selten wird eine Datenanfrage mit „Das geht nicht!“, „Das kann das System nicht liefern!“, „Das Auslesen dauert ewig und legt den Betrieb lahm!“ abgelehnt. Wenn das System keine Möglichkeit zum Datenexport der gewünschten Tabellen bietet, sollte die Möglichkeit geprüft werden, direkt auf die dem System zugrunde liegende Datenbank zuzugreifen. In der Praxis machen Arbeiten im Rahmen des Datenexports aus dem zu prüfenden System und der Datenimport in das Analysewerkzeug nicht selten 40 % des Gesamtaufwands einer Datenanalyse aus. [17] S. 157

Sofern eine vom Abschlussprüfer gewünschte Datenanalyse nicht durchgeführt werden kann, hat dies zur Konsequenz, dass – sofern keine hinreichende Prüfungssicherheit durch alternative Prüfungshandlungen gewonnen werden kann – eine Einschränkung des Bestätigungsvermerks (konkretisierbare und quantifizierbare Einwendungen) bzw. eine Versagung (Einwendungen, jedoch nicht konkretisierbar und/oder quantifizierbar) in Erwägung zu ziehen ist, es sei denn, es werden offenkundig keine wesentlichen Fehler erwartet.

Nachdem die Anwendungsgebiete festgelegt wurden, müssen die Art, der Umfang und der Zeitpunkt der Prüfungshandlungen bzgl. der Datenanalysen in den Phasen der Abschlussprüfung geplant werden. Die folgenden Arten von Datenanalysen kommen z. B. im Rahmen von sog. Journal-Entry-Tests infrage:

• Zeitreihen-, Trend-, Abweichungs- und Strukturanalysen,

• Datenkonformitäts- und Konsistenztests (z. B. Benford-Test),

• Häufigkeits- und Verteilungsanalysen,

• Aggregation von Buchungsstoff nach Merkmalen (z. B. Buchender, Zeitpunkt usw.).

Den Umfang und den Zeitpunkt der Prüfungshandlungen unter Einsatz der Datenanalysen muss der Prüfer eigenverantwortlich bestimmen. Generell sollten bei der Datenanalyse folgende Aspekte beachtet werden: [18]

• Welche Fehlerrisiken sollen mithilfe der Analyseinstrumente identifiziert bzw. abgeschätzt werden?

• Wer sollte aus dem Prüfungsteam die Tätigkeiten durchführen?

• Welche Bereiche sollen analysiert werden?

• Welche Ergebnisse werden erwartet und welche Toleranzen werden akzeptiert?

• Welche Methoden bzw. Werkzeuge sollen eingesetzt werden?

Schließlich müssen im jeweiligen Anwendungsgebiet die für die Datenanalysen benötigten Daten bestimmt und vom zu prüfenden Unternehmen bereitgestellt werden (sog. Datenselektion). Das Prüfungsvorgehen lässt sich im Rahmen des risikoorientierten Prüfungsansatzes in fünf Hauptschritte untergliedern: [19]

2. Prüfungshandlungen zur Feststellung, Beurteilung und Klassifizierung von Fehlerrisiken

2.1 Überblick

Dieser Prüfungsansatz beginnt im Rahmen der Prüfungsplanung mit der Feststellung von Fehlerrisiken (1. Schritt), i. S. einer Sammlung von infrage kommenden Risiken für Fehler in der Rechnungslegung. Relevante Fehlerrisiken erkennt der Prüfer bei der Gewinnung eines Verständnisses von dem zu prüfenden Unternehmen und dessen Umfeld, was neben ersten analytischen Beurteilungen der vorläufigen Finanzdaten sowie Wesentlichkeitsüberlegungen, ebenfalls ein ausreichendes Verständnis vom rechnungslegungsbezogenen IKS einschließt.

Während der Prüfungsplanung können z. B. mittels Datenanalysen auf der Basis der Aufdeckung von Unplausibilitäten erste Hinweise für Fehlerrisiken gegeben werden. Dabei muss der Abschlussprüfer erwägen, dass Prüfungshandlungen, die für die Aufdeckung von Unrichtigkeiten ausreichend sind, u. U. Verstöße nicht aufdecken können. Nach der Feststellung der Fehlerrisiken erfolgt eine Fehlerrisikobeurteilung sowie Fehlerrisikoklassifizierung, die zu einer Festlegung der Prüfungsstrategie führt. Die Prüfungsstrategie zielt auf die Auswahl von geeigneten Prüfungshandlungen und das Erlangen ausreichender geeigneter Prüfungsnachweise, als Reaktion des Abschlussprüfers, um die Prüfungsziele zu erreichen.

2.2 Erkenntniserlangung über das Unternehmen und dessen Umfeld

Datenanalysen können zur Identifizierung bedeutsamer Fehlerrisiken eingesetzt werden: [20]

• Geschäftsvorfälle, die nicht routinemäßig verarbeitet werden,

• Ableitung aggregierter Werte und Aussagen aus den Basisdaten,

• Konsistenzprüfungen der Basisdaten mittels statistischer Analysen,

• Nachrechnen der Summen- und Saldenliste,

• Durchführung des EB-Wert-Tests anhand der Endsalden des Vorjahres sowie

• ungewöhnliche Geschäftsvorfälle und solche außerhalb des gewöhnlichen Geschäftsbetriebs.

Die Prüfungshandlungen zur Fehlerbeurteilung können sowohl bei Erst- als auch bei Folgeprüfungen durch Datenanalysen unterstützt werden. Werden Auffälligkeiten festgestellt, kann dies auf potenzielle Fehlerrisiken hindeuten. Folgende Untersuchungen können angewendet werden, wobei wesentliche Abweichungen vom Erwarteten auf Fehlerrisiken hindeuten können: [21]

• Vorjahresvergleich,

• Plan-Ist-Vergleich,

• Analyse der Umsatzerlöse im Hinblick auf Produktgruppen und deren unterjährige Entwicklung (z. B. monatlich, quartalsweise),

• Analyse der Buchhaltung im Hinblick auf die Verteilung der Buchungen pro Monat,S. 158

• Auswertung der Buchungen zum Monats- bzw. Jahresende (z. B. Umsatzerlösrealisierungen) im Hinblick auf wesentliche Beträge,

• Analyse der größten Buchungen auf den Hauptbuchkonten,

• Gegenkontenanalyse zur Auffindung von Auffälligkeiten sowie zur Vertiefung des Verständnisses über das Buchungsverhalten,

• Analyse der Ziffern der Buchwerte des Journals mittels Benford-Analysen oder Chi-Quadrat-Anpassungstests,

• Selektion der Geschäftsvorfälle mit nahe stehenden Personen zur weiteren Beurteilung,

• Analyse der Neuanlagen von Debitoren und Kreditoren,

• ABC-Analysen der Debitoren und Kreditoren zur Identifizierung der wesentlichen Kunden bzw. Lieferanten,

• Beurteilung der Entwicklungen wesentlicher Kennzahlen, die eine Beziehung von bestimmten Positionen beinhalten (z. B. Materialeinsatzquote, Lohnquote usw.),

• grafische Darstellung der Umsatzerlöse im Zeitablauf zur Untersuchung von Schwankungen und Trends,

• Analyse der Konten im Hinblick auf ungewöhnliche Buchungen sowie

• Analyse der verwendeten Steuerschlüssel bzgl. der Umsatzerlösbuchungen.

Die Aussagekraft der Ergebnisse aus den einzelnen Verfahren kann jedoch in Abhängigkeit von Verfügbarkeit und Beschaffenheit des verwendeten Datenmaterials stark variieren.

2.3 Erkenntniserlangung über das rechnungslegungsbezogene IKS

Darüber hinaus eignen sich Datenanalysen zur Vertiefung der Erkenntnisgewinnung über das IKS. [22] Die Prüfung des IKS durch den Abschlussprüfer zielt auf eine Feststellung, ob bestimmte Kontrollmaßnahmen geeignet sind, wesentliche falsche Angaben in Geschäftsvorfällen, Kontensalden und Abschlussposten sowie den damit zusammenhängenden Aussagen zu verhindern bzw. aufzudecken und ggf. zu korrigieren. Bei Funktionsprüfungen sind Prüfungshandlungen vorzunehmen, um die Wirksamkeit der Kontrollen zu prüfen. Hierbei ist z. B. festzustellen, von wem die Kontrollen auf welche Weise durchgeführt wurden, sowie, ob Gründe dafür vorliegen, die den Prüfer daran zweifeln lassen, dass die Kontrollen während des zu prüfenden Zeitraums wirksam waren und ob die Kontrollen stetig erfolgen. [23]

Datenanalysen eignen sich besonders zur Beurteilung des Kontrollumfelds bzgl. der Identifizierung von Kontrollrisiken sowie zur Beurteilung der Wirksamkeit der implementierten generellen Kontrollen. Zudem sind IT-gestützte Geschäftsprozesse, die prozessintegrierte Kontrollen enthalten, aufgrund ihres hohen Automatisierungsgrads für Datenanalysen prädestiniert, weil hier i. d. R. die Protokollierung automatisch erfolgt. Zu beachten ist generell, dass der Einsatz von Datenanalysen die Aufnahme und Beurteilung der Angemessenheit des IKS (sog. Aufbauprüfung) nicht ersetzen, sondern lediglich unterstützen kann. [24] Dennoch eignen sich diese zur Identifizierung von Kontrollrisiken und zur Prüfung der Wirksamkeit der implementierten Kontrollen.

Es können Hinweise auf potenzielle Risiken für den Schutz des Vermögens, für die Gewährleistung der Ordnungsgemäßheit der Rechnungslegung sowie für die Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften erlangt werden. Diese Erkenntnisse können aus folgenden Journal-Entry-Tests gewonnen werden: [25]

• Analyse der Änderungen bei der Nutzung des Kontenplans,

• Analyse der Stornobuchungen,

• Analyse der Buchungen im Hinblick auf die Benutzerkennung,

• Untersuchung der Buchungen zu ungewöhnlichen Zeiten (z. B. Feiertage),

• Analysen der Buchungen zum Ende des Geschäftsjahres,

• Beurteilung der Buchungen durch ungewöhnliche Benutzer (z. B. Geschäftsführer),

• Doppelbuchungsanalyse der Debitoren bzw. Kreditoren,

• Doppelzahlungsanalyse,

• Analyse der manuellen Buchungen auf Hauptbuchkonten, bei denen gewöhnlich keine manuellen Buchungen durchgeführt werden, im Hinblick auf Auffälligkeiten,

• Analyse von nicht systematischen Gegenbuchungen sowie

• Analyse auf Buchungen ohne Rechnungsnummer bzw. mit doppelten Rechnungsnummern.

Zusätzlich kann untersucht werden, welche Benutzer über sog. „Administrator-Rechte“ verfügen, die i. d. R. die am weitestgehendsten Rechte vermitteln. Es bieten sich im Hinblick auf die Benutzerorganisation folgende Analysen an: [26]

• Analyse der Berechtigungen nach Verantwortungsbereichen,

• Untersuchung der Veränderungen von Berechtigungen im Vergleich zum Vorjahr,

• Untersuchungen bzgl. der Identifizierung kritischer Berechtigungskombinationen,

• Beurteilung, ob systemseitige Sperrungen von Personen durchgeführt werden, die sich länger nicht angemeldet haben und/oder ausgeschieden sind sowie

• Untersuchungen von Stammdatenänderungen, vor allem durch nicht autorisierte Personen.

Die Beurteilung IT-gestützter Geschäftsprozesse durch Datenanalysen umfasst primär die Überprüfung von Schnittstellen (z. B. Haupt- und Nebenbücher). Relevante Auswertungen (vor allem bzgl. der Geschäftsprozesse Einkauf bzw. Verkauf) sind u. a.: [27]

• Abgleich von Warenein- bzw. Warenausgängen mit den zugrunde liegenden Bestellungen bzw. Angeboten bzgl. der gelieferten oder versendeten Waren und Mengen,S. 159

• Abgleich der gelieferten und in Rechnung gestellten Waren mit dem Bestellpreis bzw. Angebotspreis,

• Generierung von Auswertungen zur Überprüfung der Kontrollen, ob das Realisationsprinzip bzgl. des Einkaufs bzw. des Verkaufs beachtet wurde,

• Abgleich der im Warenwirtschaftssystem erfassten Warenauslieferungen mit den in der Finanzbuchhaltung erfassten Rechnungen sowie Extraktion der Rechnungen ohne Warenlieferungen,

• Abstimmung der Werte bzgl. der Bestände lt. Warenwirtschaftssystem mit den jeweiligen Werten lt. Finanzbuchhaltung sowie

• Untersuchungen im Hinblick auf Buchungen, die nahe den Schwellwerten liegen (z. B. Kreditlimits, Bestelllimits).

3. Prüfungshandlungen als Reaktion auf die beurteilten Fehlerrisiken

3.1 Überblick

Als Reaktionen des Abschlussprüfers auf die beurteilten Fehlerrisiken (2. Schritt) – im Rahmen der Phase der Prüfungsdurchführung – kommen allgemeine Reaktionen auf Abschlussebene (z. B. der Einsatz von Spezialisten im Prüfungsteam) sowie Funktionsprüfungen und aussagebezogene Prüfungshandlungen in Betracht, die sich auf bestimmte Aussagen in der Rechnungslegung beziehen (Aussageebene).

Im Sinne des risikoorientierten Prüfungsansatzes gilt, dass die Art und der Umfang der aussagebezogenen Prüfungshandlungen vom Ergebnis der Beurteilung der Fehlerrisiken abhängen. Generell führen höhere Kontrollrisiken, die auf der Basis von durchgeführten Funktionsprüfungen beurteilt wurden, zu einem höheren Umfang von aussagebezogenen Prüfungshandlungen. Umgekehrt führen niedrigere Kontrollrisiken zu einem niedrigeren Prüfungsumfang. [28]

Datenanalysen können mittels der unter Abschn. 2.3 dargestellten Methoden im Rahmen der Funktionsprüfungen der Kontrollen (IKS-Funktionsprüfungen) sowie der Prüfung der IT-Systeme (IT-Systemprüfungen) eingesetzt werden. Datenanalysen sind auch bei analytischen Prüfungshandlungen und Einzelfallprüfungshandlungen relevant. Sie sind z. B. auf Buchungsebene, Kontenebene sowie der Ebene der Abschlusspositionen möglich. Zudem können mathematisch-statistische Methoden zur Bestimmung von Stichprobenumfängen sowie der Auswahl der zu prüfenden Elemente genutzt werden.

3.2 Datenanalysen bei analytischen Prüfungshandlungen

Unter analytischen Prüfungshandlungen sind Beurteilungen von Informationen – im Hinblick auf die Nachvollziehbarkeit derselben durch den Prüfer – mithilfe sinnvoller Beziehungen sowohl zwischen finanziellen als auch zwischen nichtfinanziellen Daten zu verstehen. [29] Bei analytischen Prüfungshandlungen handelt es sich zudem um Untersuchungen von festgestellten Tatsachen, Schwankungen oder Beziehungen dahingehend, ob diese mit anderen relevanten Informationen in Einklang stehen oder um einen erheblichen Betrag von den erwarteten Werten abweichen. Diesbezüglich eignen sich vor allem Zeitreihenvergleiche sowie Abweichungsanalysen der in der Buchhaltung erfassten Daten. Folgende analytische Prüfungshandlungen können u. a. durch Datenanalysen durchgeführt werden: [30]

• Nutzungsdauernanalyse bzgl. der Anlagegegenstände,

• Kennzahlenanalyse von verschiedensten Kennzahlen der Bilanz- und/oder GuV-Größen,

• Analyse der Bewertung der Vorräte im Zeitvergleich,

• automatisierte Nachberechnung der Abwertungsverfahren,

• Analyse der Bewertung der Forderungen aus Lieferungen auf der Basis von Altersstrukturanalysen,

• Analyse der unterjährigen Entwicklung der Umsatzerlöse (z. B. Aggregation der Umsatzerlöse anhand des Buchungsdatums, um Monatsumsatzerlöse zu analysieren),

• Analyse der Material- bzw. Personaleinsatzquote im Zeitverlauf sowie

• Untersuchungen der sonstigen betrieblichen Aufwendungen im Hinblick auf Auffälligkeiten.

In diesem Zusammenhang kann eine grafische Veranschaulichung im unterjährigen Zeitverlauf auf eine anschauliche Art Erkenntnisse über die Plausibilität von (ausgewählten) Aufwands- bzw. Erlösarten liefern.

Gewöhnlich führen analytische Prüfungshandlungen alleine nicht zu einer ausreichenden Sicherheit im Hinblick auf die Prüfungsaussage. Dann ist es zur Erreichung der geforderten Prüfungssicherheit geboten, weitere Prüfungsnachweise, z. B. aus Einzelfallprüfungen und/oder Funktionsprüfungen, zu erlangen. [31]

3.3 Datenanalysen bei Einzelfallprüfungen

Bei Einzelfallprüfungen werden (diverse) Geschäftsvorfälle oftmals stichprobenweise ausgewählt und sorgfältig im Hinblick auf die Prüfungsaussage untersucht. [32] Einzelfallprüfungen stellen unmittelbare Soll-Ist-Vergleiche dar, wobei einzelne Geschäftsvorfälle, Bestände oder Aussagen in der Rechnungslegung S. 160mit Belegen oder anderen Nachweisen verglichen werden. In diesem Zusammenhang können Datenanalysen primär für rechnerische Prüfungen bzw. Abstimmungen eingesetzt werden. Hierdurch sollen Auffälligkeiten sowie Hinweise für nicht vertretbare Abweichungen in den Rechnungslegungsinstrumenten entdeckt werden, die dann weitere Prüfungshandlungen (z. B. Belegprüfungen) nach sich ziehen. Zum Beispiel die folgenden Untersuchungen können durchgeführt werden: [33]

• Nachberechnung von automatisierten bzw. systembasierten Bewertungsverfahren und Buchungen (z. B. Abschreibungs- und Abgrenzungsberechnungen),

• Nachvollziehen von automatisierten bzw. systembasierten Bewertungsverfahren und Buchungen (z. B. Abwertungsroutinen),

• Überprüfung von Aussagen in der Rechnungslegung durch die Analyse der erfassten Buchungen (z. B. eingehende Untersuchungen von bestimmten Konteninhalten),

• Nachvollziehung der zu Zwecken der verlustfreien Bewertung herangezogenen beizulegenden Werte,

• Prüfung der sachgerechten Vorratsbewertung durch Analyse der bewerteten Inventurliste,

• Selektion der Sachverhalte aus Nebenbüchern, die gewöhnlich zu Umgliederungen führen (z. B. debitorische Kreditoren, kreditorische Debitoren, Forderungen bzw. Verbindlichkeiten im Verbundbereich usw.),

• Nachvollzug der Umsatzsteuerverprobung anhand der berücksichtigten Erlöskonten einschließlich der verwendeten Steuerschlüssel,

• Selektion einzelner Umsatzerlösbuchungen zur Prüfung des Realisationsprinzips,

• Selektion einzelner Umsatzerlösbuchungen nach Auffälligkeiten (Buchung durch Geschäftsführer, an Wochenenden, zum Bilanzstichtag usw.) zur anschließenden Belegprüfung,

• Analysen hinsichtlich des Materialeinsatzes (z. B. Zerlegung im Zeitverlauf, Auswahl von Buchungen zum Jahresende) sowie

• Analyse der Materialeinsatzbuchungen im Hinblick auf die Fragestellung, ob zu jedem Umsatzerlös der relevante Materialeinsatz berücksichtigt wurde.

Datenanalysen können zudem die Stichprobenauswahl bei Einzelfallprüfungshandlungen sowohl im Hinblick auf die Umfangsbestimmung als auch bzgl. der Auswahl der konkret zu prüfenden Elemente der Grundgesamtheit unterstützen. Anhand einer Strukturanalyse der Grundgesamtheit kann der Prüfer Erkenntnisse über die Art der Geschäftsvorfälle der zu prüfenden Grundgesamtheit gewinnen (z. B. Massenvorfälle oder Einzelsachverhalte). [34] Dazu kann die Grundgesamtheit nach einzelnen Merkmalen (z. B. Buchwert, buchender Benutzer, Lagerort usw.) geschichtet werden. Solche Datenanalysen können sowohl im Rahmen der bewussten Auswahl als auch im Rahmen mathematisch-statistischer Verfahren eingesetzt werden.

Der Stichprobenumfang kann bei zufallsgesteuerten Auswahlverfahren mithilfe von Datenanalysen durch Schichtungen der Grundgesamtheit vermindert werden. Auch kann vorab eine Vollerhebungsschicht extrahiert werden. Eingesetzt werden sollten mathematisch statistische Verfahren vor allem im Rahmen von Massenrisiken, wie bspw. der

• Auswahl der Debitoren sowie Kreditoren für eine Saldenbestätigungsaktion,

• Auswahl der zu prüfenden Elemente der Vorräte hinsichtlich der Mengen- bzw. Preistests,

• Auswahl von Einzelsachverhalten aus den Umsatzerlösen bzw. des Materialeinsatzes im Hinblick auf Einzelfallprüfungen sowie

• Auswahl der zu prüfenden Anlagenzugänge.

4. Beurteilung der Gesamtdarstellung

Im 3. Schritt beurteilt der Abschlussprüfer die Gesamtdarstellung. Hier können z. B. tendenziell eher formale Aspekte der Rechnungslegung (z. B. die ordnungsgemäße Gliederung der Bilanz usw.) geprüft werden. Dabei helfen die bereits angesprochenen Plausibilitätsbeurteilungen.

5. Beurteilung der erlangten Prüfungsnachweise

Schließlich sind im 4. Schritt die erlangten Prüfungsnachweise abschließend im Rahmen einer Gesamtwürdigung dahingehend zu beurteilen, ob diese ausreichend bzw. angemessen sind oder weitere Prüfungshandlungen notwendig werden. Der Abschlussprüfer muss vor Beendigung der Prüfung entscheiden, ob die im Rahmen der Prüfungsplanung getroffenen Einschätzungen der Risiken wesentlicher falscher Darstellungen weiterhin angemessen sind. Spätestens vor der abschließenden Urteilsbildung muss auch darüber entschieden werden, ob die gewählten Wesentlichkeitsgrenzen nach wie vor angemessen sind oder ob diese angepasst werden müssen. Eine Absenkung der Wesentlichkeitsgrenzen hat z. B. zur Konsequenz, dass weitere Prüfungsnachweise gewonnen werden müssen bzw. bereits getroffene Schlussfolgerungen zu überdenken sind.

6. Urteilsbildung, Kommunikation und Dokumentation

Der letzte und 5. Schritt schließt mit der Urteilsbildung, der Urteilskommunikation im Prüfungsbericht und im Bestätigungsvermerk sowie ggf. im Management Letter und/oder im Rahmen der Berichterstattung an den Aufsichtsrat bzw. mit der Dokumentation. Im besten Fall wird ein uneingeschränkter Bestätigungsvermerk erteilt. Sofern für eine wesentliche Aussage im Abschluss nicht ausreichend geeignete Prüfungsnachweise vorliegen, sind weitere Prüfungshandlungen zur Erlangung zusätzlicher Prüfungsnachweise erforderlich. Falls es nicht möglich ist, entsprechende Prüfungsnachweise zu S. 161erhalten, muss der Abschlussprüfer sein Prüfungsurteil entweder einschränken oder versagen.

Der Abschlussprüfer hat zudem die Pflicht, den für die Überwachung Verantwortlichen und der Unternehmensleitung Mängel im IKS, existenzgefährdende und entwicklungsbeeinträchtigende Tatsachen sowie sonstige Gesetzesverstöße mitzuteilen. Die Notwendigkeit zur Anfertigung einer Prüfungsdokumentation ergibt sich aus der Verpflichtung des Wirtschaftsprüfers, Handakten zu führen, anhand derer er ein nachvollziehbares Bild über die von ihm „entfaltete“ Tätigkeit geben muss (§ 51b Abs. 1 WPO). Im Hinblick auf Datenanalysen sollten

• die Analyseergebnisse,

• Auswertungen sowie Analysen,

• Sinn und Zweck der Tätigkeit,

• ggf. verwendete Wesentlichkeitsgrenzen, Sicherheitsniveaus und weitere Parameter bei der Stichprobenauswahl sowie die

• hieraus gezogenen Schlussfolgerungen

in den Arbeitspapieren in einer Art und Weise dokumentiert werden, dass die Nachvollziehbarkeit der Prüfungsergebnisse möglich ist. [35] Originaldaten, die dem Prüfer zur Verfügung gestellt wurden, müssen – wie bei anderen Daten auch, die im zu prüfenden Unternehmen vorliegen – nicht aufbewahrt werden. Zudem sollten die Durchführung des Datenexports sowie ggf. durchgeführte Abstimmungen bzw. erforderliche Anpassungen bzw. Konvertierungen des Datenexports dokumentiert werden.

Generell ist jedoch zu beachten, dass die einzelnen vorgenannten fünf Schritte nicht notwendigerweise nacheinander vonstattengehen und zudem keine starre Komponente darstellen, sondern Anpassungen und Ergänzungen als kontinuierlicher rückgekoppelter Prozess im Laufe der Prüfung notwendig werden können.

V. Fazit

„Eine Prognose, dass Datenanalysen einen zunehmend wichtigen Anteil im Methoden- und Technikportfolio der Abschlussprüfung haben werden, erscheint aufgrund ihres hohen Effizienzbeitrags nicht gewagt.“ [36] Dem ist uneingeschränkt zuzustimmen! Die Berufsstände der Wirtschaftsprüfer und vereidigten Buchprüfer stehen bei der Anwendung dieser Methoden in zunehmendem Maße Herausforderungen gegenüber. Es müssen Werkzeuge gefunden werden, welche die Vorteile solcher Anwendungen nutzbar machen und zudem in einem angemessenen Kosten- und Nutzenverhältnis stehen.