Prüfung des internen Kontrollsystems (IKS): Kontrollnachweise anonymisieren – DSGVO-konform anonymisieren
Das interne Kontrollsystem (IKS) ist ein nach § 289 Abs. 4 HGB und den IDW-Prüfungsstandards PS 261 und PS 980 bewertetes Regelwerk aus Prozessen, Kontrollen und Verantwortlichkeiten, das Fehler und Unregelmäßigkeiten in der Rechnungslegung verhindert. Bei der Beurteilung des IKS werten Prüfer Prozessbeschreibungen, Kontrollmatrizen und Walkthrough-Nachweise aus, die Namen von Kontrollverantwortlichen und Beschäftigten nennen. anonym.legal pseudonymisiert diese Personendaten, damit IKS-Nachweise im Prüfungsdatenraum geteilt werden können, ohne einzelne Kontrollträger offenzulegen.
When this applies
Bei der Beurteilung des internen Kontrollsystems im Rahmen der Abschlussprüfung dokumentieren Prüfer Prozesse, Kontrollen und deren Wirksamkeit; dies erfolgt in Anlehnung an die einschlägigen IDW-Prüfungsstandards PS 261 und PS 980, die seit 2011 in Kraft sind. In dieser Phase werden Prozessbeschreibungen, Kontrollmatrizen, Walkthroughs und Stichproben zu Kontrollnachweisen ausgewertet. Gemäß § 317 Abs. 4 HGB hat der Abschlussprüfer bei kapitalmarktorientierten Gesellschaften zu beurteilen, ob das Risikofrüherkennungssystem die ihm übertragenen Aufgaben erfüllen kann; Fehler im Risikofrüherkennungssystem können zu Haftungsansprüchen nach § 323 HGB führen, wobei die Haftungsgrenze für PIEs bei 16 Mio. € je Prüfung liegt. Weil diese Unterlagen Namen von Kontrollverantwortlichen, Freigebenden und Beschäftigten enthalten, entsteht der Bedarf, die Personen zu schützen, während Kontrollbeschreibung und Wirksamkeitsnachweis erhalten bleiben.
How anonym.legal handles it
- Prozessbeschreibungen, Kontrollmatrizen und Walkthrough-Nachweise werden im Originalformat in anonym.legal eingelesen.
- Die Engine durchsucht die Unterlagen und erkennt Namen von Kontrollverantwortlichen, Freigebenden und Beschäftigten aus über 267 unterstützten Entitätstypen.
- Die genannten Personen werden konsistent pseudonymisiert, sodass derselbe Kontrollträger über Matrix, Walkthrough und Stichproben hinweg eindeutig zugeordnet bleibt.
- Kontrollbeschreibungen, Kontrollziele und Wirksamkeitsnachweise ohne Personenbezug bleiben im Klartext erhalten, damit die Kontrollbeurteilung nachvollziehbar bleibt.
- Die Zuordnung von Pseudonym zu Klarname wird in einer verschlüsselten Mapping-Tabelle mit EU-Datenresidenz festgehalten.
- Die anonymisierten Nachweise werden im Prüfungsdatenraum bereitgestellt und nur bei berechtigter Anforderung re-identifiziert.
What you provide
- Prozessbeschreibungen und Kontrollmatrizen
- Walkthrough- und Stichprobennachweise zu Kontrollen
- Angaben zu Kontrollverantwortlichen und Freigabewegen
Limitations & cautions
- anonym.legal trifft keine Prüfungsaussage; die Beurteilung der Wirksamkeit des Kontrollsystems verantwortet allein der Wirtschaftsprüfer nach § 317 HGB.
- Die zugrunde liegenden IDW-Prüfungsstandards sind fachliche Standards, keine gesetzlichen Paragraphen; ihre Anwendung obliegt dem Prüfungsteam.
- Die Re-Identifikation setzt die sichere Verwahrung des zugehörigen Schlüssels voraus.
- Verstöße gegen DSGVO-Pflichten bei der Verarbeitung personenbezogener Prüfungsdaten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes geahndet werden.
FAQ
Welche IDW-Prüfungsstandards gelten für die IKS-Beurteilung?
Für die IKS-Beurteilung sind insbesondere IDW PS 261 (Wesentlichkeit und Prüfungsrisiko), IDW PS 980 (Grundsätze ordnungsmäßiger Prüfung von Compliance Management Systemen) sowie IDW PS 340 zum Risikofrüherkennungssystem relevant. Diese Standards wurden in den 2000er Jahren eingeführt und fortlaufend aktualisiert; IDW PS 980 gilt seit 2011. Laut Erhebungen des IDW prüfen mehr als 60 % der großen Wirtschaftsprüfungsgesellschaften das IKS mit mehr als 30 % des Prüfungsaufwands separat. Die Anwendung obliegt dem Prüfungsteam.
Bleibt die Funktionstrennung in der Kontrollmatrix erkennbar?
Ja, weil jeder Kontrollträger ein konsistentes Pseudonym erhält, bleiben Funktionstrennung und Freigabewege nachvollziehbar. Die Kontrollbeschreibung selbst bleibt im Klartext erhalten. So lässt sich die Wirksamkeit weiterhin beurteilen.
Nennt anonym.legal einen IDW-Standard als gesetzliche Grundlage?
Nein, IDW-Prüfungsstandards sind fachliche Standards des Berufsstands, keine gesetzlichen Paragraphen. anonym.legal erstellt keine Prüfungsstandards und gibt keine Standard-Konformität vor. Die Anwendung der Standards bleibt Aufgabe des Prüfungsteams.
Werden Freigebende in den Walkthroughs geschützt?
Ja, Namen von Freigebenden und Kontrollverantwortlichen werden als PII erkannt und konsistent pseudonymisiert. Sie zählen zu den über 267 unterstützten Entitätstypen. Nicht automatisch erkannte Angaben können Sie zusätzlich manuell als schützenswert markieren.