Die systematische Bewertung des Kontrollrahmens einer Organisation zur Identifizierung von Schlüsselkontrollen, Zurordnung von Kontrollzielen zu Risiken, Bewertung der Kontrollgestaltung und Priorisierung von Tests oder Abhilfemaßnahmen.

Prinzip

Risiken, Ziele und Kontrollen verknüpfen, damit sich Prüfungsaufwand auf Kontrollen konzentriert, die materielle Risiken mindern und verlässliche Finanzberichterstattung oder operative Ergebnisse unterstützen.

Demonstration

Eine Kontrollenanalyse im Procure-to-Pay-Prozess ordnet Genehmigungskontrollen, Automatisierung der Drei-Wege-Abstimmung und Zugriffskontrollen den Risiken unautorisierter Bestellungen, Doppelzahlungen und Betrugsrisiken zu und bewertet sie nach Restrisiko und Kontrollstärke.

Fehlanwendung

Ein oberflächliches Inventar von Kontrollen erstellen, ohne zu prüfen, ob sie die identifizierten Risiken abdecken, oder sich allein auf Kontrollbeschreibungen verlassen, ohne die Wirksamkeit der Gestaltung zu testen.

Konsequenz

Eine gründliche Kontrollenanalyse macht deutlich, welche Kontrollen getestet werden sollten, unterstützt eine effiziente Ressourcenzuordnung in der Prüfung, legt Kontrolllücken offen und untermauert risikobasierte Prüfungsbefunde.

Umkehrung

Die Prüfung ausschließlich auf Transaktionen und Salden ausrichten, ohne Verbindung zum Kontrollumfeld, wodurch präventive oder detektive Kontrollen, die das Prüfungsrisiko beeinflussen, übersehen werden können.

Abgrenzung

Umfasst Identifikation, Zuordnung und Bewertung von Kontrollen, schließt jedoch Implementierungsarbeiten wie das Entwerfen neuer Kontrollen oder die Durchführung von Remediationsprojekten aus, die in der Verantwortung des Managements liegen.

Semantische Spannung

Verwandt mit Risikobewertung und Prozess-Mapping; die Kontrollenanalyse legt den Schwerpunkt speziell auf Kontrollmaßnahmen und deren Beziehung zu Risiken statt auf breitere Risikoneigung oder Prozessleistungskennzahlen.

Synthese

Die Analyse Der Kontrollen ist die risikoorientierte Bewertung der Kontrollen einer Organisation, die bestimmt, welche Kontrollen kritisch sind, wie gut sie gestaltet sind und wo Prüfungs- oder Behebungsressourcen konzentriert werden sollten.