Datenschutz als Werteversprechen – Partner erwarten Sicherheitsexzellenz

In Unternehmensprozessen wird eine erhebliche Menge an eigenen und fremden Daten bewegt. Dabei erwarten Kunden und Geschäftspartner, dass sicher mit ihren Daten umgegangen wird. Neben den Anspruch auf Service- und Ergebnisqualität tritt Datenschutz als Werteversprechen. Die Abschlussprüfung kann zur Einhaltung dieses Versprechens beitragen.
 

Der Mittelstand befindet sich in der digitalen Transformation. Es entstehen neuartige Leistungen und Produkte, innovative Prozesse, neue Vertriebs-, Logistik- und Kooperationsmodelle – um nur einige zu nennen. Die „analogen” Erfahrungswelten sind dabei kaum übertragbar und mit Blick auf neue Risiken oft nicht ausreichend.
 

​Im Gegenzug erwarten Kunden und Geschäftspartner zunehmend eine hohe Professionalität, wenn es um Informationssicherheit und Datenschutz geht. Von Unternehmen, die die Bühne der Digitalisierung betreten, wird nicht nur eine hohe Service- und Produktqualität gefordert, vielmehr werden Verfehlungen beim Schutz von Geschäfts- und Kundendaten sowie Daten mit Personenbezug unmittelbar abgestraft.
 

Das geplante Inkrafttreten der DatenschutzGrundverordnung der EU (EU-DSGVO) zeigt, dass sich der Gesetzgeber den mit der Digitalisierung einhergehenden Gefahren bewusst ist und daher die Unternehmen in die Pflicht nimmt, sich diesen durch verlässliche Prozesse und Maßnahmen zu stellen. Mit der EU- DSGVO kommen bspw. erweiterte Transparenzpflichten, höhere Bußgelder und neue Instrumente wie genehmigte Verhaltensregeln auf die Unternehmen zu.
 

Die Prüfung des Jahresabschlusses ist eine kontinuierliche und jährlich wiederkehrende Leistung, die – vereinfacht ausgedrückt – feststellt, ob der Jahresabschluss und der Lagebericht frei von wesentlichen Fehlern sind. Für eine verlässliche Feststellung muss der Wirtschaftsprüfer u.a. im Rahmen der Prüfung ein umfassendes Verständnis von der IT selbst, ihrer Steuerung und Überwachung sowie der IT-gestützten Geschäfts­prozesse – insbesondere mit Relevanz für die Rechnungslegung – und die hierin eingebetteten Kontrollen erlangen. IT-Sicherheit ist dabei eine Grundlage für die Ordnungsmäßigkeit der Rechnungslegungssysteme. Ein Bestandteil der Prüfung ist die Beurteilung des Umgangs der Geschäftsleitung mit den aus der IT erwachsenden Risiken und der hierzu angelegten Prozesse und Maßnahmen.
 

Der Wirtschaftsprüfer erlangt detailliert und kontinuierlich Informationen über die IT und kann sie so beurteilen und einschätzen. Das umfasst auch Informationssicherheit und Datenschutz. Generell nutzt der Abschlussprüfer die Informationen, um Prüfungssicherheit bei seinem originären Auftrag zu erhalten und seine Prüfungsstrategie entsprechend anzupassen. Der Abschlussprüfer kommuniziert dabei auch erkannten Handlungsbedarf, bspw. in Form eines Management- Letters an die Unternehmensleitung. Wird neben dem Jahres- auch der Konzernabschluss geprüft, so erfolgt die Berichterstattung auch über die ggf. international agierenden Töchter.
 

Das bedeutet, dass die Geschäftsleitung des Unternehmens mindestens einmal jährlich eine generelle Beurteilung der IT aus neutraler Sicht erhalten kann.
 

Der Nutzen aus der jährlichen Beurteilung lässt sich weiter steigern, indem das Unternehmen den Abschlussprüfer aktiv in die Veränderungsprozesse einbindet und mögliche Synergien aus der Prüfung taktisch weiter hebt. Das umfasst insbesondere die folgenden Themen: