Der Standard „2200 Planung einzelner Aufträge (2200 Engagement Planning)“ gehört zu den Ausführungsstandards der Internationalen Standards für die berufliche Praxis der Internen Revision (Standards), die vom Internal Audit Standards Board des Institute of Internal Auditors (IIA) verkündet werden. Die Standards sind neben den Grundprinzipien für die berufliche Praxis der Internen Revision, der Definition der Internen Revision sowie dem Ethikkodex Bestandteil der verbindlichen Richtlinien der internationalen Berufsgrundlagen (International Professional Practices Framework – IPPF) für die Interne Revision.

Die Übersetzung des Standards „2200 Planung einzelne Aufträge“ durch das Deutsche Institut für Interne Revision e.V. (DIIR) lautet wie folgt (DIIR 2015):

„Interne Revisoren müssen für jeden Auftrag eine Planung entwickeln und dokumentieren, die Ziele, Umfang, Zeitplan und zugeordnete Ressourcen umfasst.“

In Ergänzung zum Standard 2200 sind noch die ergänzenden Standards „2201 Planungsüberlegungen (2201 Planning Considerations)“, „2210 Auftragsziele (2210 Engagement Objectives)“, „2220 Umfang des Auftrags (2220 Engagement Scope)“, „2230 Ressourcenzuteilung für den Auftrag (2230 Engagement Ressource Allocation)“ und „2240 Arbeitsprogramm (2240 Engagement Work Program)“ veröffentlicht und vom Deutschen Institut für Interne Revision e.V. (DIIR) übersetzt worden (DIIR 2015):

„2201 Planungsüberlegungen

Bei der Planung eines Auftrags müssen Interne Revisoren folgende Faktoren berücksichtigen:

• Die Ziele des zu prüfenden Tätigkeitsbereichs sowie die Mittel, mit denen dieser seine Leistung überprüft,
• wesentliche Risiken für den Tätigkeitsbereich, dessen Ziele, Ressourcen, Geschäftsprozesse und die Mittel, mit denen mögliche Folgen der Risiken in einem vertretbaren Rahmen gehalten werden,
• die Angemessenheit und Effektivität der Steuerung des betreffenden Tätigkeitsbereichs im Verhältnis zu einem relevanten Rahmenwerk oder Modell und
• die Möglichkeiten, wesentliche Verbesserungen an den Risikomanagement- und Kontrollprozesse des betreffenden Tätigkeitsbereichs vorzunehmen.“

„2210 Auftragsziele

Für jeden Auftrag müssen Ziele festgelegt werden.“

„2220 Umfang des Auftrags

Der festgelegte Umfang muss ausreichend sein, um das Erreichen der Auftragsziele zu ermöglichen.“

„2230 Ressourcenzuteilung für den Auftrag

Interne Revisoren müssen eine angemessene und zum Erreichen der Auftragsziele ausreichende Ressourcenausstattung festlegen. Dabei sind Art und Komplexität des Auftrags, Zeitvorgaben und die zur Verfügung stehenden Ressourcen zu berücksichtigen.“

„2240 Arbeitsprogramm

Interne Revisoren müssen Arbeitsprogramme entwickeln und dokumentieren, die dem Erreichen der Auftragsziele dienen.“

Als Ergänzung zum Standard „2201 Planungsüberlegungen (2201 Engagement Planning)“ existieren die folgenden Umsetzungsstandards:

• 2201.A1 Planung von Aufträgen mit Externen (2201.A1 Planning engagements with external parties): „Wenn Interne Revisoren einen Auftrag für organisationsexterne Dritte planen, muss mit dem Dritten eine schriftliche Vereinbarung betreffs Ziel, Umfang, der Verantwortlichkeiten sowie anderer Erwartungen einschließlich Beschränkung der Ergebnisverbreitung und Zugang zu den Auftragsakten getroffen werden.“
• 2201.C1 Vereinbarung mit Kunden über Prüfungsumfang und -ziele (2201.C1 Agreement with clients on engagement scope and objectives) „Interne Revisoren müssen mit den Kunden, die Beratungsaufträge erteilen, Ziele, Umfang, jeweilige Verantwortung und andere Erwartungen vereinbaren. Bei größeren Aufträgen muss diese Vereinbarung schriftlich festgehalten werden.“

Der Standard „2210 Auftragsziele (2210 Engagement Objectives)“ wird durch folgende Umsetzungsstandards ergänzt:

• 2210.A1 Vorläufige Einschätzung von Risiken (2210.A1 Preliminary assessment of risks): „Vor der Auftragsdurchführung müssen Interne Revisoren eine Einschätzung der Risiken des zu prüfenden Tätigkeitsbereiches vornehmen. Die Auftragsziele müssen diese Einschätzung widerspiegeln.“
• 2210.A2 Wahrscheinlichkeit von wesentlichen Fehlern und anderen Risiken (2210.A2 Probability of significant errors and other exposures): „Interne Revisoren müssen bei der Festlegung der Prüfungsziele die Wahrscheinlichkeit, dass wesentliche Fehler, dolose Handlungen, Regelverstöße sowie sonstige Risikopotenziale vorliegen und Vorschriften nicht eingehalten werden, berücksichtigen.“
• 2210.A3 Aufstellung von Kriterien zur Beurteilung von Kontrollen (2210.A3 Setting criteria to evaluate controls): „Zur Bewertung von Steuerung, Risikomanagement und Kontrollen sind angemessene Kriterien erforderlich. Interne Revisoren müssen ermitteln, inwieweit das Management und/oder Geschäftsleitung sowie Überwachungsorgan angemessene Kriterien zur Beurteilung der Zielerreichung festgelegt hat. Soweit die Kriterien angemessen sind, müssen sie von Internen Revisoren in der Bewertung verwendet werden. Soweit die Kriterien nicht angemessen sind, müssen Interne Revisoren mit dem Management, der Geschäftsleitung sowie dem Überwachungsorgan zusammenarbeiten, um geeignete Beurteilungskriterien zu entwickeln.“
• 2210.C1 Ausrichtung von Beratungsaufträgen auf Führung und Überwachung, Risikomanagement sowie Kontrollen (2210.C1 Focusing consulting engagements on governance, risk management and control): „Die Ziele eines Beratungsauftrags müssen die Führungs- und Überwachungs-, Risikomanagement- sowie Kontrollprozesse, in dem Ausmaß ansprechen, wie sie mit dem Kunden vereinbart wurden.“
• 2210.C2 Ziele von Beratungsaufträgen (2210.C2 Consulting engagement objectives): „Die Ziele eines Beratungsauftrags müssen mit den Werten, Strategien und Zielen der Organisation übereinstimmen.“

Im Zusammenhang mit dem Standard „2220 Umfang des Auftrags (2220 Engagement Scope)“ gibt es die folgenden Umsetzungsstandards:

• 2220.A1 Umfang von Prüfungsaufträgen (2220.A1 Scope of assurance engagement): „Bei der Festlegung des Prüfungsumfangs müssen relevante Systeme, Aufzeichnungen, Personalausstattung und Vermögensgegenstände einbezogen werden, einschließlich jener, die sich in der Kontrolle Dritter befinden.“
• 2220.A2 Beratungsgelegenheiten während Prüfungsaufträgen (2220.A2 Consulting opportunities during assurance engagement): „Sollte im Verlauf eines Prüfungsauftrages ein wesentlicher Beratungsbedarf auftreten, sollte eine gezielte schriftliche Vereinbarung getroffen werden, die Ziele, Umfang, Verantwortlichkeiten und weitere Erwartungen umfasst; die daraus resultierenden Ergebnisse werden unter Zugrundelegung der Beratungsstandards kommuniziert.“
• 2220.C1 Umfang von Beratungsaufträgen (2220.C1 Scope of consulting engagement): „Bei der Durchführung von Beratungsaufträgen müssen Interne Revisoren sicherstellen, dass der Umfang des Beratungsauftrags ausreicht, um die vereinbarten Ziele zu erreichen. Wenn bei Internen Revisoren im Verlauf der Arbeiten Zweifel an der Angemessenheit des Umfangs auftreten, müssen diese mit dem Kunden besprochen werden, um über die Fortführung des Beratungsauftrags zu entscheiden.“
• 2220.C2 Kontrollthemen bei Beratungsaufträgen (2220.C2 Control issues during consulting engagement): „Im Verlauf von Beratungsaufträgen müssen Interne Revisoren Kontrollen im Einklang mit den Zielen des Beratungsauftrags berücksichtigen und auf das Vorhandensein anderer wesentlicher Kontrollschwächen achten.“

Der Standard „2240 Arbeitsprogramm (2240 Engagement Work Program)“ wird durch folgende Umsetzungsstandards ergänzt:

• 2240.A1 Maßnahmen für das Informationsmanagement (2240.A1 Procedure for managing information): „Die Arbeitsprogramme müssen die Verfahrensschritte zur Identifikation, Analyse, Bewertung und Aufzeichnung von Informationen während der Prüfung enthalten. Das Arbeitsprogramm muss vor Beginn seiner Umsetzung genehmigt werden; alle späteren Anpassungen sind umgehend zur Genehmigung vorzulegen.“
• 2240.C1 Arbeitsprogramm bei Beratungsaufträgen (2240.C1 Work program for consulting engagements): „Form und Inhalt der Arbeitsprogramme für Beratungsaufträge können in Abhängigkeit von der Art des Auftrags variieren.“

Zur Gruppe der 2200er Standards gehören die folgenden Implementierungsleitlinien (Praktische Ratschläge):

• 2200-1: Planung einzelner Aufträge (2200-1 Engagement Planning)
• 2200-2: Anwendung eines risikobasierten Top Down-Ansatzes zur Identifikation der im Rahmen eines Prüfungsauftrages zu identifizierenden Internen Kontrollen (2200-2 Using a Top-down, Risk-based Approach to Identify the Controls to be Assessed in an Internal Audit Engagement)
• 2210-1: Ziele des Auftrags (2210-1 Engagement Objectives)
• 2210.A1-1: Risikobeurteilung in der Prüfungsplanung (2210.A1-1 Risk Assessment in Engagement Planning)
• 2230-1: Ressourcenzuteilung für den Auftrag (2230-1 Engagement Resource Allocation)
• 2240-1: Arbeitsprogramm für den Auftrag (2240-1 Engagement Work Program)

Die Gruppe der 2200er Standards sowie die zugehörigen Implementierungsleitlinien (Praktische Ratschläge) zum Thema „Planung einzelner Aufträge“ sind in der folgenden Abbildung zu Zwecken der Übersichtlichkeit nochmals zusammengefasst:

Abb.: Gruppe der 2200er Standards und zugehörige Praktische Ratschläge

Im Zusammenhang mit Standard „2201 Planungsüberlegungen“ ist auch die Ergänzende Leitlinie (Praxisleitfaden) „Prüfung externer Geschäftsbeziehungen (Auditing External Business Relationships)“ veröffentlicht worden.

Für den vollständigen Text des Standards „2200 Planung einzelner Aufträge“ und den ergänzenden Standards und Leitlinien vgl. die Internationalen Standards für die berufliche Praxis der Internen Revision (Standards) sowie die Implementierungsleitlinien (Praktischen Ratschläge) und die Ergänzenden Leitlinien (Praxisleitfäden) (www.theiia.org oder www.diir.de).

Literatur:

• The Institute of Internal Auditors (IIA): International Professional Practices Framework (IPPF) 2015, Altamonte Springs, Florida, USA
• Deutsches Institut für Interne Revision (DIIR), Frankfurt am Main, Institut für Interne Revision Österreich (IIA Austria), Wien und Schweizerischer Verband für Interne Revision (IIA Switzerland), Zürich (Hrsg.): Internationale Standards für die berufliche Praxis der Internen Revision 2015