Suchergebnisse

• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 2/2026

  DORA-Prüfungen des Meldewesens IKT-pflichtiger Vorfälle auf Ebene des technischen Regulierungsstandards (Teil 1)

  Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision
  

  Axel Becker, Maria Dzolic

  …Regulierungsstandards (Teil 1) Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision Das DORA-Kapitel III umfasst die Verpflichtung, einen… …Managementprozess zu implementieren, der neben der Behandlung von IKT-bezogenen Vorfällen 1 auch die Überwachung, Protokollierung und gegebenenfalls Meldung der… …gemäß den in Artikel 18 DORA genannten Kriterien klassifiziert werden. Die genaue Ausgestaltung dieser Kriterien geschieht im entsprechenden RTS. 3 1… …europäischen Finanzmarkt im Hinblick auf die Cyberrisiken und 1 IKT steht für Informations- und Kommunikationstechnologie. 2 Vgl. BaFin, DORA – Digital… …IKT-Risikomanagementrahmens, Art. 22 und 23. 60 ZIR 02.26 DORA IKT-Meldewesen ARBEITSHILFEN 2. Häufige Schwächen in der Aufbau- und Ablauforganisation Tabelle 1 enthält häufige… …(DORA-Funktionsweisen/Schnittstellen) inklusive IKT-Meldeprozess Tab. 1: Typische Schwächen in der Aufbau- und Ablauforganisation 3. Meldeprozessvorgaben Die Vorgaben für den Prozess zur… …. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011, Art. 14 Abs. 3. 15 Vgl. ebenda, Art. 17 Abs. 1. 02.26 ZIR 61 ARBEITSHILFEN DORA… …betroffenen Dienste gemäß den in Art. 18 Abs. 1 genannten Kriterien eingerichtet. Die Vorgaben zur Protokollierung möglicher Vorfälle richtet sich nach den… …Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen definiert? Tab. 4: Kernfragen zum IKT-Meldeprozess Die in Art.18 Abs. 1 DORA genannten Kriterien für die Klassifizierung… …Vorfälle oder gegebenenfalls schwerwiegender zahlungsbezogener Betriebs- oder Sicherheitsvorfälle, die der Meldepflicht nach Art. 19 Abs. 1 DORA unterliegen…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  IKT-Risikomanagement: Governance und Organisation

  Regulatorische Anforderungen und aktuelle Prüfungsansätze zur DOR-/KI-Strategie für die Interne Revision
  

  Axel Becker

  …Verwaltungsrates des DIIR – Deutsches Institut für Interne Revision e. V. Abb. 1: BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzinstituten Neu… …und dessen Erfordernisse und nicht den vereinfachten Umsetzungsrahmen gemäß Art. 16 Abs. 1 DORA. 1. Einleitung Eines der zentralen DORA-Prüfungsgebiete… …DORA-Basisverordnung Art. 6 Abs. 8 umzusetzen. 1 Auch die neu im Dezember 2025 von der BaFin veröffentlichte Orientierungshilfe zu IKT-Risiken 1 Vgl. VERORDNUNG (EU)… …die Aufsicht mit der aktuellen KI-Orientierungshilfe eine wichtige Hilfestellung für die Finanzinstitute erstellt. 1. IKT-Risikomanagement von KI 2… …Informationssicherheit bei der Abarbeitung der Mängel mit eingebunden? 9 Vgl. Ebenda, S. 1. 1. Vorbemerkung 1.1 Anwendungsbereich und Zielsetzung 1.2 Definitionen 1.3… …operationellen Resilienz IKT-Kommunikation (-prozesse, -strategie) Erläuterung/Relevanz RTS RMF Art. 27 (1) Bericht über die jährliche Überprüfung des… …IKT-Risikomanagementrahmens RTS RMF Art. 3 IKT-Risikomanagement RTS RMF Art. 1 Gesamtrisikoprofil und -komplexität RTS RMF Art. 3 IKT-Risikomanagement RTS RMF Art. 4,5… …IKT-Asset Management (inkl. jährliche Asset-Bewertung bzw. IKT-Risiko) RTS RMF Art. 1 Gesamtrisikoprofil und -komplexität RTS RMF Art. 3 IKT-Risikomanagement… …Richtlinien für die Behandlung IKT-bezogener Vorfälle RTS RMF Art. 27 (1) Bericht über die jährliche Überprüfung des IKT-Risikomanagementrahmens – Abs. 1 l)… …DOR-Strategie wieder als auch im nach RTS RMF Art. 27 Abs. 1, in dem eine Zusammenfassung über die wichtigsten Veränderungen des IKT-Risikomanagementrahmens seit…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 2/2026

  Risikoorientierte Prüfungsplanung optimieren: Trennschärfe statt Klumpenrisiken

  Eine Analyse qualitativer Risikomodelle zwischen Aussagekraft und Aufwand
  

  Hans-Willi Jackmuth, Prof. Dr. Andre Heerlein

  …, etwa von niedrig (1) bis hoch (5). Da die Anzahl der Risikoindikatoren begrenzt ist und Bewertungen oft in mittleren Bereichen liegen, entstehen nur… …praktikabel ist. 1. Einleitung Die risikoorientierte Revisionsplanung ist ein zentrales Strategieelement der Internen Revision. Sie ermöglicht eine… …sowohl qualitativ als auch quantitativ interpretiert werden: • Sehr niedrig (1): Das Ereignis ist unwahrscheinlich und tritt nur in Ausnahmefällen ein… …eine transparente Entscheidungsfindung. Scoring-Modelle bewerten Risiken typischerweise auf einer Skala (beispielsweise von 1 bis 6) und erlauben die… …Kontrollsystems. Die folgende Skala dient der Einschätzung der Wirksamkeit und Reife des Internen Kontrollsystems. Sie reicht von „sehr stark ausgeprägt“ (1) bis… …„nicht vorhanden“ (6): 1 – sehr stark: Das IKS ist vollständig dokumentiert, implementiert und wird regelmäßig auf Wirksamkeit geprüft. 2 – stark: Die… …. Die Parametrisierung erfolgt im konkreten Fall auf Basis folgender Daten (vgl. Abbildung 1): • Es wird ein Modell mit insgesamt sechs Fragen, die… …vereinfachten ABC-Analyse (A = 1, B = 3, C = 5) und die Frage 4 mit einer Ja/Nein-Methodik (negatives Ereignis aufgetreten: Nein = 1, Ja = 5) genutzt, auch um die… …Prüfobjekte kann Abbildung 2 entnommen werden. Gewichteter Score Anzahl Erwartung je 100 Objekte 1 1 0 1,2 5 0 1,4 16 0 1,6 39 1 1,8 80 2 2 141 4 2,2 220 6 2,4… …307 8 2,6 388 10 2,8 445 12 3 466 12 3,2 445 12 3,4 388 10 3,6 307 8 3,8 220 6 4 141 4 4,2 80 2 4,4 39 1 4,6 16 0 4,8 5 0 5 1 0 Abb. 2: Ergebnistabelle…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 3/2026

  DORA-Prüfungen des Meldewesens IKT-pflichtiger Vorfälle auf Ebene des technischen Regulierungsstandards (Teil 2)

  Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision
  

  Axel Becker, Maria Dzolic

  …Ausführungen. 1. Wesentlichkeitsschwellen Nach der Klassifizierung und der Bestimmung der Auswirkungen von IKT-bezogenen Vorfällen gemäß der in Teil 1 des… …Beitrags aufgeführten Tabelle 6 ist festzustellen, welche Vorfälle wesentlich sind. Ein Vorfall wird für die Zwecke von Art. 19 Abs. 1 VO (EU) 2022/2554 als… …Dienste beeinträchtigt sind und eine der hier in Tabelle 1 genannten Wesentlichkeitsschwellen für die entsprechenden Gruppierungen erfüllt ist. 1 Vgl… …, Abs. 1. a) Die Zahl der betroffenen Kunden beläuft sich auf mehr als zehn Prozent aller Kunden, die die betroffene Dienstleistung nutzen. b) Die Zahl… …finanzielle Gegenparteien, die nach Artikel 1 Absatz 3 als relevant eingestuft wurden. Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder… …Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. 1 Axel Becker ist Geschäftsführer der Regulartech-IT-Audit-… …Künstlicher Intelligenz (EU-KI-VO, KI-MIG). 03.26 ZIR 121 ARBEITSHILFEN DORA IKT-Meldewesen Tab. 1: Wesentlichkeitsschwellen für die Bestimmung von wesentlichen… …zwei Stunden. 3 Um die in Artikel 18 Absatz 1 Buchstabe c der Verordnung (EU) 2022/2554 genannte geografische Ausbreitung im Hinblick auf die von dem… …Revisionsprüfungen eingesehen werden. 9 2 Vgl. ebenda, Kapitel I Klassifizierungskriterien Artikel 2 – Reputationsschaden, Abs. 1. 3 Vgl. ebenda, Kapitel II… …, Kapitel I Klassifizierungskriterien Artikel 4 – Geografische Ausbreitung, Abs. 1. 5 Vgl. ebenda, Kapitel II Schwerwiegende Vorfälle und…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  Risikoanalyse für IKT-Drittparteien nach DORA und EU-KI-Verordnung

  Methodik, Governance und erste Praxiserfahrungen
  

  Maria Dzolic

  …belastbaren Umgangs mit IKT-Drittparteien. 1 Parallel schafft die EU-KI-Verordnung (EU AI Act) einen risikobasierten Rechtsrahmen für KI-Systeme mit… …Vorgehensmodell für die Risikoanalyse und verarbeitet erste Umsetzungserfahrungen aus Aufsichtshinweisen und Marktbeobachtungen. 1. Regulatorischer Kontext und… …DORA-Basisverordnung wird durch technische Regulierungsstandards/ Durchführungsstandards (RTS/ITS) begleitet. 3 Die EU-Aufsichtsbehörden haben zudem ein EU-wei- 1 Vgl… …, Chatbots, Kreditentscheidungsunterstützung und weitere). Die EU-KI-VO ist seit dem 1. August 2024 in Kraft. Ihre Anwendung wurde schrittweise eingeführt… …IKT-Drittparteien Abbildung 1: DORAorientierter Lebenszyklus für IKT-Drittparteien • Leistungs- und Robustheitsnachweise, • Risiko einer systematischen… …besteht aus fünf Schritten. Abbildung 1 zeigt diese Schritte auf. Nachfolgend wird aufgezeigt, wie sich dieses Vorgehensmodell aus Revisionssicht entlang… …des gesamten Drittparteienlebenszyklus prüfen lässt. 4.1 Schritt 1: Inventarisierung & Kritikalitätsbewertung Finanzunternehmen müssen alle… …der Risikoeinstufung (hinsichtlich Sicherheits- und Resilienzfähigkeiten des Dienstleisters). 1. Inventarisierung & Klassifizierung 2. Due Diligence &…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 4/2026

  Von Phishing zu Ransomware

  Ein Beitrag zur Risikobeurteilung für die Interne Revision im Mittelstand
  

  Prof. Dr. Matthias Knoll, Michael Neuy

  …Linie eine Hilfestellung für die praktische Herangehensweise beim richtigen Umgang mit diesen und weiteren Gefahren liefern können. 1. Cybercrime: Immer… …Cyberkriminalität in immer größerem Umfang an Bedeutung. 1 Wurde zuvor Malware oftmals als lästig, aber mit professionellen Tools gut beherrschbar empfunden, rücken… …die Praxis 1 Vgl. BKA (2024). 2 Vgl. BKA (2024), Zentrale Erkenntnisse des Bundeslagebilds Cybercrime. 3 Zur Definition der Begriffen Phishing… …eingerichteten Maßnahmen, 22 bestehend aus den folgenden drei Schritten. 21 Vgl. BSI (o. J. c). 22 Vgl. ISO (2022); ISACA (2018). 1. Risikoidentifikation: Im… …Zeitpunkt erhoben worden oder kann es Effekte geben, die Fragen der Korrelation beeinflussen? Sind Abb. 1: Beispielhaftes Bow-Tie-Diagramm zur… …Schadenshöhe sind ein Problem. Nachfolgend wird zur Beurteilung der Risiken beispielhaft die Anwendung des Bow-Tie-Diagramms (siehe Abbildung 1) vorgestellt. Es… …kritisierten RPZ behält die Einzelwerte E, B und A und deren Wertebereiche von 1 bis 10 bei: • (Geschätzte) Eintrittswahrscheinlichkeit (E, englisch: Occurrence… …, O) – 1 (sehr unwahrscheinlich) bis 10 (sehr wahrscheinlich): Geht man von offiziellen Zahlen aus, so ist die Bedrohung durch Ransomware trotz… …(Subjektive) Bedeutung (B, englisch: Severity, S) – 1 (unbedeutend) bis 10 (existenzbedro- 31 Holland, M. (2025). 32 Vgl. nochmals Tolsdorf, J./Langer, D./Lo… …: Detection, D) – 1 (sehr hoch) bis 10 (sehr gering): Für alle Arten von Malware gilt, dass die Aufoder Entdeckung eines Angriffs mit Schadsoftware so früh wie…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 2/2026

  Inhaltsverzeichnis / Impressum

  …30) 25 00 85-626, Fax (0 30) 25 00 85-630 E-Mail: Anzeigen@ESVmedien.de Anzeigenleitung: Farsad Chireugin Es gilt Anzeigenpreisliste Nr. 41 vom 1… …Arbeitshilfen DORA-Prüfungen des Meldewesens IKT-pflichtiger Vorfälle auf Ebene des technischen Regulierungsstandards (Teil 1) 59 Axel Becker · Maria Dzolic… …in der Internen Revision 85 Literatur Buchbesprechung 91 Michael Bünis Seminarangebot der DIIR-Akademie 92 vom 1. 4. 2026 bis 30. 6. 2026 Dr. Patrick…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 3/2026

  Kleinbetragsbestellungen durch Fachbereiche

  Ein Instrument zur Reduzierung der Beschaffungskosten
  

  Dr. Jochen Matzenbacher

  …wirksamen Internen Kontrollsystems (IKS) beschrieben. 1. Der Gewinn liegt im Einkauf Dr. Jochen Matzenbacher, Diplom-Wirtschaftsingenieur, ist Referent für… …die DIIR-Akademie und seit über 30 Jahren Mitglied des DIIR-Arbeitskreises „Revision der Beschaffung“. 1 114 ZIR 03.26 „Der Gewinn liegt im Einkauf“, so… …ergreifen werden. 1 Der Autor dankt den folgenden Mitgliedern des DIIR-Arbeitskreises „Revision der Beschaffung“ für das Review dieser Veröffentlichung… …ABC-Analyse auf Beschaffungsumfänge zeigt üblicherweise des in Tabelle 1 dargestellte Ergebnis. Kategorie Einkaufsvolumen Anzahl Bestellvorgänge A-Artikel hoch… …gering B-Artikel mittel mittel C-Artikel gering hoch 5 Tab. 1: ABC-Analyse für Beschaffungsumfänge 4 Die ABC-Analyse wurde von H. Ford Dickie, einem… …Bedeutung (vgl. auch Abbildung 1): • Bei A-/B-Beschaffungsumfängen ist die Reduzierung der Preise je Einheit der wesentliche Ansatz zur Reduzierung der… …eingesetzt. Reduzierung der Einkaufspreise 6 1. Mengenbündelung • Standardisierung • Reduzierung der Teilevielfalt • Lead-Buyer-Konzept • Einkaufskooperationen… …Kosten des Beschaffungsprozesses 1. Outsourcing der Beschaffungsaktivitäten 2. E-Procurement, Digitalisierung (zum Beispiel digitale Einkaufsplattformen… …Beschaffungsprozesses Abb. 1: Ansätze zur Reduzierung der Beschaffungskosten Tab. 2: Instrumente zur Reduzierung der Einkaufspreise und der Kosten des… …Wert (kumuliert für ein Jahr) von bis Anzahl in % Wert in € in % 0 100 4.000 17 % 200.000 0 % 0 200 7.000 30 % 600.000 1 % 0 500 12.000 52 % 2.000.000 2…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  Wessen KI-Risiko ist das eigentlich?

  Aufsichtsrat, Vorstand und Interne Revision im Drei-Linien-Modell unter EU AI Act, DORA und MaRisk
  

  Ekaterina Steklyannikova

  …integrierte KI-Audit-Ansatz. Dieser Beitrag wurde unter Verwendung von KI-gestütztem Prompt Engineering erstellt. 1. Einführung KI-Systeme sind in deutschen… …Klarstellung, wo seine Verantwortung endet und die des Aufsichtsrats beginnt. KI-Governance-Matrix (vollständige Version in Tabelle 1) Die Matrix zeigt für jede… …Eskalationspfaden. Struktur: COSO 1 Control Environment, COSO 2 Risk Assessment, COSO 3 Control Activities, COSO 4 Information und Communication, COSO 5 Monitoring… …Monitoring. 05.26 ZIR 193 Berufsstand BERUFSSTAND KI-Risiko Tab. 1: KI-Governance- Matrix: Rollenverteilung im Drei-Linien-Modell Die Informationssicherheit… …Matrix folgt drei Stufen. Behebbare operative Mängel eskaliert die Interne Revision an den Vorstand (Stufe 1). Strukturelle Governance-Lücken oder nicht… …Governance-Status. Tabelle 1 zeigt die vollständige Matrix. Die Kapitel 4. und 5. entwickeln daraus die konkreten Prüfungsimplikationen. COSO KI-Besonderheit 1. Linie… …, hinterfragt, ­überwacht 3. Linie, Interne ­Revision: prüft unabhängig, gibt Assurance COSO 1 Control Environment Shadow AI, Eigentümer, Geschäftsmodell-… …periodisch, Modelldrift, Veränderungsgeschwindigkeit 1. Linie, Fachbereiche: nutzen, tragen Risiko Klassifiziert eigene KI- Systeme nach EU AI Act… …Risikobewertung durch Bewertet KI-Cyberrisiken: Datenpoisoning, Prompt Injection, adversarielle Angriffe Validiert Hochrisiko- Klassifizierungen der 1. Linie… …195 Berufsstand KI-Risiko COSO KI-Besonderheit + Drei-Linien Eskalation & Accountability Pers. Haftung, Risk Acceptance, bis 35 Mio. EUR 1. Linie…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 1/2026

  Prüfung der Leistungsbeschreibung und Leistungsanerkennung von Dienstleistungen

  Schwachstellen- und Risikoanalyse sowie Best-Practice-Hinweise
  

  Alfred Lux, Dr. Jochen Matzenbacher

  …Prüfungsfragen ableitbar, die in einem Prüfungsleitfaden Verwendung finden können. 1. Inhalt und Aufbau des Prüfungsleitfadens Der DIIR-Arbeitskreis „Revision der… …beziehungsweise Leistungsanerkennung und Rechnungsprüfung (vgl. Abbildung 1). Alfred Lux, Diplom- Ingenieur der Elektrotechnik und Betriebswirt (Dipl.-Inh. WA), ist… …Voraussetzung für die nachfolgenden Teilprozesse bis zur Lieferantenauswahl und Auftragsvergabe 1 sowie eine revisorische Bearbeitung des Teilprozesses… …erbringende Dienstleistung. 3 Hierbei soll- 1 Die Besonderheiten im Falle einer agilen Projektplanung bleiben unberücksichtigt. Hierfür ist ein eigener… …, § 7, Abs. (1) 1. Vergabe- und Vertragsordnung für Bauleistungen (VOB) Teil A, Allgemeine Bestimmungen für die Vergabe von Bauleistungen (VOB/A) –… …Beispiel 1: Der Zentraleinkauf eines Industrieunternehmens führt eine Ausschreibung von Elektroarbeiten durch. Unter anderem wird eine Position bei den… …werden folgende potenzielle Schwachstellen deutlich: 1. Die tatsächlich zu erbringende Leistung ist in der Leistungsbeschreibung hinsichtlich ihrer… …Erstellern der Leistungsbeschreibung Beispiel 1: In einem kleineren Maschinenbauunternehmen haben die Mitarbeitenden der Technischen Planung für eine vorge… …Leistungsbeschreibung und -anerkennung ARBEITSHILFEN 3.2 Fehlendes oder nicht wirksames IKS Fehlendes Vieraugenprinzip und fehlende Funktionstrennung Beispiel 1: In einem… …folgende potenzielle Schwachstellen hinsichtlich der Gestaltung der Zuständigkeit für die Leistungsüberprüfung/-anerkennung deutlich: 1. Es besteht kein…

  Alle Treffer im Inhalt anzeigen