IT Auditor Ausbildung

Lektion 1 • Rollen und Verantwortlichkeiten in der IT-Revision

Bildet die organisatorischen Rollen ab, die an einem IT-Revisionsauftrag beteiligt sind. Klärt die Unabhängigkeit, Objektivität und die Beziehungen zu Interessengruppen des Revisors.

Lektion 2 • Zweck und Umfang der IT-Revision

Definiert die IT-Revision, ihre Ziele und Grenzen innerhalb einer Organisation. Verbindet den Revisionszweck mit dem Geschäftswert und der Risikominderung.

Lektion 3 • Governance- und Compliance-Rahmenwerke

Führt wichtige Kontroll- und Governance-Rahmenwerke ein, die zur Steuerung von IT-Revisionen verwendet werden. Bietet das strukturelle Vokabular, das Revisoren während des gesamten Kurses anwenden.

Lektion 1 • Entwicklung eines Risikoregisters

Leitet die Teilnehmer beim Aufbau und der Pflege eines formalen Risikoregisters an. Das Register wird zum lebenden Dokument, das Risiken über den gesamten Revisionslebenszyklus verfolgt.

Lektion 2 • Risikoanalyse und Priorisierung

Wendet qualitative und quantitative Methoden an, um identifizierte Risiken zu bewerten. Priorisierte Risikoeinstufungen bestimmen, worauf die Revisionsressourcen fokussiert werden.

Lektion 3 • Techniken zur Risikoidentifikation

Präsentiert Methoden zur Aufdeckung von IT-Risiken in Systemen, Prozessen und bei Personen. Verbindet die Ergebnisse der Identifikation direkt mit Entscheidungen zum Revisionsumfang.

Lektion 4 • Risikokonzepte und Terminologie

Definiert Bedrohung, Verwundbarkeit, Eintrittswahrscheinlichkeit und Auswirkung im IT-Kontext. Etabliert ein gemeinsames Risikovokabular für alle nachfolgenden Revisionsaktivitäten.

Lektion 1 • Koordination mit Revisionsadressaten

Etabliert Kommunikationsprotokolle zwischen Revisoren und Revisionsadressaten-Teams. Effektive Koordination reduziert Reibungsverluste und beschleunigt die Beweiserhebung.

Lektion 2 • Entwicklung des Revisionsprogramms

Leitet die Erstellung von schrittweisen, auf die Ziele ausgerichteten Revisionsprogrammen an. Jeder Programmschritt ist mit einem bestimmten zu testenden Risiko und einer Kontrolle verknüpft.

Lektion 3 • Ressourcen- und Zeitplanung

Behandelt Personal-, Termin- und Budgetaspekte für einen Revisionsauftrag. Realistische Planung verhindert Scope Creep und verpasste Fristen.

Lektion 4 • Revisionscharta und Beauftragungsschreiben

Erläutert die Vollmachtsdokumente, die einen Revisionsauftrag autorisieren und definieren. Etabliert die formale Grundlage für den Zugang und die Kooperation des Revisors.

Lektion 1 • Änderungsmanagement-Kontrollen

Überprüft die Prozesse, die Änderungen an Systemen, Anwendungen und Infrastruktur steuern. Effektive Änderungskontrolle verhindert unbefugte oder ungetestete Modifikationen.

Lektion 2 • Kontrollen des IT-Betriebs

Bewertet Job-Scheduling, Incident-Management und Überwachungspraktiken. Betriebskontrollen stellen sicher, dass Systeme zuverlässig laufen und Probleme zeitnah erkannt werden.

Lektion 3 • Backup- und Wiederherstellungskontrollen

Bewertet Backup-Häufigkeit, Integritätstests und Wiederherstellungsverfahren. Angemessene Backup-Kontrollen schützen die Datenverfügbarkeit und Geschäftskontinuität.

Lektion 4 • Physische und Umgebungskontrollen

Überprüft die physische Sicherheit von Rechenzentren, die Umgebungsüberwachung und Zugangskontrollen. Physische Kontrollen sind Voraussetzungen für die Wirksamkeit logischer Sicherheit.

Lektion 1 • Datenbankintegritätskontrollen

Bewertet referenzielle Integrität, Zugriffskontrollen und Protokollierung in Datenbanksystemen. Datenbankkontrollen untermauern die Zuverlässigkeit aller Kontrollen auf Anwendungsebene.

Lektion 2 • Beurteilung der Verarbeitungskontrollen

Überprüft Kontrollen, die sicherstellen, dass Transaktionen korrekt und vollständig verarbeitet werden. Verarbeitungskontrollen verhindern die Beschädigung von Daten während Berechnung und Transformation.

Lektion 3 • Beurteilung der Ausgabekontrollen

Bewertet Kontrollen über Berichtsgenerierung, -verteilung und -aufbewahrung. Ausgabekontrollen stellen sicher, dass nur autorisierte Parteien korrekte Informationen erhalten.

Lektion 4 • Kontrollen für Endbenutzer-Computing

Behandelt Risiken in Tabellenkalkulationen und benutzerentwickelten Anwendungen außerhalb der formellen IT-Governance. Endbenutzer-Computing ist eine häufig übersehene Quelle wesentlicher Fehler.

Lektion 1 • Identifizierung und Bewertung von Feststellungen

Leitet Revisoren an, Kontrollmängel von Beobachtungen zu unterscheiden und den Schweregrad zu bestimmen. Eine genaue Klassifizierung von Feststellungen führt zu einer angemessenen Managementreaktion.

Lektion 2 • Arten und Qualität von Revisionsnachweisen

Definiert Nachweistypen und die Kriterien der Hinlänglichkeit, Zuverlässigkeit und Relevanz. Die Nachweisqualität bestimmt direkt die Vertretbarkeit von Revisionsschlussfolgerungen.

Lektion 3 • Methoden der Stichprobenerhebung in der Revision

Behandelt statistische und nicht-statistische Stichprobenansätze für Kontrolltests. Eine ordnungsgemäße Stichprobenerhebung stellt sicher, dass Schlussfolgerungen repräsentativ und statistisch stützbar sind.

Lektion 4 • Standards für die Dokumentation von Arbeitspapieren

Etabliert Standards für die Erstellung klarer, vollständiger und nachvollziehbarer Revisionsarbeitspapiere. Gut strukturierte Arbeitspapiere unterstützen Feststellungen, Schlussfolgerungen und externe Überprüfungen.

Lektion 1 • Revision des Schwachstellenmanagements

Bewertet den Prozess der Organisation zur Identifizierung, Priorisierung und Behebung von Schwachstellen. Ein ausgereiftes Schwachstellenprogramm reduziert die ausnutzbare Angriffsfläche.

Lektion 2 • Überprüfung von Netzwerksicherheitskontrollen

Bewertet Firewall-Konfigurationen, Netzwerksegmentierung und Verkehrsüberwachungskontrollen. Netzwerksicherheit ist die erste Verteidigungslinie gegen externe Bedrohungen.

Lektion 3 • Revision der Reaktion auf Sicherheitsvorfälle

Bewertet die Vollständigkeit und Wirksamkeit von Plänen und Verfahren zur Reaktion auf Sicherheitsvorfälle. Revisoren überprüfen, ob Fähigkeiten zur Erkennung, Eindämmung und Wiederherstellung getestet werden.

Lektion 4 • Revision der Identitäts- und Zugriffssicherheit

Überprüft Mehr-Faktor-Authentifizierung, Identitäts-Governance und privilegierte Zugriffssicherheit. Identitätskontrollen sind der meistangegriffene Vektor bei modernen Bedrohungen.

Lektion 1 • Kommunikation der Ergebnisse an Interessengruppen

Behandelt die mündliche Präsentation von Revisionsergebnissen vor Management und Audit Committees. Effektive Kommunikation stellt sicher, dass Feststellungen angemessene Priorität und Ressourcen erhalten.

Lektion 2 • Struktur und Inhalt des Revisionsberichts

Definiert die Bestandteile eines formellen IT-Revisionsberichts und deren Zweck. Ein gut strukturierter Bericht kommuniziert Feststellungen klar an technische und Führungskräfte.

Lektion 3 • Nachverfolgung der Behebung und Nachbereitung

Etabliert einen systematischen Prozess zur Verfolgung der Fertigstellung von Managementaktionsplänen. Die Nachbereitung schließt den Revisionskreislauf und überprüft, dass Risiken tatsächlich gemindert werden.

Lektion 4 • Berichtsüberprüfung und Qualitätssicherung

Behandelt interne Überprüfungsprozesse, die Genauigkeit, Konsistenz und Ton sicherstellen. Qualitätssicherung verhindert sachliche Fehler, die die Glaubwürdigkeit des Revisors untergraben.