ProAuditMap

IT-Prüfprogramm erstellen: in sechs Schritten zur belastbaren Prüfung.

Ein gutes Prüfprogramm legt vor der ersten Unterlage fest, was geprüft wird, woran es gemessen wird und welcher Nachweis genügt. So gehen Sie vor, mit einem Beispiel für eine Prüfzeile.

Stand 4. November 2026

Kurzfassung

Ein IT-Prüfprogramm übersetzt das Prüfungsziel in einzelne Prüfzeilen. Eine Zeile nennt Kriterium, Prüfhandlung, Nachweis und Zuständigkeit; Risiko und Stichprobenumfang halten Sie je Zeile oder je Prüffeld fest. Bewährt haben sich sechs Schritte: vorläufiger Umfang, Risiken, Kriterien, Prüfhandlungen, Nachweise mit Stichprobe, Freigabe. Die Global Internal Audit Standards behandeln die Planung in den Standards 13.2 bis 13.6.

Was ein Prüfprogramm ist und was nicht

Der Prüfungsplan beschreibt die Prüfung als Ganzes: Anlass, Ziel, Umfang, Team und Termine. Das Prüfprogramm beschreibt die Arbeit: Welche Schritte belegen, ob die Kontrollen wirken? Eine Checkliste mit Fragen ist noch kein Prüfprogramm, denn sie sagt nicht, woran das Team eine Antwort misst und welcher Nachweis ausreicht.

Die Global Internal Audit Standards behandeln die Planung einer Prüfung in den Standards Risikobeurteilung (13.2), Ziele und Umfang (13.3), Beurteilungskriterien (13.4), Ressourcen (13.5) und dem dokumentierten Prüfprogramm (13.6, Work Program). Eine starre Reihenfolge schreiben sie nicht vor, die Schritte überschneiden sich. Das Prüfprogramm nennt danach auch Methoden und Werkzeuge sowie die je Aufgabe eingesetzten Personen [1].

Die sechs Schritte

Die Schritte bauen aufeinander auf. Wer direkt mit den Prüfhandlungen beginnt, prüft oft das, was sich leicht prüfen lässt, statt das, was riskant ist.

  1. Ziel und Umfang vorläufig festlegen. Formulieren Sie das Ziel als prüfbare Aussage, etwa „Kritische Sicherheitsupdates werden auf den Servern fristgerecht eingespielt“. Nennen Sie Systeme, Standorte und Zeitraum, und schreiben Sie auf, was ausdrücklich nicht dazugehört. Nach der Risikobeurteilung schärfen Sie beides nach.
  2. Risiken des Gegenstands beschreiben. Was kann schiefgehen, und was wäre die Folge? Stützen Sie sich auf Gespräche, frühere Feststellungen, Vorfälle und bekannte Änderungen. Risiken mit geringer Wirkung dürfen Sie bewusst auslassen, wenn Sie das begründen.
  3. Kriterien wählen. Woran messen Sie das Soll? In Frage kommen interne Richtlinien, Verträge, Gesetze wie das BSI-Gesetz oder DORA und Standards wie ISO/IEC 27001. Fehlt ein Kriterium oder reicht es nicht aus, klären Sie vor der Prüfung mit der Geschäftsleitung oder dem Aufsichtsgremium, was gelten soll, und beziehen den geprüften Bereich ein [1].
  4. Prüfhandlungen ableiten. Prüfen Sie zuerst, ob die Kontrolle richtig aufgesetzt ist, dann, ob sie im Zeitraum gewirkt hat. Bevorzugen Sie Nachvollziehen und Systemauswertung gegenüber der reinen Befragung.
  5. Nachweise und Stichprobe bestimmen. Legen Sie vorab fest, welche Unterlage oder Auswertung genügt. Prüfen Sie, ob sich die Grundgesamtheit vollständig auswerten lässt. Sonst planen Sie eine Stichprobe mit festgelegter Grundgesamtheit, Sicherheit und tolerierbarer Abweichung [1] [2]. Den Umfang berechnet der Stichprobenrechner.
  6. Aufwand planen und freigeben. Schätzen Sie Prüfertage je Prüffeld und vergleichen Sie die Summe mit der verfügbaren Zeit. Passt es nicht, klären Sie mit der Revisionsleitung zusätzliche Kapazität oder eine begründete Kürzung. Bleibt dadurch ein wesentliches Risiko ungeprüft, gehört das in die Abstimmung mit dem Management und in den Bericht. Die Revisionsleitung gibt das Programm vor Beginn frei, spätere Änderungen ebenso [1].

Beispiel: eine Prüfzeile zum Patch-Management

Risiko: Bekannte Schwachstellen bleiben offen und werden ausgenutzt. Kriterium: Die interne Richtlinie verlangt, kritische Updates binnen einer festgelegten Frist einzuspielen. Prüfhandlung: Patch-System mit dem Inventar abgleichen, damit keine Server fehlen. Grundgesamtheit bilden aus allen Kombinationen von kritischem Update und betroffenem Server im Zeitraum, vollständig auswerten oder Stichprobe ziehen, und je Element Veröffentlichung und Installation vergleichen. Umfang: Vollauswertung, sonst Stichprobe mit festgelegter Sicherheit und tolerierbarer Abweichung. Nachweis: Auswertung des Patch-Systems, Inventar und Änderungstickets. Zuständig: benannte Prüferin oder benannter Prüfer. Ergebnis: Anzahl der Fristüberschreitungen und Ursache.

An diesem Beispiel sieht man den Unterschied zur Frage „Gibt es einen Patch-Prozess?“. Die Zeile sagt, was als Abweichung gilt, und ein zweiter Prüfer käme nachvollziehbar zum gleichen Befund. Unsere Muster enthalten Kriterium, Prüfhandlung und Nachweise; Risiko, Stichprobenumfang und Zuständigkeit ergänzt Ihr Team. Sehen Sie sich das Muster zum Patch- und Schwachstellenmanagement und die Übersicht der Muster-Prüfprogramme an.

Typische Fehler

Diese Punkte fallen spätestens in der Qualitätssicherung oder beim Gespräch über den Berichtsentwurf auf.

  1. Kein Kriterium. Ohne Soll entsteht eine Meinung statt einer Feststellung.
  2. Nur Aufbau, keine Wirksamkeit. Eine freigegebene Richtlinie belegt nicht, dass sie befolgt wird.
  3. Grundgesamtheit nicht geprüft. Eine Stichprobe aus einer unvollständigen Liste sagt über die fehlenden Elemente nichts aus [2].
  4. Zu viele Zeilen. Ein übernommener Katalog mit hundert Fragen frisst die Prüfertage. Streichen Sie, was zum Risiko nicht beiträgt, und halten Sie den Grund fest.
  5. Programm wird nicht fortgeschrieben. Ändert sich der Umfang, ändern Sie das Programm und holen die Freigabe ein.

Vorlage, Tabelle oder Software?

Für den Einstieg reicht eine Tabelle. Spätestens wenn mehrere Personen arbeiten und Nachweise, Versionen und Feststellungen zusammenhängen sollen, wird das aufwendig. Was dafür und dagegen spricht, steht im Vergleich von Excel und Word mit Software. Welche Themen im nächsten Jahr zuerst dran sind, zeigt der Prüfplan-Generator als ersten Entwurf.

Wie das Ergebnis aussehen kann, zeigt das Beispielpaket mit Prüfprogramm, Unterlagen, Interviews und Berichtsvorlage, ohne Konto. ProAuditMap erstellt so ein Paket zu Ihrem Thema, und Ihr Team prüft, ergänzt und gibt es frei.

Betroffenheits-Check NIS2 und DORA

Quellen

  1. The IIA, Global Internal Audit Standards (2024), Standards 13.2 bis 13.6: https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
  2. ISA 530 Audit Sampling, Fassung Irland, Oktober 2022 (IAASA), Standard der Abschlussprüfung, hier methodisch herangezogen: https://iaasa.ie/wp-content/uploads/2022/11/ISA-530_Oct_2022.pdf

Dieser Beitrag beschreibt eine bewährte Vorgehensweise und ist keine Rechtsberatung. Maßgeblich sind die Vorgaben Ihres Hauses und die jeweiligen Standards.