Suchergebnisse

• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 3/2026

  DORA-Prüfungen des Meldewesens IKT-pflichtiger Vorfälle auf Ebene des technischen Regulierungsstandards (Teil 2)

  Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision
  

  Axel Becker, Maria Dzolic

  …Regulierungsstandards (Teil 2) Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision Im ersten Teil dieses zweiteiligen Beitrags wurden in der… …IKT-bezogenen Vorfällen Tab. 2: Ermittlung der Wesentlichkeitsschwellen Reputationsschaden Dauer und Ausfallzeiten Geografische Ausbreitung Verluste von Daten… …Kunden oder finanzielle Gegenparteien verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäftstätigkeit haben wird. 2 a)… …werden. 6 Die Wesentlichkeitsschwellen werden vom Informationssicherheitsbeauftragten beziehungsweise seinem Stellvertreter ermittelt (vgl. Tabelle 2… …Revisionsprüfungen eingesehen werden. 9 2 Vgl. ebenda, Kapitel I Klassifizierungskriterien Artikel 2 – Reputationsschaden, Abs. 1. 3 Vgl. ebenda, Kapitel II… …einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und Aufgaben verantwortlich ist. 122 ZIR 03.26 2 3 4… …Auswirkungen zu bewerten. 11 Die einzelnen Komponenten der Meldung werden in der Arbeitsanweisung detailliert dargestellt. 2. Meldung von Cyberbedrohungen… …zur Verfügung stellen. 13 Vgl. ebenda, Art. 19, Abs. 2. 14 SfO steht für schriftlich fixierte Ordnung. 15 Vgl. Verordnung (EU) 2022/2554 des… …, seinen LEI-Code und Art des Finanzunternehmens gemäß Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554 c) Name und Identifikationscode des Unternehmens, das… …freiwilligen Meldung erheblicher Cyberbedrohungen, Art. 1. 18 Vgl. ebenda, Art. 2. Nr. Erläuterung a) vom Finanzunternehmen zugewiesener Referenzcode des…

  Alle Treffer im Inhalt anzeigen

• DIIR erweitert Revisionsstandard um Prüfung unternehmerischer Entscheidungen

• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  IKT-Risikomanagement: Governance und Organisation

  Regulatorische Anforderungen und aktuelle Prüfungsansätze zur DOR-/KI-Strategie für die Interne Revision
  

  Axel Becker

  …in Finanzunternehmen geht auf die Erfordernisse der KI-Strategie ein, die im Kontext der DORA-Verordnung zu beachten ist. 2 Die KI-Strategie ist zudem… …die Aufsicht mit der aktuellen KI-Orientierungshilfe eine wichtige Hilfestellung für die Finanzinstitute erstellt. 1. IKT-Risikomanagement von KI 2… …bleibt außen vor 2 Vgl. BaFin (2025), Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen vom 18. Dezember 2025… …Genehmigung der KI-Strategie KI-Strategie DOR-Strategie Kombination Abb. 2: Strategische Mindestinhalte aus DORA und KI-Orientierungshilfe der BaFin… …• Dies sieht auch der BaFin- Orientierungsrahmen vor 2. Grundlagen für die Strategien 2.1 DOR-/KI-Strategie Die DOR-Strategie/KI-Strategie der… …IKT-Drittparteienrisiko Strategie zur Nutzung mehrerer IKT-Anbieter (optional) KI-Strategie Art. 6 Abs. 8 lit. a DORA Art. 6 Abs. 8 i. V. m. Art. 5 Abs. 2 lit. d DORA Art… …. 14 Abs. 3 i. V. m. Art. 6 Abs. 8 lit. h DORA Art. 28 Abs. 2 DORA Art. 28 Abs. 2 i. V. m. Art. 6 Abs. 9 DORA Hierbei gilt der Grundsatz, dass die… …kritische oder wichtige Funktionen unterstützen. 6 Dieser Support kann auch von einem externen IKT-Drittdienstleister geleistet werden. II Abs. 2 Governance… …Aussageart 2. Planung und ­Durchführung der Aufsichtlichen DORA-­ Prüfung 5. Modifizierung der risikoorientierten Prüfungsplanung und -vorgehensweise Hierbei… …Aufsichtsmitteilung BaFin veröffentlicht Umsetzungshinweise zu DORA – 9. Oktober 2024, zuletzt geändert am 2. Mai 2025, https://www.bafin.de/SharedDocs/…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  Risikoanalyse für IKT-Drittparteien nach DORA und EU-KI-Verordnung

  Methodik, Governance und erste Praxiserfahrungen
  

  Maria Dzolic

  …stufenweiser Anwendung. 2 Für Finanzunternehmen bedeutet das: Die klassische Auslagerungs- und Lieferantensteuerung muss um digitale Resilienz… …. Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14.12.2022 über die digitale operationale Resilienz im Finanzsektor. 2 Verordnung (EU)… …(unter anderem Verbote und KI-Kompetenz gilt seit 2. Februar 2025; Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gilt seit 2. August 2025; die… …volle Anwendbarkeit greift ab 2. August 2026). Damit rücken bei Drittparteien nicht nur IKT-Ausfallrisiken, sondern auch 4 Siehe… …­Dritt­parteien­lebens­zyklus definiert? • Überprüfung der Einbindung des Managements und der Kontrollfunktionen in Entscheidungsprozesse. 2. DORA-Anforderungen an die Steuerung… …der Kritikalitätsbewertungssystematik. 4.2 Schritt 2: Due Diligence & Risikobewertung Finanzunternehmen haben alle relevanten Risiken im Zusammenhang… …mit einer vertraglichen Vereinbarung zu ermitteln und bewerten. Dabei sollen zumindest die in Abbildung 2 aufgeführten Risiken berücksichtigt werden… …der Risikoeinstufung (hinsichtlich Sicherheits- und Resilienzfähigkeiten des Dienstleisters). 1. Inventarisierung & Klassifizierung 2. Due Diligence &… …und personenbezogenen Daten* Rechtsrisiken* Reputationsrisiken* ESG-Risiken* Risiken aus Ketten der Unterauftragsvergabe Abbildung 2: Landkarte der…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 5/2026

  Wessen KI-Risiko ist das eigentlich?

  Aufsichtsrat, Vorstand und Interne Revision im Drei-Linien-Modell unter EU AI Act, DORA und MaRisk
  

  Ekaterina Steklyannikova

  …klare Pflichten definiert und als Prüfinstrument für die Interne Revision ebenso wie als Orientierungsrahmen für den Prüfungsausschuss konzipiert ist. 2… …Solvency-II-Versicherungsunternehmen. Art. 5 Abs. 2 weist dem Leitungsorgan die Letztverantwortung für das Management der IKT-Risiken zu, ausdrücklich einschließlich KI-Systeme als… …Eskalationspfaden. Struktur: COSO 1 Control Environment, COSO 2 Risk Assessment, COSO 3 Control Activities, COSO 4 Information und Communication, COSO 5 Monitoring… …behobene Mängel eskalieren an den Aufsichtsrat (Stufe 2). Bei Bußgeldpotenzial oder Lizenzrisiko erfolgt die Eskalation gleichzeitig an beide (Stufe 3). Risk… …, Fachbereiche: nutzen, tragen Risiko 2. Linie, ­Compliance, OpRisk, ISB: ­kontrollieren, beraten Vorstand leitet, gestaltet, ­verantwortet Aufsichtsrat billigt… …Bestätigung, dass Governance-Strukturen gelebt werden und nicht nur auf dem Papier existieren. 194 ZIR 05.26 KI-Risiko Berufsstand COSO KI-Besonderheit COSO 2… …Identifiziert bereichsspezifische KI-Risiken, meldet an 2. Linie Dokumentiert Risikoakzeptanz bei bekannten Schwächen Implementiert Humanin-the-Loop bei… …Modelländerungen zeitnah an 2. Linie Informiert über geplante neue KI-Anwendungen vor dem Einsatz Betreibt laufendes Monitoring der eigenen KI-Systeme auf… …Performance und Anomalien Meldet Driftanzeichen unverzüglich an 2. Linie 2. Linie, ­Compliance, OpRisk, ISB: ­kontrollieren, beraten Führt institutsweite KI-… …Hochrisiko-Klassifizierung korrekt angewandt wird Assurance: IR bestätigt dem AR unabhängig, ob die Risikobewertung der 2. Linie methodisch solide ist. Prüft unabhängig Design…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 4/2026

  Compliance-Prüfung der EU-KI-VO aus Sicht der Internen Revision

  Implikationen und Handlungsfelder für die Finanzindustrie
  

  Maria Dzolic

  …Implementierung der regulatorischen Anforderungen einräumt. Da Erscheinungstermin der ZIR Anfang August: Grundsätzlich ist die Verordnung am 2. August 2026… …KI-Praktiken bereits seit 2. Februar 2025 Anwendung. Weitere Vorschriften – etwa zu Governance- Strukturen, zu KI-Modellen mit allgemeinem Verwendungszweck sowie… …zu bestimmten Aufsichtsund Sanktionsregelungen – greifen bereits seit 2. August 2025. 2 Für Finanzunternehmen bedeutet diese gestaffelte Anwendung… …Revision prüfen, ob das Institut einen strukturierten Umsetzungsfahrplan zur fristgerechten Implementierung etabliert hat. 2. Analyse der EU-KI-VO und… …, Drittanbieterregister), 2 Vgl. VERORDNUNG (EU) 2024/1689 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für… …nationaler Ebene mindestens ein KI-Reallabor eingerichtet wird, welches seit dem 2. August 2026 betriebsbereit sein muss. KMU, einschließlich Start-ups, die… …für Interne Revision e. V. Erarbeitet im DIIR-Arbeitskreis „Revision des Finanz- und Rechnungswesens“ 2., neu bearbeitete und erweiterte Auflage 2026…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 4/2026

  Von Phishing zu Ransomware

  Ein Beitrag zur Risikobeurteilung für die Interne Revision im Mittelstand
  

  Prof. Dr. Matthias Knoll, Michael Neuy

  …in den letzten Jahren zwei besonders gefährliche Angriffsformen in den Vordergrund: Infektionen mit Ransomware 2 und der Advanced Persistence Threat… …die Praxis 1 Vgl. BKA (2024). 2 Vgl. BKA (2024), Zentrale Erkenntnisse des Bundeslagebilds Cybercrime. 3 Zur Definition der Begriffen Phishing… …, Ransomware und APT siehe Definition in Abschnitt 2. zeigt eindrücklich, dass eine solche Einschätzung fatal sein kann. 4 Denn gerade im Mittelstand sind… …ihren Beitrag zur Gefahrenabwehr leisten. 2. Phishing, Ransomware und APT In sehr vielen Fällen sind menschliche Unachtsamkeit oder Unwissenheit… …Aufdeckungs- beziehungsweise Entdeckungswahrscheinlichkeit zu maxi mieren, also kein Risiko zu übersehen. 2. Risikoanalyse: Im zweiten Schritt wird versucht, die… …in den Schritten 2. und 3. ist die sichere und breite Verfügbarkeit und Qualität von Daten, im Besonderen zur Einschätzung von… …Orientierung dienen; vgl. OpenKritis (2025). 04.26 ZIR 169 BEST PRACTICE Phishing und Ransomware Abb. 2: Action Priority für das IT-Risikomanagement; modifziert… …Gesamtbetrachtung und Einordnung werden drei Klassen gebildet: High (H), Middle (M) und Low (L) (siehe Abbildung 2.) 36 Ein großer Vorteil ist neben dem gestiegenen… …FehlermoeglichkeitUndEinflussanalyse/fehlermoeg- Eintrittswahrscheinlichkeit (E) Bedeutung/ Schwere (B) Aufdeckungs-/ Entdeckungswahrscheinlichkeit (A) Action Point (AP) 10 2 1 M Phishing-E-Mail… …erreicht den Nutzer 4 8 2 M Mitarbeiter klickt auf bösartigen Link oder öffnet Anhang 9 9 5 H Malware installiert sich auf dem Computer des Nutzers 8 9 1 M…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 3/2026

  Kleinbetragsbestellungen durch Fachbereiche

  Ein Instrument zur Reduzierung der Beschaffungskosten
  

  Dr. Jochen Matzenbacher

  …Cell Consulting zusammen mit dem Institut für Technologie-Management der Universität St. Gallen zu folgendem Ergebnis: 2 Ein Prozent Einsparung bei… …der Dank für den fachlichen Input und die Teilnahme an einer empirischen Umfrage (vgl. Abschnitt 3). 2 Vgl. Vollrath, C./Nase, A. (2003). 3 Vgl. Brain… …Aufgabe des Einkaufsmanagements besteht also darin, Instrumente zur Reduzierung der Beschaffungskosten zu definieren und erfolgreich umzusetzen. 2… …• Life-Cycle-Verträge Kat. C 20% 80% 2. Nutzung des Wettbewerbs • Bei höheren Auftragswerten Überprüfung der Vertragskonditionen in kürzeren… …Kosten des Beschaffungsprozesses 1. Outsourcing der Beschaffungsaktivitäten 2. E-Procurement, Digitalisierung (zum Beispiel digitale Einkaufsplattformen… …Beschaffungsprozesses Abb. 1: Ansätze zur Reduzierung der Beschaffungskosten Tab. 2: Instrumente zur Reduzierung der Einkaufspreise und der Kosten des… …Fachbereiche (vgl. Tabelle 2). 12 Bei Produktionsmaterial sind BANF eher die Ausnahme. Der Einkauf vereinbart aufgrund der gemeldeten Planbedarfe mit den… …wurden zum Beispiel andere Möglichkeiten der Kostenreduzierung realisiert (vgl. Abschnitt 2) oder es gab Bedenken aufgrund des Missbrauchsrisikos in den… …Wert (kumuliert für ein Jahr) von bis Anzahl in % Wert in € in % 0 100 4.000 17 % 200.000 0 % 0 200 7.000 30 % 600.000 1 % 0 500 12.000 52 % 2.000.000 2… …Kleinbetragsregelung eingeführt werden soll. • Alternative 2: Delegation von Kleinbetragsbestellungen durch den Einkauf an die Fachbereiche. Ergänzend wird vereinbart…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 3/2026

  Prompten Sie noch?

  Optionen zur Anpassung und Verbesserung von KI-Anwendungen
  

  Kay Odenthal, Roger Odenthal, Ute Seeber

  …Bestandslogistik oder bei Finanzoptimierungen) durch integrierte KI-Technik dominiert werden. 2 Der Umgang mit beiden Aspekten erfordert rasch fundierte prüferische… …als analytische Prüfungshandlung mittels MS-Excel und ChatGPT+, WP Praxis, 7/2024. 2 Zu den Folgen des betrieblichen KI-Einsatzes für den… …vermeiden. 2. KI wird erwachsen Den häufig in den Vordergrund gestellten Unzulänglichkeiten von KI-Ergebnissen bei mangelhafter Auftragserteilung (Prompten)… …spezifischen Kurzzeitgedächtnis gespeichert und bei der Verarbeitung berücksichtigt (siehe Abbildung 2). Hierfür stellen KI-Modelle ein begrenztes… …(siehe Abbildung 2) mit speziellen betrieblichen Bibliotheken anreichert. Dem Modell werden zusätzlich passende Quellen beigestellt, auf die sich… …unterschiedliche Anwendungsfelder: • Einbindung von Wissensdatenbanken, Regelungen und Standards bei Recherchen, generellen Abfragen und Dokumentenanalysen. Ab b. 2…

  Alle Treffer im Inhalt anzeigen
• eJournal-Artikel aus "Zeitschrift Interne Revision" Ausgabe 2/2026

  Ein neuer Blick auf Qualität

  Der DIIR-Leitfaden zur Qualitätsbeurteilung der Internen Revision
  

  Michael Bünis

  …Revision liegt jetzt höher als früher. Das IIA definiert: Quality = Conformance + Performance. 2 2. Der DIIR-Leitfaden Um den Beurteilern die Urteilsfindung… …ist unter folgendem Link abrufbar: https://www.diir.de/fachwissen/standards/diir-standards/ (Stand: 02.02.2026). 2 Vgl. Prinzip 12 der Global Internal… …forderungen werden erfüllt, aber deren Ziel setzung wird (auf andere Weise) erreicht. 2 Teilweise Einhaltung mit Verbesserungsmöglichkeiten: Nicht alle…

  Alle Treffer im Inhalt anzeigen