AUDIT ist nicht gleich Audit

Audit-Serie Teil 2. Einer der Unterschiede: Die Ausbildung der Auditoren. Hier mal eine kurze Einordnung: External Audit (externe Revision), Internal Audit (interne Revision), ISO-Auditoren.

Gestern habe ich über die CEO eines mittelständischen deutschen Unternehmens geschrieben, welche Audit einmal kurz in der Luft zerriss. Ihren sehr lesenswerten LinkedIn-Post findet Ihr nochmals in den Kommentaren.

Allerdings muss gesagt werden: Audit ist nicht gleich Audit. Anders gesagt: Auf welche Art von Audit bezog sich die CEO denn eigentlich?

Eine Einordnung tut Not, die ich hier gerne mal liefere.

Ich unterscheide grob drei Arten von Audits. Einer der Hauptunterschiede besteht in der Ausbildung der Personen, welche die Audits durchführen.

🟠 ERSTENS: Externe Revision / External Audit

Prüfen u.a. Jahres- und Konzernabschlüsse, Zulassung durch die gesetzliche Aufsichtsbehörde, typische Ausbildungen in der Schweiz sind u.a. Dipl. Wirtschaftsprüfer

🟠 ZWEITENS: Interne Revision / Internal Audit

Prüfen u.a. Governance, Risiken, Kontrollen. Ein globaler Berufsstand mit weltweit einheitlicher Ausbildung, bspw. Certified Internal Auditor, siehe für die deutschsprachigen Länder IIA Switzerland DIIR - Deutsches Institut für Interne Revision e.V. IIA Austria - Institut für Interne Revision Österreich

🟠 DRITTENS: ISO-Auditoren

Oft nur kurze Ausbildungen, im Fokus steht die Prüfung der Normkonformität. In jungen Jahren habe ich mal eine ISO 9001 Ausbildung gemacht. Sie dauerte drei Tage und stand unter dem Motto: Man Muss Menschen Mögen (MMMM) 🤩. Kein Wunder, dass Ausbildungskollegen anschliessend bei der Prüfung ihrer EIGENEN Abteilung (ein NO GO bei der Internen Revision) einen grossen Betrugsfall nicht erkannt haben …

In der Praxis ist die Sache natürlich komplizierter:

So prüfen auch Externe und Interne Revisoren Normkonformität (bspw. SOX, COSO), und es gibt auch hammerharte Ausbildungen zu bestimmten Normen. Aber eben nicht zu allen Normen.

Womit wir dem CEO-Unmut auf der Spur sind. Die Audits betrafen Kategorie 3.

Falls jetzt jemand so richtig Lust auf Prüfnormen hat, hier ein paar Stichworte zum Nachschlagen: SOX, COSO, COBIT, NIST, PCI DSS, ISAE, und natürlich ISO.

Morgen ein Post zum Thema: Wie ticken Auditoren eigentlich? 😅

Es bleibt spannend.