Seminar DORA Audit und prüfbare Nachweise

Beschreibung

Prüfbare digitale Resilienz erfordert mehr als eine Sammlung aktueller Richtlinien. Das Seminar untersucht, wie sich die Gestaltung einer Kontrolle, ihre tatsächliche Durchführung und ihre Wirksamkeit belegen lassen. Dazu werden Nachweise zu IKT-Risiken, Dienstleisterbeziehungen, Vorfällen und Tests gemeinsam betrachtet.

Eine fiktive Prüfungsakte enthält vollständige, unvollständige und widersprüchliche Unterlagen. Daraus entsteht ein risikoorientierter Prüfplan mit begründeten Stichproben und konkreten Rückfragen. Die Dokumentation von Feststellungen und deren Nachverfolgung schließt den fachlichen Arbeitszyklus. Bestehende Zertifizierungen oder Prüfberichte werden hinsichtlich Geltungsbereich und Aussagegrenzen bewertet.

Lernziele

• Anforderungen, Kontrollen und Nachweise nachvollziehbar miteinander verknüpfen.
• Kontrolldesign und tatsächliche Wirksamkeit getrennt beurteilen.
• Stichproben und Feststellungen risikoorientiert begründen.
• Maßnahmen bis zum belegten Abschluss mit angemessener Unabhängigkeit nachverfolgen.

Seminarinhalte

Inhaltsübersicht: Prüfungsumfang und Rollen; Nachweisstruktur und Qualität; Stichproben und Prüfschritte; Feststellungen und Berichte; Maßnahmen und Nachprüfung.

Prüfungsumfang und Rollen

• Prüfauftrag, Organisationsgrenzen und anwendbares DORA-Profil festlegen.
• Operative Verantwortung, Kontrolle und unabhängige Prüfung unterscheiden.
• Risikoorientierte Schwerpunkte und Abhängigkeiten zu anderen Prüfungen bestimmen.

Nachweisstruktur und Qualität

• Anforderungen mit Kontrollen, Verantwortlichen und belastbaren Belegen verbinden.
• Geltungsbereich, Aktualität, Zeitraum und Unverändertheit von Nachweisen prüfen.
• Richtlinie, durchgeführte Kontrolle und beobachtete Wirksamkeit auseinanderhalten.

Stichproben und Prüfschritte

• Population, Auswahlkriterien, Prüfzeitraum und Aussagegrenzen dokumentieren.
• Verträge, Registerdaten, Vorfallakten und Testergebnisse auf Konsistenz abgleichen.
• Interviews und Begehungen durch konkrete System- oder Prozessbelege ergänzen.

Feststellungen und Berichte

• Sachverhalt, Kriterium, Risiko und Empfehlung nachvollziehbar formulieren.
• Unvollständige Nachweise und nachgewiesene Kontrollmängel angemessen bewerten.
• Abstimmung, Eskalation und Managementdarstellung auf den Prüfauftrag ausrichten.

Maßnahmen und Nachprüfung

• Korrekturen mit Verantwortlichen, Fristen und Abschlusskriterien versehen.
• Restmängel und Risikoakzeptanzen mit formaler Entscheidung dokumentieren.
• Wirksamkeit einer Umsetzung durch erneute Prüfung belegen.

Praxisworkshop

1. Eine Prüfungsakte sichten und den fachlichen Prüfungsumfang festlegen.
2. Eine Anforderungs-Kontroll-Nachweis-Matrix für ausgewählte Handlungsfelder erstellen.
3. Eine Stichprobe begründen und die zugehörigen Belege auf Widersprüche prüfen.
4. Eine Feststellung mit belegtem Sachverhalt und geschäftlicher Auswirkung formulieren.
5. Die Feststellung in einer simulierten Befundbesprechung fachlich vertreten.
6. Eine vorgeschlagene Korrektur anhand definierter Abschlusskriterien nachprüfen.