Risikoorientierte Prüfungsplanung in der kleinen Praxis: ISA (DE) 315 ohne Konzern-Overhead

Die Prüfungsplanung hat einen schlechten Ruf: viel Formular, wenig Erkenntnis. Dabei ist die Idee des risikoorientierten Ansatzes gerade für kleine Praxen attraktiv — knappe Prüfungszeit dorthin lenken, wo der Abschluss tatsächlich falsch sein könnte. ISA (DE) 315 in seiner überarbeiteten Fassung verlangt dafür mehr Struktur als früher, ist aber ausdrücklich skalierbar: Der Umfang der Dokumentation richtet sich nach Komplexität und Risiko des Mandats, nicht nach der Größe der Prüfungsgesellschaft.

Eine Vorbemerkung zum Standardrahmen: Für Prüfungen kleinerer, weniger komplexer Unternehmen hat das IDW mit den IDW PS KMU einen eigenen, bewusst reduzierten Standardsatz geschaffen, der die ISA-Anforderungen nicht vollumfänglich übernimmt und gleichwohl bei gesetzlichen Abschlussprüfungen nach §§ 316 ff. HGB angewandt werden kann. Welchen Rahmen eine Praxis wählt, ist eine bewusste Entscheidung — die Denkweise, um die es im Folgenden geht, ist in beiden dieselbe.

Verstehen, bevor man plant

Am Anfang steht das Verständnis der Einheit und ihres Umfelds: Geschäftsmodell, Branche, rechtliche Rahmenbedingungen, Eigentümerstruktur, angewandte Rechnungslegungsmethoden — und das interne Kontrollsystem einschließlich der IT. Beim mittelständischen Mandanten ist dieser Teil oft schneller erledigt als das Formular suggeriert, denn die relevante Antwort ist meist konzentriert: ein dominanter Geschäftsführer, eine ausgelagerte Buchhaltung, ein Standard-ERP oder eine DATEV-Umgebung.

Wichtig ist, das Verständnis jährlich zu aktualisieren statt zu kopieren. Der Vorjahrestext ist ein Startpunkt; die Planungsfrage lautet: Was ist anders? Neue Produkte, neuer Hausbank-Covenant, Wechsel des Buchhalters, erstmalige Förderprojekte — genau solche Änderungen erzeugen die Risiken, die eine kopierte Planung übersieht.

Risiken benennen, nicht Kategorien abhaken

Kern der Planung ist die Identifikation und Beurteilung der Risiken wesentlicher falscher Darstellungen — auf Abschlussebene und auf Aussageebene je Posten. Der überarbeitete Standard verlangt dabei, inhärentes Risiko und Kontrollrisiko getrennt zu beurteilen, und gibt mit den inhärenten Risikofaktoren eine brauchbare Checkliste: Komplexität, Subjektivität, Veränderung, Unsicherheit, Anfälligkeit für Verzerrung durch das Management.

Ein tragfähiges Risiko ist konkret formuliert: nicht „Vorräte”, sondern „die Bewertungsabschläge auf Langsamdreher beruhen auf einer Reichweitenstatistik, die der Vertriebsleiter pflegt — Risiko der Unterbewertung der Abschläge zur Ergebnisstützung”. Aus einer solchen Formulierung ergibt sich die Prüfungshandlung fast von selbst; aus einem Kreuz in einer Matrixzelle ergibt sich nichts.

Zwei Risiken setzt der Standardrahmen dabei praktisch immer: Für die Ertragsrealisierung gilt die widerlegbare Vermutung eines Fraud-Risikos, und das Risiko der Durchbrechung von Kontrollen durch das Management (Management Override) ist stets als bedeutsames Risiko zu behandeln — mit den Pflichthandlungen aus ISA (DE) 240, insbesondere der Journalbuchungsdurchsicht. Wer die Ertragsrealisierungs-Vermutung im Einzelfall widerlegt, muss das begründen und dokumentieren, nicht stillschweigend weglassen.

Die Risikomatrix als Arbeitsdokument

Praktisch bündelt sich die Planung in einer Matrix: je Prüffeld die relevanten Aussagen, das inhärente Risiko, die Einschätzung des Kontrollumfelds, daraus das Gesamtrisiko — und daneben die geplante Reaktion nach ISA (DE) 330. In der kleinen Praxis führt der Weg fast immer über aussagebezogene Prüfungshandlungen: Funktionsprüfungen lohnen nur, wo Kontrollen existieren, dokumentiert sind und ihr Test tatsächlich Prüfungshandlungen ersetzt. Das ehrlich auszusprechen — „wir stützen uns nicht auf Kontrollen” — ist standardkonform und schlanker als ein Kontrolltest-Programm, das nur auf dem Papier existiert.

Die Matrix lebt davon, dass sie sich während der Prüfung ändern darf: Neue Erkenntnisse — eine unerwartete Differenz, ein auffälliges Buchungsmuster — fließen zurück in die Risikobeurteilung, und die geplanten Handlungen ziehen nach. Eine Planung, die im November eingefroren und im April unverändert abgeheftet wird, dokumentiert nur, dass sie nicht benutzt wurde.

Skalierung heißt weglassen mit Begründung

Skalierbarkeit bedeutet nicht, Anforderungen zu ignorieren, sondern sie dem Mandat angemessen zu erfüllen. Beim wenig komplexen Mandat kann das Verständnis des IT-Umfelds kurz ausfallen — kurz heißt aber nicht: erledigt mit dem Satz „Standardsoftware, Buchhaltung extern”.

Auch dann bleiben Fragen zu beantworten, die sich nicht aus dem Produktnamen ergeben:

• Schnittstellen. Welche Vorsysteme (Warenwirtschaft, Kasse, Lohn, Zeiterfassung, Webshop) speisen die Buchhaltung, und wie werden Übernahmefehler erkannt?
• Berechtigungen. Wer darf buchen, wer freigeben, wer Stammdaten ändern — und fallen diese Rollen zusammen?
• Änderungen. Wer ändert Parameter, Kontenzuordnungen, Steuerschlüssel oder Preis- und Konditionsstammdaten, und wird das protokolliert?
• Automatische Buchungen. Welche Buchungen erzeugt das System selbst (Steuer, Skonto, Abgrenzung, Bewertung), und auf welcher Grundlage?
• Dienstleistungsunternehmen. Läuft die Buchhaltung extern, ist das ein Auslagerungssachverhalt: Das Verständnis muss auch die dortigen relevanten Kontrollen erfassen, gegebenenfalls über eine Bescheinigung des Dienstleisters oder ergänzende Prüfungshandlungen.

Gerade die ausgelagerte Buchhaltung ist deshalb kein Grund, weniger zu verstehen — sie verlagert nur, wo man hinschauen muss. Die Dokumentationsfrage ist immer dieselbe: Kann ein erfahrener, mit dem Mandat nicht vertrauter Prüfer nachvollziehen, welche Risiken gesehen wurden, warum sie so beurteilt wurden und was daraufhin geplant ist? Drei fokussierte Seiten, die diese Kette schließen, schlagen dreißig Seiten Formularprosa.

Fazit

Risikoorientierte Planung in der kleinen Praxis heißt: jährlich das Delta zum Vorjahr verstehen, Risiken so konkret formulieren, dass die Prüfungshandlung daraus folgt, die Pflichtrisiken (Ertragsrealisierung, Management Override) sauber behandeln und die Matrix als lebendes Dokument führen. Das ist kein Overhead — es ist die Entscheidung, wo die knappe Zeit hingeht. Genau dafür wurde der Ansatz gebaut.

Quellen

• § 316 HGB — Pflicht zur Prüfung. Abruf: 5. August 2026.
• § 317 HGB — Gegenstand und Umfang der Prüfung. Abruf: 5. August 2026.
• ISA (DE) 315 (Revised 2019) — Identifizierung und Beurteilung der Risiken wesentlicher falscher Darstellungen; inhärente Risikofaktoren, getrennte Beurteilung von inhärentem Risiko und Kontrollrisiko, Verständnis des IT-Umfelds, Skalierbarkeit.
• ISA (DE) 330 — Reaktionen des Abschlussprüfers auf beurteilte Risiken.
• ISA (DE) 240 — Dolose Handlungen; widerlegbare Vermutung eines Fraud-Risikos bei der Ertragsrealisierung, Management Override als bedeutsames Risiko.
• ISA (DE) 402 — Prüfung bei Einschaltung eines Dienstleistungsunternehmens.
• IDW PS KMU — Standardsatz für die Prüfung kleinerer und weniger komplexer Unternehmen.

---

Dieser Beitrag gibt den Standardstand 5. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Prüfungsplanung im Einzelfall.