Ecovis in Hamburg

Mit einer IT-Audit-Checkliste Unternehmen schützen

Digitalisierung, Homeoffice oder strukturelle Anpassungen stellen Unternehmen aktuell vor große Herausforderungen. Wie sind bei Veränderungen die Informations- und Datensicherheit zu gewährleisten? Eine Möglichkeit ist es, die IT mit einer Audit-Checkliste auf Schwachstellen zu durchleuchten.

Seit Beginn der Corona-Pandemie sind die Anforderungen an Datenschutz und Datensicherheit massiv gestiegen – dank schnellerer Digitalisierung oder Homeoffice. Die internen Abläufe anpassen und auf kurzfristige Änderungen zu reagieren, erzeugte dabei teils eine hohe Arbeitslast. „Um die Werte und Daten im Unternehmen zu schützen, ist eine klare Rollenverteilung nötig, um die Informationssicherheit zu gewährleisten“, erklärt Thomas Kastner, Geschäftsführer der iAP Independent Consulting + Audit Professionals GmbH in Berlin. Zu diesen Rollen gehören der Datenschutzbeauftragte oder -koordinator (DSB), der Informationssicherheitsbeauftragte (ISB), der Compliancemanager und der Notfallmanager.

Die Aufgaben der IT im Unternehmen

Die IT erfüllt Kernaufgaben im Unternehmen und ist damit interner Dienstleister. Die IT sollte also die Sprache der jeweiligen Fachabteilungen, etwa des DSB oder des Compliancemanagers, verstehen und ihre Leistungen danach ausrichten. „Unsere Erfahrungen der vergangenen 20 Jahre zeigen, dass es einen Unterschied macht, ob die IT-Abteilung in der Lage ist, strategisch zu beraten, oder nur umsetzt“, sagt Kastner.

Die Aufgaben des DSB und Compliancemanagers

Die Rollen etwa des DSB oder Compliancemanagers erfordern eine enge Verzahnung von IT und den verschiedenen Fachabteilungen des Unternehmens, um die gestellten Aufgaben zu erfüllen. Dies erfolgt in standardisierten Managementsystemen. Jedes System liefert dabei thematisch wesentliche Fragestellungen. „Läuft das systematisch und kontinuierlich ab, geht das Unternehmen den Schritt vom Reagieren zum Agieren“, erklärt Kastner.

Der DSB betrachtet die IT- und Fachabteilungsprozesse. Ziel ist es, alle Abläufe mit deren Daten zu kennen und transparent zu machen. „In Unternehmen gibt es nur sehr wenige Prozesse, in denen keine personenbezogenen Daten verarbeitet werden“, sagt Kastner, „der DSB muss daher unabhängig und weisungsfrei agieren können. Er darf keine Aufgaben in der IT-Administration oder Managementaufgaben wahrnehmen.“ Weitere Aufgaben des DSB:

• Unterstützen beim Erstellen und Weiterentwickeln eines Datenschutzmanagementsystems (DSMS) sowie eines Verfahrensverzeichnisses;
• Erstellen einer umfassenden, ordnungsgemäßen Dokumentation der hinsichtlich des Datenschutzes getroffenen Maßnahmen.

Informationssicherheitsbeauftragte sind für die Sicherheit der Daten zuständig sowie für deren interne und externe Verarbeitung. Compliancemanager hingegen stellen die Richtlinien für den Umgang mit Daten und Informationen im Unternehmen auf. Wie auf einen Cyberangriff zu reagieren ist oder bei Datenverlust, simulieren Notfallmanager. Sie legen die Maßnahmen fest, die in solchen Fällen zu ergreifen sind.

Erste Schritte zu mehr Transparenz

Unternehmen sind dafür verantwortlich, ihre informationstechnischen Verfahren regelmäßig zu überprüfen. Dieser Prozess trägt zum Schutz der Kunden, Lieferanten, Aktionäre und Mitarbeiter bei. Mit einer IT-Audit-Checkliste können Unternehmen vierteljährlich oder jährlich eine umfassende Risikobewertung durchführen. Sie wird vom ISB, DSB, Compliancemanager und Notfallmanager erstellt. Alle Beteiligten tragen ihre Anforderungen bei. Mithilfe einer Checkliste sind dann die Risiken zu erkennen. Erste Maßnahmen für mehr Schutz und Vorsorge gegen Notsituationen sind darauf basierend zu definieren.

„Erstellen die verschiedenen Abteilungen zusammen eine IT-Audit-Checkliste, um IT-Richtlinien, -Verfahren und betriebliche Abläufe zu prüfen, wird ein System kreiert, das die Nachhaltigkeit der Informationstechnologie-Infrastruktur Ihres Unternehmens bewertet“, erklärt Kastner. Zu erkennen ist mit der IT-Audit-Checkliste, wo das Unternehmen steht, wo es potenzielle Sicherheitsrisiken gibt, wie Soft- und Hardware zu bewerten und möglicherweise nachzurüsten sind.

Expandiert beispielsweise ein Unternehmen und steht der Kauf zusätzlicher Hard- und Software an oder werden neue Mitarbeiter eingestellt, die Zugriff auf vertrauliche Informationen haben, ist zu prüfen, ob die IT-Abläufe und -Prozesse zu aktualisieren sind. „Wächst ein Unternehmen schnell, besteht die Gefahr, dass Prozesse in den Abteilungen unterschiedlich gehandhabt werden. Darin verstecken sich gern Risiken“, sagt Axel Keller, Rechtsanwalt bei Ecovis in Rostock. Sein Kollege Kastner ergänzt: „Für IT-Audit-Checklisten bedeutet das, dass sich möglicherweise nicht die IT-Realität des Unternehmens widerspiegelt.“

Nachbessern der Checkliste bringt Vorteile

Die IT-Audit-Checkliste jährlich genau unter die Lupe zu nehmen, zahlt sich aus. Denn nur so sind aktuelle Risiken zu identifizieren sowie Prozesse und Verfahren zu erstellen, um diese zu beheben. Experten aus dem IT-Umfeld oder IT-Auditoren unterstützen dabei, potenzielle Risiken zu minimieren, unerkannte Risiken festzustellen und aktuelle technologische Situationen zu bewerten. „Unternehmen haben häufig ähnlich gelagerte Risiken, weil diese branchenunabhängig sind“, sagt Kastner. Dazu gehören beispielsweise Informationssicherheitslücken, Compliance-Verstöße oder Cloud-Computing. Es gibt also mehrere gute Gründe, eine IT-Audit- Checkliste auf dem neuesten Stand zu halten und IT-Prozesse und Verfahrensdokumentationen konsequent zu überprüfen und zu verbessern.

Hackern keine Angriffsfläche bieten

Hacker und Cyberkriminelle sind häufig auf einem technologisch hohen Stand. Sie setzen ihr Wissen gezielt ein, um unerlaubt in Firmen einzudringen. „Erstellt ein Unternehmen eine IT-Audit-Checkliste und entwickelt diese auch stets weiter, setzt es sich mit der Realität und der aktuellen IT-Welt auseinander“, sagt Rechtsanwalt Keller.

Die Checkliste verdeutlicht die zu überprüfenden Bereiche, in denen Dokumente der Prozesse und Verfahren fehlen oder in denen sie möglicherweise überhaupt nicht vorhanden sind. Diese Schwachstellen rechtzeitig zu erkennen und zu beheben, macht es Hackern schwerer, in die Unternehmens- IT einzudringen. „Viele Betriebe haben allerdings keine regelmäßige konsistente Überprüfung. Sie setzen sich so potenziellen Risiken in Hinblick auf die Cybersicherheit aus“, kommentiert Thomas Kastner.

Audit-Checkliste: Mit diesen Fragen können Sie Ihre IT durchleuchten (Auswahl)

• Gibt es ein Datenschutzmanagementsystem und ein Verfahrensverzeichnis?
• Wird die Zugriffsberechtigung mindestens einmal jährlich überprüft?
• Welche Cloud-Produkte sind im Einsatz?
• Wer verwaltet die Cloud-Verträge?
• Welche relevanten Daten des Rechnungswesens sind in der Cloud?
• Gibt es Zertifizierungsnachweise für rechnungswesenrelevante Software?
• Ist ein Informationssicherheits-Management-System etabliert?
• Gibt es aktuelle Archivierungs- und Löschkonzepte?

Überblick Schwachstellen: Diese IT-Risiken haben Unternehmen branchenübergreifend

• Markenschutz, Compliance-Verstöße, Vertraulichkeitsverletzungen
• Informationssicherheitslücken
• Datenverlust aufgrund steigender Anzahl mobiler Geräte
• Datendiebstahl, Produktivitätsverlust, Hardwareschäden und Kosten aufgrund zunehmender Malware-Epidemien, etwa Virensoftware
• Dezentrales Cloud-Computing
• Unterschätzte Komplexität der IT-Sicherheitsinfrastruktur

Ein Foto von Ecovis-Rechtsanwalt Axel Keller können Sie mit einem Klick aufs Foto downloaden.

Corona-Bonus verlängert bis 31.03.2022

Der Gesetzgeber will die Auszahlungsfrist für den Corona-Bonus noch einmal verlängern. Arbeitgeber können ihren Mitarbeitern damit noch bis 31.03.2022 den Corona-Bonus in Höhe von 1.500 Euro abgabenfrei auszahlen. Worauf Cheffinnen und Chefs dabei achten müssen, erklärt Ecovis-Steuerberaterin Ines Frenzel in Neubrandenburg.

Die Auszahlungsfrist für den Corona-Bonus an Arbeitnehmer will der Gesetzgeber jetzt noch einmal verlängern: Eingebettet ist die Regelung in das Gesetz zur Modernisierung der Entlastung von Abzugsteuern und der Bescheinigung von Kapitalertragsteuer (AbzStEntModG). Der Bundestag hat das Gesetz am 5. Mai 2021 beschlossen. Jetzt muss das Gesetz noch durch den Bundesrat. Arbeitgeber bekommen damit noch einmal mehr Zeit, damit sie ihren Mitarbeitern die 1.500 Euro Corona-Sonderzahlung, wie der Corona-Bonus auch heißt, steuer- und sozialabgabenfrei auszahlen können.

Keine Neuauflage: der Corona-Bonus ist einmalig abgabenfrei

Bei der Verlängerung handelt es sich nicht um eine Neuauflage. „Der Corona-Bonus ist nur einmal abgabenfrei“, sagt Ecovis-Steuerberaterin Ines Frenzel in Neubrandenburg. Wer ihn also seinen Mitarbeitern schon einmal komplett gezahlt hat, kann nicht noch einmal von der Befreiung bei Sozialabgaben und Lohnsteuer profitieren.

Corona-Bonus splitten ist erlaubt

Ursprünglich gab es den Corona-Bonus nur bis 31. Dezember 2020. Dann wurde er bis 30. Juni 2021 verlängert. Was aufgrund der wiederholten Verlängerung jetzt möglich ist: Arbeitgeber können den Corona-Bonus stückeln. „Wer seinen Mitarbeitern bis jetzt 500 Euro Corona-Bonus gezahlt hat, hat nun genügend Zeit, noch einmal etwas mehr Geld draufzulegen, wenn sich die wirtschaftliche Lage des Unternehmens etwas entspannt“, sagt Steuerberaterin Ines Frenzel. Arbeitgeber können beliebig oft stückeln. „Allerdings ist es weniger aufwendig, den Corona-Bonus auf einmal zu zahlen.“

Weitere Bedingungen für den Corona-Bonus

Die Ecovis-Steuerberaterin rät Arbeitgebern dringend, die Formalien bei der Auszahlung einzuhalten. Hier eine Liste, worauf Arbeitgeber unbedingt achten sollten – „die nächste Betriebsprüfung kommt bestimmt“, warnt Ines Frenzel, „wer also die Befreiung von Sozialabgaben und Steuern nicht riskieren will, sollte sich einfach an die Vorgaben halten.“

• Die Sonderzahlung muss zusätzlich zum ohnehin geschuldeten Arbeitslohn sein.
• Die Sonderzahlung muss der Abmilderung der zusätzlichen Belastung durch die Corona-Krise dienen.
• Die Zahlung darf auf keiner Vereinbarung oder Zusage beruhen, die Arbeitgeber und Arbeitnehmer vor dem 1. März 2020 getroffen haben. Somit dürfen Arbeitgeber auch keine vereinbarten Leistungsprämien zum Corona-Bonus ummünzen, da sie normalerweise auf bestehenden Vereinbarungen beruhen.
• Die zusätzliche Leistung lässt sich auch per Tarifvertrag oder Betriebsvereinbarung schließen.
• Die Leistung lässt sich als Zuschuss oder in Form eines Sachbezugs auszahlen.
• Die Sonderzahlung lässt sich anstatt einer Aufstockung des Kurzarbeitergelds zahlen; dann muss aber erkennbar sein, dass die Arbeitgeber die zur Befreiung vorgegebenen Voraussetzungen eingehalten haben.
• Auch Minijobber können die steuerfreie Sonderzahlung bekommen.
• Arbeitgeber müssen die steuerfreie Sonderzahlung im Lohnkonto aufzeichnen. Der Corona-Bonus muss aber weder in der Lohnsteuerbescheinigung noch in der Einkommensteuererklärung 2020 angegeben sein.

Ein Foto von Ines Frenzel können Sie hier herunterladen:

Betriebliche Gesundheitsförderung – so bleiben 600 Euro steuerfrei

Unternehmen wollen, dass ihre Mitarbeiterinnen und Mitarbeiter gesund bleiben. Deshalb bieten sie ihnen Maßnahmen der betrieblichen Gesundheitsförderung. Bis zu 600 Euro pro Jahr bleiben steuerfrei, so die Finanzverwaltung. Wie Sie und Ihre Mitarbeiter von der Steuerbefreiung profitieren können, erklärt Ihnen Steuerberater Dirk Wellner in Greifswald.

Was versteht man unter betrieblicher Gesundheitsförderung?

Betriebliche Gesundheitsförderung soll Krankheitsrisiken verringern und die Gesundheit der Mitarbeiter fördern. Dazu zählt zum Beispiel die Rückenschule. Auch Ernährungscoachings, Stressbewältigungskurse sowie Raucherentwöhnungskurse gehören zur betrieblichen Gesundheitsförderung.

Welche steuerlichen Vorteile bietet betriebliche Gesundheitsförderung?

„Bietet der Arbeitgeber solche Maßnahmen zusätzlich zum Gehalt an, bleiben diese bis zu 600 Euro im Jahr steuerfrei. Der Arbeitnehmer zahlt also keine Lohnsteuer“, sagt Ecovis-Steuerberater Dirk Wellner in Greifswald. Der Arbeitgeber profitiert ebenfalls davon, denn er muss dafür keine Sozialversicherungsbeiträge zahlen. Die Details dazu hat die Finanzverwaltung am 20.04.2021 per BMF-Schreiben veröffentlicht.

Müssen die Maßnahmen von den Krankenkassen zertifiziert sein?

Sind die Kurse zertifiziert, dann sind sie steuerfrei. Sind sie nicht zertifiziert, dann können die Maßnahmen unter bestimmten Umständen dennoch steuerfrei bleiben. „Unternehmer müssen die Voraussetzungen für einen Kurs aber genau prüfen und entsprechende Dokumente zum Lohnkonto hinzufügen“, erklärt Wellner.

Was gehört nicht zur betrieblichen Gesundheitsförderung?

Spendiert der Arbeitgeber den Arbeitnehmern die Mitgliedsbeiträge für den Sportverein oder das Fitnessstudio, dann handelt es sich dabei nicht um betriebliche Gesundheitsförderung. Das gilt beispielsweise auch für Massagen, Spinning-Kurse und überwiegend gerätegestützes Training. Solche nicht begünstigten Maßnahmen können aber eventuell unter die 44-Euro-Freigrenze fallen.

Vergleichsrechnung zur betriebliche Gesundheitsförderung

Der Arbeitgeber möchte die Gesundheit seiner Arbeitnehmer fördern und überlegt, entweder die Fitnessmitgliedschaft bis 600 Euro anzubieten oder die Kosten für zertifizierte Kurse bis zu 600 Euro zu übernehmen.

 „Die Vergleichsrechnung zeigt, dass sowohl Arbeitgeber als auch Arbeitnehmer mit zertifizierten Kursen mehr sparen“, sagt Steuerberater Wellner, „der Arbeitgeber muss nur die Maßnahme selbst bezahlen.“

Tipp: Mitarbeiter mit steuerfreien Arbeitgeberleistungen motivieren

Sie wollen wissen, wie Sie Ihren Mitarbeitern sonst noch Gutes tun können? Das haben wir in der Ecovis-Broschüre für Sie zusammengefasst. Diese können Sie für 10 Euro bestellen unter presse@ecovis.com. Mehr Informationen dazu finden Sie unter www.ecovis.com/steuerfrei.

Ein Foto von Dirk Wellner können Sie hier herunterladen: