CISM · CISA · AAIA · Vertiefung

CISA Domäne 1: Der Auditprozess, was in der Prüfung wirklich zählt

Redaktion · 30. September 2026 · 8 Min. Lesezeit

Domäne 1 wird von Kandidaten gern übersprungen, weil sie nach Formalien klingt. Das ist ein teurer Irrtum. Die Domäne definiert die Begriffe, in denen alle anderen Fragen formuliert sind, und sie enthält die Fragen, bei denen zwei Antworten fachlich richtig sind und nur eine gemeint ist.

Ausgangslage: Die kleinste Domäne entscheidet über die übrigen

Die CISA-Prüfung besteht aus fünf Wissensgebieten. Domäne 1 behandelt den Auditprozess selbst und macht etwa achtzehn Prozent der Fragen aus. Gemessen am Anteil liegt sie im Mittelfeld. Gemessen an ihrer Wirkung ist sie die wichtigste, denn sie legt fest, was in den übrigen Domänen unter Nachweis, Kontrolle, Feststellung und Empfehlung verstanden wird.

Wer aus der Praxis kommt, bringt hier eine Hypothek mit. In vielen Unternehmen wird "Audit" für alles benutzt, was mit Kontrolle zu tun hat, vom Vier-Augen-Prinzip bis zur Lieferantenbewertung. Die Prüfung benutzt den Begriff enger. Ein Audit ist eine unabhängige Beurteilung anhand vorab festgelegter Kriterien, durchgeführt von jemandem, der die geprüfte Tätigkeit nicht selbst verantwortet. Alles andere ist etwas anderes, auch wenn es im Alltag so heißt.

Wer ist betroffen?

Unmittelbar: Kandidaten, die die Zertifizierung anstreben. Mittelbar ein deutlich größerer Kreis. Wer in einem Unternehmen arbeitet, das regelmäßig geprüft wird, liest Prüfberichte, die nach dieser Systematik aufgebaut sind, und beantwortet Feststellungen, die dieser Logik folgen. Wer die Logik kennt, antwortet präziser und kürzer.

Für Mitarbeiter in Compliance-Funktionen ist die Domäne zudem der Übersetzer zwischen zwei Welten. Die Prüfseite spricht von Nachweisen und Stichproben, die Fachseite von Prozessen und Ausnahmen. Ein erheblicher Teil der Reibung in Audits entsteht, weil beide Seiten dasselbe Wort unterschiedlich belegen.

Wie hoch ist die Priorität?

Für Prüfungskandidaten hoch, aus einem rechnerischen Grund. Die Fragen der Domäne 1 sind die am wenigsten fachspezifischen. Sie lassen sich ohne technisches Spezialwissen beantworten, sobald die Systematik sitzt. Das macht sie zu den zuverlässigsten Punkten der gesamten Prüfung. Wer hier Punkte liegen lässt, muss sie in Domänen ausgleichen, in denen die Fragen deutlich anspruchsvoller sind.

Warum ist das wichtig? Die Bausteine der Domäne

Planung: Risiko bestimmt den Umfang

Ein Prüfplan wird nicht nach Verfügbarkeit oder Gewohnheit erstellt, sondern nach Risiko. Diese Aussage klingt banal und ist der Kern mehrerer Prüfungsfragen. Zu einem Prüfauftrag gehören ein definierter Gegenstand, ein Zeitraum, Kriterien und eine Aussage darüber, was nicht geprüft wird. Die Abgrenzung des Nicht-Gegenstands wird in der Praxis oft weggelassen und in der Prüfung regelmäßig abgefragt.

Auditcharta und Unabhängigkeit

Die Auditcharta legt Auftrag, Befugnisse und Berichtsweg der Revision fest und wird von der obersten Leitungsebene verabschiedet. Sie ist der Grund, warum die Revision Zugang zu Unterlagen verlangen kann, ohne im Einzelfall zu verhandeln.

Bei der Unabhängigkeit unterscheidet ISACA zwei Ebenen: die organisatorische Unabhängigkeit, also die Stellung der Revision im Unternehmen und ihr Berichtsweg, und die persönliche Objektivität des einzelnen Prüfers. Beide können getrennt voneinander verletzt sein. Ein Prüfer, der ein System mitentwickelt hat, ist nicht objektiv, auch wenn seine Abteilung einwandfrei aufgehängt ist. Prüfungsfragen spielen diese Konstellation gern durch.

ITAF und Ethikkodex

Das IT Assurance Framework ordnet die Vorgaben in allgemeine Standards, Durchführungsstandards und Berichtsstandards. Standards sind verbindlich, Leitlinien geben Hilfestellung, Arbeitsprogramme sind Vorlagen. Die Unterscheidung zwischen verbindlich und empfehlend ist prüfungsrelevant. Dazu kommt der Ethikkodex, der unter anderem Sorgfalt, Objektivität und Vertraulichkeit verlangt. Wenn eine Frage einen Interessenkonflikt beschreibt, lautet die gesuchte Antwort fast immer: offenlegen und die Aufgabe abgeben, nicht stillschweigend lösen.

Stichproben: statistisch und nicht statistisch

Bei der statistischen Stichprobe lässt sich vom Ergebnis auf die Grundgesamtheit schließen, weil die Auswahl zufällig erfolgt und der Schluss mit einer Wahrscheinlichkeit belegt ist. Bei der nicht statistischen Auswahl entscheidet das Urteil des Prüfers. Beide sind zulässig. Nur die erste erlaubt eine quantitative Aussage über die Grundgesamtheit.

Daneben ist der Unterschied zwischen Attributstichprobe und Wertstichprobe zu kennen. Die Attributstichprobe fragt, ob eine Kontrolle durchgeführt wurde, und liefert eine Fehlerrate. Die Wertstichprobe fragt nach Beträgen und liefert eine Abweichung in Geld. Wer Kontrollen prüft, nimmt die erste.

Nachweise: Herkunft schlägt Menge

Nachweise werden nach ihrer Verlässlichkeit gewichtet. Was der Prüfer selbst erhoben hat, wiegt schwerer als das, was ihm vorgelegt wurde. Was von außerhalb des geprüften Bereichs stammt, wiegt schwerer als Internes. Schriftliches wiegt schwerer als Mündliches. Systemseitig erzeugte Protokolle wiegen schwerer als händisch geführte Listen.

Daraus folgt eine Regel, die in der Prüfung mehrfach auftaucht: Die Auskunft eines Mitarbeiters ist ein Hinweis, kein Nachweis. Sie muss durch Beobachtung, Wiederholung oder einen Systemauszug bestätigt werden.

Berichten

Eine Feststellung besteht aus Kriterium, Ist-Zustand, Ursache und Auswirkung. Fehlt die Ursache, ist die Empfehlung Symptombehandlung. Fehlt die Auswirkung, lässt sich die Feststellung nicht priorisieren. Beides wird in Prüfungsfragen gezielt weggelassen, um zu sehen, ob der Kandidat es vermisst.

Was muss konkret getan werden?

• Die Begriffe Prüfungshandlung, Kontrolle, Nachweis und Feststellung sauber gegeneinander abgrenzen, bevor mit dem Fragentraining begonnen wird.
• Die beiden Unabhängigkeitsbegriffe an eigenen Beispielen durchspielen, nicht nur auswendig lernen.
• Die Nachweishierarchie an fünf Belegen aus dem eigenen Haus anwenden und einordnen.
• Bei jeder Übungsfrage die Rolle bestimmen, in der geantwortet werden soll. Die gesuchte Antwort ist fast immer die des Prüfers, nicht die des Betreibers.
• Aus den Arbeitsprogrammen ein eigenes Prüfprogramm für ein reales Verfahren bauen. Nichts festigt die Systematik schneller.

Welche Dokumente werden benötigt?

BAM-Mapping: Prüflogik ist rahmenwerksunabhängig

Die Objekte aus Domäne 1 sind nicht ISACA-spezifisch. Ein Prüfprogramm nach CISA-Systematik ist strukturell dasselbe wie ein Auditprogramm nach ISO 19011, auf das sich ISO-27001-Zertifizierungsaudits stützen. Die Nachweishierarchie gilt in einer NIS-2-Aufsichtsprüfung genauso wie in einer internen Revision.

Das Brain-Media Audit Model führt diese Objekte deshalb einmal und ordnet sie den Rahmenwerken zu, statt sie je Norm neu anzulegen. Wer für die CISA-Prüfung lernt, lernt nebenbei die Ablagestruktur, die eine Zertifizierung ohnehin verlangt.

Unsere Empfehlung

Arbeiten Sie Domäne 1 zuerst durch, auch wenn Ihnen die Inhalte vertraut vorkommen. Gerade die Vertrautheit ist das Risiko: Die Prüfung benutzt Begriffe präziser, als der Berufsalltag es tut. Zwei Abende mit sauberen Definitionen ersparen Ihnen in den Domänen vier und fünf eine Menge Rätselraten darüber, was eine Frage eigentlich wissen will.

Wenn Sie die Systematik an Übungsfragen mit ausformulierten Begründungen festigen wollen: Genau dafür ist der Fragenpool zum CISA-Buch gebaut. Jede Frage erklärt, warum die drei anderen Antworten fachlich vertretbar und trotzdem falsch sind.

Häufige Fragen