IT-Compliance braucht Erfahrung.
Technologie entwickelt sich rasant – und damit wachsen Risiken und Unsicherheiten. Doch wo Risiken entstehen, entstehen auch Chancen. Alexander Graf unterstützt als unabhängiger Berater Unternehmen dabei, ihre IT-Kontrolllandschaft zu verstehen, zu prüfen und gezielt zu verbessern.
Mit über 13 Jahren Erfahrung in der Prüfung und Implementierung interner Kontrollsysteme (IKS) – zunächst als Manager bei PricewaterhouseCoopers AG in Zürich, heute als freiberuflicher Consultant – verbindet er tiefes technisches Verständnis mit praxisnaher Umsetzungskompetenz.
Alexander Graf Consulting bietet spezialisierte IT-Audit- und Beratungsleistungen im DACH-Raum. Schwerpunkte sind IT General Controls, SOX-Compliance, ISAE 3402 Assurance, IT-Risikomanagement sowie regulatorische Compliance (BAIT, MaRisk, DORA). Alexander Graf ist Inhaber der Certified Information Systems Auditor (CISA)-Zertifizierung, vergeben von ISACA – dem weltweit führenden Berufsverband für IT-Audit und IT-Governance.
Was ich für Sie leiste.
Von der Prüfung bestehender Kontrolllandschaften bis zur vollständigen Implementierung neuer IKS-Strukturen – maßgeschneiderte Lösungen für regulatorische und operative Herausforderungen.
IT Audit & Interne Kontrollsysteme
- Planung und Durchführung von IT-Audits (ITGC)
- Design und Implementierung von IKS
- Prüfung Design & Operating Effectiveness
- Key Controls Testing (SOX, ISAE 3402)
- Schwachstellenidentifikation & Reporting
Risk & Compliance
- Regulatorische Compliance (BAIT, MaRisk)
- Business Continuity Management (BCM)
- Outsourcing & Third-Party Assurance
- Operational Risk Management
- Richtlinien & Verfahrensanweisungen
IT-Transformation & Projektassurance
- Projektbegleitende Prüfungen (SDLC)
- Go-Live Readiness Assessments
- IT Due Diligence (M&A)
- PMO & Quality Assurance
- Prozessmodellierung (Aris Connect)
Flexible Zusammenarbeit auf Retainer-Basis
Sie suchen einen verlässlichen Sparringspartner, ohne sich langfristig zu verpflichten? Ich stehe Ihnen monatlich auf Retainer-Basis zur Verfügung – flexibel skalierbar, ohne langfristigen Vertrag.
Ausgewählte Projekterfahrungen.
Aus freiberuflicher Tätigkeit und bei PricewaterhouseCoopers AG, Zürich.
Prüfung interner Schlüsselkontrollen im Enterprise Risk Management. Testskripts, Schwachstellenidentifikation, Management Reporting und Prozessmodellierung in Aris Connect.
Gap-Analyse für einen neu eingeführten IT-Security-Standard für 15+ Entitäten in USA, Indien und China. Direkte Berichterstattung an den CISO.
Aufbau eines internen Kontrollsystems für den Betrieb und dessen IT- und Geschäftsprozesse im Werkzeugbau. Prüfung der Kontrollen, Berichterstattung an das Management.
Projektleitung (PwC) für ein gruppenweites IKS-Harmonisierungsprojekt. Aufbau neues IKS inkl. Risiken, Kontrollziele, Schlüsselkontrollen. Rollout in ausländische Tochtergesellschaften.
Aufbau IKS nach ISAE 3402 in den Bereichen IT-Betrieb und Geschäftsprozessen. Readiness Assessment und jährliche Operating-Effectiveness-Prüfung.
PMO und Quality Assurance für ein gruppenweites IT-Projekt (unit-linked products). Testmanagement-Konzept, Jour-Fixe Koordination, Dokumentenpflege in Confluence.
Projektbegleitende Prüfung (Manager-Rolle) über alle SDLC-Phasen: Requirements, Testing, Security, Go-Live. Jährlicher ITGC-Audit und Prüfung Geldwäschegesetz-Vorgaben.
Aufbau IKS nach ISAE 3402 für IT-Betrieb und Geschäftsprozesse. Jährliche Operating-Effectiveness-Prüfung und IT-Audit in Zugriffsmanagement und Change Management.
Lassen Sie uns sprechen.
Fragen zu meinen Leistungen, Retainer-Konditionen oder einem konkreten Projekt? Ich freue mich auf Ihre Nachricht oder einen direkten 30-minütigen Kennenlern-Call.
Buchen Sie direkt einen kostenlosen 30-minütigen Kennenlern-Call.
Jetzt Call buchen (Calendly)Nachricht senden
Häufig gestellte Fragen.
Was ist ein IT-Audit und warum braucht mein Unternehmen einen?
Ein IT-Audit ist eine systematische Prüfung der IT-Systeme, -Prozesse und -Kontrollen eines Unternehmens. Ziel ist es, Schwachstellen zu identifizieren, die Einhaltung regulatorischer Anforderungen sicherzustellen und die Wirksamkeit interner Kontrollen zu bewerten. Unternehmen benötigen IT-Audits, um Risiken wie Datenverlust, Cyberangriffe oder Compliance-Verstöße frühzeitig zu erkennen und zu minimieren.
Was ist ein internes Kontrollsystem (IKS) und wie wird es implementiert?
Ein internes Kontrollsystem (IKS) ist ein Rahmenwerk aus Richtlinien, Verfahren und Kontrollen, das die Zuverlässigkeit der Finanzberichterstattung, die Einhaltung von Gesetzen und die Effizienz betrieblicher Abläufe sicherstellt. Die Implementierung umfasst die Risikoanalyse, die Definition von Kontrollzielen, das Design von Schlüsselkontrollen und deren regelmäßige Überprüfung auf Design- und Operating-Effectiveness.
Was bedeutet SOX-Compliance und welche Unternehmen sind betroffen?
SOX-Compliance bezieht sich auf die Einhaltung des Sarbanes-Oxley Act, der strenge Anforderungen an die interne Kontrolle über die Finanzberichterstattung stellt. Betroffen sind alle an US-Börsen notierten Unternehmen sowie deren Tochtergesellschaften weltweit – einschließlich zahlreicher Unternehmen im DACH-Raum. Alexander Graf unterstützt bei der Prüfung und Implementierung von SOX IT Controls.
Was ist ISAE 3402 und wann wird eine ISAE-3402-Prüfung benötigt?
ISAE 3402 ist ein internationaler Prüfungsstandard für Dienstleistungsunternehmen, der die Wirksamkeit interner Kontrollen gegenüber Kunden nachweist. Eine ISAE-3402-Prüfung wird typischerweise von IT-Dienstleistern, Rechenzentren, Cloud-Anbietern oder Outsourcing-Providern benötigt, deren Kunden sich auf die Kontrollen des Dienstleisters verlassen müssen.
Welche Vorteile bietet ein freiberuflicher IT-Auditor gegenüber einer großen Beratung?
Ein freiberuflicher IT-Auditor bietet dieselbe fachliche Tiefe wie große Beratungshäuser – oft mit Big-4-Erfahrung – aber zu deutlich günstigeren Tagessätzen und mit höherer Flexibilität. Sie erhalten direkten Zugang zum Senior-Experten ohne Junior-Staffing, schnellere Reaktionszeiten und eine partnerschaftliche Zusammenarbeit auf Augenhöhe.
Was sind IT General Controls (ITGC) und warum sind sie wichtig?
IT General Controls (ITGC) sind grundlegende Kontrollen, die die Integrität und Zuverlässigkeit der IT-Umgebung eines Unternehmens sicherstellen. Sie umfassen typischerweise die Bereiche Zugriffsmanagement (Identity & Access Management), Änderungsmanagement (Change Management), IT-Betrieb und Programmentwicklung. Wirksame ITGCs bilden die Basis für die Verlässlichkeit aller anwendungsspezifischen Kontrollen.
Was ist DORA und welche Auswirkungen hat die Verordnung auf Finanzunternehmen?
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die seit Januar 2025 verbindliche Anforderungen an die digitale operationelle Resilienz von Finanzunternehmen stellt. Sie umfasst IT-Risikomanagement, Incident Reporting, Resilience Testing und das Management von ICT-Drittanbietern. Unternehmen im Finanzsektor müssen ihre IT-Kontrollen und -Prozesse entsprechend anpassen.
Wie läuft eine Zusammenarbeit mit Alexander Graf Consulting ab?
Die Zusammenarbeit beginnt mit einem kostenlosen 30-minütigen Kennenlerngespräch, in dem Ihre Anforderungen und der Projektumfang besprochen werden. Anschließend erhalten Sie ein maßgeschneidertes Angebot. Die Zusammenarbeit ist flexibel gestaltbar – projektbasiert oder auf Retainer-Basis, vor Ort in München oder remote im gesamten DACH-Raum.