Krypto Prüfung
Die Prüfung von Krypto-Beständen erfordert Verfahren, die über eine übliche Bankbestätigung hinausgehen. Bei einem Bankguthaben schreibt der Prüfer die Bank an und erhält eine Bestätigung von einem unabhängigen Dritten. Bei einer selbst verwahrten Münze gibt es niemanden zum Anschreiben: Die Blockchain zeigt, dass eine Adresse einen Bestand hält, und sagt nichts darüber, wer ihn kontrolliert.
Die Prüfung muss also die Kontrolle über einen privaten Schlüssel nachweisen, und der Berufsstand entwickelte dafür entsprechende Verfahren. Wer sich als Halter auf die erste Prüfung vorbereitet, erledigt die wichtige Arbeit vor der Ankunft des Prüfers, in den Aufzeichnungen darüber, welche Wallets es gibt und wer mit ihnen signieren kann.
Existenz: die Kontrolle über einen Schlüssel prüfen
Der Prüfer beginnt mit der Kette. Zu einer öffentlichen Adresse zeigt ein Block-Explorer den Bestand am Stichtag, und das ist ein Nachweis, dass der Wert existiert. Der Bestandsnachweis ist kein Nachweis, dass der Mandant ihn besitzt.
Das Eigentum wird geprüft, indem der Mandant etwas tun soll, das nur der Schlüsselinhaber kann. Üblich sind eine mit dem Schlüssel signierte kryptografische Nachricht, die der Prüfer gegen die öffentliche Adresse verifiziert, oder eine kleine Überweisung an eine vom Prüfer genannte Adresse, beobachtet auf der Kette. Die ISACA stellt diese Verfahren nach Prüfungsaussage dar, darunter die signierte Nachricht als Nachweis für die Aussage zu den Rechten. Beide Tests haben eine Grenze, die man kennen sollte: Sie beweisen, dass jemand mit Zugang in diesem Moment signiert hat, und nicht, dass der Mandant der Einzige mit Zugang ist, weshalb der Prüfer zusätzlich untersucht, wer Schlüsselmaterial hält und wie eine Übertragung genehmigt wird.
Vollständigkeit: die Wallets finden, die niemand nannte
Der Nachweis der Vollständigkeit ist schwieriger, weil nicht offengelegte Wallets in den Unterlagen des Mandanten fehlen können. Bei einer Bank kann der Prüfer das Institut nach allen Konten auf den Namen des Mandanten fragen. Auf einer öffentlichen Kette gibt es kein solches Verzeichnis: Eine Adresse ist eine Zahl, und eine nicht offengelegte Wallet des Mandanten sieht genau aus wie die eines Fremden.
Die Verfahren arbeiten deshalb von der Seite des Mandanten nach innen. Der Prüfer erhebt die Liste jeder Börsen-, Verwahr- und Protokollbeziehung der Periode, bestätigt jede einzelne und verfolgt die Adressen aus diesen Beziehungen. Eine Transaktionsanalyse prüft dann, ob die offengelegte Menge plausibel ist: Geld, das eine bekannte Wallet an eine in den Unterlagen nie auftauchende Adresse verlässt, ist das Signal. CBIZ nennt dieselbe Anforderung, einschließlich Wallets, die am Periodenende null zeigen und im Jahr aktiv waren, die ein nur auf Bestände gerichteter Ansatz vollständig übersieht.
Verlass auf einen Verwahrer
Nutzt der Mandant einen beaufsichtigten Verwahrer, sieht die Prüfung vertrauter aus, und die Bestätigung ist nur der Anfang. Der Verwahrer bestätigt den Bestand, was Existenz und Rechte beantwortet, und der Prüfer muss dann entscheiden, ob er sich auf die Kontrollen des Verwahrers verlassen kann.
Diese Entscheidung läuft über einen Bericht über die Dienstleistungsorganisation, einen SOC 1 oder einen gleichwertigen Prüfungsbericht über das Kontrollumfeld des Verwahrers, der Schlüsselerzeugung, Trennung der Kundenwerte und Genehmigung von Übertragungen abdeckt. Der Prüfer liest den Bericht, prüft, ob dessen Zeitraum das Jahr des Mandanten abdeckt und ob die geprüften Kontrollen die sind, auf die der Mandant angewiesen ist, und bestimmt die Kontrollen, die der Bericht beim Mandanten selbst erwartet. Eine Verwahrvereinbarung ändert auch die Bilanzfrage, denn eine Forderung gegen einen Verwahrer ist ein anderer Wert als eine vom Mandanten kontrollierte Münze, und Krypto-Verwahrung stellt die Gestaltungen dar.
Bewertungsnachweise und die Kursrichtlinie
Der Prüfer bepreist die Position nicht, er prüft die Richtlinie, die sie bepreist hat. Das heißt: die schriftliche Bewertungsrichtlinie, die Quelle und den Zeitpunkt, die sie nennt, die gespeicherten Nachweise der tatsächlich verwendeten Kurse und das Ausnahmeprotokoll, in dem die Richtlinie auf eine Ersatzquelle gefallen ist.
Bei einer mit Ermessen bewerteten Position geht die Prüfung weiter in das Modell und seine Parameter. Krypto-Bewertung stellt die Richtlinie aus Sicht des Erstellers dar und Krypto-Bilanzierung die Bewertungsgrundlage, der die Richtlinie dienen muss.
Welche Regeln gelten
Einen eigenen Prüfungsstandard für Krypto gibt es nicht. Die Prüfung läuft nach den normalen Standards, wobei die kryptospezifische Arbeit unter ISA 500 zu Prüfungsnachweisen und ISA 540 zu Schätzungen fällt, wo eine ermessensbasierte Bewertung geprüft wird. Für eine deutsche Abschlussprüfung veröffentlicht das IDW die Hinweise, denen der Berufsstand folgt, und die Prüfung selbst steht im Rahmen, den die Abschlussprüfung in Deutschland beschreibt.
Praktisch heißt das: Keine Regel bestätigt automatisch, dass ein bestimmtes Verfahren ausreicht. Der Prüfer muss beurteilen, ob eine signierte Nachricht unter den Umständen ein ausreichender und angemessener Nachweis ist, dieses Urteil dokumentieren und es in einer Berufsaufsicht verteidigen.
Ein Smart-Contract-Audit ist keine Abschlussprüfung
Zwei verschiedene Dinge teilen das Wort Audit, und sie zu verwechseln hat Leute Geld gekostet. Ein Sicherheitsaudit eines Smart Contracts ist eine Codeprüfung: Spezialisten lesen einen Vertrag auf ausnutzbare Fehler und veröffentlichen einen Bericht über den Code. Der Auditbericht sagt nichts über irgendeinen Jahresabschluss und wird nicht von einem Abschlussprüfer erbracht.
Eine Abschlussprüfung gibt ein Urteil darüber ab, ob ein Abschluss frei von wesentlichen Fehldarstellungen ist. Die beiden treffen sich an einer Stelle: Liegen Werte eines Mandanten in einem Protokoll, kann der Abschlussprüfer die Codeprüfung beim Verständnis des Risikos berücksichtigen, und es bleibt sein eigenes Urteil. Eine Mitteilung, ein Protokoll sei auditiert, ist eine Aussage über Code, und sie als Sicherheit über Reserven oder Solvenz zu lesen ist der Fehler, den Proof of Reserves untersucht.
Was sollte ein Halter vor einer Krypto-Prüfung vorbereiten?
Halter sollten vor der Prüfung fünf Dinge vorbereiten, weil späteres Zusammenstellen die Kosten erhöht. Erstellen Sie eine vollständige Liste aller im Jahr verwendeten Wallets, Börsenkonten, Verwahrer und Protokolle, einschließlich geschlossener oder geleerter Bestände. Dokumentieren Sie, wer Schlüsselmaterial hält und wer eine Übertragung genehmigen darf. Legen Sie die vor der Periode datierte Bewertungsrichtlinie und die vollständige, mit der Buchhaltung abgestimmte Transaktionshistorie vor. Fügen Sie den Bericht über die Dienstleistungsorganisation des Verwahrers bei, wenn sich die Prüfung darauf stützt.
Ein Prüfer, der zu Existenz oder Vollständigkeit keinen ausreichenden Nachweis bekommt, muss das Urteil einschränken, und ein eingeschränktes Urteil über einen Krypto-Bestand ist ein Problem mit den Anlegern eines Fonds und seiner Aufsicht, lange bevor es ein Problem mit dem Abschluss ist.
Krypto-Prüfung und Finance Loop
Finance Loop ist der Treffpunkt für die Wirtschaftsprüfer in Frankfurt, die diese Urteile unterschreiben, und für die Finanzteams, die die Nachweise liefern müssen. Mitglieder von Finance Loop arbeiten auf beiden Seiten des Auftrags, in Prüfungsgesellschaften, die diese Verfahren aufbauen, und bei den Haltern und Verwahrern, die geprüft werden.
Finance Loop ist ein Experten-Netzwerk, das die institutionelle Nutzung neuer Technologien im Finanzwesen fördert, etwa KI, Tokenisierung, Stablecoins und DeFi. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & digitale Vermögenswerte, Zahlungsverkehr & digitales Geld, Digitale Infrastruktur & Souveränität und Risiko & Compliance.