- ERP AUDIT & COMPLIANCE – Teil 3 –
- 1. GoB, GoBD und IDW RS FAIT 1: drei Perspektiven auf dieselbe Fragestellung
- 2. Wie werden aus Ordnungsmäßigkeitszielen Anforderungen an ERP und IT?
- 3. Ordnungsmäßigkeit endet nicht an der Oberfläche von Business Central
- 4. Klare Anforderungen machen Audits planbarer
- Unser Fazit
ERP AUDIT & COMPLIANCE – Teil 3 –
Dieser Beitrag ist Teil unserer Serie rund um das Thema „ERP Audit & Compliance“. In den einzelnen Artikeln beleuchten wir, was einen prüfungsfesten Betrieb von Business Central im Mittelstand aus unserer Sicht ausmacht – fachlich, technisch und organisatorisch.
Lesen Sie auch die anderen Beiträge zu dieser Serie:
Teil 1 Compliance als Investition: Warum sich ein prüfungsfester Business-Central-Betrieb rechnet
Teil 2 Was bedeutet Compliance im ERP-Umfeld eigentlich?
GoB, GoBD & IDW RS FAIT 1: Was heißt das für ERP-Systeme konkret?
Im ersten Beitrag der Serie haben wir erläutert, warum sich ein strukturierter, prüfungsfester ERP-Betrieb als Investition verstehen lässt. Der zweite Beitrag hat den Begriff der ERP-Compliance eingeordnet und den Blick auf die rechnungslegungs- und prüfungsrelevanten Prozesse rund um Business Central gerichtet.
Die Grundsätze ordnungsmäßiger Buchführung (GoB) und die GoBD sind insbesondere den Finance-Verantwortlichen in Unternehmen geläufig. Im Rahmen von Jahresabschluss- und IT-Prüfungen richtet sich der Blick allerdings regelmäßig auch auf Themen, die zunächst eher in der IT verortet werden: Berechtigungen, Protokollierung, Änderungen an Anwendungen und Konfigurationen, Schnittstellen sowie der verlässliche Betrieb des ERP-Systems.
Für IT-Verantwortliche ist dabei nicht immer ohne Weiteres erkennbar, wie diese Anforderungen mit den bekannten Rechnungslegungsgrundsätzen zusammenhängen. Warum fragt der Wirtschaftsprüfer beispielsweise nach privilegierten Benutzerkonten, Change Prozessen, Patch Management oder dem Monitoring von Services, wenn es im Ausgangspunkt um die Ordnungsmäßigkeit der Buchführung geht?
Die Antwort liegt in der Abhängigkeit der Rechnungslegung von den eingesetzten IT-Systemen. Sobald Geschäftsvorfälle in Business Central erfasst, verarbeitet und für die Finanzberichterstattung aufbereitet werden, hängt die Verlässlichkeit der Rechnungslegung nicht mehr ausschließlich von fachlich richtigen Buchungsregeln ab. Sie hängt auch davon ab, ob das ERP-System kontrolliert eingerichtet, verändert und betrieben wird.
IDW RS FAIT 1 greift diese Verbindung auf und ordnet ein, was die Grundsätze ordnungsmäßiger Buchführung beim Einsatz von Informationstechnologie bedeuten. Die Anforderungen, die Wirtschaftsprüfer an Berechtigungen, Änderungen, Schnittstellen oder den Systembetrieb stellen, entstehen damit nicht losgelöst von GoB und GoBD. Sie dienen vielmehr dazu, deren grundlegende Ziele auch in einer IT-gestützten Rechnungslegung sicherzustellen.
Für die weitere Betrachtung wählen wir bewusst eine vereinfachte und schematische Darstellung. Unser Ziel ist es nicht, GoB, GoBD und IDW RS FAIT 1 rechtlich oder prüferisch vollständig zu würdigen. Vielmehr möchten wir Ihnen die grundlegenden Zusammenhänge sichtbar machen und daraus verständliche Anforderungen an ERP-Systeme und deren Betrieb ableiten. Diese Einordnung kann eine belastbare Bewertung des konkreten Einzelfalls nicht ersetzen.
Sie wünschen sich eine strukturierte Einordnung Ihrer aktuellen Situation? In einem kurzen Austausch stehen wir Ihnen gerne zur Verfügung und ordnen gemeinsam die konkreten Anforderungen an Ihr Business-Central-System ein.
Schreiben Sie uns oder rufen Sie direkt an.
1. GoB, GoBD und IDW RS FAIT 1: drei Perspektiven auf dieselbe Fragestellung
Die GoB bilden den übergeordneten Rahmen für eine ordnungsmäßige Rechnungslegung. Zu den zentralen Anforderungen gehören unter anderem die vollständige, richtige, zeitgerechte und geordnete Erfassung von Geschäftsvorfällen. Außerdem darf eine Aufzeichnung nicht so verändert werden, dass ihr ursprünglicher Inhalt nicht mehr feststellbar ist. Für elektronisch geführte Aufzeichnungen muss darüber hinaus sichergestellt sein, dass die Daten während der Aufbewahrungsfrist verfügbar und innerhalb angemessener Zeit lesbar sind.
Die GoBD konkretisieren diese Grundsätze für elektronische Bücher, Aufzeichnungen und Unterlagen sowie für den Datenzugriff der Finanzverwaltung. Sie betrachten dabei nicht allein die eigentliche Finanzbuchhaltung. Relevant ist vielmehr das gesamte Verfahren, in dem steuerlich oder rechnungslegungsrelevante Informationen entstehen, verarbeitet, übertragen, gespeichert und aufbewahrt werden. Die GoBD wurden zuletzt mit BMF-Schreiben vom 14. Juli 2025 angepasst.
IDW RS FAIT 1 trägt den Titel „Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie“. Die Stellungnahme beschreibt aus Sicht des Berufsstands der Wirtschaftsprüfer, welche Bedeutung die GoB für IT-gestützte Rechnungslegungssysteme haben. Sie schafft damit keine von der Rechnungslegung losgelöste Sammlung technischer Anforderungen. Vielmehr wird betrachtet, unter welchen organisatorischen und technischen Bedingungen ein IT-gestütztes Rechnungslegungsverfahren die Ordnungsmäßigkeitsanforderungen erfüllen kann.
GoB, GoBD und IDW RS FAIT 1 bilden dabei keine starre rechtliche Hierarchie. Für die praktische Einordnung lässt sich ihr Zusammenhang dennoch bewusst verkürzt beschreiben:
Die GoB definieren die grundlegenden Ordnungsmäßigkeitsziele. Die GoBD konkretisieren diese Ziele für elektronische Aufzeichnungen und Verfahren. IDW RS FAIT 1 beschreibt, welche organisatorischen und technischen Voraussetzungen bei einer IT-gestützten Rechnungslegung berücksichtigt werden müssen.
2. Wie werden aus Ordnungsmäßigkeitszielen Anforderungen an ERP und IT?
Die Anforderungen lassen sich nicht immer im Sinne einer eindeutigen Eins-zu-eins-Beziehung einer einzelnen technischen Maßnahme zuordnen. Ein Berechtigungskonzept, eine Protokollierung oder eine Schnittstellenkontrolle kann gleichzeitig mehrere Ziele der ordnungsmäßigen Buchführung unterstützen.
Für die praktische Orientierung ist eine schematische Zuordnung dennoch hilfreich:
| Ordnungsmäßigkeitsziel | Typische Fragestellung des Wirtschaftsprüfers | Konsequenzen für ERP-System und IT-Betrieb |
|---|---|---|
| Nachvollziehbarkeit und Nachprüfbarkeit | Kann ein sachverständiger Dritter nachvollziehen, wie ein Geschäftsvorfall entstanden, verarbeitet und verbucht wurde? | Zwischen Beleg, Geschäftsvorfall und Buchung muss eine durchgängige Verbindung bestehen. Buchungsherkunft, Verarbeitungsschritte und Korrekturen müssen erkennbar bleiben. Schnittstellen, automatisierte Verarbeitungen und wesentliche Abläufe sind nachvollziehbar zu dokumentieren. |
| Vollständigkeit und Richtigkeit | Wie wird sichergestellt, dass alle relevanten Vorgänge vollständig, einmalig und mit den richtigen Werten verarbeitet werden? | Erforderlich sind fachliche Validierungen, kontrollierte Buchungsregeln und Abstimmungen. Bei Schnittstellen und Hintergrundverarbeitungen müssen fehlende, doppelte oder fehlerhafte Verarbeitungen erkannt und behandelt werden können. |
| Zeitgerechte Erfassung und Ordnung | Wie wird verhindert, dass Geschäftsvorfälle verspätet, in einer unzutreffenden Periode oder ohne nachvollziehbare Zuordnung verbucht werden? | Buchungsperioden, Buchungsdaten und Abschlussprozesse müssen kontrolliert werden. Belegnummern, Konten, Dimensionen und weitere Ordnungskriterien unterstützen die eindeutige Zuordnung und spätere Auffindbarkeit. |
| Schutz vor unzulässigen Veränderungen | Können Buchungen, Stammdaten oder rechnungslegungsrelevante Einstellungen nachträglich unbemerkt verändert werden? | Gebuchte Vorgänge dürfen nicht einfach überschrieben werden. Korrekturen müssen nachvollziehbar erfolgen. Änderungen an relevanten Stammdaten, Systemeinstellungen und Steuerungsparametern sind zu beschränken und, soweit erforderlich, zu protokollieren. Direkte Datenbankzugriffe sind gesondert zu berücksichtigen. |
| Sicherheit und Verlässlichkeit des Verfahrens | Wie wird das System gegen unberechtigte Eingaben, Datenverlust oder Betriebsstörungen geschützt? | Erforderlich sind angemessene Zugangs- und Zugriffsberechtigungen, Kontrollen privilegierter Zugriffe, Datensicherung, Wiederherstellungsverfahren, Monitoring sowie geregelte Betriebs- und Änderungsprozesse |
| Dokumentation des Verfahrens | Ist verständlich beschrieben, wie das rechnungslegungsrelevante Verfahren tatsächlich funktioniert und kontrolliert wird? | Die Dokumentation muss das Zusammenspiel von Prozessen, ERP-System, Schnittstellen, Berechtigungen, Kontrollen und Betrieb erläutern und bei relevanten Änderungen fortgeschrieben werden. Eine reine Produktdokumentation des Herstellers reicht regelmäßig nicht aus. |
Die Zuordnung folgt den in den GoBD genannten Anforderungen an Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, Zeitgerechtigkeit, Ordnung und Unveränderbarkeit. Die GoBD beziehen außerdem das interne Kontrollsystem, die Datensicherheit, die Protokollierung von Änderungen und die Verfahrensdokumentation in die Betrachtung ein.
An dieser Zuordnung wird eine wichtige Unterscheidung erkennbar: Berechtigungen, Protokollierung, Monitoring oder Datensicherung sind keine eigenständigen Ziele der Buchführung. Sie sind technische und organisatorische Maßnahmen, mit denen die übergeordneten Ordnungsmäßigkeitsziele abgesichert werden.
Ein Berechtigungskonzept soll beispielsweise verhindern, dass nicht autorisierte Personen Buchungen oder rechnungslegungsrelevante Einstellungen verändern. Eine Protokollierung unterstützt die Nachvollziehbarkeit und den Schutz vor nicht erkennbaren Veränderungen. Schnittstellenkontrollen dienen insbesondere der vollständigen und richtigen Verarbeitung. Backup- und Wiederherstellungsverfahren sollen sicherstellen, dass die für die Rechnungslegung erforderlichen Informationen verfügbar bleiben.
Im Ergebnis lassen sich damit auch typische Prüfungsfragen an die IT auf die grundlegenden Anforderungen aus GoB und GoBD zurückführen. IDW RS FAIT 1 schafft die Verbindung zur IT-gestützten Rechnungslegung: Betrachtet wird nicht nur, ob Business Central grundsätzlich richtig buchen kann, sondern auch, ob es innerhalb eines kontrollierten und verlässlichen Verfahrens eingesetzt wird.
3. Ordnungsmäßigkeit endet nicht an der Oberfläche von Business Central
Business Central stellt einen zentralen Bestandteil des rechnungslegungsrelevanten Verfahrens dar. Aus unserer Sicht ist es jedoch nicht zweckmäßig, ERP-Compliance allein auf Berechtigungssätze, Freigabe-Workflows oder die Aktivierung eines Änderungsprotokolls zu reduzieren. Business Central stellt entsprechende Funktionen zur Zugriffssteuerung und zur Nachverfolgung ausgewählter Änderungen bereit; ihre Wirksamkeit hängt jedoch von der konkreten Einrichtung und Einbettung in das Kontrollsystem ab.
Insbesondere bei On-Premises-Installationen ist Business Central Bestandteil einer umfassenderen technischen Systemlandschaft. Hierzu gehören beispielsweise die Identitätsverwaltung, Business-Central-Services, die zugrunde liegenden Hosts, der SQL Server sowie die Prozesse, mit denen diese Komponenten verändert, überwacht und gesichert werden. Drei Kontrollfelder verdeutlichen diesen Zusammenhang.
Privilegierte Zugriffe über alle Systemebenen
Ein differenziertes Rollen- und Berechtigungskonzept innerhalb von Business Central ist eine wichtige Grundlage. Es greift allerdings zu kurz, wenn gleichzeitig weitreichende Zugriffe auf die zugrunde liegende Infrastruktur bestehen.
Neben privilegierten Berechtigungen innerhalb von Business Central sind daher administrative Zugriffe auf Hosts, Business-Central-Services und SQL Server sowie die Berechtigungen technischer Benutzer zu berücksichtigen. Können rechnungslegungsrelevante Daten oder Systemeinstellungen auf einer dieser Ebenen verändert werden, muss auch diese Ebene Bestandteil des Berechtigungs- und Kontrollkonzepts sein.
Die maßgebliche Frage lautet somit nicht ausschließlich: „Wer besitzt in Business Central welche Berechtigung?“, sondern umfassender: „Wer kann auf welcher technischen Ebene auf das ERP-Verfahren einwirken?“
Kontrollierte Änderungen und Patch Management
Auch Änderungen beschränken sich nicht auf fachliche Einrichtungen oder individuelle Extensions. Änderungen an der technischen Plattform können die Verlässlichkeit, Sicherheit und Verfügbarkeit des ERP-Systems ebenfalls beeinflussen.
Ein kontrolliertes Change Management sollte daher beispielsweise Deployments, Konfigurationsänderungen sowie Updates und sicherheitsrelevante Patches der eingesetzten Systemkomponenten berücksichtigen. Dabei ist nachvollziehbar zu regeln, wie Änderungen bewertet, getestet, freigegeben und in die Produktivumgebung übernommen werden.
Die Protokollierung ausgewählter Änderungen innerhalb von Business Central bleibt wichtig. Sie ist allerdings nur ein Baustein innerhalb eines umfassenderen Verfahrens, mit dem Veränderungen an Anwendung, Konfiguration und technischer Plattform kontrolliert werden.
Monitoring und Wiederherstellbarkeit
Ein ERP-System kann technisch erreichbar sein, obwohl ein rechnungslegungsrelevanter Prozess nicht mehr ordnungsgemäß ausgeführt wird. Beispielsweise können Hintergrundverarbeitungen, Job Queues oder Schnittstellen fehlschlagen, ohne dass ein reines Host-Monitoring diesen Zustand unmittelbar erkennt. Business Central stellt für Job Queues Status-, Fehler- und Protokollinformationen sowie weitere Möglichkeiten zur Überwachung bereit.
Aus diesem Grund sollte Monitoring auf mehreren Ebenen erfolgen: Sind Hosts und zentrale Infrastrukturkomponenten erreichbar? Laufen die erforderlichen Services? Werden Hintergrundverarbeitungen und Schnittstellen erfolgreich ausgeführt? Entstehen die fachlich erwarteten Verarbeitungsergebnisse?
Hinzu kommen Datensicherung und Wiederherstellung. Ein erfolgreich protokolliertes Backup weist zunächst lediglich nach, dass ein Sicherungsvorgang ausgeführt wurde. Ob die Daten tatsächlich vollständig und innerhalb eines angemessenen Zeitraums wiederhergestellt werden können, lässt sich demgegenüber erst durch dokumentierte Restore-Tests belastbar beurteilen.
Diese Beispiele zeigen: Ordnungsmäßigkeit entsteht erst aus dem Zusammenspiel von Anwendung, technischer Plattform, Betriebsprozessen und nachweisbaren Kontrollen.
4. Klare Anforderungen machen Audits planbarer
Wenn die beschriebenen Zusammenhänge erst im Rahmen einer Prüfung hergestellt werden, entsteht regelmäßig ein erheblicher Abstimmungs- und Nachweisaufwand. IT, Finance, ERP-Verantwortliche und externe Dienstleister müssen dann kurzfristig klären, welche Systeme und Prozesse rechnungslegungsrelevant sind, welche Kontrollen bestehen und wie deren Wirksamkeit nachgewiesen werden kann.
Demgegenüber lassen sich Prüfungen strukturierter vorbereiten, wenn die Anforderungen aus GoB und GoBD bereits in konkrete technische und organisatorische Maßnahmen übersetzt wurden. Dazu gehören klar abgegrenzte Verantwortlichkeiten, dokumentierte Berechtigungs- und Change-Prozesse, ein angemessenes Monitoring sowie nachvollziehbare Nachweise über durchgeführte Kontrollen.
Je klarer diese Anforderungen umgesetzt und dokumentiert sind, desto weniger müssen Zusammenhänge während des Audits nachträglich rekonstruiert werden. Dies reduziert zwar nicht notwendigerweise den Umfang jeder Prüfung, verbessert aus unserer Sicht aber deren Planbarkeit und begrenzt den internen Aufwand für kurzfristige Rückfragen und Nacharbeiten.
Damit schließt sich der Kreis zu unserer bereits dargestellten Investitionslogik: Ein kontrollierter und nachvollziehbar dokumentierter ERP-Betrieb verursacht laufenden Aufwand. Er verhindert jedoch, dass erforderliche Strukturen und Nachweise erst unter dem zeitlichen Druck einer Prüfung geschaffen werden müssen.
Unser Fazit
GoB, GoBD und IDW RS FAIT 1 betrachten die Ordnungsmäßigkeit der Rechnungslegung aus unterschiedlichen Perspektiven. Für IT-Verantwortliche ist dabei insbesondere der Zusammenhang entscheidend: Die Anforderungen von Wirtschaftsprüfern an Berechtigungen, Systemänderungen, Monitoring oder Datensicherung stehen nicht losgelöst neben den fachlichen Anforderungen der Rechnungslegung. Sie sollen vielmehr sicherstellen, dass die grundlegenden Ordnungsmäßigkeitsziele auch in einer IT-gestützten System- und Prozesslandschaft erreicht werden.
Business Central kann hierfür wichtige Funktionen und technische Grundlagen bereitstellen. Die Ordnungsmäßigkeit des gesamten Verfahrens lässt sich allerdings weder durch eine einzelne Systemeinstellung noch durch die pauschale Bewertung eines Softwareprodukts sicherstellen. Maßgeblich ist das Zusammenspiel aus fachlicher Konfiguration, kontrollierten Berechtigungen, nachvollziehbaren Änderungen, einer verlässlich betriebenen technischen Plattform und dokumentierten organisatorischen Kontrollen.
Aus Sicht der IT bedeutet dies, den Betrachtungsrahmen bewusst über die Oberfläche der ERP-Anwendung hinaus zu erweitern. Wer auf Hosts, Datenbanken, Services oder technische Benutzer zugreifen kann, wie sicherheitsrelevante Patches eingespielt werden und ob fehlerhafte Hintergrundverarbeitungen rechtzeitig erkannt werden, kann für die Verlässlichkeit der Rechnungslegung ebenso relevant sein wie ein Berechtigungssatz innerhalb von Business Central.
Je klarer Ihr Unternehmen diese Zusammenhänge verstanden, Verantwortlichkeiten festgelegt und geeignete Nachweise im laufenden Betrieb verankert hat, desto weniger müssen die erforderlichen Strukturen erst im Rahmen einer Prüfung rekonstruiert werden. Ein prüfungsfester ERP-Betrieb entsteht damit nicht durch punktuelle Maßnahmen vor dem Audit, sondern durch ein dauerhaft kontrolliertes und nachvollziehbar dokumentiertes Verfahren.
Im nächsten Teil unserer Blogserie werfen wir einen Blick auf die drei Stufen der ERP-Compliance:
von Unternehmen ohne ERP-System über den Einsatz von Microsoft Dynamics 365 Business Central bis hin zu ausgelagerten Prozessen wie Hosting oder externem Betrieb. Dabei zeigen wir, welche typischen Risiken und Prüfungsanforderungen sich in den einzelnen Stufen ergeben und wie sich diese auf den Aufwand und den Nutzen einer Compliance-Strategie auswirken.
Sie haben Fragen zu Ihrer aktuellen Situation? Dann sprechen Sie uns gerne an – wir ordnen Ihr Setup gemeinsam mit Ihnen ein und erarbeiten einen pragmatischen Einstieg.
Bleiben Sie informiert und abonnieren Sie unseren PROTAKT Blog!
Über den Autor
DR. SVEN ODERMATT · EXECUTIVE BOARD
Vorstandsmitglied und Team Lead Technicals – mein Spielfeld: Development, DevOps und IT-Ops.
Ich kümmere mich seit 2002 um die Implementierung und den Betrieb von organisationsweiten Anwendungssystemen. Im NAV/Business-Central-Umfeld bin ich seit 2017 zuhause – mit Fokus auf einem zuverlässigen ERP-Betrieb und agilen Entwicklungsprozessen, die im Alltag wirklich funktionieren.
Platz für Deine Kommentare