ERP AUDIT & COMPLIANCE
Dieser Beitrag ist Teil unserer Serie rund um das Thema „ERP Audit & Compliance“. In den einzelnen Artikeln beleuchten wir, was einen prüfungsfesten Betrieb von Business Central im Mittelstand aus unserer Sicht ausmacht – fachlich, technisch und organisatorisch.
Lesen Sie auch die anderen Beiträge zu dieser Serie:
Teil 1 Compliance als Investition: Warum sich ein prüfungsfester Business-Central-Betrieb rechnet
Teil 2 Was bedeutet Compliance im ERP-Umfeld eigentlich?
Teil 3 GoB, GoBD & IDW RS FAIT 1: Was heißt das für ERP-Systeme konkret?
Teil 04 – Drei Stufen der ERP-Compliance: Wie IT und Outsourcing den Betrachtungsbereich erweitern
Im vergangenen Beitrag unserer Serie haben wir uns mit den GoB, den GoBD und IDW RS FAIT 1 beschäftigt und daraus abgeleitet, welche Anforderungen sich für eine IT-gestützte Rechnungslegung ergeben. Dabei wurde unter anderem deutlich, dass bei der Beurteilung der Ordnungsmäßigkeit nicht ausschließlich die fachliche Verarbeitung eines Geschäftsvorfalls betrachtet werden kann, sondern dass mit dem Einsatz von Informationstechnologie auch die eingesetzten IT-Systeme und deren Betrieb Teil der Betrachtung werden.
Vor diesem Hintergrund stellt sich eine aus unserer Sicht wichtige Frage: Beginnt ERP-Compliance eigentlich erst mit dem Einsatz von Informationstechnologie? Aus unserer Sicht ist diese Frage eindeutig zu verneinen, denn die grundlegenden Anforderungen an eine ordnungsmäßige Rechnungslegung bestehen zunächst unabhängig davon, ob ein Unternehmen seine Geschäftsvorfälle manuell oder mit Unterstützung von Informationstechnologie verarbeitet. Mit dem Einsatz von IT verändern sich diese grundlegenden Anforderungen nicht, vielmehr erweitert sich der Betrachtungsbereich um zusätzliche Anforderungen an die eingesetzten IT-Systeme und deren Betrieb. Werden anschließend rechnungslegungsrelevante Prozesse oder Funktionen an externe Dienstleister ausgelagert, erweitert sich dieser Betrachtungsbereich ein weiteres Mal – nun über die eigene Unternehmensgrenze hinaus.
Um diese Zusammenhänge für Sie zu systematisieren, verwenden wir im Folgenden ein Drei-Stufen-Modell der ERP-Compliance. Dabei sind die drei Stufen ausdrücklich nicht als Reifegradmodell zu verstehen: Ein Unternehmen auf Stufe 3 erfüllt nicht automatisch höhere Compliance-Anforderungen oder ist „compliancer“ als ein Unternehmen auf Stufe 2. Vielmehr bauen die Stufen aufeinander auf, indem die Anforderungen einer vorherigen Stufe grundsätzlich bestehen bleiben und jeweils um eine zusätzliche Betrachtungsebene ergänzt werden.
Eine begriffliche Einordnung erscheint uns dabei noch wichtig: Wir setzen ein ERP-System nicht mit ERP-Software oder Informationstechnologie gleich. Ein ERP-System umfasst aus unserer Sicht das gesamte System zur Planung, Steuerung und Integration betrieblicher Ressourcen und Prozesse und schließt damit neben technischen Komponenten insbesondere auch Prozesse, Rollen, organisatorische Regelungen und die Beziehungen zwischen den beteiligten Akteuren ein. Microsoft Dynamics 365 Business Central ist demgegenüber eine ERP-Software und damit ein technischer Bestandteil eines solchen ERP-Systems.
Stufe 1
Ordnungsmäßige Rechnungslegung ohne IT-Unterstützung
Beginnen wir bewusst mit einem heute eher theoretischen Referenzfall, in dem ein Unternehmen seine Rechnungslegung vollständig ohne Unterstützung durch Informationstechnologie abbildet: Geschäftsvorfälle werden beispielsweise auf Papier dokumentiert, Belege physisch abgelegt, Freigaben über Unterschriften nachgewiesen und die erforderlichen Aufzeichnungen manuell geführt. Ob ein solches Szenario für ein Unternehmen wie das Ihre heute noch realistisch ist, spielt für unsere Betrachtung zunächst keine entscheidende Rolle. Der Referenzfall macht vielmehr deutlich, dass die grundlegenden Anforderungen an eine ordnungsmäßige Rechnungslegung bereits bestehen, bevor Informationstechnologie eingesetzt wird.
Ein Unternehmen muss auch in einem rein manuellen Verfahren unter anderem sicherstellen, dass Geschäftsvorfälle vollständig und richtig erfasst werden, Belege den entsprechenden Vorgängen zugeordnet werden können und die Bearbeitung sowie gegebenenfalls vorgenommene Änderungen nachvollziehbar bleiben. Die dafür erforderlichen Kontrollen sind naturgemäß vor allem organisatorisch ausgestaltet und können beispielsweise definierte Zuständigkeiten und Funktionstrennungen, manuelle Freigaben, das Vier-Augen-Prinzip oder regelmäßige Abstimmungen zwischen Belegen und Aufzeichnungen umfassen.
Betrachten wir hierzu beispielhaft eine Eingangsrechnung, die in einem rein papierbasierten Prozess entgegengenommen und zunächst an die fachlich verantwortliche Person weitergeleitet wird. Diese bestätigt die sachliche Richtigkeit, anschließend erfolgt beispielsweise durch eine weitere Person die Freigabe zur Zahlung, wobei beide Bearbeitungsschritte durch entsprechende Unterschriften auf dem Beleg dokumentiert werden. Das eigentliche Kontrollziel besteht dabei allerdings nicht darin, zwei Unterschriften auf einem Papierdokument zu erzeugen, sondern sicherzustellen, dass die Rechnung vor ihrer weiteren Verarbeitung fachlich geprüft und durch eine hierzu berechtigte Person freigegeben wurde und dass dieser Prozess im Nachhinein nachvollzogen werden kann.
Genau an diesem Beispiel lässt sich die Grundlogik der ersten Stufe gut erkennen: Die Anforderungen an die Ordnungsmäßigkeit entstehen aus der Rechnungslegung und dem zugrunde liegenden Geschäftsprozess – nicht aus der eingesetzten Informationstechnologie. Damit bildet diese erste Stufe die Grundlage für die weiteren Betrachtungen.
Stufe 2
Die Rechnungslegung wird IT-gestützt
Im zweiten Schritt ergänzen wir die Rechnungslegung um Informationstechnologie, ohne dass dadurch die grundsätzlichen Anforderungen aus Stufe 1 entfallen würden. Geschäftsvorfälle müssen weiterhin vollständig und richtig erfasst, nachvollziehbar verarbeitet und entsprechend den festgelegten Verantwortlichkeiten freigegeben werden; verändert hat sich allerdings die Art und Weise, wie diese Anforderungen umgesetzt und kontrolliert werden.
Bleiben wir bei unserem Beispiel der Eingangsrechnung: Die Rechnung wird nun beispielsweise elektronisch empfangen, automatisiert in ein Dokumentenmanagementsystem übernommen und anschließend in Microsoft Dynamics 365 Business Central verarbeitet, während die fachliche Prüfung und Freigabe nicht mehr über Unterschriften auf einem Papierbeleg, sondern über einen elektronischen Workflow erfolgen. Das zugrunde liegende Kontrollziel hat sich damit zunächst nicht verändert, denn nach wie vor muss sichergestellt werden, dass die Rechnung fachlich geprüft und durch eine hierzu berechtigte Person freigegeben wird. Wesentlich verändert hat sich demgegenüber die konkrete Umsetzung der Kontrolle.
Ob der Kontrollmechanismus funktioniert, hängt nun nicht mehr ausschließlich von den organisatorischen Regelungen und den handelnden Personen ab, sondern zusätzlich davon, ob die eingesetzte Informationstechnologie die vorgesehenen Regeln tatsächlich unterstützt und nicht beispielsweise durch eine ungeeignete Konfiguration aushebelt. Ein elektronischer Freigabeprozess erfüllt seine Kontrollfunktion etwa nur dann, wenn die Berechtigungen innerhalb der eingesetzten ERP-Software entsprechend eingerichtet sind. Kann ein Benutzer einen Geschäftsvorfall selbst anlegen, freigeben und anschließend ohne hinreichende Nachvollziehbarkeit verändern, hilft auch ein grundsätzlich sinnvoll definierter Freigabeprozess nur eingeschränkt weiter.
Vor diesem Hintergrund erweitert sich der Compliance-Betrachtungsbereich um Anforderungen an die IT-gestützte Rechnungslegung. Genau an dieser Stelle setzt unter anderem IDW RS FAIT 1 an, mit dem die Grundsätze ordnungsmäßiger Buchführung für den Einsatz von Informationstechnologie konkretisiert werden.
Im vorherigen Artikel dieser Serie haben wir das Thema IDW RS FAIT 1 gemeinsam mit GoB und GoBD in den Zusammenhang eingeordnet. Falls Sie diesen Beitrag noch nicht kennen, empfehlen wir Ihnen zunächst einen Blick in „GoB, GoBD & IDW RS FAIT 1: Was heißt das für ERP-Systeme konkret?“.
Für eine Business-Central-Landschaft bedeutet dies, dass beispielsweise folgende Aspekte relevant werden können:
- die Einrichtung und regelmäßige Überprüfung von Berechtigungen,
- das Identitäts- und Zugriffsmanagement,
- Dokumentenmanagementsysteme und weitere Vor- bzw. Nebensysteme,
- Schnittstellen zwischen Business Central und anderen Anwendungen,
- Änderungen an der ERP-Software und deren Deployment,
- Datenbank und technische Infrastruktur,
- Datensicherung und Wiederherstellung sowie
- die Überwachung des laufenden Betriebs.
Welche dieser Komponenten in Ihrem Unternehmen tatsächlich rechnungslegungsrelevant sind, hängt von der jeweiligen System- und Prozesslandschaft ab, weshalb eine pauschale Betrachtung ausschließlich der ERP-Software aus unserer Sicht nicht zweckmäßig wäre. Gleichzeitig wird an dieser Stelle noch einmal deutlich, weshalb wir zwischen ERP-System und ERP-Software unterscheiden: Business Central kann ein wesentlicher technischer Bestandteil eines ERP-Systems sein, die Ordnungsmäßigkeit eines Geschäftsprozesses entsteht jedoch im Zusammenspiel aus fachlichem Prozess, organisatorischen Regelungen, handelnden Personen und den hierfür eingesetzten IT-Systemen.
Zusammenfassend lässt sich für die zweite Stufe damit festhalten, dass die Anforderungen aus Stufe 1 bestehen bleiben und durch die IT-Unterstützung um eine zusätzliche Anforderungsebene ergänzt werden: Auch die eingesetzte Informationstechnologie muss die ordnungsmäßige Verarbeitung unterstützen und entsprechend kontrolliert werden.
Stufe 3
Rechnungslegungsrelevante Prozesse und Funktionen werden ausgelagert
Bislang haben wir unterstellt, dass die für die Rechnungslegung relevanten Prozesse und IT-Systeme vollständig innerhalb des betrachteten Unternehmens organisiert und betrieben werden. In der Praxis sind diese Aufgaben jedoch häufig auf mehrere Dienstleister verteilt. Die Infrastruktur für Business Central wird gegebenenfalls durch einen externen Hosting- oder Cloud-Anbieter bereitgestellt, individuelle Erweiterungen der ERP-Software werden durch einen ERP-Dienstleister entwickelt oder Teile des Application Managements, des DevOps- bzw. IT-Operations-Betriebs sind ausgelagert. Darüber hinaus können externe Dienstleister auch unmittelbar fachliche Tätigkeiten innerhalb des ERP-Systems übernehmen.
Mit der Einbindung externer Dienstleister erreichen wir die dritte Stufe unseres Modells, wobei auch hier zunächst festzuhalten ist, dass die Anforderungen aus den vorherigen Stufen nicht entfallen. Der zugrunde liegende Geschäftsvorfall muss weiterhin ordnungsmäßig verarbeitet werden und die eingesetzte Informationstechnologie muss weiterhin geeignet eingerichtet und betrieben werden. Neu ist allerdings, dass nun bestimmte Prozesse oder Funktionen, die für diese Ordnungsmäßigkeit relevant sind, außerhalb der eigenen Organisation erbracht werden.
Übertragen wir auch dies noch einmal auf unser Beispiel: Die Eingangsrechnung wird elektronisch verarbeitet und innerhalb von Business Central über einen Workflow freigegeben, die zugrunde liegende ERP-Software wird jedoch auf einer durch einen externen Dienstleister bereitgestellten Infrastruktur betrieben und Änderungen an der Anwendung werden zusätzlich durch einen ERP-Partner entwickelt und bereitgestellt. Damit hängt die ordnungsmäßige Verarbeitung nicht mehr ausschließlich von Prozessen, Personen und IT-Systemen innerhalb des eigenen Unternehmens ab, sondern kann unmittelbar oder mittelbar auch von Leistungen externer Organisationen beeinflusst werden. Der Betrachtungsbereich erweitert sich damit über die eigene Unternehmensgrenze hinaus.
Die drei Stufen lassen sich vor diesem Hintergrund wie folgt zusammenfassen:
Entscheidend ist dabei aus unserer Sicht die kumulative Betrachtung, denn durch die IT-Unterstützung werden die grundlegenden Anforderungen an die Ordnungsmäßigkeit nicht ersetzt und ebenso werden durch die Auslagerung von Leistungen die Anforderungen an die eigenen Prozesse und IT-Systeme nicht obsolet. Vielmehr kommt jeweils eine zusätzliche Ebene hinzu.
Gerade bei der dritten Stufe führt dies zu einer wesentlichen Fragestellung: Wenn ein externer Dienstleister Prozesse oder Funktionen übernimmt, die Einfluss auf die rechnungslegungsrelevanten Abläufe Ihres Unternehmens haben, muss dieser Dienstleister zwangsläufig Bestandteil des Compliance-Betrachtungsrahmens werden. Die Auslagerung einer Aufgabe führt im Umkehrschluss nicht dazu, dass sich Ihr Unternehmen auch der damit verbundenen Verantwortung entledigen kann.
Wie diese Verantwortlichkeiten konkret zwischen Unternehmen, ERP-Dienstleistern, Hosting- bzw. Cloud-Anbietern und weiteren Beteiligten verteilt sind und wie deren Wahrnehmung nachgewiesen werden kann, möchten wir an dieser Stelle allerdings bewusst noch nicht vertiefen, da genau diese Fragestellung Gegenstand des nächsten Beitrags unserer Serie ist.
Drei Stufen – aber keine drei unterschiedlichen Compliance-Systeme
An dieser Stelle erscheint uns noch eine Abgrenzung wichtig: Das dargestellte Modell beschreibt nicht drei voneinander unabhängige Compliance-Systeme, sondern drei Betrachtungsebenen eines zusammenhängenden Systems. Die fachlichen und organisatorischen Kontrollen aus Stufe 1 bleiben auch dann relevant, wenn Business Central eingesetzt wird, während technische Kontrollen aus Stufe 2 wiederum erforderlich bleiben, wenn einzelne technische Leistungen an einen Dienstleister ausgelagert werden.
Im Ergebnis ergibt sich damit folgende Logik:
Ordnungsmäßige Rechnungslegung
+ IT-gestützte Rechnungslegung
+ ausgelagerte rechnungslegungsrelevante Prozesse und Funktionen
Diese Betrachtung hilft aus unserer Sicht insbesondere dabei, zwei Missverständnisse zu vermeiden. Zum einen beginnt ERP-Compliance nicht mit der Einführung einer ERP-Software, da die grundlegenden Anforderungen bereits aus den zugrunde liegenden Geschäftsprozessen und den Anforderungen an eine ordnungsmäßige Rechnungslegung entstehen. Zum anderen „wandert“ Compliance nicht zum Dienstleister, sobald eine technische oder fachliche Funktion ausgelagert wird; durch die Auslagerung entsteht vielmehr eine zusätzliche Beziehung, die in den Compliance-Betrachtungsrahmen Ihres Unternehmens einbezogen werden muss.
Dies bedeutet allerdings nicht automatisch, dass jede zusätzliche Stufe zu einem proportional steigenden Compliance-Aufwand führen muss. Gerade die IT-Unterstützung bietet auf der anderen Seite die Möglichkeit, Kontrollen systematisch abzubilden, zu standardisieren und teilweise zu automatisieren sowie Nachweise durch geeignete Prozesse regelmäßig und reproduzierbar bereitzustellen, anstatt diese erst im Rahmen einer konkreten Prüfung manuell zusammensuchen zu müssen. Die betriebswirtschaftliche Perspektive auf diesen Zusammenhang haben wir bereits im ersten Beitrag unserer Serie „Compliance als Investition“ ausführlicher betrachtet.
Unser Fazit
Die drei Stufen der ERP-Compliance helfen aus unserer Sicht dabei, den Betrachtungsbereich eines prüfungsfesten ERP-Betriebs systematisch einzuordnen, indem sie zunächst von den fachlichen und organisatorischen Anforderungen an eine ordnungsmäßige Rechnungslegung ausgehen und anschließend zeigen, wie sich dieser Betrachtungsbereich durch den Einsatz von Informationstechnologie und die Auslagerung rechnungslegungsrelevanter Prozesse oder Funktionen schrittweise erweitert.
Ausgangspunkt bleiben dabei immer die Anforderungen an eine ordnungsmäßige Rechnungslegung, die unabhängig davon bestehen, ob Informationstechnologie eingesetzt wird. Wird die Rechnungslegung IT-gestützt, kommen Anforderungen an die eingesetzten IT-Systeme und deren Betrieb hinzu; werden darüber hinaus rechnungslegungsrelevante Prozesse oder Funktionen ausgelagert, erweitert sich der Betrachtungsbereich nochmals über die eigene Organisation hinaus. Die zusätzlichen Stufen ersetzen die vorherigen Anforderungen damit nicht, sondern ergänzen diese.
Für die Einordnung Ihres eigenen Unternehmens können vor diesem Hintergrund zunächst zwei vergleichsweise einfache Fragen hilfreich sein: Welche Teile Ihrer Rechnungslegung werden heute IT-gestützt verarbeitet und an welchen Stellen sind externe Dienstleister an diesen Prozessen oder den dafür erforderlichen IT-Systemen beteiligt? Die Antworten auf diese Fragen geben bereits einen guten ersten Hinweis darauf, wie weit der Compliance-Betrachtungsbereich in Ihrem Unternehmen reichen muss.
Gerade die zweite Frage führt allerdings unmittelbar zu einem weiteren Themenkomplex, denn sobald rechnungslegungsrelevante Prozesse oder Funktionen ausgelagert werden, stellt sich zwangsläufig die Frage: Wer trägt im Auditfall eigentlich welche Verantwortung? Genau mit dieser Frage beschäftigen wir uns im nächsten Beitrag unserer Serie.
Gerne unterstützen wir Sie dabei, Ihre rechnungslegungsrelevante ERP- und Systemlandschaft zu strukturieren, Verantwortlichkeiten sichtbar zu machen und daraus einen für Ihr Unternehmen angemessenen Compliance-Betrachtungsrahmen abzuleiten.
Im nächsten Teil unserer Blogserie beschäftigen wir uns mit der Frage, wer bei ausgelagerten IT-Prozessen im Auditfall eigentlich die Verantwortung trägt. Dabei betrachten wir das Zusammenspiel zwischen Ihrem Unternehmen, ERP-Dienstleister, Hosting- bzw. Cloud-Anbieter und Wirtschaftsprüfer und ordnen die Bedeutung von IDW PS 951 und ISAE 3402 ein. Außerdem zeigen wir, warum die Auslagerung von Prozessen oder entsprechende Prüfberichte eines Dienstleisters Ihr Unternehmen nicht automatisch von Ihren Verantwortlichkeiten entbindet.
Sprechen Sie uns gerne an. Wir ordnen Ihr Setup gemeinsam mit Ihnen ein und erarbeiten einen pragmatischen Einstieg.
Bleiben Sie informiert und abonnieren Sie unseren PROTAKT Blog!
Über den Autor
DR. SVEN ODERMATT · EXECUTIVE BOARD
Vorstandsmitglied und Team Lead Technicals – mein Spielfeld: Development, DevOps und IT-Ops.
Ich kümmere mich seit 2002 um die Implementierung und den Betrieb von organisationsweiten Anwendungssystemen. Im NAV/Business-Central-Umfeld bin ich seit 2017 zuhause – mit Fokus auf einem zuverlässigen ERP-Betrieb und agilen Entwicklungsprozessen, die im Alltag wirklich funktionieren.
Platz für Deine Kommentare