SAP-Systeme revisionssicher gestalten

Zu den Aufgaben von Wirtschaftsprüfern gehört es, komplexe IT-Systeme einer regelmäßigen Revision zu unterziehen. Wie sich SAP-Systeme zuverlässig überprüfen lassen und welche Vorteile eine automatisierte SAP-Nutzungsanalyse mit RBE Plus bietet, erläutert Dagmar Brösztl-Reinsch im vorliegenden Interview.

IBIS: Frau Brösztl-Reinsch, Wirtschaftsprüfer verlangen immer mehr den Zugriff auf eine aktuelle SAP-Systemdokumentation zur Unterstützung ihrer Prüfungsaufgaben. Inwiefern hilft Ihnen die SAP-Nutzungsanalyse RBE Plus?

Brösztl-Reinsch: In einem SAP-System gibt es viele Sachverhalte, die zu dokumentieren sind. Mit Hilfe von RBE Plus erhalten wir eine verlässliche und vollständige Informationsbasis für unsere Prüfung. Die automatisierte Redokumentation der Geschäftsprozesse gibt uns einen schnellen Überblick, welche davon kritisch sind und welche wir außer Acht lassen können. Auf diese Weise lassen sich RBE Plus Analysen außerordentlich wirtschaftlich durchführen. Gegenüber einer konventionell geführten Dokumentation ist das ein klarer Vorteil. Eine solche enthält häufig sehr viele Informationen und erfordert eine zeitaufwändige, manuelle Analyse der Prozesse.

IBIS: Welche betriebswirtschaftlichen Abläufe interessieren Sie dabei besonders?

Brösztl-Reinsch: Im Vordergrund unseres Prüfungsansatzes stehen hauptsächlich risikobehaftete betriebswirtschaftliche Teilabläufe. Wir kontrollieren also insbesondere Prozesse, die für die Rechnungslegung relevant sind. Dazu zählen unternehmens-übergreifende Abrechnungsverfahren, Bestandsprüfungen, Inventur- und Bewer-tungsverfahren sowie sämtliche Transaktionen im Finanz- und Rechnungswesen. Auch bereichsübergreifende Konsistenzprüfungen spielen eine wichtige Rolle.

IBIS: Welche Risiken sehen und prüfen Sie im Zusammenhang mit Benutzeraktivitäten und -berechtigungen?

Brösztl-Reinsch: Neben einer formalen Überprüfung der Berechtigungen und auffälliger Kombinationen im Berechtigungskonzept legen wir in der Regel verstärktes Augenmerk darauf, welche Berechtigungskonstellationen von den Anwendern auch tatsächlich genutzt wurden.

IBIS: Gibt es weitere, auch betriebswirtschaftliche Benutzeraktivitäten, die besonders beachtet und genauer untersucht werden sollten?

Brösztl-Reinsch: In diesem Zusammenhang untersuchen wir insbesondere Sach-verhalte wie Funktionstrennungen, die sich über die gesamte Prozesskette erstrecken.

IBIS: Ist die Einhaltung von bestimmten Funktionstrennungen eine Anforderung an jedes Unternehmen?

Brösztl-Reinsch: Die Einhaltung von Funktionstrennungen ist ab bestimmten Betriebs- und Abteilungsgrößen ein Muss. Bei kleineren Organisationseinheiten hingegen sind solche Trennungen nicht oder nur schwer möglich. Unter solchen Umständen konzentrieren wir uns auf eine intensive punktuelle Nachprüfung. Dabei führen wir gezielt Stichproben bis hin zu kompletten Transaktionsprüfungen durch. Ergänzend können kompensatorische Kontrollen im Prozess angestoßen werden.

IBIS: Wie sehen sie das Thema der Prozessintegration über Systemgrenzen hinweg?

Brösztl-Reinsch: Diese Entwicklung stellt sowohl für das interne Kontrollsystem der Anwender als auch für das externe Kontrollsystem der Prüfer eine neue Herausforderung dar. Deswegen sind aus unserer Sicht angemessene Monitoring-Funktionen unerlässlich. Diese listen transparent alle überprüften Prozesse auf. So gewinnen wir einen guten Überblick darüber, welche Geschäftsprozesse in der vorgeschriebenen Weise ablaufen und welche nicht. Soll ein SAP-System unter Compliance-Gesichtspunkten bedenkenlos freigeben werden, ist ein solches Monitoring unerlässlich.

IBIS: Wo sehen Sie noch weitere Herausforderungen in der Zukunft, bei denen Ihnen eine automatisierte System- und Nutzungsanalyse helfen kann?

Brösztl-Reinsch: Mit der Zeit wachsen die Ansprüche an die eingesetzten Tools. Für die Weiterentwicklung von RBE Plus sind aus meiner Sicht drei Ansatzpunkte wünschenswert. Erstens sollten periodische Kontrollen durch ein entsprechendes Monitoring ergänzt werden. Zweitens wäre eine toolgestützte Verzahnung der internen und externen Kontrollsysteme hilfreich. Und Drittens ist es wünschenswert, wenn künftig RBE Plus Analysen auch für IT-Systeme ohne SAP-Bezug möglich wären.