Chuprunov Handbuch SAP-Revision

Internes Kontrollsystem und GRC
3. Auflage 2019
ISBN: 978-3-8362-8204-8
Verlag: Rheinwerk
Format: EPUB
Kopierschutz: 0 - No protection

E-Book, Deutsch, 873 Seiten

Reihe: SAP Press

Über dieses Buch

Der Prüfer kommt! Dieses Buch zeigt Ihnen, wie Sie Ihr SAP-System aufstellen, um für die Wirtschaftsprüfung oder interne Revision gerüstet zu sein. Sie lernen, wie Sie ein Internes Kontrollsystem (IKS) in SAP ERP und SAP S/4HANA umsetzen , und werden mit Applikations- und Berechtigungskontrollen sowie Prüfungshandlungen vertraut gemacht. Zudem erfahren Sie, wie Sie ein IKS im Rahmen eines integrierten GRC-Ansatzes einrichten und automatisieren. So sind Sie als Wirtschaftsprüfer, IT-Verantwortlicher, Mitarbeiter in der Finanzabteilung, Security-Beauftragter und Berater für alle Fälle gewappnet ! Die 3. Auflage des Standardwerks umfasst die relevanten Neuheiten von SAP S/4HANA, Assurance für Cloud, neue gesetzliche Auflagen und Standards, neue SAP-GRC-Lösungen u. v. m.

Mit Beiträgen der folgenden Autorinnen und Autoren:

• Moldir Abdikerim: Abschnitt 21.2.2, "Marktwert eines Unternehmens"
• Reto Bachmann: Kapitel 14, "Exemplarische effizienz- und wirtschaftlichkeitsorientierte Analyseszenarien in SAP ERP"
• Günther Emmenegger: Kapitel 13, "Exkurs: FDA-Compliance und Kontrollen in SAP"
• Gerhard Jurasek: Kapitel 15, "Risk und Compliance in SAP S/4HANA"
• Maria Spöri: Kapitel 16, "Berechtigungen in SAP S/4HANA"
• Vishal Padiyar: Kapitel 17, "Unified Connectivity: Wirksamer Schutz in SAP-ERP-Umgebungen"
• Volker Lehnert: Kapitel 11, "Datenschutz-Compliance in SAP ERP Human Capital Management"
• Marc Michely: Kapitel 12, "Betrug im SAP-System"

Aus dem Inhalt:

• SAP ERP und SAP S/4HANA
• SAP Process Control 12
• Prozessübergreifende Kontrollen
• Kontrollen in Finanzwesen, Einkauf, Vertrieb und Personalwirtschaft
• Vorgehensweise in FI, MM, SD, HCM etc.
• FDA-Compliance, Betrug im SAP-System
• Risiko- und effizienzorientiertes IKS
• Assurance- und Compliance-Lösungen
• Cloud-Lösungen
• Business Integrity Screening (BIS) (ehemals Fraud Management)
• Audit Management
• Unified Connectivity (UCON)
• Datenschutz/DSGVO

Autoren/Hrsg.

Chuprunov, Maxim

Inhaltsverzeichnis

  Vorwort ... 25

  Vertrauen ist gut, Kontrolle ist billiger: Einleitung ... 27

TEIL I  Vom Paragrafen zum Konzept: IKS und Compliance im ERP-Umfeld ... 39

  1.  Gesetzliche Anforderungen im Bereich IKS-Compliance ... 41

       1.1 ... Begriffsdefinitionen und Abgrenzung ... 41

       1.2 ... IKS-Anforderungen in Europa ... 49

       1.3 ... IKS-Anforderungen in der Finanzbranche ... 56

       1.4 ... Unternehmenserfolg durch IKS? ... 60

       1.5 ... Resümee ... 62

  2.  Der Prüfer kommt: Wann, warum und wie man damit umgeht ... 63

       2.1 ... IKS im IT-Umfeld aus der Sicht der Wirtschaftsprüfung ... 64

       2.2 ... IKS-Assurance in der Praxis ... 72

       2.3 ... Interessenskonflikte in der Wirtschaftsprüfung ... 83

       2.4 ... Resümee ... 87

  3.  IKS-Anforderungen und SAP-ERP-Systeme: Grundsätze, Frameworks, Struktur ... 89

       3.1 ... IKS-Inhalte im SAP-ERP-Umfeld definieren ... 89

       3.2 ... IKS-relevante Referenzmodelle ... 106

       3.3 ... IKS und risikomanagementrelevante Standards und Modelle ... 116

       3.4 ... Resümee ... 123

  4.  Wie geht SAP mit dem Thema Compliance um? ... 125

       4.1 ... Softwarezertifizierung ... 125

       4.2 ... Compliancerelevante Leitfäden ... 130

       4.3 ... SAP-Lösungen für Governance, Risk and Compliance (GRC) ... 138

       4.4 ... Resümee ... 170

TEIL II  Vom Konzept zum Inhalt: Kontrollen in SAP ERP ... 173

  5.  Revisionsrelevante SAP-Basics ... 175

       5.1 ... Am Anfang war die Tabelle: SAP-System als tabellengesteuerte Applikation ... 176

       5.2 ... Berechtigungen ... 208

       5.3 ... Resümee ... 227

  6.  Generelle IT-Kontrollen in SAP ERP ... 229

       6.1 ... Organisatorische Kontrollen ... 229

       6.2 ... Kontrollen im Bereich Change Management und Entwicklung ... 240

       6.3 ... Sicherheitskontrollen beim Zugriff auf das SAP-System und bei der Authentifizierung ... 252

       6.4 ... Sicherheits- und Berechtigungskontrollen innerhalb von SAP ERP ... 261

       6.5 ... Resümee ... 279

  7.  Übergreifende Applikationskontrollen in SAP ERP ... 281

       7.1 ... Grundsatz der Unveränderlichkeit ... 282

       7.2 ... Kontrollen für die datenbezogene Nachvollziehbarkeit ... 288

       7.3 ... Nachvollziehbarkeit der Benutzeraktivitäten im SAP-System ... 296

       7.4 ... Prozessübergreifende Verarbeitungskontrollen ... 304

       7.5 ... Resümee ... 315

  8.  Kontrollen in der Finanzbuchhaltung ... 317

       8.1 ... Grundlegende Kontrollmechanismen im Hauptbuch ... 318

       8.2 ... Kontrollen zur Richtigkeit und Qualität der Daten im Hauptbuch ... 328

       8.3 ... Vollständigkeit der Verarbeitung im Hauptbuch ... 338

       8.4 ... Sicherheit und Schutz der Daten im Hauptbuch ... 344

       8.5 ... Kontrollen in der Anlagenbuchhaltung ... 355

       8.6 ... Kontrollen in der Kreditoren- und Debitorenbuchhaltung ... 370

       8.7 ... Resümee ... 378

  9.  Kontrollmechanismen im SAP-ERP-gestützten Procure-to-Pay-Prozess ... 379

       9.1 ... Bestellwesen ... 381

       9.2 ... Wareneingänge und Rechnungsprüfung ... 385

       9.3 ... WE/RE-Konto ... 390

       9.4 ... Kontrollen rund um das Thema Bestände ... 395

       9.5 ... Corporate Governance ... 406

       9.6 ... Resümee ... 407

10.  Kontrollmechanismen im SAP-ERP-gestützten Order-to-Cash-Prozess ... 409

       10.1 ... Kontrollen in der vorbereitenden Vertriebsphase ... 410

       10.2 ... Kontrollen bei der Auftragserfüllung und Umsatzlegung ... 417

       10.3 ... Resümee ... 430

11.  Datenschutz-Compliance in SAP ERP Human Capital Management ... 431

       11.1 ... Gesetzliche Datenschutzanforderungen ... 432

       11.2 ... Datenschutzrelevante übergreifende Kontrollmechanismen im SAP-System ... 449

       11.3 ... Besondere Anforderungen an SAP ERP HCM ... 454

       11.4 ... Berechtigungen und Rollen in SAP ERP HCM ... 455

       11.5 ... Datenlöschung und Datensperrung ... 468

       11.6 ... Resümee ... 469

12.  Betrug im SAP-System ... 471

       12.1 ... Einführung ... 471

       12.2 ... Betrugsszenarien in der SAP-Basis ... 476

       12.3 ... Betrugsszenarien im Hauptbuch ... 478

       12.4 ... Betrugsszenarien im Vertriebsbereich ... 482

       12.5 ... Betrugsszenarien in der Personalbuchhaltung ... 488

       12.6 ... Resümee ... 491

13.  Exkurs: FDA-Compliance und Kontrollen in SAP ... 493

       13.1 ... Gesetzliche Anforderungen im Bereich Arznei- und Lebensmittelherstellung ... 493

       13.2 ... Validierung der IT-Systeme ... 498

       13.3 ... FDA-Compliance in IT-gestützten Geschäftsprozessen ... 501

       13.4 ... FDA-Compliance bei Systempflege, -aktualisierung und -änderung aufrechterhalten ... 506

       13.5 ... Resümee ... 508

14.  Exemplarische effizienz- und wirtschaftlichkeitsorientierte Analyseszenarien in SAP ERP ... 509

       14.1 ... Prozessbezogene Datenauswertungen ... 510

       14.2 ... Analyse der Stammdatenqualität ... 527

       14.3 ... Manuelle Datenänderungen ... 535

       14.4 ... Ergänzung von SAP-ERP-Standardreports ... 547

       14.5 ... Resümee ... 550

15.  Risk und Compliance in SAP S/4HANA ... 551

       15.1 ... SAP S/4HANA im Überblick ... 551

       15.2 ... Finanzbuchhaltung ... 558

       15.3 ... Controlling ... 569

       15.4 ... Resümee ... 572

16.  Berechtigungen in SAP S/4HANA ... 573

       16.1 ... Berechtigungen für SAP Fiori ... 574

       16.2 ... Berechtigungen für das SAP-S/4HANA-Backend ... 587

       16.3 ... Funktionstrennung in SAP S/4HANA ... 590

       16.4 ... Berechtigungen in SAP HANA ... 593

       16.5 ... Erfahrungswerte aus SAP-S/4HANA-Berechtigungsprojekten ... 602

       16.6 ... Resümee ... 605

17.  Unified Connectivity: Wirksamer Schutz der SAP-ERP-Umgebungen ... 607

       17.1 ... Schnittstellenbezogene Risiken in SAP ERP ... 608

       17.2 ... Die Funktionsweise von UCON ... 612

       17.3 ... Phasen der UCON-Einführung ... 613

       17.4 ... Konfigurationsschritte ... 615

       17.5 ... Bereitstellungsszenarien für UCON ... 625

       17.6 ... FAQ zu UCON ... 635

       17.7 ... Resümee ... 637

TEIL III  Von Konzept und Inhalt zur Umsetzung: Die Automatisierung eines Internen Kontrollsystems ... 639

18.  IKS-Automatisierung: Wie bringt man den COSO-Cube ins Rollen? ... 641

       18.1 ... Grundidee der IKS-Automatisierung ... 641

       18.2 ... IKS-relevante Objekte und Dokumentation ... 646

       18.3 ... Grundszenarien der IKS-Aktivitäten ... 655

       18.4 ... Resümee ... 664

19.  IKS-Automatisierung mithilfe von SAP Process Control ... 665

       19.1 ... Einleitung: IKS-Umsetzung mit SAP Process Control ... 666

       19.2 ... Technische Implementierung ... 668

       19.3 ... Datenmodell ... 676

       19.4 ... Implementierung des IKS-Prozesses ... 696

       19.5 ... IKS- und Compliance-Umsetzung: Rollen ... 741

       19.6 ... Resümee ... 752

20.  Umsetzung von automatisierten Test- und Monitoring-Szenarien ... 753

       20.1 ... Automatisierte Test- und Überwachungsszenarien im SAP-Umfeld ... 754

       20.2 ... Automatisierte Tests und Monitoring in SAP GRC ... 766

       20.3 ... Einrichtung von CMF-Szenarien in SAP Process Control ... 773

       20.4 ... Resümee ... 800

21.  SAP GRC - Erfolgsfaktoren und Erfahrungswerte ... 801

       21.1 ... Wem nutzt GRC: Die drei Verteidigungslinien im Überblick ... 801

       21.2 ... Der Mehrwert von GRC ... 805

       21.3 ... Projekterfahrungen bei der Automatisierung von IKS und Risikomanagement ... 810

       21.4 ... Resümee ... 822

  Anhang ... 825

       A ... Abkürzungsverzeichnis ... 827

       B ... Literatur ... 839

       C ... Der Autor ... 845

  Index ... 851

Leseproben

Vertrauen ist gut, Kontrolle ist billiger: Einleitung

Die Notwendigkeit, Risiken zu beherrschen und ein Internes Kontrollsystem (IKS) zu etablieren, steht ganz oben auf der Agenda des Topmanagements. Kann die Umsetzung der gesetzlichen Anforderungen einen tieferen Sinn und Nutzen haben, der über das simple »Paragrafen-Genüge-tun« hinausgeht? Sicherlich ja – wenn man es richtig macht. Die Praxis zeigt Folgendes:

• Nicht-Compliance ist einfach zu teuer. Wem nutzt eine strategische Entscheidung, zum Beispiel Daten von Kunden aus dem EU-Raum zu bearbeiten, wenn im Unternehmen keine hinreichenden technischen und organisatorischen Maßnahmen für deren Schutz etabliert sind? Strafen in Höhe von 4 % des weltweiten Jahresumsatzes eines Unternehmens können dessen Position spürbar schwächen.

• Oft wird übersehen, dass das Thema IKS aufgrund seiner traditionellen Fokussierung auf Compliance auch die Überwachung der Geschäftsprozesse hinsichtlich Effizienz, Wirtschaftlichkeit und Performance umfassen kann. Außerdem setzt das im Vorwort angesprochene und das IKS mitumfassende intelligente GRC voraus, dass neben der Gesetzeskonformität auch operative und strategische Zielsetzungen im Fokus von Governance, Risk und Compliance stehen. Es geht daher nicht nur um Paragrafen.

• Compliance als Spielregeln, die vom Staat in Ausübung seiner regulierenden Rolle aufgestellt wurden, schützt die Allgemeinheit vor vielen Übeln. Vielleicht erinnern Sie sich noch an die spektakulären Pleiten von Enron, FlowTex etc.? Ihre Ursachen lagen unter anderem in der Manipulation der externen Finanzberichterstattung.

• Diverse Compliance-Initiativen fordern, die komplexen Prozesse in einem Unternehmen (oft erstmals) sauber aufzunehmen. Transparentere Abläufe sind besser steuerbar, und die identifizierten Kontrollen kommen auch dem operativen Bereich zugute.

• Ein ineffizienter Compliance-Management-Prozess bindet viele Ressourcen. Die Automatisierung dieses Prozesses kann die Unternehmensleitung spürbar entlasten.

• Und nicht zuletzt: Compliance kann direkte finanzielle Vorteile bringen, wie etwa eine geringere Kapitalbindung infolge einer genaueren bzw. risikospezifischen Eigenkapitalhinterlegung oder günstigere Kredite aufgrund einer besseren Bewertung durch Ratingagenturen. Darüber hinaus wirkt sich ein IKS positiv auf den Unternehmenswert aus.

Es gibt demnach zahlreiche Gründe, Compliance-Anforderungen nicht ausschließlich als notwendiges Übel zu betrachten. Ihre effiziente Umsetzung und der Aufbau eines wirksamen IKS waren und bleiben jedoch nicht einfach:

• IKS-Management in einem integrierten Ansatz als Teil von intelligentem GRC zu betrachten, ist für viele Unternehmen Neuland. Die Frage nach einem praktikablen Zusammenspiel von IKS und Risikomanagement stellt Unternehmen nicht nur vor konzeptionelle und GRC-lösungsspezifische Herausforderungen, sondern fordert organisatorisch eine engere Zusammenarbeit zwischen den drei Verteidigungslinien im Unternehmen.

• Ohne hinreichende Aufmerksamkeit auf Governance-, Risk- und Compliance-Themen und ohne überzeugende Vorbildrolle der Führungsetagen geht nichts. Liegen diese Voraussetzungen nicht vor, ist es sehr schwierig, eine positive Risikokultur im Unternehmen zu fördern, bei der man einen Risikomanager als Freund, Helfer und Budgetbeschaffer für Problembereiche betrachtet.

• Das komplexe SAP-ERP-Umfeld erfordert ein spezifisches Know-how, und bei IT-gestützten Geschäftsprozessen weiß man nicht immer, welche Risiken sich darin verbergen und welche Kontrollmechanismen es gibt.

• Die Missachtung von Compliance-Anforderungen während der Implementierung eines SAP-Systems kann gravierende Folgen haben. Im Nachhinein ist man immer schlauer, im Falle nicht berücksichtigter Compliance-Anforderungen bei der SAP-Implementierung aber meist auch ärmer. Die SAP-Einführung ist ein kostspieliges Unterfangen, und ein nachträgliches Redesign ist aufwendig und teuer.

• Kontrollen müssen gelebt werden: Nicht die Kontrollen sind wirksam, die richtig dokumentiert sind, sondern vielmehr die Kontrollen, die ausgeführt werden. Dabei sorgt die in der Praxis oft noch fehlende Automatisierung für viel administrativen Aufwand. Microsoft Excel Sheets, E-Mails und manuelle Systemauswertungen dominieren noch erschreckend oft die IKS- und Revisionswelt, auch in großen Unternehmen.

Die Automatisierung eines IKS könnte Antworten auf viele Fragen geben, die heutzutage die Welt der Compliance beschäftigen:

• Wie lässt sich die Transformation von einem statischen IKS in Richtung eines integrierten und risikoorientierten GRC-Ansatzes bewerkstelligen?

• Können alle drei Verteidigungslinien integriert zusammenarbeiten?

• Lässt sich eine positive Risikokultur durch Tools fördern?

• Wie bringt man die operativen und revisionsspezifischen Sichten auf Kontrollmechanismen zusammen?

• Ist ein Realtime-Reporting über den Compliance-Stand auf Knopfdruck möglich?

• Wie kann man das IKS so abbilden, dass unterschiedliche Anforderungen von Risikomanagement, interner Revision, externer Jahresabschlussprüfung und branchenspezifischen Kontrollanforderungen effizient erfüllt werden?

Um ein IKS richtig zu implementieren, müssen viele Puzzleteile zusammengefügt werden:

• Integration zwischen Risiko-, IKS-, Richtlinien- und Revisionsmanagement

• gesetzliche Anforderungen und deren Auswirkung auf die heutige Welt der ERP-gestützten Prozesse

• Konzipierung und Aufbau eines IKS-Modells im IT-Umfeld

• Automatisierung eines IKS-Compliance-Prozesses

• Automatisierung der Test- und Überwachungsszenarien durch Integration

• unternehmensinterne IKS- und Compliance-Ziele bezüglich Effizienz, Wirtschaftlichkeit und Performance

• Umgang mit interner und externer Revision

Das hochaktuelle und spannende Gesamtbild bzw. die Vision der automatisierten GRC-Management-Prozesse im SAP-ERP-Umfeld eines gut geführten Unternehmens, zu dem sich die einzelnen Puzzleteile zusammenfügen lassen, hat uns dazu bewogen, dieses Buch zu schreiben.

Thema, Aufbau und Inhalt des Buches

Die große Welle von gesetzlich getriebenen IKS-Projekten wurde Anfang der 2000er Jahre durch den Sarbanes-Oxley Act ausgelöst. Diese Welle hat auch in Europa alle in den USA börsennotierten Unternehmen erfasst. Auch in Europa wurde der Ruf nach mehr Transparenz und einer Risikominimierung lauter. Das schlug sich in EU-Richtlinien und weiteren lokalen gesetzlichen Initiativen nieder. Der weltweite Trend zeigt insgesamt, dass ein funktionierendes IKS als eine staatlich geforderte Compliance-Anforderung rasch durchsetzt. Aktuell erleben wir, dass die voranschreitende Digitalisierung und »Cloudisierung« der Geschäftswelt verschärfte Datenschutzauflagen mit sich bringt.

Das Thema Governance, Risk, and Compliance als einheitliches Konzept (man spricht von einem integrierten GRC-Ansatz) ist auf dem Markt längst angekommen, und das Berücksichtigen von allen drei Verteidigungslinien im Unternehmen spiegelt sich sowohl in den einschlägigen Softwarelösungen als auch in anerkannten Referenzmodellen und Standards wider. Das Thema Compliance kann somit nicht mehr isoliert betrachtet werden.

In diesem Buch wird Compliance als ein im Rahmen eines IKS abgebildeter Prozess verstanden, der Konformität mit den gesetzlichen Anforderungen und mit den unternehmenseigenen Richtlinien und Zielen (vor allem Effizienz und Wirtschaftlichkeit) gewährleisten soll. Ein IKS war schon vor dem Computerzeitalter bekannt, aber erst mit dem Voranschreiten der Informationstechnologie haben sich neue Besonderheiten ergeben: Die Systemprüfung als Prüfungsansatz, und insbesondere die Betrachtung von IKS und den softwarespezifischen Applikationskontrollen im Rahmen der externen Revision, haben sich als Pflicht durchgesetzt. Die Antwort auf die Frage, was all dies für Unternehmen bedeutet, deren Prozesse SAP-ERP-gestützt ablaufen, muss klar strukturiert und beschrieben werden.

Wie Sie es gesehen haben, gibt es zahlreiche Puzzleteile rund um die hochaktuellen Themen IKS und Compliance, die es zusammenzufügen gilt, um einen guten Überblick zu erhalten. Dieses Buch berücksichtigt die Verbindung von Compliance mit den weiteren...

Über Autor(innen)

Chuprunov, Maxim
Maxim Chuprunov schloss sich 2007 dem Center of Expertise Financials & Compliance von SAP Schweiz an und hat in seiner Funktion als Senior Consultant bei weltweiten Implementierungsprojekten und Proof of Concepts für SAP BusinessObjects-/GRC-Lösungen mit dem Schwerpunkt IKS-Automatisierung Pionierarbeit geleistet. Er ist im SAP Solution Management als Experte und Ideengeber bei Tests und Software-Design von SAP BusinessObjects Process Control bekannt und führt als Referent bei SAP Education Schulungen durch.Er hat das Studium der Betriebswirtschaft inklusive verschiedener Forschungsvorhaben als DAAD-Stipendiat im Jahr 2001 mit der Magisterarbeit zum Thema »Audit im SAP-Umfeld« abgeschlossen. Seitdem ist er diesem Thema treu geblieben und baut es konsequent im GRC-Bereich (Governance, Risk & Compliance) aus. Die Verbindung der fachlichen als auch der Compliance-spezifischen Sichten auf Geschäftsprozesse mit dem technischen Lösungs-Know-how gehört zu seinem Spezialgebiet.Bevor Maxim Chuprunov Ende 2010 RISCOMP GmbH (Schweiz) gegründet hat, war er bei der KPMG DTG in München und der KPMG LLP in Boston, bei der SCHENKER AG in Essen sowie bei der SAP AG in Zürich tätig. Bei KPMG arbeitete er in den Bereichen Information Risk Management und IT Advisory. In dieser Zeit avancierte er vom Diplomanden zum Assistant Manager. Parallel zu zahlreichen Projekten bei internationalen Konzernen hat er Berufsexamina zum CPA (Certified Public Accountant) und CISA (Certified Information Systems Auditor) erfolgreich absolviert sowie die Zertifizierung als FI/CO-Berater für SAP erworben. Bei KPMG leitete er auch diverse Compliance-Prüfungen von SAP-Systemen und entwickelte präventive sowie aufdeckende Prüfungs-, Datenanalyse- und Kontrollautomatisierungs-Szenarien. Seine vielfältigen Interessen realisierte er außerdem in IKSBeratungsprojekten und bei der Erstellung und Umsetzung der Feinkonzepte für internes und externes Rechnungswesen. Bei der SCHENKER AG (Essen), wo er im Rahmen von Global Rollouts Verantwortung für die Einführung der FI- und CO-Prozesse einschließlich Reporting nach SEM mit SAP übernahm, wurde er auf die neue GRC-Produkt-Suite von SAP aufmerksam.