15.11.1999 / Prozessorientierte Prüfung mit SAP R/3 in der Finanzbuchhaltung

"Nur ein Kästchen zum Anklicken"

"Mehrere Mahnungen liegen vor und keiner weiß, wo die Rechnung liegt. Das ist nicht so toll". Er erlebe diese Situation jedoch immer wieder. Thomas Jürgens berichtete auf der Euroforum-Konferenz "Revision von SAP R/3" am 29./30. September 1999 über seine Erfahrungen bei der prozessorientierten Prüfung von SAP R/3 am Beispiel einer Finanzbuchhaltung. "Das muss nicht sein. Bitte, das ist doch nur ein Kästchen zum Anklicken".

Wer einen Vorgang oder ein Objekt prüfen will, muss Vorgehensweisen, Grenzen und Techniken sowie Ressourcen zu seinem Vorhaben kennen. "Bereits hier stoßen wir auf erste Lücken", so Jürgens. Ein Unternehmen mit SAP Software auszustatten, sei kein Problem. Die parallele Umstellung der Firma gestalte sich dagegen weit schwieriger. Selbst wenn die Notwendigkeit von Zugriffsschutz, Berechtigungskonzepten und von grundlegenden Systemeinstellungen verstanden worden sei, in der Umsetzung hapere es oft gewaltig.

Der Rat des Bielefelder Fachmanns: "Verschaffen Sie sich einen Überblick. Nehmen Sie das System in puncto Status und Parameter (RSPARAM) unter die Lupe". Besonderes Augenmerk müsse den Benutzerberechtigungen gelten. Wird beispielsweise die Tabelle USR40 (Ausschlusspassworte) genutzt? Hier biete SAP eine hervorragende Möglichkeit zur Prüfung, die allerdings vielen Anwendern nicht bekannt sei. Im Auditorium werden Gegenstimmen laut: "Wir können nicht ein halbes Jahr mit Seminaren in Walldorf verbringen". Ein anderer Teilnehmer klagt: "Tiefschürfende Prüfung ist sehr zeitraubend und fordert enormes Detailwissen". Jürgens Antwort: Sicher, die Größe eines Unternehmens müsse berücksichtigt werden. Außerdem sei die Frage nach der Wirtschaftlichkeit einer Prüfung berechtigt. "Dennoch ist die Prüfung von System und Ordnungsmäßigkeit auch in Teilbereichen wie der Buchhaltung notwendig und ergiebig", so Jürgens. Sinnvoll sei es allerdings, ein Revisoren-Team aus kaufmännischen und DV-Fachleuten zusammenzustellen.

Im Kontext einer Analyse des Berechtigungssystems fragt der Referent: Gibt es hier ein konkretes Konzept oder werden Standardprofile verwendet? Wie ist es um Systemuser bestellt? Seine Empfehlung: "Schauen Sie nach Schutz und Protokollen von Tabellen!"

"Protokolle von Tabellen gehen zu Lasten der Systemleistung", lautet der Einwand eines Zuhörers. "Sie sind trotzdem unvermeidbar, es sei denn, die Geschäftsleitung segnet Ihnen schriftlich anderes ab", entgegnet Jürgens. Er unterstreicht das Risiko: "Nehmen wir den Zugriffsschutz auf die Tabelle TSTC (Transaktionscodes). Ist der entriegelt, kann das SAP-System jederzeit gesperrt werden. Bitte, überprüfen Sie das!" Ein Anwender aus dem Publikum hakt nach: "Wie gehen Sie im Rahmen der Prüfung mit Schnittstellen, eventuell mehreren um?" Jürgens kennt das Phänomen: "Das kann schwierig sein. Wir gleichen dann ab, werten aus und vergleichen. Im übrigen - wir haben ABAPs aktiv."

Der Bielefelder Fachmann geht auf konkrete Prüfungshandlungen und auf kritische Punkte innerhalb der Finanzbuchhaltung ein. SAPs R/3 ermöglicht die "Große Umsatzprobe". Dank entsprechender Reports können alle Debitoren- und Kreditorensalden mit dem Stand der jeweiligen Sachkonten überprüft und abgestimmt werden. Außerdem macht dieses Szenario die Feststellung möglich, ob sämtliche im laufenden Monat gebuchten Belege zu den entsprechenden Verkehrszahlen auf den Sachkonten geführt haben. "Ich hatte aber auch schon schlaflose Nächte, weil mir größere Differenzen deutlich wurden. Das hat sich, ein Glück, hinterher geklärt. Die Beträge waren noch da".

Jürgens weist seine Zuhörer darauf hin, dass Lücken in der Belegnummernvergabe durch Verarbeitungsabbrüche oder die Nummernkreispufferung entstehen können. Um Lückenlosigkeit festzustellen steht der ABAP "RFBNUM00" zur Verfügung. Erträge eines Unternehmens können indes auch in der Kreditorenbuchhaltung verloren gehen. Etwa weil Forderungen zweimal bezahlt werden. Die Gefahr besteht, wenn Rechnungen versehentlich doppelt erfasst werden. "Auch hier hat SAP vorgesorgt. Im Kreditorenstammsatz kann unter den Zahlungsdaten der 'Prüfvermerk für doppelte Rechnungen' aktiviert werden", so Jürgens, der gleich auf ein weiteres Risiko im Bereich Zahlungsverkehr aufmerksam macht: "gesperrte Rechnungen". Wo ist die Schwachstelle? "Wenn Sie mangelhafte Einstellungen wie etwa WE-Storno trotz Rechnung im Customizing getroffenen haben, können Sperren umgangen werden".

"Zunehmender Wettbewerb, wachsende Komplexität der Software und mangelndes Know-how können dazu führen, dass die Risikobereitschaft in einem Unternehmen wächst", waren sich mehrere Konferenzteilnehmer einig. Jürgens ließ aber keinen Zweifel an seinem Fazit: "Viele Schwierigkeiten können vermieden werden. SAP bietet Standards zur Sicherung. Die müssen genutzt werden". Obschon dies nach seiner Erfahrung kein Allheilmittel sei, ließen sich so doch deutliche Signale setzen.