Success Story. Prüfung des SAP Berechtigungskonzeptes

Transkript

1 Success Story Prüfung des SAP Berechtigungskonzeptes bei den Versicherungsunternehmen Deutscher Ring

2 Die Unternehmung Die Versicherungsgesellschaften Deutscher Ring haben eine lange Tradition, deren Wurzeln in das Jahr 1913 zurückreichen. Aus dem ursprünglich klassischen Versicherer, der in allen Kundengruppen produktorientiert agierte, entwickelte sich ein Finanzdienstleister, der bedarfs gerechte, an Lebensphasen ausgerichtete Vorsorge-Lösun gen für Privatkunden bietet: mit maßgeschneiderten, leicht verständlichen Produkten, mit umfassendem Service und ausgeprägter Beratungskompetenz. (Auszug aus der Internetseite des Deutschen Ring) Die Ausschreibung Durchführung einer Revisionsprüfung der SAP Module FI, MM, CO, BP (Partneranwendung für FS-CD), FS-CD (Inkasso und Exkasso), HR-VM (Veranstaltungsmanagement) und FS-ICM (Provisions kontenführung) in Zusammenarbeit mit einem externen Dienst leister. Die Prüfungs ergebnisse entsprachen unseren Erwartungen. Die Qualität der Prüfung lag weit darüber. Ralf Kelling / Wolfgang Kurtz, Revision, Thorsten Finke, Leitung Interne Revision (IR) Deutscher Ring Leistungsinhalte: Prüfung auf durchgehende Einhaltung des Berechtigungs konzeptes Prüfung auf Existenz kritischer Profile/Rollen für Administratoren bezüglich der Geldflüsse mit Bilanzauswirkungen Prüfung der Profile/Rollen der Mitarbeiter in Bezug auf ihr Aufgabengebiet Im SAP System sind ca Benutzer eingerichtet. Im Rahmen der Prüfung sind die Berechtigungen von insgesamt 12 Fach abteilungen zu untersuchen. 2

3 Die Vision Ralf Kelling / Wolfgang Kurtz, Revision, Thorsten Finke, Leitung Interne Revision (IR) Deutscher Ring: Für die Interne Revision der Versicherungsunternehmen Deutscher Ring war die Durchführung einer derartigen Prüfung Neuland. Dabei haben wir sehr schnell erkannt, dass vor dem Hintergrund knapper interner Ressourcen, eine möglichst hohe Prüfungsdurchdringung nur mit einem externen Partner zu erreichen ist. Somit suchten wir einen externen Partner, der dieses Ziel in angemessener Weise mit uns gemeinsam realisiert. Von dem externen Partner erhofften wir uns eine hohe fachliche Akzeptanz in der IT und den Fach ab tei lun gen eine aktive Einbindung der Internen Revisoren mit entsprechendem Wissens transfer um zukünftig eigenständig Prüfungen durchführen zu können eine qualitativ hochwertige und möglichst vollständige Lösung eine qualifizierte, auf Erfahrungswerten basierende Aussage zum Prüfungsergebnis zu erhalten. Das Auswahlverfahren Ralf Kelling / Wolfgang Kurtz, Revision, Thorsten Finke, Leitung IR Deutscher Ring: Es wurde eine Ausschreibung basierend auf der Einkaufsrichtlinie der Versicherungsunternehmen Deutscher Ring durchgeführt. Als Auswahlkriterien wurden fest gelegt: eine verbindliche und präzise Zeit- und Aufwandseinschätzung und eine möglichst geringe Prüfungsdauer eine Branchen- und Fachexpertise im Umfeld von Groß untern ehmen eine nach Möglichkeit 100%ig nachvollziehbare Prüfungstiefe fachliche Unterstützung durch den externen Partner bei Durchführung und Nachbearbeitung eine nachvollziehbare und angemessene Kosten/Nutzen Relation. Es wurden drei in Frage kommende Angebote miteinander verglichen und vor dem Hintergrund unserer Auswahlkriterien gewichtet. Die Verbindung zwischen den zu erwartenden Kosten und dem Umstand, dass die Firma IBS mit Ihrem Produkt CheckAud for SAP Systems als 3

4 einziger Anbieter eine vollständige 100%ige Prüfung zusichern konnte, gab letztlich den entscheidenden Ausschlag. Die Fachleute in der IT vermuteten im Vorwege ein Prüfungs ergebnis mit diversen Feststellungen. So entstehen Vorbehalte, die nur durch die Zusage einer präzisen, verlässlichen und fachlich kompetenten Prüfungsdurchführung und deren Realisierung ausgeräumt werden konnten. Eine Grundvoraussetzung für die Akzeptanz in der IT und in den Fachbereichen war, möglichst geringe Störungen des laufenden Geschäftsbetriebes zu gewährleisten. Hilfreich waren sicherlich auch die Erfahrungswerte der Firma IBS, Vorbehalte hinsichtlich etwaiger Leistungs- und Verhaltens kontrollen auszuräumen. IBS konnte mit ihrem Produkt CheckAud for SAP Systems als einziger Anbieter eine vollständige 100%ige Prüfung zusichern. Ralf Kelling / Wolfgang Kurtz, Revision, Thorsten Finke, Leitung Interne Revision (IR) Deutscher Ring Die Prüfungsdurchführung Im Vorwege der Prüfung wurde das zu prüfende SAP System mit CheckAud for SAP Systems gescannt. Dies erfolgte in direkter Unterstützung durch die IBS Schreiber GmbH. Der Scan des produktiven SAP Systems dauerte lediglich 20 Minuten. Danach waren alle Daten extrahiert, die für die Auswertung der Berechtigungen und die Prüfung der Systemsicherheit notwendig waren. Des Weiteren wurden bereits exemplarische Fragestellungen für die Fachbereiche zur Verfügung gestellt um hier die Akzeptanz für die Prüfung zu erhöhen. Im Rahmen der Prüfung wurden die Interviews in Zusammenarbeit mit der Revision der Versicherungsunternehmen Deutscher Ring durchgeführt. Die Form und die Professionalität der Interviews bewirkte bei den 4

5 Fachabteilungen eine hohe Akzeptanz der Prüfung. Basierend auf den Interviews wurden die relevanten Fragestellungen pro Fachabteilung definiert und technisch in CheckAud for SAP Systems abgebildet. Die nachfolgende Abbildung zeigt den original in der Prüfung erstellten Analyse baum, welcher auch für Nachprüfungen immer wieder genutzt werden kann. Abbildung enthält Benutzerdaten aus einem IBS-Demosystem Die Berechtigungsauswertungen konnten jeweils bereits im Rahmen der Interviews durchgeführt werden. Dies war möglich durch die Konzeption von CheckAud for SAP Systems, wo zum einen bereits sämtliche Berechtigungen der SAP Standardmodule abgebildet sind und zum anderen Berechtigungen aus Sondermodulen, wie z.b. FS-CD, ohne großen Aufwand ebenfalls ausgewertet werden können. Somit konnte die Bewertung der Ergebnisse der Auswertungen mit den Fachabteilungen bereits während der Interviews erfolgen. Dies reduzierte den Aufwand für die Fachabteilungen und die Prüfung im Allgemeinen erheblich. Der Prüfbericht konnte somit in den meisten Bereichen ohne einen zweiten Termin mit den Fachabteilungen erstellt werden. Zum Prüfbericht wurden den Fachabteilungen die Ergebnisse der Berechti gungs auswertungen vollständig zur Verfügung gestellt. Hierfür wurde die Standardfunktion von CheckAud for SAP Systems genutzt die es ermöglicht, automatisiert die Ergebnisse in einer Verzeichnisstruktur analog dem Analysebaum abzuspeichern: 5

6 Abbildung enthält Ergebnisdateien aus einem IBS Demo-System Als Exportformate wurden ausgewählt: PDF: Hier sind die Ergebnisse in Berichtsform aufgeführt inkl. der technischen Ausprägung der ausgewerteten Berechti gun gen. Insbesondere diese technische Ausprägung gestattet die Nachvollziehbarkeit der Ergebnisse und liefert gleichzeitig das Know-how, welche Berechtigungsobjekte mit welchen Aus prägungen den Vorgang berechtigen. MS Excel (1): Hier sind die Ergebnisse ( Welche Benutzer sind berechtigt? ) tabellarisch aufgelistet. Diese Dateien sind für die Fachabteilungen hilfreich, da sie nur die für sie relevanten Infor ma tionen enthalten. 6 Abbildung enthält Ergebnisse aus einem IBS Demo-System

7 MS Excel (2): Hier sind die Ergebnisse ebenfalls tabellarisch aufgelistet. Zu sätz lich wird in diesen Listen auch die jeweilige Herkunft der Berechtigungen mit dargestellt ( Aus welchen Rollen bezieht der Benutzer seine Berechtigungen? ). Dies gestattet eine äußerst einfache Bereinigung der Feststellungen. Ein großer Nutzen lag für uns in der Zeitersparnis für die Prüfung sowie der Vollständigkeit und Detailgenauigkeit der Ergebnisse. Ralf Kelling / Wolfgang Kurtz, Revision, T horsten Finke, Leitung Interne Revision (IR) Deutscher Ring Das Abschlussgespräch Das Abschlussgespräch fand mit dem für die IT verantwortlichen Vorstand (Ressort Kunde) und dem Leiter Operation & Infrastructure sowie mit den Vertretern der Internen Revision und der Firma IBS statt. Alle Feststellungen und Maßnahmen des Prüfberichtes wurden einvernehmlich angenommen. Der Nutzen Ralf Kelling / Wolfgang Kurtz, Revision, Thorsten Finke, Leitung IR Deutscher Ring: Abschließend können wir folgenden Nutzen aus dieser Prüfung ziehen: Eine nur geringe Störung des laufenden Betriebes Vollständigkeit / Detailgenauigkeit der Ergebnisse Zeitersparnis durch die umfangreiche Prüfungserfahrung der Firma IBS Die Schaffung von Transparenz im SAP Berechtigungskonzept Verbesserung der Sicherheit im SAP - System Die Option der Wiederholbarkeit von Prüfungshandlungen über die Software CheckAud for SAP Systems mit entsprechender Funktionalität (z.b. aufzeigen von Risiken bei Rollen Einrichtung bzw. deren Erweiterung). 7

8 IBS Schreiber GmbH International Business Services for auditing and consulting Zirkusweg Hamburg Telefon: +49 (0) 40 / Telefax: +49 (0) 40 /