BSI Technische Richtlinie Vertrauenswürdige elektronische Langzeitspeicherung

Transkript

1 An den Präsidenten des Bundesamts für Sicherheit in der Informationstechnik Herrn Michael Hange Postfach Bonn Düsseldorf, 11. August /550 BSI Technische Richtlinie Vertrauenswürdige elektronische Langzeitspeicherung Sehr geehrter Herr Präsident, das BSI hat die Technische Richtlinie (im Folgenden TR-VELS ) veröffentlicht. Die TR-VELS setzt sich zum Ziel, die anwendungsübergreifenden Anforderungen und Kriterien für die elektronische Langzeitspeicherung festzulegen. Auch wenn das BSI nur die öffentliche Verwaltung mit der TR-VELS anspricht, haben diese Regelungen nach unserer Erfahrung Ausstrahlungswirkung auf andere Unternehmungen. In Kenntnis dieses Sachverhalts halten wir es für äußerst sinnvoll, dass sich das BSI vor der Formulierung von Richtlinien mit den entsprechenden fachlich relevanten Institutionen konsultativ auseinandersetzt. Die im Zusammenhang mit der TR-VELS relevanten IDW Verlautbarungen sind die IDW Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung beim Einsatz elektronischer Archivierungsverfahren (IDW RS FAIT 3) sowie die IDW Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung beim Einsatz von Informationstechnologie (IDW RS FAIT 1), die wir Ihnen als Anlage beifügen. Im Rahmen der gesetzlichen Abschlussprüfung hat sich der Abschlussprüfer an die Grundsätze ordnungsmäßiger Abschlussprüfungen zu halten. Dazu gehört nicht nur die Einhaltung der durch das IDW auf der Grundlage internationaler Standards verabschiedeten IDW Prüfungsstandards, sondern auch die Berück-

2 Seite 2/5 zum Schreiben vom an das BSI sichtigung der vom IDW herausgegebenen IDW Stellungnahmen zur Rechnungslegung. Wir erlauben uns daher, zu einzelnen Festlegungen der TR-VELS im Hinblick auf die Ableitung handelsrechtlicher Anforderungen an eine revisionssichere Speicherung Stellung zu nehmen. Anwendungsbereich Nach unserem Verständnis beabsichtigt die TR-VELS, Anforderungen an eine vertrauenswürdige elektronische Langzeitspeicherung aufzustellen. Davon umfasst ist sowohl die Speicherung elektronischer (digitaler) Dokumente als auch die Speicherung von Daten. Vor diesem Hintergrund definieren Sie in der TR-VELS den Begriff der Vertrauenswürdigkeit. Dieser Begriff ist nach unserem Erachten als Kriterium für elektronische Archivierungssysteme nicht geeignet und für die Verwendung im Rahmen der TR-VELS nicht zielführend. Vertrauenswürdig ist ein subjektiv interpretierbarer Begriff, der bei den Adressaten ein unterschiedliches Verständnis über die Qualität und Eigenschaften des Archivierungssystems hervorruft. Die von Ihnen formulierte Definition des Begriffs reicht für ein allgemeingültiges Verständnis hingegen nicht aus. In der Außenwirkung bleibt es bei einem Zertifikat über ein vertrauenswürdiges Archivierungssystem, das die einschränkenden Aspekte Ihrer Definition nicht deutlich macht. Anforderungen an die Ordnungsmäßigkeit elektronischer Archivierung Die Grundsätze ordnungsmäßiger Buchführung schreiben kein bestimmtes Buchführungsverfahren vor. Sie lassen jedes Verfahren auch auf Informationstechnologie gestützte Systeme zu, wenn dies die Anforderungen erfüllt, die durch die Grundsätze ordnungsmäßiger Buchführung an das Verfahren gestellt werden ( 239 Abs. 4 HGB). Damit ist auch jedes Aufbewahrungsverfahren zulässig, soweit es den Grundsätzen ordnungsmäßiger Buchführung entspricht ( 257 Abs. 3 Satz 1 HGB). Die Interpretation der relevanten handels- und steuerrechtlichen Normen im Rahmen der TR-VELS beschränkt sich lediglich auf einen Teilbereich, nämlich auf die Anforderungen an die Aufbewahrung elektronischer Dokumente ( 257 Abs. 3 Satz 1 HGB). Damit bleiben wesentliche und für das Verständnis der An-

3 Seite 3/5 zum Schreiben vom an das BSI forderungen an die Aufbewahrung elektronischer Dokumente grundlegende handels- und steuerrechtliche Normen unberücksichtigt. Unberücksichtigt bleibt vor allem, dass die Grundsätze ordnungsmäßiger Buchführung keine spezifischen technischen Anforderungen an die Ausgestaltung elektronischer Archivierungssysteme vorsehen. Unabhängig von der eingesetzten Technologie verlangen die Grundsätze ordnungsmäßiger Buchführung, dass beim Einsatz von Archivierungssystemen die Einhaltung der gesetzlichen Ordnungsmäßigkeitsanforderungen gewährleitstet wird. Bedauerlicherweise wird diese Prinzipienorientierung des HGB von der TR-VELS nicht hinreichend klargestellt. Stattdessen wird nur eines der möglichen technischen Archivierungsverfahren aufgegriffen. Dies hat zur Folge, dass von der dargestellten Lösung abweichende Archivierungssysteme durch die TR-VELS unter den Vorbehalt gestellt werden, nicht ordnungsgemäß zu sein. Verkannt wird damit eines der essentiellsten handelsrechtlichen Grundprinzipien, nämlich die Skalierbarkeit von technischen Lösungen in Abhängigkeit von den konkreten betrieblichen Gegebenheiten und deren Implikationen für die Einhaltung der gesetzlichen Ordnungsmäßigkeitsanforderungen. Abgesehen davon werden von der TR-VELS die Kriterien Ordnungsmäßigkeit, Vollständigkeit und Sicherheit des Gesamtverfahrens als maßgebliche rechtliche Anforderungen (Abschn , S. 27) nicht sachgerecht definiert. Ihre Darstellung ist aus unserer Sicht zumindest irreführend, da das Kriterium Ordnungsmäßigkeit einen Obergriff darstellt und neben den Anforderungen nach Richtigkeit, Zeitgerechtheit und Ordnung der Eintragungen auch die Vollständigkeitsanforderung umfasst ( 239 Abs. 2 HGB). Die für die handelsrechtliche Beurteilung eines elektronischen Archivsystems relevanten Anforderungskriterien lassen sich zusammenfassend in folgende Kategorien unterscheiden: aus den Grundsätzen ordnungsmäßiger Buchführung abgeleitete Ordnungsmäßigkeitsanforderungen ( 239 Abs. 4 i.v.m. 238, 239 HGB), nicht kodifizierte Anforderungen an die Sicherheit des elektronischen Archivierungsverfahrens, die Nachvollziehbarkeit des elektronischen Archivierungsverfahrens ( 257 Abs. 3 i.v.m. 238 Abs. 1 Satz 2 HGB), die Nachvollziehbarkeit der Abbildung der einzelnen Geschäftsvorfälle in ihrer Entstehung und Abwicklung im Archivsystem ( 257 Abs. 3 i.v.m. 238 Abs. 1 Satz 3 HGB) sowie

4 Seite 4/5 zum Schreiben vom an das BSI die weiteren in 257 HGB aufgeführten Gesetzesanforderungen. Darüber hinaus finden die in 147 Abs. 2 AO definierten Anforderungen maschinelle Auswertbarkeit, jederzeitige Verfügbarkeit und unverzügliche Lesbarmachung keine nennenswerte Berücksichtigung. Auch erfolgt kein Hinweis auf den 147 Abs. 6 AO und die von der Finanzverwaltung normierten Zugriffsformen der Finanzbehörde. Insofern bleiben steuerliche Normen unberücksichtigt, die wesentliche funktionale Anforderungen an selbst tragende Archivsysteme beinhalten. Zertifizierung revisionssicherer und ordnungsmäßiger elektronischer Aufbewahrung In Abschnitt der TR-VELS (S. 36) wird ausgeführt, dass die Einhaltung der Revisionssicherheit auf Grundlage einer Verfahrensdokumentation durch den TÜV-IT zertifiziert werden kann. Revisionssicherheit umfasst nach der Darlegung in der TR-VELS auch die Ordnungsmäßigkeit der elektronischen Archivierung (vgl. TR-VELS, Abschn , S. 26 f.). Vor diesem Hintergrund möchten wir darauf hinweisen, dass der Prüfungsgegenstand einer gesetzlichen Abschlussprüfung auch die Beurteilung der Einhaltung der handelrechtlichen Aufbewahrungspflichten einschließlich der hierfür eingesetzten Archivsysteme und -lösungen umfasst. Insoweit wird bei der Abschlussprüfung mit Bezug auf die aufbewahrungspflichtigen Dokumente, insbesondere die rechnungslegungsrelevanten Daten und Dokumente, auch das entsprechende Archivierungsverfahren der Beurteilung durch den Wirtschaftsprüfer unterzogen. Dies gilt nicht nur für die Abschlussprüfungen bei privaten Kapitalgesellschaften und anderen Unternehmen, sondern gleichwohl auch für den kommunalen Bereich bzw. Unternehmen mit Beteiligungen des Bundes, der Länder oder der Kommunen. Wir verweisen hier auf die Bundeshaushaltsordnung und das Haushaltsgrundsätzegesetz. Aus diesem Grunde möchten wird klarstellen, dass die Prüfungshandlungen des Abschlussprüfers durch eine vorliegende Zertifizierung des TÜV-IT nicht ersetzt werden kann. Eine Berücksichtigung der Ergebnisse Dritter und damit auch des TÜV-IT unterliegt den generellen berufsständischen Regelungen des IDW Prüfungsstandard: Verwertung der Arbeit eines anderen externen Prüfers (IDW PS 320). Hiernach ist neben der beruflichen und fachlichen Qualifikation des Zertifizierers insbesondere die Nachvollziehbarkeit der Zertifizierung und deren Ergebnisse maßgebend. Daher kommt bspw. eine Berücksichtigung der Ergebnisse einer TÜV-Zertifizierung auch nur dann in Betracht, wenn der Um-

5 Seite 5/5 zum Schreiben vom an das BSI fang der TÜV-Zertifizierung anders als in TR-VELS, Abschn , S. 26 ausgeführt nicht nur auf die Verfahrensdokumentation beschränkt bleibt. Zusätzlich sind weitere qualitative Aspekte, insbesondere zur Unabhängigkeit des Zertifizierers, zu berücksichtigen. Wir hoffen, Ihnen die Notwendigkeit einer Klarstellung der TR-VELS dargelegt zu haben und stehen Ihnen gerne in einem persönlichen Gespräch für weitere vertiefende Erläuterungen zu Verfügung. Über den Inhalt dieses Schreiben haben wir unsere Mitglieder unterrichtet. Mit freundlichen Grüßen Dr. Feld