SAP MM-Berechtigungen in der Praxis

Transkript

1 1 Vorbemerkungen Bei der Prüfung der Berechtigungsvergabe im SAP Modul Materialwirtschaft treten einige Bereiche immer wieder in den Fokus der Untersuchung. Es handelt sich um die Bereiche Stammdatenpflege, Berechtigungen im Einkauf und in der Logistik- Rechnungsprüfung. Im Mittelpunkt der Untersuchungen stehen meist Fragen der Funktionstrennung (Vier-Augen-Prinzip) bei der Abwicklung der Geschäftsprozesse des Einkaufs und Fragen der Zugriffsrechte bei Pflege von Stammdaten. Um die Zugriffsrechte der SAP Benutzer untersuchen zu können, ist es notwendig, sich mit dem Sicherheitskonzept eines SAP Systems vertraut zu machen. Das mysap ERP ist ein OLTP-System (Online Transaction Processing). In der Praxis bedeutet das, dass die Zugriffsrechte im Basisbereich und in den betriebswirtschaftlichen Applikationen, wie dem Modul Materialwirtschaft, über Transaktionen gesteuert werden. Jede Transaktion wird durch einen Transaktionscode repräsentiert und erfordert im Allgemeinen zusätzliche Spezifikation der zu berechtigenden Funktionalität. Dies geschieht in Form von Berechtigungsobjekten mit entsprechend ausgeprägten Feldwerten, die in Berechtigungsprofilen gesammelt werden. Das Berechtigungskonzept des SAP-Systems basiert auf diesen Berechtigungsprofilen, die dem jeweiligen SAP-Benutzer im Benutzerstammsatz direkt oder in Form von Rollen zugewiesen werden. Für den SAP-Basis-Bereich und für die einzelnen Applikationen werden die Berechtigungsobjekte in Objektklassen zusammengefasst. Da das Modul Materialwirtschaft sehr umfangreich ist und sich über mehrere betriebswirtschaftliche Arbeitsgebiete erstreckt, sind die Berechtigungsobjekte in entsprechenden Objektklassen geordnet. Die Berechtigungsobjekte der hier vorgestellten Bereiche der Materialwirtschaft werden in folgende Objektklassen zusammengefasst: Objektklasse Materialwirtschaft Stammdaten MM_G Materialwirtschaft Einkauf MM_E Materialwirtschaft Rechnungsprüfung MM_R Im SAP-System können Sie mit der Transaktion SU21 die Objektklassen mit ihren Berechtigungsobjekten, Feldern und der dazugehörigen Dokumentation anzeigen. PRev Revisionspraxis

2 Abb. 1: Objektklassen der Materialwirtschaft Ausschnitt Abb. 2: Berechtigungsobjekt mit Feldern 34 PRev Revisionspraxis

3 Abb. 3: Dokumentation zum Objekt M_RECH_BUK Für exakte Auswertungen ist es notwendig, die den Transaktionen zugeordneten Berechtigungsobjekte zu kennen. In der Tabelle USOBT_C sind die Transaktionen mit den Berechtigungsobjekten hinterlegt, die beim Aufruf der Transaktionen vom System geprüft werden. In den nächsten Abschnitten werden aus den jeweiligen Anwendungsgebieten Beispiele zur Prüfung von Zugriffsrechten aus der Praxis vorgestellt. Die dabei untersuchten Berechtigungskombinationen erheben keinen Anspruch auf Vollständigkeit, sondern sollen als ein möglicher Prüfansatz verstanden werden. 2 Berechtigungen der Stammdatenpflege 2.1 Der Materialstamm Der Materialstammsatz enthält sämtliche Informationen aller Artikel und Teile, die ein Unternehmen beschafft, fertigt oder vorhält. Somit stellt der Materialstamm die Quelle zur Abfrage aller materialspezifischen Informationen dar. Da verschiedene Fachbereiche (Abteilungen) eines Unternehmens mit einem Material arbeiten und die Fachbereiche unterschiedliche Informationen zu einem Material hinterlegen, werden die Daten eines Materialstammsatzes nach ihrer Zugehörigkeit in verschiedene Sichten gegliedert. Jeder Fachbereich hat damit seine eigene Sicht auf einen Materialstammsatz und ist für die Pflege dieser Daten verantwortlich. Die Daten, die innerhalb einer Sicht gepflegt werden, können für verschiedene Organisationsebenen gültig sein. Das Steuerinstrument für den lesenden oder schreibenden Zugriff auf die einzelnen Sichten ist der Pflegstatus, der in der Tabelle MARA fortgeschrieben wird. Die Stammdaten bilden die Grundlage für die Abwicklung aller logistischen Prozesse in SAP. Eine differenzierte Einschränkung der Zugriffsrechte kann mit einer Vielzahl von Berechtigungsobjekten der Objektklasse MM_G definiert werden. In der Praxis wird oft geprüft, welche Benutzer Materialstammdaten neu anlegen dürfen. Dazu ist es notwendig, sich einen Überblick über die entsprechenden Transaktionen und die mit diesen Transaktionen verbundenen Berechtigungsobjekte zu verschaffen. Die Transaktionen können Sie aus dem SAP-Menübaum entnehmen oder im Interview in den Fachabteilungen erfragen. Materialstamm anlegen Für oben genanntes Beispiel soll der Transaktionscode MM01 (Material anlegen) untersucht werden. Als Erstes lassen Sie sich die mit diesem Transaktionscode verbundenen Berechtigungsobjekte in der Tabelle USOBT_C auflisten. PRev Revisionspraxis

4 Abb. 4: Selektionsbild mit Transaktionscode MM01 Abb. 5: Objekte zu Transaktion MM01 - Auswahl Sie sehen, dass beim Aufruf dieser Transaktion eine große Anzahl von Berechtigungsobjekten geprüft werden. Für die weitere Untersuchung wählen Sie die wichtigsten Berechtigungsobjekte aus. Eine mögliche Kombination von Berechtigungsobjekten wäre: S_TCODE Transaktion MM01(Materialstamm anlegen) M_MATE_NEU Attributwert * M_MATE_MAN Aktivität 01 (Anlegen) M_MATE_STA Aktivität 01 (Anlegen) Pflegestatus Materialstamm K (Grunddaten) gem. Tabelle T132 (Definition der Status) M_MATE_BUK (nur relevant, wenn Bewertung auf Buchungskreisebene erfolgt) Aktivität 01 (Anlegen) Buchungskreis gem. Tabelle T001 (Buchungskreise) M_MATE_WRK Aktivität 01 (Anlegen) gem. Tabelle T001W (e/niederlassungen) Mit der Transaktion SUIM steht Ihnen im SAP-System das Benutzerinformationssystem zur Verfügung. Dort können bis zu drei Berechtigungsobjekte ausgewertet werden. Sollen mehr als drei Objekte untersucht werden, muss die Auswertung mehrmals ausgeführt werden. Die jeweiligen Ergebnisse können dann in Access oder Excel zusammengeführt werden. 36 PRev Revisionspraxis

5 Um die berechtigten Benutzer zu ermitteln, wählen Sie folgenden Pfad: Transaktion SUIM Benutzer -> Benutzer nach komplexen Selektionskriterien -> Benutzer nach komplexen Selektionskriterien Abb. 6: Selektion Benutzerinformationssystem Als Ergebnis erhalten Sie eine Auflistung aller Benutzer, in deren Benutzerprofil die entsprechenden Berechtigungen enthalten sind. Die Vorgehensweise bei der Auswertung von weiteren Berechtigungsobjekten ist analog. Materialstamm ändern Für die Prüfung, welche Benutzer Materialstammdaten ändern dürfen, könnte eine mögliche Kombination von Berechtigungsobjekten folgendermaßen aussehen: S_TCODE Transaktion MM02 (Materialstamm ändern) M_MATE_STA Aktivität 02 (Ändern) Pflegestatus Materialstamm gem. Tabelle T132 (Definition der Status) M_MATE_WRK Aktivität 02 (Ändern) gem. Tabelle T001W (e/niederlassungen) PRev Revisionspraxis

6 2.2 Der Lieferantenstamm Da es sich bei den Stammdaten zu Lieferanten um die Kreditorenstammdaten aus dem Bereich der Finanzbuchhaltung handelt, sind auch die Berechtigungsobjekte zum Schutz dieser Daten in der Objektklasse der Finanzbuchhaltung zu finden. Abb. 7: Berechtigungsobjekte zum Kreditor Ein Prüfziel im Umfelde der Stammdaten der Materialwirtschaft beinhaltet also auch immer die Prüfung des Verfahrens zur Pflege von Kreditorenstammdaten. Der Kreditorenstamm setzt sich aus verschiedenen Sichten mit Buchhaltungsdaten und Einkaufsdaten zusammen, so dass an seiner Pflege unterschiedliche Verantwortungsbereiche beteiligt sind und das Risiko einer Inkonsistenz der Daten besteht. Kreditoren anlegen Die Prüfung auf das Recht, Kreditorenstammdaten in der Materialwirtschaft anzulegen,kann mit folgender Berechtigungskombination geprüft werden. Mit dem Berechtigungsobjekt M_LFM1_EKO kann die Pflege bzw. das Anlegen von Kreditoren auf eine bestimmte Einkaufsorganisation eingeschränkt werden S_TCODE Transaktion: MK01 (Kreditor anlegen Einkaufsdaten) oder XK01(Kreditor anlegen zentrale Daten) F_LFA1_APP Aktivität 01 (Anlegen) App.-Kennz. M (Einkauf) F_LFA1_GEN Aktivität 01 (Anlegen) F_LFA1_GRP Aktivität 01 (Anlegen) Kto.-Gruppe. gem. Tabelle T077K (Kontengruppen Kreditoren) M_LFM1_EKO Aktivität 01 (Anlegen) Einkaufsorg. gem. Tabelle T024E (Einkaufsorganisationen) Kreditoren ändern Für die Prüfung von Änderungsrechten am Kreditorenstamm könnte folgende Berechtigungskombination verwendet werden. S_TCODE Transaktion MK02 (Kreditor ändern Einkaufsdaten) oder XK02 (Kreditor ändern zentrale Daten) F_LFA1_APP Aktivität 02 (Ändern) App.-Kennz. M (Einkauf) F_LFA1_GEN Aktivität 02 (Ändern) F_LFA1_GRP Aktivität 02 (Ändern) Kto.-Gruppe. gem. Tabelle T077K (Kontengruppen Kreditoren) 3 Berechtigungen im Einkaufsprozess Im Einkauf werden die manuell erfassten Bedarfe und die aus der Bedarfsplanung stammenden Bestellvorschläge bearbeitet und in externe Bestellungen an Lieferanten umgesetzt. Für den Zugriff auf Einkaufdaten sollte eine strikte Funktionstrennung zwischen 38 PRev Revisionspraxis

7 der Bearbeitung von Stammdaten und dem Buchen von Bewegungsdaten herrschen. Mit Hilfe der Berechtigungssteuerung ist es möglich, ein automatisiertes 4-Augen-Prinzip zu implementieren. Im Rahmen einer Prüfung des Einkaufs kann dessen Einhaltung durch entsprechende Kombination der Berechtigungskomponenten überprüft werden. Die Berechtigungsobjekte der Objektklasse MM_E Einkauf gliedern sich entsprechend der einzelnen Stufen des Einkaufsprozesses. Abb. 8: Berechtigungsobjekte des Einkaufs 3.1. Bestellanforderungen Der Beschaffungsprozess beginnt im Allgemeinen mit dem Erfassen des Bedarfs in Form einer Bestellanforderung. Die weitere Bearbeitung wird häufig über ein Freigabeverfahren gesteuert. Ziel des Freigabeverfahrens ist es, manuelle Unterschriftsverfahren elektronisch zu ersetzen und das Vier-Augen-Prinzip zu wahren. Beim Erfassen einer Bestellanforderung wird aufgrund bestimmter Bedingungen (z. B. dem Wert) automatisch eine Freigabestrategie zugeordnet. Sie legt fest, vom wem und in welcher Reihenfolge der Beleg freigegeben werden muss. Nachfolgend sind einige Berechtigungskombinationen aufgelistet, die sich bei Prüfungen in der Praxis bewährt haben. Bestellanforderungen anlegen S_TCODE Transaktion ME51 (Bestellanforderung hinzufügen) oder ME51N (Bestellanforderung anlegen) M_BANF_BSA Aktivität 01 (Anlegen) Einkaufsbelegart gem. Tabelle T161 (Einkaufsbelegarten) M_BANF_EKG Aktivität 01 (Anlegen) Einkäufergruppe gem. Tabelle T024 (Einkaufsgruppen) M_BANF_EKO Aktivität 01 (Anlegen) Einkaufsorg. gem. Tabelle T024E (Einkaufsorganisationen) M_BANF_WRK Aktivität 01 (Anlegen) gem. Tabelle T001W (e/niederlassungen) PRev Revisionspraxis

8 Bestellanforderungen freigeben S_TCODE Transaktion ME54 (Bestellanforderung freigeben) oder ME55 (Sammelfreigabe Bestellanforderungen) M_BANF_BSA Aktivität 02 (Ändern) Einkaufsbelegart gem. Tabelle T161 (Einkaufsbelegarten) M_BANF_EKG Aktivität 02 (Ändern) Einkäufergruppe gem. Tabelle T024 (Einkaufsgruppen) M_BANF_EKO Aktivität 02 (Ändern) Einkaufsorg. gem. Tabelle T024E (Einkaufsorganisationen) M_BANF_WRK Aktivität 02 (Ändern) gem. Tabelle T001W (e/niederlassungen) M_BANF_FRG Freigabecode gem. Tabelle T161E (Freigabecodes) Nach der Freigabe der Bestellanforderungen können diese in Bestellungen umgesetzt werden. Zwischen Bestellanforderung, Bestellung und Rechnungsprüfung sollte eine Funktionstrennung systemseitig, durch Berechtigungen auf die entsprechenden Transaktionen und Berechtigungsobjekte, sichergestellt sein Bestellungen Eine Bestellung ist eine rechtlich wirksame Willenserklärung. Mit der Bestellung wird mit einem Lieferant eine Vereinbarung getroffen, die in der Bestellung beschriebenen Waren oder Dienstleistungen zu den angegebenen Konditionen bereitzustellen. Vor der Prüfung des Einkaufs ist es zu empfehlen, sich einen Überblick über die Einkaufsprozesse zu verschaffen. Besonders über den organisatorischen Aufbau des Einkaufs (Einkaufsorganisation, Einkäufer gruppen und e), da diese Informatinen benötigt werden, um die Feldwerte der Berechtungsobjekte korrekt einzugrenzen. Weiterhin werden Kenntnisse über die internen Kontrollen (Freigabeverfahren von Bestellanforderungen oder Be stellungen) benötigt. Die in eine Prüfung einzubeziehenden Berechtigungskomponenten sind in der folgenden Übersicht aufgelistet. Bestellungen anlegen S_TCODE Transaktion ME21 (Bestellung hinzufügen) oder ME21N (Bestellung anlegen) M_BEST_BSA Aktivität 01 (Anlegen) Einkaufsbelegart gem. Tabelle T161 (Einkaufsbelegarten) M_BEST_EKG Aktivität 01 (Anlegen) Einkäufergruppe gem. Tabelle T024 (Einkaufsgruppen) M_BEST_EKO Aktivität 01 (Anlegen) Einkaufsorg. gem. Tabelle T024E (Einkaufsorganisationen) M_BEST_WRK Aktivität 01 (Anlegen) gem. Tabelle T001W (e/niederlassungen) 40 PRev Revisionspraxis

9 Bestellungen ändern S_TCODE Transaktion ME22 (Bestellung ändern) oder ME22N (Bestellung ändern) M_BEST_BSA Aktivität 02 (Ändern) Einkaufsbelegart gem. Tabelle T161 (Einkaufsbelegarten) M_BEST_EKG Aktivität 02 (Ändern) Einkäufergruppe gem. Tabelle T024 (Einkaufsgruppen) M_BEST_EKO Aktivität 02 (Ändern) Einkaufsorg. gem. Tabelle T024E (Einkaufsorganisationen) M_BEST_WRK Aktivität 02 (Ändern) gem. Tabelle T001W (e/niederlassungen) Freigabeverfahren für Einkaufsbelege Die Freigabe von Einkaufsbelegen (Bestellung, Kontrakt, Lieferplan, Anfrage und Dienstleistungserfassungsblatt) ist der Vorgang, bei dem die Richtigkeit der Beleg daten geprüft und vor der Übermittlung an den Lieferanten genehmigt wird. Jeder Einkaufsbeleg wird auf relevante Bedingungen hin überprüft. Bei Erfüllung der Bedingungen wird dem Beleg automatisch eine Freigabestrategie zugeordnet. Beim Aufruf der Transaktion ME28 zur Freigabe einer Bestellung wird zusätzlich zum Transaktionscode nur noch das Objekt M_ EINK_FRG geprüft. 4 Berechtigungen in der Rechnungsprüfung Beim Rechnungseingang und der Rechnungsprüfung werden die wertmäßigen Buchungen zum Wareneingang vorgenommen. Es besonders wichtig, dass alle Abweichungen erfasst und verwaltet werden. Zusätzlich werden hier die Preise verwaltet und es bestehen Schnittstellen zum Bereich Kreditoren und zum Zahlungsverkehr. Da es sich hier um besonders sensible Bereiche handelt, ist auf eine Funktionstrennung und Vier-Augen-Prinzip (zwischen Stammdatenverwaltung und Buchung, abteilungsmäßig zwischen Rechnungsprüfung und Einkauf sowie Kreditorenbuchhaltung und Zahlungsverkehr) zu achten. Die folgenden Berechtigungsobjekte unterstützen Automatisierung dieser Anforderungen. Abb. 9 Berechtigungsobjekte der Rechnungsprüfung Logistik-Rechnungsprüfung: Rechnung hinzufügen S_TCODE Transaktion MIRO M_RECH_AKZ Aktivität 01 (Anlegen) M RECH_WRK Aktivität 01 (Anlegen) gem. Tabelle T001W PRev Revisionspraxis

10 Das System prüft jede Rechnungsposition auf Abweichungen. Für jede Abweichungsart können Toleranzgrenzen eingestellt werden. Differenzen zwischen Bestellung, Wareneingang und Rechnung in einer Position führen dazu, dass die gesamte Rechnung automatisch zur Zahlung gesperrt wird. Nur berechtigte Mitarbeiter können einzelne Sperrgründe aufheben und die Rechnung zur Zahlung freigeben. Gesperrte Rechnungen freigeben S_TCODE Transaktion MRBR (Gesperrte Rechnungen freigeben) M_RECH_EKG Aktivität 02 (Ändern) Einkäufergruppe gem. Tabelle T024 (Einkaufsgruppen) M_RECH_SPG Aktivität 02 (Ändern) Rücksetzen einzelner Sperrgründe Sperrgrund G (Bestellpreismenge) M (Menge) P (Preis) Q (manuell) T (Termin) Dipl.-Ing. Helga Brückner, IBS Schreiber GmbH. Nach dem Ingenieur-Studium der Fachrichtung Informationsverarbeitung war Frau Brückner mehrere Jahre Anwendungsentwicklerin im kaufmännischen Bereich. Danach war sie als stellvertretende Abteilungsleiterin der Abt. EDV in der öffentlichen Verwaltung tätig. Seit 1997 ist Frau Brückner SAP -Beraterin und Dozentin mit den Schwerpunkten Logistikprozesse und Business Warehouse. XXUMFASSEND UND PRAXISNAH.XX Handbuch der Datenprüfung von Dipl.-Informatiker Holger Klindtworth 2006, 438 Seiten, gebunden, 64,90 ISBN Das Praxiswerk richtet sich an Prüfer und Verantwortliche im Unternehmen: Innenrevisoren und Prozessverantwortliche, Wirtschaftsprüfer und Berater, Betriebsprüfer und Steuerpflichtige, Controller, IT-Spezialisten und Anwender in den Fachabteilungen. D.h. an alle, die ein Interesse an Unternehmensdaten haben, unabhängig davon, ob sie langjährige Erfahrung mit der Untersuchung von Daten mitbringen oder diese geheimnisvolle Welt erst betreten. Zu beziehen bei Ihrer Buchhandlung oder beim RICHARD BOORBERG VERLAG GmbH & Co KG Stuttgart bzw. Postfach , München oder Fax an: 07 11/ bzw. 089/ Internet: bestellung@boorberg.de Die Schwerpunkte sind: Systematische und unsystematische Prozessfehler, Fraud und dolose Handlungen, Doppelzahlungen, Adressbereinigung und Stichprobenverfahren, Dollar-Unit-Sampling, Regression und Benfords-Law, IDEA, ACL, Business- Intelligence und zeugauswahl, GDPdU, SAP sowie Excel & Co. sz PRev Revisionspraxis