IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (IDW PS 880)

Transkript

1 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (IDW PS 880) (Stand: ) 1 1. Vorbemerkung Prüfung von Softwareprodukten Verfahrensprüfung Verarbeitungsfunktionen Prüfung der notwendigen Verarbeitungsfunktionen Prüfung der programmierten Verarbeitungsregeln Prüfung der Softwaresicherheit Prüfung der Differenzierung von Zugriffsberechtigungen Prüfung der vorgesehenen Datensicherungs- und Wiederanlaufverfahren Beurteilung der Programmentwicklung, -wartung und - freigabe Prüfung der Dokumentation Folgeprüfungen Vollständigkeitserklärung Berichterstattung und Softwarebescheinigung Berichterstattung Softwarebescheinigung Verwendung von Softwarebescheinigungen im Rahmen der Jahresabschlußprüfung Vorbemerkung (1) Dieser Prüfungsstandard zeigt die Anforderungen auf, die bei der Prüfung von Softwareprodukten und der Erteilung von Bescheinigungen zu Softwareprodukten zu beachten sind, wenn diese für die Ordnungsmäßigkeit der Rechnungslegung von Bedeutung sind. Von Wirtschaftsprüfern erteilte Bescheinigungen dieser Art werden in der Praxis vielfach als Software-Testate bezeichnet. (2) Während sich die Stellungnahme FAMA 1/1987: Grundsätze ordnungsmäßiger Buchführung bei computergestützten Verfahren und deren Prüfung 2 mit der Prüfung 1 2 Verabschiedet vom HFA am Redaktionelle Anpassung am WPg 1988, S. 1 ff. 1

2 computergestützter Verfahren beim Softwareanwender befaßt, bei dem die Software in dessen Unternehmensorganisation integriert ist, behandelt dieser IDW Prüfungsstandard die Prüfung von Softwareprodukten beim Softwarehersteller oder Softwareanwender vor Implementierung im jeweiligen Unternehmensumfeld des Softwareanwenders. (3) Gegenstand der Softwareprüfung ist die Beurteilung der Einhaltung der Grundsätze ordnungsmäßiger Buchführung im Rahmen der durch die Software vorgegebenen Verfahren. (4) Darüber hinaus behandelt der IDW Prüfungsstandard die Verwendung einer vorliegenden Softwarebescheinigung im Rahmen einer Abschlußprüfung beim Softwareanwender im Hinblick auf Art und Umfang der im Rahmen von Abschlußprüfungen erforderlichen Prüfungshandlungen zur Beurteilung der Ordnungsmäßigkeit der Buchführung. Insoweit erläutert und vertieft der IDW Prüfungsstandard die im Fachgutachten 1/1988: Grundsätze ordnungsmäßiger Durchführung von Abschlußprüfungen 3 enthaltenen Überlegungen zur Verwendung von Prüfungsergebnissen Dritter. 2. Prüfung von Softwareprodukten 2.1. Verfahrensprüfung (5) Zu Beginn einer Prüfung von Softwareprodukten auf die Einhaltung von Ordnungsmäßigkeitsanforderungen und fachlichen Anforderungen ist eine Bestandsaufnahme des Prüfungsobjektes (Anwendungssoftware) und der Testumgebung (Hardwarekonfiguration, eingesetzte Betriebssystemkomponenten, ggf. Netzwerksoftware und Datenbankanwendungen) vorzunehmen. Voraussetzung hierfür ist das Vorliegen geeigneter Dokumentationsunterlagen. (6) Inhalte dieser Verfahrensprüfung sind die Feststellung der notwendigen Verarbeitungsfunktionen, die Prüfung der Richtigkeit der Programmabläufe und der programmierten Regeln zu den Verarbeitungsfunktionen, die Prüfung der Softwaresicherheit sowie die Prüfung der Dokumentation. 3 WPg 1989, S. 9 ff. 2

3 Verarbeitungsfunktionen Prüfung der notwendigen Verarbeitungsfunktionen (7) Im Rahmen der Verfahrensprüfung sind die Verarbeitungsfunktionen zu beurteilen, die für die Einhaltung der Grundsätze ordnungsmäßiger Buchführung (GoB) von Bedeutung sind. Dies sind insbesondere die Belegfunktion, die Journalfunktion und die Kontenfunktion. Dabei ist zu beachten, daß bei den einer Finanzbuchhaltung vorgelagerten EDV-Anwendungen (z.b. Materialwirtschaft und Auftragsabwicklung) nicht alle Funktionen rechnungslegungsbezogen sind. Die auf die Software in ihrer Gesamtheit gerichtete Prüfung hat insbesondere die Funktionen zu umfassen, die - unter Berücksichtigung von Interdependenzen - Einfluß auf eine ordnungsmäßige Buchführung und die Erstellung von Jahresabschlüssen haben. (8) Zum Inhalt der Prüfung der Verarbeitungsfunktionen und zu den Erfordernissen, die sich aus den Ordnungsmäßigkeitsanforderungen für die Prüfung ergeben, sind die Vorschriften des Handelsgesetzbuches ( 238, 239, 257 HGB) und der Abgabenordnung ( 145, 146, 147 AO), die Stellungnahme FAMA 1/ sowie die "Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)" mit dem dazu ergangenen Begleitschreiben des Bundesministers für Finanzen vom zu beachten. (9) Der Wirtschaftsprüfer hat in bezug auf die Erfüllung von Beleg-, Journal- und Kontenfunktion u.a. festzustellen, ob das Softwareprodukt die folgenden Anforderungen erfüllt: Im Zusammenhang mit der Ausführung von Buchungen muß die Software für den Beleg die Angabe des Buchungsbetrags (oder Mengen- und Wertangaben, aus denen sich der zu buchende Betrag ergibt), der Kontierung, des Buchungstextes, der Belegnummer bzw. des Ordnungskriteriums für die Abfolge sowie des Beleg- und Buchungsdatums sowie der Buchungsperiode sicherstellen (Belegfunktion). Die Software hat sicherzustellen, daß ein Ausdruck in der Reihenfolge der Zeitpunkte der Buchungsdaten, die jeweils erkennbar sein müssen, möglich ist. Hierzu ist auch nachzuweisen, daß die Software den Ausdruck der Buchungsdaten oder eine Speicherung der Buchungsdaten in Kombination mit Ausdruckbereitschaft unterstützt (Journalfunktion). 4 a.a.o., vgl. Fußnote 2. 3

4 Die Software hat zu gewährleisten, daß Buchungsaufzeichnungen die Kontenbezeichnung, einen Nachweis der lückenlosen Blattfolge, die Kennzeichnung der Buchungen, der Einzelbeträge, der Summen und Salden nach Soll und Haben, das Buchungsdatum, das Gegenkonto, einen Belegverweis sowie den Buchungstext oder dessen Verschlüsselung enthalten (Kontenfunktion). Die Software muß sicherstellen, daß die Buchungsdaten sowohl in Form von Journalen als auch von Konten vollständig ausgegeben werden können. Bei Speicherung des Buchungsstoffes auf Datenträgern muß durch die Software insbesondere ermöglicht werden, daß die Daten innerhalb angemessener Frist lesbar gemacht werden können. (10) Die ordnungsgemäße Buchung ist insbesondere durch die Erfüllung folgender Anforderungen an die Software sicherzustellen: Auf die gespeicherten Geschäftsvorfälle und Teile von diesen kann gezielt zugegriffen werden. Die Verarbeitungsfähigkeit der Buchungen ist über die Bearbeitungsstufen sichergestellt; dies setzt voraus, daß neben den Daten zum Geschäftsvorfall selbst auch die für die Verarbeitung erforderlichen Tabellendaten und Programme gespeichert sind. Zur vollständigen und richtigen Erfassung von Geschäftsvorfällen sind die erforderlichen Kontrollen eingerichtet; ferner wird gewährleistet, daß Veränderungen im Buchungsstoff so vorgenommen werden, daß der ursprüngliche Zustand wie auch die Tatsache, daß eine Veränderung vorgenommen wurde, erkennbar bleibt ( 239 Abs. 3 HGB). Um zu gewährleisten, daß alle für die nachfolgende Verarbeitung erforderlichen Merkmale einer Buchung vorhanden und plausibel sind, sind Vollständigkeitskontrollen (Mußfelder) und weitere Erfassungskontrollen (Datum, Konsistenz, Kontrollrechnung) eingerichtet. Insbesondere wird sichergestellt, daß die Merkmale für eine zeitliche Darstellung sowie eine Darstellung nach Sach- und Personenkonten gespeichert sind. Die Systemausgaben (z.b. Bildschirm- und Listenausgaben, Datenaufbereitung für Berichte oder Übertragungen) sind vollständig und richtig. (11) Im Hinblick auf die Datensicherheit und die Nachvollziehbarkeit hat der Prüfer festzustellen, ob innerhalb des Funktionsumfangs die Software die für die Buchführung relevanten Informationen (Tabellen- und Stammdaten, Bewegungsdaten, insbesondere Daten der Geschäftsvorfälle) - zumindest für die Dauer der gesetzlichen Aufbe- 4

5 wahrungsfristen - gegen Verlust sichern und gegen unberechtigte Veränderungen schützen kann (vgl. hierzu Abschn ) (12) Neben den zuvor genannten Funktionen werden durch die Software häufig eine Reihe weiterer Verarbeitungsfunktionen erfüllt, die von der besonderen Aufgabenstellung abhängen (z.b. Mandantenfähigkeit, Verarbeitungsmöglichkeit von Fremdwährungen, Im- und Exportmöglichkeiten von/zu anderen Programmen, Erstellung individueller Auswertungen). Es ist zu untersuchen, ob von der Software die zwingend abzudeckenden gesetzlichen Anforderungen erfüllt werden. Zusätzlich ist zu beurteilen, ob die realisierten weiteren Verarbeitungsfunktionen im jeweiligen Aufgabengebiet der Software den Anforderungen an die Ordnungsmäßigkeit der Rechnungslegung genügen. Darüber hinaus ist festzustellen, ob insbesondere die laut Dokumentation vom Programm zu erfüllenden Verarbeitungsfunktionen bezüglich einer ordnungsgemäßen Rechnungslegung implementiert und so ausreichend detailliert beschrieben sind, daß sie zweifelsfrei nachvollzogen werden können. Der Umfang der Verarbeitungsfunktionen ist vom Softwarehersteller darzulegen. (13) Die Vollständigkeit der Verarbeitungsfunktionen der zu prüfenden Software läßt sich anhand der Verfahrensdokumentation (z.b. Pflichtenheft oder Feinkonzept) prüfen. Aus der zugrunde zu legenden Verfahrensdokumentation muß hierzu Inhalt, Aufbau und Ablauf des Abrechnungsverfahrens vollständig ersichtlich sein. (14) Darüber hinaus ist zu prüfen, ob die Verfahrensdokumentation weitere notwendige Informationen zu den Bereichen der EDV-Anwendung enthält (vgl. hierzu Abschn ) Prüfung der programmierten Verarbeitungsregeln (15) Die Verfahrensprüfung erstreckt sich auch auf die Untersuchung der Richtigkeit der Programmabläufe, der sachlogischen Richtigkeit der programmierten Verarbeitungsregeln und auf die Wirksamkeit der im Programm enthaltenen Plausibilitätskontrollen. (16) Einige exemplarisch aufgezählte rechnungslegungsbezogene Verarbeitungsregeln sind: Plausibilitätskontrollen, Umsatzsteuerermittlung, Summierungen, Saldierungen, 5

6 Kontierung, Buchung, Zinsberechnungen, Berechnung von Skonti und Fälligkeiten, Währungsumrechnungen, Konten- und Periodenzuordnung, Jahreswechsel (Bilanzidentität). (17) Die Prüfung von Umfang und Wirksamkeit maschineninterner Plausibilitätskontrollen umfaßt sowohl Eingabekontrollen als auch maschinelle Kontroll- und Abstimmverfahren im Verarbeitungsablauf. Beide sollen als Teil des softwareunterstützten internen Kontrollsystems zur Sicherstellung der Verarbeitung vollständiger und richtiger Daten beitragen. (18) Zu diesen computergestützten Kontrollen zählen z.b.: Prüfung der Parameter zur Verarbeitungssteuerung, Prüfung der Felder u.a. auf gültige Formate und Einhaltung vorgegebener Grenzwerte, Prüfung der Existenz von eingegebenen Sach- und Personenkonten, Kostenstellen und trägern, Prüfung von Soll-Haben-Identität bei der Eingabe von Buchungssätzen, programminterne Numerierung von Belegen zum Nachweis der Lückenlosigkeit/Eindeutigkeit, keine Löschungs- und Änderungsmöglichkeit von bebuchten Konten, Kostenstellen und Buchungssätzen. (19) Die Prüfung der programmierten Verarbeitungsregeln sollte vornehmlich mit Hilfe der Testfallmethode durchgeführt werden. Dabei sollte der Prüfer in erster Linie auf schon vorhandene Testfälle des Softwareherstellers zurückgreifen, wenn diese für die zu beurteilenden Verarbeitungsfunktionen repräsentativ sind. Darüber hinaus muß der Prüfer auch selbst ausgearbeitete Testfälle verwenden. (20) Die Testfälle müssen die wesentlichen, in der Dokumentation beschriebenen Funktionen abdecken und die für die Arbeitsaufgabe repräsentative Kombination von Funktionen berücksichtigen. Außerdem sollten die Testfälle auch fehlerhafte Datenkombinationen enthalten, um zu prüfen, ob zulässige Fälle vom System richtig erkannt und unzulässige Fälle abgewiesen werden. (21) Neben Tests der Eingabe- und Verarbeitungskontrollen sind die Systemausgaben (z.b. Bildschirm-/Druckerausgaben) zu prüfen. Sofern das zu beurteilende Programm 6

7 aus verschiedenen Teilmodulen besteht, sind übergreifende Integrationstests erforderlich. (22) Eine Prüfung der Programmabläufe anhand der Programmcodierung in den Quellprogrammen ist nur in Ausnahmefällen als Ergänzung zur Prüfung spezifischer Verarbeitungsfunktionen erforderlich Prüfung der Softwaresicherheit (23) Die Prüfung der Softwaresicherheit umfaßt den Zugriffsschutz, die Datensicherungsund Wiederanlaufverfahren sowie die Beurteilung der Programmentwicklung, -wartung und -freigabe Prüfung der Differenzierung von Zugriffsberechtigungen (24) Ziel der Prüfung der Differenzierung von Zugriffsberechtigungen ist die Feststellung, ob die Software die Einhaltung der Funktionstrennung unterstützt. Im einzelnen muß untersucht werden, ob und inwieweit es die Anwendersoftware - ggf. im Zusammenspiel mit dem Betriebssystem bzw. einem übergeordneten Sicherheitssystem - zuläßt, durch Vergabe von Benutzerkennungen (User-ID's) und Passworten sowie die Zuordnung von Berechtigungen zu diesen, individuelle Benutzerprofile zu definieren und einzurichten, die es nur befugten Mitarbeitern ermöglichen, auf bestimmte Funktionen und/oder Datenfelder zuzugreifen. (25) Darüber hinaus sollten u.a. die nachfolgend genannten Fragen beantwortet werden: Werden Zugriffe vom System mit der Benutzerkennung protokolliert? Ist die Geheimhaltung von Passwörtern gewährleistet (keine Anzeige am Bildschirm; kein unberechtigtes Lesen von Passwort-Dateien möglich; Verschlüsselung in einer Netzwerkumgebung)? Werden periodische Änderungen der Passworte vom System verlangt? Werden triviale Passworte ausgeschlossen? Wie reagiert das System auf Zugriffsverletzungen (z.b. Abweisung mehrerer Zugriffsversuche, Time-out)? Ist eine rollenspezifische Zuordnung von Berechtigungen/Profilen möglich (nur die Berechtigungen werden erteilt, die zur Bearbeitung der einer Stelle zuzuordnenden Aufgaben erforderlich sind)? 7

8 Prüfung der vorgesehenen Datensicherungs- und Wiederanlaufverfahren (26) Bei der Prüfung der Datensicherungs- und Wiederanlaufverfahren sind die von der Software zur Verfügung gestellten Möglichkeiten im Zusammenhang mit dem eingesetzten Computerumfeld zu beurteilen, die es erlauben, Daten und Programme periodisch zu sichern. Neben den in der Software vorgesehenen Maßnahmen (z.b. Datenspiegelung, Wiederanlaufpunkte) sind auch die im technischen und organisatorischen Umfeld der untersuchten Software verfügbaren Datensicherungs- und Wiederanlaufverfahren zu beurteilen. (27) Die Datensicherung soll gewährleisten, daß bei einem Systemabsturz bzw. bei Verlust oder Vernichtung von Daten eine ordnungsgemäße Datenrekonstruktion durchgeführt werden kann. Die erforderlichen Arbeitsschritte sind in einem entsprechenden Wiederanlaufverfahren zu beschreiben Beurteilung der Programmentwicklung, -wartung und -freigabe (28) Zur Beurteilung der Möglichkeiten einer künftigen Programmpflege sind die DV-technischen Werkzeuge und die organisatorischen Maßnahmen bei der Programmentwicklung zu untersuchen. Die Beurteilung der Programmentwicklungsumgebung ist insbesondere dann erforderlich, wenn Bestandteile der Verfahrensdokumentation in der Entwicklungsumgebung generiert bzw. gespeichert werden. Weiterhin muß über die Entwicklungsumgebung bzw. über die Bibliotheksverwaltungsprogramme die notwendige Versionsführung nachgewiesen und die Änderungsdokumentation erstellt werden können. Die Freigabeverfahren und Wartungsmethoden sind im Hinblick auf mögliche Prüfungen späterer Programmversionen von Bedeutung Prüfung der Dokumentation (29) Umfang und Aussagefähigkeit der Dokumentation einer Software sind wichtige Qualitätskriterien für Anwender und Prüfer. Die Verfahrensdokumentation besteht aus der Systemdokumentation und der Anwenderdokumentation. Sie ist erforderlich für die sachgerechte Handhabung und künftige Fortführung der Software. Eine sachgerechte Dokumentation ist Voraussetzung für die Nachvollziehbarkeit und damit die Prüfbarkeit des Verfahrens. 8

9 (30) Der erforderliche Umfang der Verfahrensdokumentation kann nur für den konkreten Einzelfall bestimmt werden und hängt im wesentlichen von Größe und Komplexität des zu beurteilenden Systems ab. (31) In Anlehnung an FAMA 1/ und die GoBs ist folgender Mindestinhalt der Verfahrensdokumentation vorgesehen: Beschreibung der sachlogischen Lösung, Beschreibung der programmtechnischen Lösung, Beschreibung, wie die Programmidentität gewahrt wird, Beschreibung, wie die Integrität der Daten gewahrt wird, und Arbeitsanweisungen für den Anwender. (32) Die Beschreibung der sachlogischen Lösung enthält die Darstellung der fachlichen Aufgabe aus der Sicht des Anwenders. Hierbei sind insbesondere folgende Aspekte zu beachten: Aufgabenstellung, Datensatzaufbau (Dateneingabe), Datenausgabe, Verarbeitungsregeln einschließlich Kontroll- und Abstimmverfahren, Fehlerbehandlung, Schlüsselverzeichnisse und Schnittstellen zu anderen Systemen. (33) Des weiteren sind folgende generelle Anforderungen an die Dokumentation zu stellen: Die Dokumentation muß vollständig und aktuell sein, d.h. es müssen alle für die Anwendung der Software notwendigen Informationen enthalten sein. Die Dokumentation muß fehlerfrei und eindeutig sein, d.h. alle Angaben in der Dokumentation müssen zutreffen und untereinander widerspruchsfrei sein. Die Dokumentation muß für den Anwender, der eine bestimmte Arbeitsaufgabe zu erledigen hat, verständlich sein, z.b. durch die geeignete Wahl von Begriffen, graphische Darstellungen und ausreichende Detaillierung. 5 a.a.o., vgl. Fußnote 2. 9

10 Die Dokumentation muß übersichtlich sein, so daß die Zusammenhänge zwischen den einzelnen Arbeitsbereichen erkennbar sind. Unabhängig davon, ob die Verfahrensdokumentation ganz oder teilweise beim Anwender, beim Programmentwickler oder einem Dritten aufbewahrt wird, ist es erforderlich, daß diese dem Prüfer auf Verlangen in einer angemessenen Zeit zugänglich gemacht werden kann. (34) Die Verfahrensdokumentation als Teil der DV-Buchführung gehört zu den Arbeitsanweisungen und sonstigen Organisationsunterlagen i.s.d. 257 Abs. 1 HGB bzw. 147 Abs. 1 AO und ist grundsätzlich zehn Jahre aufzubewahren. Ist die Verfahrensdokumentation lediglich Teil der Belegfunktion, beträgt die Aufbewahrungsfrist sechs Jahre. (35) Neben der Verfahrensdokumentation ist zu prüfen, ob die vorgesehenen organisatorischen Maßnahmen und Vereinbarungen geeignet sind, einem sachverständigen Dritten innerhalb angemessener Zeit ein Verständnis für das dokumentierte Verfahren zu verschaffen. (36) Eine nicht vorliegende Dokumentation oder eine nur unzureichende Dokumentation stellt einen schwerwiegenden Mangel dar und hat die Versagung der Softwarebescheinigung zur Folge Folgeprüfungen (37) Häufig wird rechnungslegungsrelevante Software fortlaufend weiterentwickelt, so daß sich an die Untersuchung der früheren Versionen einer Software weitere Prüfungen späterer Versionen anschließen. Bei diesen Folgeprüfungen sind die gleichen Maßstäbe und Kriterien heranzuziehen, die bei der erstmaligen Prüfung und Bescheinigung einer Software anzuwenden sind. (38) Auf der Grundlage der Ergebnisse der Prüfung vorhergehender Softwareversionen läßt sich jedoch der Umfang von Folgeprüfungen insbesondere der Testfallprüfungen zu den Einzelfunktionen reduzieren, sofern ein wirksames Internes Kontrollsystem zur Qualitätssicherung und Fehlerbehebung im Rahmen des Entwicklungsprozesses beim Softwarehersteller eingerichtet ist, 10

11 die Grundstrukturen der Software im wesentlichen unverändert geblieben sind und keine wesentlichen Änderungen oder Erweiterungen der untersuchten Software vorgenommen wurden und die im Rahmen der Softwarepflege und wartung vorgenommenen funktionalen Änderungen und Erweiterungen in der Verfahrensdokumentation eindeutig abgegrenzt und nachvollzogen werden können Vollständigkeitserklärung (39) Der Wirtschaftsprüfer hat von dem beauftragenden Unternehmen eine Vollständigkeitserklärung darüber einzuholen, daß alle für die Prüfung sowie die Erteilung der Softwarebescheinigung bedeutsamen Unterlagen, Angaben, Erläuterungen und Auskünfte vollständig und richtig erteilt wurden 6 ; sie ist kein Ersatz für Prüfungshandlungen. Für die Einholung der Vollständigkeitserklärung gelten die Grundsätze des Fachgutachtens 1/1988, Abschn. D. II. 4. c3) sinngemäß Berichterstattung und Softwarebescheinigung Berichterstattung (40) Die Ergebnisse der Softwareprüfung sind grundsätzlich in einem Bericht festzuhalten. Bei der Erstellung des Berichts über die Softwareprüfung sind die im IDW Prüfungsstandard: Grundsätze ordnungsmäßiger Berichterstattung bei Abschlußprüfungen (IDW PS 450) 7 niedergelegten allgemeinen Berichtsgrundsätze zu beachten. (41) Im einzelnen hat der Bericht mindestens folgende Punkte zu enthalten: I. Auftrag und Auftragsdurchführung Auftraggeber Prüfungsgegenstand Abgrenzung des Prüfungsgegenstandes Bezeichnung, Anwendungsbereich und Version der geprüften Software Eingesetzte Hardwarekonfiguration 6 7 Eine Vollständigkeitserklärung zur Erteilung von Softwarebescheinigungen ist durch die IDW-Verlag GmbH, Postfach , Düsseldorf zu beziehen. Die Vollständigkeitserklärung ist im Einzelfall je nach Auftrag zu ändern oder zu ergänzen. WPg 1999, S. 601 ff. 11

12 Eingesetztes Betriebssystem (Version) ggf. eingesetzte Netzwerksoftware und Datenbankanwendung Grundlagen der Prüfung Gesetzliche Vorschriften Berufsständische Verlautbarungen Art und Umfang der Prüfungshandlungen Einholung einer Vollständigkeitserklärung Hinweis auf Geltung der Allgemeinen Auftragsbedingungen II. Darstellung der Prüfungsergebnisse Notwendige Verarbeitungsfunktionen Verarbeitungsregeln Softwaresicherheit Dokumentation III. Zusammenfassung der Prüfungsergebnisse und Bescheinigung (42) Im Bericht über die Softwareprüfung sind die bei der Prüfung festgestellten Fehler und Mängel darzustellen und zu würdigen. Hierbei sollten die folgenden Fehler und Mängel unterschieden werden: Programmfehler und -mängel (fehlerhafte Verarbeitungsfunktionen und -regeln), Kontrollsystemfehler und -mängel (fehlerhafte Eingabe-, Ausgabe- und Plausibilitätskontrollen), Dokumentationsfehler und -mängel (unzureichende oder unrichtige Verfahrensdokumentation) und Funktionalitätsprobleme (wesentliche Mängel bei der Bedienbarkeit und der Lauffähigkeit der Software). Dabei ist die Software insgesamt im Hinblick auf die Einhaltung der rechtlichen Anforderungen und der Grundsätze ordnungsmäßiger Buchführung zu beurteilen. (43) In der Zusammenfassung sind die wesentlichen Gesichtspunkte der Softwareprüfung (Prüfungsabgrenzung, -maßstäbe, -gegenstand, -feststellungen und -ergebnisse) darzulegen, aus der die Erteilung, Einschränkung oder Versagung der Softwarebescheinigung abgeleitet wird. Die Softwarebescheinigung oder der Vermerk über deren Versagung ist Bestandteil der Zusammenfassung der Prüfungsergebnisse. 12

13 (44) Auf Berichtskurzfassungen ist im Hinblick auf einen zu geringen Informationsgehalt sowie auf die Gefahr von Fehlinterpretationen zu verzichten Softwarebescheinigung (45) Bei der Erteilung einer Bescheinigung über die durchgeführte Softwareprüfung ist zu berücksichtigen, daß die Software losgelöst vom organisatorischen Umfeld geprüft wurde, in dem sie zum Einsatz kommen wird. Da Anwendungssysteme mittels Tabellensteuerungsdaten und/oder Erweiterung des Programmcodes auf die Bedürfnisse und Verhältnisse des Anwenders eingestellt werden, kann mit der Bescheinigung lediglich bestätigt werden, daß die Software bei sachgerechter Anwendung eine Rechnungslegung ermöglicht, die den Grundsätzen ordnungsmäßiger Buchführung entspricht. (46) Sofern nach dem abschließenden Ergebnis der Prüfung keine Einwendungen zu erheben sind, wird die Erteilung einer Softwarebescheinigung in der folgenden Form empfohlen: "Die von mir/uns geprüfte rechnungslegungsrelevante Software (Release/Versions- Nr....), über deren Prüfung ich/wir mit Datum vom... einen Bericht erstattet habe(n), ermöglicht bei sachgerechter Anwendung eine den Grundsätzen ordnungsmäßiger Buchführung entsprechende Rechnungslegung. (47) Da in dieser Bescheinigung Erklärungen des Wirtschaftsprüfers über Prüfungsergebnisse enthalten sind, kann sie mit dem Berufssiegel versehen werden. (48) Eine Bescheinigung über die Ordnungsmäßigkeit der Software darf nur erteilt werden, sofern nach abschließender Würdigung keine Fehler oder Mängel festgestellt wurden, die einzeln oder zusammen mit anderen Fehlern oder Mängeln nicht von untergeordneter Bedeutung sind. (49) Eine Bescheinigung darf nicht erteilt werden, wenn die rechtlichen Anforderungen und die Grundsätze ordnungsmäßiger Buchführung unter Berücksichtigung der Anforderungen des vorliegenden Prüfungsstandards nicht erfüllt werden. Eine Einschränkung der Bestätigung der Ordnungsmäßigkeit kann im Rahmen der Bescheinigung nur in Betracht gezogen werden, wenn die Fehlerhaftigkeit auf einzelne Teilmodule eingegrenzt werden kann. 13

14 3. Verwendung von Softwarebescheinigungen im Rahmen der Jahresabschlußprüfung (50) Ein Abschlußprüfer kann vorliegende Software-Bescheinigungen und die zugrunde liegenden Feststellungen als Arbeitsergebnisse eines sachverständigen Dritten berücksichtigen (vgl. Fachgutachten 1/1988, Abschn. D. II. 7.) 8. Voraussetzung hierfür ist die Aushändigung eines aussagefähigen Berichts über die Softwareprüfung und die kritische Würdigung der Prüfungsergebnisse durch den Abschlußprüfer (vgl. auch Stellungnahme HFA 4/1997: Projektbegleitende Prüfung EDV-gestützter Systeme, Abschn. 6.) 9. (51) Die Ergebnisse der Softwareprüfung sind ferner im Zusammenhang mit den besonderen Gegebenheiten und Anforderungen des Internen Kontrollsystems im geprüften Unternehmen zu beurteilen. Hierbei kommt für den Abschlußprüfer die Verwendung der Ergebnisse der Softwareprüfung im Rahmen der von ihm durchzuführenden Systemprüfung nur unter folgenden Voraussetzungen in Betracht: Die Aussagen der Softwarebescheinigung beinhalten keine wesentlichen Einschränkungen. Die im Unternehmen eingesetzte und die bescheinigte Software sind identisch (auch bezüglich des Releasestandes). Die Systemumgebungen der eingesetzten bzw. bescheinigten Software sind identisch, zumindest aber kompatibel. (52) Sofern die Grundstruktur der bescheinigten Software unverändert geblieben ist und keine wesentlichen Erweiterungen oder Änderungen in rechnungslegungsrelevanten Bereichen vorgenommen wurden, und ein wirksames System zur Programmentwicklung, - wartung und freigabe (Internes Kontrollsystem) beim Softwarehersteller installiert ist, kann auf die Bescheinigung eines vorhergehenden Releasestandes zurückgegriffen werden. (53) Auch wenn diese Voraussetzungen erfüllt sind, ist die Prüfung folgender Bereiche im Rahmen der Jahresabschlußprüfung in jedem Fall erforderlich: Systemumgebung, einschließlich der entsprechenden internen Kontrollen, richtige Bedienung des Programms sowie zutreffende Einstellung der Software-Steuerungsparameter. 8 9 a.a.o., vgl. Fußnote 3. WPg 1997, S. 680 ff. 14

15 (54) Schließlich kann eine Softwareprüfung eine EDV-Systemprüfung in folgenden Prüffeldern des Mandanten nicht ersetzen: Aufbauorganisation des EDV-Bereiches, z.b. Eingliederung der EDV-Abteilung in die Unternehmensorganisation Funktionstrennung innerhalb der EDV-Abteilung Arbeitsabwicklung in der EDV-Abteilung Arbeitsabwicklung in den Fachabteilungen organisatorisches Umfeld und Verantwortlichkeiten Einrichtung interner Kontroll- und Abstimmungsverfahren Sicherung der Funktionsfähigkeit der EDV, insbesondere räumliche Sicherheit hardwaremäßige Sicherheit Datensicherung, Wiederanlaufverfahren. 15