Archivierung, Datenzugriff und Prüfbarkeit digitaler Unterlagen (GDPdU) in der

Transkript

1

2 Archivierung, Datenzugriff und Prüfbarkeit digitaler Unterlagen (GDPdU) in der Sales Consulting Application Technology NL Hamburg E-Business Suite Consulting NL Hamburg

3 Agenda Datenzugriff der Finanzverwaltung Umsetzung der Anforderungen mit 11i Archivierungsstrategien 11i Projektdurchführung

4 Datenzugriff der Finanzverwaltung Seit dem darf die Finanzverwaltung die Buchführung durch elektronischen Datenzugriff prüfen. GDPdU legt BMF-Auffassung zu den Neuregelungen dar. Es existieren immer noch viele offene Fragen: Worauf hat die Finanzverwaltung konkret Anspruch? Wie kann systemtechnische Umsetzung erfolgen? Welche detailierten Rechte u. Pflichten hat der Steuerpflichtige?

5 Datenzugriff der Finanzverwaltung Fachpresse diskutiert Anforderungen der GDPdU mit teilweise widersprüchlichen und falschen Aussagen: Einige Beispiele: Generell müssen Sie die archivierten Daten immer verschlüsseln, da Sie anderenfalls gegen die gesetzlich vorgeschriebene Sorgfaltspflicht verstoßen, was sogar als Strafrechtsbestand gewertet und geandet werden kann. Der einfachste Weg, alle diese Kriterien zu erfüllen, liegt in der Archivierung auf optische Medien. Achtung! CD-R und DVD-R und einige andere Medien werden von den Finanzbehörden bei der Archivierung nicht als revisionssicher anerkannt.

6 Verwendete Quellen Leitfaden zum elektronischen Datenzugriff der Finanzverwaltung, Bundesverband Informationswirtschaft, Telekommunikation und Neue Medien e.v., Juni 2003 Leitfaden für die Durchführung eines Projektes zur Abdeckung der Anforderungen der Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU), Verband Organisation und Informationssysteme e.v., November 2003 Fragen und Anworten zum Datenzugriff der Finanzverwaltung, BMF, 6. März 2003 Information zum Beschreibungsstandard für die Datenträgerüberlassung, BMF, 15. August Diskussion mit Steuerberater der Oracle Deutschland GmbH

7 Änderung 146 Abs. 5, 147 Abs. 2 AO Unterlagen gem. 147 Abs. 1 AO, die auf Datenträgern gespeichert sind: müssen während der Dauer der Aufbewahrungsfrist (10 Jahre) jederzeit verfügbar sein sind unverzüglich lesbar zu machen müssen maschinell ausgewertet werden können

8 Aufbewahrungspflichtige Unterlagen gem. 147 Abs. 1 AO geordnete Aufbewahrung von Unterlagen Bücher und Aufzeichnungen Inventare, Jahresabschlüsse, Lageberichte Eröffnungsbilanz Empfangene Handels- oder Geschäftsbriefe Wiedergabe der abgesandten Handels- oder Geschäftsbriefe Buchungsbelege Sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind

9 Änderung/ Ergänzung 147 Abs. 6 AO Sind Bücher, Aufzeichnungen, Belege mit Hilfe der DV erstellt oder empfangen worden, kann Einsichtnahme im Rahmen der Außenprüfung in gespeicherte Daten verlangt werden! Möglichkeiten: Benutzung des DV-Systems zur Prüfung (unmittelbarer Zugriff Z1) Maschinelle Auswertung nach Vorgabe der Finanzverwaltung (mittelbarer Zugriff Z2) Übergabe der Daten an Finanzverwaltung auf Datenträger (Datenträgerüberlassung Z3) Kosten trägt der Steuerpflichtige

10 Grundsätzlich gilt: Die Prüfung durch Datenzugriff tritt neben die Möglichkeit der herkömmlichen Buch- und Belegprüfung Prüfung durch Datenzugriff besteht nur im Rahmen der Steuerlichen Außenprüfungen Der Umfang wird nicht erweitert und bezieht sich nur auf die Unterlagen nach 147 Abs. 1 AO

11 Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) (BMF-Schreiben vom ) Zugriff durch Prüfer u.a. auf folgende Buchführungssysteme: Finanzbuchhaltung Anlagenbuchhaltung Lohnbuchhaltung Keine abschließende Aufzählung

12 Was sind steuerlich relevante Daten? bewusst keine abschließende Festlegung durch die Finanzbehörden Entscheidung über Steuerrelevanz erfolgt im Einzelfall durch den Steuerprüfer Steuerlich relevant sind Daten immer dann, wenn Sie für die Besteuerung des Steuerpflichtigen von Bedeutung sein können bei Meinungsverschiedenheiten erfolgt Einzelfallentscheidung hinsichtlich Folgerungen (Quelle: Fragen und Antworten zum Datenzugriff der Finanzverwaltung, Bundesfinanzministerium, März 2003)

13 Zertifiziert die Finanzverwaltung DV-Systeme als GDPdU-konform? Finanzbehörden machen keine allgemeingültigen Aussagen zur Konformität von DV-Systemen Ordnungsmäßigkeit im Rechnungswesen hängt auch von der Richtigkeit und der Vollständigkeit der eingegebenen Daten ab Hinweis: Grundsätze ordnungsmäßiger DV-gestützter Buchführungssystem (GoBS) müssen ebenfalls erfüllt sein (Quelle: Fragen und Antworten zum Datenzugriff der Finanzverwaltung, Bundesfinanzministerium, März 2003)

14 GDPdU (BMF-Schreiben vom ) Vier Möglichkeiten der Prüfung: neu bisher Buch- und Belegprüfung wie bisher unmittelbarer Datenzugriff (Z1) mittelbarer Datenzugriff (Z2) Datenträgerüberlassung (Z3) Entscheidung über Art des Datenzugriffs erfolgt durch Prüfer nach pflichtgemäßen Ermessen

15 Pflichtgemäßes Ermessen Die Entscheidung, von welcher Möglichkeit des Datenzugriffs die Finanzbehörde Gebrauch Macht, steht in ihrem pflichtgemäßen Ermessen Hierbei ist ist aber zu beachten: Verhältnismäßigkeitsgrundsatz Abhängig von Unternehmensgröße geringe Belastung der Betriebsabläufe im Unternehmen möglichst geringe Kosten für das Unternehmen

16 GDPdU (BMF-Schreiben vom ) Unmittelbarer Datenzugriff (Z 1) Prüfer DV-System Nutzung der DV-Anlage des Steuerpflichtigen einschließlich aller vorhandenen Auswertungsmöglichkeiten Probleme Beeinflussung des Produktivsystems vermeiden Datensicherheit (Lesezugriff, Monitoring) Benutzerprofile (zeitliche u. sachliche Abgrenzung)

17 GDPdU (BMF-Schreiben vom ) Mittelbarer Datenzugriff (Z 2) DV-Fachkraft Prüfer Beauftragte Dritte DV-System Maschinelle Auswertung nach Vorgaben der Finanzverwaltung durch Steuerpflichtige oder Dritte Rein technische Mithilfe Keine Verpflichtung, Hinweise über sinnvolle Verknüpfungen bestimmter Daten zu geben

18 GDPdU (BMF-Schreiben vom ) Datenträgerüberlassung (Z 3) Steuerrelevante Daten des Steuerpflichtigen Prüfer System des Prüfers Übergabe der Daten auf maschinell verwertbare Datenträger Informationen über Datenstruktur/Datenfelder/Verknüpfungen erforderlich Probleme Prüfer setzen eigene Analysprogramme ein (Idea). Regelung für Datenträgeraustausch

19 GDPdU (BMF-Schreiben vom ) Mitwirkungspflichten: Unmittelbarer Zugriff (Z1) Zurverfügungstellung der Hard- und Software Einweisung in das System Zugangsberechtigung mit Leseberechtigung Zugang zu Auswertungsmöglichkeiten Mittelbarer Zugriff (Z2) Abstellen von DV-Fachleuten Datenträgerüberlassung (Z3) Überlassen von Informationen über das System, Daten-, Tabellenstrukturen und Verknüpfungen

20 Umsetzung der Anforderungen mit der 11i Sachliche und zeitliche Abgrenzung für den Datenzugriff Lese-Zugriff auf die Daten Protokollierung des Datenzugriffs des Prüfers Erstellung von Datenextrakten für Datenträgerüberlassung Überlassung von Strukturinformationen Sicherstellung der Online-Verfügbarkeit der Daten Gewährleistung der Auswertbarkeit archivierter Daten

21 Lese-Zugriff auf Daten des Prüfungszeitraums Alternative 1: Konfiguration über das Berechtigungssystem Standard-Lesezuständigkeiten für AP und AR Standard-Menüs für Lesezugriff für GL, FA, CE und PO Standard-Masken lassen sich durch Einbindung des Parameters QUERY_ONLY nur im Lese-Modus verwenden Alternative 2: Konfiguration über den UI-Modeler (Custom.pll) Jedes Feld und jeder Maskenbereich kann per Konfiguration als read-only deklariert werden In Planung: Standardzuständigkeit für alle Financials-Module mit nur Lese-Zugriff

22 E-Business Suite UI Modeler

23 Sachliche und zeitliche Abgrenzung für Z1-Datenzugriff Aufsetzen prüfungsbezogener Financials-Zuständigkeiten über 11i Berechtigungssystem (Menu, Sicherheitsregeln und Auswertungsgruppen) Aufsetzen von Foldermasken mit festgelegten sachlichen und zeitlichen Filterbedingungen (z.b. Buchungsdatum) Verknüpfung von Prüfer-Foldermasken mit Prüfer- Zuständigkeit Deklaration von eigenen Filterbedingungen, Ausblenden von Maskenfeldern und blöcken über ebs UI-Modeler Feste Vorbelegung von Auswertungszeiträumen in Standard-Reports

24 Protokollierung des Datenzugriffs Überwachung der Prüfer-Aktivitäten (Z1+Z2): 11i User Audit über Profiloption BB: Anmelden: Protokollebene Monitoring Maske in Sysadmin unter Sicherheit/Benutzer/Anzeigen Verfügbare User Auswertungen Anmeldeprotokoll Benutzer Anmeldeprotokoll Masken Anmeldeprotokoll Zuständigkeiten Anmeldeprotokoll Hintergrundprozesse

25 Erstellung von Datenextrakten für Datenträgerüberlassung (Z3) IDEA-Dateiformate: ASCII feste Länge, ASCII Delimited, ODBC, Excel, Access, dbase, Lotus, etc. Direkter Zugriff auf Tabellen und Business-Views über Oracle Discoverer und Ausgabe in Datei Ausgabe von Standard-Reports in Betriebssystemdatei über Definiton eines entsprechenden Druckformats ( JL- Betriebssystemdatei ) und Import nach Excel Nur GL: Ausgabe von FSG-Reports in CSV-Datei In Planung: Direkte Ausgabe aller Standardreports über XML Publisher nach MS-Excel

26 Überlassung von Strukturinformationen Datenextrakte und notwendige Angaben wie Dateiaufbau, Felddefinition und Verknüpfung sind auf maschinell verwertbaren Datenträger an Prüfer zu übergeben. Keine Vorschriften hinsichtlich Beschreibungsstandard (z.b. Audicon-Format) Aufbau und Felddefinition von Reports aus 11i User Guides 11i Datenmodell, Tabellen und Relationen in TRMs dokumentiert Information über Tabellenzugriff steckt in Business-Logik Oracle steht in Kontakt mit Audicon und prüft Datenbereitstellungsmöglichkeiten von 11i Standard-Reports für Idea

27 Archivierungsstrategien 11i Überblick archive and purge -Funktionalität 11i Welche neuen Anforderungen stellt die GDPdU Alternative Archivierungsstrategien

28 Archivieren und Löschen in 11i General Ledger Was? Salden und Buchungen Saldenart: Ist, Budget und Obligo Parameter? SOB, Salden und / oder Buchungen, Saldenart, endgültig geschlossene Periode von / bis Tabellen? Archivtabellen inhaltlich mit Originaltabellen identisch

29 Archivieren und Löschen in 11i Debitoren Was? Transaktionen (Rechnungen, Gutschriften, Zahlungen...) Voraussetzung: an GL übergeben, geschlossene Rechnungen, zugeordnete Zahlungen Was nicht: Debitoren-Stammdaten Parameter? Organisation, Bis Buchungsdatum, geschlossene Periode, Kunde (optional) Tabellen? Diverse, u.a. Zwei Archivtabellen:

30 Archivieren und Löschen in 11i Wie? Kreditoren und Einkauf 1 Nur Löschfunktionen Was? Rechnungen. Zahlungen, Lieferanten, Anforderungen, Bestellungen, Lieferpläne Diverse Voraussetzungen in Abhängigkeit von der Kategorie, Beispiele: Rechnungen: Geschlossene Posten, an GL übergeben, zugeord. Bestellungen geschlossen... Zahlungen: zugeord. Rg. Können gelöscht werden, an GL übergeben Lieferanten: Status gesperrt, Alle zugeordn. Rg. und Zahlungen können gelöscht werden.

31 Archivieren und Löschen in 11i Kreditoren und Einkauf 2 Fortsetzung Beispiele Löschbedingungen: Bestellungen: Geschlossen oder storniert, Rechnungszuordnung und Wareneingang erfolgt Parameter? Organisation, Kategorie, letzter Vorgang am Tabellen? Diverse, u.a. Archivtabellen sind selber zu definieren Inhaltliche Spezifikation mit dem Rechnungswesen Tabellendefinition Definition der Trigger zur Füllung der Archivtabellen

32 Archivieren und Löschen in 11i Anlagen Was? Detaillierte Abschreibungsdaten Archivierte Daten können optional wieder in Originaltabellen geladen werden. Parameter? AfA-Buch, Geschäftsjahr Tabellen? Drei Archivtabellen:!""#$!""#$!""#$

33 Archivieren und Löschen in 11i Was? Bankkontoauszüge Parameter? Bank, optional Bankkonto, Bankauszugsdatum bis Tabellen? Cash Management % Vier Archivtabellen: %

34 Anforderungen Archivierung Vor dem archivierte Daten GDPdU (BMF-Schreiben vom ) Keine Reaktivierung von vor dem archivierten Daten für Zwecke der DV-gestützten Prüfung, wenn unzumutbar (alte Soft- und Hardware, Speicherkapazität) Lesbarmachung von Daten muss jedoch im Aufbewahrungszeitraum in jedem Fall möglich sein Die Regelung bezieht sich auf den Archivierungszeitpunkt und nicht auf den archivierten Jahrgang

35 Anforderungen Archivierung Nach dem archivierte Daten GDPdU (BMF-Schreiben vom ) Sicherstellen der maschinellen Auswertbarkeit in Form des Nur-Lesezugriffs bei unmittelbarem und mittelbaren Datenzugriff (Z1 + Z2) Kein Vorhalten der ursprünglichen Hard- und Software, wenn maschinelle Auswertbarkeit durch neue Systeme gewährleistet ist (Z1 + Z2) Archivsystem muß in qualitativer wie quantitativer Hinsicht die gleichen Auswertungen anbieten wie Produktivsystem (Z1 + Z2) Gewährleistung der Datenträgerüberlassung mit maschinell auswertbaren Daten und deren Dokumentation (Z3)

36 Archivierungsstrategien für GDPdU Kleine Instanz (< 600 GB) Keine Archivierung alle Daten werden online gehalten Einsatz der Löschfunktionalität nach Ende der Aufbewahrungsfrist Keine neuen Verfahren für Z1, Z2 und Z3-Zugriff Alle historischen Daten stehen für Auswertungen online zur Verfügung Höhere Speicherkapazität, Tuning und DBA-Admin erforderlich Mittlere Instanz (600 GB bis 2 TB) Datenbank wird nach Prüfung und endgül-tigen Steuerbescheid geklont (alle 3-4 Jahre) Über Klon gesicherte Jahrgänge werden aus Produktion gelöscht Vermeidung von Kapazitätsengpässen auf Produktionssystem Administration und Upgrade von mehreren Apps-Instanzen Große Instanz (>2TB) Einsatz von Oracle- Partnerlösungen für Online-Archivierung Auch unterjähriges Archivieren möglich Administration einer zentralen 11i Archiv- Instanz Setzen i.d.r. auf Oracle Lösch-Routinen auf Klärungsbedürftige Verantwortlichkeiten und zusätzliche Lizenskosten

37 Projektdurchführung zur Erfüllung der Anforderungen der Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) Vorgehensweise: Definition steuerrelevanter Daten Ermittlung der betroffenen Systeme Erstellung Konzept Implementierung und Dokumentation

38 Definition steuerrelevanter Daten inhaltlich ERP-System Anlagenbuchhaltung Personalbuchhaltung Sonstige Systeme zeitlich abhängig von der Prüfungsanordnung Keine abschließende Aufzählung

39 Ermittlung der betroffenen Systeme Buchführungssysteme im weiteren Sinne Finanzbuchhaltung Anlagenbuchhaltung Lohnbuchhaltung Materialwirtschaft Kosten- und Leistungsrechnung Sonstige Systeme Dokumentenmanagement-Systeme für elektronisch erhaltene Dateien von Dritten Vertrags-, Auftrags- und Bestellunterlagen Sonstige und statistische Unterlagen, soweit sie für die Besteuerung von Bedeutung sind Keine abschließende Aufzählung

40 Erstellung Konzept Analyse Betroffene Daten und Systeme (dispositive Entscheidung) Unterscheidung Stamm- und Bewegungsdaten Sonstige Anforderungen Entwicklung von Vorgehensalternativen Realisierung im laufenden System Realisierung über gespiegeltes oder archiviertes System Keine abschließende Aufzählung

41 Implementierung und Dokumentation Implementierung Umsetzung der gewählten Alternative/n Funktionale und inhaltliche Tests Freigabe für Finanzverwaltung Dokumentation Systemische Alternative/n Liste der Systeme/ Zugriffe/ Datenumfänge/ Werkzeuge/ Auswertungen/ Datenübergaben Keine abschließende Aufzählung

42 Q U E S T I O N S A N S W E R S

43