Umsetzung der GDPdU mit der Oracle E-Business Suite 11i

Transkript

1 Umsetzung der GDPdU mit der Oracle E-Business Suite 11i Autor: Tom Helbig, ORACLE Deutschland GmbH DOAGNews Q3_2005 Dieses Werk ist urheberrechtlich geschützt. Die dadurch begründeten Rechte, insbesondere die der Übersetzung, des Nachdrucks, des Vortrags, der Entnahme von Abbildungen und Tabellen, der Funksendung, der Mikroverfilmung oder der Vervielfältigung auf anderen Wegen und der Speicherung in Datenverarbeitungsanlagen, bleiben, bei auch nur auszugsweiser Verwertung, vorbehalten. Eine Vervielfältigung dieses Werkes oder von Teilen dieses Werkes ist auch im Einzelfall nur in den Grenzen der gesetzlichen Bestimmungen des Urheberrechtes der Bundesrepublik Deutschland vom 9. September 1965 in der jeweils geltenden Fassung zulässig. Sie ist grundsätzlich vergütungspflichtig. Zuwiderhandlungen unterliegen den Strafbestimmungen des Urheberrechtsgesetzes.

2 Die gesetzlichen Änderungen und die sich hieraus ergebenden erweiterten Prüfungsrechte der Steuerbehörden stellen prüfungspflichtige Unternehmen in Deutschland vor neue Herausforderungen. Alle betrieblichen DV-Anwendungen, die aus Prüfersicht steuerrechtlich relevante Daten beinhalten könnten, müssen in Zukunft zusätzliche aus der GDPdU resultierende Anforderungen erfüllen. Die GDPdU (Grundsätze des Datenzugriffs und der Prüfbarkeit digitaler Unterlagen) sind derzeit das Thema im Bereich der Rechnungwesenabteilungen. Im Rahmen der Einführung der neuen Abgabenordnung räumt der 147 AO der Finanzbehörde Recht ein, die mit Hilfe eines Datenverarbeitungssystems erstellte Buchführung des Steuerpflichtigen durch Datenzugriff zu prüfen (Steuersenkungsgesetz (BGBl I S. 1433). Durch diese Änderungen der Abgabenordnung hat die Finanzverwaltung seit dem 1. Januar 2002 im Rahmen von Betriebsprüfungen weitgehende Zugriffsrechte auf die Datenverarbeitungs-Systeme (DV-Systeme) von Unternehmen. Dabei kann die Dateneinsicht sowohl durch direkten Zugriff auf das Programm, als auch durch Einsicht in gespeicherte Daten erfolgen: Unmittelbarer Datenzugriff (Z1) Die Finanzverwaltung darf bei einer Prüfung unmittelbar auf die im Unternehmen zur Buchführung eingesetzte Hard- und Software zugreifen. Hierbei hat das Unternehmen dem Prüfer die für den Datenzugriff erforderlichen Hilfsmittel zur Verfügung zu stellen und ihn in das DV-System einzuweisen. Mittelbarer Datenzugriff (Z2) Die Finanzverwaltung kann verlangen, dass die Unternehmen die gespeicherten Daten nach entsprechenden Vorgaben durch eigene, mit den DV-Systemen vertraute Personen auswerten und zur Verfügung stellen. Datenüberlassung in elektronischer Form (Z3) Auf Verlangen sind die gespeicherten Daten der Finanzverwaltung auch auf einem maschinell verwertbaren Datenträger zur Auswertung auf verwaltungseigener DV zu überlassen Neben der Festlegung der betroffenen Systeme und Daten stellt sich die Frage, wie die systemtechnische Umsetzung dieser neuen Anforderung realisiert werden kann. Konkret geht es hierbei um die Implementierung folgender Anforderungen: Einrichten eines Lese-Zugriffs auf steuerrechtlich relevante Daten Sachliche und zeitliche Abgrenzung des Datenzugriffs Erstellung von Datenextrakten für Datenträgerüberlassung Protokollierung der Datenzugriffe des Prüfers

3 Für Anwender der Oracle E-Business Suite werden auf den nächsten Seiten Lösungsmöglichkeiten und Setup-Schritte beschrieben, um die genannten Anforderungen auf Basis des Release 11i abzubilden. Obwohl es der Gesetzgeber unterlassen hat, den Begriff der steuerrelevanten Daten abschließend zu definieren, ist für deutsche Oracle E-Business-Suite-Anwender davon auszugehen, dass die Finanzbuchhaltungsmodule Rechnungswesen (GL), Kreditoren (AP), Debitoren (AR), Anlagen (FA) und Bankenbuchhaltung (CE) Gegenstand einer Außenprüfung durch die Finanzbehörden werden. Im Zweifelsfall sind aber alle Daten und Unterlagen relevant, die aufwands- oder ertragsrelevante Informationen beinhalten, also eine ergebniswirksame Auswirkung haben, auch außerhalb der Finanzbuchhaltung. Einrichten eines Lese-Zugriffs auf steuerrechtlich relevante Daten Die drei Zugriffsarten Z1, Z2 und Z3 der GDPdU können einzeln, aber auch kombiniert nach Bedarf von den prüfenden Finanzbehörden angeordnet werden. Für den unmittelbaren Zugriff (Z1) sehen die GDPdU die Einrichtung einer eigenen Benutzerberechtigung für den Steuerprüfer mit Nur-Lese-Zugriff auf die steuerrechtlich relevanten Daten vor. Für die Module Rechnungswesen, Kreditoren, Debitoren, Anlagenbuchhaltung und Bankenbuchhaltung existieren in der E-Business Suite 11i bereits vordefinierte Menüs, die lediglich einen Nur-Lese-Zugriff auf die wichtigsten Financials-Masken gewähren. Auf Basis dieser vordefinierten Menüs lassen sich sehr einfach Nur-Lese-Zuständigkeiten aufsetzen, die dann dem Benutzer (User-Id) des Betriebsprüfers ("AUDITOR") zugeordnet werden können. Zusätzliche Masken aus weiteren Modulen wie zum Beispiel Lager (INV), Einkauf (PO) und Auftragsverwaltung (OM) können bei Bedarf ebenfalls im Nur-Lesezugriff eingebunden werden. Hierzu müssen die Masken vom Systemadminstrator als neue "Form Function" mit dem Parameter QUERY_ONLY=YES registriert werden und über ein neues Menü einer Zuständigkeit zugeordnet werden [SYS2003, S. 2-36]. Sachliche und zeitliche Abgrenzung des Datenzugriffs Es liegt im Interesse des geprüften Unternehmens, den Zugriff auf die prüfungsrelevanten Daten so abzugrenzen, dass die Steuerbehörde lediglich Zugriff auf die maßgeblichen Daten des jeweiligen Prüfungszeitraums erhalten, sofern diese einen unmittelbaren Zugriff (Z1) oder mittelbaren Zugriff (Z2) verlangt hat. Eine sachliche Abgrenzung erfolgt bereits über die Standardmechanismen des Berechtigungssystems (Zuständigkeit, Menü, Auswertungssicherheitsgruppe, Sicherheitsregeln) der E-Business Suite durch Zuteilung der eingerichteten Nur-Lese-Zuständigkeiten an den Steuerprüfer. Eine Zugriffsbeschränkung auf Daten eines bestimmten Zeitraums lässt sich derzeit nicht direkt über das Berechtigungssystem der E-Business Suite konfigurieren. Allerdings lassen sich in Foldermasken Filterbedingungen hinterlegen und diese Datensichten dann fest mit einer Zuständigkeit verknüpfen, so dass auch eine zeitliche Abgrenzung der abrufbaren Daten sichergestellt ist. Außerdem steht ab dem Release das Werkzeug Forms Personalization zur Verfügung, über das der System-Administrator für jede Maske zusätzliche Filterbedingungen konfigurieren kann. Ein Patch ist geplant, der dieses Werkzeug auch Kunden älterer 11i Releases zur Verfügung stellt.

4 Setup-Schritte: Einrichten zeitliche Abgrenzung Für die Steuerung der zeitlichen Abgrenzung bietet es sich an, im Modul Anwendungsentwickler unter dem Menüpunkt Profile zwei neue Profiloptionen aufzusetzen. Die beiden Profil-Optionen sollen den Prüfungszeitraum eingrenzen ( Auditperiod Start Date, Audit Period End Date ). Im Anschluss kann man in das Modul Systemadministration wechseln und den Prüfungszeitraum festlegen. Als nächstes ist in die Maske zu navigieren, für die ein Folder mit Filterbedingungen aufgesetzt werden soll. In der Maske muss das Feld festgelegt werden, welches als Kriterium für die zeitliche Abgrenzung dienen soll. In der Regel wird dies das Buchungsdatum sein. Für das Aufsetzen der Filterbedingung wird der interne Name des Feldes benötigt (z.b., GL_DATE oder EFFECTIVE_DATE). Dieser interne Name kann über die Menüoption HILFE / DIAGNOSE / EXAMINE ermittelt werden. Im Anschluss wird in den Abfragemodus gewechselt, in ein beliebiges Feld einen Doppelpunkt eingegeben und die Abfrage mit Strg-F11 ausgelöst. Auf dem Bildschirm erscheint nun ein Fenster mit dem Titel Abfrage/Wo in das die Abfragebedingung für den neuen Folder einzugeben ist. <INTERNER FELDNAME> BETWEEN to_date(fnd_profile.value('xxx_jede_audit_date_from' ),'DD.MM.YYYY') AND to_date(fnd_profile.value('xxx_jede_audit_date_to' ),'DD.MM.YYYY') Die Abfrage mit dem (OK) Button ausführen und den Folder samt Abfragebedingung unter einem eindeutigen Namen abspeichern. Achtung: Falls nach Eingabe des Doppelpunkts und Ausführung der Query kein zusätzliches Fenster erscheint, ist die Environment-Variable FORMS60_RESTRICT_ENTER_QUERY auf TRUE gesetzt. In diesem Fall sollte der DBA die Environment-Datei editieren und folgende Variable setzen: FORMS60_RESTRICT_ENTER_QUERY= FALSE export FORMS60_RESTRICT_ENTER_QUERY Über Sysadmin/Anwendung/Folder verwalten anschließend den aufgesetzten Folder als Standardfolder für die aufgesetzte GDPdU Nur-Lese-Zuständigkeit zuordnen. Für alle aufgesetzten GDPdU-Zuständigkeiten die Profiloption BB: Folder: Anpassung zulässig: auf Nein setzen. Diese Einstellung stellt sicher, dass der Prüfer keine eigenen Folder erstellt oder ändert. Erstellung von Datenextrakten für Datenträgerüberlassung Laut GDPdU kann die Finanzverwaltung vom Steuerpflichtigen verlangen, dass ihr steuerrechtlich relevante Daten auf einem maschinell verwertbaren Datenträger zur weiteren Prüfung überlassen werden (Z3-Zugriff). Hierzu sind vom Steuerpflichtigen Datenträger, in der Praxis wohl üblicherweise CDs, als Übergabemedium zu erstellen. Es ist davon auszugehen, dass der Betriebsprüfer den Z3-Zugiff insbesondere bei Prüfungsbeginn nutzen wird, um Unregelmäßigkeiten zu identifizieren und im

5 nächsten Schritt dann gezielter auf einzelne Geschäftsvorfälle zuzugreifen. Die Außenprüfer der Finanzbehörden nutzen für die Prüfung der überlassenen Daten die Prüfungssoftware IDEA der Firma CaseWare einsetzen, die in Deutschland von der Firma Audicon ( vertrieben wird. Standard-Prüfungen sind in dieser Software als eine Reihe von Makros hinterlegt, die Plausibilitätsprüfungen auf Basis der überlassenen Daten durchführen, um schneller verdächtige Geschäftsvorfälle ermitteln zu können. Im Zweifelsfall muss davon ausgegangen werden, dass alle im ERP-System gespeicherten Daten steuerlich relevant sein könnten. Mit einer technisch verwertbaren Definition oder allgemeingültigen Aufzählung, welche Stamm- und Bewegungsdaten steuerlich relevant sind, ist laut Aussagen der Steuerbehörden auch in Zukunft nicht zu rechnen ist (BITKOM2003, S.14), da dies die eigenen Handlungsspielräume bei Prüfungen einengen würde. Für eine technische Umsetzung dieser Anforderung stellt sich somit sofort das Problem einer Abgrenzung der zu exportierenden Daten. Andererseits stellen die GDPdU klar, dass sich der sachliche Umfang der Außenprüfung nicht geändert hat und dieselben Sachverhalte, die vor Änderung der AO steuerrelevant waren, unverändert auch in Zukunft relevant sein werden. Erfolgte die Steuerprüfung in der Vergangenheit auf Basis von Buchungsbelegen sowie von bestimmten gedruckten Listen und Auswertungen, so sind dieselben Informationen nun als maschinell auswertbare Daten zur Verfügung zu stellen. Aus Sicht eines Oracle E-Business-Suite -Anwenders stellt sich demnach primär die Frage, in wie weit die bisher genutzten Reporting-Werkzeuge der E-Business Suite in der Lage sind, neben einer Textausgabe auch maschinell verarbeitbare Ausgabeformate erzeugen zu können. Die folgende Tabelle gibt einen Überblick über die relevanten Auswertungswerkzeuge der E-Business Suite sowie der unterstützten Exportformate, die eine maschinelle Weiterverarbeitung erlauben: Reportingtool Exportformat Einschränkung Berichtsgenerator (FSG) *.csv Nur für GL Reports Exchange (Rxi) *.csv Nur wenige Standardauswertung für GL, AP, AR und FA Oracle Discoverer MS Excel Wenige Standardauswertungen (nur für BIS Module) Oracle Reports *.xml XML Publisher MS Excel Zur Zeit wenige Templates vorhanden Kontakt: Tom Helbig