Ordnungsmäßige Informationssysteme im Zeitablauf - Umsetzung der GoBS im Informationssystem-Lebenszyklus

Transkript

1 1 Problemstellung In betrieblichen Informationssystemen abgebildete Geschäftsprozesse sind zunehmend als sich dynamisch ändernde, den betrieblichen Gegebenheiten anzupassende Prozesse zu verstehen. Der typische Lebenszyklus einer Informationssystem-Generation besteht aus Konzeption, Entwicklung, Einführung, Betrieb, Anpassung und Abwicklung inkl. Migration zu einer neuen Generation. Da betriebliche Informationssysteme primär rechnungslegungsrelevante Geschäftsprozesse abbilden, unterliegen sie den Bestimmungen des Handels- und Steuerrechts - den Grundsätzen ordnungsmäßiger Buchführungssysteme (GoB). Auf Basis der GoB sowie die die GoB spezifizierenden Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) lassen sich für die einzelnen Lebenszyklus- Phasen und Phasen-Übergänge rechtliche (Ordnungsmäßigkeits-) Anforderungen ableiten. Für Anwender und Systementwickler stellt sich somit die Frage der ordnungsmäßigen Umsetzung der GoBS in und zwischen den einzelnen Lebenzyklus-Phasen. Die sachlogische Gliederung der GoBS spiegelt jedoch nur bedingt die Problemsicht der Anwender bzw. Entwickler wider, deren Arbeit durch phasenbezogene Ereignisse im Rahmen des Lebenszyklus bestimmt wird. Die Praxis steht somit vor der Frage: Was ist in jeder Phase des Lebenszyklus zu beachten, um den GoBS - und damit dem Handels- und Steuerrecht - gerecht zu werden? Welchen Nachweis-, Dokumentations- und Archivierungspflichten ist beispielsweise in der Abwicklungs- und Migrationsphase zu entsprechen, um die Bestimmungen der Abgabenordnung umzusetzen? Ziel dieses Beitrags ist es, für jede Phase des Lebenszyklus Nachweis-, Dokumentations- und Archivierungspflichten aus Handels- und Steuerrecht abzuleiten. Dazu wird zunächst gezeigt, wie grundsätzlich aus Handels- und Steuerrecht Anforderungen an moderne Informationssysteme abgeleitet werden und Ordnungsmäßige Informationssysteme im Zeitablauf - Umsetzung der GoBS im Informationssystem-Lebenszyklus erschienen in: Wirtschaftsinformatik 4/1998, S oder die Bedeutung der GoBS in diesem Prozeß gezeigt. Darauf aufbauend werden die Bestimmungen der GoBS auf die Lebenszyklus-Phasen angewendet. Dabei werden erste Erfahrungen aus der EDV-Revisionspraxis mit der Umsetzung der GoBS berücksichtigt sowie Handlungsbedarf von Seiten der Softwarehersteller und der Wirtschaftsinformatik identifiziert. Der Beitrag bietet somit Anwendern, Entwicklern, DV-Koordinatoren, Wirtschaftsprüfern und EDV-Revisoren eine lebenszyklusbezogene Zusammenstellung der wesentlichen Punkte, die bei der Umsetzung der GoBS zu beachten sind. 2 Rechtliche Grundlagen für betriebliche Informationssysteme 2.1 Handels- und Steuerrecht In betrieblichen Informationssystemen werden betriebliche Arbeitsabläufe bzw. Geschäftsprozesse abgebildet. Ein Geschäftsprozeß beinhaltet die Summe von Tätigkeiten, die betriebswirtschaftlich oder technisch-logisch zusammengehören [HoKö90: 250]. Eine Tätigkeit, die zu einer Änderung der Höhe oder Struktur des Vermögens und/oder Kapitals einer Unternehmung führt, ist ein Mathias Philipp Geschäftsvorfall [AWV93: 12; Kühn93: 115]. Ein rechnungslegungsrelevanter Geschäftsprozeß ist ein Geschäftsprozeß, der (mindestens) einen Geschäftsvorfall beinhaltet. Geschäftsvorfälle unterliegen den Bestimmungen des Handels- und Steuerrechts. Gemäß 239 Abs. 4 HGB und 146 Abs. 5 AO sind auf Geschäftsvorfälle und damit auf alle rechnungslegungsrelevanten Geschäftsprozesse die GoB anzuwenden. Die GoB werden durch die GoBS präzisiert und sind genau dann anzuwenden, wenn Geschäftsvorfälle durch Informationssysteme verarbeitet werden [GoBS95: Tz. 1]. In einem DV-gestützten Buchführungssystem sind auch solche Prozesse zu berücksichtigen, in denen außerhalb des eigentlichen Buchhaltungsbereiches buchführungsrelevante Daten erfaßt, erzeugt, bearbeitet und / oder übermittelt werden. [GoBS95: Tz. 1.1] Dipl.-Wirtsch.-Inf., Mathias Philipp, Johann Wolfgang Goethe-Universität, Institut für Wirtschaftsinformatik, Mertonstraße 17, D Frankfurt/M, Freier Mitarbeiter, KPMG Deutsche Treuhand-Gesellschaft, Abt. Information Risk Management, Theodor-Heuss- Anlage 12, D Mannheim, philipp@wiwi.uni-frankfurt.de, WWW: mphilipp 1

2 2.2 Fachliche Stellungnahmen Die Präzisierung der GoB hinsichtlich DV-Einsatz geschieht allgemein auf Basis von fachlichen Stellungnahmen, die durch die Arbeitsgemeinschaft für wirtschaftliche Verwaltung e.v. (AWV), den Fachausschuß für moderne Abrechnungssysteme (FAMA), das Institut der Wirtschaftsprüfer (IDW) und steuerrechtliche Richtlinien (z.b. GoS, GoBS) erfolgen. Diese Stellungnahmen stellen auch die Basis für die Testierung respektive Zertifizierung und Prüfung von Informationssystemen dar. Die bislang gültigen GoS (Grundsätze ordnungsmäßiger Speicherbuchführung) [GoS78] wurden zur Anpassung an die heute eingerichteten und zukünftigen Informationssysteme in den Unternehmen als GoBS neu gefaßt [GoBS95: S. 4]. Die wesentlichen Unterschiede zwischen den GoS und den GoBS sind: [vgl. auch Zepf96] Der Anwendungsbereich der GoBS erstreckt sich sowohl auf moderne und In den GoBS wird die Buchhaltung als integrierte - statt isolierte und eindeutig abgrenzbare - Unternehmensfunktion gesehen. Daher sind die GoBS auf alle Verfahren, die rechnungslegungsrelevante Geschäftsprozesse verarbeiten (z.b. EDI, BDE, Materialwirtschaftssysteme, Dokumenten-Managementsysteme, Workflow- Managementsysteme) anzuwenden. zukünftige Informationssysteme als auch auf moderne Verfahren zur Informationssystementwicklung und -pflege sowie Programmdokumentation. Darüber hinaus erhält in den GoBS der Begriff des Internen Kontrollsystems (IKS) zentrale Bedeutung, wodurch wiederum die Anwendung des systemorientierten Prüfungsansatzes im Rahmen der Jahresabschlußprüfungen unterstrichen und damit eine Prüfung der rechnungslegungsrelevanten Informationssysteme unumgänglich wird [vgl. FG 1/1988]. Als IKS wird grundsätzlich die Gesamtheit aller aufeinander abgestimmten und miteinander verbundenen Kontrollen, Maßnahmen und Regelungen bezeichnet.... Dabei reichen wegen komplexer Abläufe und Strukturen... einzelne, voneinander isolierte Kontrollmaßnahmen keinesfalls aus. Vielmehr bedarf es einer planvollen und lückenlosen Vorgehensweise, um ein effizientes Kontrollsystem im Unternehmen zu installieren. [GoBS95: Tz. 4.1 u. 4.3]. 2.3 Ordnungsmäßige Informationssysteme Wie in Bild 1 dargestellt, werden für Informationssysteme, die Geschäftsvorfälle DV-gestützt verarbeiten, folgende Ordnungsmäßigkeitskriterien aus den Grundsätzen ordnungsmäßiger Buchführung 2 (GoB) abgeleitet [FAMA87, HaKe90, GoBS95]: (i) Nachvollziehbarkeit des Geschäftsvorfalls. des Verfah- (ii) Nachvollziehbarkeit (Verarbeitungs-) rens. (iii)ordnungsmäßige Anwendung des (Verarbeitungs-) Verfahrens. ad (i): Grundsätzlich ist ein sachlicher und zeitlicher Nachweis über sämtliche buchführungspflichtgen Geschäftsvorfälle [GoBS95: Tz. 2.1] zu erbringen. ad (ii): Der Zusammenhang zwischen Geschäftsvorfall und dessen Buchung wird durch das Verfahren (Geschäftsprozeß) mit zugehöriger nachgewiesen. Insbesondere bei Verfahren, bei denen konventionelle (Papier-) Belege nie existieren oder vernichtet wurden (z.b. EDI, maschineninterne Buchungen, elektronische Archivierungssysteme [BaPh97]) erlangt somit das Verfahren mit zugehöriger Beweiskraft. ad (iii): Die Erfüllung von (i) und (ii) wird grundsätzlich durch ein sogenanntes Software-Testat 1 nachgewiesen, das folgende Aussagekraft besitzt: Das von uns geprüfte Finanzbuchhaltungssystem... ermöglicht bei sachgerechter Anwendung eine den Ordnungsmäßigkeitsgrundsätzen entsprechende Buchführung 2 [Ande93, vgl. auch Koch95]. Aufgrund dieser Testierungsaussage wird als drittes der Nachweis der ordnungsmäßigen Anwendung des Verfahrens zum vollständigen

3 Nachweis der Ordnungsmäßigkeit benötigt. Ein ordnungsmäßiges Informationssystem muß somit über Funktionen verfügen, die die Einhaltung dieser Ordnungsmäßigkeitskriterien (i) bis (iii) und damit der GoBS, respektive der GoB, sichern. Besondere Bedeutung kommt dabei der Unterstützung bzw. Umsetzung eines IKS durch das Informationssystem zu. [Thom94] zeigt Funktionen der Standard-Anwendungssoftware SAP R/2, wie bspw. (System-) Tabellendefinitionen und Reportgenerierungen, mit denen ein IKS aufgebaut werden kann. Das IKS hat auch die Aufgabe, die Einhaltung der Anforderungen, die sich aus der und den Aufbewahrungspflichten ergeben, zu überwachen. 3 Phasenorientierte Durchsetzung der GoBS Für jede Lebenszyklusphase (Bild 2) wird im folgenden Konzeption Entwicklung und Software-Testierung Einführung und Freigabe Betriebliches Informationssystem Betrieb und Anpassungen werden abgebildet enthält Rechnungslegungsrelevanter Geschäftsprozeß Abwicklung und Migration werden abgebildet enthält definieren Anforderungen gewährleisten Einhaltung gewährleisten Einhaltung Nachvollziehbarkeit des Geschäftsvorfalls gewährleisten Einhaltung Geschäftsvorfälle unterliegen Handels- u. Steuerrecht GoB Fachliche Stellungnahmen GoBS, FAMA,... Ordnungsmäßigkeitskriterien Ordnungsmäßige Anwendung des Verfahrens werden präzisiert definieren fordern Internes Kontrollsystem Aufbewahrungspflichten Nachvollziehbarkeit des Verfahrens Bild 1 Ordnungsmäßigkeitskriterien für betriebliche Informationssysteme Bild 2 Informationssystem- Lebenszyklus zunächst dargelegt, welche Anforderungen sich aus den GoBS ergeben; anschließend wird beschrieben, welche Dokumentationspflichten zum Nachweis der Umsetzung der Anforderungen zu erfüllen sind. 3.1 Konzeption Grundsätzlich ist ein Informationssystem so zu gestalten, daß alle Anforderungen an die einzelnen Lebenszyklusphasen durch das Informationssystem erfüllt und deren Durchsetzung unterstützt werden können. Wie in Kapitel 1.3 dargelegt, kommt aus handels- und steuerrechtlicher Sicht der 3

4 konzeptionellen Gestaltung eines IKS zentrale Bedeutung zu. Die GoBS fordern dabei ein effizientes Kontrollsystem [GoBS95: Tz. 4.3], ohne Effizenzkriterien zu nennen. Zur Analyse und Bewertung eines IKS siehe [Yu 72, YuNe73, Cush74, Cush75, Sand87, Göbe90, Baet93, GaKr93]. Das IKS ist so zu gestalten, daß es alle Ebenen einer Informationssystem- Architektur (Anwendungs-, Datenbank,- Betriebssystemund Netzwerkebene) umspannt und hat folgende Aufgaben zu erfüllen [GoBS95: Tz. 4.1]: Sicherung und Schutz des vorhandenen Vermögens und vorhandener Informationen 3 vor Verlusten aller Art. Bereitstellung vollständiger, genauer und aussagefähiger Aufzeichnungen. Förderung der betrieblichen Effizienz durch Auswertungen und Kontrollen der Aufzeichnungen. Unterstützung der Befolgung der vorgeschriebenen Geschäftspolitik. In der Konzeptionsphase sind zur Erfüllung dieser Aufgaben beispielsweise auf der Ebene der Anwendungssysteme folgende Schritte durchzuführen [vgl. GoBS95: Tz. 4.4]: Identifizierung aller rechnungslegungsrelevanten Geschäftsprozesse, die in dem Informationssystem abgebildet werden sollen. Für jeden identifizierten Geschäftsprozeß sind die zugehörigen (systemsteuernden) Tabellendaten und Stammdaten als rechnungslegungsrelevant zu klassifizieren, da für diese besondere Dokumentations- und Archivierungspflichten bestehen (vgl. Kapitel 2.4 und 2.5). Für jeden identifizierten Geschäftsprozeß sind aufeinander abgestimmte manuelle und maschinelle Kontrollen, die eine vollständige und richtige Verarbeitung aller Geschäftsvorfälle des Geschäftsprozesses sichern, zu konzipieren. Insbesondere ist auf eine Lückenlosigkeit der Kontrollen zu achten. Jede manuelle Tätigkeit bedarf der nachträglichen Überwachung, da diese grundsätzlich umgehbar ist oder eventuell nicht mit der nötigen Sorgfalt durchgeführt wird [GoBS95: Tz. 4.4]. Das Berechtigungskonzept des Anwendungssystems ist so zu konzipieren, daß eine eindeutige Zuständigkeit bzw. Verantwortlichkeit für die Tätigkeiten eines Geschäftsprozesses nach dem Prinzip der Funktionstrennung (Vier-Augen-Prinzip) abbildbar ist. Folgende drei operative Funktionen sind grundsätzlich unvereinbar und sind deshalb personell zu trennen: Vorgangsbearbeitung, Bestandsverwaltung und Buchen von Geschäftsvorfällen [Leff88: 246, Neub49]. 4 Jeder identifizierte Geschäftsprozeß ist somit auf unvereinbare Funktionen hin zu untersuchen. Das Berechtigungskonzept könnte so konzipiert werden, daß bei einer Vereinigung von unvereinbaren Funktionen auf eine Person zumindest ein Warnhinweis erfolgt oder ein Verstoß gegen das Vier-Augen- Prinzip bei der Berechtigungsvergabe systemseitig nicht zugelassen wird. Konzeption einer Protokollierungskomponente, die die Durchführung der Kontrollen dokumentiert. Nach [Leff88: 245] ist ein lückenloses IKS so zu gestalten, daß: Bei jeder Güter- und Geldbewegung eine Kontrolle stattfindet. Das IKS alle Arbeitsvorgänge erfaßt. Alle Arbeitsgänge nicht anders als vorgesehen ablaufen können. Personen, die einen Vorgang bearbeitet haben, zu einem späteren Zeitpunkt keinen planwidrigen Zugang zu den Unterlagen haben. Auf den unter der Anwendungsebene liegenden Ebenen einer Informationssystem- Architektur sind ebenso lückenlose und aufeinander abgestimmte Kontrollen zu konzipieren. Dabei ist insbe-

5 sondere auf folgende Punkte zu achten: Lückenlose Kontrollen sind nicht nur innerhalb einer Ebene einzurichten; ein lückenloses IKS entsteht erst durch eine Abstimmung der Kontrollmechanismen und -tätigkeiten zwischen den Ebenen (auch Mensch- / Anwendungssystemebene). Des weiteren sind Mechanismen vorzusehen die verhindern, daß Kontrollen einer Ebene nach deren Abschalten oder Ausfall umgangen werden können. Auf jeder Ebene sind auch Kontrollen zu konzipieren, die die sogenannte Programmidentität sichern [dokumentiertes Programm (Soll) = eingesetztes Programm (Ist)]. Die Qualität eines IKS steigt, je mehr Kontrollen automatisiert durchgeführt werden. Wie in den Folgekapiteln noch dargelegt, umfaßt das IKS auch die Arbeitsabläufe in der EDV- Abteilung (Rechenzentrumsund Netzwerkbetrieb, Programmierung, etc.). Inwiefern die Vorschrift zur Einrichtung eines lückenlosen (weitgehend automatisierten) IKS mit datenschutz- oder arbeitsrechtlichen Bestimmungen kollidiert, wurde bisher in der Literatur nicht diskutiert. Grundsätzlich ist das IKS um geeignete Maßnahmen der Mißbrauchsvorbeugung zu erweitern. Im Rahmen der Konzeptionsphase ist zu beschreiben, durch welche Maßnahmen die Aufgaben des IKS erfüllt werden. Die Beschreibung ist gemäß 257 Abs. 1 Nr. 1 HGB i.v.m. 239 Abs. 2 HGB als Teil der 10 Jahre versionsweise aufbewahrungspflichtig. [GoBS95: Tz. 4.5] 3.2 Entwicklung und Software-Testat Die GoBS fordern hier lediglich, daß anhand schriftlich fixierter Richtlinien Programmierung und Test durchgeführt werden. Dazu gehören u.a. Standards zur Vergabe von Nummern und Bezeichnungen für Programme, Datenbanken, Dateien und Felder [GoBS95: Tz. 4.4; FAMA93: Kap. 2]. Entsprechende Kontrollmechanismen, die die Durchsetzung der Standards sichern, sind zu etablieren. Die Richtlinien sind ebenfalls als Teil der zu pflegen und versionsweise 10 Jahre aufbewahrungspflichtig. Eine Testierung eines Informationssystems erfolgt auf Basis der genannten handels- und steuerrechtlichen Bestimmungen respektive der fachlichen Stellungnahmen. Sie umfaßt idealerweise alle Informationssystem-Teile bzw. - Module, die rechnungslegungsrelevante Geschäftsprozesse ganz oder in Teilen bearbeiten. Da das IKS der wesentliche Baustein ist, um eine sachgerechte Anwendung zu gewährleisten, kommt der aktiven Durchsetzung des IKS (Kap. 2.1) während allen Phasen des Informationssystem-Lebenszyklus besondere Bedeutung zu. 3.3 Einführung, Freigabe und Erstellung einer Für die Einführung eines Informationssystems oder einzelner Programmodule ist gemäß [FAMA93: Kap.2; GoBS95: Tz. 4.4 u ] nach einem formalisierten und schriftlich fixierten Freigabeverfahren (z.b. Einführungsprojektplan) vorzugehen. Tests dürfen ausschließlich in einem vom Produktivsystem getrennten Testsystem stattfinden, da bei Tests grundsätzlich die Gefahr besteht, daß Daten unkontrolliert verändert werden (z.b. elektronisches Verändern / Radieren von Belegen HGB). Das Freigabeverfahren hat folgende Punkte zu regeln: Umfang der vorzunehmenden Tests durch die Systembetreuer. Umfang der vorzunehmenden Tests durch die Fachabteilung. Art und Umfang der Anwenderschulung. Art und Umfang der Beteiligung der Internen Revision. Zuständigkeit für die Erstellung einer (siehe Kapitel 3). 5

6 Zuständigkeit für die Freigabe. Zuständigkeit für die Erstellung und Abzeichnung eines Freigabeprotokolls. Durch ein Freigabeprotokoll ist festzuhalten, wie den Bestimmungen des Freigabeverfahrens entsprochen wurde und zu welchem Zeitpunkt eine Übernahme vom Testsystem ins Produktivsystem erfolgte. Insbesondere sind Test- und Fehlerfälle und deren Nachbehandlung zu dokumentieren. Alle Versionen der schriftlichen Dokumentation des Freigabeverfahrens sowie alle Freigabeprotokolle sind Teil der und somit jeweils 10 Jahre aufbewahrungspflichtig. 3.4 Betrieb und Anpassungen Während der Betriebsphase hat das Informationssystem neben der Unterstützung des operativen Geschäfts eine aktive Durchsetzung des IKS und damit der handels- und steuerrechtlichen Ordnungsmäßigkeitskriterien zu gewährleisten. Die Durchführung aller im IKS vorgesehenen Kontrollen ist durchzusetzen und mittels geeigneter Dokumentationen nachzuweisen. Aufgrund rechtlicher oder betrieblicher Änderungen kann es während der Betriebsphase zu Anpassungen des Informationssystems kommen. Erfordern die Anpassungen eine Änderung von Programmcode, sind die Anforderungen aus Kap. 2.1 bis 2.4 (ggf. 2.5) zu beachten. Sind dagegen Änderungen in als rechnungslegungsrelevant klassifizierten (Kap. 2.1) Tabellen- oder Stammdaten vorzunehmen, sind sogenannte Tabellen- bzw. Stammdatenänderungsprotokolle zu erstellen und zu kontrollieren. Diese Protokolle sind, abhängig davon, ob sie Beleg- oder Verfahrenscharakter haben, 6 bzw. 10 Jahre aufbewahrungspflichtig. 3.5 Abwicklung und Migration Der Übergang von einer zur nächsten Informationssystem- Generation (u. U. bereits bei einem Releasewechsel der Fall) hat grundsätzlich analog zu Kapitel 2.3 nach einem schriftlich fixierten Freigabeverfahren stattzufinden. Darüber hinaus sind für eine ordnungsmäßige Abwicklung des Altsystems und Migration zum neuen System folgende Nachweise zu erstellen und als Bestandteil der Übernahmedokumentation 6 bzw. 10 Jahre aufbewahrungspflichtig: Beschreibung der Vorgehensweise der Übernahme analog zu Kapitel 2.3. Grund- und Hauptbücher des Altsystems. Protokoll des rechnungslegungsrelevanten Datenbestands des Altsystems. Protokoll des rechnungslegungsrelevanten Datenbestands des neuen Systems. 6 Datenübernahme- bzw. Umsetzprogramme inkl. deren Programmdokumentation. Nachweis der Abstimmung der übernommenen Stammund Bewegungsdaten, insbesondere der nicht automatisch umsetzbaren Datenfelder. Nachweis der übernommenen oder geänderten systemsteuernden Tabellen; insbesondere der nicht automatisch übernommenen. Nachweis der fehlerhaften Fälle und deren Bereinigung. Erstellung eines Freigabeprotokolls analog zu Kapitel Moderne Informationssysteme und Eine beschreibt zum Zwecke der Nachvollziehbarkeit das Verfahren der (manuellen und DVgestützten) Verarbeitung von Geschäftsvorfällen. Daraus folgt, daß die sowohl die Beschreibung der eingesetzten Softwaresysteme (Handbücher) als auch die betriebliche Einbettung der Software durch Organisations- und Arbeitsanweisungen umfaßt. Darüber hinaus ist durch die zu beschreiben, wie die ordnungsmäßige Anwendung des Informationssystems im Unternehmen sichergestellt wird.

7 Eine (nicht abschließende) Auflistung des in den GoBS geforderten Umfangs der findet sich in [GoBS95: Tz. 6]. Die Erstellung einer solchen (ordnungsmäßigen) ist zur Zeit eine wichtige, umfangreiche und kostenintensive Aufgabe, die viele Unternehmen noch zu erfüllen haben. Moderne Informationssysteme oder CASE-Werkzeuge sollten deshalb eine in weiten Teilen automatisierte oder DVgestützte Erstellung der ermöglichen. Jeder Versuch, die Erstellung und Pflege der als isolierte Aufgabe zu bearbeiten, ist in der Praxis gescheitert. [Zepf96: S. 1262] Beispielsweise versprechen die Ablaufbeschreibungs- und Modellierungskomponenten von Workflowmanagement- Systemen hier eine wesentliche Rationalisierung [Phil96, Phil97]. 5 Schlußbetrachtung und Handlungsbedarf In diesem Beitrag wurden Bestimmungen des GoBS auf den Lebenszyklus von Informationssystemen übertragen. Es wurde primär auf die Anforderungen an Informationssysteme eingegangen, die rechnungslegungsrelevante Geschäftsprozesse abbilden. Anforderungen an Buchhaltungs-Informationssysteme i.e.s., wie sie auch in den GoBS (insb. Tz. 2 u. 3) beschrieben werden, waren nicht der primäre Betrachtungsgegenstand. Bei der Umsetzung der GoBS in der betrieblichen Praxis und deren Kontrolle durch die EDV-Revision im Rahmen von Jahresabschlußprüfungen hat sich gezeigt, daß insbesondere in den Bereichen der Erstellung und Pflege von en erheblicher Handlungsbedarf besteht. Geeignete Werkzeuge zur automatisierten Erstellung sind nur in Ansätzen vorhanden. Festzustellen ist auch, daß viele Unternehmen zwar zahlreiche interne Kontrollen in ihren Geschäftsprozessen vorgesehen haben, aber über deren Konsistenz, Zuverlässigkeit und Lückenlosigkeit oftmals keine Aussagen treffen können. Ursächlich hierfür dürfte sein, daß es an einer geschlossenen Konzeption zur optimalen Gestaltung und zur Prüfung von Internen Kontrollsystemen fehlt [Sieb89]. Hier besteht interdisziplinärer Forschungsbedarf von Seiten der Wirtschaftsprüfung, Wirtschaftsinformatik und EDV- Revision. Anmerkungen 1 Das Institut der Wirtschaftsprüfer bereitet zu den Grundsätzen, die bei der Prüfung und der Testierung von rechnungslegungsrelevanten Softwareanwendungen zu beachten sind, eine Stellungnahme Erteilung und Verwendung von Software- Testaten vor. [HFA 4/1997: Fn. 1] 2 Im zugehörigen Anwenderhandbuch findet man dagegen die Formulierung: Das System FI (Finanzbuchhaltung, A.d.V.) garantiert die Einhaltung der GoS. [SAP92: 2-19], was nicht durch die Aussage des Software-Testats gedeckt ist und deshalb um den Nachsatz 7 bei ordnungsmäßiger Anwendung ergänzt werden müßte. 3 Vergleicht man diese Definition mit früheren Definitionen wie etwa in [Neub49: 9, Poug59: 15, Horv85: Sp. 835 oder WPH-I96: P. 44], wird durch das BMF die Bedeutung von Informationen als eigenem (schützenswerten) Vermögenswert explizit hervorgehoben. Literatur [Ande93] Arthur Andersen (Hrsg.): Bericht über die Prüfung der Ordnungsmäßigkeit des Finanzbuchhaltungsmoduls FI der Software R/3, Stuttgart, 23. Juli 1993 [AWV93] AWV-Schrift : Gesetzliche Anforderungen an moderne Verfahren zur Erfassung und Übermittlung von Buchhaltungsdaten, AWV (Hrsg.), 1993 [Baet93] Baetge, J.: Überwachung, in: Vahlens Kompendium der Betriebswirtschaftslehre, Band 2, M. Bitz et al. (Hrsg.), 3. Aufl., München, 1993, S.175 ff. [BaPh97] Baader, J.; Philipp, M.: Rechtliche Grundlagen für den Einsatz betrieblicher elektronischer Archivierungssysteme, in: Datenbanken in Büro, Technik und Wissenschaft, GI-Fachtagung, K. R. Dittrich, A. Geppert (Hrsg.), Berlin et al.: Springer, Ulm März 1997, S. 299 ff. [Cush74] Cushing, B. E.: A Mathematical Approach to the Analysis and Design of Internal Control Systems, in: The Accounting Review, 49/1974, S. 25 ff. [Cush75] Cushing, B. E.: A Further Note on the Mathematical Approach to Internal Control, in: The Accounting Review, 50/1975, S. 151 ff. [FAMA87] IDW (Hrsg.): Stellungnahme FAMA 1/1987: Grundsätze ordnungsmäßiger Buchführung bei computergestützten Verfahren und deren Prüfung, 1987 [FAMA93] IDW (Hrsg.): FAMA- Fragebogen DV-Systemprüfung - Anlage zur Stellungnahme FAMA 1/1987, in: FN-IDW 11/1993, S. 462 ff. [FG 1/1988] IDW (Hrsg.): Fachgutachten 1/ Grundsätze ordnungsmäßiger Durchführung von Abschlußprüfungen, in: Die Wirtschaftsprüfung, 1-2/1989, S. 9 ff. [GaKr93] Gagh, V. M.; Krishnan, R.; Peters, J. M.: Modeling Internal Controls and Their Evaluation, in: Auditing - A Journal of Practice & Theory, Vol. 12., Supplement, 1993, S.113 ff.

8 [Göbe90] Göbel, R.: Interne Überwachung mit Hilfe von Auswahlverfahren - Möglichkeiten zur Steigerung der Wirtschaftlichkeit Interner Überwachungssysteme, Berlin, 1990 [GoBS95] Schreiben des Bundesministerium der Finanzen vom 7. November 1995: Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS), in: Bundessteuerblatt 1995, Teil 1, Nr. 18, S. 738 ff. [GoS78] Schreiben des Bundesministerium der Finanzen vom 5. Juli 1978: Grundsätze ordnungsmäßiger Speicherbuchführung (GoS), in: Bundessteuerblatt 1978, Teil 1, S. 250 ff. [HaKe90] Hanisch, H., Kempf, D.: Revision und Kontrolle von EDV- Anwendungen im Rechnungswesen, 1990 [HFA 4/1997] IDW (Hrsg.): HFA- Stellungnahme 4/ Projektbegleitende Prüfung EDVgestützter Systeme, in: Die Wirtschaftsprüfung, 19/1997, S. 680 ff. [HoKö90] Hoyer, R., Kölzer, G.: Kommunikations-System-Studie, in: Lexikon der Wirtschaftsinformatik, P. Mertens (Hrsg.), 2. Aufl., 1990, S. 249 ff. [Horv85] Horváth, Péter: Internes Kontrollsystem - allgemein, in: Handbuch der Abschlußprüfung, A. G. Coenenberg; K. v. Wysocki (Hrsg.), 1985, Sp [Koch85] Koch, B.: Das Software-Testat, in: Die Wirtschaftsprüfung, 24/1985, S. 645 ff. [Kühn93] Kühnberger, M.: Buchhaltung - Von der Buchführung zum Jahresabschluß, 1993 [Leff88] Leffson, U.: Wirtschaftsprüfung, 4. Aufl., 1988 [Neub59] Neubert, H.: Internal Control - Kontrollinstrument der Unternehmensführung, 1959 [Phil96] Philipp, M.: Aus Handels- und Steuerrecht abgeleitete Anforderungen an Geschäftsprozeßmodelle und Workflow-Managementsysteme, in: EMISA Forum, Mitteilungen der GI- Fachgruppe Entwicklungsmethoden für Informationssysteme und deren Anwendung, Heft 1/1996, S. 38 ff.; per ftp: mphilipp/mppub.htm [Phil97] Philipp, M.: Anforderungen der Internen Revision an Workflow- Managementsysteme, in: Zeitschrift für Interne Revision (ZIR), 1/1997, S. 24 ff.; per ftp: mphilipp/mppub.htm [Poug59] Pougin, E.: Die Berücksichtigung des internen Kontrollsystems als Grundlage ordnungsmäßiger Abschlußprüfung, 1959 [Sand87] Sanders, M.: Quantitative Analyse Interner Kontrollsysteme - Modellbildung und empirische Anwendung, Forschungsergebnisse aus dem Revisionswesen under der betriebswirtschaftlichen Forschung, Band 8, Berlin, 1987 [SAP92] SAP (Hrsg.): Das Finanzwesen der SAP, Release 1.1, System R/3, September 1992 [Sieb89] Sieben, G.: Geleitwort, in: Adenauer, P.: Die Berücksichtigung des Internen Kontrollsystems bei der Jahresabschlußprüfung, 1989 [Thom94] Thomas, A.: IKS in und mit qualifizierter Standard- Anwendungssoftware - dargestellt am Beispiel SAP, in: Die Wirtschaftsprüfung, 5/94, S.137 ff.; Thomas, A.: Beiträge zum Auf- und Ausbau eines Internen Kontrollsystems bei SAP-Anwendern, in: Wirtschaftsinformatik, 3/94, S. 215 ff. [WPH-I96] Wirtschaftsprüfer-Handbuch - Handbuch für Rechnungslegung, Prüfung und Beratung, Band I, IDW (Hrsg.), 11. Aufl., 1996 [Yu72] Yu, Seongjae: A Markovian Model for the Review of the Internal Control System, Minnesota, Univ., Diss., 1972 [YuNe73] Yu, S.; Neter, J.: A Stochastic Model of Internal Control System, in: Journal of Accounting Research, 11/1973, S. 273 ff. [Zepf96] Zepf, G.: Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme - Erläuterungen zu den GoBS für die Praxis, in: DStR 32/1996, S.1259 ff. 8

9 Kernpunkte für das Management 1. Einleitender Satz: Der Beitrag beschreibt am Beispiel des deutschen Handels- und Steuerrechts eine prozeßorientierte Sicht auf rechtliche Bestimmungen, denen betriebliche Informationssysteme genügen müssen. 2. Drei Kernaussagen: Nahezu alle Geschäftsprozesse unterliegen den Bestimmungen des Handels- und Steuerrechts und die Verantwortlichkeit für die Umsetzung dieser Bestimmungen obliegt der Geschäftsführung. Die sachlogische Gliederung einschlägiger rechtlicher Bestimmungen spiegelt nur bedingt die Problemsicht der Anwender respektive Entwickler wider, so daß in der Praxis oft Unklarheit herrscht, wie rechtliche Bestimmungen umzusetzen sind. Es wird deshalb aufgezeigt, welche Nachweis-, Dokumentations- und Archivierungspflichten ein Unternehmen zu erbringen hat, um in jeder Lebenszyklus-Phase eines Informationssystems den Bestimmungen des Handels- und Steuerrechts zu genügen. 3. Stichworte: Rechnungslegungsrelevanter Geschäftsprozeß, Systementwicklung, Software-Lebenszyklus, Handels- und Steuerrecht, Ordnungsmäßigkeit, GoBS, EDV-Revision 9