Erfüllung von Compliance-Anforderungen an Tabellenkalkulationen in regulierten Unternehmen NEXT GENERATION FINANCIAL MODELLING

Transkript

1 NEXT GENERATION FINANCIAL MODELLING Erfüllung von Compliance-Anforderungen an Tabellenkalkulationen in regulierten Unternehmen Einführung von Inter-Spreadsheet Communication mit Managed Data Distribution Services & Real-Time Messaging Middleware zur Vermeidung von Risiken durch unkontrollierte Excel-Dateien Compliance-Whitepaper

2

3 Inhalt Vorwort Rechtliche Grundlagen - Nationale und internationale Gesetze Die Zukunft der Tabellenkalkulation - Nur ein Weg bleibt übrig Innere und äußere Compliance 3 Schritte zur compliance-gerechten Excel-Datei (Design & Entwicklung) Für jeden die richtige Version Arbeiten mit compliance-gerechten Excel-Dateien (Datenerfassung) Nutzung von compliance-gerechten Excel-Dateien (Datenauswertung) Compliance-Forderung I - Zugriffsberechtigung (access control) Compliance-Forderung II - Eingabeberechtigung (input control) Compliance-Forderung III - Änderungskontrolle (change control) Compliance-Forderung IV - Abbildung des Kalkulationsweges (audit trails) Compliance-Forderung V - Tests (testing) Compliance-Forderung VI - Versionierung (versioning) Compliance-Forderung VII - Dokumentation (documentation) Compliance-Forderung VIII - Backup und Archivierung Zusammenfassung Die nächsten Schritte Technischer Background

4

5 Ultimate Spreadsheet Compliance Sichere Excel-Nutzung in reglementierten Umgebungen Excel-Kalkulationen 100% compliance-gerecht in Unternehmen einsetzen Mauricio I. González Evans Geschäftsführer / CEO Seit mehr als 20 Jahren reden wir über Probleme, welche durch den Einsatz von Excel-Dateien in Unternehmen entstehen können. Seit mehr als 10 Jahren existieren gesetzliche Vorschriften, welche den Einsatz von Software in Unternehmen reglementieren und welche darauf hinweisen, dass die Risiken von solchen Software-Lösungen erkannt und unter Kontrolle gehalten werden müssen. Doch in Bezug auf die am meisten verbreitete Business- Software der Welt, hat sich hier kaum etwas getan. Die Angst ist groß, dass Wirtschaftsprüfer oder die Revision eine geschäftsrelevante Kalkulation, welche auf Excel basiert, nicht abnehmen. Eine von jedem Anwender ohne Kontrolle manipulierbare Softwareumgebung scheint hier wie ein Relikt aus vergangener Zeit. Ab heute können Sie beruhigt Excel als Kalkulationsgrundlage oder financial modelling software in Ihrem Unternehmen einsetzen. Selbst dann, wenn Sie unter Aufsicht der BaFin, der SEC oder einer anderen Regulierungsbehörde stehen. Mit den Managed Data Distribution Services von Calcnode/ECS der BCC Group International wird jede Excel-Kalkulation mit wenigen Klicks zur compliance-gerechten Softwarelösung. Entwickelt unter Hochleistungsbedingungen im Investment-Banking laufen Ihre komplexen Kalkulationen sogar auf High-Performance Servern. So geht Excel heute. Marc Wehrhagen Manager Consulting Services Marc Wehrhagen Manager Consulting Services BCC Group International Microsoft Excel und Microsoft Access sind eingetragene Warenzeichen der Microsoft, Inc., USA 5

6 Nationale und internationale Gesetze Rechtliche Grundlagen Wenn Sie ohne Excel in Ihrem Unternehmen nicht arbeiten können oder wollen, dann müssen Sie jetzt handeln We all know that the war of fighting the proliferation of spreadsheets (as BI or as any other applications) in enterprises has been fought and lost. Boris Evelson Principal Analyst bei Forrester Research EUCs (End User Computings) und UDAs (User Developed Applications) schließen die Lücke zwischen den «offiziellen» Programmen und den sich schnell verändernden Anforderungen. Excel und Access sind dabei die beiden am häufigsten verwendeten Programme. Einzeln oder in Kombination werden die zum Teil hochkomplexen Applikationen monate- oder jahrelang unterhalb des IT-Radars verwendet, bis sie eventuell eines Tages von einer Standardsoftware abgelöst werden. Da diese Applikationen nur in den seltensten Fällen dokumentiert werden, ist über ihre genaue Funktionsweise und Qualität kaum etwas bekannt. Die Tabellen und Datenbanken sind dabei so gut wie nie direkt an geschäftskritischen Prozessen, wie Abrechnungen oder Buchungen beteiligt. Sie liefern vielmehr die Basis für Auswertungen, Berichte und Entscheidungen. Anders als zentrale Softwaresysteme, sind durch Endanwender erstellte Applikationen kaum umfassend getestet worden. Sie sind extrem anfällig für unbedachte Veränderungen. Fehler in Kalkulationen oder Datenbankstrukturen fallen nur auf, wenn sie Ergebnisse in extremer Form produzieren. Falsche Bezüge, manuelle Korrekturen durch Anwender, oder durch schlichte Unkenntnis der Programme verursachte Fehler bleiben fast immer unerkannt. Diese Risiken werden mittlerweile auch von den Verfassern der entsprechenden Regularien erkannt. In den Formulierungen werden Anwendungen, welche auf EUC oder UDA basieren, indirekt, aber in zunehmender Weise auch direkt angesprochen. Gesetze mit Einfluss auf Excel Folgende Auswahl an Gesetzen und Vorschriften haben allein in Deutschland, Großbritannien und den USA eine Auswirkung auf die Nutzung von Excel im Unternehmen: Sarbanes-Oxley Act (SOX) für börsennotierte US-Firmen MaRisk 6

7 Dodd Frank Act für US- Finanzinstitute FAS 157 on fair value accounting Solvency II für die Versicherungsindustrie Basel 2 für Finanzinstitute KonTraG FSA PCAOB Richtlinien für Wirtschaftsprüfer NAIC Prüfungsrichtlinien für die Versicherungsindustrie HIPAA Health Insurance Portability and Accountability Act für medizinische Unternehmen - Datenschutz von persönlichen Informationen CFR - Code of Federal Regulations Title 21 Als Folge davon sind Excel-Kalkulationen immer häufiger Gegenstand von Untersuchungen bei Prüfungen und Risikobetrachtungen. Alle führenden Wirtschaftsprüfungsfirmen unterhalten mittlerweile Abteilungen, welche den Auftraggeber bei der erfolgreichen Umsetzung von Compliance-Policies im Zusammenhang mit EUCs und UDAs unterstützen. Alle Regularien setzen dabei folgende Eigenschaften an Unternehmenssoftware voraus: Zugriffsbeschränkungen Passwortschutz Login-Kennwörter und Usernamen Nachverfolgbarkeit von Änderungen Event-Logs ( Login, Logout, Passwort-Änderung etc.) Berechtigungen Verschiedene Rechte für verschiedene Programmteile Elektronische Signaturen Bis vor wenigen Jahren war die Verwendung von Excel und Access nur bei einigen wenigen Unternehmen eingeschränkt. Mit Excel zu arbeiten gehörte zum Alltag. Alles wurde in Excel erfasst. Die Erstellung riesiger Excel-Tapeten wurde als qualitative Leistung dargestellt. Aus einem Werkzeug wurde ein Selbstzweck. Nutzen, Wichtigkeit und Qualität einer Kalkulation wurden anhand von Komplexität und Masse gemessen. Diese Haltung hat sich unter der zunehmenden Bedeutung von Risikobetrachtungen verändert. Die Dateien von damals sind jedoch nach wie vor im Einsatz. Werden in einem Unternehmen keine Maßnahmen getroffen, welche die Nutzung von Excel- Dateien reglementieren, dann können sich Fehler bis hin zu unternehmenskritischen Entscheidungen durchschlagen. Wenn Wirtschaftsprüfer erst einmal das Testat auf Grund einer nicht prüfbaren Excel-Datei verweigert haben, dann ist es zu spät. Wie geht es weiter? Eine 100% compliance-gerechte Integration von Excel-Kalkulationen in Unternehmensabläufe ist möglich und umsetzbar. Es können alle Anforderungen nationaler und internationaler Vorschriften eingehalten werden, ohne die täglichen Arbeitsabläufe zu verkomplizieren oder Anwender an neue Oberflächen gewöhnen zu müssen. Im Gegenteil: Arbeitsabläufe und Verantwortungen werden klarer, die Gefahr unbeabsichtigter Änderungen ist gänzlich verschwunden und Arbeitszeit kann wieder produktiv eingesetzt werden und muss nicht mehr in das manuelle Datei- und Versionsmanagement investiert werden. 7

8 Nur ein Weg bleibt übrig Die Zukunft der Tabellenkalkulation Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. KonTraG 91 AktG Absatz 2 Excel hat wie keine andere Software den Umgang mit Daten in Unternehmen verändert. Mit Excel konnte Datenverarbeitung direkt beim Anwender durchgeführt werden und musste nicht länger in dunklen Kellern auf Host-Systemen stattfinden. Doch jedes Werkzeug kann auch Schaden anrichten. Die heutigen Excel Probleme sind über die Jahre gewachsen. Interessanterweise sind sie nicht der Software, sondern dem missbräuchlichen Einsatz von Excel durch schlecht ausgebildete Anwender geschuldet. Ein bisschen Kosmetik wird nicht helfen. Zu groß ist die Gewohnheit, es auf die alte Art und Weise zu machen. Ein Umdenken kann nur stattfinden, wenn Anwender in dem neuen Weg einen Vorteil sehen. Nur wenn die sichtbare Veränderung auf ein Minimum begrenzt wird, werden sich Anwender überhaupt darauf einlassen, etwas Neues auszuprobieren. Und doch ist der neue Weg grundlegend anders. So haben Sie Excel noch nie erlebt. So haben Sie mit Excel noch nie gearbeitet. Dabei ist es nach wie vor Excel. Ohne Einschränkungen. Excel wird zur hochperformanten Rechenmaschine. High Performance Excel Zum ersten Mal in der Geschichte von Excel können Tabellenkalkulationen in einem hoch professionellen Umfeld eingesetzt werden. Entwickelt für den Handel im Investment Banking, einem Bereich mit High-End-Anforderungen, wurde Excel um die Fähigkeit erweitert, mit Real- Time-Daten umgehen zu können. Damit genügend Rechenleistung zur Verfügung stand, mussten Berechnungen gezielt auf High- Performance-Server ausgelagert werden können. So detailliert, dass einzelne Formeln in Zellen bestimmten Rechenkernen zugewiesen werden konnten. Damit die hohen Anforderungen an die Datenqualität, an die Verfügbarkeit und an die 8

9 Früher Per Mail Heute Senden Empfangen Geschwindigkeit erfüllt werden konnten, wurde eine Messaging Middleware als Kommunikationsschaltstelle eingesetzt. Excel-Tabellenblätter lernten miteinander zu kommunizieren. Damit war die Zeit vorbei, wo man Daten aus anderen Tabellenblättern in sein eigenes Blatt kopieren musste. Excel sendet und empfängt Daten Excel ist nun in der Lage, Daten zu senden und zu empfangen. Einfach per Funktion. Als würden Sie eine SUMME berechnen. Jede Änderung in einem zu sendenden Bereich wird automatisch versendet. Diese Message beinhaltet den Absender, Datum und Uhrzeit, den Absendeort, den Namen und die Bezeichnungen der Daten und natürlich die Werte. Außerdem wird eine unfälschbare, eindeutige ID angehängt. Und genauso leicht können Sie diese Werte wieder empfangen. Geben Sie einfach den Datenlieferant, die Datenart und das entsprechende Feld an und erhalten Sie, bei entsprechender Berechtigung, den aktuellsten Wert. In Echtzeit. Sammeln Sie Tausende von Daten ein und behalten Sie über Management- Cockpits alles im Blick. Ohne Zeitverzögerung, in Realtime. Berechtigungen managen Doch damit nicht genug. Damit Sie Daten senden oder empfangen dürfen, müssen Sie die Erlaubnis besitzen. Dies hatte zur Folge, dass ein detailliertes Berechtigungsmanagement für den Zugriff auf Excel-Dateien entstand. Sie können nun über eine leicht zu pflegende Oberfläche die Nutzer Ihrer Kalkulationen explizit festlegen. Aufräumen - Schluss mit dem Chaos Da alle Excel-Dateien an einem zentralen Ort gesichert abgespeichert werden, dürfen also keine lokalen Kopien von unternehmenskritischen Kalkulationen mehr existieren. Als Anwender klicken Sie auf einen Link und erhalten umgehend die aktuellste Datei aus dem Repository. Die Technik, welche ermöglicht, dass alle Eingaben in Echtzeit an die Datei auf dem Server gesendet werden und Ergebnisrechnungen in Echtzeit an Ihre Kalkulation zurückgesendet werden, macht komplexe Funktionen in Ihrer Arbeitsversion unnötig. Sogenannte GET-Funktionen holen sich das Ergebnis, welches zuvor auf Hochleistungsservern berechnet wurde. Die hinterlegten Formeln und Funktionen sind so für den Anwender unsichtbar und bestens geschützt. Die Rechenlogik kann zentral geprüft, dokumentiert und abgenommen werden. 9

10 Fangen Sie wieder an, Ihren Kalkulationen zu vertrauen Als Verantwortlicher der Geschäftsführung können Sie nun zum ersten Mal seit Beginn des Excel-Zeitalters garantieren, dass alle, wirklich alle Mitarbeiter mit den gleichen Formeln rechnen. Keine versteckten Sonderlösungen mehr, keine undokumentierten Eingriffe in die Formeln mehr. Mit der Messaging-Middleware und dem Berechtigungssystem waren auf einen Schlag der Großteil der Compliance Anforderungen, welche durch nationale und internationale Gesetzgebungen an Excel herangetragen wurden, erfüllt. Excel-Compliance ist nun keine Herausforderung mehr, sondern eine kostengünstige, schnell umsetzbare und produktivitätssteigernde Maßnahme. Wir zeigen Ihnen in diesem Whitepaper wie auch Sie Excel 100% compliance-gerecht in Ihrem Unternehmen einsetzen können. Erfassung von Excel-Usern Alle Kalkulationen an einem Ort 10

11 Was zu beachten ist Innere und äußere Compliance Eine große Herausforderung Die wenigsten Anwender sind in der Lage ihre eigenen Dateien effizient auf Fehler zu überprüfen. Dabei werden Manipulationen zumeist gar nicht als solche identifiziert. Die meisten Manipulationstechniken funktionieren nur, weil Anwendern in der Regel die Auswirkungen einer risikoreichen Handlung oder einer Daten verändernden Einstellung nicht klar sind. Arbeiten Anwender mit Kalkulationen, welche sie nicht selbst erstellt haben, dann ist die Unbedarftheit, mit der mit diesen Tabellen umgegangen wird, erschreckend. Um mehr Sicherheit in Excel-Dateien zu schaffen, muss zunächst bei den Mitarbeitern das Bewusstsein geschaffen werden, dass Manipulationen in unternehmensrelevanten Kalkulationen keine Kavaliersdelikte sind. Die wenigsten Excel-Kalkulationen werden nur vom Ersteller verwendet. Die Nutzung durch mehrere Anwender im zeitlichen Verlauf ist die Regel. Informationen und Berechnungen werden ergänzt, Auswertungen hinzugefügt, Berichte und Diagramme auf Basis der zuvor gemachten Daten und Berechnungen erstellt. Kaum ein Anwender prüft die ihm überlassenen Kalkulationen auf strukturelle oder formeltechnische Manipulationen. Jeder zusätzliche Anwender übernimmt die Tabellen und Manipulationen seiner Vorgänger. Obwohl viele Excel-Dateien einen komplexen Workflow- Charakter aufweisen, scheinen die gängigen Methoden zur Verbesserung der Qualität an Tabellenkalkulationen fast spurlos vorübergegangen zu sein. Solange Mitarbeiter und Vorgesetzte Manipulationen an Funktionen, Verschleiern oder Verstecken von Informationen oder die stille Beseitigung von Fehlern tolerieren, sind keine Verbesserungen in Richtung compliance-gerechter Nutzung von Tabellenkalkulationen zu erwarten. Für die äußere Compliance ist das Unternehmen verantwortlich, für die innere Compliance jeder Anwender. Äußere Compliance Zugriffsberechtigung Dokumentation Backup Innere Compliance Durchgehende Rechenkette Konsistente Funktionsfortschreibungen Konsistente Namensvergabe Gültigkeitsprüfungen Keine Zahlen in Funktionen Eingabeberechtigung Änderungskontrolle Versionierung Tests Audit Trail 11

12 3 Schritte zur compliance-gerechten Excel-Datei > Design & Entwicklung Einfach, nachvollziehbar und praxisgerecht Tom Designer Öffnet eine vorhandene Kalkulation oder erstellt eine neue Kalkulation Ist ausgebildet in Excel und will seine Entwicklung schützen Will seine vorhandenen Kalkulationen weiterverwenden Will keine Zeit mit komplizierten Abläufen verbringen Startet den Calcnode-Designer und definiert Eingabe- und Kalkulationsbereiche Speichert die Definitionen im Repository und erhält eine eindeutige GUID 12

13 Für jeden die richtige Version Alle notwendigen Arbeiten sind automatisiert Ist eine Excel-Datei von einem Designer deployed worden, dann werden automatisch vier Versionen angelegt. Die sogenannte Runner- Version ist das Original. In dieser Aufbau durchzuführen. Hier werden auch die Definitionen festgelegt, welche Zellen als Eingabefelder und welche Zellen als Kalkulationsfelder betrachtet werden sollen. man sich alle Berechnungen und Werte nur anschauen. Die Werte und Ergebnisse werden über GEToder RECEIVE-Funktionen in Echtzeit vom Runner übertragen. Version finden die ausgelagerten Berechnungen statt. Bei dieser Version kann für jede Zelle oder für einen Bereich detailliert definiert werden, welcher Rechenkern die Berechnung durchführen soll. Der Runner kann auf HPC-Servern laufen, wodurch die Rechenleistung um ein Vielfaches gesteigert werden kann. Außerdem werden drei weitere Workbooks erstellt. Das Designer- Workbook wird verwendet, um Änderungen an den Formeln und Funktionen oder am generellen Die Author-Version ist für Anwender gedacht, welche Eingaben in der Kalkulation vornehmen sollen. Wer für eine Author-Version berechtigt ist, kann zwar Eingabefelder verändern, aber keine Kalkulationsfelder. Er sieht die berechneten Ergebnisse über eine GET-Funktion. Jede Eingabe in einem der definierten Bereiche wird in Echtzeit an das Runner-Sheet übertragen. Das Viewer-Sheet beinhaltet weder Eingaben noch Formel oder Funktionen. In diesem Sheet kann Änderungen durch einen Author werden sofort angezeigt. Ein Viewer kann durch die GET- oder RECEI- VE-Funktionen jederzeit die Quelle für den angezeigten Wert ermitteln. Jeder Sendeprozess an den Runner wird protokolliert. Ein Bericht oder ein Diagramm kann somit immer eindeutig bis zu seinen Eingabewerten zurückverfolgt werden. 13

14 Arbeiten mit compliance-gerechten Excel-Dateien > Datenerfassung Sauber, aufgeräumt und übersichtlich Lisa User Verbringt keine Zeit mehr mit dem Suchen der richtigen Datei Kann keine Formeln mehr aus Versehen verändern Muss nie wieder jemandem die Ergebnisse mailen Klick auf Link, statt Ablage- Chaos Neueste Version aus Repository. Auf Grund der Rechte (Author/User) nur Erfassungs-Abbild Eingabefelder und Ergebnisfelder sind farbig markiert Alle Datenerfassungen werden an die Originaldatei gesendet. In Echtzeit. Keine Rechenformeln mehr für reine Anwender, sondern GET- Funktion Nachweisbar, von welcher Datei die Ergebnisse kommen 14

15 Nutzung von compliance-gerechten Excel-Dateien > Datenauswertung Verlässlich, nachvollziehbar und sicher Will sich auf die Ergebnisse verlassen können Will alle Daten aktuell haben Will sicher sein, dass niemand die Daten manipuliert hat Charlie Viewer Klick auf Link, statt Ablage- Chaos Neueste Version aus Repository. Auf Grund der Rechte (Viewer) nur Ansichts-Abbild. Eingabefelder und Ergebnisfelder sind farbig markiert Neue Eingaben werden in Echtzeit übertragen Keine Rechenformeln mehr für Betrachter, sondern GET-, oder RECEIVE-Funktionen Nachweisbar, von welcher Datei die Ergebnisse kommen 15

16 Compliance-Forderung I Zugriffsberechtigung (access control) Vollständige Zugriffskontrolle über das Benutzermanagementsystem Insbesondere sind Prozesse für eine angemessene IT- Berechtigungsvergabe einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt. Bundesanstalt für Finanzdienstleistungsaufsicht Mindestanforderungen an das Risikomanagement Excel bietet seit seiner ersten Veröffentlichung nur einen passwortgeschützten Zugang zu der Datei an. Das Passwort ist mit der Datei verbunden und nicht mit dem Anwender. Auch wenn sich der Verschlüsselungsgrad des Passworts im Laufe der Jahre erhöht hat, so ist doch eindeutig erkennbar, dass Microsoft Excel- Kalkulationen als lokale Datei ansieht, nicht als unternehmensweite Applikation. Es war mit Sicherheit nicht vorauszusehen, was einmal alles mit Excel umgesetzt werden sollte. Doch obwohl seit fast 20 Jahren unternehmensrelevante Berechnungen mit Excel abgebildet werden, hat Microsoft es versäumt, hier nachzubessern. Ein Kennwort für alle Mitarbeiter ist definitiv nicht ausreichend um den Anforderungen der Compliance- Vorschriften gerecht zu werden. Verschiedene Ansätze über Dokumentenmanagement- Systeme oder Groupware-Systeme wie Sharepoint lösen zwar ansatzweise das Problem der Berechtigungen, haben jedoch Schwächen andere Compliance - Forderungen zu erfüllen. Das Ergebnis ist dann oft ein Sammelsurium an Einzellösungen. Und kein Unternehmen wird Sharepoint einführen, nur um Compliance-Anforderungen an Excel umzusetzen. Sind die Arbeitsabläufe nachher komplizierter als vorher, dann stirbt die Lösung innerhalb kürzester Zeit. Anwender wollen keine Veränderung. Nicht einmal, wenn sie gesetzlich geboten ist. Und genau hier liegt der einzig sinnvolle und nachhaltige Lösungsweg für Unternehmen. Wer in Ihrem Unternehmen Daten in Excel erfasst hat, muss dies weiterhin in der gewohnten Umgebung tun können. Er will nicht plötzlich über ein Web- Frontend arbeiten, welches nur so ähnlich aussieht wie Excel. Wer in Ihrem Unternehmen Excel-Kalkulationen erstellt hat, will dies weiterhin mit dem vollen 16

17 Detaillierte Rechtedefinition für jede Datei Alle Anwender für unternehmenskritische Excel- Kalkulationen übersichtlich im Blick Funktionsumfang tun können. Diese Nutzergruppe wird froh sein, wenn Ihre Formeln und Funktionen, in welche sie viel Mühe und Know-How gesteckt haben, endlich nicht mehr von jedem einfach so geändert werden können. Wer in Ihrem Unternehmen auf Berichte, Auswertungen und Diagramme angewiesen ist, will sich nicht mit Cubes und Normalisierung beschäftigen, nur um aus dem neuem BI-System irgendeine Übersicht zu bekommen. Und er will auch nicht jedes Mal die IT-Abteilung beauftragen, nur weil er ein neues Diagramm benötigt. Was er jedoch will, ist eine verlässliche, aktuelle und konsistente Datenbasis. Aber niemand in Ihrem Unternehmen braucht alle Lösungswege gleichzeitig. Und doch arbeiten alle Mitarbeiter in Ihrem Unternehmen mit einer Datei, in welcher die Originaldaten stehen, in welcher alle Funktionen frei zugänglich sind und in welcher sich alle Auswertungen befinden. Damit ist jetzt Schluss. Geben Sie Mitarbeitern nur noch die Rechte, welche sie wirklich benötigen. Über eine leicht zu pflegende Oberfläche erfassen Sie, wer die Datei mit den Originalfunktionen überhaupt sehen darf. Anwender, welche nur Daten erfassen müssen, aber bereits berechnete Ergebnisse sehen können müssen, erleben hier eine geniale Umsetzung. Der erfasste Wert wird in Echtzeit an einen Server gesendet, auf dem sich die Excel-Datei befindet, in welcher die Berechnungen durchgeführt werden. In der Zelle in der das Ergebnis erscheinen soll, steht keine Rechenfunktion mehr, sondern eine sogenannte GET- Funktion, also eine Funktion, welche sich das Ergebnis abholt. Wirklich jeder Anwender in Ihrem Unternehmen darf mit unternehmensrelevanten Excel- Kalkulationen also nur noch das machen, wozu er befugt ist. Und dies nachweisbar und dokumentierbar. Damit ist die Compliance-Forderung I Zugriffsberechtigung zu 100% erfüllt. 17

18 Compliance-Forderung II Eingabeberechtigung (input control) Fangen Sie wieder an, guten Gewissens den Daten in Ihren Kalkulationen zu vertrauen Unter Eingabeberechtigung werden mehrere Forderungen verstanden. Wer darf die Daten erfassen? Sind die Eingabefelder definiert? Sind die einzugebenden Daten definiert? Ist der Datenbereich begrenzt? Beginnen wir mit Lösungen innerhalb von Excel. Jedes Eingabefeld muss mit einer Gültigkeitsprüfung versehen werden. Diese Funktion ist in Excel seit langer Zeit integriert, wird aber nur sehr rudimentär angewendet. Für Anwender ergibt sich daraus die Sicherheit, dass keine unzulässigen Datenerfassungen mehr möglich sind. Mit der Gültigkeitsprüfung wird sichergestellt, dass keine Inhalte in Zellen eingegeben werden, welche eine weitere Verwendung oder Auswertung unmöglich machen. Eine umgesetzte Wertedefinition ist jedoch nur die halbe Miete, wenn Sie nicht nachweisen können, wer welchen Wert wann erfasst hat. Und dies lückenlos und unfälschbar. Wird einem Anwender über die Zugriffsberechtigung die Eingabe von Werten grundsätzlich erlaubt, dann wird, wie bereits erwähnt, jede Änderung in Echtzeit zu der Datei gesendet, in welcher die Berechnungen stattfinden. Jede dieser Datenänderungen wird in einem speziellen hardwarebasierten Format gesendet und enthält Angaben über den Absender, den Absendeort, die Uhrzeit und den Inhalt der Sendung, sowie eine eindeutige ID. Alle Änderungen werden also für spätere Überprüfungen protokolliert. Somit kann niemand mehr in Ihren Excel-Kalkulationen Werte verändern, ohne dabei Spuren zu hinterlassen. Dabei geht es nicht um Kontrolle, sondern um Sicherheit und Verlässlichkeit. Wenn Anwender keine Fehler machen würden, dann wäre eine Protokollierung der Eingaben nicht notwendig. Doch Menschen machen Fehler. Das lässt sich mit keiner Software der Welt vermeiden. Was wir jedoch vermeiden können ist, dass diese 18

19 Ergebnisse empfangen, anstatt in jeder Kalkulation aufwendige Berechungen durchzuführen. Einfach per Funktion Daten senden, einfach per Funktion aus Ihrer Kalkulation heraus Fehler unentdeckt bleiben und dass diese Fehler die Basis für weitere Entscheidungen darstellen. Wird in einer Excel-Datei ein Wert geändert und diese Datei gespeichert und geschlossen, dann gibt es keine Möglichkeit herauszufinden, was zuvor in der Zelle stand. Das war schon vor dem Aufkommen von Compliance-Richtlinien kein willkommener Zustand. Und die Frage Warst Du an meiner Excel-Datei? hätten sich viele Anwender wohl gerne erspart. Heute reicht ein Blick in die Log- Datei der Excel-Kalkulation und Sie können jeden Wert für jede Zelle für jeden Zeitpunkt zurückverfolgen. Haben Sie jemals versucht, mit mehr als einem Anwender an einer Excel- Datei zu arbeiten? Oh Ja, das geht schon. Irgendwie. Wenn man nebeneinander sitzt und sich abstimmen kann. Ansonsten kann man schnell den Überblick verlieren. Müssen mehrere Personen Daten zu einem Ergebnis beitragen, so erledigen sie dies nacheinander in derselben Datei, welche entweder per Mail weitergereicht wird um eine Art Workflow zu simulieren, oder die Datei wird nacheinander auf dem Server in verschiedene Ordner gelegt, mit der gleichen Intention. Natürlich können auch alle beteiligten Personen ihre Daten in separaten Dateien erfassen. Jeder mailt dann seine Datei jemandem, der, zumeist mittels Copy/Paste, alle Eingaben in einer Datei konsolidiert um daraus eine Kalkulation zu erstellen. Dass diese Hilfskonstrukte fehleranfällig und so gut wie nicht prüfbar sind, muss wohl kaum betont werden. Wer jemals versucht hat, alle Beteiligten einer komplexen unternehmensrelevanten Kalkulation lückenlos nachzuweisen, dem wird schnell klar, dass diese Art von Workflow keinen Compliance - Vorschriften entsprechen kann. Doch es geht auch anders. Definieren Sie einfach in Ihrer Excel-Datei die einzelnen Eingabebereiche und weisen Sie sie den entsprechenden verantwortlichen Datenerfassern zu. Da die Datenerfasser nicht mit der Originaldatei arbeiten, sondern mit einem speziell für sie erzeugten Abbild, können sie nur in dem Bereich Daten erfassen, welcher für sie freigegeben wurde. Dies können gleichzeitig auch alle anderen Datenerfasser tun. Gleichzeitig! 5 Abteilungen, 20 Analysten oder sogar 100 Vertriebsmitarbeiter - kein Problem. Und Sie brauchen nichts mehr zu konsolidieren. Nie mehr. Alle erfassten Werte sind in Echtzeit in Ihrer Excel-Auswertung. Sie wissen genau wer den entsprechenden Wert erfasst hat und wann. Und wenn es eine Deadline für die Erfassung gab, dann begrenzen Sie das Recht zur Eingabe auf ein spezielles Datum. Ab jetzt haben Ihre Kalkulationen eine zellgenaue Berechtigungsvergabe, eine Log-Datei für alle Änderungen mit eindeutigen unfälschbaren IDs und die Exceleigene Gültigkeitsprüfung auf jeder Eingabe-Zelle. Damit ist die Compliance- Forderung II Eingabeberechtigung zu 100% erfüllt. 19

20 Compliance-Forderung III Änderungskontrolle (change control) Geben Sie Manipulationen keine Chance Die Entwicklung und Änderung programmtechnischer Vorgaben (z. B. Parameteranpassungen) sind unter Beteiligung der fachlich und technisch zuständigen Mitarbeiter durchzuführen. Die programmtechnische Freigabe hat grundsätzlich unabhängig vom Anwender zu erfolgen. Bundesanstalt für Finanzdienstleistungsaufsicht Mindestanforderungen an das Risikomanagement Diese Anforderung der Bafin beinhaltet einen Satz, welcher in internationalen Vorschriften als Segregation of duties bezeichnet wird, also der Trennung von Verantwortlichkeiten. Dies ist in heutigen Excel-Dateien definitiv nicht der Fall. Der Ersteller, der Tester und der Hauptanwender sind fast immer dieselbe Person. Der Auftraggeber dagegen ist häufig ein Vorgesetzter. Wo bei komplexen Software-Entwicklungen in den letzten Jahren die Rolle des Business-Analysten oder des Requirements Engineers immer wichtiger geworden ist, um die Lücke zwischen Anforderer und Umsetzer zu schließen, da wurde bei Excel weiterhin auf Zuruf gearbeitet. Kein Lasten- oder Pflichtenheft, keine Anforderungsanalyse, keine Business-Cases, keine Ablaufdiagramme, keine User-Interface-Definitionen, keine Feld- und Logikbeschreibungen - Nichts von alledem. Selbst in hoch sensiblen Kalkulationen können Anpassungen an Funktionen von jedem Anwender durchgeführt werden. Als einziger vermeintlicher Schutz wird der Excel-eigene Blattschutz verwendet, dessen Umgehung jeden Tag Zehntausende von Anwender abenteuerliche Wege einschlagen lassen. Die nachträgliche Suche von Abweichungen im Revisionsfall wird zur unlösbaren Aufgabe. Durch die strikte Vergabe von Rechten und der Einteilung in Entwicklungs-, Test- und Produktivumgebung sind bereits fast alle Anforderungen umgesetzt. Jede Änderung führt automatisch zu einer neuen Version. Dies gibt zunächst einmal die Sicherheit, dass alle Mitarbeiter, welche eine Erfassungsvorlage mit der gleichen Versionsnummer verwenden, alle auf das gleiche Abbild zugreifen. Lokale, unabgestimmte Anpassungen gehören der Vergangenheit an. 20

21 Die Implementierung von benötigten Geschäftslogiken wurde auf den Anwender der jeweiligen Fachabteilung verlagert. Dies ist nicht mehr möglich. Eine Excel-Datei kann nun nicht mehr im Laufe der Jahre eine unbeobachtete Mutation durchlaufen. Jeder, den Sie dazu berechtigen, darf eine Excel-Datei entwerfen oder weiterentwickeln. Aber eben nicht im Verborgenen, sondern im hellen Umfeld einer dokumentierten Entwicklungsund Testumgebung. Wie können Sie sicher sein, dass neben Ihrer neuen compliancegerechten Lösung keine Schattenwelt entsteht, dass Mitarbeiter nicht anfangen, wieder ihre eigenen Kalkulationen zu basteln? Dies werden Sie nicht verhindern können, solange Excel noch auf den Anwenderrechnern installiert ist. Was Sie jedoch verhindern können ist, dass diese Kalkulationen in irgendeiner Form als Basis für Entscheidungen verwendet werden, welche sich auf das Ergebnis Ihres Unternehmens auswirken können. Eine mögliche Parallelwelt wäre ohne Gefahr. Es ist nicht machbar, ungeprüfte Excel-Kalkulationen in den dokumentierten Workflow einzuschleusen. Damit ist die Compliance- Forderung III Änderungskontrolle zu 100% erfüllt. Eindeutige GUID 21