Softwarebescheinigung. Standardsoftware Sage New Classic 2011 Rechnungswesen Teilgebiet Finanzbuchhaltung. Sage Software GmbH Frankfurt/Main. zur.

Transkript

1 Softwarebescheinigung zur Standardsoftware Sage New Classic 2011 Rechnungswesen Teilgebiet Finanzbuchhaltung für Sage Software GmbH Frankfurt/Main November 2010 Hamburg, den Dokument ausgeliefert an: Peter Ott-Ewen OCS Diffenestr Mannheim Haftungs- und Weitergabebedingungen akzeptiert: JA

2 INHALTSVERZEICHNIS INHALTSVERZEICHNIS ANLAGENVERZEICHNIS... II 1 AUFTRAG AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE DV-ANWENDUNG Hardware/Systemsoftware Anwendungssoftware PRÜFUNGSKRITERIEN DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Softwareentwicklungsverfahren Angemessenheit der Programmfunktionen Notwendige und spezielle Verarbeitungsfunktionen Belegfunktion Journalfunktion Kontenfunktion Protokollierungsfunktion Zugriffsschutz Datensicherungs- und Wiederanlaufverfahren Dokumentation Anforderungen nach der Abgabenordnung Funktionsfähigkeit der Programmfunktionen Eingabekontrollen Verarbeitung ZUSAMMENFASSENDES ERGEBNIS UND SOFTWAREBESCHEINIGUNG Seite i

3 ANLAGENVERZEICHNIS ANLAGENVERZEICHNIS 1 ALLGEMEINE AUFTRAGSBEDINGUNGEN Seite ii

4 AUFTRAG 1 AUFTRAG Die Sage Software GmbH, Frankfurt/Main (nachfolgend Sage oder Gesellschaft genannt), beauftragte die BDO AG Wirtschaftsprüfungsgesellschaft, Hamburg, die Standardsoftware Sage New Classic 2011 Rechnungswesen Teilgebiet Finanzbuchhaltung auf Ordnungsmäßigkeit und Sicherheit zu überprüfen. Die Prüfung bezog sich auf den Sage-internen Versionsstand Die Prüfung stellte die Fortführung unserer Prüfung der Vorgängerversion Classic Line 2010 dar. Die Ergebnisse der Prüfung sind in diesem Bericht dargestellt. Der Funktionsumfang der untersuchten Anwendung ist in Kapitel 3 DV-Anwendung beschrieben. Die Prüfung wurde in den Monaten September bis November 2010 (mit Unterbrechungen) in den Geschäftsräumen der Gesellschaft durchgeführt. Die anschließende Schlussbearbeitung wurde in unseren Geschäftsräumen vorgenommen. Unsere Vorgehensweise, Feststellungen und Empfehlungen sind im folgenden Bericht erläutert. Die Vollständigkeit und Richtigkeit sämtlicher uns übergebener Unterlagen sowie der Angaben, Erläuterungen und Auskünfte, die für die Prüfung und die Ausstellung der Bescheinigung der Software von Bedeutung waren, bestätigte die Sage Software GmbH in einer schriftlichen Erklärung. Die zum Funktionsumfang gehörenden Programme und Dokumentationsbestandteile (Anwenderhandbücher etc.) wurden uns auf einer CD bzw. in gedruckter Form zur Verfügung gestellt. Die Programme und Daten wurden von uns gesichert und sind unseren Arbeitspapieren beigefügt. Die Prüfungsergebnisse basieren auf den uns zur Verfügung gestellten Unterlagen, den von Mitarbeiter/innen erteilten Auskünften sowie unseren Prüfungshandlungen auf einem Testsystem. Die Prüfung umfasste die berufsübliche Vorgehensweise und war auf die Beurteilung der Ordnungsmäßigkeit und Sicherheit des Verfahrens, nicht dagegen auf die Beurteilung der Wirtschaftlichkeit ausgerichtet. Die Prüfung erfolgte auf Grundlage des IDW Prüfungsstandard Die Prüfung von Softwareprodukten (IDW PS 880, Stand 11. März 2010). Für die Durchführung des Auftrages und unsere Verantwortlichkeit, auch im Verhältnis zu Dritten, gelten die als Anlage beigefügten Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften sowie unsere Sonderbedingungen für die Erhöhung der Haftung im Rahmen der Allgemeinen Auftragsbedingungen jeweils in der Fassung vom 1. Januar Seite 1

5 AUFTRAG In Broschüren oder sonstigen Veröffentlichungen der Gesellschaft über die Anwendung Sage New Classic 2011 darf auf BDO nicht namentlich hingewiesen werden. Eine Weitergabe des schriftlichen Berichtes an andere Gesellschaften ist nur möglich, wenn die jeweilige Gesellschaft als Drittbeteiligte vor Erhalt des Berichtes die rechtsverbindliche Erklärung abgibt, sich bezüglich etwaiger eigener Ansprüche gegenüber der BDO AG Wirtschaftsprüfungsgesellschaft, Hamburg, mit der Geltung der Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften vom 1. Januar 2002 und unserer Sonderbedingungen für die Erhöhung der Haftung im Rahmen der Allgemeinen Auftragsbedingungen vom 1. Januar 2002 einverstanden erklärt sowie damit, den Bericht und alle darin enthaltenen Informationen ebenfalls vertraulich zu behandeln und nicht weiterzugeben. Ein entsprechendes Musterschreiben liegt diesem Bericht bei. Eine Kopie der Vereinbarung mit den jeweiligen Gesellschaften ist der BDO AG Wirtschaftsprüfungsgesellschaft, Hamburg zuzusenden. Seite 2

6 AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE 2 AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE Anhand der vorgelegten Dokumentationsunterlagen und in ergänzenden Gesprächen mit den zuständigen Mitarbeiter/innen der Gesellschaft wurde, aufbauend auf den Erkenntnissen unserer Prüfung der Vorgängerversion, das erforderliche DV-Umfeld (Hardware und Anwendungssoftware) aufgenommen, ein Überblick über den logischen Ablauf innerhalb der DV-Anwendung gewonnen, die Abgrenzung zu vor- und nachgelagerten Teilgebieten vorgenommen und die untersuchungsrelevanten Teilgebiete, Dateien und Auswertungen festgestellt. Prüfungsrelevant sind die rechnungslegungsrelevanten Teilgebiete. Der Einsatz der Software Sage New Classic 2011 Teilgebiet Finanzbuchhaltung beim Anwender, d. h. in einer konkreten Ablauforganisation, war nicht Prüfungsgegenstand. Aussagen zu organisatorischen Regelungen werden daher im Rahmen dieser Prüfung nur dann gemacht, wenn für bestimmte, nicht vorhandene DV-gestützte Funktionen organisatorische Maßnahmen vom Anwender erforderlich sind. Die Prüfung bezog sich gemäß IDW PS 880 Die Prüfung von Softwareprodukten auf folgende Bereiche: Softwareentwicklungsverfahren Angemessenheit der Programmfunktionen Funktionsfähigkeit der Programmfunktionen Dokumentation. Die formellen Voraussetzungen für die Ordnungsmäßigkeit der DV-Anwendung wurden anhand der vorgelegten Dokumentation beurteilt. Die Prüfung der notwendigen Verarbeitungsfunktionen bezog sich auf die Überprüfung der von der Gesellschaft durchgeführten Qualitätssicherungsmaßnahmen (Kontrolle, Testergebnisse) und auf ausgewählte Stichproben (Testfälle), die Rückschlüsse auf den ordnungsmäßigen und sicheren Ablauf der DV-Anwendung zulassen. Die Anwendung stellt die Weiterentwicklung der Anwendung Classic Line 2010 dar, über die wir unter dem Datum 19. August 2009 berichtet haben. Daher bezog sich die Prüfung der Programmfunktionen schwerpunktmäßig auf die Änderungen. Die Änderungen betrafen folgende Teilbereiche: Umstellung der Datenhaltung von ISAM auf die Datenbank mysql Modernere und einfachere Gestaltung der Benutzeroberfläche: das Userinterface ist um ein Ribbon-Menü erweitert, das Regiezentrum in ein stapelbares Menü umgewandelt und ein Kontextpanel wurde ergänzt, über das sich weitere Funktionen direkt ausführen lassen die Bedienerführung und der Usability wurden für die Buchungserfassung überarbeitet Seite 3

7 AUFTRAGSDURCHFÜHRUNG UND VORGEHENSWEISE die Bildschirmelemente Listbox und scrollende Erfassung haben eine dynamische Größe erhalten. Ebenso der Matchcode, der insgesamt hinsichtlich Usability überarbeitet wurde. Die Änderungen wurden von uns anhand ausgewählter Testfälle für die Finanzbuchhaltung geprüft. Die weiteren, rechnungslegungsrelevanten Funktionalitäten wurden in Stichproben überprüft. Weiterhin wurde die Softwaresicherheit (Differenzierung von Zugriffsberechtigungen, Datensicherungs- und Wiederanlaufverfahren, Programmentwicklung, -wartung und -freigabe) hinsichtlich der Verfahren von uns in Stichproben geprüft. Zur Prüfung der Software wurde eine Testumgebung (unter Verwendung des in der Software enthaltenen Demo-Mandanten) aufgebaut. Die einzelnen Untersuchungsergebnisse sind im Kapitel 5 dargestellt. Je Untersuchungsfeld ist - einführend - das jeweils gesetzte Ziel unter Berücksichtigung der Ordnungsmäßigkeit und Sicherheit formuliert. Im Kapitel 6 ( Zusammenfassendes Ergebnis und Softwarebescheinigung ) werden die Einzelfeststellungen zusammengefasst. Seite 4

8 DV-ANWENDUNG 3 DV-ANWENDUNG 3.1 Hardware/Systemsoftware Gegenüber der Vorversion (Classic Line 2010) sind die Anforderungen der Sage New Classic 2011 weitgehend unverändert. Für den Einsatz muss das System folgende Hard- und Softwarevoraussetzungen erfüllen: System Betriebssystem Prozessor Arbeitsspeicher (RAM) Mindestvoraussetzung Windows 2003 SP2 (Server), XP Professional SP3 (Client) Core2-Duo (oder entsprechend AMD) 2 GB (Einplatz), 1 GB (Mehrplatz) Grafikkarte 1024 x 768 High Color ( 16 Bit) Monitor 17 Zoll Windows XP Home ist von Microsoft nicht für den betrieblichen Einsatz vorgesehen. Die Sage New Classic 2011 ist daher nicht unter XP Home getestet. Die Sage New Classic 2011 wird entweder als Einplatzanwendung für einen Anwender auf einem Einzelrechner oder als Mehrplatzanwendung für mehrere Benutzer im Peer-to- Peer- oder Client/Server-Betrieb installiert. Um die Sage New Classic 2011 als Client/Server-Anwendung für mehrere Benutzer in einem Netzwerk zu installieren, können die Serverbetriebssysteme Linux und Windows eingesetzt werden. Darüber hinaus kann die Sage New Classic 2011 im Peer-to-Peer-Modus betrieben werden. Der Peer-to-Peer-Modus bietet den Vorteil, dass die Mehrplatzinstallation der Sage New Classic 2011 auf beliebigen, freigegebenen Verzeichnissen eines beliebigen Servers (z. B. auch Novell Netware) durchgeführt werden kann. Im Peer-to-Peer-Modus ist die Zahl der Sage New Classic Anwender auf maximal 10 beschränkt. Für die Arbeitsplatz-Rechner (Workstations) im Mehrplatzbetrieb gelten die gleichen Systemvoraussetzungen wie bei einer Einplatzinstallation. Für Rechner, auf denen die Sage New Classic 2011 Web im Browser läuft, gelten die Systemvoraussetzungen des jeweiligen Browsers. Für einen Classic-New-Line-Web-Server empfiehlt Sage mindestens 2 GB RAM und Core2-Duo-Prozessoren (oder entsprechend AMD). Für einen Classic-New-Line-Server gelten zwar ebenfalls dieselben Mindestanforderungen wie für einen Einzelplatzrechner, eine solche Minimalkonfiguration ist jedoch keinesfalls zu empfehlen. Weitere Anforderungen werden im Handbuch Systemadministration, Abschnitt Server- Installationen der Dokumentation der Sage New Classic 2011, beschrieben. Seite 5

9 DV-ANWENDUNG Zum Platzbedarf auf der Festplatte und zu weiteren Informationen verweisen wir auf das Handbuch Sage New Classic 2011 Systemadministration. Unsere Tests der Sage New Classic 2011 wurden auf einem Rechner unter Windows XP Professional durchgeführt. 3.2 Anwendungssoftware Die Anwendung Sage New Classic 2011 wurde von Sage entwickelt. Sie ist seit dem Jahr 1983 auf dem Markt und wurde ständig weiterentwickelt. Sie umfasst für den buchhaltungsrelevanten Teil folgende Module: Finanzbuchhaltung Anlagenbuchhaltung Lohn und Gehalt Bestellwesen Produktion (nicht in Classic Line Standard) Auftragsbearbeitung (nicht im Einstiegspaket). Die prüfungsrelevante Finanzbuchhaltung ist für den buchhalterischen Teil im Modul Finanzbuchhaltung zusammengefasst, sie enthält folgende Funktionen: Stammdaten Buchen Zahlungsverkehr Auswertungen Bildschirmauskunft Abschluss Zusatzpakete (u. a. wiederkehrende Buchungen, Buchungs-/Auswertungskreise) Datenpflege. Die anderen Module der Sage New Classic 2011 waren nicht Prüfungsgegenstand. Weitere aus Ordnungsmäßigkeitsgesichtspunkten notwendigen Funktionen für die Finanzbuchhaltung - Datensicherung, Benutzerverwaltung (Zugriffsschutz), Protokollierung ausgewählter Datenänderungen - werden ausgeführt unter den Menüpunkten: Dienstprogramme Administration. Nicht mittelbar oder unmittelbar für den Jahresabschluss relevante Funktionen wurden von uns nicht geprüft. Zum Überblick über den Funktionsumfang der Software verweisen wir auf die Ausführungen in der Dokumentation der Anwendung. Seite 6

10 PRÜFUNGSKRITERIEN 4 PRÜFUNGSKRITERIEN Ziel der Softwareprüfung ist es, mit hinreichender Sicherheit zu beurteilen, ob das Softwareprodukt bei sachgerechter Anwendung ermöglicht, den Kriterien zu entsprechen, die als Maßstab für die Beurteilung der funktionalen Anforderungen heranzuziehen sind. Zur Beurteilung der Ordnungsmäßigkeit und Sicherheit rechnungslegungsbezogener Programmfunktionen wurden folgende Kriterien (Standards) herangezogen: IDW Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie (IDW RS FAIT 1, Stand 24. September 2002) IDW Stellungnahme zur Rechnungslegung: Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Electronic Commerce (IDW RS FAIT 2, Stand 29. September 2003) Gesetzliche Vorschriften des Handels- und Steuerrechts ( 238 ff. HGB, 140 ff. AO) die vom Bundesminister für Finanzen herausgegebenen Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS, BMF-Schreiben vom 7. November 1995). Spezielle regulatorische, aufsichtsrechtliche oder aufgabenbezogene Anforderungen an die Gestaltung rechnungslegungsrelevanter Verarbeitungsfunktionen wurden nicht berücksichtigt. Die Anforderungen der Grundsätze ordnungsmäßiger Buchführung haben hierbei direkten Einfluss auf die Gestaltung von Softwareprodukten, indem die allgemeinen Grundsätze gemäß 238 und 239 HGB die funktionalen Grundlagen eines Buchführungsverfahrens (Beleg-, Journal-, Kontenfunktion) sowie die Anforderungen zur Dokumentation und Archivierung von dem Softwarehersteller umzusetzen sind. Seite 7

11 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE 5 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE 5.1 Softwareentwicklungsverfahren Anforderungen Die Qualität der Softwareentwicklung ist wesentlich für die Beherrschung von Risiken und für eine sachgerechte Umsetzung der Programmfunktionen. Standardisierte und normierte Entwicklungsprozesse, die Toolunterstützung von Routineaufgaben in der Entwicklung und vollständige und aktuelle Verfahrens- und Testdokumentationen wirken fehlermindernd. Demgegenüber können unzureichende Softwareentwicklungsverfahren und der Umgang mit veralteten oder nicht ausgereiften Technologien eine fehlererhöhende Auswirkung haben. Die Softwareentwicklungsverfahren müssen insbesondere folgende Risiken beherrschen: Phase Fachliche Spezifikation des Softwareherstellers Technische Spezifikation des Softwareherstellers Risiken unzureichende Berücksichtigung regulatorischer Anforderungen fehlerhafte Funktionsbeschreibungen mangelnde Geschäftsprozessanalyse nicht ausreichende Detaillierung veraltete oder ungeeignete Technologien unzureichende Berücksichtigung von Schnittstellen Realisierung unzureichende Anwendung von Programmiernormen und -standards unzureichende Anwender- und Systemdokumentation Test unzureichende Testkonzepte ungeeignete Testverfahren und -tools fehlende Dokumentation der Testergebnisse Qualitätssicherung fehlende Freigabeverfahren Vorgehensweise unzureichende Fehlerbearbeitung mangelhaftes Laufzeitverhalten und mangelnde Verwendbarkeit In Gesprächen mit den zuständigen Mitarbeiter/innen sowie durch Einsichtnahme in die Dokumentation wurden die DV-technischen Werkzeuge und organisatorischen Maßnahmen aufgenommen und beurteilt. Seite 8

12 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Feststellungen Die Programmentwicklung erfolgt bei der Gesellschaft nach vorgegebenen Standards, die im Programmierhandbuch Classic Line 2010 dokumentiert sind. Weiterhin stehen für die Softwareentwicklung Dokumentationen (z. B. Entwicklerdokumentation, Beschreibung wichtiger Dateien, Module der Anwendung) zur Verfügung. Fachliche und technische Spezifikationen werden in Fachkonzepten dokumentiert. Die Gesellschaft arbeitet nach CMMI (Capability Maturity Model Integration) Stufe 3, um produktlinienübergreifend einen gleichbleibend hohen Qualitätsstandard zu garantieren. CMMI stellt die logische Weiterentwicklung des zuvor eingesetzten CMM (Capability Maturity Model) dar. Entsprechende Audits werden auskunftsgemäß durchgeführt. Die Qualitätssicherung (Test und Freigabe der Programme) erfolgt nach einem fest vorgegebenen dokumentierten Verfahren. Bei der Softwareentwicklung stehen unterschiedliche Systeme für die Softwareentwicklung, den Test und die Produktion (freigegebene Programme) zur Verfügung. Die vorhandenen Teststrategien und Testskripte werden gemäß unserer Feststellungen ständig weiterentwickelt. Als Tester werden sowohl Spezialisten (Anwender, die das Programm sehr gut kennen) als auch Laien (Studenten), die teilweise über jahrelange Erfahrungen verfügen, eingesetzt, um das breite Spektrum möglicher Fehler abzudecken. Für die einzelnen Module erfolgt eine schriftliche Freigabe durch die Produktmanagement Softwareentwicklung Programm-Manager Qualitätssicherung (Tester) Dokumentation. Im Rahmen der Qualitätssicherung erfolgen auch User Acceptance Tests (UAT). Eine Toolgestützte Versionsverwaltung ist implementiert (Microsoft Visual Studio 2008 Source Control). Fehler werden im Programm Bugbase erfasst und verwaltet. Die zum Prüfungszeitpunkt vorhandenen Fehler wurden von uns geprüft und - soweit sie die Ordnungsmäßigkeit betrafen - in die Analyse einbezogen. Die einzelnen Bearbeitungszustände (Neu, Bearbeitung, Korrigiert, Erledigt) sind von den verantwortlichen Mitarbeiter/innen zu setzen. Für Neu-/Weiterentwicklungen werden entsprechende Konzepte erstellt und realisiert. Insgesamt sind angemessene und wirksame Verfahren zur Minimierung der vorstehend genannten Risiken im Bereich Softwareentwicklung vorhanden. 5.2 Angemessenheit der Programmfunktionen Notwendige und spezielle Verarbeitungsfunktionen Anforderungen Die Einhaltung der Grundsätze ordnungsmäßiger Buchführung (GoB) ist durch die Anwendung angemessen zu unterstützten. Dies sind insbesondere die Beleg-, Journal- und Kon- Seite 9

13 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE tenfunktion sowie die Protokollierungsfunktionen und die Funktionen, die zur Erfüllung der Anforderungen aus den Änderungen der Abgabenordnung vorhanden sind Belegfunktion Anforderungen Die nach 238 Abs. 1 HGB geforderte Nachvollziehbarkeit der Buchführung vom Urbeleg bis zum Abschluss muss erfüllt sein. Jede Buchung ist vollständig durch einen Beleg nachzuweisen. Vorgehensweise Durch Tests in der Anwendung sowie Einsichtnahme in die zugehörigen Dokumentationen wurde geprüft, ob die Belegfunktion gegeben ist. Feststellungen Die geforderte Nachvollziehbarkeit wird von der Anwendung Sage New Classic 2011 erfüllt, indem: die programmierten Vorschriften zur Generierung der Buchhaltungsdaten in der Sage New Classic 2011 Dokumentation beschrieben sind (insbesondere in der Dokumentation zu Buchungsprozessen sowie Prozesssteuerung und Scheduler). der Nachweis der tatsächlichen Durchführung der einzelnen Buchungen erbracht wird. Buchungen können über entsprechende Auswertungen nachgewiesen werden. das Radierverbot eingehalten wird. Einmal im System erfasste, freigegebene (journalisierte Buchungen, endgültiger Jahresabschluss) Daten können auf konventionellem Wege nicht mehr radiert werden. Alle Änderungen sind auf Tabellenebene nachvollziehbar. Eine Stornobuchung ist eine neue Buchung, die als Stornobuchung erkennbar ist. Direkte Änderungen der Daten auf Datenbankebene sind über Berechtigungen zu unterbinden. Die Nachvollziehbarkeit der gespeicherten Belege ist für die Buchhaltung dadurch gegeben, dass eine hinreichende Erläuterung des Vorgangs durch automatisch erzeugte Buchungstexte erfolgt bzw. bei so genannten manuellen Buchungen durch Eingabe des Buchungstextes erfolgen kann, ein Buchungsbetrag einzugeben ist, der Zeitpunkt des Geschäftsvorfalls (Buchungsdatum, Maschinendatum) dokumentiert ist und Stornobuchungen mit einem Storno-Kennzeichen versehen sind. Das Ordnungsprinzip der Sage New Classic 2011 ist vollständig, richtig, zeitgerecht und verarbeitungsfähig, da folgende Angaben je Geschäftsvorfall gespeichert sind: Text zur Erläuterung und ggf. Begründung des Geschäftsvorfalls zu buchender Betrag (Landes- und Fremdwährung) Seite 10

14 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Zeitpunkt des Geschäftsvorfalls (Belegdatum, Maschinendatum) Kontierung (Konto-Nr.) Belegnummer Buchungsdatum Währung. Die Autorisation des Buchenden erfolgt über die Berechtigungsvergabe. Der Name des Buchenden wird bei den Belegen gespeichert. Daten ändernde/löschende Tools dürfen nur unter Wahrung der Protokollierung und des Vier-Augen-Prinzips eingesetzt werden. Insgesamt zeigten unsere Prüfungen, dass die Belegfunktion in der Anwendung erfüllt ist. Der Anwender hat die für die Belegfunktion erforderlichen Angaben ordnungsgemäß einzugeben Journalfunktion Anforderungen Die Journalfunktion verlangt, dass alle buchungspflichtigen Geschäftsvorfälle zeitnah nach ihrer Entstehung vollständig und verständlich in zeitlicher Reihenfolge aufgezeichnet werden (Journal). Während durch die Erfüllung der Belegfunktion die Existenz und Verarbeitungsberechtigungen eines Geschäftsvorfalls nachgewiesen werden muss, hat die Journalfunktion den Nachweis der tatsächlichen und zeitgerechten Verarbeitung der Geschäftsvorfälle zum Gegenstand. Vorgehensweise Mit Tests in der Anwendung wurden die Anforderungen hinsichtlich der Journalfunktion geprüft. Feststellungen Journalnummern werden durch die manuell anzustoßende Journalisierung (Zeitpunkt der Verarbeitung) in der Anwendung für Finanzbuchhaltung vergeben. Die Buchungen sind anschließend nicht mehr änderbar. Als Buchungsdatum wird das Datum der Erfassung im System (Maschinendatum) verwendet. Die Journalisierung erfolgt monatsbezogen (Perioden) und ist anschließend abgeschlossen, d. h. die Periode ist nicht mehr bebuchbar. Buchungen, die Folgeperioden betreffen, werden hierbei noch nicht berücksichtigt. Die Journalnummer stellt damit die zeitliche Erfassungsreihenfolge innerhalb einer Buchungsperiode dar, entspricht aber nicht zwangsläufig der Buchungsreihenfolge. Ein Ausdruck der Buchungsreihenfolge ist über das Buchungsjournal Infodruck (Sortierung = nein) möglich. Der Zeitpunkt des Eingangs ins System ist über das Buchungsdatum (Maschinendatum) erkennbar. Grundlage für einige Auswertungen sind die journalisierten und nicht journalisierten Buchungen. Der Anwender hat deshalb vor den Auswertungen zur Sicherung der Konsistenz eine regelmäßige, zeitnahe Journalisierung vorzunehmen. Seite 11

15 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Insgesamt zeigten unsere Prüfungen, dass die Journalfunktion in der Anwendung erfüllt ist Kontenfunktion Anforderungen Die Kontenfunktion verlangt, dass die im Journal in zeitlicher Reihenfolge aufgezeichneten Geschäftsvorfälle auch in sachlicher Ordnung auf Konten abgebildet werden. Bei computergestützten Buchführungsverfahren werden Journal- und Kontenfunktion in der Regel gemeinsam wahrgenommen, indem bereits bei der erstmaligen Erfassung des Geschäftsvorfalls alle für die sachliche Zuordnung notwendigen Angaben erfasst werden. Diese Funktionen werden bei integrierter Software, z. B. durch maschinelle Kontenfindungsverfahren, unterstützt. Vorgehensweise Mit Tests in der Anwendung und Einsichtnahme in die zugehörigen Dokumentationsbestandteile wurden die Anforderungen hinsichtlich der Kontenfunktion geprüft. Feststellungen Die geforderte Kontenfunktion wird von der Anwendung erfüllt, da: die in zeitlicher Reihenfolge aufgezeichneten Geschäftsvorfälle in der Finanzbuchhaltung in sachlicher Ordnung auf Konten abgebildet werden und die Geschäftsvorfälle getrennt nach Sach- oder Personenkonten mit folgenden Angaben dargestellt werden: Kontenbezeichnung Nachweis der lückenlosen Blattfolge Kennzeichnung der Buchungen: Summen und Salden nach Soll und Haben Buchungsdatum Belegdatum Buchungsbetrag Gegenkonto Belegverweis Buchungstext bzw. dessen Verschlüsselung. Die Organisation der Anwendung erlaubt über entsprechende Referenzierungen (Belegnummer etc.) den Nachvollzug der Dateneingaben (Belege) und deren Verarbeitung (Prüfspur). Insgesamt zeigten unsere Prüfungen, dass die Kontenfunktion in der Anwendung erfüllt ist. Seite 12

16 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Protokollierungsfunktion Anforderungen Bei programmierten bzw. programmgesteuerten Buchungen (automatisierte Belege bzw. Dauerbelege) sind Änderungen an den der Buchung zu Grunde liegenden Generierungsund Steuerungsdaten aufzuzeichnen. Dies betrifft insbesondere die Protokollierung von Änderungen in rechnungslegungsrelevanten Einstellungen, die Parametrisierung der Software und die Aufzeichnung von Änderungen an Stammdaten. Vorgehensweise Durch Befragung der zuständigen Mitarbeiter und Tests der Anwendung wurden die vorhandenen Protokollierungsverfahren erhoben. Feststellungen Stammdatenänderungen werden in der Anwendung im Hinblick auf die betrachteten Module u. a. in folgenden Bereichen protokolliert (Mutationsprotokoll): AnBu-Grundlagen Anlagen Anlagenkreis MandantBuchungdtexte2 MandantEinstellungenBereiche MandantFeldformate MandantFestkontenDebitoren MandantFestkontenDebitorenKz MandantFestkontenKreditoren MandantFestkontenKreditorenKz MandantKundengruppe1 MandantKundengruppe2 MandantLieferantengruppe1 MandantLieferantengruppe2 MandantLizenzinfoAlt MandantLizenz MandantRabattmatrix MandantSperrvermerke Rechtegruppen Benutzerliste Sachkonten AbfGrundlagenLetzteNr1 AbfGrundlagenLetzteNr2 AbfGrundlagenMandant Seite 13

17 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE AbfGrundlagenSperrvermerke FibuGrundlagenFestkonten1 FibuGrundlagenFestkonten2 FibuGrundlagenMandant FibuGrundlagenPeriodensperrKz KreditversicherungWechselNr MandantAnredeformeln MandantBriefkopfFuerFormulare MandantBuchungsjahre MandantBuchungstexte1 MandantStartkennwort MandantTransaktionsnummer MandantBuchungstexte1 MandantUstid MandantVersandarten MandantWerbetexte Buchungskreise. Die Protokolle können ausgewertet werden. Demnach werden Stammdaten-/Tabellenänderungen umfangreich protokolliert. Der Anwender hat jedoch zu prüfen, ob die DV-gestützten Protokolle aus Sicht seines Internen Kontrollsystems die Erfordernisse abdecken und hat diese ggf. durch manuelle Protokollierungen zu ergänzen. In einem Logbuch werden je Mandant die Programmaufrufe mit einer laufenden Nummer dokumentiert. Protokolliert werden u. a. Datum und Zeit des Programmaufrufes, der Benutzer und die Station. Des Weiteren wird beim Buchen der jeweilige Benutzer gespeichert. Unsere Stichproben zeigten die Wirksamkeit der implementierten Protokollierung Zugriffsschutz Anforderungen Über die Software ist die Einhaltung der Funktionstrennung sowie den Schutz der Daten und Programme vor unberechtigten Zugriffen angemessen zu sichern. Die Anwendungssoftware - ggf. im Zusammenspiel mit dem Betriebssystem bzw. einem übergeordneten Sicherheitssystem hat, durch Benutzerkennungen (User-IDs) und Passworten (sowie die Zuordnung von Berechtigungen zu diesen) individuelle Benutzerprofile zu verwalten. Die Einrichtung muss so möglich sein, dass es nur befugten Personen ermöglicht wird, auf bestimmte Funktionen und/oder Datenfelder zuzugreifen. Seite 14

18 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Vorgehensweise Das Zugriffssicherungssystem wurde hinsichtlich folgender Fragestellungen untersucht: Welche Funktionen hat das auf der Anwendungsebene vorhandene Zugriffsschutzsystem und sind diese ausreichend? Welche Sicherheitsfunktionen können vom Betriebssystem genutzt werden? Werden Zugriffe vom System mit der Benutzerkennung protokolliert? Ist die Geheimhaltung von Passworten gewährleistet (keine Anzeige am Bildschirm; kein unberechtigtes Lesen von Passwortdateien)? Werden periodische Änderungen vom System verlangt? Wie reagiert das System auf Zugriffsverletzungen (z. B. Abweisung mehrerer Zugriffsversuche, Time-out)? Feststellungen In der Anwendung ist ein eigenes Zugriffsschutzsystem installiert. Grundsätzlich erhält ein Benutzer (Systemadministrator) bei Einrichtung im System sämtliche Rechte in der Anwendung. Benutzern können über Benutzergruppen u. a. Rechte an Dialogfeldern, Menüs, Anwendungen, Modulen, Menübäumen, Nummernkreisen, Funktionen entzogen werden. Je Benutzer lassen sich Optionen einstellen, die die Sicherheit des Systemzugangs positiv beeinflussen können. Dies sind z. B.: Kennwort-Mindestlänge Kennwort-Lebensdauer Anzahl historischer Kennworte Maximale Fehlversuche bei Anmeldung. Die Optionen sind vom Anwender zur Sicherung des Systemzugangs angemessen zu setzen. Das Passwort wird verschlüsselt (nicht im Klartext sichtbar) eingegeben bzw. übergeben. Die Anwendung ermöglicht einen Single Login. Um diese Funktionen für einen sicheren Betrieb zu erhalten, kann der Anwender damit auf die Windows-Anmeldung zurückgreifen, in der entsprechende Parameter zu hinterlegen sind. Eine explizite Anmeldung unter der Anwendung Sage New Classic 2011 ist damit nicht mehr erforderlich. Im Stand-Alone-Betrieb sind entsprechende Sicherheitseinstellungen vom Anwender unter Windows zu realisieren. Es sind den Anwendern Vorgaben hinsichtlich der zu verwendenden minimalen Passwortlängen für einen sicheren Betrieb zu machen. Die Funktionen des Verfahrens sind ausführlich im Systemhandbuch und in der Online- Dokumentation beschrieben. Folgende Programme sollten keinem Benutzer im Produktionsbetrieb zugänglich gemacht werden, da mit ihnen Dateninkonsistenzen erzeugt bzw. Daten gelöscht werden können: Bewegungsdaten löschen Physische Dateibeschreibung bearbeiten Seite 15

19 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Virtuelle Dateibeschreibung bearbeiten. Mit entsprechend häufigen Datensicherungen hat der Anwender sicherzustellen, dass bei Bedarf auf eine aktuelle Datensicherung zurückgegriffen werden kann. Mustervorlagen für Rollen (z. B. keine Benutzer-/Rechteverwaltung) erleichtern die Vergabe von Nicht-Rechten in der Anwendung. Der Anwender hat die Vorlagen dahingehend zu prüfen, inwieweit sie angemessen für sein Internes Kontrollsystem sind. Ggf. sind entsprechende Anpassungen vorzunehmen bzw. neue Rollen zu definieren. Die Änderungen an den Rechtegruppen und Benutzern werden über das Mutationsprotokoll festgehalten. Die Vergabe der Benutzerrechte kann mandantenübergreifend erfolgen. Dies ist bei der Ausgestaltung des manuellen Kontrollsystems ggf. zu berücksichtigen Datensicherungs- und Wiederanlaufverfahren Anforderungen Die Anwendung muss über geeignete Datensicherungs- und Wiederanlaufverfahren die Möglichkeit bieten, Daten und Programme periodisch zu sichern. Neben den von der Software vorgesehenen Maßnahmen (z. B. Datenspiegelung, Wiederanlaufpunkte) können ggf. auch die im technischen und organisatorischen Umfeld verfügbaren Datensicherungsund Wiederanlaufverfahren verwendet werden. Vorgehensweise Anhand der Anwendungsdokumentation und in ergänzenden Gesprächen wurden von uns die Verfahren erhoben. Feststellungen Die Vorgehensweise zur Datenbanksicherung ist im Handbuch Systemadministration ausführlich beschrieben. Der Anwender wird auf die Wichtigkeit einer regelmäßigen, in kurzen Zeitabständen zu erfolgenden Sicherung der Datenbanken sowohl im Systemhandbuch als auch in der Online-Hilfe und im Programm nach bzw. vor bestimmten Aktionen hingewiesen. Die Datensicherung erfolgt mandantenbezogen. Die Anwendung verfügt weiterhin über eine Transaktionsverarbeitung, mit deren Hilfe im Falle von Rechnerabstürzen begonnene, aber nicht vollständig ausgeführte Transaktionen (z. B. Buchungen) vom System nicht verarbeitet werden, um Dateninkonsistenzen (z. B. einseitige Buchungen) zu vermeiden. 5.3 Dokumentation Anforderung Die GoB verlangen das Vorhandensein von Arbeitsanweisungen und sonstigen Organisationsunterlagen, soweit sie erforderlich sind, um einem sachverständigen Dritten innerhalb angemessener Zeit ein Verständnis der Buchhaltung zu verschaffen. Seite 16

20 DARSTELLUNG DER EINZELNEN PRÜFUNGSERGEBNISSE Die Anforderung an den Umfang und Detaillierungsgrad der Dokumentation ist davon abhängig, inwieweit die ausgedruckte bzw. ausdruckbereite Buchführung aus sich heraus verständlich ist. Die Dokumentation soll so gestaltet sein, dass sie: den innerbetrieblichen Anforderungen im Hinblick auf Aufbau, Ablauf und wirtschaftliche Pflege des Verfahrens genügt und Unabhängigkeit von Detailkenntnissen bestimmter Personen gewährleistet und einen sachverständigen Dritten in die Lage versetzt, die DV-technische Abwicklung anhand der Verfahrensdokumentation in angemessener Zeit zu prüfen. Vorgehensweise In Gesprächen mit den Mitarbeiter/innen der Gesellschaft wurde ein Überblick über die Dokumentation gewonnen. Die vorhandene Standarddokumentation wurde, soweit sie das Rechnungswesen betrifft, hinsichtlich Vollständigkeit, Aussagefähigkeit und Aktualität überprüft. Dabei wurden auch die in der Anwendung hinterlegten Hilfetexte berücksichtigt. Die vorgelegten Unterlagen wurden hinsichtlich der Anforderungen gemäß dem IDW- Prüfungsstandard beurteilt. Bei der Sage New Classic 2011 steht die Dokumentation ausschließlich elektronisch zur Verfügung. Bei der Prüfung wurden folgende Dokumentationen berücksichtigt: Handbuch Sage New Classic 2011 Systemadministration Handbuch Sage New Classic 2011 Anwendungsgrundlagen und Stammdaten Handbuch Sage New Classic 2011 Rechnungswesen Handbuch Sage New Classic 2011 Systemvoraussetzungen Installationsleitfaden Sage New Classic 2011 Installation Leitfaden Sage New Classic 2011 Demo Online-Hilfe. Ergänzende Dokumentationen zur Sage New Classic 2011 sind über das Internet bzw. über die mitgelieferte CD abrufbar. Feststellungen Die Dokumentation erfüllt insgesamt die aus der IDW-Stellungnahme und dem IDW-Prüfungsstandard abzuleitenden Anforderungen. Einzelfeststellungen sind in den vorstehenden Kapiteln zu den jeweiligen Untersuchungsfeldern erwähnt. 5.4 Anforderungen nach der Abgabenordnung Seit dem 1. Januar 2002 müssen Datenzugriffs- und Datenauswertungsmöglichkeiten der Finanzverwaltung im Rahmen von Außenprüfungen geschaffen werden. Seite 17