Bericht. über die Prüfung zur. April 2013

Transkript

1 Bericht über die Prüfung zur Erteilung einer Softwarebescheinigung für die Anwendungssoftware Microsoft Dynamics AX 2012 der 2013 KPMG AG Wirtschaftsprüfungsgesellschaft, eine Konzerngesellschaft der KPMG Europe LLP und Mitglied des KPMG-Netzwerks unabhängiger Mitgliedsfirmen, die KPMG International Cooperative ( KPMG International ), einer juristischen Person schweizerischen Rechts, angeschlossen sind. Alle Rechte vorbehalten. KPMG und das

2 März 2013 Inhaltsverzeichnis 1 Auftrag und Auftragsdurchführung Prüfungsauftrag Art und Umfang der Prüfungshandlungen Beurteilungsgrundlagen Umfang Vorgehensweise Nicht Gegenstand der Prüfung Auftragsbedingungen 5 2 Zusammengefasstes 7 3 Bescheinigung über die Durchführung einer Softwareprüfung 8 4 se im Einzelnen Beschreibung der Testumgebung Softwareversion, Hardware, Betriebssystem und Datenbank Module, Schnittstellen und Datenfluss Prüfung der Verfahrensdokumentation Prüfung der Angemessenheit und Funktionsfähigkeit der notwendigen Programmfunktionen Belegfunktion Journalfunktion Kontenfunktion Eingabekontrollen und Plausibilitätsprüfungen Applikationskontrollen im Funktionsbereich Hauptbuch Applikationskontrollen im Funktionsbereich Kreditoren Applikationskontrollen im Funktionsbereich Debitoren Applikationskontrollen im Funktionsbereich Anlagenbuchhaltung Softwaresicherheit Differenzierung von Zugriffsberechtigungen Protokollierung Datensicherung und Wiederanlauf Beurteilung des Softwareentwicklungsverfahrens KPMG AG Wirtschaftsprüfungsgesellschaft, eine Konzerngesellschaft der KPMG Europe LLP und Mitglied des KPMG-Netzwerks unabhängiger Mitgliedsfirmen, die KPMG International Cooperative ( KPMG International ), einer juristischen Person schweizerischen Rechts, angeschlossen sind. Alle Rechte vorbehalten. KPMG und das i

3 1 Auftrag und Auftragsdurchführung 1.1 Prüfungsauftrag Mit Schreiben vom 27. November 2012 hat die, im Folgenden Microsoft oder Gesellschaft genannt, die KPMG mit der Prüfung der integrierten betriebswirtschaftlichen Softwarelösung Dynamics AX Version 2012 auf Einhaltung der Grundsätze ordnungsgemäßer Buchführung nach den regulatorischen Anforderungen in Deutschland, Österreich und Schweiz beauftragt. Auftragsgemäß wurden folgende Module des Programms im Rahmen der Softwarebescheinigung untersucht: Sachkontenverwaltung Personenkontenverwaltung (Debitoren und Kreditoren) Anlagenverwaltung 1.2 Art und Umfang der Prüfungshandlungen Beurteilungsgrundlagen Wir haben unsere Prüfung unter Beachtung des deutschen Prüfungsstandards 880 Die Prüfung von Softwareprodukten des Fachausschusses für Informationstechnologie (FAIT) des Instituts der Wirtschaftsprüfer in Deutschland e.v. (IDW) durchgeführt. Die Beurteilung der Grundsätze ordnungsmäßiger Buchführung erfolgte auf der Grundlage folgender Standards: Deutsche Standards IDW-Prüfungsstandard Abschlussprüfung bei Einsatz von Informationstechnologie (IDW PS 330), gesetzliche Vorschriften des Handels- und Steuerrechts ( 238 ff. HGB sowie AO), Grundsätze ordnungsmäßiger Buchführung (GoB), Schreiben des Bundesfinanzministers (BMF) vom 7. November 1995 zu den Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS), Stellungnahme zur Rechnungslegung des Fachausschusses für Informationstechnologie (FAIT) des Instituts der Wirtschaftsprüfer in Deutschland e.v. (IDW) Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie (IDW RS FAIT 1). 1

4 Österreichische Standards rechtliche Vorschriften des Unternehmensrechts, der Bundesabgabenordnung ( 190 und 195 UGB sowie 131 und 132 der BAO), Fachgutachten der Kammer der Wirtschaftstreuhänder (Fachsenates für Datenverarbeitung des Instituts für Betriebswirtschaft, Steuerrecht und Organisation): Ordnungsmäßigkeit von EDV-Buchführungen (KFS/DV1). Schweizerische Standards gesetzlichen Vorschriften des Obligationenrechts (OR 957 ff.), Geschäftsbücherverordnung (GeBüV) Umfang Die Prüfungshandlungen bezogen sich auf die wesentlichen Eigenschaften der Programm-Module, insbesondere auf die Einhaltung der unter Punkt genannten Vorschriften, auf die innerhalb der Software vorhandenen programmierten Kontrollen und die damit verbundenen Sicherheitsaspekte. Die Prüfung beinhaltete folgende Prüfungsschritte: Bestandsaufnahme der Anwendungssoftware und -umgebung, Prüfung der notwendigen Verarbeitungsfunktionen, Prüfung der programmierten Verarbeitungsregeln, Prüfung der Einhaltung der Struktur von Bilanz und Gewinn- und Verlustrechnung (GuV) nach 266 und 275 HGB, Prüfung der Softwaresicherheit (Zugriffsschutz, Datensicherungs- und Wiederanlaufverfahren), Prüfung des Softwareentwicklungsverfahrens und Prüfung der Verfahrensdokumentation. Innerhalb des Moduls wurden folgende Programmeigenschaften geprüft: Stammdatenpflege (Sachkonten-, Debitoren-, Kreditoren-, sowie Steuerungsparameter), Eingabe und/oder Verarbeitung von Buchungen im Bereich der Sachkonten und der Kontokorrentbuchführung sowie der genannten Nebenbücher einschließlich der automatischen Generierung von Buchungen in den Modulen mit entsprechender Übernahme in das Hauptbuch, 2

5 Generierung der nach den anwendbaren Standards und den GoB notwendigen Bücher oder vergleichbarer Auswertungen (Kontenblätter, Journale, Summen- /Saldenlisten, Bilanz, Gewinn- und Verlustrechnung), Beleg-, Journal- und Kontenfunktion. Folgende wesentliche Programmfunktionen und -eigenschaften haben wir in Stichproben geprüft: Anlegen, Ändern und Löschen von Stammdaten, Direkteingabe von Buchungssätzen, Änderung und Stornierung von Buchungen, Generierung von Geschäftsvorfällen in Nebenbüchern mit anschließender Übernahme von rechnungslegungsrelevanten Informationen in die Finanzbuchhaltung, Buchungen in verschiedenen Währungen und Wechselkursen, Perioden- und Jahresabschlusserstellung sowie Übernahme von Saldovorträgen, Ausdruck von Journalen, Konten, Buchungsbelegen, Summen-/Saldenliste sowie Offene-Posten-Listen, Verfahren zur Datensicherung und -wiederherstellung, Verfahren der logischen Zugriffssicherung und Unterstützung der Programmanwender durch die Dokumentation. Prüfungsgegenstand war die Software in Bezug auf die oben genannten Buchführungsfunktionen. Die materielle Anwendungsprüfung erfolgte auf einem Testsystem der Gesellschaft (mit Testdaten). Die ordnungsgemäße Arbeitsweise der zu prüfenden Programme haben wir im Wesentlichen anhand von Testfällen geprüft, die für den vorgesehenen Programmeinsatz typisch sind. 3

6 1.2.3 Vorgehensweise Die Prüfungsdurchführung erfolgte unter Laborbedingungen in der KPMG Niederlassung in Frankfurt am Main. Dies bedeutet, dass die Prüfung nicht das in der tatsächlichen Unternehmensumgebung vorhandene aufbau- und ablauforganisatorische Umfeld des internen Kontrollsystems sowie die Art und Weise der Implementierung des Systems mit einbeziehen kann. Das Ergebnis der Prüfung kann sich daher nur isoliert auf die Anwendungssoftware unter der für die Testumgebung vorgenommenen Systemparametrisierung erstrecken. Die Prüfung haben wir teilweise mit Hilfe von eigenen Testdaten in den Funktionsbereichen Haupt-, Debitoren-, und Kreditorenbuch vorgenommen. Um die Funktionsfähigkeit der programmierten Kontrollen (Plausibilitätskontrollen) zu testen, wurden auch unplausible und falsche Daten sowie Datenkonstellationen eingegeben. Die Prüfung erfolgte in folgenden Schritten: a) Prüfung der durch Microsoft zur Verfügung gestellten Dokumentation Alle notwendigen Unterlagen zur Durchführung der Prüfung und eine geeignete Testumgebung wurden von Microsoft bereitgestellt. Die gewünschten Auskünfte und Erläuterungen wurden uns von den Mitarbeitern der Gesellschaft bereitwillig erteilt. b) Einführung in die Testumgebung Wir erhielten einen detaillierten Einblick in die Systemumgebung. Die Prüfung der programmierten Verarbeitungsregeln erfolgte stichprobenartig mittels zufällig ausgewählter Testfälle. c) Durchführung der Prüfung Mithilfe der erhaltenen Dokumentation und der durchgeführten Testfälle haben wir die notwendigen Verarbeitungsfunktionen geprüft, um spezielle Kontrollen in rechnungslegungsrelevanten Prozessen zu identifizieren. Anschließend wurden die Auswertungen, die die Software standardmäßig zur Verfügung stellt auf Erfüllung der GoB- Anforderungen analysiert. Zusätzlich wurde die Softwaresicherheit durch Erarbeitung eines Überblicks über die im Auslieferungszustand beinhalteten Möglichkeiten zur Zugriffsbeschränkung geprüft. Abschließend wurde die Funktionalität der Datensicherungs- und Wiederanlaufverfahren durch Ausführung von Testfällen verifiziert. d) Softwareentwicklungsverfahren Das Verfahren der Softwareentwicklung bei Microsoft für das Produkt Dynamics AX 2012 wurde in Frankfurt durch Dokumenteneinsicht, Gesprächen mit Softwareentwicklern und Überprüfung des Release- und Testmanagements überprüft. 4

7 1.2.4 Nicht Gegenstand der Prüfung Auftragsgemäß haben wir entsprechende steuerliche Regularien, wie z.b. die Erzeugung einer steuerlichen ebilanz und die Einhaltung der Anforderungen an eine Software im Rahmen von steuerlichen Betriebsprüfungen (GDPdU) nicht in die Prüfung einbezogen. Es ist nicht Gegenstand der Prüfung, die durch die Software generierten Daten auf ihre Richtigkeit und Angemessenheit zu überprüfen. 1.3 Auftragsbedingungen Für die Durchführung des Auftrages und unsere Verantwortlichkeit sind, auch im Verhältnis zu Dritten, die beiliegenden Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften ( AAB ) vom maßgebend. Die Regelungen des Vertrags gehen den AAB vor. In Erweiterung der in Nr. 9 Abs. 2 S. 1 der AAB genannten Haftungshöchstsumme von EUR 4 Mio. haften wir für leicht fahrlässig verursachte Schäden in Höhe von EUR 5 Mio. Für grob fahrlässig verursachte Schäden haften wir in Höhe von EUR 10 Mio. Nr. 9 Abs. 2 S. 4 und 5 der AAB werden gestrichen. Haftungserweiterungen gelten nicht für Schäden, für die eine Haftungshöchstsumme gesetzlich geregelt ist. Durch Kenntnisnahme und Nutzung der in diesem Bericht enthaltenen Informationen bestätigt der Empfänger, die dort getroffenen Regelungen zur Kenntnis genommen zu haben und erkennt deren Geltung im Verhältnis zu uns an. Einer Weitergabe an mit Microsoft verbundene Unternehmen stimmen wir unter dem Vorbehalt zu, dass Sie uns von sämtlichen Kosten und Schadensersatzansprüchen freistellen, die sich aus dieser Weitergabe ergeben und die zu unseren Gunsten geltenden Haftungsgrenzen gemäß Ziffer 14 dieser Vereinbarung übersteigen. Drittbegünstigte aus diesem Vertrag sind außerdem die Microsoft Schweiz GmbH bezüglich der Nutzung der Leistungen nach diesem Vertrag für die schweizerische Version der Software sowie die Microsoft Österreich GmbH bezüglich der Nutzung der Leistungen nach diesem Vertrag für die österreichische Version der Software; für die Drittbegünstigten gelten dieselben Weitergaberegelungen und Haftungsbeschränkungen wie für Sie. Von über diese Haftungsbeschränkungen hinausgehenden Haftungsansprüchen Dritter, die sich aus einer Weitergabe an die genannten Gesellschaften ergeben, werden Sie uns freistellen. Sie teilten uns mit, dass Sie die Software Dynamics AX 2012 nicht nur für Ihre eigenen Zwecke einzusetzen wünschen, sondern planen, diese unter Verwendung unserer Software-Bescheinigung auch an Anwender außerhalb Ihres Hauses und der mit Ihnen verbundenen Gesellschaften und sonstige Dritte weiterzugeben und ins Internet zum Abruf einzustellen. Vor diesem sind wir gemäß obiger Weitergaberegelung mit einer Weitergabe der Software-Bescheinigung Dynamics AX 2012 und des Berichts an Dritte einverstanden. 5

8 KPMG erlaubt Microsoft die Referenz auf das Vorliegen eines Berichts zu Marketingzwecken in der folgenden Form: Eine Softwarebescheinigung zu Dynamics AX 2012 von einem unabhängigen Dritten liegt vor. Wir werden die Bescheinigung nebst Bericht in der Weise ins Internet einstellen, dass dieses wie folgt abrufbar ist: Beim Einstellen des Berichts ins Internet wird der Bericht über einen Link auf eine Website von KPMG aufzurufen sein. Dabei wird der oben angegebene Hinweistext verwendet. Der Link leitet den Interessenten zu einem sicheren KPMG Server weiter. Dort muss der Interessent die KPMG Haftungsbedingungen anerkennen, bevor er zum Bericht weitergeleitet wird. 6

9 2 Zusammengefasstes Auftragsgemäß haben wir die Anwendungssoftware Dynamics AX Version 2012 daraufhin geprüft, ob bei sachgerechter Anwendung die Vollständigkeit und sachliche Richtigkeit der Verarbeitung gegeben sowie die Einhaltung der Grundsätze ordnungsmäßiger Buchführung gewährleistet sind. Die Dokumentation haben wir im Hinblick auf die Mindestanforderungen gemäß IDW PS 880 und der in Kapitel aufgeführten Beurteilungsgrundlagen beurteilt. Weiterhin haben wir die Beleg-, Journal- und Kontenfunktion im Hinblick auf die im IDW PS 880 definierten Anforderungen geprüft. Bei sachgerechter Anwendung werden die Buchungen bei Verwendung der geprüften Software ordnungsgemäß belegt, mit den entsprechenden Kontierungsmerkmalen versehen und in chronologischer und sachlicher Ordnung dokumentiert. Die Konten werden richtig fortgeschrieben und abgegrenzt. Die geforderten Bücher und Aufzeichnungspflichten können mit der Software bei entsprechender Anwendung erzeugt werden und erfüllen die sich aus den zugrundegelegten Standards erforderlichen Aufzeichnungspflichten. Die Prüfung der Softwaresicherheit und des Softwareentwicklungsverfahrens führte zu keinen Beanstandungen. Im Kapitel 4 se im Einzelnen haben wir die geprüften Bereiche im Einzelnen erläutert. Ebenso dargestellt sind optimierbare Bereiche, die im Wesentlichen unsere Gesamteinschätzung nicht beeinflussen. Um ein funktionsfähiges internes Kontrollsystem zu gewährleisten, hat der Anwender unternehmensspezifische organisatorische Kontrollmaßnahmen vorzusehen. Wir weisen darauf hin, dass zukünftige Programmänderungen die Ordnungsmäßigkeit der Software beeinflussen können. 7

10 3 Bescheinigung über die Durchführung einer Softwareprüfung An die Geschäftsführung der Mit Schreiben vom 27. November 2012 hat die, Unterschleißheim die KPMG beauftragt, eine Prüfung ausgewählter Funktionsbereiche des Softwareprodukts vorzunehmen. Microsoft Dynamics AX 2012 Die gesetzlichen Vertreter der Gesellschaft sind für das Softwareprodukt, Planung, Durchführung und Überwachung der Softwareentwicklung verantwortlich. Diese Verantwortung wird durch unsere Prüfung nicht berührt. Unsere Aufgabe ist es, auf Grundlage der von uns durchgeführten Prüfung eine Beurteilung über das Softwareprodukt abzugeben. Wir haben unsere Prüfung unter Beachtung des deutschen Prüfungsstandards 880 Die Prüfung von Softwareprodukten des Fachausschusses für Informationstechnologie (FAIT) des Instituts der Wirtschaftsprüfer in Deutschland e.v. (IDW) durchgeführt. Danach ist die Softwareprüfung so zu planen und durchzuführen, dass mit hinreichender Sicherheit beurteilt werden kann, ob das Softwareprodukt bei sachgerechter Anwendung eine den Grundsätzen ordnungsmäßiger Buchführung entsprechende Rechnungslegung ermöglicht und den auftragsgemäß zugrunde gelegten Kriterien entspricht. Dies umfasst unsere Beurteilung, ob die Kriterien durch die Verarbeitungsfunktionen und durch das programminterne Kontrollsystem angemessen umgesetzt sind, sowie ob eine aussagefähige Verfahrensdokumentation vorliegt. Die Wirksamkeit der Programmfunktionen wurde anhand von Testfällen beurteilt. Unserer Prüfung haben wir auftragsgemäß folgende Kriterien zugrunde gelegt: Deutsche Standards IDW-Prüfungsstandard Abschlussprüfung bei Einsatz von Informationstechnologie (IDW PS 330), gesetzliche Vorschriften des Handels- und Steuerrechts ( 238 ff. HGB sowie AO), Grundsätze ordnungsmäßiger Buchführung (GoB), 8

11 Schreiben des Bundesfinanzministers (BMF) vom 7. November 1995 zu den Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS), Stellungnahme zur Rechnungslegung des Fachausschusses für Informationstechnologie (FAIT) des Instituts der Wirtschaftsprüfer in Deutschland e.v. (IDW) Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie (IDW RS FAIT 1). Österreichische Standards rechtliche Vorschriften des Unternehmensrechts, der Bundesabgabenordnung ( 190 und 195 UGB sowie 131 und 132 der BAO), Fachgutachten der Kammer der Wirtschaftstreuhänder (Fachsenates für Datenverarbeitung des Instituts für Betriebswirtschaft, Steuerrecht und Organisation): Ordnungsmäßigkeit von EDV-Buchführungen (KFS/DV1). Schweizerische Standards gesetzlichen Vorschriften des Obligationenrechts (OR 957 ff.), Geschäftsbücherverordnung (GeBüV). Da Softwareprodukte an die Anforderungen des Einsatzgebiets angepasst werden, kann sich unser Urteil ausschließlich darauf beziehen, dass das Softwareprodukt bei sachgerechter Anwendung ermöglicht, den vorgenannten Kriterien zu entsprechen. Wir sind der Auffassung, dass unsere Prüfung eine hinreichend sichere Grundlage für unsere Beurteilung bildet. Nach unserer Beurteilung aufgrund der bei der Prüfung gewonnenen Erkenntnisse ermöglicht das von uns geprüfte Softwareprodukt Dynamics AX Version 2012, bei sachgerechter Anwendung eine den Grundsätzen ordnungsgemäßer Buchführung entsprechende Rechnungslegung und entspricht den vorstehend aufgeführten Kriterien. Wir erteilen diese Bescheinigung auf Grundlage des mit der Microsoft Deutschland GmbH geschlossenen Auftrags, dem, auch mit Wirkung gegenüber Dritten, die beiliegenden Allgemeinen Auftragsbedingungen für Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften ( AAB ) vom zugrunde liegen. Die Regelungen des Vertrags gehen den AAB vor. In Erweiterung der in Nr. 9 Abs. 2 S. 1 der AAB genannten Haftungshöchstsumme von EUR 4 Mio. haften wir für leicht fahrlässig verursachte Schäden in Höhe von EUR 5 Mio. Für grob fahrlässig verursachte Schäden haften wir in Höhe von EUR 10 Mio. Nr. 9 Abs. 2 S. 4 und 5 der AAB werden gestrichen. 9

12 Haftungserweiterungen gelten nicht für Schäden, für die eine Haftungshöchstsumme gesetzlich geregelt ist. Frankfurt, den 12.. KPMG AG Wirtschaftsprüfungsgesellschaft Armin Weyell Wirtschaftsprüfer Julien Irmen 10

13 4 se im Einzelnen 4.1 Beschreibung der Testumgebung Zu Beginn der Prüfung müssen die Informationen erhoben werden, die für die Durchführung der Softwareprüfung erforderlich sind und die Hinweise auf Risiken geben können, die Einfluss auf die Festlegung der Prüfungshandlungen nehmen Softwareversion, Hardware, Betriebssystem und Datenbank Für die Zertifizierung wurde uns ein Laptop von Microsoft zur Verfügung gestellt, auf dem die Applikation inclusive der zugrunde liegenden Datenbank installiert waren. Der Laptop fungiert somit als Stand-Alone-Testumgebung. Softwareversion Microsoft Dynamics AX 2012 CU 4 (Cumulative Update 4) Kernel Version , Applikation Version Hardwarekonfiguration Lenovo ThinkPad W510, Intel Core i7 1,60GHz, 16GB RAM Betriebssystem Windows 7 Enterprise 64bit, Service Pack 1 Datenbank Microsoft SQL Server 2008 R2 Data Center Edition 64-bit, Service Pack 1, Version Module, Schnittstellen und Datenfluss Microsoft Dynamics AX (ehemals Microsoft Axapta) ist eine integrierte betriebswirtschaftliche Softwarelösung für Client-Server-Systeme u.a. für den deutschsprachigen Raum. Es ist eine vollständig integrierte Business-Lösung, zielgerichtet entwickelt für Unternehmen des oberen Mittelstandssegmentes. Sie beinhaltet folgende Funktionsbereiche: Sachkontenverwaltung, Personenkontenverwaltung (Debitoren und Kreditoren), Anlagenverwaltung, Kosten- und Kostenträgerrechnung, Personalverwaltung, Unternehmensablaufverwaltung, Unternehmensanalyse, 11

14 Balanced-Scorecard (Unternehmensperformance). Anlagenbuchhaltung Im Rahmen unserer Prüfung haben wir in folgenden Funktionsbereichen Testfälle durchgeführt: Sachkontenverwaltung Personenkontenverwaltung (Debitoren und Kreditoren) Anlagenverwaltung 4.2 Prüfung der Verfahrensdokumentation Umfang und Aussagefähigkeit der Dokumentation einer Software sind wichtige Qualitätskriterien für Anwender und Prüfer. Die Verfahrensdokumentation besteht aus der Systemdokumentation und der Anwenderdokumentation. Sie ist erforderlich für die sachgerechte Handhabung und den Einsatz der Software. Eine sachgerechte Dokumentation ist die Voraussetzung für die Nachvollziehbarkeit und damit die Prüfbarkeit des Verfahrens. Die Verfahrensdokumentation wurde auf Vorhandensein, Vollständigkeit, Fehlerfreiheit, Übereinstimmung mit den Abläufen und Verfahren innerhalb der Software und Verständlichkeit hin geprüft. Die Verfahrensdokumentation als Teil der DV-Buchführung gehört zu den Arbeitsanweisungen und sonstigen Organisationsunterlagen im Sinne des 257 Abs. 1 HGB bzw. 147 Abs. 1 AO und ist grundsätzlich zehn Jahre aufzubewahren. Unabhängig davon, ob die Verfahrensdokumentation ganz oder teilweise beim Anwender, beim Programmentwickler oder einem Dritten aufbewahrt wird, ist es erforderlich, dass diese in einer angemessenen Zeit zugänglich gemacht werden kann. Arbeitsanweisungen für den Anwender beinhalten unter anderem eine Beschreibung der Aufgabenstellung, Informationen zur Datensicherheit, die Vorgehensweise bei Fehlerbehandlung sowie Verarbeitungsregeln einschließlich Kontroll- und Abstimmverfahren. Diese Dokumentation muss der Anwender erstellen. Des Weiteren ist der Anwender für organisatorische Maßnahmen verantwortlich, die es einem sachverständigen Dritten ermöglichen, sich innerhalb angemessener Zeit ein Verständnis über das dokumentierte Verfahren zu verschaffen. Darüber hinaus weisen wir darauf hin, dass sich aus zivilrechtlichen Regelungen im Einzelfall längere Aufbewahrungsfristen ergeben können. Diese sind vom jeweiligen Anwender entsprechend zu berücksichtigen. Die uns zur Verfügung gestellte Verfahrensdokumentation besteht aus Installationshandbüchern und Anwenderdokumentation. Die Installationshandbücher beinhalten Beschreibungen der Entwicklung und Implementierung der Software. Die Software wird in der Regel durch Microsoft-Partner beim Kunden installiert. Kundenspezifische Einstellungen und Anpassungen werden im Rahmen der Installation an die Prozesse 12

15 des Kunden vorgenommen. Im Installationshandbuch von Dynamics AX 2012 ist angegeben, welche Schritte in welcher Reihenfolge für eine Installation notwendig sind. Die Einsichtnahme in die Dokumentationen zeigte, dass diese verständlich und nachvollziehbar ist. Die Verfahrensdokumentation gehört zur Lieferung der Software an Kunden und Partner der. Die Anforderungen an eine Verfahrensdokumentation sind erfüllt. 4.3 Prüfung der Angemessenheit und Funktionsfähigkeit der notwendigen Programmfunktionen Belegfunktion Die Belegfunktion ist der nachvollziehbare Nachweis über den Zusammenhang zwischen den Geschäftsvorfällen in der Wirklichkeit und deren Abbildung im Buchungssystem. Die Erfüllung der Belegfunktion hängt darüber hinaus im wesentlichen Maße von der Organisation des Belegwesens beim Benutzer ab und ist nur in Teilen durch die Applikation selbst sicherzustellen. Die in 238 Abs. 1 HGB geforderte Nachvollziehbarkeit der Buchführung vom Urbeleg bis zum Abschluss muss erfüllt sein. Jede Buchung ist vollständig durch einen Beleg nachzuweisen. Im Zusammenhang mit der Ausführung von Buchungen muss die Software für den Beleg die Angabe eines Buchungsbetrags (oder Mengen- und Wertangaben, aus denen sich der zu buchende Betrag ergibt), der Kontierung, des Buchungstextes, der Belegnummer bzw. des Ordnungskriteriums für die Ablage, des Beleg- und des Buchungsdatums sowie der Buchungsperiode sicherstellen. Wenn rechnungslegungsrelevante Geschäftsvorfalle manuell oder maschinell im System eingegeben werden, müssen alle relevanten Buchungsdetails, die notwendig sind, um die Grundsätze ordnungsmäßiger Buchhaltung einzuhalten, erfasst werden. In Dynamics AX 2012 wurden Pflichtfelder bei der Buchungserfassung definiert. Zu den Pflichtfeldern bei der Erfassung von Buchungen gehören: Buchungsdatum, Kontotyp für die Soll- und Habenbuchungen (Sachkonto, Kunde, Lieferant, Projekt, Anlagegegenstand, Bank) sowie der Buchungsbetrag im Soll oder Haben. Die Zuordnung der Buchungen zur Periode erfolgt über das Buchungsdatum. Die Eingabe eines Buchungstextes ist nicht zwingend erforderlich. Bei der Dateneingabe können erste Plausibilitätsprüfungen durchgeführt werden, um zu gewährleisten, dass die Buchung in einer gültigen Buchungsperiode stattfindet. Die Prüfung der Soll-Haben-Identität wird automatisch durchgeführt und der Anwender gewarnt, sofern sie nicht gegeben ist. 13

16 Bei Buchungen ist die Belegnummer in Verbindung mit der Gesellschaft und dem Buchungsdatum das Identifizierungskennzeichen des Belegs. Jeder Beleg kann dadurch eindeutig identifiziert werden und enthält alle relevanten Daten der Buchung. Im Rahmen des Customizing kann eingestellt werden, ob das System Duplikate von Buchungen zulässt oder ablehnt und Duplikate innerhalb desselben Geschäftsjahres akzeptiert werden oder nicht. Damit liegt es in der Verantwortung des Kunden/Anwenders, der Dynamics AX 2012 einsetzt, dass die gewählten Einstellungen dazu geeignet sind, die an ihn gestellten gesetzlichen Anforderungen zu erfüllen. Insgesamt zeigten unsere Prüfungen, dass die Belegfunktion in der Anwendung Dynamics AX 2012 erfüllt werden kann. Bei sachgerechter Implementierung und Parametrisierung des Systems ist eine eindeutige Vergabe der Belegnummern gewährleistet Journalfunktion Die Journalfunktion verlangt, dass alle relevanten Geschäftsvorfälle zeitnah nach ihrer Entstehung vollständig in chronologischer Reihenfolge aufgezeichnet werden. Während durch die Erfüllung der Belegfunktion die Existenz eines eindeutigen Geschäftsvorfalles nachgewiesen wird, hat die Journalfunktion den Nachweis der tatsächlichen und zeitgerechten Verarbeitung der Geschäftsvorfälle zum Ziel. Die Software hat sicherzustellen, dass ein Ausdruck in der Reihenfolge der Buchungszeitpunkte, die jeweils erkennbar sein müssen, möglich ist. Hierzu ist auch nachzuweisen, dass die Software den Ausdruck des Buchungsstoffs oder eine Speicherung des Buchungsstoffs in Kombination mit Ausdruckbereitschaft unterstützt. Ein Ausdruck der Buchungsdaten in chronologischer Reihenfolge ist möglich. Die gebuchten Geschäftsvorfalle werden klar strukturiert dargestellt. Dynamics AX 2012 bietet die Möglichkeit, Buchungsjournale und Reports nach individuellen Anforderungen zu gestalten. Die Journalfunktion in der Anwendung Dynamics AX 2012 kann erfüllt werden. Hinweise für den Anwender Die Anwendung bietet zum Teil die Möglichkeit der Bereinigung von Journalen. In der Dokumentation sollte genau der Umgang mit der Bereinigung von Journalen beschrieben werden und der Anwender auf die gesetzliche Aufbewahrungspflicht von Journalen hingewiesen werden. 14

17 4.3.3 Kontenfunktion Die Kontenfunktion legt fest, dass Geschäftsvorfälle in sachlicher Ordnung durch gesonderte Sach- und Personenkonten geordnet dargestellt werden können. Die Darstellung der Konten kann durch Bildschirmanzeige, auf Papier sowie auf einem Bild- oder anderen Datenträger erfolgen. Die Software hat zu gewährleisten, dass Kontendarstellungen die Kontenbezeichnung, einen Nachweis der lückenlosen Blattfolge, die Kennzeichnung der Buchungen, Summen und Salden nach Soll und Haben, das Buchungsdatum, einen Belegverweis sowie den Buchungstext oder dessen Schlüsselung enthalten. Eine detaillierte Darstellung von Sach-, Debitoren- und Kreditorenkonten ist mit Dynamics AX 2012 möglich. Die Buchungsinformationen, die angezeigt werden, umfassen: Kontonummer, Belegnummer, Summen und Salden nach Soll und Haben in der jeweiligen Währung, Gegenkonto sowie Buchungsdatum und Buchungstext. Die Organisation der Anwendung erlaubt in der Hauptbuchhaltung über die Belegnummer in Verbindung mit der Kontonummer und dem Datum den Nachvollzug der Belege (Dateneingaben) bis hin zur endgültigen Darstellung in der Finanzberichterstattung und umgekehrt. In der Nebenbuchhaltung ist die Nachvollziehbarkeit ebenfalls über die Belegnummer und das Datum gegeben. Die Kontenfunktion kann bei sachgerechter Implementierung und Parametrisierung des Systems erfüllt werden. 15

18 4.4 Eingabekontrollen und Plausibilitätsprüfungen Applikationskontrollen im Funktionsbereich Hauptbuch Integrität der Daten Eine ERP Software muss verhindern, dass gespeicherte Daten manipuliert werden können. Die Wahrung der Datenintegrität ist eine wichtige Voraussetzung zur Erfüllung von Ordnungsmäßigkeitsanforderungen an Buchhaltungssoftware. Auf Datenbankebene besteht die Möglichkeit, Stammdaten und Bewegungsdaten mithilfe von SQL-Statements zu verändern. Die Nachvollziehbarkeit solcher Änderungen ist nur möglich, wenn auf Datenbank-Ebene die Protokollierung aktiv ist. Die Anwender haben durch geeignete organisatorische und technische Maßnahmen sicherzustellen, dass diese Funktion im Produktivsystem nicht genutzt wird bzw. die Protokollierungen aktiviert sind. Aufgrund unserer Prüfungshandlungen kommen wir zu dem Ergebnis, dass die Anwendung grundsätzlich die in der Verantwortung des Anwenders liegende Wahrung der Integrität der Daten ermöglicht. 16

19 Integrität der Daten zwischen Haupt- und Nebenbuch Kontrollen müssen sicherstellen, dass die Buchungsdaten im Hauptbuch vollständig und formal richtig sind insbesondere muss die Konsistenz zwischen Haupt- und Nebenbüchern gewährleistet sein. Zur Sicherstellung der vollständigen und richtigen Übernahme der Nebenbücher in das Hauptbuch können automatisch bebuchbare Sachkonten im Sachkontenstamm angelegt werden und mit den Nebenbüchern verknüpft werden. Damit ist eine manuelle Erfassung von Buchungen auf derartigen Sachkonten nicht mehr möglich. Darüber hinaus konnten wir uns anhand von eigenen erzeugten Testfällen zu den Geschäftsvorfällen der Erfassung und Erstellung von Lieferanten- bzw. Kundenrechnungen überzeugen, dass diese in die Hauptbuchhaltung übernommen wurden. Die Konsistenz zwischen Haupt- und Nebenbüchern kann durch entsprechende Funktionalitäten in der Anwendung vom Benutzer unterstützt werden Buchungen in abgeschlossene Perioden Hierfür ist es notwendig, individuell Geschäftsjahre und Buchungsperioden definieren zu können. Der Schutz vor Veränderungen auf bereits geschlossene Perioden gehört zu den elementaren Applikationskontrollen. Geschäftsjahre können individuell festgelegt werden und in relevante Buchungsperioden getrennt für die Haupt-, Debitoren-, und Kreditorenbuchhaltung sowie weitere Funktionsbereiche der Software aufgeteilt werden. Bei Abschluss einer Buchungsperiode ist eine nachträgliche Veränderung des Buchungsstoffes grundsätzlich über die Anwendung nicht mehr möglich. Ferner lassen sich geschlossene Buchungsperioden durch den Anwender nicht mehr öffnen. Die Verhinderung der Durchführung von Buchungen in bereits abgeschlossene Buchungsperioden wird durch die Software technisch ausreichend unterstützt. 17

20 Periodische Arbeiten & Abschlusserstellung Der Prozess der Vorbereitung und Erstellung von Abschlüssen ist für Unternehmen wichtig, um ordnungsgemäße Abschlüsse insbesondere Bilanzen, Gewinn- und Verlustrechnungen für die jeweiligen Berichtszeiträume zu erstellen. Bei der Eröffnung eines neuen Geschäftsjahres werden die relevanten Saldenvorträge auf Bilanzkonten vorgenommen. Wir haben uns in testbasierten Verarbeitungsprozessen davon überzeugt, dass ein automatischer Saldovortrag entsprechend den Abschlusssalden der Vorperiode auf die Bestandskonten erfolgt. Vom Anwender können individuelle Reports frei definiert werden. Für die Bilanz und Gewinn- und Verlustrechnung sind vordefinierte Auswertungsmöglichkeiten gegeben, welche ebenfalls frei durch den Anwender definiert werden können. Aufgrund unserer Prüfungshandlungen kommen wir zu dem Ergebnis, dass die Anforderungen an die Erstellung von Abschlüssen bei sachgerechter Anwendung erfüllt werden kann Soll- und Haben-Identität Das Prinzip der doppelten Buchführung beinhaltet, daß jede Buchung in ihrem Sollund Habenwerten insgesamt ausgeglichen sein muss. Jedes Buchungssystem muss über einen Mechanismus verfügen, der diese Identität herstellt. Durch verschiedene Tests haben wir überprüft, ob die Soll- und Haben Identität bei den von uns erzeugten Buchungen im Testsystem gewährleistet wird. Bei Soll- und Haben Ungleichheit erfolgt eine Warnmeldung an den Benutzer und eine Buchung kann systemseitig nicht erfolgen. Die Soll- und Haben-Identität wird erfüllt. 18

21 Stornierung von Buchungen im Hauptbuch Eine Software sollte die Möglichkeit der Stornierung von Buchungen beinhalten. Dabei muss die Prüfspur und Nachvollziehbarkeit gewährleistet werden. Durch die Nutzung spezieller Belegnummern für Stornierungen können diese einfach im System nachvollzogen werden. Stornierungen können vorgenommen werden und die Nachvollziehbarkeit ist bei Stornierungen gewährleistet Applikationskontrollen im Funktionsbereich Kreditoren Kontrollen im Bereich der Kreditorenstammdaten Die Verwaltung der Kreditorenstammdaten einer Software beeinflusst nicht nur die richtige Funktionsweise von Prozessen innerhalb der Kreditorenbuchhaltung, sondern auch die Schnittstellen zu anderen Modulen und Funktionsbereichen. Die Anlage eines Kreditors ist nur mit gefüllten Pflichtfeldern möglich. Das System lässt bei den Kreditorenkonten keine Duplikate zu. Das Löschen eines Kreditors, dem bereits Geschäftsvorfälle zugeordnet sind, ist nicht möglich. Bei der Anlage eines neuen Kreditors werden Liefer- und Zahlungsbedingungen zugewiesen und Buchungsprofile sowie die Kontensteuerung definiert. Buchungsprofile und Kontensteuerung legen fest, wie Geschäftsvorfälle in der Kreditorenbuchhaltung automatisch auch im Hautbuch erfasst werden. Die identifizierten Kontrollen im Kreditorenstammdatenbereich unterstützen den Anwender bei der Erfüllung der Ordnungsmäßigkeitsanforderungen. 19

22 4.4.3 Applikationskontrollen im Funktionsbereich Debitoren Kontrollen im Funktionsbereich der Debitorenstammdaten Die Verwaltung der Debitorenstammdaten einer Software beeinflusst nicht nur die richtige Funktionsweise von Prozessen innerhalb der Debitorenbuchhaltung, sondern auch die Schnittstellen zu anderen Modulen. Die Anlage eines Debitors ist nur mit gefüllten Pflichtfeldern möglich. Das System lässt bei den Debitorenkonten keine Duplikate zu. Das Löschen eines Debitors, dem bereits Geschäftsvorfälle zugeordnet sind, ist nicht möglich. Bei der Anlage eines neuen Debitors kann das Kreditlimit zugewiesen und Buchungsprofile sowie die Kontensteuerung definiert werden. Buchungsprofile und Kontensteuerung legen fest, wie Geschäftsvorfälle in der Debitorenbuchhaltung automatisch auch im Hautbuch erfasst werden. Die identifizierten Kontrollen im Debitorenstammdatenbereich unterstützen den Anwender bei der Erfüllung der Ordnungsmäßigkeitsanforderungen Applikationskontrollen im Funktionsbereich Anlagenbuchhaltung Kontrollen bei der Erfassung von Anlagenstammdaten Die Einstellungen in den Anlagenstammdaten können großen Einfluss auf Transaktionen und Prozesse in diesem Modul haben. Stammdatenduplikate können durch eindeutige Anlagennummern verhindert werden. Die Einstellungen sollen z.b. verhindern, dass Abschreibungen für unvollständige Anlagen gebucht werden. Die Anlagennummern in der Anlagenbuchhaltung sind eindeutig. Bei der Anlagenerfassung sind die Felder Anlagengruppe und Anlagennummer als Pflichtfelder definiert. Anlagengruppen erleichtern die Erfassung und Verwaltung von Anlagegütern. Es ist nicht möglich, Buchungen für unvollständige Anlagen durchzuführen. Transaktionen innerhalb der Anlagenbuchhaltung und Schnittstellen zum Hauptbuch In der Anlagenbuchhaltung können die Geschäftsvorfälle Anschaffung, Abschreibung, Wertregulierung und Abgang abgebildet werden. Systemseitige Kontrollen gewährleisten, dass Geschäftsvorfälle vollständig und richtig erfasst werden können. 20

23 Die Software stellt verschiedene Buchungsarten zur Verwaltung von Anlagegütern zur Verfügung (Anschaffung, Abschreibung, Wertregulierung, Abgang, etc.). Die Integration zum Hauptbuch wird gewährleistet. Alle in der Anlagenbuchhaltung vorgenommenen Transaktionen sind auf den entsprechenden Hauptbuchkonten ebenfalls wertmäßig abgebildet. Abschreibungsläufe Die Berechnung der Abschreibungsbeträge basiert auf den hinterlegten Abschreibungsregeln und der geplanten Restnutzungsdauer. Die Abschreibungsbeträge werden von der Software zutreffend berechnet und auf dem Anlagenkonto sowie dem entsprechenden Hauptbuchkonto richtig dargestellt. 4.5 Softwaresicherheit Differenzierung von Zugriffsberechtigungen Ziel der Prüfung der Differenzierung von Zugriffsberechtigungen ist die Feststellung, ob die Software die Möglichkeit der Funktionstrennung unterstützt. Im Einzelnen wurde untersucht, ob und inwieweit es die Anwendung zulässt, durch Vergabe von Benutzerkennungen und Passwörten sowie die Zuordnung von Berechtigungen zu diesen, individuelle Benutzerprofile zu definieren und einzurichten, die es nur befugten Mitarbeitern ermöglichen, auf bestimmte Funktionen und Datenfelder zuzugreifen. Für alle Dynamics AX 2012 Benutzer muss ein Benutzerprofil in der Software angelegt werden. Dies ist nur möglich, wenn der jeweilige Benutzer auch im Microsoft Active Directory angelegt ist. Der Login erfolgt automatisch über den Windows-Benutzer und dem dazugehörigen Passwort. Dynamics AX 2012 stellt ein differenziertes Berechtigungskonzept zur Verfügung. Benutzer können Berechtigungen über die Zuordnung einer definierten Rolle erhalten. Wenn einem Benutzer eine Rolle zugeordnet ist, erhält er alle Berechtigungen, die in dieser Rolle hinterlegt sind. Berechtigungen bestimmen, auf welche Programmfunktionen Benutzer zugreifen dürfen. Mögliche Ausprägungen sind lesender Zugriff, schreibender Zugriff oder kein Zugriff. Dynamics AX 2012 verfügt damit über die notwendigen Funktionalitäten, die Zugriffsberechtigungen der Benutzer zu differenzieren und unterstützt die Möglichkeit der Funktionstrennung. Die Anwender haben die Differenzierung der Zugriffsberechtigungen durch ein geeignetes Rollenkonzept auf Anwendungsebene sicherzustellen. 21

24 Aufgrund unserer Prüfungshandlungen kommen wir zu dem Ergebnis, dass die Anforderungen an die Differenzierung von Zugriffsberechtigungen der Anwendung erfüllt werden können Protokollierung Die Anwendung muss die Protokollierung von Änderungen in rechnungslegungsrelevanten Einstellungen oder die Parametrisierung der Software und die Aufzeichnung von Änderungen an Stammdaten gewährleisten. Darüber hinaus müssen Zugriffe vom System mit der Benutzerkennung protokolliert werden. Dynamics AX 2012 bietet die Möglichkeit, Änderungen an Stammdaten, Bewegungsdaten und Systemeinstellungen zu protokollieren. Bei Auslieferung ist die Software so eingestellt, dass keine Änderungen protokolliert werden. Es obliegt dem Kunden, die für ihn relevante und rechtlich erforderliche Protokollierungseinstellungen vorzunehmen. Aufgrund unserer Prüfungshandlungen kommen wir zu dem Ergebnis, dass die Anforderungen an die Protokollierung erfüllt werden kann, sofern der Kunde die notwendigen Einstellungen hierfür vornimmt Datensicherung und Wiederanlauf Die Datensicherung soll gewährleisten, dass bei einem Systemabsturz bzw. bei Verlust oder Vernichtung von Daten eine ordnungsgemäße Datenrekonstruktion in angemessener Zeit durchgeführt werden kann. In seltenen Ausnahmefällen kann es dazu kommen, dass es während des Verbuchungsvorgangs zu einem Totalabsturz der Anwendung kommt. In solch einem Fall muss sichergestellt werden, dass die Buchungen trotzdem vollständig erfasst sind und keine Belege doppelt erfasst werden. Mithilfe des Wiederanlaufverfahrens soll sichergestellt werden, dass nach einem unerwarteten Systemabsturz der Wiederaufsetzpunkt ermittelt werden kann und die Buchungsdaten vollständig weiterverarbeitet werden können. Dynamics AX 2012 bietet keine Unterstützung bei Datensicherungs- und Wiederanlaufverfahren. Die Anwender haben dies durch Maßnahmen auf Ebene der Datenbank und des Betriebssystems durch geeignete organisatorische und technische Maßnah- 22

25 men sicherzustellen. Im Installationshandbuch der Dynamics AX 2012 wird ein Datensicherungskonzept vorgeschlagen. Im Rahmen unserer Prüfungshandlungen konnten wir uns davon überzeugen, dass Mechanismen implementiert sind, die dafür sorgen, dass bei einem Systemabsturz alle bisherigen Buchungen erhalten bleiben. Eine Datensicherung und Wiederanlauf ist kundenseitig über das Betriebssystem und die Datenbank sicherzustellen. 4.6 Beurteilung des Softwareentwicklungsverfahrens Die Qualität der Softwareentwicklung ist wesentlich für die Beherrschung von Risiken für eine sachgerechte Umsetzung der Programmfunktionen. Standardisierte und normierte Entwicklungsprozesse, die Toolunterstützung von Routineaufgaben in der Entwicklung sowie umfassende Tests sowie eine vollständige und aktuelle Verfahrensund Testdokumentationen wirken fehlermindernd. Im Rahmen unserer Prüfung haben wir Interviews zu den bei Microsoft angewendeten Softwareentwicklungs- und Qualitätssicherungsverfahren mit Verantwortlichen geführt. Darüber hinaus haben wir entsprechende Dokumentation, Templates und Anweisungen eingesehen. Wir stellten angemessene Softwareentwicklungs- und Qualitätssicherungsverfahren fest, die eine ordnungsgemäße Entwicklung, Wartung, Test und Freigabe relevanter Änderungen an der Anwendung ermöglichen. Bevor mit der Entwicklung begonnen wird, werden für jede neue Version die Funktionalitäten definiert. Beim Entwicklungsprozess wird generell zwischen gesetzlichen Anforderungen ("Regulatory" bzw. "National Standards") und Wettbewerbsfunktionalität ("Competitive Features") unterschieden, wobei den gesetlichen Anforderungen Priorität eingeräumt wird. Prozesstechnisch werden die Anforderungen jedoch indentisch behandelt. Die neue Funktionalität wird zunächst hinsichtlich Ihrer formellen Anforderungen (z.b. Gesetzesänderung) definiert und in den Kontext der Anwendung gesetzt dies erfolgt im Formular Requirement Statement. Anschließend leiten sich hieraus die technischeren Spezifikationen ab, welche maßgeblich für die Umsetzung durch den Entwickler sind und im Formular Functional Specification beschrieben werden. Dieses Dokument enthält neben Informationen hinsichtlich Maskengestaltung, Ablauflogik und technischen Objekten ebenfalls Definitionen durchzuführender Testfälle. Die Umgebung, die Microsoft für die Entwicklung von Dynamics AX 2012 nutzt besteht aus einer mehrstufigen Systemlandschaft. In dieser werden alle Änderungn, die von den Entwicklern durchgeführt werden, zunächst lokal durch den jeweiligen Entwickler getestet und einem manuellen Code-Review durch einen weiteren Entwickler vorgelegt. Nach erfolgreicher Freigabe werden die geänderten Objekte in die nächste Stufe der Entwicklungsumgebung übertragen. Änderungen dürfen nur übertragen werden, wenn die zu übertragenden Objekte den von Microsoft definierten Standards 23

26 hinsichtlich Dokumentation des Quellcodes, Nomenklatur und Programmierstil genügen. Die Einhaltung dieser Standards wird durch organisatorische Kontrollen und regelmäßige Abstimmungen aller am Entwicklungsprozess Beteiligten bzw. teilweise toolgestützte Auswertungen sichergestellt. In einer nächsten Stufe werden dann aufbauend auf den durch den jeweiligen Entwickler durchgeführten Tests weitergehende Anwendertests durchgeführt. Darüber hinaus werden automatisierte Integrationstests durchgeführt, welche modulübergreifend sind, um die Korrektheit des Gesamtsystems sicherzustellen. Hierbei handelt es sich um generische Geschäftsfälle, die automatisiert durchgeführt und ausgewertet werden. In dieser Testumgebung (Test Automation Environment) wird aus einer Vielzahl von Testfällen eine Teilmenge identifiziert, die validiert werden. Die Ergebnisse der Tests werden in Form von Logfiles dokumentiert, jedoch nicht explizit in einer Test- Dokumentation abgelegt. Identifizierte Fehler werden in einem Bug-Tracking System erfasst und behoben. Erst mit Bestehen der manuellen sowie automatischen Testfälle ohne das Auftreten von Fehlern wird die Änderung in das Versionsverwaltungssystem importiert. Der Prozess endet mit der Bereitstellung der Änderung auf dem Kundenportal, wo diese Korrekturen und Erweiterungen als Installationsdatei heruntergeladen werden können. Darüber hinaus wird am Ende des jeweiligen Entwicklungszyklus eine Installationsdatei erstellt, welches die kumulierten Änderungen und Korrekturen seit dem letzten Release beinhaltet. Der Softwarestand wird dann in der Versionsverwaltung mit einer Entwicklungssperre versehen, sodass keine Änderungen mehr möglich sind. Die fertige Version wird noch einmal vollständig getestet und bei erfolgreichem Test freigegeben. Zum Zeitpunkt unserer Prüfung lag uns eine für den Markt limitierte Freigabe von Dynamics AX 2012 vor. Die Anforderungen an das Softwareentwicklungsverfahren bei Microsoft für die von uns getestete Anwendung werden erfüllt. 24