Revisionssichere Archivierung das künftige Spannungsfeld im Rechnungswesen

Transkript

1 Revisionssichere Archivierung das künftige Spannungsfeld im Rechnungswesen 1 Grundsätzlich unterscheiden sich die handelsrechtlichen und die steuerrechtlichen Vorschriften voneinander! Präambel [1] Die Grundsätze ordnungsmäßiger Buchführung (GoB) sind vom Buchführungspflichtigen stets zu beachten. Das gilt unabhängig von der organisatorischen Ausgestaltung und der für die Buchführung eingesetzten Technologie ( 239 HGB, 146 AO). [2] Wird zur Erfüllung von Buchführungspflichten Informationstechnologie (IT) eingesetzt, fordert 239 IV HGB bzw. 146 AO, dass das angewandte Buchführungsverfahren (im Folgenden ITgestütztes Buchführungssystem ) den Grundsätzen ordnungsmäßiger Buchführung entspricht. Hier und im Folgenden fordert die Finanzverwaltung die Ausweitung der Buchführungspflicht um die Aufzeichnungspflicht. Somit ist gemeint:

2 Wird zur Erfüllung von Buchführungs- oder Aufzeichnungspflichten Informationstechnologie (IT) eingesetzt (im Folgenden IT-gestütztes Buchführungssystem ), müssen die Grundsätze ordnungsmäßiger Buchführung beachtet werden ( 239 IV Handelsgesetzbuch (HGB) bzw. 146 Abgabenordnung (AO). Es ist davon auszugehen, dass künftig die Normen auch auf alle Informationen (Daten/Dokumente) ausgeweitet werden, die nicht nur im System der (doppelten) Buchführung ihren Niederschlag finde. Das ist eine deutliche inhaltliche Ausweitung (z.b. 4/3-Rechnung) und die notendige klare Trennung zwischen Buchführung i.e.s. (= System der [doppelten] Buchführung) und darüber hinausgehender rechnungslegungs-/ aufbewahrungspflichtiger Aufzeichnung würde aufgeweicht. Dabei würde die rechnungslegungs-/ aufbewahrungspflichtige Aufzeichnung nicht (nur) zusätzliche Belege umfassen, sondern auch weitere Gewinnermittlungsarten und rechnungen, die bei IT- Einsatz heute z.t. nicht mit analogen Systemen abgebildet werden, die mit einer IT- Buchführung vergleichbar sind (z.b. 4/3-Rechnung mit Excel). [3] Unter IT wird dabei die Gesamtheit der zur elektronischen Verarbeitung von Geschäftsvorfällen eingesetzten Hard- und Software verstanden. Das IT-gestützte Buchführungssystem umfasst neben der eingesetzten Hard- und Software unabdingbar die Festlegung organisatorischer und technischer Maßnahmen, die sicherstellen, dass alle in den unterschiedlichen Unternehmensbereichen anfallenden Geschäftsvorfälle belegmäßig erfasst sowie auf Datenträgern aufgezeichnet werden. [4] Insbesondere muss auch sichergestellt sein, dass die Daten während der Dauer der Aufbewahrungsfrist verfügbar sind und lesbar gemacht werden können. Hier reicht der Finanzverwaltung die Forderung nach einer Lesbarkeit der Daten ( 147 AO) nicht aus. Vielmehr wird eine unverzügliche Lesbarkeit und eine maschinelle Auswertbarkeit gefordert. Absatz 4 meint: Insbesondere muss auch sichergestellt sein, dass die Daten während der Dauer der Aufbewahrungsfrist verfügbar sind, unverzüglich lesbar gemacht und maschinell ausgewertet werden können. Unabhängig von der Frage, ob man diese Sicht schon in der Präambel problematisieren sollte, könnte in der unverzüglichen Lesbarmachung eine Verschärfung gegenüber den HGBNormen gesehen werden. Die maschinelle Auswertbarkeit wäre auf jeden Fall eine Verschärfung und weil nicht klar bzw. einseitig definiert in erheblichem Umfang zu problematisieren, sofern man dieser Forderung nachkäme. Wenn die maschinelle Auswertbarkeit jedoch neu definiert würde, hätte die Finanzverwaltung noch weniger gewonnen, als wenn nur deutlicher auf das Bestehen solcher Sichten/Normen hingewiesen würde. [5] Damit ruft der Einsatz von IT zur Erfüllung von Buchführungs[- und Aufzeichnungs]pflichten Fragen auf, welche die konkrete Umsetzung der GoB bei der Ausgestaltung IT-gestützter Buchführungen betreffen. Diese ergeben sich aus der Tatsache, dass der Gesetzgeber die Anforderungen an die Buchführung und deren Dokumentation bewusst unabhängig von der eingesetzten Technologie prinzipienorientiert normiert und dargestellt hat. Dies hat zur Konsequenz, dass eine Interpretation und Konkretisierung der GoB vor dem Hintergrund des jeweiligen Stands der IT und deren Einsatz zur Erfüllung der Buchführungs[- und Aufzeichnungs]pflichten zu erfolgen hat. Erweiterung um Aufzeichnungspflichten?!

3 Im Folgenden wird unterhalb des betreffenden Absatzes zwar weiterhin markiert, wenn eine Erweiterung um die Aufzeichnungspflicht gefordert wird, es wird jedoch keine explizite Berücksichtigung im Text vorgenommen, solange nicht grundsätzlich über die Vorgehensweise entschieden ist. Selbst wenn man einer Begriffsausweitung folgen würde, könnte man immer noch an zentraler Stelle darauf verweisen, dass wenn nicht anders angegeben immer die Buchführungs- und Aufzeichnungspflichten gemeint sind. [6] Um dem Buchführungspflichtigen eine Hilfestellung bei der Ausgestaltung seines eigenen Buchführungssystems zu geben und ihn bei der dafür notwendigen Interpretation und Konkretisierung der GoB zu unterstützen, wurden in der Vergangenheit Auslegungen der GoB beim IT-Einsatz entwickelt. Erstmals erfolgte diese Auslegung durch die Grundsätze ordnungsmäßiger Speicherbuchführung (GoS, 1978) und zuletzt durch die Grundsätze ordnungsmäßiger DVgestützter Buchführungssysteme (GoBS, 1995). Erweiterung um Aufzeichnungspflichten?! Die Finanzverwaltung möchte hier kürzen, etwa Die GoBIT treten an die Stelle der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS; BMF-Schreiben vom 7. November 1995 IV A 8 S /95). Würde man dieser Verkürzung folgen, wären die GoBS die Gesamtheit aller Normen des BMF-Schreibens inkl. Einführungsschreiben. Diese Sicht wurde bisher nicht vertreten. [7] Die vorliegenden Grundsätze ordnungsmäßiger Buchführung beim IT-Einsatz (GoBIT) treten an die Stelle der GoBS von vor dem Hintergrund des aktuellen Stands der IT und des rechtlichen Umfelds. Dadurch wird neueren Entwicklungen, Begrifflichkeiten, Schwerpunktverschiebungen und auch neu hinzutretenden Risiken Rechnung getragen. Letztere ergeben sich aus der grundsätzlichen Automatisierung der IT-gestützten Buchführung und deren immer weiter voranschreitenden unmittelbaren Einbettung in die Abwicklung von Geschäftsprozessen im Rahmen der übergreifenden unternehmensin- und - externen Workflows. [8] Aufgrund dieser zunehmenden Einbettung der IT-gestützten Buchführung in die betrieblichen Abläufe und Prozesse, sind die sich aus den GoBIT ergebenden Anforderungen im Rahmen der unternehmensweiten Risikosteuerung und Überwachung zu berücksichtigen. Darüber hinaus wird das rechtliche Umfeld zunehmend durch den Aspekt der unternehmensweiten Risikosteuerung und Überwachung sowie der Umsetzung gesetzeskonformer unternehmenseinheitlicher Richtlinien geprägt. Das hat auch unmittelbare Auswirkung auf die IT-gestützte Buchführung als Grundlage für die Abbildung bzw. Dokumentation von Geschäftsvorfällen eines Unternehmens bis hin zu deren Kontrolle und Überwachung bzw. Prüfung durch die gesetzlichen Vertreter und Aufsichtsorgane bzw. durch externe Prüfer (z. B. Jahresabschlussprüfung oder steuerliche Außenprüfung). [9] Aufgrund des aktuellen Stands der Informationstechnologie ergibt sich die Notwendigkeit für eine aufgaben- und funktionsübergreifende und damit prozessorientierte Sichtweise auf die IT-gestützte Buchführung. Die wesentlichen Gründe sind die fortschreitende Integration und Automatisierung der IT-gestützten Buchführung mit den weiteren Produktions-, Steuerungs- und Dokumenten-Management- Systemen des Unternehmens. Vor diesem Hintergrund führt nur eine ganzheitliche Sichtweise auf die Buchführung als integraler Bestandteil des gesamten betrieblichen Informationssystems zu einer angemessenen Auslegung und Anwendung der vorliegenden Grundsätze.

4 [10] Insbesondere die bestehenden Abhängigkeiten und Schnittstellen des IT-gestützten Buchführungssystems zu den vor- und nachgelagerten Teilsystemen sind zu berücksichtigen. Dabei ist in komplexeren IT-Landschaften zunächst zu beschreiben, was zum IT-gestützten Buchführungssystem gerechnet wird. Dies ist immer seltener das so bezeichnete Finanzbuchführungsprogramm oder -modul allein. Der Umfang des ITgestützten Buchführungssystems richtet sich insofern nicht nach dessen Bezeichnung, sondern nach den Grundfunktionen der Buchführung, die mit der IT erfüllt werden. [11] Besondere (Ordnungsmäßigkeits-)Risiken treffen auch die Verknüpfung von ITgestützten und manuellen, nicht automatisierten Abläufen der Buchführung. Speziell die Schnittstellen des IT-gestützten Buchführungssystems nach außen sowie innerhalb der eigenen (Teil-)Verarbeitungsprozesse und Module bergen Risiken der Ordnungsmäßigkeit, die einer besonderen Beachtung bedürfen. [12] Aufgrund der Vielfalt an Ausgestaltungs- und Organisationsmöglichkeiten für die Einrichtung und den Betrieb eines konkreten IT-gestützten Buchführungssystems können die GoBIT keinen abschließenden Katalog von Detailvorgaben umfassen. Sie stellen vielmehr den Orientierungsrahmen dar, der unter Beachtung der besonderen Aspekte und Risiken eines IT-Einsatzes stets von folgender Frage ausgeht: Wie sind die übergeordneten GoB auszulegen und zu interpretieren, wenn diese oder jene Form des IT-Einsatzes im konkreten Fall umgesetzt werden soll, ohne einen Verstoß gegen die Ordnungsmäßigkeit herbeizuführen? [13] Bei der Beantwortung dieser Frage helfen Analogieschlüsse z. B. der Vergleich zwischen der Aufbewahrung von handschriftlich geführten Handelsbüchern in einem verschlossenen Schrank und dem Zugriffsschutz in einem elektronischen Archivsystem, welches die Papierform der Handelsbücher im IT-Umfeld ersetzt oft weiter als vorschnelle Festlegungen auf einzelne technische Lösungen (z. B. ausgesuchte Archivierungsmedien und bestimmte Kryptografieverfahren). Insofern sollen die vorliegenden Grundsätze weder überzogene noch zu niedrige Anforderungen an die Einhaltung der GoB beim IT-Einsatz stellen. Gleichzeitig sollen die vorliegenden Grundsätze angesichts der raschen technischen Entwicklung auf keinen Fall unnötige Festlegungen auf konkrete technische Verfahren oder Lösungen treffen. Das würde ihre Intention von vorneherein in Frage stellen. 1.1 Die steuerlichen Vorschriften sind schärfer und weiter gefasst 1 Anwendungsbereich und Verantwortlichkeiten 1.1 Gesetzliche Anforderungen [1] Wer nach handels-/außersteuer- oder steuerrechtlichen Vorschriften (z.b. 238 HGB, 140, 141 AO) zur Buchführung [oder Aufzeichnung] verpflichtet ist, kann zur Erfüllung dieser Verpflichtung auch Informationstechnologie (IT) einsetzen ( 239 IV HGB, 146 V, 147 II AO). Erweiterung um Aufzeichnungspflichten?! [2] Unter IT wird dabei die Gesamtheit der im Unternehmen zur elektronischen Datenverarbeitung eingesetzten Hard- und Software verstanden. [3] Das Gesetz erlaubt die Nutzung von IT zur Erfüllung der Buchführungs- und Aufbewahrungspflichten jedoch nur, soweit die eingesetzten IT-Systeme und die dabei

5 angewandte Vorgehensweise (Verfahren) den gesetzlichen Anforderungen und den GoB entsprechen ( 239 IV S. 1 HGB, 146 V S. 1 AO). Erweiterung um Aufzeichnungspflichten?! Finanzverwaltung empfiehlt klassische Definition, etwa: Bücher und sonst erforderliche Aufzeichnungen können auch auf Datenträgern geführt werden, soweit die Form der Buchführung und die dabei angewandten Verfahren den GoB entsprechen ( IV 1 HGB, 146 V 1 AO). [4] Die GoB umfassen allgemeingültige Vorgaben an die Buchführung für die systematische, kontenmäßige Aufzeichnung aller Geschäftsvorfälle und ihre Dokumentation gemäß den handels- undsteuerrechtlichen Vorschriften. Dieser Absatz wird von der Finanzverwaltung grundsätzlich kritisiert und für falsch erachtet. Es wird eine weitere Definition gesehen, etwa Die GoB beschreiben die Maßnahmen, die der Buchführungs- und Aufzeichnungspflichtige ergreifen muss, will er sicher stellen, dass die Buchungen und sonst erforderlichen Aufzeichnungen vollständig, richtig, zeitgerecht und geordnet vorgenommen werden. Hier wäre u.u. erneut eine Trennung von i.e.s. und i.w.s. notwendig. Die Grundfunktionen müssen m.e. hier noch nicht explizit aufgeführt werden. [5] Außer für die Aufzeichnung und die erläuternde Dokumentation der einzelnen Geschäftsvorfälle gelten die GoB auch für die Sammlung und geordnete Aufbewahrung aller relevanten Buchführungs- und Geschäftsunterlagen sowie der Belege ( 257 ff. HGB, 147 I - V AO). Kritik analog zu Absatz 4. Außer für die Aufzeichnung und die erläuternde Dokumentation der einzelnen Geschäftsvorfälle gelten die GoB auch für die Sammlung und geordnete Aufbewahrung von Unterlagen (( 257 ff. HGB, 147 I - VI AO). [6] Über die allgemeinen Anforderungen des HGB und der AO an die Buchführung hinaus können sich aus verschiedenen Spezialvorschriften (z. B. 25a KWG, 14 III UStG) ergänzende Anforderungen an die Ausgestaltung der Buchführung ergeben. [7] Besondere Anforderungen an die Verfügbarkeit der Buchführungsdaten leitet die Finanzverwaltung für Zwecke der Außenprüfung aus den 146 V AO i.v.m. 147 II, V u. VI AO ab. In den sogenannten Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) werden Anforderungen für den speziellen Zweck der Außenprüfung und aus Sicht des externen Prüfers konkretisiert. Diese Konkretisierung bezieht sich auf die Rechte zum Datenzugriff sowie auf Aspekte der Aufbewahrung. Den Absatz 7 hält die Finanzverwaltung nicht zur Veröffentlichung geeignet und fordert eine Streichung, besser eine alternative Formulierung, etwa: Ferner sind die GDPdU zu beachten. Die Rechtslage im Steuerrecht weicht insoweit vom Handelsrecht ab. Hier entzünden sich gleich mehrere, mehrfach diskutierte Punkte. Einerseits werden die GDPdU auf das Gesetzesniveau gehoben, mindestens aber auf die gleiche Ebene wie die GoBIT. Darüber hinaus wird die Strategie vorgeschlagen, hier explizit die GDPdU anzusprechen und das Auseinanderklaffen zwischen Handels- und Steuerrecht zu thematisieren.

6 1.1.1 Folge: Wer die steuerlichen Vorschriften einhält, erfüllt zugleich die handelsrechtlichen Anforderungen 2 rechtlicher Rahmen zur Archivierung elektronischer Rechnungen Bis 2001 war Ausdruck elektronischer Daten erlaubt; 147 Abs. 2 S. 2 AO. Geändert durch Steuersenkungsgesetz 2000, die zuvor nur für Papier Buchführungsunterlagen geltenden Aufbewahrungspflichten wurden auf elektronische Unterlagen ausgedehnt. 146, 147 und 300 AO erlauben die Zugriffe Z1 Z Abs. 5 S. 2 AO: Bei der Führung der Bücher und der sonstigen Aufzeichnungen auf Datenträgern muss insbesondere sichergestellt sein, dass während der Dauer der Aufbewahrungsfrist die Daten jederzeit verfügbar sind und unverzüglich lesbar gemacht werden können. Folgen: Wegfall der Möglichkeit des Ausdrucks Verbot der Vernichtung steuerrelevanter DATEN 2.1 Was ist der "Beleg"? 2.2 Belegfunktion [1] Nicht die Bezeichnung als Beleg, sondern die Erfüllung der Belegfunktion ist maßgebend für die Klassifizierung einer Unterlage und die daran anknüpfenden Normen, z. B. zur Aufbewahrung. Einer Unterlage kommt unabhängig von ihrer Bezeichnung dann eine Belegfunktion zu, wenn sie den nachvollziehbaren sachlichen und zeitlichen Nachweis über den Zusammenhang zwischen einem unternehmensexternen oder -internen buchungs- [bzw. aufzeichnungs?!]pflichtigen Vorgang in der Realität einerseits und dessen Abbildung in der Buchführung andererseits erbringt. Die Belegfunktion ist deshalb die Grundlage für die Beweiskraft der Buchführung. Sie sichert die gemäß 238 I HGB und 145 I S. 2 AO geforderte Nachvollziehbarkeit der Buchführung. Die Finanzverwaltung hält die Einschränkung auf den buchungspflichtigen Vorgang für unzulässig. Auch wird die Nachvollziehbarkeit alleine nicht als ausreichend gesehen, sondern der sachliche und zeitliche Nachweis gefordert. Die Unterscheidung zwischen unternehmensin- und externen Vorgängen wird für überflüssig gehalten. [2] Anhand der Belegfunktion wird sowohl die Dokumentation über die Existenz eines Geschäftsvorfalls als auch über dessen Verarbeitungsberechtigung geführt. Der Grundsatz, dass jede Buchung vollständig durch einen Beleg nachgewiesen werden muss, besitzt auch bei IT-Einsatz unveränderte Gültigkeit. Damit ist grundsätzlich jede Unterlage bzw. jedes Dokument unabhängig von ihrem IT-technischen (Daten-)Format geeignet, die Belegfunktion zu erfüllen. Folglich kann z. B. auch einer Belegfunktion zukommen, soweit sie buchführungs-[aufbewahrungspflichtige?!] relevante Informationen enthält.die Finanzverwaltung fordert die Streichung von buchführungspflichtig und Ersetzung durch aufbewahrungspflichtig. Spannungsfeld: Alles, was buchführungs- und/bzw. aufzeichnungspflichtig ist, ist auch aufbewahrungspflichtig; ggf. sind aber nicht alle

7 aufbewahrungspflichtigen Unterlagen auch buchführungs- und/bzw. aufzeichnungspflichtig?! ->Ausweitung?! Die Finanzverwaltung fordert eine Ergänzung im Hinblick auf den Aspekt evtl. Formatkonvertierungen, etwa wie folgt: Bei Umwandlung (Konvertierung) aufbewahrungspflichtiger Unterlagen in ein anderes Format sind beide Versionen zu archivieren und mit demselben Index zu verwalten sowie die konvertierte Version als solche zu kennzeichnen. Wenn man diese Ergänzung aufnimmt, dann ist die Stellung nicht passend (gehört an eine andere Stelle, insb. in das Kapitel Aufbewahrung. Die Aufbewahrung beider Versionen ist eine Ausweitung der Pflichten?! und insofern zu diskutieren. Die Forderung nach demselben Index ist sicherlich so nicht haltbar. [3] Die Belegfunktion kann sowohl in Papierform als auch durch digitale Dokumente bzw. Dateien erfüllt werden (digitale Belege). Digitale Belege können beispielsweise als digitales Ergebnis eines IT-gestützten Verarbeitungsprozesses oder durch das Digitalisieren von Papierbelegen im Unternehmen entstanden sein oder in digitaler Form (z. B. per ) Eingang in das Unternehmen gefunden haben. [4] Ferner kann der Dokumentation eines Verarbeitungsprozesses Belegfunktion zukommen, insbesondere im Zusammenhang mit den programmgesteuerten Verarbeitungsregeln zur automatischen Generierung von Buchungen. Beispiele hierfür sind Buchungen aus Fakturierungssätzen, die durch Multiplikation von Preisen mit entnommenen Mengen aus der Betriebsdatenerfassung gebildet werden, oder Buchungen von Abschreibungen, die aus vorgegebenen Parametern (z. B. Abschreibungsart und -dauer) gebildet werden. In diesen Fällen wird das Vorliegen eines einzelnen Belegs ersetzt durch einen verfahrensmäßigen Nachweis der Buchung(en). Die Erfüllung der Belegfunktion ist dabei durch die ordnungsgemäße Anwendung des jeweiligen Verfahrens nachzuweisen. Der verfahrensmäßige Nachweis ist in solchen Fällen regelmäßig durch die folgenden Funktionen zu führen: Dokumentation der programminternen Vorschriften zur Generierung der Buchungen, Nachweis, dass die in der Dokumentation enthaltenen Vorschriften einem autorisierten Änderungsverfahren unterlegen haben (u. a. Zugriffsschutz, Versionsführung, Test- und Freigabeverfahren), Nachweis der Anwendung des genehmigten Verfahrens sowie Nachweis der tatsächlichen Durchführung der einzelnen Buchungen. Die Finanzverwaltung folgt nach wie vor nicht der Sicht, dass einem Verfahren auch ohne einen konkreten (ergänzenden) Beleg, Belegfunktion zukommen kann. Sie fordert deshalb die Streichung des dritten Satzes in Abs. 4 ( In diesen Fällen. ). Dafür hält sie etwa folgende Formulierung für richtig: Die Dokumentation (mit Belegfunktion) ergänzt in diesen Fällen die weiterhin erforderlichen Belege. Z.B. ergänzt die Dokumentation der automatisch generierten Abschreibungsbuchungen den Beleg über die Anschaffung des abzuschreibenden Vermögensgegenstandes bzw. Wirtschaftsguts (beides Dauerbelege). Ein Verfahren kann einen Beleg nicht ersetzen, allenfalls ergänzen.] Wie die Diskussion gezeigt hat, kommt es darauf an, was als Belegeinheit betrachtet wird. Die Finanzverwaltung sieht eine größere Einheit. Bisher ist der Beleg über den Anschaffungsvorgang und die Entscheidung über die Periodisierung der Abschreibung

8 unterschiedliche Entscheidungen/Geschäftsvorfälle/Vorgänge, so dass die Abschreibungsbuchung keine Einheit mit dem Beleg über den Anschaffungsvorgang bildet. Insofern könnte eine Lösung/Klarstellung darin bestehen, dass man dies ausführt und dadurch auch die Funktion des Belegs über den Anschaffungsvorgang durchaus als Dauerbeleg über den gesamten Zeitraum der Aufbewahrungspflicht akzeptiert, weil er einen der wesentlichen Parameter für die Generierung von Abschreibungsbuchungen bildet. Diese Klarstellung wurde schon bisher im Absatz 5 vorgenommen. Dies wird offensichtlich so nicht akzeptiert. Es ist insofern die Frage, ob eine Umformulierung Besserung bringen kann oder ob man überhaupt noch weiter auf die Sicht die Finanzverwaltung eingehen kann, nachdem alle bisherigen Diskussionen und Argumentationen klar für eine Trennung der unterschiedlichen Geschäftsvorfälle Anschaffung und Abschreibung sprechen. Die Finanzverwaltung hält dies nach wie vor für eine unzulässige oder zumindest unzweckmäßige Atomisierung.] [5] Der Dokumentation eines Verarbeitungsprozesses kommt nur soweit Belegfunktion zu, wie der wirtschaftliche Gehalt des Geschäftsvorfalles reicht. Ausgangsgrößen, die in die automatische Generierung der Buchung eingehen und selbst belegmäßig dokumentiert sein müssen, sind davon unberührt. So ersetzt eine automatisch generierte Abschreibungsbuchung nicht den Beleg über die Anschaffung des abzuschreibenden Vermögensgegenstands bzw. Wirtschaftsguts und damit z. B. über den Ausgangsbetrag der periodischen Abschreibungen. Die Finanzverwaltung hält den unbestimmten Rechtsbegriff wirtschaftlicher Gehalt für unzutreffend. Sie sieht die Erfordernis einer Dokumentation unabhängig vom wirtschaftlichen Gehalt. Sie empfiehlt die Streichung des Absatzes, weil sie ihn für falsch hält. Die Atomisierung bestimmter Geschäftsvorfälle (z.b. Anschaffung und spätere AfA) hält sie zumindest für strittig. In Verbindung mit den Ausführungen zum Absatz 4 könnte sich hier eine Umformulierung anbieten, die eine Klarstellung der bisherigen Sicht versucht und auf den Begriff des wirtschaftlichen Gehalts verzichtet. Dieser Begriff wird für den Tenor der Aussage m.e. nicht benötigt. [6] Unabhängig von der Art der Erfüllung der Belegfunktion müssen zum Buchungsvorgang zumindest die folgenden Angaben aufgezeichnet werden: hinreichende Erläuterung des Vorgangs, zu buchender Betrag oder Mengen- und Wertangaben, aus denen sich der zu buchende Betrag ergibt, Zeitpunkt des Vorganges (Datum und Bestimmung der Buchungsperiode), Autorisierung des Vorgangs (Freigabe) durch den Buchführungspflichtigen. [7] Soweit Buchungen auf Grundlage von Papierbelegen durchgeführt werden, ist für die nachvollziehbare Abbildung des Geschäftsvorfalls u. U. eine erfassungsgerechteaufbereitungder Belege sicherzustellen. Damit wird gewährleistet, dass aus dem Beleg die einzelnen zu buchenden Angaben eindeutig erkennbar werden. Angepasst an den Wortlaut der GoBS auf Wunsch der Finanzverwaltung. Vorher: Soweit Buchungen auf Grundlage von Papierbelegen durchgeführt werden, ist für die nachvollziehbare Abbildung des Geschäftsvorfalls u. U. eine Aufbereitung der Belege notwendig. Damit wird sichergestellt, dass aus dem Beleg die einzelnen zu buchenden Angaben eindeutig erkennbar werden".

9 [8] Der Verzicht auf eine handschriftliche Kontierungauf Papierbelegen kann nur dann in Frage kommen, wenn durch organisatorische oder technische Maßnahmen sichergestellt wird, dass die Nachvollziehbarkeit bzw. Prüfbarkeit des Geschäftsvorfalls und damit der Zusammenhang zwischen Buchung und Beleg gewährleistet ist. Dies kann beispielsweise durch eine geordnete Belegablage - kombiniert mit einer entsprechenden Referenzierung im Rahmen der Buchungsangaben - sichergestellt werden. Zumindest muss die Nachvollziehbarkeit durch eine retrograde Such- und Selektierbarkeit einzelner Belege aufgrund der Buchungsangaben gewährleistet sein, damit die in Absatz 6 genannten Aufzeichnungen schnell und vollständig zugänglich sind und dem Beleg und somit dem Geschäftsvorfall eindeutig zugeordnet werden können. Die Finanzverwaltung hält die aktuelle Formulierung für nicht zulässig, weil sie darin den nicht zulässigen Verzicht auf eine progressive Prüfbarkeit sieht. Deshalb wird die Streichung von Satz 3 gefordert. Ebenso wird die Streichung von Satz 2 mit einem Hinweis auf die journalbezogene Nachvollziehbarkeit gefordert. Würde man der Forderung der Finanzverwaltung nachgeben, würde nach wie vor nicht auf eine handschriftliche Kontierung verzichtet werden können, obwohl dies nicht nur weitverbreitete Praxis ist, sondern auch durch die heutigen technischen Selektionsmöglichkeiten in den Programmen eine quasi-progressive Prüfung möglich ist, indem man aufgrund der Inhalte eines beliebigen Belegs unmittelbar auf den zugehörigen Buchungssatz und somit auf das Konto schließen kann. Evtl. sollte dieser Aspekt deutlicher hervorgehoben werden. Satz 2 könnte auf Hinweis der Finanzverwaltung nicht gestrichen, sondern ergänzt werden. Denn dann, wenn die Belegablage 1:1 dem Journal entspricht, kann unmittelbar über das Journal auf den Buchungssatz und somit auf das Konto geschlossen werden, so dass wiederum eine quasiprogressive Nachvollziehbarkeit ermöglicht wird. Das würde das Argument oben verstärken. [9] Im Falle der Buchung auf Grundlage von digitalisierten Papierbelegenkann auf eine handschriftliche Kontierung vor dem Scann- bzw. Digitalisierungsvorgang verzichtet werden, soweit durch die eineindeutige Verknüpfung (Indexierung) der Zusammenhang von Buchungssatz und digitalisiertem Beleg sichergestellt wird. In diesem Fall bilden der digitalisierte Papierbeleg und der damit indizierte Buchungssatz eine logische Einheit in Bezug auf die Erfüllung der Belegfunktion. Dies gilt für schon ursprünglich digitale Belege und digitalisierte Belege gleichermaßen. 10] Setzen sich Belege aus mehreren separaten, z. B. unabhängig voneinander erfassten Bestandteilen oder Elementen zusammen, die insgesamt für die Erfüllung der Belegfunktion notwendig sind, müssen die einzelnen Belegbestandteile eineindeutig und dauerhaft miteinander verknüpft werden. Die eineindeutige Verknüpfung mehrerer zusammengehöriger Belegelemente kann insbesondere über eine Indexierung erreicht werden (z. B. Dokumentoder Datensatz-ID). Dazu können dem Beleg neben den Beleginhalten z. B. Buchungsdatum, Belegdatum, Buchungstext, Autorisationsnachweis, Kontierung sowie ergänzend erfasste Bilddokumente zugewiesen werden.

10 2.2 Aufbewahrung Dauer Grundsatz: 10 Jahre Hemmungen Anlaufhemmung, max. 2 Jahre Aufbewahrungsfrist beginnt mit Ablauf des Jahres, in dem die Rechnung ausgestellt wurde. Ablaufhemmung Frist läuft nicht ab, soweit und so lange die Unterlagen für die Besteuerung von Bedeutung sind Art: Datenträger der Veränderungen nicht mehr zulässt. bei temporärer Speicherung auf änderbarem Datenträger muss das System die Unveränderbarkeit des Datensatzes herstellen; BMF II.1 (GoBS konforme Speicherung!) 2.3 Datenschutz 3.2 Sicherheitsanforderung an IT-gestützte Buchführungssysteme [1] Durch den Einsatz von IT ergeben sich nicht nur für den Bereich der Buchführung Risiken für die Datensicherheit. Sicherheitsrisiken ergeben sich insbesondere durch unberechtigte Zugriffe, Einsichtnahmen oder Änderungen (einschließlich der Löschung) von Daten sowie aus der mangelnden Verfügbarkeit von Daten oder IT-Systembestandteilen. [2] Aufgrund der eingesetzten Technologie kann die Beweiskraft und Nachvollziehbarkeit des Buchführungssystems nur gewährleistet werden, wenn diesen Sicherheitsrisiken im Rahmen der Einrichtung und des Betriebs des IT-gestützten Buchführungssystems Rechnung getragen wird. [3] Für die Umsetzung und Einhaltung der GoB bedeutet dies, dass sowohl organisatorische Regelungen zu treffen als auch technische Maßnahmen zu ergreifen sind, die die eine hinreichende Sicherheit des IT-gestützten Buchführungssystems gewährleisten. Deren Einhaltung ist durch ein wirksames IKS zu überwachen. Formulierung auf Hinweis der Finanzverwaltung geändert [4] Hierzu hat der Buchführungspflichtige ein Konzept zu entwickeln, zu dokumentieren und umzusetzen. Die Gesamtheit der erforderlichen Regelungen und Maßnahmen, die aus den festgestellten Sicherheitsrisiken zur Einhaltung der IT-Sicherheit abgeleitet werden, bilden das IT-Sicherheitskonzept. Finanzverwaltung fordert Ergänzung um den Aufbewahrungspflichtigen. S.o. [5] Der Buchführungspflichtige muss daher bei der Erarbeitung und Umsetzung eines IT- Sicherheitskonzepts berücksichtigen, dass eine hinreichende IT-Sicherheit nur dann gewährleistet werden kann, wenn er ein Verständnis davon besitzt, welche IT-Risiken

11 aufgrund der konkreten Ausgestaltung seines IT-Systems bestehen und was, wogegen, wie lange und wie zu sichern bzw. zu schützen ist. Für das IT-gestützte Buchführungssystem bedeutet dies, dass ein Schutz der Prozesse und Daten gegen unberechtigte Eingabe, Einsichtnahme, Änderung/Verfälschung notwendig ist zu erfolgen hat und einer Beeinträchtigung der Verfügbarkeit des IT-Buchführungssystems aufgrund von internen und externen Störungen entgegenzuwirken ist. Finanzverwaltung fordert Ergänzung um den Aufbewahrungspflichtigen. S.o. Finanzverwaltung fordert die Streichung des Teilsatzes wenn er ein Verständnis davon besitzt, welche IT-Risiken aufgrund der konkreten Ausgestaltung seines IT-Systems bestehen und was, wogegen, wie lange und wie zu sichern bzw. zu schützen ist. und schlägt stattdessen vor wenn ihm bewusst und klar ist, welche Risiken bestehen und wie er sie ausschließen kann. [6] Für den einen hinreichenden Schutz des IT-gestützten Buchführungssystems ist insbesondere notwendig, dass die Daten, Hard- und Software vollständig und wie geplant zur Verfügung stehen und vor Manipulation und ungewollten oder unvollständigen Änderungen geschützt sind. Die Ordnungsmäßigkeit der IT-gestützten Buchführung erfordert, dass neben den Daten auch die Hard- und Software nur in einem festgelegten Zustand eingesetzt wird und nur autorisierte Änderungen zugelassen werden, nur im Voraus festgelegte Personen auf Daten, Hard- und Software zugreifen können (autorisierte Personen), und dass nur sie die im Zusammenhang mit dem IT-gestützten Buchführungssystem definierten Rechte wahrnehmen können. Diese Rechte betreffen das Lesen, Anlegen, Ändern und Löschen von Daten oder die Administration eines ITgestützten Buchführungssystems. Dadurch soll sichergestellt werden, dass ausschließlich autorisierte genehmigte Abbildungen von Geschäftsvorfällen im System vorgenommen werden, die Zuordnungsfähigkeit von Geschäftsvorfällen zu einer autorisierenden Person besteht. Dies kann beispielsweise über Berechtigungsverfahren geschehen. Dabei ist zu berücksichtigen, dass die Kompetenz für eine Autorisierung nicht automatisch mit einer technischen Berechtigung, z. B. in Form des Systemzugangs verbunden ist. Hieraus können weitere Sicherheitsrisiken resultieren. Änderungen und Löschungen sind dabei nach den allgemeinen Grundsätzen nur von noch nichtautorisierten Daten zulässig. Formulierungen auf Hinweis der Finanzverwaltung geändert. Ergänzung bzw. Klarstellung zum Ändern/Löschen auf Hinweis der Finanzverwaltung eingefügt. [7] Daten, Hard- und Software sowie die für den IT-Betrieb erforderliche Organisation müssen in angemessener Zeit funktionsfähig bereitstehen. Dies bedeutet, dass der ganze, teilweise oder vorübergehende Ausfall von IT-Bestandteilen den Buchführungspflichtigen nicht von der Aufrechterhaltung der Verfügbarkeit des IT-gestützten Buchführungssystems entbindet. Dasselbe gilt für die Vollständigkeit und Richtigkeit der gespeicherten Daten. Die Finanzverwaltung fordert, in angemessener Zeit durch unverzüglich zu ersetzen. Die Finanzverwaltung fordert die Ergänzung um und Aufzeichnungspflichtigen

12 Der letzte Satz soll nach Auffassung der Finanzverwaltung umformuliert werden in Dasselbe gilt für die Vollständigkeit und Richtigkeit der aufbewahrungspflichtigen Unterlagen gespeicherten Daten. [8] Im Zusammenhang mit dem Einsatz von Hardware sind insbesondere die folgenden Sicherungsmaßnahmen umzusetzen und über den Zeitraum des Betriebs kontinuierlich aufrecht zu erhalten: die physischen Sicherungsmaßnahmen, logische Zugriffskontrollen, Datensicherungs- und Auslagerungsverfahren. [9] Zu den physischen Sicherungsmaßnahmen zählen bauliche Maßnahmen, Zutritts- und Zugangskontrollen, Feuerschutzmaßnahmen und Maßnahmen zur Sicherung der Stromversorgung, die zur Sicherung der Funktionsfähigkeit des Systems erforderlich sind. [10] Durch logische Zugriffskontrollen wie Benutzer-ID oder Passwörter ist die Identität der Benutzer von IT-Systemen eindeutig feststellbar, wodurch nicht autorisierte Zugriffe verhindert werden können. Daher sind beispielsweise die Einrichtung, Änderung und Entziehung sowie die Sperrung von Berechtigungen, die Protokollierung aller Aktivitäten im Bereich der Berechtigungsverwaltung, die Gestaltung des Passwortes (z. B. hinsichtlich Mindestlänge und Ablaufdatum) und die Festlegung von aufgabenbezogenen Berechtigungsprofilen umzusetzen Anforderung von Transparenz der Prozesse Migration beim Einsatz von Dienstleistern 2.4 Outsourcing von Infrastruktur 6 Outsourcing 6.1 Art und Umfang des Outsourcing [1] Unter Outsourcing wird im Folgenden die Auslagerung von Aufgaben, Funktionen und Prozessen im Zusammenhang mit dem IT-gestützten Buchführungssystem (in Teilbereichen oder als Ganzes) auf ein Dienstleistungsunternehmen verstanden, unabhängig davon, ob es sich um eine Auslagerung ins In- oder Ausland handelt. Dabei kann die Auslagerung auch mit der Übertragung von operativen Geschäftsprozessen und den zugehörigen Überwachungstätigkeiten auf das Dienstleistungsunternehmen im Zusammenhang stehen. Die Finanzverwaltung fordert eine Streichung des Absatzes 1, weil die Definition im Glossar enthalten sei. [2] Der Umfang der Auslagerung reicht erstreckt sich von der Datenerfassung, bei der das Dienstleistungsunternehmen lediglich Erfüllungsgehilfe des auslagernden Unternehmens ist, bis hin zur Übertragung von ganzen Geschäftsprozessen. Das Outsourcing kann darüber hinaus beispielsweise den IT-Betrieb unter Nutzung fremder Hard- und Software (z. B.

13 administriertes Rechenzentrum oder PC-Einsatz) oder die Einschaltung von Internet- Providern zum Gegenstand haben. [3] Das Dienstleistungsunternehmen ist gegenüber dem auslagernden Unternehmen über die vertragsgemäße Durchführung der ausgelagerten Aktivitäten und Prozesse rechenschaftspflichtig. Die Verantwortung verbleibt jedoch beim Buchführungspflichtigen, der sich daher auf das interne Kontrollsystem des Dienstleistungsunternehmens verlassen können muss. Somit sind sowohl das in einem Dienstleistungsunternehmen eingerichtete interne Kontrollsystem als auch die dort erstellten und aufbewahrten Aufzeichnungen für die Einhaltung der GoB für den Buchführungspflichtigen von Bedeutung. Insofern hat dieser entsprechende Vorkehrungen zu treffen, die die sorgfältige Auswahl des Dienstleistungsunternehmens, die Schnittstellen zum Dienstleistungsunternehmen (inkl. des beidseitigen internen Kontrollsystems), die Sicherung und Dokumentation der Ordnungsmäßigkeit beim Dienstleistungsunternehmen sowie die sorgfältige Gestaltung des Auftragsverhältnisses selbst betreffen. Die Finanzverwaltung fordert die Ergänzung um den Aufzeichnungspflichtigen und eine Streichung des letzten Satzes, weil er inhaltlich falsch sei (Verantwortung bleibt beim Buchführungs- und Aufzeichnungspflichtigen.] Durch den letzten Satz wird aber versucht, praktische Handlungshinweise für den Buchführungspflichtigen zu geben, ohne dessen Verantwortung einschränken zu wollen. Evtl. kann deshalb eine Umformulierung oder Klarstellung helfen. 6.2 Vertragliche Gestaltung des Outsourcing [1] Als Buchführungspflichtiger trägt der Outsourcing-Geber stets die Verantwortung dafür, dass auch bei einer Auslagerung die GoBIT eingehalten werden. Finanzverwaltung fordert Ergänzung um Aufzeichnungspflichtigen [2] Das auslagernde Unternehmen hat sich im Rahmen der Auswahl eines potenziellen Dienstleistungsunternehmens darüber zu vergewissern, ob dieses die für die Einhaltung der GoBIT notwendigen Anforderungen, insbesondere in personeller, fachlicher und organisatorischer Hinsicht erfüllt. Aufgrund der bei dem Buchführungspflichtigen verbleibenden Verantwortlichkeit sollte bei der Ausgestaltung des Outsourcingvertrags insbesondere auf folgende Aspekte geachtet werden: Das Dienstleistungsunternehmen hat den Buchführungspflichtigen über organisatorische oder IT-technische Änderungen einschließlich des dienstleistungsbezogenen IKS im Vorfeld frühzeitig in Kenntnis zu setzen, um rechtzeitig die gegebenenfalls davon betroffenen Kontrollen des IKS der neuen Situation anzupassen. Grundsätzlich sollte sich der Outsourcing-Geber vertragliche Kontrollrechte bezüglich der Ordnungsmäßigkeit seiner Buchführung vom Dienstleistungsunternehmen zusichern lassen. Ebenso sollten Prüfungs- und Auskunftsrechte (durch den Buchführungspflichtigen oder durch Dritte nach Auftrag des Buchführungspflichtigen) vereinbart werden. Regelungen über eine zeitnahe Verfügbarkeit von Daten und Verfahrensdokumentation beim Outsourcing- Geber sollten schriftlich fixiert werden. Die Dokumentation der Verfahren und des IKS seitens des Dienstleistungsunternehmens und des Outsourcing-Gebers ist mit hinreichend genauer Beschreibung der Schnittstellen sicherzustellen. Dabei muss der Outsourcing-Geber auf die gesamte Programmdokumentation und Verfahrensdokumentation einschließlich der

14 Änderungshistorie zugreifen können, auch wenn diese originär beim Dienstleistungsunternehmen erstellt wird. Die Finanzverwaltung hält die Eingrenzung in Satz 1 für unzulässig mit Hinweis auf Tz. 3 und 4. Eine Weiterverlagerung an Subunternehmer durch das Dienstleistungsunternehmen ist durch den Outsourcing-Geber vertraglich zu regeln. Unabhängig von der vertraglichen Regelung ist der Buchführungspflichtige auch für die Einhaltung der Ordnungsmäßigkeit beim Subunternehmer verantwortlich. Die Finanzverwaltung fordert die Ergänzung um den Aufzeichnungspflichtigen an allen relevanten Stellen. S.o. Die Finanzverwaltung fordert eine unverzügliche und keine zeitnahe Verfügbarkeit im zweiten Spiegelstrich. [3] Im Falle des Outsourcing können auch fremde Software-Lizenzen bzw. Produkte an den Dienstleister übergeben/übertragen werden oder bei diesem eingesetzt werden. In die vertragliche Gestaltung zwischen dem Outsourcing-Geber, dem Dienstleister und ggf. auch dem Lizenzgeber sind dabei die Normen der Abgabenordnung zum Datenzugriff ( 147 VI AO) zu berücksichtigen. Die Finanzverwaltung fordert eine Streichung der Absätze 3 und 4, weil sie auf die Ordnungsmäßigkeit keinen Einfluss haben. Sie fordert stattdessen die Aufnahme eines Absatzes 3 wie folgt: Bei den vertraglichen Gestaltungen ist zu berücksichtigen, dass der Datenzugriff gem. 147 VI AO während der gesetzlichen Aufbewahrungsfrist möglich sein muss. [4] Die entsprechenden Anforderungen sind auch in dem Vertrag zwischen dem Dienstleistungsunternehmen und dem Lizenzgeber der eingesetzten Software zu berücksichtigen. Der Outsourcing-Geber sollte sich im Vertrag mit dem Outsourcing-Nehmer zusichern lassen, dass letzterer eine solche Regelung mit dem Lizenzgeber vereinbart hat.

15 2.4.1 Ort der Aufbewahrung Inland Sitz, Geschäftsleitung oder Zweigniederlassung im (umsatzsteuerlichen) Inland Papier Inland Freihäfen elektronisch aufbewahrt online access, download und Datenverwendung durch zuständiges FA sind sicherzustellen Inland Freihäfen Insel Helgoland Gemeinde Büsingen 1 Abs. 3 UStG Erlaubnispflichtig Antrag an zuständiges FA Erlaubnis der nicht inländischen Steuerbehörde zum Datenzugriff durch deutsche Finanzbehörden (diese Anforderung soll gestrichen werden im JStG 2010 Nicht Inland und Nicht 1 Abs. 3 UStG Ablichtungen der aufbewahrungspflichtigen Unterlagen sind ausreichend Auslagerung ins Ausland Datenschutz 3.2 Sicherheitsanforderung an IT-gestützte Buchführungssysteme [1] Durch den Einsatz von IT ergeben sich nicht nur für den Bereich der Buchführung Risiken für die Datensicherheit. Sicherheitsrisiken ergeben sich insbesondere durch unberechtigte Zugriffe, Einsichtnahmen oder Änderungen (einschließlich der Löschung) von Daten sowie aus der mangelnden Verfügbarkeit von Daten oder IT-Systembestandteilen. [2] Aufgrund der eingesetzten Technologie kann die Beweiskraft und Nachvollziehbarkeit des Buchführungssystems nur gewährleistet werden, wenn diesen Sicherheitsrisiken im Rahmen der Einrichtung und des Betriebs des IT-gestützten Buchführungssystems Rechnung getragen wird.

16 [3] Für die Umsetzung und Einhaltung der GoB bedeutet dies, dass sowohl organisatorische Regelungen zu treffen als auch technische Maßnahmen zu ergreifen sind, die die eine hinreichende Sicherheit des IT-gestützten Buchführungssystems gewährleisten. Deren Einhaltung ist durch ein wirksames IKS zu überwachen. Formulierung auf Hinweis der Finanzverwaltung geändert [4] Hierzu hat der Buchführungspflichtige ein Konzept zu entwickeln, zu dokumentieren und umzusetzen. Die Gesamtheit der erforderlichen Regelungen und Maßnahmen, die aus den festgestellten Sicherheitsrisiken zur Einhaltung der IT-Sicherheit abgeleitet werden, bilden das IT-Sicherheitskonzept. Finanzverwaltung fordert Ergänzung um den Aufbewahrungspflichtigen. S.o. [5] Der Buchführungspflichtige muss daher bei der Erarbeitung und Umsetzung eines IT- Sicherheitskonzepts berücksichtigen, dass eine hinreichende IT-Sicherheit nur dann gewährleistet werden kann, wenn er ein Verständnis davon besitzt, welche IT-Risiken aufgrund der konkreten Ausgestaltung seines IT-Systems bestehen und was, wogegen, wie lange und wie zu sichern bzw. zu schützen ist. Für das IT-gestützte Buchführungssystem bedeutet dies, dass ein Schutz der Prozesse und Daten gegen unberechtigte Eingabe, Einsichtnahme, Änderung/Verfälschung notwendig ist zu erfolgen hat und einer Beeinträchtigung der Verfügbarkeit des IT-Buchführungssystems aufgrund von internen und externen Störungen entgegenzuwirken ist. Finanzverwaltung fordert Ergänzung um den Aufbewahrungspflichtigen. S.o. Finanzverwaltung fordert die Streichung des Teilsatzes wenn er ein Verständnis davon besitzt, welche IT-Risiken aufgrund der konkreten Ausgestaltung seines IT-Systems bestehen und was, wogegen, wie lange und wie zu sichern bzw. zu schützen ist. und schlägt stattdessen vor wenn ihm bewusst und klar ist, welche Risiken bestehen und wie er sie ausschließen kann. [6] Für den einen hinreichenden Schutz des IT-gestützten Buchführungssystems ist insbesondere notwendig, dass die Daten, Hard- und Software vollständig und wie geplant zur Verfügung stehen und vor Manipulation und ungewollten oder unvollständigen Änderungen geschützt sind. Die Ordnungsmäßigkeit der IT-gestützten Buchführung erfordert, dass neben den Daten auch die Hard- und Software nur in einem festgelegten Zustand eingesetzt wird und nur autorisierte Änderungen zugelassen werden, nur im Voraus festgelegte Personen auf Daten, Hard- und Software zugreifen können (autorisierte Personen), und dass nur sie die im Zusammenhang mit dem IT-gestützten Buchführungssystem definierten Rechte wahrnehmen können. Diese Rechte betreffen das Lesen, Anlegen, Ändern und Löschen von Daten oder die Administration eines ITgestützten Buchführungssystems. Dadurch soll sichergestellt werden, dass ausschließlich autorisierte genehmigte Abbildungen von Geschäftsvorfällen im System vorgenommen werden, die Zuordnungsfähigkeit von Geschäftsvorfällen zu einer autorisierenden Person besteht. Dies kann beispielsweise über Berechtigungsverfahren geschehen. Dabei ist zu berücksichtigen, dass die Kompetenz für eine Autorisierung nicht automatisch mit einer technischen Berechtigung, z. B. in Form des Systemzugangs verbunden ist. Hieraus können weitere Sicherheitsrisiken resultieren.

17 Änderungen und Löschungen sind dabei nach den allgemeinen Grundsätzen nur von noch nichtautorisierten Daten zulässig. Formulierungen auf Hinweis der Finanzverwaltung geändert. Ergänzung bzw. Klarstellung zum Ändern/Löschen auf Hinweis der Finanzverwaltung eingefügt. [7] Daten, Hard- und Software sowie die für den IT-Betrieb erforderliche Organisation müssen in angemessener Zeit funktionsfähig bereitstehen. Dies bedeutet, dass der ganze, teilweise oder vorübergehende Ausfall von IT-Bestandteilen den Buchführungspflichtigen nicht von der Aufrechterhaltung der Verfügbarkeit des IT-gestützten Buchführungssystems entbindet. Dasselbe gilt für die Vollständigkeit und Richtigkeit der gespeicherten Daten. Die Finanzverwaltung fordert, in angemessener Zeit durch unverzüglich zu ersetzen. Die Finanzverwaltung fordert die Ergänzung um und Aufzeichnungspflichtigen Der letzte Satz soll nach Auffassung der Finanzverwaltung umformuliert werden in Dasselbe gilt für die Vollständigkeit und Richtigkeit der aufbewahrungspflichtigen Unterlagen gespeicherten Daten. [8] Im Zusammenhang mit dem Einsatz von Hardware sind insbesondere die folgenden Sicherungsmaßnahmen umzusetzen und über den Zeitraum des Betriebs kontinuierlich aufrecht zu erhalten: die physischen Sicherungsmaßnahmen, logische Zugriffskontrollen, Datensicherungs- und Auslagerungsverfahren. [9] Zu den physischen Sicherungsmaßnahmen zählen bauliche Maßnahmen, Zutritts- und Zugangskontrollen, Feuerschutzmaßnahmen und Maßnahmen zur Sicherung der Stromversorgung, die zur Sicherung der Funktionsfähigkeit des Systems erforderlich sind. [10] Durch logische Zugriffskontrollen wie Benutzer-ID oder Passwörter ist die Identität der Benutzer von IT-Systemen eindeutig feststellbar, wodurch nicht autorisierte Zugriffe verhindert werden können. Daher sind beispielsweise die Einrichtung, Änderung und Entziehung sowie die Sperrung von Berechtigungen, die Protokollierung aller Aktivitäten im Bereich der Berechtigungsverwaltung, die Gestaltung des Passwortes (z. B. hinsichtlich Mindestlänge und Ablaufdatum) und die Festlegung von aufgabenbezogenen Berechtigungsprofilen umzusetzen.

18 Auftragsdatenverarbeitung nur als Hilfsfunktion erlaubt für Erhebung Verarbeitung Nutzung nur nach Weisung des Auftraggebers; 11 Abs 3 BDSG Grenzüberschreitende Datenübermittlung BRD => EU Land BRD => Drittland Cloud Archiving steuerrechtliche Anforderungen Steuerrelevante Daten dürfen nur im Geltungsbereich der AO aufbewahrt werden Die Anwender kennen i.d.r. den Aufbewahrungsort nicht

19 EU Drittländer Datenschutzrecht EU worldwide genehmigungspflichtig gilt als Übermittlung personenbezogener Daten ins Ausland; 4b und 4c BDSG ausreichende Garantien zum Schutz der Persönlichkeitsrechte werden verlangt Vertragsklauseln Standardverträge I und II der EU Kommission Binding corporate rules verbindliche Unternehmensregelungen Zertifizierung nach "safe Harbor criteria" Abgabenordnung AO ausnahmsweise Bewilligung nur, wenn Besteuerung im Inland nicht beeinträchtigt wird Bundesdatenschutzgesetz BDSG s Ordnungsmässigkeit Pflicht Integrität und Wiederauffindbarkeit Zugriffe Z1 Z3 Beweis Zugriffshinderungen Virenabwehr Spamfilter Arbeitsrecht Archiv Varianten Alles regelbasierte Teilmenge Selektion

20 System vs. Dateiablage Ausdruck von steuerrelevanten mails 2.5 D: 14 Abs. 3 UStG 2.6 GoBS GoBIT 5 Aufbewahrung 5.1 Gesetzliche Aufbewahrungspflichten [1] IT-gestützte Buchführungssysteme Buchführungen, die sich auf den Einsatz von IT stützen, unterliegen in gleichem Maße wie herkömmliche eine nicht IT-gestützte Buchführungen den handels- und steuerrechtlichen Aufbewahrungsvorschriften (insbesondere 257 HGB, 146 II, 147 AO und 14b II UStG mit teilweise weitergehenden Aufbewahrungserfordernissen). Dies gilt unabhängig von der Art der Datenträger sowohl für die Aufbewahrung der erforderlichen Unterlagen innerhalb der genutzten Buchführungssysteme, als auch für eine Aufbewahrung in gesonderten, separat geführten Archivsystemen. Änderungen auf Hinweis der Finanzverwaltung aufgenommen. Dient der einheitlichen Begriffsverwendung. [2] Die Aufbewahrungsfristen richten sich u. a. nach 257 IV HGB und 147 III AO. Ergänzung auf Hinweis der Finanzverwaltung aufgenommen. [3] Die Aufbewahrungsfrist beginnt mit dem Schluss Ablauf des Kalenderjahres, in dem die letzte Eintragung in das Buch gemacht, das Inventar, die Eröffnungsbilanz, der Jahresabschluss oder der Lagebericht aufgestellt, der Handels- oder Geschäftsbrief empfangen oder abgesandt worden oder der Buchungsbeleg entstanden ist, ferner die Aufzeichnung vorgenommen worden ist oder die sonstigen Unterlagen entstanden sind. In der Regel wird somit die Aufbewahrungsfrist mit Ablauf des Kalenderjahres zu laufen beginnen, in dem die Jahresabschlussarbeiten eines jeden Wirtschaftsjahres beendet werden. Die zutreffende Einhaltung der gesetzlichen Vorschriften führt damit tatsächlich zu einer längeren Aufbewahrungsdauer, regelmäßig länger als die in 257 IV HGB und 147 III AO genannten Jahre. Nach 147 III AO endet die Aufbewahrungsfrist nicht, solange die Festsetzungsfrist nicht abgelaufen ist. Absatz geändert auf Forderung der Finanzverwaltung (danach wurde Satz 1 an den Gesetzestext angepasst, Satz 2 als inhaltlich falsch gehalten und Satz 3 als unzulässige Verkürzung des Gesetzestextes gesehen). Formulierung vorher: Die Aufbewahrungsfrist beginnt mit dem Ablauf des Kalenderjahres, in dem die letzte Eintragung in das Buch gemacht, das Inventar, die Eröffnungsbilanz, der Jahresabschluss oder der Lagebericht aufgestellt, der Handels- oder Geschäftsbrief empfangen oder abgesandt worden oder der Buchungsbeleg entstanden ist. In der Regel wird somit die Aufbewahrungsfrist mit Ablauf des Kalenderjahres zu laufen beginnen, in der die Jahresabschlussarbeiten eines jeden Wirtschaftsjahres beendet werden. Die Aufbewahrungsfristen sind damit regelmäßig länger als die in 257 IV HGB und 147 III AO genannten. Nach 147 III AO endet die Aufbewahrungsfrist nicht, solange die Festsetzungsfrist nicht abgelaufen ist.

21 [4] Nach dem HGB ist grundsätzlich kein bestimmter Aufbewahrungsort vorgeschrieben, solange ein jederzeitiger Überblick über die Geschäftsvorfälle möglich ist. Das kann auch eine Aufbewahrung an einem weit entfernten Ort mit Zugriffsmöglichkeit über ein vorhandenes IT-Netzwerk einschließen. Gemäß 146 II AO sind alle Bücher und die sonst erforderlichen Aufzeichnungen Unterlagen grundsätzlich im Inland zu führen und aufzubewahren vorzuhalten. Dies bezieht sich insbesondere auch auf digital geführte Unterlagen. In 146 II a AO wird nach schriftlichem Antrag des Steuerpflichtigen auf Bewilligung durch die für ihn zuständige inländische Finanzbehörde unter bestimmten Voraussetzungen das Führen und Aufbewahren der elektronischen Bücher und der sonstigen erforderlichen elektronischen Aufzeichnungen im Ausland zugelassen. 5.2 Aufbewahrungsumfang [1] Zu den aufbewahrungspflichtigen Unterlagen gehören neben den Unterlagen bzw. Daten mit Belegfunktion und den sonstigen Aufzeichnungen mit Grundbuch- oder Kontenfunktion auch die zum Verständnis der Buchführung erforderlichen Unterlagen, insbesondere Arbeitsanweisungen und sonstige Organisationsunterlagen gem. 257 I Nr. 1 HGB bzw. 147 I Nr. 1 AO. Die Finanzverwaltung fordert die Streichung dieses Absatzes mit dem Hinweis, dass sich die aufbewahrungspflichtigen Unterlagen aus 257 I HGB bzw. 147 I AO ergeben. [2] Die Verfahrensdokumentation gehört zu den Arbeitsanweisungen und sonstigen Organisationsunterlagen i. S. d. 257 I Nr. 1 HGB bzw. 147 I Nr. 1 AO. Die Aufbewahrungsfrist für die Verfahrensdokumentation beginnt unter Berücksichtigung der jeweiligen Versionierung mit dem Schluss des Kalenderjahres, in dem die jeweilige Version der Verfahrensdokumentation auf die ITgestützte Buchführung letztmalig Anwendung findet. Die Finanzverwaltung fordert die Streichung von Satz 2 mit dem Hinweis, dass dieser inhaltlich falsch sei, weil sich die Aufbewahrungsdauer nach den zu Grunde liegenden aufbewahrungspflichtigen Unterlagen richte. [3] Beim Einsatz von Individualsoftware sind über die Anwenderdokumentation hinaus auch der Quellcode und die technische Systemdokumentation aufbewahrungspflichtig. Beim Einsatz von Standardsoftware liegen dem Anwender im Regelfall keine Programm- Quellcodes und gegebenenfalls auch keine technische Systemdokumentation vor. Hier sind in jedem Fall die mit der Standardsoftware ausgelieferten Programmbeschreibungen, aus denen der Leistungsumfang der Software hervorgeht, aufzubewahren. Ferner sollte der Anwender mit dem Softwarelieferanten vereinbaren, dass er oder ein neutraler Dritter während der Dauer der Aufbewahrungsfrist Zugriff auf die technische Systemdokumentation oder die Programm-Quellcodes hat. Die Finanzverwaltung fordert die Streichung von Satz 2 und stattdessen eine Formulierung in folgender Weise: Auch bei fremd erworbener Software, bei der die Dokumentation vom Softwarehersteller angefertigt wird, ist der Buchführungspflichtige für die Vollständigkeit, den Informationsgehalt und die Aufbewahrung der Verfahrensdokumentation verantwortlich. Er ist deshalb auch dafür verantwortlich, dass im Bedarfsfalle die Teile der Verfahrensdokumentation eingesehen werden können, die ihm nicht ausgehändigt worden sind. Daher sollte der Anwender mit dem Softwarelieferanten vereinbaren, dass er oder ein neutraler Dritter während der Dauer der Aufbewahrungsfrist Zugriff auf die technische Systemdokumentation oder die Programm-Quellcodes hat. [4] Unternehmensspezifische Einstellungen, und Anpassungen und Ergänzungen, softwareseitige Parametrisierungen und Änderungen in Tabellen und Stammdaten, die für die Verarbeitung von Daten innerhalb des IT-gestützten Buchführungssystems der