White Paper. White Paper: Revisionssichere -Archivierung im Kontext von Enterprise Content Management (ECM)

Transkript

1 Technology Services GmbH, Geschäftsstelle Norderstedt, Bornbarch 9, D Norderstedt Tel , Fax -111, White Paper White Paper: Revisionssichere -Archivierung im Kontext von Enterprise Content Management (ECM) Pixelpark Technology Services GmbH Oliver Krüger, Business Development Norderstedt, März 2007 Pixelpark Technology Services GmbH ist ein Unternehmen der Pixelpark-Gruppe. Rechnungsanschrift: Pixelpark Technology Services GmbH, Rotherstraße 8, D Berlin, Geschäftsführer: Carsten Brambach, Axel Reibe, Amtsgericht Charlottenburg: HRB 71405, Deutsche Bank AG, BLZ , KTO , Steuer-Nr. 37/140/22521, USt-Id.-Nr.: DE

2 Inhaltsverzeichnis 1 Einleitung 3 2 Juristische, regulatorische und organisatorische Motive und Hintergründe 4 3 Anforderungen an revisionssichere Archivierungsverfahren 9 4 Strukturierte versus unstrukturierte Informationen 12 5 Von -Archivierung zu Enterprise Content Management 15 6 Enterprise Content Management: Markt und Hersteller 19 7 Erste Schritte zur Einführung von Archivierungs- und Enterprise Content Management-Systemen 21 8 Unternehmerische Verantwortung 21 9 Fazit 21 Pixelpark Technology Services GmbH, 2007 Seite 2/30

3 1 Einleitung Durch die vielfachen Vorteile der elektronischen Kommunikation hält die als präferiertes Kommunikationsmedium Einzug in immer mehr Geschäftsprozesse. Durch die im Zusammenhang mit digitalen Signaturen festzustellende Gleichstellung gegenüber traditionellen Medien wie Brief und Fax erfährt sie jedoch auch als Geschäftsdokument Aufwertung. Damit verbunden ist die Notwendigkeit zum disziplinierten zweckmäßigen Einsatz genauso wie die ordnungsgemäße Verwaltung und Verwahrung als in den Inhalten bindendes Dokument. ist jedoch gleichzeitig ein allgemein zugängliches und nahezu selbstverständliches Kommunikationsmedium geworden, dessen intensiver und wahlfreier Einsatz im privaten und im unternehmerischen Umfeld nicht mehr ausgeschlossen werden kann. Die leichte Verfügbarkeit und die vielfältigen technischen Möglichkeiten, beliebige Inhalte in ansprechender Form zu kommunizieren, führen zu einem kaum noch zu kontrollierenden -Verkehr. Unternehmen müssen in der Lage sein, unternehmerisch relevante Informationen zu erkennen und als solche identifizierte s der unternehmerischen Sorgfaltspflicht entsprechend aufzubewahren. Das vorliegende White Paper versucht darzustellen, aus welchen Gründen Unternehmen sich gezwungen fühlen, technische Konzepte und effiziente Prozesse zur Archivierung elektronischer Kommunikation einzuführen. Es soll gezeigt werden, dass die Vorgaben, die zur Archivierungspflicht von s führen, weit über das Medium hinweg reichen und dass die viel und gern zitierten nationalen oder regulatorischen Vorgaben die Archivierung nahezu jeder elektronischen Information erfordern. Die Archivierung von s soll als eine Teildisziplin der unternehmensweiten Verwaltung digitaler Informationen angesehen werden. Hierfür hat sich in der IT der Begriff Enterprise Content Management etabliert, während im juristisch-formalen Kontext von Records Management gesprochen wird. Das White Paper kann dabei keine konkrete Empfehlung für die Implementierung einer Vorgehensweise oder einer technischen Plattform geben. Vielmehr will es sensibilisieren, Archivierungsprojekte nicht aus technisch-organisatorischer Sicht der IT, sondern aus Sicht der Unternehmensführung zu betrachten und aus dieser Perspektive die Fragen zu stellen, die zu einer hinreichend strukturierten Vorgehensweise beitragen können. Pixelpark Technology Services GmbH, 2007 Seite 3/30

4 2 Juristische, regulatorische und organisatorische Motive und Hintergründe Unabhängig von der Art des Mediums existieren eine Reihe von Umständen und Gründen, die die Archivierungswürdigkeit eines Inhaltes in seiner spezifischen Form begründen. Die IT-Konzepte, die hierbei aus rechtlicher und vertraglicher Sicht durch die Geschäftsführung umgesetzt werden müssen, werden unter dem Begriff IT-Compliance zusammengefasst. IT-Compliance ist dabei ein Teilaspekt der IT-Governance, die den Begriff um Führung und Kontrolle in den Bereichen Geschäftsprozesse, Controlling, Management erweitert. In der Diskussion in Deutschland wird dabei vornehmlich auf folgende Gesetze verwiesen: Allgemeine Abgabenordnung (HGB AO) Grundsätze zum Datenzugriff und zur Prüfung digitaler Unterlagen (GDPdU) Grundsätze ordnungsgemäßer IT-gestützter Buchführungssysteme (GoBS) Weitere gesetzliche Vorgaben werden aber auch definiert durch: Umsatzsteuergesetz (UStG) Geldwäschegesetz (GwG) Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) Durch diese Ableitung aus den gesetzlichen Vorgaben ist die Identifizierung eines Inhaltes, der archiviert werden muss, innerhalb von Prozessen und rollenbasierten Zuständigkeiten noch eine relativ einfache Angelegenheit mit überschaubaren Dimensionen. So verlangen die Grundsätze zum Datenzugriff und zur Prüfung digitaler Unterlagen (GDPdU) z. B. lediglich den Zugriff auf digitale Informationen aus den Bereichen Finanzbuchhaltung, Anlagenbuchhaltung, Lohnbuchhaltung und sonstigen für die Erhebung von Steuern relevante Informationen. In vielen Fällen kann der Empfänger oder Bearbeiter einer Information daher selber entscheiden, ob der an ihn vermittelte oder durch ihn erstellte Inhalt archivierungspflichtig ist. Zudem gibt es die Möglichkeit, automatisierte Prozesse wie Rechnungserstellungen oder sonstige kaufmännische Buchungsvorgänge durch geeignete Workflow- Komponenten in die Lage zu versetzen, die durch sie erzeugten Dokumentenartefakte automatisch zu archivieren (siehe auch Ausführungen im Kapitel Strukturierte versus unstrukturierte Informationen ). Pixelpark Technology Services GmbH, 2007 Seite 4/30

5 Durch regulatorische Vorgaben entstehen jedoch gänzlich andere Verpflichtungen zur Archivierung. Seit 1999 wurde im Baseler Ausschuss für Bankenaufsicht ein neues Regelwerk der Eigenmittelbestimmung von Kreditinstituten diskutiert. Diese Neuregelung, bekannt unter dem Namen BASEL II, tritt in der EU mit Wirkung zum in Kraft. Hierbei verpflichten sich die Banken und Kreditinstitute zur Dokumentation einer Kreditund Rating-Historie für jeden Kreditnehmer über einen Zeitraum von fünf Jahren. Hierbei wird die Führung einer digitalen Kreditakte von den Instituten erwartet, die auch die Überführung von papierenen Dokumenten in eine digitale Daseinsform vorsieht. Ähnliches wird in der SEC Rule 17A-4 Electronic Records and Record Keeping der amerikanischen Börsenaufsicht erwartet: Jegliche Kommunikation im Zusammenhang mit Wertpapiergeschäften muss über einen Zeitraum von drei Jahren archiviert werden. Am weitest reichend muss der Sarbanes-Oxley-Act (SOX) angesehen werden, der nach einer Reihe von Bilanzskandalen die Berichtspflicht für Unternehmen, die an der US- Börse gelistet sind, drastisch erweiterte. Diese Berichtspflicht gilt auch für internationale Tochterunternehmen, Wirtschaftsprüfer und Wirtschaftsprüfergesellschaften. Die wesentlichen Implikationen an die Archivierung von Informationen dabei sind (SOX Sect. 302, 404): Alle an US-Börsen notierten Unternehmen müssen ihre Korrespondenz, elektronischen Dokumente und sonstigen Schriftverkehr zwischen den Unternehmen und den für die Revision verantwortlichen Prüfern über einen Zeitraum von fünf Jahren aufbewahren. Alle Dokumente sind möglichst an einer zentralen Stelle geschützt abzulegen. Die Unternehmensleitung hat jederzeit Zugriff auf Kopien oder Originale der Informationen. Sinn und Zweck dieser Forderungen ist, dass CEO und CFO eines börsennotierten Unternehmens durch den ihnen jederzeit möglichen Zugriff auf alle Informationen die Korrektheit der Quartalsergebnisse selber überprüfen und damit glaubwürdig schriftlich bestätigen können. Weitere regulatorische und juristische Anforderungen werden z. B. durch Food and Drug Administration Code of Federal Regulations Electronic Records & Electronic Signatures (FDA 21 CFR Part 11) Health Insurance Portability & Accountability Act (HIPPA) Markets in Financial Instruments Directive (MiFID) US-Department of Defence Design Criteria s Standard for Electronical Records Management Software Applications (DoD) Pixelpark Technology Services GmbH, 2007 Seite 5/30

6 definiert. Die Auswirkungen insbesondere auf Industrien mit Fertigungsprozessen sind immens. So müssen komplette Nachweise über Informationen, die zur Produktentwicklung geführt haben, über Zeiträume von bis zu 30 Jahren vorgehalten werden. Dies betrifft die Kommunikation mit Lieferanten und Kunden ebenso wie Fertigungsanleitungen, Arbeits- und Gebrauchsanweisungen. Die Bandbreite der möglicherweise damit verbundenen Informationen ist so groß, dass eine Selektion von Informationen nach archivierungspflichtig oder nichtarchivierungspflichtig nicht sinnvoll ist. Dies führt dazu, dass Unternehmen, die einer Berichtspflicht nach SOX, Basel II oder anderen unterliegen, nahezu sämtliche Informationen archivieren. Im Zusammenhang mit neuen Kommunikationsformen wie Instant Messaging, Chatting oder auch Web-Mail ist die Menge der zu überwachenden Medien und Inhalten unüberschaubar geworden. Der Umstand, dass alles archiviert werden soll, produziert neben der immensen Datenfülle eine Reihe von technischen Problemen, die nicht immer trivial sind und für die es deutlich unterschiedlich effiziente Lösungsansätze gibt. In der Regel sind sie mit nicht zu unterschätzenden Kosten verbunden. So hat das Marktforschungsunternehmen Gartner bereits im Dezember 2005 ein Anwachsen der IT-Budgets von durchschnittlich 5,5 Prozent angenommen, bei Forrester waren es immerhin 7 Prozent. Beiden Studien ist gemein, das dort steigende Anteile von bis zu 15% (allein im Zusammenhang mit SOX) am Gesamtbudget für Compliance-Themen ausgewiesen sind 1. Auch in der im Dezember 2006 neu veröffentlichten Studie kommt Gartner zu einem ähnlich hohen Investitionsanteil (und verwirft ganz nebenbei - alle vorherigen Prognosen bzgl. des Wachstums der IT-Budgets). Neben diesen Zwangsmaßnahmen die nur vermeidbar sind, wenn man sich aus dem Marktgeschehen zurückzöge gibt es jedoch auch gute, organisatorische Gründe, Daten zu archivieren. Unternehmen, die sich zur Dokumentation ihrer Qualität nach Standards wie ISO 9000, ISO 9001, ISO 9004, ISO haben zertifizieren lassen, müssen in einem letztlich selbst gewählten Umfang ihre Prozesse im Rahmen ihres Qualitätsmanagements dokumentieren. Hierzu gehört auch die Archivierung von Informationen, die während der Prozesse anfallen oder zu deren Steuerung benötigt werden. Archivierungsmaßnahmen, die lediglich aus diesem Kontext abgeleitet werden, müssen jedoch nicht als revisionswürdig im Sinne geltender Gesetze angesehen werden. 1 Ausführlichere Informationen sind unter zu finden. Pixelpark Technology Services GmbH, 2007 Seite 6/30

7 Alle Archivierungsbemühungen müssen wechselseitig im Einklang mit Datenschutzrichtlinien stehen, die in Deutschland z. B. im Bundesdatenschutzgesetz (BDSG) Telekommunikationsgesetz (TKG) verankert sind. Zudem müssen die Maßnahmen im Einklang mit Betriebsvereinbarungen und dem Anspruch auf die Wahrung von Persönlichkeitsrechten stehen. Verletzungen des Bundesdatenschutzgesetzes z. B. können dabei streng geahndet werden. Der Gesetzgeber sieht Geldstrafen von bis zu für den unsachgemäßen Umgang mit persönlichkeitsbezogenen Daten vor. Eine grundsätzliche, unreflektierte Archivierung jeglicher Kommunikation verbietet sich somit. Zu guter Letzt dienen Archivierungsprojekte auch der kostengünstigen Speicherung von nicht notwendigerweise zeitaktuellen oder unternehmenskritischen Informationen. Hierbei ist die Aufgabe der Archivierung nicht die der Dokumentation geschäftsmäßigen Vorgehens, sondern eine Möglichkeit, der Datenflut und der zu ihrer Aufnahme benötigten Kapazitäten Herr zu werden. Daten zu archivieren bedeutet, sie nach unternehmensinternen Regelwerken von einem physikalischen Medium auf ein anderes zu übertragen. Dabei spielen Kostenaspekte eine sehr zentrale Rolle. Daten werden in der Regel von schnellen, teuren Online-Speichern (z. B. Festplatten im SAN) auf langsamere, billigere und hoch kapazitive Speichermedien (z. B. Bandlaufwerke in geeigneten Tape Libraries) übertragen. Es würde jedoch ein falsches Licht auf die Produzenten von Archivierungslösungen werfen, würden sie ihre Existenz nur auf regulatorische und juristische Ängste ihrer Kunden gründen. Vielmehr sind es Hoffnungen auf Verbesserung der Kostenstruktur und Effizienzsteigerungen, die in vielen Unternehmen die Motivation antreiben, Lösungen für die Verwaltung digitaler Informationen zu etablieren und sie in bestehende IT- Landschaften und Workflows zu integrieren. Nach einer Studie des Systemhauses ORGA 2 werden geeignete Lösungen im Wesentlichen mit der Hoffnung auf Kostenvorteile eingeführt. 72 Prozent aller befragten Unternehmen, die solche Lösungen bereits im Einsatz haben, sehen klare Ersparnisse. Die Unternehmen, die die Einführung von Compliance-Technologien als vorrangiges Argument für die Implementierung von Technologien zur Verwaltung digitaler Informationen angeben, sind eher unterrepräsentiert (21 Prozent). 2 ORGA Studie ECM gewinnt weiter an Bedeutung, siehe Pixelpark Technology Services GmbH, 2007 Seite 7/30

8 Abbildung 1: Erwartung/Zufriedenheit im ECM-Bereich, Quelle: ORGA Pixelpark Technology Services GmbH, 2007 Seite 8/30

9 3 Anforderungen an revisionssichere Archivierungsverfahren Die qualitativen Anforderungen an eine revisionssichere Archivierung unterscheiden sich je nach nationaler Gesetzgebung oder Regulationswerk, das die Archivierung vorschreibt. Vor einer Implementierung eines Archivierungssystems sollte daher ausreichend geprüft werden, wie sich die Anforderungen konkret zusammensetzen, die für das eigene Unternehmen zu berücksichtigen sind. In Deutschland wird unter einer revisionssicheren Archivierung ein Archivsystem verstanden, das nach den Vorgaben der Allgemeinen Abgabenordnung (HGB AO) und den Grundsätzen ordnungsgemäßer IT-gestützter Buchführungssysteme (GoBS) Daten und Dokumente sicher, unverändert, vollständig, ordnungsgemäß, verlustfrei reproduzierbar und datenbankgestützt recherchierbar verwalten kann. Aufgrund der Bezugnahme auf eine datenbankgestützte Auswertung sind klassische, papierene Archivsysteme als nicht revisionssicher anzusehen. Dies trifft ganz besonders auf digital signierte s mit ihren vielfältigen technischen Möglichkeiten zu. In der Europäischen Union hat das Document Lifecycle Management (DLM-) Forum der Europäischen Kommission durch das Papier Model Requirements for the Management of Electronic Records (MoReq) den Ansatz begründet, nicht nur den Begriff, sondern auch die Vorgehensweise exemplarisch zu beschreiben. Hierbei wurde jedoch eher ein Leitfaden statt eines verbindlich umzusetzenden Verfahrens postuliert. Detaillierter ist die ISO Norm (Information, Documentation - Records Management), die im ersten Teil allgemeine Bedingungen und Funktionen der Verwaltung von Dokumenten vorgibt, im zweiten Teil konkrete Empfehlungen zur technischen Umsetzung der Einhaltung der Qualitätsnormen ausformuliert. Die Definition der revisionssicheren Archivierung im unternehmerischen Kontext in Deutschland beschränkt sich auf Systeme, die aufbewahrungspflichtige Informationen speichern, die unter das Handelsgesetz und seit 2002 unter die Steuergesetzgebung fallen. Für den öffentlichen Bereich wurde mit dem Konzept Dokumenten-Management und Elektronische Archivierung (DOMEA) ein eigenständiges Organisationskonzept und Anforderungskatalog durch die Koordinierungs- und Beratungsstelle der Bundesregierung für Informationstechnik (KBSt) geschaffen. Diesem behördeninternen Standard müssen Archivsysteme entsprechen, wenn sie im öffentlichen Dienst als revisionssichere Archivierungssysteme anerkannt werden wollen. Eine revisionssichere Archivierung muss den gesetzlichen Aufbewahrungspflichten entsprechen, die für die meisten kaufmännisch relevanten Daten und Dokumente eine Aufbewahrungsfrist von 10 Jahren vorsieht. Durch regulatorische oder branchenspezifische Vorgaben können jedoch durchaus längere Pixelpark Technology Services GmbH, 2007 Seite 9/30

10 Aufbewahrungszeiträume gefordert werden. Zeiträume von 30 Jahren oder mehr sind keine Seltenheit. Diese Zeiträume liegen weit jenseits der heute bekannten Lebenszeiten von IT-Komponenten und datenspeichernden Medien. Daher muss der unter Umständen mehrmalige, komplette Ersatz der grundlegenden Systeme nicht nur als Möglichkeit, sondern als Zwang innerhalb eines Archivierungsprojekts sowohl konzeptionell als auch technisch berücksichtigt werden. Weitere Erfüllungsmerkmale, die die Allgemeine Abgabenordnung (HGB AO) an eine revisionssichere Archivierung - und dies unabhängig von ihrer technischen Plattform stellt, sind: Ordnungsmäßigkeit Nachvollziehbarkeit Prüfbarkeit mit Hilfe elektronischer Verfahren Schutz vor Veränderung und Verfälschung Nutzung nur durch berechtigte Anwender und bei begründeten Anlässen Sicherung vor Verlust Einhaltung der Aufbewahrungsfristen Dokumentation des Archivierungsverfahrens Auch hier muss angemerkt werden, dass der Gesetzesgeber qualitative Vorgaben macht, die technischen Implementation jedoch dem Anwender überlässt. Eine leitfadenartige Orientierungshilfe bilden die Grundsätze ordnungsgemäßer ITgestützter Buchführungssysteme (GoBS), die explizit auf die verschiedenen Verfahren der Scan- und Datenerfassung, auf Sicherheitsanforderungen und die Verfahrensdokumentation zur Nachvollziehbarkeit und Prüfbarkeit eingeht. Diesen Vorgaben folgend hat der Verband Organisations- und Informationssysteme e.v. (VOI), eine Interessenvertretung nationaler Hersteller von Enterprise-Content- Management- (ECM) und Dokumenten-Management-Systemen (DMS), in seinen Grundsätzen der Verfahrensdokumentation nach GoBS die wichtigsten 10 Merksätze zur revisionssicheren, elektronischen Archivierung zusammengestellt: 1. Jedes Dokument muss unveränderbar archiviert werden. 2. Es darf kein Dokument auf dem Weg ins Archiv oder im Archiv selbst verloren gehen. 3. Jedes Dokument muss mit geeigneten Retrieval-Techniken wieder auffindbar sein. Pixelpark Technology Services GmbH, 2007 Seite 10/30

11 4. Es muss genau das Dokument wieder gefunden werden, das gesucht worden ist. 5. Kein Dokument darf während seiner vorgesehenen Lebenszeit zerstört werden können. 6. Jedes Dokument muss in genau der gleichen Form, wie es erfasst wurde, wieder angezeigt und gedruckt werden können. 7. Jedes Dokument muss zeitnah wieder gefunden werden können. 8. Alle Aktionen im Archiv, die Veränderungen in der Organisation und Struktur bewirken, sind derart zu protokollieren, dass die Wiederherstellung des ursprünglichen Zustandes möglich ist. 9. Elektronische Archive sind so auszulegen, dass eine Migration auf neue Plattformen, Medien, Softwareversionen und Komponenten ohne Informationsverlust möglich ist. 10. Das System muss dem Anwender die Möglichkeit bieten, die gesetzlichen Bestimmungen sowie die betrieblichen Bestimmungen des Anwenders hinsichtlich Datensicherheit und Datenschutz über die Lebensdauer des Archivs sicherzustellen. Der deutsche Gesetzgeber definiert (bisher) nicht, ob archivierte Informationen nach Ablauf der Lebenszeit gelöscht werden müssen die technische Möglichkeit ist jedoch vorzusehen. Es ist jedoch anzunehmen, dass zumindest Datenschutzrichtlinien insoweit wirksam sein könnten, dass nach Ablauf der Aufbewahrungsfristen die archivierten Informationen aus dem Archiv unwiderruflich zu löschen sein werden. Dies hat Auswirkungen auf die technische Plattform, die zur Archivierung genutzt werden soll. Damit bekommt jedes Dokument eine echte Lebenszeit und der im Augenblick moderne (Marketing-)Begriff des Information Lifecycle Managements (ILM) ist erklärt. Pixelpark Technology Services GmbH, 2007 Seite 11/30

12 4 Strukturierte versus unstrukturierte Informationen Während es für strukturierte Daten, wie sie z. B. in kaufmännischen Anwendungen anfallen, Standards für die Archivierung gibt, sind insbesondere unstrukturierte Daten schwer in den Griff zu kriegen. Hersteller wie SAP bieten für ihre Lösungen elegante und der aktuellen Gesetzgebung genügende Schnittstellen zum Datenexport an, die leicht mit Archiv-Systemen verknüpft werden können. So ist die revisionssichere Archivierung von Stamm- oder Bewegungsdaten der Module Finanz- und Anlagenbuchhaltung (FI, FI-AA), Controlling (CO), Materialwirtschaft (MM), Vertrieb (SD), Treasury (TR) und neuerdings auch der Reisekostenabrechnung (TM) und Immobilienwirtschaft (RE) durch das von SAP der aktuellen Gesetzgebung angepasste Data Retention Tool (DART) problemlos möglich. Hierbei wurde nicht nur Wert darauf gelegt, dass die Daten als solche zuverlässig bereitgestellt werden können, sondern dass auch durch geeignete, unterstützende Implementierung von Rollenkonzepten (Transaktionsrollen, Berechtigungsrollen, Berechtigungsprofile) die Arbeit mit den benötigten Daten sowohl für den Anwender, aber auch für den Prüfer erhebliche Erleichterung erfährt. Daten aus Textverarbeitungs- und Tabellenkalkulationsprogrammen in Form von Briefen, Faxen, s, Memos entziehen sich jedoch den Integrationsbemühungen und müssen daher gesondert berücksichtigt werden. Was jedoch wie zu berücksichtigen ist, hängt sehr stark vom jeweiligen Regelwerk ab. So definieren z. B. die Grundsätze zum Datenzugriff und zur Prüfung digitaler Unterlagen (GDPdU) folgendes 3 : Originär digitale Unterlagen [..] sind auf maschinell verwertbaren Datenträgern zu archivieren. Originär digitale Unterlagen sind die in das Datenverarbeitungssystem in elektronischer Form eingehenden und die im Datenverarbeitungssystem erzeugten Daten; Als nicht ausreichend wird die Archivierung als Ausdruck oder als Mikrofilm-Kopie erachtet. Bei der Transformation in ein anderes Datenformat ist jedoch zu bedenken, dass die GDPdU an gleicher Stelle ebenfalls fordert: Nicht ausreichend ist die ausschließliche Archivierung in maschinell nicht auswertbaren Formaten (z. B. pdf-datei). 3 zitiert nach: Grundsätze zum Datenzugriff und zur Prüfung digitaler Unterlagen (GDPdU), BMF-Scheiben vom IV D2 S /01, Kapitel III. Archivierung digitaler Unterlagen ) Pixelpark Technology Services GmbH, 2007 Seite 12/30

13 Anschließend findet man dann jedoch diesen Ausdruck interpretativer Freiheit: Eine Pflicht zur Archivierung einer Unterlage [...] in maschinell auswertbarer Form [...] besteht nicht, wenn diese Unterlage zwar DV-gestützt erstellt wurde, sie aber nicht zur Weiterverarbeitung in einem DV-gestützten Buchführungssystem geeignet ist (z. B. Textdokumente). Es ist zu beachten, dass diese Freiheit in alternativen Compliance-Forderungen explizit nicht besteht. Technische Aspekte, die bei der Archivierung von unstrukturierten Informationen besonders berücksichtigt werden müssen, sind also (der bereits bekannten Liste folgend): Jedes Dokument muss mit geeigneten Retrieval-Techniken wieder auffindbar sein. Konsequenz: Jegliches Datenformat muss durchsuchbar sein. Dies betrifft nicht nur die üblichen Verdächtigen wie s, PDFs, Office-Dokumente, sondern genauso Konstruktionszeichnungen, Webcast-Mitschnitte oder Preis- und Produktbeschreibungen auf B2B-Portalen. Dies macht die sachliche Verschlagwortung von Inhalten notwendig, da Automatismen und Suchtechniken nicht wirklich funktionieren. Bitte bedenken: Dies gilt auch für verschlüsselte und kennwort-geschützte Daten. So wird z. B. im Schreiben des BMF zur GDPdU vom im Kapitel II. Prüfbarkeit digitaler Unterlagen ausführlich dargestellt, was neben der Archivierung der Inhalte für die Verwaltung kennwortgeschützter und verschlüsselter Dokumente gewährleistet werden muss. Es muss genau das Dokument wieder gefunden werden, das gesucht worden ist. Konsequenz: Nicht nur der Inhalt, sondern auch der Kontext der Entstehung der Information muss bei der Archivierung angemessen erfasst werden. So ist z. B. im Kontext der -Archivierung zwischen privaten und unternehmensrelevanten s sicher zu unterscheiden. Jedes Dokument muss in genau der gleichen Form, wie es erfasst wurde, wieder angezeigt und gedruckt werden können. Konsequenz: Halten Sie Ihre Systeme und Programme am Leben. Im Gegensatz zu strukturierten Daten, die einen logischen Export gestatten und Pixelpark Technology Services GmbH, 2007 Seite 13/30

14 dabei Auskunft in lesbarer Darstellung geben, sind unstrukturierte Informationen vielfach an spezifische Anzeigeprogramme gebunden. Versuchen Sie die Vielzahl an Medienformaten zu begrenzen und orientieren Sie sich an langlebigen, international anerkannten und in der Industrie etablierten Formaten. Achten Sie dabei darauf, dass beim Ausdrucken der Informationen alle Informationen erhalten bleiben, z. B. dass eine rot gekennzeichnete negative Zahl auf dem Ausdruck mit einem negativen Vorzeichen erscheint. Gleiches gilt für Stempel, Unterschriften etc. Jedes Dokument muss zeitnah wieder gefunden werden können. Konsequenz: Die Geduld eines Prüfers ist eine endliche Größe. Sorgen Sie bei der Auswahl Ihrer Archivierungslösung dafür, dass sie nicht über Gebühr strapaziert wird. Das BMF hat in seinen Erläuterungen zu den GDPdU dargelegt, dass ein geeignetes Archivsystem in quantitativer und qualitativer Hinsicht die gleichen Auswertungen ermöglicht als wären die Daten (einschl. Auswertungstools) noch im Produktivsystem. Dies betrifft auch die Zeit, die für das Wiederfinden eines Dokumentes als zumutbar angesehen werden kann. Last but not least: Elektronische Archive sind so auszulegen, dass eine Migration auf neue Plattformen, Medien, Softwareversionen und Komponenten ohne Informationsverlust möglich ist. Konsequenz: Strukturierte Informationen können leicht als ASCII- oder XML- Dateien gespeichert und von einem System in ein anderes übertragen werden. Bei unstrukturierten Daten ist das grundsätzlich nicht möglich. Auch wenn sich die Daten nicht ändern dürfen, die für ihre Archivierung notwendige Infrastruktur wird es alle paar Jahre tun. Berücksichtigen Sie dies ebenfalls bei der Auswahl Ihrer elektronischen Archivlösung. Pixelpark Technology Services GmbH, 2007 Seite 14/30

15 5 Von -Archivierung zu Enterprise Content Management Durch die Vielfalt der juristischen und regulatorischen Vorgaben bleibt eigentlich kein Unternehmen von Archivierungszwängen unverschont. Obwohl sich der Zwang durch nationale Rechtsprechung spätestens seit Anfang 2002 deutlich verstärkt hat, wird das Thema vielfach noch gern vernachlässigt. Oder wie derzeit festzustellen, nur auf bestimmte Aspekte, insbesondere im Bereich der elektronischen Kommunikation per E- Mail, fokussiert. Für die reine Archivierung von s gibt es seit Jahren vielfältige Lösungen. Um die am Markt führenden Produkte der Hersteller IBM (Lotus Notes) und Microsoft (Exchange) haben sich ganze Ökosysteme gebildet, die sich ausschließlich den Sorgen und Nöten widmen, die aus dem Einsatz dieser Kommunikationsplattformen resultieren. Grundsätzlich kann man davon ausgehen, dass jeder namhafte Hersteller von softwareoder hardwarebasierten Speicherlösungen eine Middleware im Produktportfolio hat, die sich der Archivierung von s verschrieben hat. Wie gut sie dabei in das sonstige Produktportfolio des jeweiligen Anbieters integriert ist und inwieweit sie nur Teile der Fragestellung abdeckt, variiert sehr stark zwischen den Wettbewerbern. Die IBM-Archivierungssoftware Content Manager und die durch die KPMG zertifizierte Archivierungshardware IBM DR550 sind von IBM entwickelt und damit auf die gleichartige Nutzung und Integration in andere Produkte abgestimmt worden. Der Hersteller NetApp hat zwar ebenfalls zertifizierte Hardware für die Speicherung angenommener -Daten in seinem Produktportfolio, die für den Transport der Daten benötigte Lösung stammt jedoch wieder aus dem Hause Symantec. Zudem: Die Produkte bei Marktbegleitern sind durchaus als Ergebnis einer lebhaften Entwicklungsgeschichte zu betrachten. Symantecs Enterprise Vault wurde initial von KVS entwickelt, das Unternehmen und die Produkte an Veritas verkauft, diese sind wiederum von Symantec übernommen worden. EMCs DiskXtender wurde ursprünglich von OTG entwickelt und vermarktet, dann von Legato übernommen, Legato selbst wiederum wurde von EMC aufgekauft. Diese Art der Produkthistorie ist für den Bereich der Archivierungslösungen symptomatisch, die fehlende konsequente Integration in das Lösungsportfolio eine nahe liegende Konsequenz. Das alles ist jedoch kein ernsthafter Hinderungsgrund, wenn der Bedarf an Archivierungslösungen wirklich nur mit dem Aspekt verbunden ist. Dies dürfte jedoch wie inzwischen offensichtlich sein sollte in den wenigsten Unternehmen der Fall sein. Pixelpark Technology Services GmbH, 2007 Seite 15/30

16 Das Bemühen, neben kommerziellen Lösungen auch den Einsatz von Open-Source- Lösungen für die Archivierung von s in Erwägung zu ziehen, ist bislang wenig erfolgreich, da reine -Archivierungslösungen hier noch sehr dünn gesät sind (z. B. Open Source -Archive MailArchiva). Zudem dürfte die Vertrauenswürdigkeit der Lösung aus Sicht eines Wirtschaftsprüfers nicht notwendigerweise immer gegeben sein, da die Verfügbarkeit und Weiterentwicklung der jeweiligen Produkte in Frage zu stellen ist. Als Alternative gibt es kostenattraktive Lösungen, die das Thema -Archivierung durch Kombinationen von Software und Hardware in Appliances lösen. Kostengünstige Lösungen von Anbietern wie ARTEC oder STORServer mit Archiv-Kapazitäten von 1 TB gibt es schon bei einem Investitionsvolumen von unter Damit sind sie auch in der finanziellen Reichweite von KMU, die sich wegen der fehlenden Nutzen/Kosten- Relation diesem Thema nur sehr zögerlich nähern. Die vorherige ausführliche Darlegung der Notwendigkeit von Archivierungsprojekten sollte den Weg dahin gehend weisen, dass die reine Archivierung von s in den wenigsten Fällen hinreichend ist. An zu vielen Stellen im Unternehmen fallen elektronische Informationen an, die aus dem einen oder anderen Blickwinkel archivierungswürdig sind. Abbildung 2: Quelle: FileNet White Paper/Beispiel Active Content Pixelpark Technology Services GmbH, 2007 Seite 16/30

17 Die obige Darstellung aus dem White Paper FileNet P8 Modulare Plattform für Enterprise Content Management und Business Process Management des inzwischen von IBM übernommenen Herstellers von Dokumenten-Management-Lösungen FileNet zeigt die mannigfaltigen Funktionen, Prozesse und Dokumentationsnotwendigkeiten am Beispiel eines Finanzdienstleisters. ist dabei nur ein Medium auf der Ebene eines technischen Kommunikationsprotokolls. Zusätzliche Quellen und Formate von Informationen benötigen eine durchaus weit gehendere Betrachtung der Archivierungsfragestellungen hat die Association for Information and Image Management (AIIM) den Begriff Enterprise Content Management (ECM) wie folgt definiert: Enterprise Content Management is the technology used to capture, manage, store, preserve, and deliver documents related to organizational processes. Abbildung 3: ECM-Komponenten. Quelle: AIIM/Project Consult 2003 Es gab in den letzten Jahren diverse Versuche, den kompletten Umfang dessen, was unter ECM zu verstehen und welche bestehenden Technologien sich unter diesen terminologischen Umbrella einzuordnen haben, zu begrenzen und ihn umgänglich zu machen. Es ist nur bedingt gelungen, da dieses Akronym gleichartig für Produkte, Lösungen, einen Markt und eine ganze IT-Branche Anwendung finden. Die oben Pixelpark Technology Services GmbH, 2007 Seite 17/30

18 aufgeführte knappe Definition ist wohl diejenige, die die meisten Ansprüche vereinigt und damit am Markt eine gewisse Resonanz und Akzeptanz gefunden hat 4. ECM dient damit der Verwaltung von strukturierten und unstrukturierten Informationen jeglicher digitaler Daseinsform und allen notwendigen Meta-Informationen, die zur Interpretation des jeweiligen Formats und damit des Inhaltes notwendig sind. Damit ist es die ideale Middleware-Komponente zur Verwaltung beliebiger Informationen und zur sachgerechten Transformation derselbigen in den jeweils benötigten unternehmerischen Kontext oder die diese unterstützenden, IT-basierten Unternehmensprozesse. Abbildung 1: ECM Architektur. Quelle: AIIM / Project Consult Der Autor dieses White Papers schließt dies aus dem Umstand, dass jede Präsentation bzw. jedes White Paper eines Herstellers, das während der Informationsakquise zu diesem Text studiert worden ist, diese Definition bemüht, anstatt der Gepflogenheit zu entsprechen und zur Präsentation eigenständiger Kompetenz eine eigene Definition zu nutzen. Dass der Begriff nicht leicht in den Griff zu bekommen ist, wird auch aus dem zugehörigen Artikel in Wikipedia deutlich: Pixelpark Technology Services GmbH, 2007 Seite 18/30

19 6 Enterprise Content Management: Markt und Hersteller In dem, in den letzten Jahren sehr stark durch hoch spezialisierte Anbieter von ECM- Lösungen geprägten Markt ist ein erheblicher Konsolidierungsdruck festzustellen. Viele kleine Anbieter werden dabei von den großen IT-Unternehmen am Markt aufgekauft sowie mehr oder minder gelungen und gekonnt in deren eigenes Portfolio integriert 5. Durch die Konsolidierungsprozesse sind neue ECM-Branchenführer entstanden. So werden in dem Artikel ECM Es geht zur Sache die Bemühungen der großen IT- Infrastruktur-Lieferanten IBM, Sun, HP, EMC, aber auch die der Newcomer wie Microsoft, Oracle und Google, wie folgt beschrieben [auszugsweise zitiert nach contentmanger.de 6 ]: IBM hat in den letzten 12 Monaten eine Vielzahl kleiner Anbieter wie Ascential, PureEdge, DWL, iphrase, BowStreet, CIMS Lab, LAS und andere übernommen. Gleich an mehreren Baustellen im Websphere-, DB2-, Tivoli- und Storage-Bereich wird an der Erweiterung des Portfolios in Richtung ECM und ILM gearbeitet. Ein zusammenpassendes Gesamtportfolio gibt es jedoch noch nicht. Man kann jedoch sagen, IBM hat so ziemlich alles, was man zu ECM braucht, man muss nur etwas suchen. Microsoft hat ebenfalls einige Firmen übernommen, wie OnFolio, FrontBridge, Groove und andere, um ein glaubhaftes ECM-Suite-Portfolio zusammenzustellen. Zumindest auf dem Papier gibt es sehr viel, aber es zeichnen sich auch neue Medienbrüche ab, wie z.b. zwischen dem Records Management im Sharepoint und dem separaten Compliance-Repository im Exchange. Richtig Druck auf den Markt wird erst mit VISTA und dem integrierten Workflow kommen. Microsoft macht ECM immer mehr zur Infrastruktur. Google zeichnet sich immer deutlicher als einer der zukünftigen Mitspieler ab. Neben Akquisitionen wird selbst an ECM-Komponenten geschraubt. Google setzt auf das Internet als Plattform für ECM und greift damit offen Microsoft an. Mit der Suchmaschinentechnologie versucht Google seinen Vorsprung vor anderen wie Microsoft, Yahoo und Co. auszubauen und dringt dabei immer mehr in klassische ECM-Themenbereiche vor. Oracle hat im Umfeld einiges an Funktionalität zu 10g dazugebaut und die Ankündigungen der Content Database und der Records Database sind eine 5 Ulrich Kampfmeyer hat diesen Vorgängen eine eigene Darstellung gewidmet, die das Hin und Her am Markt seit 1999 in aller Ausführlichkeit kompetent dokumentiert, sh. 6 Autor Ulrich Kampfmeyer, zitiert aus Pixelpark Technology Services GmbH, 2007 Seite 19/30

20 Kriegserklärung an die gesamte Branche. Keine Extra-Produkte für ECM mehr, sondern alles gleich in der Datenbank lassen. Gewicht gewinnt die Position von Oracle durch die Ankündigung einer engeren Kooperation mit OpenText. Selbst die Schwergewichte der Branche wie FileNet, OpenText oder Hummingbird können sich allein offenbar nicht mehr behaupten. Die großen Standardsoftwareanbieter beginnen, mit ihren Strategien den Markt zu dominieren. EMC hat sich durch zahlreiche Akquisitionen von Unternehmen Captiva, Legato, Documentum, Interlink, nlayers, Authentica, Acartus, und, und, und in kürzester Frist ein komplettes ECM- und ILM-Portfolio zugelegt. Auch wenn noch einiges an Integration und Produktharmonisierung geleistet werden muss, ist EMC heute einer der wichtigsten Spieler im ECM-Markt. HP Hewlett Packard setzt auf ILM und hat sich hierfür ebenfalls eine Vielzahl von Firmen und Produkten zugelegt, so z. B. Peregrine, SciTex, AppiQ und andere. Aber nicht nur auf die Wettbewerber im Speicher- und ILM-Segment zielt Hewlett Packard. Auch im sich schnell entwickelnden Markt für Multifunktionsgeräte wird inzwischen Dokumentenmanagement-Software mitgeliefert. Noch passen die Strategien nicht zusammen, aber HP muss sich in diesem Markt engagieren, sonst verliert das Unternehmen den Anschluss. Sun Microsystems sucht noch nach neuen Strategien, hat aber mit dem Erwerb von StorageTek und SeeBeyond deutliche Zeichen in Richtung ILM und ECM gesetzt. Neue File-Systeme im Open-Source-Bereich, SAM-FS und andere Produkte lassen erkennen, dass sich auch Sun um einen Platz in dieser Arena bemüht. Aus der Unübersichtlichkeit des Marktes und der darin tätigen Hersteller und Lieferanten (sowie den Sachverhalt reflektierend, dass die Verweildauer der Anbieter am Markt immer kürzer wird) eine Tugend machend hat sich das Marktforschungsunternehmen Forrester 2005 entschlossen, den Markt durch den Begriff der Content Centric Applications (CCA) zu segmentieren 7. In einer nachfolgenden Studie von Forrester 8 im ersten Quartal 2006 kristallisierten sich dann folgende Anbieter im CCA-/ECM-Segment als führend heraus: 7 Forrester Research, Autoren: Kyle McNabb, Lucy Fossner Robert Markham, Connie Moore, Barry Murphy: The Forrester Wave: Enterprise Content Management Suites, Q Evaluation Of Top ECM Suite Vendors Across 53 Criteria 8 Forrester Research, Autoren Kyle McNabb, Eric Kim, Connie Moore: The Forrester Wave: Content-Centric Applications, Q Pixelpark Technology Services GmbH, 2007 Seite 20/30