Revisionssicher archivieren. mit dem Dokumentenmanagement- und Archivsystem. windream

Transkript

1 Revisionssicher archivieren mit dem Dokumentenmanagement- und Archivsystem windream Die windream GmbH bestätigt, dass das Dokumentenmanagement- und Archivsystem windream geeignet ist, bei Beachtung der einschlägigen organisatorischen Vorschriften, wie z.b. die der GDPdU, und unter Verwendung geeigneter Speichermedien, eine den Anforderungen der GOB, GoBS, GDPdU und des HGB entspreche n- de revisionssichere Archivierung zu gewährleisten. Ausführliche Hinweise zur revisionssicheren Archivierung, sowie zu den zu beachtenden rechtlichen Vorschriften zur Anerkennung der Revisionssicherheit finden Sie im Anhang. Bochum, im Juni 2005 windream GmbH ppa. Dirk Kimmeskamp Geschäftsleitung ppa. Edwin Sembritzki Geschäftsleitung windream GmbH Telefon Geschäftsführung: Bankverbi ndung: Wasserstraße 219 Telefax Dipl.-Inform. Roger David Sparkasse Bochum Bochum info@windream.com Amtsgericht Bochum: BLZ Germany Internet HRB 7440 Kto.-Nr

2 Revisionssicher archivieren mit dem windream Langzeitarchiv Im Zusammenhang mit der Einführung eines Dokumenten Management Systems (DMS) wird in der Regel auch die Archivierung von Dokumenten angesprochen. Die Archivierung unterscheidet sich von einer einfachen Speicherung auf einem magnetischen Speichermedium durch den Anspruch, dass archivierte Dokumente nicht mehr verändert werden können. Mit windream abgelegte Dokumente gelten bereits als archiviert, weil nur autorisierte Benutzer Zugriff auf die archivierten Dokumente haben und jedes archivierte Dokument nicht mehr verändert oder gelöscht werden kann. Sobald kaufmännische Dokumente mit Aufbewahrungsfristen (siehe Anlage 2) von mehreren Jahren archiviert werden, müssen weitere Anforderungen von einem DMS erfüllt werden. Für die mehrjährige Verwaltung archivierter Dokumente werden entsprechende Speicherkapazitäten benötigt und das gewählte Speichermedium muss eine entsprechende Lebensdauer aufweisen. An das windream Langzeitarchiv werden somit bestimmte Bedingungen gestellt, um den gesetzlichen und steuerrechtlichen Anforderungen der ordnungsmäßigen Buchführung unter Beachtung der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) vom zu genügen. windream Langzeitarchiv erfüllt die gestellten Prüfkriterien Bereits im März 1998 hat eine namhafte unabhängige internationale Wirtschaftsprüfungsgesellschaft mittels Testat bestätigt, dass bei sachgerechter Anwendung des Langzeitarchivs die Ordnungsmäßigkeit der Datenverarbeitung gewährleistet ist. Die Erteilung des Testats erfolgte auf Basis einer formellen und einer materiellen Programmprüfung. Für die Beurteilung wurden die Kriterien herangezogen, die auch von den zuständigen Behörden bei der Prüfung der Revisionssicherheit herangezogen werden: handelsrechtliche Vorschriften gemäß 238 f. und 257ff. HGB steuerrechtliche Vorschriften, insbesondere 140 und 145 ff. AO Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS, BMF-Schreiben vom 7.November 1995) Stellungnahme des Fachausschusses für moderne Abrechnungssysteme (FAMA) Grundsätze ordnungsmäßiger Buchführung (GoB) Für die Anerkennung der revisionssicheren Archivierung durch die zuständige Behörde (z.b. Finanzbehörde) ist die Erstellung und Fortführung einer Verfahrensdokumentation für die Archivsystem-Installation notwendig. Hierfür müssen die Anforderungen der GoBS zur Verfahrensdokumentation erfüllt werden. Ziel der Verfahrensdokumentation ist es, sachverständigen Dritten in angemessener Zeit zu einem Verständnis der eingesetzten ordnungsmäßigen Buchführung zu verhelfen.

3 Formelle Prüfkriterien Die Prüfung erfolgt nach den Grundsätzen ordnungsmäßiger Datenverarbeitung (GoDV). Diese Grundsätze ergeben sich aus den GoB und sind folgende formelle GoDV: der Grundsatz auf Richtigkeit der Grundsatz der Vollständigkeit der Grundsatz der Belegbarkeit der Grundsatz der Zeitgerechtigkeit Grundsatz der Richtigkeit Die Richtigkeit der Verarbeitung umfaßt die zutreffende sachliche Einstellung sowie das Auslesen aus dem Langzeitarchiv mit Hilfe der Archiv Komponenten und das Fehlen jeglicher Art von Verfälschungen. Mit dem windream Langzeitarchiv ist eine unverfälschbare und ordnungsmäßige Archivierung gewährleistet. Ein Zugriff auf den Dokumentenbestand ist nur über die windream Archiv-Komponente möglich. Optional kann die Richtigkeit des einzelnen Dokuments und des gesamten Dokumentenbestands zusätzlich durch elektronische Zertifikate belegt und vom windream Langzeitarchiv verwaltet werden. Zur Sicherstellung der unverfälschten Datenübertragung der Dokumente bei einer verteilten Serverkonfiguration von windream- und Archivserver wird eine geeignete Verschlüsselung verwendet. Grundsatz der Vollständigkeit Die windream Historie-Funktion zeichnet jeden Geschäftsvorfall auf. Zu jedem Dokument wird eine Historie gepflegt, aus der verschiedene Benutzerzugriffe ersichtlich sind. Diese chronologische Liste kann von berechtigten Anwendern mit Kommentaren erweitert, nicht aber verändert oder gelöscht werden. Durch den weiteren Nachweis über Erfasser, Autor oder Ersteller mit entsprechenden Zeitangaben werden somit elektronische Dokumente mit hohem Informationsgehalt zur Verfügung gestellt. Grundsatz der Belegbarkeit Im Systemumfeld der Microsoft Betriebssysteme (Microsoft NT, Microsoft Windows 2000, Microsoft Windows XP) ist die Identifikation und Autorisierung eines Benutzers immer gegeben und wird vom windream Langzeitarchiv entsprechend genutzt. Die Ablage der Dokumente im windream Langzeitarchiv erfolgt immer unter Fortschreibung der entsprechenden Benutzerinformationen in Protokoll- und Journaldateien. Mit diesen Protokollen und der Dokumentenhistorie ist jederzeit die Belegbarkeit über die Erfassung der Dokumente gegeben. Grundsatz der Zeitgerechtigkeit Mit dem windream Langzeitarchiv ist die zeitnahe Aufzeichnung aller Geschäftsvorfälle sichergestellt. Von der Erfassung eines Dokuments bis zur endgültigen Speicherung auf dem entsprechenden optischen Speichermedium sind alle technischen Vorkehrungen getroffen, die den Verlust oder die Veränderung eines Dokuments verhindern.

4 Materielle Prüfkriterien Neben den formellen Grundsätzen ordnungsmäßiger Datenverarbeitung ergeben sich folgende materielle GoDV: der Grundsatz der Klarheit der Grundsatz der Prüfbarkeit der Grundsatz der Funktionssicherheit. Grundsatz der Klarheit Klarheit bedeutet die sachlich geordnete Aufzeichnung von Geschäftsvorfällen. Dies bedingt eine geordnete Aufbewahrung der Dokumente, die durch Erstellung eines Archivplans mit Angaben zum Inhalt der Speichermedien und deren Erstellungsterminen und Aufbewahrungsfristen erreicht wird. Das windream Langzeitarchiv unterstützt mit dem Poolkonzept diese geforderte logische Zuordnung von Speichermedien. Jedem Dokumenttyp können mit Hilfe des Poolkonzepts ein oder mehrere Speichermedien genau zugeordnet werden. Grundsatz der Prüfbarkeit Durch die zur Verfügung stehende Dokumentation können sich Anwender und sachverständige Dritte in die Abläufe des Langzeitarchivsystems einarbeiten, wodurch sich jeder in angemessener Zeit im System zurechtfinden kann. Für die unterschiedlichen Bedürfnisse wird eine Dokumentation in Form von Handbüchern, elektronischer Dokumentation und kontextsensitiver Hilfe angeboten. windream unterstützt die Forderung der Prüfbarkeit besonders durch das Systemkonzept, d. h. windream bietet die gesamte Funktionalität als Dienst des Betriebssystem Microsoft Windows an. Auch ungeschulte sachverständige Dritte können intuitiv mit windream arbeiten und die technischen Zusammenhänge erkennen. Grundsatz der Funktionssicherheit Durch geeignete Sicherheitsmaßnahmen muss gewährleistet werden, dass verwendete Datenverarbeitungsprogramme und Daten vor Zerstörung geschützt werden. Das windream Langzeitarchiv kann zur Sicherung der Datenbestände Dokumente mit den beschreibenden Metadaten archivieren. Diese Selbstbeschreibung der archivierten Dokumente (self contained Objects) ermöglicht die Rekonstruktion eines Archivs ausschließlich durch die Speichermedien. Zusätzlich kann das windream Langzeitarchiv als Spiegelarchiv betrieben werden. Somit können Dokumente in Kopie räumlich getrennt voneinander aufbewahrt werden. Des weiteren müssen datenverarbeitungstechnisch übliche Backup-Verfahren die Datenverarbeitungsprogramme sichern. Das windream Langzeitarchiv kann hier auch als Speicherort für Programme (z.b. Programme zur Dokumentenanzeige) herangezogen werden.

5 Was enthält die Verfahrensdokumentation? Die Interpretation der GoBS macht deutlich, dass jede Archiv Installation eine Verfahrensdokumentation benötigt, sobald kaufmännisch relevante Dokumente gespeichert werden. Die Form der Nutzung beim Betreiber ist somit von zentraler Bedeutung für die Anerkennung der Revisionssicherheit. Beispielsweise beschreibt die Verfahrensdokumentation die einzelnen Verarbeitungsschritte eines Dokuments von der Digitalisierung durch einen Scanner bis zur endgültigen Archivierung auf einem optischen Medium. Es wird geprüft, ob das Verfahren des Scannens und des Dokumentimports gegen Veränderung abgesichert, die Indexierung konsistent und eindeutig und das zielgerichtete Wiederfinden mit originalgetreuer Reproduktion gewährleistet ist. Weitere Abschnitte der Verfahrensdokumentation geben Auskunft zur IT Sicherheit, technische und organisatorische Rahmenbedingungen sowie zu Backup- und Recovery-Konzepten des Archivsystems und der verwalteten Daten. Die GoBS beschreiben die einzelnen Bestandteile einer Verfahrensdokumentation. Zur Vereinfachung der Erstellung und kontinuierlichen Pflege wird eine Gliederung in drei Bereiche angestrebt: die eigentliche Verfahrensbeschreibung Testdokumente mit Abnahmevereinbarungen Bescheinigung der Ordnungsmäßigkeit des gesamten Verfahrens durch einen unabhängigen Dritten Die im Anhang angeführte Checkliste (Anlage 1) bietet einen Überblick der Themen, die in der Verfahrensdokumentation behandelt werden müssen.

6 Kann die Anerkennung der Revisionssicherheit verweigert werden? Mit der Abnahme durch die zuständige Finanzbehörde erhält der Betreiber eine Bestätigung der Vertrauenswürdigkeit und Revisionssicherheit und damit die höchstmögliche Sicherheit, die heute ein revisionssicheres Archiv bieten kann. Durch Verwendung des windream Langzeitarchivs und der Erstellung einer den GoBS entsprechenden Verfahrensdokumentation steht einer Abnahme durch die zuständige Finanzbehörde nichts im Wege. In diesem Zusammenhang erleichtert die Zertifizierung der kompletten Verfahrensdokumentation die Anerkennung der Revisionssicherheit. Diese Zertifizierung wird durch einen unabhängigen sachverständigen Dritten durchgeführt. Damit die Aufwendungen zur Abnahme durch die zuständige Finanzbehörde in einem überschaubaren Rahmen bleiben, können branchenneutrale systembezogene Fragestellungen in einer vorbereiteten Verfahrensdokumentationen bereits beantwortet werden. Die Checkliste im Anhang gibt einige Anhaltspunkte, welche Informationen für eine Prüfung notwendig sind. Prüfschema und Checkliste Eine praktische Prüfung verifiziert die Übereinstimmung der Verfahrensdokumentation und der Archivsystem Installation. Stichprobenartige Tests zur Erfassung, Indizierung, Recherche und Reproduktion müssen auch in Ausnahmesituationen durch versuchte Eingriffe in das System immer konsistent sein. Diese Eingriffe können unberechtigte Zugriffe, Veränderungen der Indizierung, Verfälschungen von Dokumenten und Fehlbedienungen sein. Ein weiterer wichtiger Punkt ist das Verhalten beim Wiederanlauf des Systems nach einem Störungsfall. Es muss eine vollständige und konsistente Wiederherstellung des Systems gewährleistet werden. Unter keinen Umständen darf ein Dokument verloren gehen, verändert oder unauffindbar werden. Die Checkliste ist Bestandteil eines Prüfkriterienkatalogs für Dokumenten Management Lösungen und beim Verband Organisations- und Informationssysteme erhältlich. Die windream GmbH ist Mitglied des Verbandes. windream GmbH Wasserstrasse Bochum Tel direkt: Fax direkt: Internet:

7 Zertifizierung einer Dokumentenmanagement Lösung windream Langzeitarchiv Verfahrensdokumentation Einordnung der Lösung: -Vorcheckliste -Vorgespräch Qualifizierungsziele: Ordnungsmäßigkeit, Wirtschaftlichkeit, Sicherheit, Qualität und Recht Prüfungsvorbereitung durch das Audit-Management Produkt- / Systemtest Dokumentenprüfung Auditierung & Bewertung Prüfbericht Prüfungsdurchführung durch das Audit-Team Regelschleife: Nachziehen der Systemänderungen Abnahme / Zertifikat Folgequalifizierung Zertifizierung durch die Zertifizierungsstelle Abb.: Prüfschema einer Archivsystem-Installation

8 Anlage 1 Allgemeine Beschreibung des Einsatzgebietes 1. Beschreibung des Einsatzgebietes der Lösung Das Unternehmen und seine Schwerpunkte sind darzustellen. Allgemeine Tätigkeitsbeschreibung des Unternehmens und seiner Kernkompetenzen inbegriffen einer kurzen Erläuterung der entsprechenden Branche. Der Standort des Systems ist beschrieben. Die genaue Anschrift des Standorts mit genauer Bereichsbezeichnung ist vorhanden. Beschreibung der allgemeinen Organisation. 2. Aufbauorganisation Es ist eine Darstellung der (von der Systemeinführung betroffenen) funktionalen Abteilungen und Organisationseinheiten inklusive Veranschaulichung derselben durch ein Organigramm vorhanden. Eine Darstellung der mit der Systemlösung in Verbindung stehenden Prozesse und Vorgänge ist vorhanden. Eine entsprechende Abbildung veranschaulicht die Zusammenhänge. 3. Sachlogische Systemlösung Rahmendaten und Aufgabenstellung (Ziele) Organisationsbeschreibung der betroffenen Bereiche (auch die Rollentrennung in Prüfund Entscheidungsinstanzen innerhalb des Unternehmens). Beschreibung der Dokumentenbestände, inkl. Aufbewahrungsfristen. Beschreibung von Verarbeitungsregeln. Weitere Richtlinien (z. B. Verweise auf besondere Vorschriften wie GoBS). 4. Technische Systemlösung und Migration Anforderungen an die Darstellung der technischen Systemlösung. Darstellung des Konzepts zur Langzeitverfügbarkeit der Dokumente.

9 5. Beschreibung der technischen Hardwarekomponenten Es empfiehlt sich eine Aufteilung nach Eingabe, Verarbeitung, Ausgabe,, inkl. Versionierung. Speichersysteme (z. B. Jukebox, Festplatten, Bänder) Erfassungssysteme (z. B. Scanner, Barcode-Leser) Ausgabesysteme (z. B. Drucker, Monitore) Server Clients Netzwerkkomponenten Sonstige (z. B. Unterbrechungsfreie Stromversorgung [USV] ) Grafische Systemdarstellung Beschreibung der Softwarekomponenten, inkl. Versionierung Standard-Softwarekomponenten Individuelle Softwarekomponenten Beschreibung der Anwenderoberflächen für Ein- und Ausgabe einschließlich der manuellen Arbeiten Schnittstellen zu anderen Systemen Eingesetzte Datenbanksysteme Betriebssysteme Systembeschreibung: Infrastruktur und Auslegung Über jeweilige Realisierungs- und Produktionsphasen hinaus ist die Weiterentwicklung, langfristige Nutzung von Informationen und Migrationen unterschiedlichster Art einzuplanen. Es sind Bedingungen für eine Migration aus Sicht des Herstellers und Migrationsfähigkeit des Systemlösung insgesamt aufzuzeigen. Ein Konzept für die Langzeitverfügbarkeit von Daten und Dokumenten liegt vor. 6. Beschreibung der IT-Sicherheitskonzepte Sicherheitskonzept Datensicherheit Datenschutz Die Bedrohungen sind identifiziert und die Maßnahmen beschrieben. Es gibt eine Katastrophen- und Wiederanlaufplanung. Datenintegrität Benutzerverwaltung Gewährleistung der Transaktions- und Konsistenzsicherung Protokollierung 7. Technischer Betrieb Der technische Betrieb unterteilt sich in organisatorische Rahmenbedingungen und Betriebsprozesse.

10 8. Organisatorische Rahmenbedingungen Zuständigkeiten (Organigramm und Rollenbeschreibungen) Bauliche Voraussetzungen Zugangskontrollen Betriebsbedingungen Hardware lt. Herstellerangaben Betriebsbedingungen Software lt. Herstellerangaben Arbeitsschutzmaßnahmen (z. B. Ergonomie) Arbeitsanweisungen (Standardbetrieb, Notfallszenarien)

11 Betriebsprozesse Im Rahmen der Betriebsprozesse ist zwischen dem Standardbetrieb und den Notfallszenarien zu unterscheiden. Während im Standardbetrieb die Handhabung des Systems und der Speichermedien sowie die Überwachung im Vordergrund steht, gilt es bei den Notfallszenarien die schnelle Wieder-Verfügbarkeit der Dokumente zu gewährleisten. 1. Standardbetrieb Datensicherung Handhabung der Speichermedien Systempflege Überwachung des ordnungsmäßigen Betriebes Verfahren der Systemaktualisierung Hardware Verfahren der Systemaktualisierung Software Remote Support 2. Notfallszenarien Nach einer Betriebsstörung muss ein Archivsystem wieder reibungslos gestartet oder ggf. neu aufgebaut werden. Hier sind zwei Prozesse zu unterscheiden: Restart und Recovery. Restart Recovery 3. Prozesse Betrachtet werden nur Prozesse, die unmittelbar mit der Be- und Verarbeitung von Dokumenten und Dateien im Zusammenhang stehen. Hierzu gehören auch logisch zusammen gefasste Einzeldokumente, sogenannte Compound Documents. Ausgenommen sind hier alle Prozesse, die dem laufenden technischen und organisatorischen Betrieb zugeordnet sind. Alle folgenden Prozesse müssen im Berechtigungskonzept berücksichtigt werden. Erfassen Digitalisieren (Scannen) Übernahme von originär digitalen Dokumenten (Dateien) Automatisierte Übernahme von digitalen Massendaten Indizieren Bearbeiten Weiterleiten Genehmigen Archivieren Recherche Reproduktion Internes Kontrollsystem

12 Als internes Kontrollsystem wird grundsätzlich die Gesamtheit aller aufeinander abgestimmten und miteinander verbundenen Kontrollen, Maßnahmen und Regelungen bezeichnet. Die nachfolgenden, bereits unter anderen Kapiteln aufgeführten Bewertungskriterien sind an dieser Stelle nochmals hinsichtlich Konsistenz zu prüfen: Regelungen Maßnahmen Kontrollen und Tests Vorbeugende Wartung, Prüfungs- und Reinigungsmaßnahmen Einbeziehung von Fremdsupport 4. Sicherheitsmanagementsystem als internes Kontrollsystem Die Sachziele Verfügbarkeit, Integrität, Vertraulichkeit, Revisionsfähigkeit und Rechtssicherheit bzw. Ordnungsmäßigkeit sind dargestellt.

13 Anlage 2 Aufbewahrungsfristen Nach 257 Handelsgesetzbuch und 147 Abs.2 Abgabenordnung werden die Aufbewahrungsfristen geregelt. Demnach sind Handelsbriefe 6 Jahre und alle Buchungsbelege 10 Jahre aufzubewahren. Die Frist beginnt dabei mit dem Abschluss des Kalenderjahres, in dem der letzte Eintrag in das Handelsbuch vorgenommen wurde. Jahresabschlüsse und Bilanzen sind auch im Original aufzubewahren.