Aufwand und Nutzen der digitalen Datenanalyse in der mittelständischen Wirtschaftsprüfungskanzlei

Transkript

1 Aufwand und Nutzen der digitalen Datenanalyse in der mittelständischen Wirtschaftsprüfungskanzlei Von Dieter Greipl Seit dem Inkrafttreten der Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) am sind Unternehmen verpflichtet, den Finanzbehörden steuerlich relevante Daten in dokumentierter, standardisierter und auswertbarer Form zur Verfügung zu stellen. Der Zugang zur externen Analyse von Unternehmensdaten wird damit enorm erleichtert. Konsequenterweise stattete das Bundesfinanzministerium mehr als Prüfer mit dem Analyseprogramm Idea von Audicon 1 aus. Es liegt nahe, die Möglichkeit zum Datenexport auch für Prüfungshandlungen im Rahmen der gesetzlichen Jahresabschlussprüfung heranzuziehen. Zudem verliert mit der Pflicht zum Datenexport das Argument des hohen Aufwandes an Gewicht. Schließlich ist manches Unternehmen auch daran interessiert, was der Betriebsprüfer, so er denn digital prüft, in den Daten finden könnte. Der grundsätzliche Ablauf einer Datenprüfung stellt sich zunächst einfach dar. In einer Definitionsphase bestimmt der Prüfer Prüfungsfeld, Prüfungsziele und Prüfungshandlungen. Der Mandant exportiert die hierfür notwendigen Daten aus seinen operativen Systemen (Schritt 1) und stellt sie dem Prüfer zur Verfügung. Fehler! Es ist nicht möglich, durch die Bearbeitung von Feldfunktionen Objekte zu erstellen. Die jeweils verwendeten Prüfprogramme lesen die Daten ein (Datenimport, Schritt 2) und unterstützen die nun folgenden Analyseprozesse (Schritt 3), deren Ergebnisse dann korrekt zu interpretieren sind (Schritt 4). Aktuell werden Unternehmensdaten meist mit Excel von Microsoft, Idea von Audicon, ACL Audit Exchange von ACL 2 oder (in seltenen Fällen) mit Programmen anderer Anbieter analysiert. Idea und auch ACL Audit Exchange bieten einen überbordenden Funktionsumfang an und lassen an Prüfvarianten wenig zu wünschen übrig. Trotz dieser scheinbar günstigen Ausgangssituation analysieren Einzelprüfer und kleine Wirtschaftsprüfungsgesellschaften die Daten ihrer Mandanten relativ selten. Präsentiert 1 Audicon GmbH, Neuer Zollhof 3, Düsseldorf, 2 ACL Europe Ltd., ACL Europe Ltd., Atlantic House, Imperial Way, Reading, Berkshire RG2 0TD UK Seite 1

2 man die Potentiale der Datenanalyse an konkreten Unternehmensdaten, wird das Nutzenpotential durchweg hoch eingeschätzt.. Wo liegt also das Problem? Warum ist die digitale Prüfung von Unternehmensdaten bei kleinen Gesellschaften oder Einzelprüfern keine Selbstverständlichkeit? Die - zugegeben generische - Antwort ist: der individuelle Aufwand für den Wirtschaftsprüfer scheint in vielen Fällen den Nutzen deutlich zu übersteigen. Notwendig ist ein genauerer Blick auf mögliche Anwendungsbereiche, Aufwands- und Nutzenargumente. Anwendungsbereiche und Nutzen Datenprüfungen finden ihren Platz hauptsächlich im Bereich der aussagebezogenen Prüfungshandlungen, also bei analytischen Prüfungen oder Einzelfallprüfungen. Seltener lassen sich auch Rückschlüsse auf Aufbau und Funktion des internen Kontrollsystems ziehen. Wesentliche Segmente der Prüfungshandlungen sind: Prüfungen gegen Ergebnisse der Mandanten-Software, externe Vorgaben und Mandantenangaben (Fakten- und Plausibilitätsprüfungen) Vorbereitung von Einzelfallprüfungen oder Stichproben. Statistische Prüfungen Zu den Fakten- und Plausibilitätsprüfungen gehört die Überprüfung vorliegender Aussagen und Werte auf Plausibilität und Korrektheit, also z.b. die eigenständige Ermittlung von: Kontensalden, Höhe und Entwicklung von Anschaffungs- und Herstellungskosten, Struktur offener Posten, ABC-Analysen um nur einige zu nennen. Die ermittelten Zahlen werden dann mit den Daten der Mandanten-Software verglichen. Damit kann die Funktionalität der Mandantensoftware wirksam geprüft werden. Hierzu ist vor allem dann zu raten, wenn für die verwendeten Programm keine (oder keine gültige) Software-Testierung vorliegt. Den Begriff der externen Vorgaben beschränken wir auf alle verbindlichen Regeln von Gesetzgebern und Behörden zur Verarbeitung rechnungslegungsrelevanter Daten mit IT-Systemen. Gegenstand von Prüfungshandlungen ist hier zum Beispiel die Lückenlosigkeit von Nummernkreisen, speziell natürlich von Rechnungsnummern, die Beachtung der Archivierungsvorschriften oder Prüfnachweise bei der Verwendung digitaler Rechnungen. Die Prüfungspraxis zeigt hier, dass in deutlich mehr als der Hälfte aller Datenprüfungen speziell die Prüfung auf Lückenlosigkeit von Nummernkreisen zu Auffälligkeiten führt. Fehlende Rechnungsnummern in Seite 2

3 Datenbeständen sind an der Tagesordnung. Die Datenanalyse ermöglicht, aus Tausenden von Rechnungen wenige fehlende Rechnungsnummern zu entdecken. Schließlich können aus den Daten häufig Angaben der Mandanten zum Geschäftsablauf überprüft werden. Buchungen an Sonn- und Feiertagen lassen sich leicht finden und werden zum Fragezeichen, wenn die Finanzbuchhaltung am Sonntag nicht arbeitet. Übrigens finden sich auch hierfür plausible Erklärungen: IT-Systeme erzeugen möglicherweise automatische Buchungen aus Datenübernahmen an Sonntagen. Auffällige Datensätze oder Datenkonstellationen sollten als Grundlage für Einzelfallprüfungen und Stichproben herangezogen werden. Ausgangspunkt sind zum Beispiel besonders hohe Rechnungs- oder Gutschriftenbeträge, auffällige Buchungen am Periodenende, identische Kontonummern, offenbar ungültige Bankleitzahlen oder auffällig runde Beträge. Mit eigenen kreativen Auswertungen können die Exportdaten auch Informationen preisgeben, die mit den Funktionen der Mandanten-Software nicht oder nur mit hohem Aufwand ermittelbar sind. Man denke zum Beispiel an eine Analyse der Kassenbuchungen. Nicht wenige Mandanten entdecken dabei einen ganz eigenen Charme der Datenexporte. Ohne komplexe Business Intelligence Tools erstellen Controller eigene Analysen und lösen sich damit von Einschränkungen der Berichtsfunktionen ihrer Software. Unter diesem Aspekt beschäftigt sich auch die Interne Revision mit exportierten Unternehmensdaten. Hohes Interesse haben in den letzten Jahren Methoden der statistischen Prüfung geweckt. Die Analyse von Ziffernverteilungen oder der Häufigkeit führender Ziffern (Benford-Test) wird hier stets zuoberst genannt. Dem Benford-Test werden nahezu magische Fähigkeiten bei der Aufdeckung von Manipulationen in Zahlenreihen zugeschrieben. Die Praxis - und übrigens auch die nicht ganz elementare mathematische Theorie dahinter - führten zwangsweise zu der Einschätzung, dass diese Testverfahren nur mit hohem Sachverstand einsetzbar sind. Ohne in die Details zu gehen: Bei aller Mächtigkeit statistischer Verfahren ist die Verwendung des Benford-Tests für bestimmte Datenquellen schlichtweg ein Kunstfehler. Aufwände Den zweifellos gewichtigen Nutzenargumenten stehen leider auch hohe Aufwände gegenüber: mangelnde GDPdU-Unterstützung der Mandanten-Systeme, ein hoher Aufwand für Import- und Abstimmverfahren, sowie ausufernde Funktionalität der Analysesoftware. Seite 3

4 Hinderlich ist der bemerkenswert geringe Umsetzungsgrad der GDPdU- Anforderungen. Lediglich etwa ein Fünftel der Unternehmen haben gemäß einer Studie 3 aus dem Jahr 2007 leider verfügen wir nicht über neuere Zahlen die Anforderungen nach Archivierung und Datenzugriff gemäß GDPdU umgesetzt. Unsere Erfahrung bei Mandantenprüfungen bestätigt diese Zahl. Zwar sind viele Unternehmen in der Lage, Datensätze aus den operativen Datenbanksystemen zu exportieren, es mangelt aber an einer Fokussierung auf die steuerlich relevanten Daten. Konsequenz sind unüberschaubare Datenvolumina, aus denen die relevanten Daten erst mit viel Mühe zu extrahieren sind. Zusätzliche Schwierigkeiten bereiten fehlende technische und semantische Beschreibungen der Datenfelder. Schlüsselreferenzen auf externe Tabellen sind nicht dokumentiert. Schon im ersten Schritt entstehen also potentiell hohe Aufwände beim Datenexport. In dieser Situation ist dem Mandanten stets und dringend zu empfehlen, einen Datenexport gemäß GDPdU zu ermöglichen. Umfangreiche GDPdU-Projekte, wie sie von Beratungsunternehmen gerne empfohlen werden, schießen dabei oft über das Ziel hinaus. Der wichtige erste Schritt ist aber stets die Definition der rechnungslegungsrelevanten Daten (Finanzabteilung und IT-Abteilung gemeinsam) und die Implementierung der Exportroutinen (IT-Abteilung). Eine Durchführung von Datenanalysen sollte stets auf der Grundlage exportierter Daten erfolgen. Auf Analysehandlungen durch direkten Zugriff auf die operativen Daten des Mandanten ist aus Risikogründen in jedem Fall zu verzichten! Im nächsten Schritt sind die exportierten Daten in das Analysetool des Prüfers zu importieren. Im einfachsten Fall besteht dieser Schritt lediglich im Öffnen einer CSV Datei mit Excel. Komplizierter ist da schon der Import in die Software Idea. Hier sind in aller Regel Formatumsetzungen vorzunehmen, da sonst Zahlen wegen der Tausenderkennzeichen nicht als solche erkannt werden, oder Datumsfelder wegen verschiedener Formate nicht korrekt importiert werden. Zum Abschluss dieses Schrittes ist sorgfältig zu prüfen, ob der Datenimport vollständig und korrekt war. Der Aufwand bei den nun beginnenden Datenanalysen ist differenziert zu betrachten, da er wesentlich von den Analysezielen, der Funktionalität der Software und vor allem der Erfahrung des Anwenders abhängt. Analyse: Excel oder Idea? Über Excel finden mittelständische Kanzleien den leichtesten Zugang zu Datenanalysen. 3 Vgl.: TechConsult, IT und E-Business im Mittelstand 2007, 2007, Online im Internet: [Stand: ] Seite 4

5 Beherrscht man etwa zwanzig wichtige Funktionen, den Umgang mit Pivottabellen und das Erstellen von Grafiken, so stehen mit etwas Geschick in kurzer Zeit knackige Analysen in ansprechender Aufbereitung. Was gegen eine Verwendung von Excel sprach, war bis zur Version Excel 2003 die Begrenzung auf maximal etwa Zeilen in einem Tabellenblatt. Für viele Datenbestände reichte das nicht aus. Mit der neuen Version Excel 2007 fällt diese Grenze; es sind jetzt etwa eine Million Zeilen möglich. Für den mittelständischen Wirtschaftsprüfer ist also Excel sicher ein richtiger Einstieg in die Datenprüfung. Die Idea-Gemeinde bricht nun in ein lautes Aber aus, und tatsächlich bietet Idea zahlreiche Vorteile gegenüber einem generischen Programm wie Excel. Darunter sind, ohne in eine detaillierten funktionalen Vergleich einzusteigen, hervorzuheben: In Idea wird man kaum auf technische Grenzen (Idea 2004: 2,1 Milliarden Datensätze, 1,8 Exabyte Dateigröße) stoßen. Selbst sehr große Datenbestände werden zügig bearbeitet. Wertvoll ist die interne Dokumentation der Prüfungs- und Verarbeitungsschritte. Und schließlich lassen sich auf Knopfdruck ansprechend aufbereitete Berichte erzeugen. Eine wichtige Stärke ist der Import wenig strukturierter Daten aus PDF-Listen oder Druckdateien. Hier muss Excel völlig passen. In Summe ist Idea in seiner Ausrichtung und Bedienbarkeit klar auf die Prüfung von Wirtschafsdaten ausgerichtet. In der Programmerweiterung AIS TaxAudit sind zahlreiche Prüfungen bereits vordefiniert. Nicht zu vernachlässigen ist allerdings der Aufwand bei der Vorbereitung für die automatisierten Prüfungen. Der erfahrene Anwender wird aber deutlich schneller zu dokumentierten Ergebnissen und aufbereiteten Berichtsteilen kommen. Seite 5

6 Effizienz bei der Wiederholung von Prüfungen Viele Aufwände, entstehen im Wesentlichen bei der ersten Durchführung einer Datenanalyse. Der Export und Import sollte im Folgejahr ein Routineprozess ohne größere Probleme sein. Die Wiederholung der Prüfschritte ist ebenfalls ohne größeren Aufwand möglich. Für weitere Prüfungen werden sich also die Kosten der Datenprüfung deutlich reduzieren. Quantitative Analysen hierzu sind nicht bekannt, aber aus der praktischen Erfahrung scheint eine Reduktion des Aufwands um die Hälfte realistisch. Zuletzt muss noch ein Wort zum Thema Datensicherheit verloren werden: mit dem Datenexport geben Mandanten hochsensible Detailinformationen über dem Geschäftsverlauf heraus. Das Sicherheitsbewusstsein kann an diese Stelle noch nicht hoch genug sein das gilt für Prüfer und Mandanten in gleicher Weise. Prüfer, die Unternehmensdaten auf ihren Rechnern zur Analyse speichern, müssen sich dessen bewusst sein, dass Lücken in ihrer eigenen IT-Sicherheit nun plötzlich enormes Schadenspotential für Dritte haben. Trotzdem müssen sich Wirtschaftsprüfer der digitalen Analyse von Unternehmensdaten mutig nähern. Mit den GDPdU ist die wesentliche Voraussetzung geschaffen. Für Prüfungshandlungen geringer bis mittlerer Komplexität ist eine Durchführung der Datenanalyse in den meisten Fällen angezeigt. Die Praxis zeigt nämlich, dass sich zu vielen wichtigen Fragen aufschlussreiche Antworten in den Massendaten der Unternehmen befinden. Umgekehrt ergeben sich aus den Massendaten spannende Fragen an den Mandaten. Zudem nehmen mit der Wiederholung von Prüfungen die Aufwände massiv ab. Grund genug also, sich mit Datenanalysen zu beschäftigen. Prof. Dr. Dieter Greipl Fachhochschule Landshut Fakultät für Betriebswirtschaft Schwerpunkt Wirtschaftsinformatik Am Lurzenhof 1 D Landshut Dieter.Greipl@fh-landshut.de Seite 6