Auszüge aus der GoBS. GoBS (Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme)

Transkript

1 Zielsetzung Ziel der Verfahrensdokumentation ist es, den ganzheitlichen Prozess von der Entstehung bis zur Archivierung von Information aus organisatorischer und technischer Sicht zu beschreiben. Dieser Prozess umfasst das Erzeugen, Indizieren, Ablegen, Bearbeiten, Archivieren und Recherchieren von Information, sowie den Schutz vor unbefugtem Zugriff, Schutz vor Datenverlust und Schutz vor unzulässiger Veränderung. Die Verfahrensdokumentation beschreibt, durch welche technischen und organisatorischen Eigenschaften das installierte Dokumentenmanagement-System (nachfolgend kurz DMS genannt) die Anforderungen der Gesetze und Richtlinien erfüllt. Mit Hilfe der Verfahrensdokumentation kann sich ein sachverständiger Dritter in die Funktionsweise des Systems einlesen und es in angemessener Zeit hinsichtlich der formellen und sachlichen Richtigkeit überprüfen. Rechtliche Grundlagen und Richtlinien In diesem Kapitel sind die rechtlichen Grundlagen dargestellt, denen ein elektronisches Dokumentenmanagement-System genügen muss. Die hieraus resultierenden Anforderungen an den Inhalt der Verfahrensbeschreibung werden entsprechend dargestellt. GoBS (Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme) Die Regelungen für die Bearbeitung, Archivierung und Prüfbarkeit von Informationen der Buchführung sind in den Grundsätzen der ordnungsgemäßen Speicherbuchführung definiert. In der GoBS in der Version vom , veröffentlicht im Bundessteuerblatt, und in dem Begleitschreiben des Bundesministeriums für Finanzen zur Anwendung der GoBS (BmF- Schreiben abgekürzt) werden verschiedene Aspekte der elektronischen Archivierung und des Dokumentenmanagements betrachtet. Innerhalb der GoBS wird auch explizit die Ausfertigung einer Verfahrensdokumentation gefordert. Die gesetzlichen Voraussetzungen für eine Buchführung, die auf Datenträgern geführt wird (DV-Buchführung), enthalten das Handelsgesetzbuch (HGB) und die Abgabenordnung (A0). Dort werden auch wesentliche Eigenschaften wie Ordnungsmäßigkeit, Nachvollziehbarkeit und Unverfälschbarkeit vorgegeben. Die GoBS schreibt nicht die Form und den Umfang der Verfahrensdokumentation fest. Sie regelt lediglich, welcher Inhalt vorhanden sein muss (BStBl I S. 738ff). Die Ausführungen in Bezug auf Buchhaltungssysteme sind auf die speziellen Eigenschaften eines Dokumentenmanagement- und elektronischen Archivsystems anzupassen Im Folgenden werden die wesentlichen, die revisionssichere elektronische Archivierung betreffenden Abschnitte aus der GoBS auszugsweise zitiert: Auszüge aus der GoBS 1. Datensicherheit Die starke Abhängigkeit der Unternehmung von ihren gespeicherten Informationen macht ein ausgeprägtes Datensicherheitskonzept unabdingbar.

2 2. Zu sichern und zu schützen sind neben den auf Datenträgern gespeicherten, für die Buchführung relevanten Informationen zugleich die weiteren Informationen, an deren Sicherung und Schutz das Unternehmen ein Eigeninteresse hat oder dies aufgrund anderer Rechtsgrundlagen erforderlich ist. Belege und sonstige Aufzeichnungen, die vom Buchführungspflichtigen in konventioneller Form aufbewahrt werden, sind ebenfalls zu sichern und zu schützen. 3. Diese Informationen sind gegen Verlust zu sichern und gegen unberechtigte Veränderung zu schützen. Über die Anforderungen der GoBS hinaus sind die sensiblen Informationen des Unternehmens auch gegen unberechtigte Kenntnisnahme zu schützen. 4. Die buchhalterisch relevanten Informationen sind zumindest für die Dauer der gesetzlichen Aufbewahrungsfrist zu sichern und zu schützen. Vom Unternehmen ist zu entscheiden, ob und für welche Informationen aus unternehmensinternen Gründen eine längere Aufbewahrungsfrist gelten soll. Da zur Erfüllung der Anforderung die buchhalterisch relevanten Informationen während der Dauer der Aufbewahrungspflicht jederzeit lesbar machen zu können, nicht nur die Verfügbarkeit der Daten und der Software, sondern auch der Hardware gewährleistet sein muss, muss das Datensicherungskonzept im weiteren Sinne auch die Sicherung der EDV-technischen Installation umfassen. 5. Wie im einzelnen Unternehmen die erforderliche Datensicherheit hergestellt und auf Dauer gewährleistet werden kann, ist von den im Einzelfall gegebenen technischen Bedingungen sowie den sich aus diesen ergebenden Möglichkeiten abhängig. 5.1 Der Schutz der Informationen gegen unberechtigte Veränderungen ist durch wirksame Zugriffs- bzw. Zugangskontrollen zu gewährleisten. 5.2 Die Sicherung der Informationen vor Verlust erfordert im ersten Schritt die Durchführung von Datensicherungsprozeduren zu den auf dem EDV-System geführten Programmen und Daten. Es ist zweckmäßig, periodische Datensicherungsprozeduren vorzusehen und ergänzend zu diesen ad hoc Sicherungen durchzuführen. Der zweite Schritt der Sicherung der Informationen vor Verlust umfasst Maßnahmen, durch die für die gesicherten Programme/Datenbestände die Risiken hinsichtlich Unauffindbarkeit, Vernichtung und Diebstahl im erforderlichen Maß reduziert werden. 6. Da das Wie der Datensicherheit von dem jeweils gegebenen Stand der EDV- Technik abhängt, ergibt sich aus der technischen Entwicklung für das Unternehmen die Notwendigkeit, ihr Datensicherheitskonzept den jeweils aktuellen Anforderungen und Möglichkeiten anzupassen. Das Datensicherungskonzept des Unternehmens ist zu dokumentieren. 7 Dokumentation und Prüfbarkeit 7.1 Die DV-Buchführung muss von einem sachverständigen Dritten hinsichtlich ihrer formellen und sachlichen Richtigkeit in angemessener Zeit prüfbar sein. Weiterhin

3 muss sich aus der Dokumentation ergeben, dass das Verfahren entsprechend seiner Beschreibung durchgeführt worden ist. 7.2 Aus der zugrunde zu legenden Verfahrensdokumentation müssen Inhalt, Aufbau und Ablauf des Abrechnungsverfahrens vollständig ersichtlich sein. Wie die erforderliche Verfahrensdokumentation formal gestaltet und technisch geführt wird, kann der Buchführungspflichtige individuell entscheiden. Der Umfang der erforderlichen Verfahrensdokumentation richtet sich nach der Komplexität der DV-Buchführung. Die Anforderungen an die Verfahrensdokumentation sind unabhängig von der Größe/Kapazität der genutzten DV-Anlage zu stellen, das heißt, sowohl bei Großrechnersystemen als auch bei PC-Systemen ist für eine entsprechende Verfahrensdokumentation zu sorgen. 7.3 Die Verfahrensdokumentation muss insbesondere beinhalten: eine Beschreibung der sachlogischen Lösung die Beschreibung der programmtechnischen Lösung eine Beschreibung, wie die Programm-Identität gewährt wird eine Beschreibung, wie die Integrität von Daten gewahrt wird Arbeitsanweisungen für den Anwender Die Beschreibung eines jeden der vorgenannten Punkte muss den Umfang und die Wirkungsweise des IKS erkennbar machen Die sachlogische Beschreibung enthält die Darstellung der fachlichen Aufgabe aus der Sicht des Anwenders Die Beschreibung der programmtechnischen Lösung hat zu zeigen, wo und wie die sachlogischen Forderungen in Programmen umgesetzt sind In der Beschreibung, wie die Programmidentität gewahrt wird, hat der Buchführungspflichtige nachzuweisen, dass die eingesetzten Programme erbracht werden bzw. erbracht worden sind. Zum Nachweis der Programmidentität gehört im Wesentlichen die Freigabeerklärung in Verbindung mit vorhandenen Testdatenbeständen. Aus der Freigabeerklärung muss sich ergeben, welche Programmversion ab welchem Zeitpunkt für den produktiven Einsatz vorgesehen ist Als Maßnahmen zur Wahrung der Datenintegrität sind alle Vorkehrungen zu beschreiben, durch die erreicht wird, dass Daten und Programme nicht von Unbefugten geändert werden können. Die Arbeitsanweisungen, die für den Anwender zur sachgerechten Erledigung und Durchführung seiner Aufgaben vorhanden sein müssen, gehören ebenfalls zur Verfahrensdokumentation und sind schriftlich zu fixieren.

4 Auszüge aus den Erläuterungen zur GoBS (BmF-Schreiben) I. Anwendungsbereich (Tz. 1 der GoBS) Die GoBS beziehen sich nicht nur auf die konventionelle Speicherbuchführung. Sie sind neben dem COM-Verfahren auch bei ähnlichen Verfahren (z. B. COLD) sowie bei Dokumentenmanagementsystemen entsprechend anzuwenden. II. Beleg-, Journal- und Kontenfunktion (Tz. 2. der GoBS) Die ordnungsgemäße Anwendung des jeweiligen Verfahrens ist zu belegen. Der Nachweis der Durchführung der in dem jeweiligen Verfahren vorgesehenen Kontrollen ist u. a. durch Programmprotokolle sowie durch die Verfahrens-dokumentation zu erbringen. IV. Internes Kontrollsystem (IKS/Tz. 4 der GoBS) Das interne Kontrollsystem ist nur eines von vielen Kriterien zur Erfüllung der Ordnungsmäßigkeit einer DV-gestützten Buchführung. Das IKS allein indiziert noch nicht die Ordnungsmäßigkeit der DV-gestützten Buchführung. Die Beschreibung des IKS ist Bestandteil der Verfahrensdokumentation. Eine Wahlmöglichkeit für den Buchführungspflichtigen, welche Beschreibung er für erforderlich hält, besteht nicht. VI. Dokumentation und Prüfbarkeit (Tz 6. der GoBS) a) Für jedes DV-gestützte Buchführungssystem ist eine Dokumentation zu erstellen (Verfahrensdokumentation). Tz. 6.2 der GoBS zeigt Bereiche auf, auf die sich die Verfahrensdokumentation insbesondere erstrecken muss. Es handelt sich nicht um eine abschließende Aufzählung aller aufbewahrungspflichtigen Unterlagen, sondern lediglich um einen Rahmen für den Umfang der Dokumentation. Der Umfang der im Einzelfall erforderlichen Dokumentation wird dadurch bestimmt, was zum Verständnis der Buchführung notwendig ist. b) Bestandteil der Verfahrensdokumentation ist auch eine Beschreibung der vom Programm zugelassenen Änderungen von Systemeinstellungen durch den Anwender. Die Beschreibung der variablen, benutzerdefinierten Aufgabenstellungen ist Teil der sachlogischen Beschreibung. c) Die Beschreibung der programmtechnischen Lösung beinhaltet auch die Gültigkeitsdauer einer Tabelle. Zum Nachweis der Programmidentität ist das sog. Programmprotokoll erforderlich. Als Teil der Verfahrensdokumentation stellt dieses Protokoll regelmäßig den einzigen genauen Nachweis über den Inhalt des tatsächlich verwendeten Programms dar.

5 VIII. Wiedergabe der auf Datenträgern geführten Unterlagen a) Der Buchführende, der aufzubewahrende Unterlagen nur in Form einer Wiedergabe auf einem Datenträger vorlegen kann, ist verpflichtet, auf seine Kosten diejenigen Hilfsmittel zur Verfügung zu stellen, die erforderlich sind, um die Unterlagen lesbar zu machen; auf das Verlangen der Finanzbehörde hat er auf seine Kosten die Unterlagen unverzüglich ganz oder teilweise auszudrucken bzw. lesbare Reproduktionen beizubringen. 147 Abs. 2 AO schreibt zur Archivierung von Unterlagen auf digitalen Datenträgern keine besondere Technik vor. Die Regelung ist bewusst so gefasst worden, dass sie keine bestimmte Technologie vorschreibt. Mit Ausnahme der Jahresabschlüsse und der Eröffnungsbilanz ist damit die Speicherung/Archivierung der aufbewahrungspflichtigen Unterlagen auf digitalen Datenträgern als sog. andere Datenträger zulässig. AO (Abgabenordnung) / GDPdU 1. Aufbewahrungsfristen entsprechend AO Die Aufbewahrungsfristen von Dokumenten ergeben sich aus der Allgemeinen Abgabenordnung des Handelsgesetzbuches (HGB/AO). Für das eingesetzte elektronische Dokumentenmanagementsystem wird zwischen Dokumenten unterschieden, die nach der Archivierung vernichtet werden und nur noch auf dem elektronischen Speichermedium vorhanden sind und solchen, die entsprechend HGB/AO weiterhin im Original aufbewahrt werden müssen. Durch das eingesetzte elektronische Dokumentenmanagementsystem ist sicher zu stellen, dass aufbewahrungspflichtige Dokumente, die nicht mehr als Papieroriginal vorliegen, während ihrer vorgesehenen Lebensdauer nicht gelöscht, nicht verändert und durch einen eindeutigen Index wiederaufgefunden werden können. Durch die Einhaltung der vorgesehenen organisatorischen Maßnahmen zum ordnungsgemäßen Betrieb wird gewährleistet, dass jedes Dokument verlustfrei reproduziert werden kann. Die notwendigen organisatorischen Maßnahmen sind in Gestalt von Arbeitsanweisungen festgelegt. 2. GDPdU Die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) resultieren aus der Änderung der Abgabenordnung und wurden als BMF-Schreiben am 16. Juli 2001 an die obersten Finanzbehörden der Länder übermittelt, sowie im Bundessteuerblatt veröffentlicht.

6 Hierbei wird nach 147 Abs. 6 AO der Finanzbehörde das Recht eingeräumt, die mit Hilfe eines Datenverarbeitungssystems erstellte Buchführung eines Steuerpflichtigen durch Datenzugriff zu prüfen. Das Recht auf Datenzugriff beschränkt sich ausschließlich auf Daten, die für die Besteuerung von Bedeutung sind (steuerlich relevante Daten). Die Daten der Finanzbuchhaltung, der Anlagenbuchhaltung und der Lohnbuchhaltung sind danach für den Datenzugriff zur Verfügung zu halten. Hiernach sind ab 01. Januar 2002 alle buchungsrelevanten Daten, welche originär digital erzeugt wurden, revisionssicher aufzubewahren und in maschinell auswertbarer Form zur Verfügung zu stellen. Neben dem unmittelbaren Zugriff auf die steuerrelevanten Daten im System, können die Finanzbehörden auch Auszüge der Daten auf einem maschinell verwertbaren Datenträger anfordern. ZPO (Zivilprozessordnung) Die Zivilprozessordnung kennt keine elektronischen Dokumente, die als Beweis im Zivilprozessverfahren grundsätzlich anerkannt werden könnten. Reproduzierte Dokumente aus elektronischen Archivsystemen unterliegen der freien Beweiswürdigung als Objekt des Augenscheins. Durch ein abgesichertes Verfahren, wie in dieser Verfahrensdokumentation beschrieben, kann dieses Risiko eingeschränkt werden. Im System werden die Dokumente verlustfrei zusammen mit den beschreibenden Merkmalen einschließlich dem Zugriffsindex, Speicherdatum und anderen Sicherheitsmerkmalen auf nur einmal beschreibbaren digitalen optischen Speicherträgern archiviert. Der gesamte Prozess der Entstehung wird nachvollziehbar und reproduzierbar protokolliert. Die archivierten Dokumente sind weder physisch löschbar noch sind sie veränderbar. Den mit dem hier beschriebenen Verfahren archivierten Dokumenten kommt damit der Charakter von elektronischen Dokumenten hoher Qualität zu. Anforderungen an die Verfahrensdokumentation Resultierend aus den gesetzlichen Anforderungen muss die Verfahrens-dokumentation u. a. folgende Themen abdecken: Beschreibung der sachlogischen Lösung: Darstellung der fachlichen Aufgabe aus Sicht des Anwenders Beschreibung der programmtechnischen Lösung: Wo und wie sind die sachlogischen Forderungen in Programmen umgesetzt Beschreibung der Wahrung der Integrität der Daten: Alle Vorkehrungen, die erreichen, dass Daten und Programme nicht von Unbefugten geändert werden können. Arbeitsanweisungen für den Anwender: schriftlich fixierte Arbeitsanweisungen, die für den Anwender zur sachgerechten Erledigung und Durchführung seiner Aufgaben vorhanden sein müssen

7 Die Verfahrensdokumentation beschreibt die Eigenschaften des Dokumentenmanagementsystems, welche sicherstellen, dass aufbewahrungs-pflichtige Dokumente während ihrer vorgesehenen Lebensdauer: nicht gelöscht nicht verändert (Versionskontrolle und revisionssichere Langzeitarchivierung) durch einen eindeutigen Index wiedergefunden werden können. Im Sinn der ZPO kann durch eine Verfahrensdokumentation das Verfahren und die Behandlung der Dokumente so belegen, dass ihnen der Charakter von "elektronischen Dokumenten hoher Qualität zukommt". Aufbewahrungspflichtige Dokumente im Sinne der GDPdU sind steuerrelevante Dokumente und Daten. Von den Anforderungen an eine digitale Prüfbarkeit der steuerrelevanten Daten ist im Hause des Kunden im Wesentlichen das eingesetzte ERP-System SAP R/3 betroffen. Betrachtungen im Sinne der GDPdU sind daher Aufgabe der entsprechenden Verfahrensdokumentation des ERP-Systems. Das Dokumentmanagementsystem wird insofern berührt, dass aus dem ERP-System erzeugte Dokumente und Beleglisten archiviert werden bzw. gescannte Papierdokumente mit Buchungsbelegen im ERP-System verknüpft werden. Diese Prozesse und Funktionalitäten werden in den folgenden Kapiteln entsprechend detailliert beschrieben, sowie der Nachweis der Ordnungsmäßigkeit erbracht. Für einen direkten Zugriff eines Außenprüfers auf die DV-Systeme müssen Zugriffsregelungen und entsprechende Benutzerprofile definiert werden. VOI-Richtlinien Der VOI (Verband Organisations- und Informationssysteme e.v.) hat folgende Richtlinien für Archiv- und Dokumentenmanagementsysteme publiziert, deren Erfüllung die Verfahrensbeschreibung ebenfalls nachweisen kann: 1. Jedes Dokument muss unveränderbar archiviert werden. 2. Es darf kein Dokument auf dem Weg ins Archiv oder im Archiv selbst verloren gehen. 3. Jedes Dokument muss mit geeigneten Retrievaltechniken wiederauffindbar sein. 4. Es muss genau das Dokument wiedergefunden werden, das gesucht worden ist. 5. Kein Dokument darf während seiner vorgesehenen Lebenszeit zerstört werden können. 6. Jedes Dokument muss in genau der gleichen Form, wie es erfasst wurde, wieder angezeigt und gedruckt werden können. 7. Jedes Dokument muss zeitnah wiedergefunden werden können. 8. Alle Aktionen im Archiv, die Veränderungen in der Organisation und Struktur bewirken, sind derart zu protokollieren, dass die Wiederherstellung des ursprünglichen Zustandes möglich ist.

8 9. Elektronische Archive sind so auszulegen, dass eine Migration auf neue Plattformen, Medien, Softwareversionen und Komponenten ohne Informationsverlust möglich ist. 10. Das System muss dem Anwender die Möglichkeit bieten, die gesetzlichen Bestimmungen (BDSG, HBG/AO etc.) sowie die betrieblichen Bestimmungen des Anwenders hinsichtlich Datensicherheit und Datenschutz über die Lebensdauer des Archivs sicherzustellen.

9 Inhaltliche Übersicht Verschiedene in der Fachliteratur vorhandene Gliederungen für eine Verfahrensbeschreibung wurden von dem Arbeitskreis Regelwerk Verfahrensdokumentation des TÜViT, Essen und des VOI e. V., Darmstadt standardisiert. Die nachfolgende Struktur des Dokuments orientiert sich an diesem Regelwerk. Die nachfolgende Liste gibt einen inhaltlichen Überblick der Verfahrensdokumentation: Allgemeine Beschreibung des Einsatzgebietes In diesem Abschnitt wird das allgemeine Verfahren aus fachlicher und technischer Sicht beschrieben. Es dient als allgemeine Beschreibung des Einsatzgebietes und des Zwecks, für den das DMS eingesetzt wird. Beschreibung der sachlogischen Systemlösung Die Beschreibung der Lösung enthält die fachliche Aufgabe aus dem Blickwinkel des Betreibers. Inhalt und Nutzung des DMS sind vor dem Hintergrund der rechtlichen Anforderungen dargestellt. Die Umsetzung der Prüfungsanforderungen der GDPdU wird beschrieben. Technische Systemlösung und Migration Dieses Kapitel beschreibt die Anforderungen an die Darstellung der technischen Systemlösung sowie an das Konzept zur Langzeitverfügbarkeit der Dokumente. IT-Sicherheit Beschreibung der Sicherstellung von Datensicherheit, Datenintegrität und Datenschutz, integriert in das gesamte IT-Sicherheitskonzept des Unternehmens. Technischer Betrieb Beschreibung aller notwendigen Maßnahmen und deren Einhaltung zur Gewährleistung des ordnungsgemäßen Betriebes, Betriebsbedingungen/- voraussetzungen und Betriebsprozesse Prozesse Detaillierte Beschreibung der Prozesse zur Behandlung und Bearbeitung von Dokumenten innerhalb des DMS Mitarbeiterqualifikation Nachweis der Qualifikation der Mitarbeiter für einen ordnungsgemäßen Betrieb wird in diesem Abschnitt nachgewiesen. Test

10 Die zuvor dargestellten Funktionsweisen und Prozesse werden durch Tests mit entsprechender Abnahme nachgewiesen. Zu den Tests zählen die Durchführung täglicher Arbeitsschritte im Produktivbetrieb sowie die Simulation von Fehlersituationen. Wartung Beschreibungen der durchzuführenden Prüfungs- und präventiver Wartungsmaßnahmen. Autoren Die unterschiedlichen Kapitel der Verfahrensdokumentation sind von verschiedenen Autoren beigetragen. Dies ist im jeweiligen Kapitel entsprechend vermerkt. Generell können Teile einer Verfahrensbeschreibung von folgenden Personen/Gruppen stammen: Hersteller des DMS Betreiber des DMS Integrator des DMS (falls nicht identisch mit dem Hersteller) bzw. weiteren Dienstleistern bei der Implementierung des DMS Neutrale Beratung oder Wirtschaftsprüfer Externe Dokumente und Versionen In Unternehmen installierte DV-Systeme unterliegenden ständigen Veränderungen. Daher sind Teile der Dokumentation in Form von Anhängen oder separaten Dokumenten ausgelagert, welche entsprechend fortgeschrieben werden können, z. B. bei Änderungen der Systemkonfiguration, Ergänzung von Hardware, etc. Die ausgelagerten Dokumente können neben dem Bestandteil der Verfahrensdokumentation auch z. B. die Aufgabe einer Referenz für ein Betriebshandbuch erfüllen. Die jeweiligen Versionen von ausgelagerten Dokumenten werden innerhalb der Verfahrensdokumentation aufgezeigt und bei Änderungen entsprechend angepasst. Eine Anpassung und Pflege der Verfahrensdokumentation selbst ist bei Änderungen des Systems ebenfalls notwendig. Neben ausgelagerten Dokumenten werden auch bereits vorhandene Dokumentationen, z. B. Systemhandbücher, mit einbezogen. Gültigkeit Die Verfahrensdokumentation besitzt ihre Gültigkeit zum Zeitpunkt der Erstellung, da sie das zu diesem Zeitpunkt aktuelle System beschreibt. Bei Ergänzungen und Änderungen des Systems sind die Verfahrensdokumentation sowie damit verbundene Dokumente entsprechend fortzuschreiben (s. o.). Die in den nachfolgenden Ausführungen dargestellten Dokumenttypen sind nur teilweise im Sinne der GoBS und GDPdU relevant. Das Dokumentenmanagement-system ist grundsätzlich in der Lage, beliebige Dateitypen unabhängig vom Dateiformat zu verwalten. Daher gelten die dargestellten Funktionen und Eigenschaften, falls nicht explizit anders dargestellt, für alle Typen von Dokumenten.