Oracle E-Business Suite R12 Ordnungsmäßigkeit Daniela Geretshuber, Alexander Götz PricewaterhouseCooopers AG München Jürgen Schiff Oracle Deutschland GmbH Dreieich Formatiert: Deutsch (Deutschland) Schlüsselworte: Oracle EBS R12, Softwaretestat, Grundsätze ordnungsgemäßer Buchführung (GoB), Audit, Internes Kontrollsystem (IKS), Implementierung Einleitung Die Entwicklungen der letzten Jahre im Bereich der Informationsverarbeitung haben zu einer veränderten Arbeitsweise mit IT-gestützten Buchführungssystemen geführt. Durch den stetig steigenden Einsatz von Finanzbuchhaltungssoftware und die Integration von automatischen Schnittstellen zu anderen Systemen, kommt der Ordnungsmäßigkeit und Sicherheit der einzelnen (integrierten) Softwaremodule eine immer erhöhte Bedeutung zu. Durch das Handelsgesetzbuch und die Abgabenordnung werden an kaufmännische Softwareapplikationen in Deutschland zwingende Anforderungen gestellt, um die Ordnungsmäßigkeit der Buchführung und damit die Einhaltung der Grundsätze ordnungsmäßiger Buchführung (GoB) zu gewährleisten. Softwaretestate sind ein in Deutschland anerkanntes Instrument, um Anwendern und Wirtschaftsprüfern Sicherheit über die Abdeckung der relevanten Ordnungsmäßigkeitsanforderungen der Software zu geben. Wirtschaftsprüfer nutzen bestehende Softwaretestate zum Beispiel im Zuge von Jahresabschlussprüfungen, um Sicherheit über die ordnungsgemäße Funktionsweise der Software zu erlangen. Testate werden somit als wichtiges Entscheidungskriterium bei der Auswahl einer Software angesehen. Für den Softwarehersteller sind Softwaretestate zudem ein wichtiger Bestandteil der Qualitätssicherung, weshalb viele Hersteller von Standardsoftware die Ordnungsmäßigkeit und Sicherheit der rechnungslegungsrelevanten Module ihrer Softwareprodukte durch Wirtschaftsprüfer prüfen lassen. Begriffe des Softwaretestats und GoB Eine Bestätigung der Ordnungsmäßigkeit nach durchgeführter Softwareprüfung erfolgt in Form einer Softwarebescheinigung ("Softwaretestat" oder auch "Softwarezertifikat") gem.
dem IDW 1 -Prüfungsstandard "Erteilung und Verwendung von Softwarebescheinigungen" (IDW PS 880). Gegenstand dieser Softwareprüfungen ist die Beurteilung der Einhaltung der Grundsätze ordnungsmäßiger Buchführung (GoB) im Rahmen der durch die Software vorgegebenen Verfahren. Die Prüfung der Ordnungsmäßigkeit von Softwareprodukten richtet sich gem. IDW PS 880 auf die notwendigen Verarbeitungsfunktionen (Beleg-, Journal- und Kontenfunktion), die programmierten Verarbeitungsregeln, die Softwaresicherheit sowie die Dokumentation. Die allgemeinen Anforderungen an die Ordnungsmäßigkeit sind im HGB kodifiziert. Demnach muss ein im Rechnungswesen eingesetztes IT-Verfahren den GoB entsprechen. Ihre fundamentale Bedeutung wird durch die folgenden Beispiele der zu erfüllenden Rahmengrundsätze deutlich. Richtigkeit ( 239 Abs. 2 HGB) Die formale Richtigkeit der Buchungen soll durch Erfassungskontrollen (definierte Dateneingabehilfen) unterstützt werden, um zu gewährleisten, dass die, für die nachfolgende Verarbeitung, erforderlichen Merkmale einer Buchung vorhanden und plausibel sind (z.b. Prüfroutine für Bankleitzahlen). Nachvollziehbarkeit ( 238 Abs. 1 S. 2 HGB) Die Nachvollziehbarkeit des einzelnen buchführungspflichtigen Geschäftsvorfalls wird zum Beispiel durch die Beachtung der Kontenfunktion Sorge getragen. Demnach müssen die Geschäftsvorfälle nach Sach- und Personenkonten geordnet dargestellt werden können. Vollständigkeit ( 239 Abs. 2 HGB, 246 Abs. 1 S. 1 HGB) Die Vollständigkeit von Datensätzen muss durch die Definition von Pflichtfeldern gewährleistet werden. Die Vollständigkeit der Geschäftsvorfälle muss durch die Einrichtung einer automatischen, lückenlosen und fortlaufende Nummerierung von Belegen und Transaktionen gewährleistet werden. Zusätzlich zum HGB kommen weitere relevante Anforderungen zum Tragen. Das sind, zum einen konkretisierenden Anforderungen wie die "Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)" der Arbeitsgemeinschaft für wirtschaftliche Verwaltung e.v. (AWV) sowie das dazu ergangene Begleitschreiben des Bundesministers der Finanzen, die IDW Stellungnahme zur Rechnungslegung "GoB bei Einsatz von Informationstechnologie" (IDW RS FAIT 1) und zum anderen zusätzliche Anforderungen, wie z.b. umsatzsteuerlichen Anforderungen. 1 Institut der Wirtschaftsprüfer
Ein Softwaretestat: Was bedeutet es, und was bedeutet es nicht? Bereits für das Release 11i der Oracle E-Business Suite wurde ein Softwaretestat ausgestellt, welches die gesetzlichen und rechnungslegungsrelevanten Anforderungen zur Ordnungsmäßigkeit bescheinigt. Im Rahmen des neuen Release 12 gab es wesentliche Programmerneuerungen und so wurden größere Produktanpassungen vorgenommen. Aus diesem Grund bestand auch für dieses neue Release der Wunsch nach einer unabhängigen Bestätigung über die Ordnungsmäßigkeit der Software. Die PricewaterhouseCoopers AG WPG wurde damit beauftragt, eine Softwareprüfung der Oracle E-Business Suite R12 durchzuführen. Diese Prüfung der Finanzmodule der Oracle E-Business Suite Release 12 wurde erfolgreich abgeschlossen. PricewaterhouseCoopers hat zum Abschluss eine Bescheinigung erteilt. Zur Sicherstellung der Ordnungsmäßigkeit ist es unverzichtbar, dass in der jeweiligen Installation die empfohlenen Einstellungen und Verfahrensweisen eingehalten werden. Darüber hinaus ist die Einbettung des Systems in ein effektives Kontrollumfeld erforderlich. Effektives Kontrollumfeld Wie angesprochen müssen zur Sicherstellung der Einhaltung dieser Anforderungen sowohl innerhalb der Software als auch im Umfeld dieser, eine Reihe von Bedingungen erfüllt werden. Die folgende Abbildung gibt einen Überblick über die Bestandteile eines effektiven Kontrollumfelds. Basierend auf dem ausgestellten Softwaretestat sind die Einstellung der Systemparameter, das Vorhandensein von IT General Controls (ITGC) und darüber hinaus funktionierende Prozesskontrollen im Rahmen des Internen Kontrollsystem (IKS) notwendig. ITGC Systemparameter Softwaretestat IKS PricewaterhouseCoopers Abbildung 1 Softwaretestat im Kontext des Kontrollumfeldes
Während der Implementierungsphase der Oracle E-Business Suite R12 müssen eine Reihe von Systemparametern so gesetzt werden, dass die lokalen rechtlichen Anforderungen abgedeckt werden. Darüber hinaus gilt es zusätzliche Anforderungen durch kundenspezifische Geschäftsprozesse zu berücksichtigen. Im Kontext der Softwareprüfung wurde von Oracle eine ergänzende Dokumentation erstellt, welche die relevanten Systemeinstellungen erläutert. Der Fokus liegt dabei auf den für die Finanzbuchhaltung relevanten Modulen General Ledger, Payables, Receivables, Payments, Fixed Assets und Teilen von e-tax. Zusätzlich zu der richtigen Parametrisierung des Systems ist es unerlässlich, dass ein funktionierendes Kontrollumfeld existiert. Dazu gehören systematisch gestaltete organisatorische Maßnahmen und wirksame Kontrollen im Unternehmen. (Internes Kontrollsystem). Als Teil des IKS sollen sogenannte IT General Controls (ITGC) die erforderlichen Kontrollmaßnahmen zur Sicherstellung des ordnungsmäßigen Betriebes der IT Applikationen sowie der Sicherheit der Daten gewährleisten. Oracle Unterstützung zur Abbildung nationaler Anforderungen Mit der Oracle E-Business Suite können Rechnungslegungsvorschriften verschiedener Länder abgedeckt werden. Neue Funktionen unterstützen auch die parallele Abbildung verschiedener Rechnungslegungsvorschriften, wie sie für ein ERP-System multinationalen Zuschnitts üblich ist. Die folgenden Funktionen und Maßnahmen unterstützen das implementierende Unternehmen, die Oracle E-Business Suite so einzurichten, dass nationale Rechnungslegungsvorschriften und Geschäftspraktiken sicher abgebildet werden können: Regelbasierte Mechanismen und Funktionen Europäische und nationale Lokalisierungen Softwareprüfungen White Papers Oracle Consulting / Oracle Partner Mit dem Release 12 der Oracle E-Business Suite werden Geschäftsprozesse zunehmend über regelbasierte Mechanismen abgewickelt. Auf dieser Basis ist die flexible Gestaltung von Geschäftsprozessen und damit die Abbildung spezifischer nationaler Rechnungslegungsanforderungen einer der Hauptvorteile der Oracle E-Business Suite. Damit komplexe Regelwerte nicht jeweils neu zusammengestellt werden müssen, werden für ausgewählte Bereiche auch Standard-Regelwerke (Templates) angeboten. Diese können vor dem jeweilig konkreten Implementierungshintergrund individuell ausgestaltet und verändert werden. Beispiele für regelbasierte Mechanismen in der Oracle E-Business Suite R12 sind e- Tax, Subledger Accounting, Advanced Collections, Benutzerverwaltung (UMX) und Payments.
Mit der Oracle E-Business Suite R12 werden zusätzlich zum Kernprodukt auch europäische und nationale Lokalisierungen angeboten. Diese als Add-on bezeichneten Lokalisierungen runden das Produktspektrum im Bereich Financials ab und dienen der Abbildung nationaler Anforderungen, die mit den Standard-Funktionen nicht unmittelbar umgesetzt werden können. Lokalisierungen, die nationale Anforderungen und Geschäftspraktiken in Deutschland unterstützen, werden im Rahmen des Vortrags überblicksartig vorgestellt. Oracle initiiert Softwareprüfungen zusammen mit namhaften Wirtschaftsprüfungsgesellschaften. Dabei werden folgende Ziele verfolgt: Erteilung einer Softwarebescheinigung durch die Prüfungsgesellschaft Erstellung einer Benutzerdokumentation durch Oracle (White Paper) In der Benutzerdokumentation werden implementierungsspezifische- und organisatorische Rahmenbedingungen dargestellt, unter denen die Zertifizierung erfolgreich verlaufen ist. Sie dient beispielhaft als Orientierungsrahmen für Kunden, die eine Implementierung planen und durchführen wollen, die den Grundsätzen ordnungsmäßiger Buchführung (GOB) genügt. Oracle publiziert über Metalink regelmäßig sogenannte White Papers, um häufig aufkommende Fragestellungen strukturiert und lösungsorientiert zu beantworten. Im Rahmen des Vortrages wird ein Überblick über die aktuellen White Papers im Bereich Finance gegeben. Gerade im Rahmen von multinationalen Rollouts, aber auch bei nationalen Einführungen sind Fragestellungen zur jeweils lokalen Rechnungslegung und deren Abbildung mit der Oracle E- Business Suite von tragender Bedeutung. Oracle unterstützt hier mit der Bereitstellung von Experten Know-How durch Oracle Consulting. Partner Programme sowie Oracle Qualitätsstandards runden das Bild entsprechend ab. Projektbegleitende Prüfungen durch eine Wirtschaftsprüfungsgesellschaft stellen die Revisionssicherheit bereits mit Produktivsetzung sicher. Darüber hinaus können Hinweise zur optimalen Ausgestaltung eines effizienten, IT-gestützten Kontrollsystems gegeben werden. Vorgehensweise in einem idealtypischen Implementierungsprojekt Im Rahmen der Einführung einer neuen Software oder der Umstellung auf ein neues Release müssen die vorgenannten Anforderungen an die Software und die Softwareumgebung berücksichtigt werden. Ein Implementierungsprojekts setzt sich aus den nachfolgend beschriebenen Phasen zusammen. Jeder dieser Phasen stehen notwendige Maßnahmen gegenüber, welche innerhalb der Implementierung berücksichtigt werden müssen. Planungsphase In der Planungsphase werden die Projektziele in Übereinstimmung mit der IT-Strategie definiert. Ausgehend von den Projektzielen sollte typischerweise ein Projektplan, eine Projektkalkulation und eine Aufgabenbeschreibung erstellt werden. Desweiteren sollten in
dieser Phase auch die Rahmenbedingungen des Projekts (Projekthandbuch und Regelungen zur Projektorganisation) vorliegen. Definitionsphase In dieser Phase sollten in einem Pflichtenheft die Anforderungen zusammengefasst werden, welche durch die neue Software erfüllt werden sollen. Zu prüfen ist, ob dem Pflichtenheft eine sachgerecht durchgeführte Analyse der Geschäftsprozesse und des Kontrollsystems zugrunde liegt und ob im Pflichtenheft alle wesentlichen Funktionen, Aufgaben und Kontrollen enthalten sind, die mit der zu beschaffenden Software abzudecken sind. Eine unzureichende Geschäftsprozessanalyse birgt das Risiko unvollständiger bzw. unzutreffender Pflichtenhefte und somit ein frühzeitiges Scheitern eines Projekts. Planung Definition Customizing Test Datenmigration Produktivsetzung Projektziele und IT Strategie Projektorganisation und -handbuch, Pflichtenheft Prozesse und IT-Kontrollsystem Parametrisierung- und Customizingkonzept Berechtigungskonzept Konzept zur Testdurchführung Schulungskonzept Migrationskonzept, Datenanpassungskonzept Einsatzfreigabe Projektorganisation und -handbuch, Abbildung 2 Prozessphasen einer idealtypischen Implementierung Design- und Customizingphase Gegenstand dieser Phase ist das Konzept zur Anpassung der Geschäftsprozesse und des IT- Kontrollsystems einschließlich der damit in Zusammenhang stehenden Berechtigungsvergabe (Berechtigungskonzept) und das darauf aufbauende Parametrisierungs- bzw. Customizingkonzept.
Die Einführung einer Standardsoftware führt regelmäßig zu einer Anpassung der Geschäftsprozesse und des internen Kontrollsystems. Die Konzepte zur Anpassung der Geschäftsprozesse sollten daher angemessene Regelungen zu folgenden Aspekten vorsehen: Manuelle und automatisierte Kontrollen in den IT-gestützten Geschäftsprozessen, interne Kontroll- und Abstimmverfahren im Rechnungswesen, Anpassung und Abstimmung von Schnittstellen, Berechtigungskonzept sowie Überwachung der Kontrollen der IT-gestützten Geschäftsprozesse. Das Berechtigungskonzept muss auf Grundlage der geplanten Anpassungen zukünftiger Geschäftsprozesse beurteilt werden. Dabei muss geprüft werden, ob die Berechtigungen mit den Kompetenzen im Einklang stehen. Testphase In der Testphase wird die konzeptgemäße Programmlösung unter Verwendung von Testdaten praktisch erprobt und das Programm inhaltlich freigegeben. Der Test muss gemäß den Projektvorgaben geplant, vorbereitet und durchgeführt werden. Beim Testverfahren ist darauf zu achten, dass die Funktionstrennung zwischen Customizing, Testdurchführung und Projektabnahme ausreichend berücksichtigt wird und die Testergebnisse nachvollziehbar dokumentiert werden. Das Konzept für die Testdurchführung muss gewährleisten, dass alle durch das IT-Projekt betroffenen Geschäftsvorfälle in ausreichendem Maß in einer möglichst produktionsnahen Umgebung getestet werden. Festgestellte Fehler sollten während dieser Phase schon bereinigt werden. Fehlerbereinigungen müssen in einem geordneten Prozess durchgeführt und selbst wieder getestet werden. Darüber hinaus soll ein Schulungskonzept erstellt werden. Die geplanten Schulungsmaßnahmen müssen alle vom Einsatz des neu eingeführten oder geänderten ITgestützten Rechnungslegungssystems betroffenen Mitarbeiter in die Lage versetzen, die Systeme ihren Aufgaben entsprechend anzuwenden. Dies gilt in besonderem Maße, soweit durch die Umsetzung eine Anpassung der IT-Geschäftsprozesse und damit der Arbeitsabläufe und der prozessbezogenen Kontrollen erfolgt. Datenmigrationsphase Im Rahmen des Migrationskonzepts wird das Verfahren zur Übertragung der Alt-Daten auf das neue IT-gestützte Rechnungslegungssystem sowie die vom Unternehmen durchzuführenden Migrationstests festgelegt. Soweit eine Anpassung der Datenstrukturen oder Formate notwendig ist, muss das hierfür vorgesehene Verfahren zur vollständigen und richtigen Anpassung dargestellt werden. Die Datenstrukturen und -formate des alten und des neuen IT-gestützten Rechnungslegungssystems müssen richtig und vollständig erhobe und damit die Auswirkungen des Systemwechsels angemessen berücksichtigt werden. Die vollständige und
richtige Datenübernahme muss nachvollziehbar dokumentiert sein. Es dürfen keine Veränderungen am Buchungsstoff vorgenommen werden. Produktivsetzungsphase Zum Zeitpunkt der Produktivsetzung müssen alle Voraussetzungen für die Überführung des IT-gestützten Rechnungslegungssystems in den Regelbetrieb erfüllt sein. Hierzu zählt insbesondere die dokumentierte Einsatzfreigabe durch die Fachbereiche (Abnahmeerklärung). Als weitere Voraussetzung für die Produktivsetzung müssen auch die erforderlichen Schulungen und Einweisungen sowohl der künftigen Anwender als auch des IT-Personals erfolgt sein. Qualitätssicherungsmaßnahmen einschließlich der erforderlichen Tests müssen erfolgt sein, sowie die notwendige Verfahrensdokumentation (einschließlich der Anwenderdokumentationen sowie der System- und Schnittstellenbeschreibungen) sowie Organisationsrichtlinien und Anweisungen vorliegen und umgesetzt sein. Fazit und Ausblick Mit Durchführung der Softwareprüfung und der Erstellung der begleitenden Dokumentation durch Oracle sind wertvolle Informationen für deutsche Benutzer geschaffen worden. Diese stellen eine Grundlage für die ordnungsmäßige Einführung und Ausgestaltung dar, ersetzen aber in keinster Weise eine fachmännische Unterstützung der Implementierung und des Setup. Kontaktadressen: Daniela Geretshuber Alexander Götz PricewaterhouseCoopers AG Elsenheimer Strasse 31 D-80687 München Telefon: +49(0)89-5790 50 E-Mail Daniela.Geresthuber@de.pwc.com Alexander.Götz@de.pwc.com Internet: www.pwc.de Jürgen Schiff Oracle Deutschland GmbH Robert-Bosch-Straße 5 D-63303 Dreieich Telefon: +49(0)6103397315 E-Mail: Jürgen.Schiff@oracle.com Internet: www.oracle.com