Fall 4: Standard Software falsch behandelt Bernhard Hamberger Partner Ernst & Young, Bern 4: Standard-Software falsch behandelt Fehlende Prüfungshandlungen im Bereich ERP-Systeme Das Unternehmen hat ein ERP-System eingesetzt. Es ist grundsätzlich davon auszugehen, dass das ERP-System einen bedeutenden Einfluss auf die Prozesse der Unternehmung hat. Aus den Arbeitspapieren geht nicht hervor, ob der Prüfer ein ausreichendes Verständnis zur Bedeutung und Komplexität der IT erlangt hat und bei der Planung der konkreten Prüfungshandlungen das IT-Umfeld berücksichtigt wurde bzw. spezifische Prüfungshandlungen durchgeführt wurden, um die erkannten Risiken zu minimieren In den Arbeitspapieren kommentiert der Prüfer, dass die Funktionsfähigkeit des ERP-Systems in Frage gestellt wurde und somit wesentliche Mängel in der Finanzberichterstattung sowie auf Unternehmens- wie Transaktionsebene bestehen könnten.. 2 1
Was ist eine Standardanwendung? Stark angepasste Standardanwendung Standardanwendung 3 Was ist Standardsoftware? Definition Als Standardsoftware werden Softwaresysteme verstanden, die einen klar definierten Anwendungsbereich abdecken und als vorgefertigte Produkte erworben werden können. Im Gegensatz dazu wird Individualsoftware gezielt für den Einsatz bei einem Kunden bzw. Unternehmen entwickelt. Von Abacus bis ZAP Es gibt eine breite Palette von Standardsoftware, welche bspw. von einfachen und kaum konfigurierbaren Fibu Anwendungen bis hin zu komplexen ERP Systemen reicht. 4 2
Fragen beim Einsatz von Standardsoftware Komplexität und Maturität der Anwendung bestimmt den Prüfansatz Parametrisierungsgrad - Standardanwendung oder stark angepasste Standardanwendung Branchenübliche Lösung? Zertifiziert? Maturität etabliertes System oder Neuheit Informationsquelle (Forum) betr. bekannter Schwachstellen (Sicherheit, Prozessschwachstellen) Eigene Vertrautheit und Erfahrungen des Prüfers 5 Anforderungen gemäss PS401 Risikobeurteilung Will der Prüfer einen wirkungsvollen Prüfungsansatz entwickeln, muss er bei ICT-Anwendungen, die für das Rechnungswesen relevant sind, Bedeutung und Komplexität der ICT-gestützten Verarbeitungsprozesse verstehen, aber ebenso das ICT-Umfeld, samt der in den Prozessen und im Umfeld enthaltenen Risiken. 6 3
Anforderungen gemäss PS401 Notwendige Schritte des Abschlussprüfers Erlangung eines genügenden Verständnisses von Rechnungswesen- System und interner Kontrolle, soweit diese vom ICT-Umfeld beeinflusst werden die Bestimmung der Auswirkung des ICT-Umfeldes auf die Einschätzung des Risikos insgesamt sowie des Risikos auf der Ebene der einzelnen Abschlusspositionen und Arten von Transaktionen Planung und Durchführung geeigneter verfahrens- und ergebnisorientierter Prüfungshandlungen 7 Fehlerquellen bei Standardanwendungen Konfigurationsfehler Fehler bei der Einführung / Konfiguration führt zu falscher Verarbeitung oder Umgehung des IKS Non-Standard Einsatz von Standardsoftware Workarounds Vernachlässigung des Reporting bei der Einführung Fehlerhafte Electronic Audit Evidence Fehler in der Verarbeitung Tiefe Maturität der Lösung Unterschiedliche Maturität von (Modulen in) Standardsoftwarepaketen Fehler in der Anwendung Komplexität Schlechte Anwenderschulung 8 4
Fehlerquellen bei Standardanwendungen Inventory Closing Microsoft Business Solutions Axapta 3.0 and Service Packs Version: 1.0, published: December, 2004 Under certain conditions, Microsoft Axapta 3.0 can return incorrect inventory values in the general ledger as reported from different modules within Microsoft Axapta. Customers may also experience issues with running inventory closing routines at all, due to one or more code issues that can manifest under specific conditions. Finally, the value of the inventory as reported from the Microsoft Axapta Financial Management module may not match the expected value when customers perform a physical inventory count.. 9 Fehlerquellen bei Standardanwendungen 10 5
Fazit zu Standardanwendungen (Auch) Standardanwendungen stellen eine Herausforderung dar Daher sollte folgendes berücksichtigt werden: Reife der Software Version Grad der Parametrisierung Frühere Audit Resultate Internet Forum Release Dokumentation Grosse Zahl wichtiger eingebauter Kontrollen, typischerweise: Input Validierung Verarbeitungssteuerung Transaktionsverarbeitung Ausgabensteuerung Sicherstellen, dass die erwarteten Kontrollen existieren und angewendet werden 11 6