Handbuch SAP-Revision

IKS, Audit, Compliance
1. Auflage 2010
ISBN: 978-3-8362-1603-6
Verlag: Rheinwerk Verlag

Buch, Deutsch, 672 Seiten, Format (B × H): 168 mm x 240 mm

Reihe: SAP PRESS

Vom Paragrafen zum IKS-Konzept – vom Konzept zum IKS-Inhalt – vom IKS zur IKS-Automatisierung: Dieses Buch zeigt Ihnen, wie Sie Ihr SAP-System aufstellen müssen, um für den Besuch des Prüfers oder für die interne Revision gerüstet zu sein. Dabei erfahren Sie, wie Sie Ihre IKS-Prozesse effizient gestalten.

Sie lernen die gesetzlichen Rahmenbedingungen (z.B. SOX, GoBS, FDA, Datenschutz), Ansätze und Prinzipien eines internen Kontrollsystems (IKS) sowie verschiedene Frameworks (z.B. COSO, CobiT, ITIL u.v.m.) kennen und erfahren, wie SAP Sie bei der Umsetzung dieser Anforderungen und Ansätze unterstützen kann.

Anschließend wird erläutert, wie Sie die IKS-Inhalte in SAP ERP modul- und prozessbezogen umsetzen können. Sie werden mit den grundlegenden Zusammenhängen und Suchoptionen im Bereich der SAP-Applikations- und Berechtigungskontrollen vertraut gemacht; dabei werden die Kontrollen und Prüfungshandlungen in Basis, Finanzbuchhaltung, Einkauf, Materialwirtschaft, Vertrieb und Personalwesen ausführlich erläutert. Themen wie Betrug, FDA und Datenschutz werden in diesem Rahmen separat behandelt.

Darauf aufbauend erhalten Sie alle Informationen, um ein internes Kontrollsystem in Ihrem Unternehmen eigenständig und effizient einzurichten, z.B. durch die Automatisierung von IKS-Aktivitäten sowie durch integrierte Tests und Monitoringszenarien. Beispiele aus der Unternehmenspraxis zeigen Ihnen schließlich, was die dargestellten Methoden bewirken und was Sie besonders beachten müssen.

Aus dem Inhalt:

- SOX, GoBS sowie COSO, CobiT, VAL-IT u.v.m. – gesetzliche Initiativen und international anerkannte IKS-Konzepte

- Revisionsrelevante SAP-Grundlagen

- IT General Controls

- Übergreifende Applikationskontrollen in SAP

- Prozess- und modulspezifische Applikationskontrollen

- Fraud im SAP-System

- FDA-Compliance und Kontrollen in SAP

- Automatisierung der IKS-Aktivitäten

- Tests und Monitoring als Teil der IKS-Aktivitäten

- Erfahrungen und Beispiele aus der Praxis

Autoren/Hrsg.

Chuprunov, Maxim

Fachgebiete

• Wirtschaftswissenschaften Betriebswirtschaft Unternehmensfinanzen Controlling, Wirtschaftsprüfung, Revision
• Wirtschaftswissenschaften Betriebswirtschaft Wirtschaftsinformatik, SAP, IT-Management
• Mathematik | Informatik EDV | Informatik Business Application Unternehmenssoftware SAP

Inhaltsverzeichnis

. Vorwort. 21

. Vertrauen ist gut, Kontrolle ist billiger: Einleitung. 23

TEIL I. Vom Paragrafen zum Konzept: IKS und Compliance im ERP-Umfeld. 35

1. Gesetzliche Anforderungen im Bereich IKS-Compliance. 37

. 1.1. Begriffsdefinitionen und Abgrenzung. 37

. 1.2. Gesetzliche IKS-Anforderungen in Übersee – die vielen Gesichter von SOX. 40

. 1.3. IKS-Anforderungen in Europa. 44

. 1.4. IKS-Anforderungen in der Finanzbranche. 52

. 1.5. Resümee. 55

2. Der Prüfer kommt: Wann, warum und wie man damit umgeht. 57

. 2.1. IKS im IT-Umfeld aus der Sicht der Wirtschaftsprüfung. 58

. 2.2. IKS-Assurance in der Praxis. 67

. 2.3. Resümee. 78

3. IKS-Anforderungen und ERP-Systeme: Grundsätze, Frameworks, Struktur. 79

. 3.1. IKS-Inhalte im SAP ERP-Umfeld definieren. 79

. 3.2. IKS-relevante Referenzmodelle und Standards. 91

. 3.3. Resümee. 103

4. Wie geht SAP mit dem Thema Compliance um?. 105

. 4.1. Softwarezertifizierung. 105

. 4.2. Compliance-relevante Leitfäden. 110

. 4.3. Compliance-relevante Produkte. 120

. 4.4. Compliance-relevanter Content. 135

. 4.5. Resümee. 145

TEIL II. Vom Konzept zum Inhalt: Revisionsleitfaden für SAP ERP. 147

5. Revisionsrelevante SAP-Basics. 149

. 5.1. Am Anfang war die Tabelle: SAP als tabellengesteuerte Applikation. 150

. 5.2. Berechtigungen. 176

. 5.3. Resümee. 191

6. Generelle IT-Kontrollen in SAP ERP. 193

. 6.1. Organisatorische Kontrollen. 193

. 6.2. Kontrollen im Bereich Change Management und Entwicklung. 200

. 6.3. Sicherheitskontrollen beim Zugriff auf das SAP-System und der Authentifizierung. 212

. 6.4. Sicherheits- und Berechtigungskontrollen innerhalb von SAP ERP. 220

. 6.5. Resümee. 232

7. Übergreifende Applikationskontrollen in SAP ERP. 233

. 7.1. Der Grundsatz der Unveränderlichkeit. 234

. 7.2. Kontrollen für die datenbezogene Nachvollziehbarkeit. 239

. 7.3. Nachvollziehbarkeit der Benutzeraktivitäten in SAP. 246

. 7.4. Prozessübergreifende Verarbeitungskontrollen. 253

. 7.5. Resümee. 264

8. Kontrollen in der Finanzbuchhaltung. 265

. 8.1. Grundlegende Kontrollmechanismen im Hauptbuch. 266

. 8.2. Kontrollen über die Richtigkeit und Qualität der Daten im Hauptbuch. 276

. 8.3. Vollständigkeit der Verarbeitung im Hauptbuch. 284

. 8.4. Sicherheit und Schutz der Daten im Hauptbuch. 290

. 8.5. Kontrollen in der Anlagenbuchhaltung. 300

. 8.6. Kontrollen in der Kreditoren- und Debitorenbuchhaltung. 314

. 8.7. Resümee. 323

9. Kontrollmechanismen im SAP ERP-gestützten ProcuretoPay-Prozess. 325

. 9.1. Bestellwesen. 327

. 9.2. Wareneingänge und Rechnungsprüfung. 331

. 9.3. WE/RE-Konto. 336

. 9.4. Kontrollen rund um das Thema Bestände. 341

. 9.5. Corporate Governance. 353

. 9.6. Resümee. 354

10. Kontrollmechanismen im SAP ERP-gestützten OrdertoCash-Prozess. 355

. 10.1. Kontrollen in der vorbereitenden Vertriebsphase. 356

. 10.2. Kontrollen bei der Auftragserfüllung und Umsatzlegung. 363

. 10.3. Resümee. 375

11. Datenschutz-Compliance in SAP ERP Human Capital Management. 377

. 11.1. Gesetzliche Datenschutzanforderungen. 378

. 11.2. Datenschutzrelevante übergreifende Kontrollmechanismen in SAP. 392

. 11.3. Besondere Anforderungen an SAP ERP HCM. 398

. 11.4. Berechtigungen und Rollen in SAP ERP HCM. 399

. 11.5. Resümee. 413

12. Betrug im SAP-System. 415

. 12.1. Einführung in das Thema 'Betrug'. 415

. 12.2. Betrugsszenarien in der SAP-Basis. 420

. 12.3. Betrugsszenarien im Hauptbuch. 422

. 12.4. Betrugsszenarien im Vertriebsbereich. 426

. 12.5. Betrugszenarien in der Personalbuchhaltung. 431

. 12.6. Resümee. 435

13. Exkurs: FDA-Compliance und Kontrollen in SAP. 437

. 13.1. Gesetzliche Anforderungen im Bereich Arznei und Lebensmittelherstellung. 437

. 13.2. Validierung der IT-Systeme. 442

. 13.3. FDA-Compliance in IT-gestützten Geschäftsprozessen. 446

. 13.4. FDA-Compliance bei Systempflege, -aktualisierung und -änderung aufrechterhalten. 451

. 13.5. Resümee. 452

TEIL III. Von Konzept und Inhalt zur Umsetzung: Die Automatisierung eines Internen Kontrollsystems. 455

14. IKS-Automatisierung: Wie bringt man den COSO-Cube ins Rollen?. 457

. 14.1. Grundidee der IKS-Automatisierung. 457

. 14.2. IKS-relevante Objekte und Dokumentation. 462

. 14.3. Grundszenarien der IKS-Aktivitäten. 470

. 14.4. Resümee. 478

15. IKS-Automatisierung mithilfe von SAP BusinessObjects Process Control. 479

. 15.1. Einleitung: IKS-Umsetzung mit SAP BusinessObjects Process Control. 480

. 15.2. Technischer Implementierungsteil. 482

. 15.3. Datenmodell. 488

. 15.4. Implementierung des IKS-Prozesses. 504

. 15.5. IKS- und Compliance-Umsetzung: Rollen. 540

. 15.6. SAP BusinessObjects Process Control als GRC-Bestandteil. 548

. 15.7. Resümee. 558

16. Umsetzung von automatisierten Test- und Monitoring-Szenarien im SAP ERP-Umfeld. 559

. 16.1. Automatisierte Test- und Überwachungsszenarien im SAP-Umfeld. 559

. 16.2. Automatisiertes Testen und Monitoring. 568

. 16.3. Ausblick auf künftige ARF-Szenarien in Process Control. 598

. 16.4. Resümee. 602

17. Praxis- und Projekterfahrungen. 603

. 17.1. Praxiserfahrungen: Projekte zur IKS- und Compliance-Automatisierung. 603

. 17.2. Projektbeispiele zur IKS- und ComplianceAutomatisierung. 616

. 17.3. SOX bei Ericsson. 625

. 17.4. Rückblick auf die IKS-Evolutionsstufen und Fazit. 637

Anhang. Anhang. 641

A. Abkürzungsverzeichnis. 643

B. Literatur. 649

C. Der Autor dieses Buches. 653

D. Beiträger zu diesem Buch. 655

. Index. 657

Über Autor(innen)

Maxim Chuprunov hat das Studium der Betriebswirtschaft inklusive verschiedener Forschungsvorhaben als DAAD-Stipendiat im Jahr 2001 mit der Magisterarbeit zum Thema »Audit im SAP-Umfeld« abgeschlossen. Seitdem ist er diesem Thema treu geblieben und baut es konsequent im GRC-Bereich (Governance, Risk & Compliance) aus. Die Verbindung der fachlichen als auch der Compliance-spezifischen Sichten auf Geschäftsprozesse mit dem technischen Lösungs-Know-how gehört zu seinem Spezialgebiet.

Bevor Maxim Chuprunov Ende 2010 RISCOMP GmbH (Schweiz) gegründet hat, war er bei der KPMG DTG in München und der KPMG LLP in Boston, bei der SCHENKER AG in Essen sowie bei der SAP AG in Zürich tätig. Bei KPMG arbeitete er in den Bereichen Information Risk Management und IT Advisory. In dieser Zeit avancierte er vom Diplomanden zum Assistant Manager. Parallel zu zahlreichen Projekten bei internationalen Konzernen hat er Berufsexamina zum CPA (Certified Public Accountant) und CISA (Certified Information Systems Auditor) erfolgreich absolviert sowie die Zertifizierung als FI/CO-Berater für SAP erworben. Bei KPMG leitete er auch diverse Compliance-Prüfungen von SAP-Systemen und entwickelte präventive sowie aufdeckende Prüfungs-, Datenanalyse- und Kontrollautomatisierungs-Szenarien. Seine vielfältigen Interessen realisierte er außerdem in IKSBeratungsprojekten und bei der Erstellung und Umsetzung der Feinkonzepte für internes und externes Rechnungswesen. Bei der SCHENKER AG (Essen), wo er im Rahmen von Global Rollouts Verantwortung für die Einführung der FI- und CO-Prozesse einschließlich Reporting nach SEM mit SAP übernahm, wurde er auf die neue GRC-Produkt-Suite von SAP aufmerksam.

2007 schloss er sich dem Center of Expertise Financials & Compliance von SAP Schweiz an. In seiner Funktion als Senior Consultant hat er bei weltweiten Implementierungsprojekten und Proof of Concepts für SAP BusinessObjects-/GRC-Lösungen mit dem Schwerpunkt IKS-Automatisierung Pionierarbeit geleistet. Er ist im SAP Solution Management als Experte und Ideengeber bei Tests und Software-Design von SAP BusinessObjects Process Control bekannt und führt als Referent bei SAP Education Schulungen durch.