Compliance beginnt bei der Softwareauswahl: Warum Revisionssicherheit keine reine Produkteigenschaft ist

Die Einführung eines neuen ERP- oder Finanzbuchhaltungssystems stellt für viele Unternehmen ein Projekt mit erheblicher Tragweite dar. Entsprechend sorgfältig werden organisatorische, technische und wirtschaftliche Anforderungen an eine zukünftige Lösung betrachtet.
Typische Fragestellungen im Auswahlprozess sind:

• Welche Kernprozesse müssen abgebildet werden?
• Welche Funktionen und Module werden benötigt?
• Wie gut lässt sich die Software in bestehende Prozesse und Systemlandschaften integrieren?
• Welche Schnittstellen zu Vorsystemen, Nebenbüchern oder weiteren Anwendungen sind erforderlich?
• Welche Kosten entstehen über den gesamten Lebenszyklus des Systems?

Ein Themenfeld tritt dabei jedoch oft in den Hintergrund oder wird erst spät im Projekt behandelt: die Frage, ob und wie das zukünftige System die regulatorischen und prüfungsrelevanten Anforderungen erfüllt, denen die Buchführung und die zugrunde liegenden Prozesse unterliegen. In vielen Projekten wird die Compliance als Nebensache behandelt, dabei werden bereits während der Softwareauswahl wichtige Weichen gestellt. Funktionen für Nachvollziehbarkeit, Unveränderbarkeit, Berechtigungssteuerung oder eine spätere Prüfung lassen sich nach der Systementscheidung nicht immer ohne Weiteres ergänzen.

Wenn funktionale Anforderungen die Compliance-Kriterien überlagern

In der Praxis konzentrieren sich Auswahlkriterien zunächst häufig auf Funktionalität, Benutzerfreundlichkeit und Integrationsfähigkeit. Fragen zur Nachvollziehbarkeit von Änderungen, zur Unveränderbarkeit relevanter Daten oder zu Rollen und Berechtigungen werden dagegen mitunter erst später konkretisiert.

Nicht selten wird zunächst auf allgemeine Aussagen eines Softwareanbieters zurückgegriffen, wonach eine Lösung beispielsweise „GoBD konform“ oder „revisionssicher“ sei. Eine solche Aussage allein greift jedoch zu kurz.Ordnungsmäßigkeit ist keine reine Produkteigenschaft. Sie ergibt sich aus dem Zusammenspiel von Software, Systemkonfiguration, Prozessen, Berechtigungen, Kontrollen und deren Dokumentation. Ein System kann die notwendigen technischen Funktionen bereitstellen. Entscheidend ist jedoch, wie diese im Unternehmen konfiguriert, in Prozesse integriert und tatsächlich genutzt werden.

Werden entsprechende Anforderungen erst während einer bereits fortgeschrittenen Implementierung konkretisiert, können notwendige Anpassungen zusätzlichen Aufwand verursachen. Compliance sollte daher bereits bei der Definition der Anforderungen an eine zukünftige Lösung berücksichtigt werden.

Was Compliance bei der Softwareauswahl konkret bedeutet

Welche Anforderungen relevant sind, hängt vom jeweiligen System und dessen Einsatzgebiet ab. Bei ERP und Finanzbuchhaltungssystemen bilden insbesondere die GoBD einen wesentlichen Orientierungsrahmen.

Für die Softwareauswahl sind unter anderem folgende Bereiche relevant:

Nachvollziehbarkeit und Unveränderbarkeit
Geschäftsvorfälle und deren Verarbeitung müssen nachvollziehbar sein. Daher sollte bereits bei der Auswahl betrachtet werden, welche Änderungen ein System protokolliert und wie mit Korrekturen, Stornierungen und Löschungen umgegangen wird. Entscheidend ist beispielsweise, ob nachvollzogen werden kann, wer einen relevanten Vorgang wann angelegt oder verändert hat und ob entsprechende Änderungshistorien erhalten bleiben.

Aufbewahrung und Datenzugriff
Steuerlich und handelsrechtlich relevante Daten und Unterlagen unterliegen gesetzlichen Aufbewahrungsfristen. Für die Softwareauswahl stellt sich daher unter anderem die Frage, wie Daten langfristig aufbewahrt, exportiert und für Prüfungszwecke bereitgestellt werden können. Dies sollte auch mit Blick auf einen späteren Systemwechsel oder die Archivierung von Daten aus einem abzulösenden System berücksichtigt werden.

Berechtigungen und Funktionstrennung
Auch die Möglichkeiten zur Ausgestaltung von Rollen und Berechtigungen sollten frühzeitig betrachtet werden. Relevant ist beispielsweise, welche Benutzer Geschäftsvorfälle erfassen, ändern, freigeben oder administrieren können und ob kritische Berechtigungskombinationen angemessen eingeschränkt werden können. Die technische Möglichkeit eines differenzierten Rollenmodells bildet dabei die Grundlage. Entscheidend bleibt dessen konkrete organisatorische Ausgestaltung.

Verfahrensdokumentation
Unternehmen müssen nachvollziehbar dokumentieren können, wie relevante Prozesse und Systeme ausgestaltet sind und welche organisatorischen sowie technischen Maßnahmen zur Sicherstellung der Ordnungsmäßigkeit bestehen. Bei einer Neueinführung oder einem wesentlichen Systemwechsel ist daher auch zu berücksichtigen, welche Informationen und Dokumentationen für die spätere Verfahrensdokumentation benötigt werden.

Compliance Kriterien in den Auswahlprozess integrieren

Die beschriebenen Aspekte können bereits während der Softwareauswahl systematisch in die Anforderungsdefinition einbezogen werden. Aus regulatorischen Vorgaben entstehen dadurch konkrete Anforderungen an eine zukünftige Lösung.

Beispielsweise:
-    Welche Geschäftsvorfälle und Änderungen werden protokolliert?
-    Wie differenziert lassen sich Rollen und Berechtigungen ausgestalten?
-    Wie werden Korrekturen und Stornierungen nachvollziehbar abgebildet?
-    Welche Möglichkeiten bestehen für Datenexport und Datenzugriff?
-    Welche Dokumentationen stellt der Hersteller zur Verfügung?

Diese Anforderungen können Bestandteil von Anforderungsprofilen, Ausschreibungsunterlagen und Bewertungsmatrizen werden. Auch Anbieterpräsentationen oder Proofs of Concept bieten die Möglichkeit, entsprechende Funktionen anhand konkreter Use Cases zu überprüfen.
Ebenso kann es sinnvoll sein, relevante Stakeholder frühzeitig einzubeziehen. Neben Fachbereichen und IT können je nach Projekt beispielsweise interne Revision, Compliance Funktionen oder externe Prüfer zusätzliche Anforderungen und Perspektiven einbringen.

Von der Auswahl zur Einführung

Mit der Entscheidung für eine Software endet die Betrachtung der Compliance Anforderungen nicht. Während der Implementierung werden Soll Prozesse definiert, Berechtigungen eingerichtet, Schnittstellen umgesetzt und Systeme konfiguriert. Erst hier zeigt sich, wie die zuvor definierten Anforderungen tatsächlich umgesetzt werden.
Auch eine spätere Datenmigration sollte frühzeitig berücksichtigt werden. Neben der technischen Übertragung sind insbesondere Vollständigkeit, Richtigkeit und Nachvollziehbarkeit der übernommenen Daten relevant. Gleichzeitig ist zu klären, wie mit historischen Daten und bestehenden Aufbewahrungsanforderungen umgegangen wird.

Fazit

Compliance sollte nicht erst nach der Auswahl oder Einführung einer neuen Software betrachtet werden. Gerade bei ERP und Finanzbuchhaltungssystemen können Anforderungen an Nachvollziehbarkeit, Unveränderbarkeit, Berechtigungen, Datenzugriff und Dokumentation bereits wesentliche Kriterien für die Auswahl einer geeigneten Lösung darstellen.
Wer diese Aspekte frühzeitig in Anforderungsdefinition und Anbieterbewertung integriert, schafft eine bessere Grundlage dafür, dass funktionale und regulatorische Anforderungen bei der späteren Einführung zusammengeführt werden können.