| 
Haben Sie einen Fehler gefunden? Bitte benachrichtigen Sie uns per E-Mail. Vielen Dank.
Etliche Hersteller von Software und IT-Dienstleister schwelgen heute geradezu darin, wie "revisionssicher" ihre Systeme sind. Über die tiefere Bedeutung dieses heißgeliebten Adjektivs schweigt man sich jedoch weithin aus. Der naive Ansatz besagt schlicht: Revisionssicher bedeutet, dass Daten so gespeichert sind, dass sie sich nachträglich nicht ändern lassen. So weit, so gut! Das sollte dann aber für wichtige Unterlagen nicht neu, sondern selbstverständlich sein: Denn schon das Handelsgesetzbuch (HGB) fordert in § 239 (3), dass "Geschäftsvorfälle unveränderlich aufgezeichnet werden (Radierverbot)."
Es ist schon erstaunlich, wie viele IT-Anbieter und -Spezialisten heute glauben, den Begriff Revisionssicherheit richtig verstanden zu haben, aber von den Inhalten der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) keine Ahnung haben. Da drängt sich leicht der Verdacht auf, hiermit soll Entscheidern schlicht ein eingängiges Kaufargument geliefert, also platt gesagt nur Marketing betrieben werden. Dafür spräche auch die "Revisionssicherheits-Frequenz" in einschlägigen Inseraten zur CeBIT-Zeit: In 32 Anzeigen unterschiedlichster Anbieter tauchte der fragwürdige Begriff in der einen oder anderen Form ganze 151 Mal auf.
Nichts gegen Marketing und neusprachliche Floskeln... Wenn diese jedoch buchhalterische Sicherheit vorgaukeln, sollte man besonders genau hinsehen! Schon gar, da im Endeffekt die Verantwortung im Unternehmen verbleibt: Denn für die Einhaltung der Grundsätze ordnungsmäßiger Buchführung ist – IT hin oder her – allein der Buchführungspflichtige verantwortlich. Eine Abwälzung auf DMS-Hersteller, Softwerker, IT-Dienstleister oder Verheißungen "revisionssicherer" Hochglanzprospekte ist schlichtweg nicht möglich!
Welche Anforderungen muss man nun aber wirklich an die Revisionssicherheit von Software stellen? In einschlägigen Dokumenten, Rechtsverordnungen und Gesetzestexten taucht der – nach Meinung des Autors irreführende – Begriff überhaupt nicht auf. Analysiert man die Erläuterungen von Dokumentenmanagement-System-(DMS)-Herstellern, so soll es wohl bedeuten, dass die beworbenen Lösungen transparent, nachvollziehbar und ordnungsmäßig arbeiten und damit den Vorschriften von Abgabenordnung (AO) und HGB entsprechend überprüfbar sind.
Wichtig bleibt zu betonen: Allein die Tatsache, dass zu archivierende Informationen geordnet in einem DMS-System verfügbar sind, bedeutet noch lange nicht die Erfüllung handels- oder steuerrechtlicher Vorgaben (Transparenz – Nachvollziehbarkeit – Zeitgerechtigkeit – Ordnungsmäßigkeit). Anbieteraussagen wie "die Daten sind absolut sicher – keiner kann unberechtigt darauf zugreifen oder gar etwas unberechtigt ändern, also ist das System revisionssicher" sollte man unbedingt kritisch hinterfragen! Solange ein solches Versprechen nicht verifizierbar ist, kann das System nicht wirklich als revisionssicher gelten.
Ein guter Anhaltspunkt kann das vorliegende Software-Testat eines Wirtschaftsprüfers (WP) sein. Der wird sich nämlich davor hüten, einem laut Prospekt revisionssicheren Produkt vorschnell einen Softwarebescheinigungsstempel und seine WP-Unterschrift (gem. IdW PS 880) zu erteilen, um nicht selbst in Haftung zu geraten. Zwar kann auch ein testiertes Produkt nicht automatisch als revisionssicher gelten, aber immerhin werden unter strenger Zugrundelegung der für die WP-Aussage erforderlichen Qualitäten schon eine Reihe von Ansprüchen erfüllt, die viele der am Markt beworbenen Produkte nicht oder nur eingeschränkt erfüllen.
Verantwortungsbewusste Anbieter sollten verständlich erklären, was sie genau meinen, wenn sie von Revisionssicherheit sprechen, auf welcher Rechtsbasis sie aufbauen und wie ihre Aussagen belegt werden können. Erst dann lässt sich entscheiden, ob das Produkt GoBS-konform einsetzbar ist. Allein häufig fehlende aussagefähige oder vielfach allzu kryptisch geschriebene Verfahrensdokumentationen sprechen oft dagegen. Oder finden Sie auf Anhieb in der Dokumentation Ihrer Lösung eine für sachverständige Dritte nachvollziehbare Beschreibung der Schnittstellen, eine ausreichende und sichere Beschreibung der maschinellen Sortierfähigkeit sowie der eindeutig zuzuordnenden und benutzerbezogenen Zugriffsrechte? Auch das und vieles andere gehört sehr wohl zur Revisionssicherheit!
Zustimmung, Gegenrede und sonstige Kommentare empfangen wir gerne per E-Mail an den Autor (hjstt@edv-auditconsult.de) oder die Redaktion (redaktion@kes.de).
Hans-Jürgen Stritter ist Inhaber der auf IT-Revision und Computer-Fraud spezialisierten Unternehmensberatung EDV-Audit Consult.
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007#2, Seite 14
tag:kes.info,2007:art:2007-2-014
|