Dennis Bock - Internal Investigations

39

Insbesondere die heutige Vielfalt von in Unternehmen eingesetzten IT-Systemen setzt eine profunde Kenntnis und Analyse der IT-Landschaft des Unternehmens voraus. Praktisch stellt sich die Frage, welche IT-Systeme welche Informationen verarbeiten und speichern und wie auf diese Informationen in welcher Weise zugegriffen werden kann. Spätestens an diesem Punkt ist die Analyse der IT-Infrastruktur unabdingbar, um Erkenntnisse über die Möglichkeiten und Grenzen der Datenerhebung bestehender Systeme zu erlangen. Von besonderer Bedeutung ist eine Aufnahme des Datenflusses zwischen dem zentralen ERP-System und der jeweils vor- und nachgelagerten Systeme.

Abb. 1:

Rechnungslegungsrelevanter Datenfluss in einer typischen SAP-Systemlandschaft

[Bild vergrößern]

40

Nicht in obiger Abbildung enthalten sind die mittlerweile weit verbreiteten, revisionssicheren Archivsysteme. Diese dienen u.a. der manipulationssicheren Aufbewahrung von originär digitalen, aufbewahrungspflichtigen Unterlagen, wie bspw. elektronischen Eingangsrechnungen oder geschäftlichen E-Mails. Änderungen an Daten und Dokumenten in solchen Archivsystemen sind zwar grundsätzlich technisch möglich, werden jedoch protokolliert und sind somit nachvollziehbar.

41

In der Praxis kommt zu Zwecken der Identifikation des Datenflusses häufig die retrograde Prüfungsmethode zum Einsatz. Als Ausgangspunkt bietet sich für rechnungslegungs- und steuerrelevante Daten die (Steuer-)Bilanz oder GuV an. Über die Konten wird der Datenfluss bis hin zum Beleg verfolgt. Bezogen auf die IT-System-Landschaft bedeutet dies eine Analyse technischer Schnittstellen von vorgelagerten Systemen zur Finanz-, Anlagen- oder Lohnbuchhaltung (Datenflussanalyse). Gleiches gilt, wenn die Finanzbuchhaltung eines ERP-Systems zu anderen Modulen dieses Systems oder zu nachgelagerten Anwendungen eine direkte Verbindung bietet.

42

Im Kontext der Identifikation des Datenflusses ist für einen zielgerichteten und effizienten Einsatz von Datenanalysen das Verständnis der Geschäftsprozesse und der Kontrollen im Rahmen des internen Kontrollsystems („IKS“) von besonderer Relevanz. Zu diesem Zweck sind bei dem zu prüfenden Unternehmen Informationen über die IT-gestützten Geschäftsprozesse und die hierfür eingesetzten IT-Anwendungen, das IT-Kontrollsystem sowie die geschäftsprozessbezogenen Kontrollen und Datenstrukturen zu erheben. Bezüglich der Datenstrukturen steht die Frage im Vordergrund, welche Informationen in Form von strukturierten Daten vorliegen und in welcher Beziehung sie zueinander stehen.

43

Zu beachten ist hierbei, dass selbst in Zeiten weitverbreiteter betriebswirtschaftlicher Standardsoftware noch immer mit zahlreichen IT-Insellösungen wie bspw. Projektdatenbanken, heterogenen Personalabrechnungssystemen, proprietärer Zahlungsabwicklungsprogramme oder sonstigen nicht integrierten Management-Informationssystemen gearbeitet wird, welche in die Datenauswertung eingebunden werden. Diese Insellösungen gilt es im individuellen Fall für IT-Analysen nutzungsfähig zu machen, in dem Zugänge bereitgestellt und Daten in verwertungsfähige Formate konvertiert werden. In den letzten Jahren war jedoch zu beobachten, dass der Trend hin zum Einsatz integrierter Systeme „aus einer Hand“ geht, insbesondere um die Komplexität zu reduzieren und die Betreuungsstruktur zu optimieren; Insellösungen werden seltener.

44

Neben den vorgenannten Informationsquellen liegen gerade in größeren Unternehmen eine Reihe von Erkenntnissen und Ergebnissen interner Analysen oder Untersuchungen vor. Hierzu gehören bspw. Verfahrensdokumentationen aus den operativen Unternehmensbereichen, die Dokumentation des unternehmensinternen Kontrollsystems, Prüfungen der internen Revision oder der Aufbau des Compliance Management Systems sowie Erläuterungen zum Risikomanagementsystem eines Unternehmens.

45

Des Weiteren können sogenannte schlecht strukturierte interne Informationsquellen einen wesentlichen Beitrag zum Ermittlungserfolg leisten. Zu dieser Kategorie zählen vorwiegend persönliche Aufzeichnungen, E-Mails, (Kunden-)Verträge, sonstige Korrespondenz, Befragungen, Kalkulationsgrundlagen, private Datenverzeichnisse oder auch Papierarchive. Immer mehr tragen auch versteckte elektronische Spuren wie bspw. lokale log-files und temporäre Verzeichnisse, Netzwerkprotokolle, IP-Aufzeichnungen, Kameraaufzeichnungen oder in der Cloud gespeicherte Daten zur Aufklärung oder Überführung von Nutzerverhalten bei.

46

Die GoBD[8] haben die Vorschriften zu den Grundsätzen zum Datenzugriff und zur Prüfbarkeit Digitaler Unterlagen („GDPdU[9]“) abgelöst. Sie begründen und konkretisieren umfangreiche Zugriffsrechte der Finanzverwaltung auf steuerrelevante Unternehmensdaten, die zu einem leicht abrufbaren und bereits aufbereiteten Datenpool führen. Durch die GoBD wird seitens der Finanzverwaltung für jedes steuerrelevante DV-System eine übersichtlich gegliederte Verfahrensdokumentation gefordert. Diese stellt für den Ermittler eine gute Informationsquelle zur Generierung eines ersten Verständnisses von den IT-gestützten Geschäftsprozessen, den Kontrollen im Rahmen des IKS sowie den gespeicherten Daten dar. Da mit einer fehlenden oder unzureichenden Verfahrensdokumentation weitreichende Sanktionsmechanismen verbunden wurden, ist in Zukunft mit einer entsprechenden Erfüllung dieser Anforderung zu rechnen. Das BMF-Schreiben gilt für Veranlagungszeiträume, die nach dem 31.12.2014 beginnen.

47

Auf Grund ihrer Relevanz für die Verfügbarkeit von Unternehmensdaten in einer für die Massendatenanalyse bereits aufbereiteten Form werden im Folgenden die wesentlichen Inhalte der GoBD hinsichtlich des Datenzugriffs und deren praktische Verwendung am Beispiel von SAP dargestellt.

48

Nach § 147 Abs. 6 AO ist der Finanzbehörde das Recht eingeräumt, die mit Hilfe eines Datenverarbeitungssystems erstellte Buchführung des Steuerpflichtigen durch Datenzugriff im Rahmen einer steuerlichen Außenprüfung zu prüfen. Dies betrifft alle ab dem 1.1.2002 generierten steuerrelevanten Daten sowie Daten, die sich nach dem 1.1.2002 in den IT-Produktivsystemen befanden, auch wenn sie vor diesem Stichtag generiert wurden. Zu den steuerrelevanten Daten zählen regelmäßig die Daten der Finanzbuchhaltung, der Anlagenbuchhaltung und der Lohnbuchhaltung sowie bestimmte Bestandteile der Materialwirtschaft.

49

Bei der Ausübung des Rechts auf Datenzugriff stehen der Finanzbehörde drei Möglichkeiten zur Verfügung:

50

Aus diesen Anforderungen an Unternehmen ergibt sich in der Praxis die Konsequenz, dass für den mittel- und unmittelbaren Zugriff auf die betrieblichen IT-Systeme bereits entsprechende Nutzerrollen mit Nur-Leserechten eingerichtet sind, die weitgehenden, lesenden Zugriff auf die Unternehmensdaten für Prüfungszwecke erlauben. Ferner verfügen moderne ERP-Systeme zwecks Datenträgerüberlassung regelmäßig über explizit für Zwecke der GoBD bzw. GDPdU entwickelte Schnittstellen, die einen komfortablen und für Prüfungszwecke optimierten Zugriff auf steuerrelevante Unternehmensdaten ermöglichen.