Auf welcher Seite steht ein SAP Prüfer?

…auf YouTube

YOUTUBE-CHANNEL abonnieren: https://www.youtube.com/c/Rz10De_ms

…als Podcast

Für unterwegs – den Podcast abonnieren: https://rz10.de/podcast

Feedback? harmes@rz10.de

Wie kam es, dass du vom IT-Leiter zum SAP Prüfer geworden bist?

Ich konnte mir früher nie vorstellen als Revisor zu arbeiten. Dann habe ich jedoch mehrere Erfahrungen in diesem Bereich gesammelt, die mir sehr viel Spaß gemacht haben, sodass ich jetzt also auf die “andere” Seite gewechselt bin.

Was muss passieren, damit ein Prüfer zu einem Kunden kommt?

Vor fünf bis sechs Jahren wurden wir überwiegend von der Revision beauftragt. Das hatte häufig mit fehlenden Ressourcen oder fehlender Expertise zu tun. Ein Berufsstandard für Prüfer besagt, dass man sich Expertise von außen holen muss, wenn man als Prüfer selbst nicht das geforderte Wissen hat, eine bestimmte Prüfung durchzuführen. Gerade kleinere und mittelständische Unternehmen haben den Wunsch, dass das SAP-System von externen Experten geprüft wird. Auch Wirtschaftsprüfer greifen gerne auf das Fachwissen eines SAP-Prüfers zurück.

Mittlerweile hat sich die Situation geändert. Nun meldet sich auch die IT eines Unternehmens und möchte von uns geprüft werden. Einerseits um die Sicherheit ihres Systems zu erhöhen, andererseits um auf interne oder externe Prüfungen gut vorbereitet zu sein. Wir haben auch viele Kunden, die bereits von uns geprüft wurden und nun eine regelmäßige Follow-Up-Prüfung haben möchten, um den Sicherheitslevel ihres SAP-Systems zu halten oder sogar zu verbessern. Es gibt auch Fälle, dass ein neuer IT-Leiter in seinem vorherigen Unternehmen Erfahrungen mit SAP-Prüfungen gemacht hat und diese Erkenntnisse nun auch bei seinem neuen Arbeitgeber umsetzen möchte.

Was wird geprüft?

Das hängt davon ab, ob der Wirtschaftsprüfer oder die Interne Revision prüft. Der Wirtschaftsprüfer hat als Ziel, die Richtigkeit des Jahresabschlusses zu testieren. Bei der internen Revision geht es um die Ordnungsmäßigkeit, d.h. die Einhaltung gesetzlicher Vorschriften und die Wirtschaftlichkeit von Prozessen.

Wie prüfen das SAP-System darauf, ob es die gesetzlichen Vorgaben und die Best-Practice-Ansätze der Sicherheit erfüllt.

Häufig werden wir von Vorständen und Inhabern von Unternehmen vorwurfsvoll gefragt, welchen wirtschaftlichen Nutzen denn unsere Prüfungsergebnisse auf ihr Unternehmen haben. Zitat: “ Wie viele Maschine verkaufe ich mehr, wenn ich die vorgeschlagenen Maßnahmen der Prüfung umsetze?“ An dieser Stelle muss klargemacht werden, dass ein Verstoß gegen gesetzliche Vorgaben zu nicht unerheblichen finanziellen Verlusten und Imageschäden führen kann.

Wie sollte sich die IT gegenüber dem Prüfer verhalten?

Auf jeden Fall keine Abwehrhaltung gegenüber dem Prüfer einnehmen. Wir Prüfer wollen beraten – nicht richten! Ich habe es schon erlebt, dass einige Basis-Admins voll auf Konfrontationskurs mir gegenüber waren. Das ist allerdings auch die Ausnahme! Eine Prüfung ist auch eine Beratung! Bei der Prüfung erläutere ich dem Administrator jeden meiner einzelnen Prüfungsschritte: Was mache ich und warum mache ich das? Viele Administratoren fühlen sich abgeholt und nehmen eingesetzte Prüfungstools (z.B. QuickViewer) und -schritte auch in ihren Berufsalltag auf.

Prüfer arbeiten häufig mit Checklisten, um einen roten Prüfungsleitfaden zu haben. Dagegen ist nichts zu sagen, aber die Interpretation der Prüfungsergebnisse muss mit Sachverstand erfolgen, sonst droht ein herber Imageverlust gegenüber den geprüften Fachabteilungen.

Wie können sich Admins auf die Prüfung vorbereiten, damit sie “mitreden” können?

Wenn Admins noch nie Kontakt zu einem Prüfer hatten, sollten sie sich auf jeden Fall „aufschlauen“. Dazu gibt es verschiedene Möglichkeiten: Im Internet sich zum Stichwort „Der Prüfer kommt …“ informieren. Aber auch: Wir Prüfer kündigen eine Prüfung an und informieren die IT im Vorfeld, welche Transaktionen oder Reports wir für die Prüfung benötigen. Daraus kann die IT schon ableiten, welche Prüfschritte durchgeführt werden.  Sollte diese Ankündigung nicht erfolgen, kann das von der IT eingefordert werden. Vorbereitung im Sinne von “Spuren verwischen” ist nicht sinnvoll! Über die Protokollierung können solche Aktivitäten schnell entlarvt werden. Die Erfahrung zeigt, dass etwa 50 Prozent der Feststellungen über die Verlaufsprotokolle ermittelt wurden.

Häufig sind Missstände innerhalb des SAP-Systems bereits der IT bekannt, aber ihre Mahnungen wurden vom Management und vom Vorstand nicht erhört (Der Prophet gilt nichts im eigenen Land!).

Erst durch einen Bericht eines externen Prüfers, der diese Missstände erläutert, wird der Vorstand darauf aufmerksam und die Mitarbeiter erhalten die notwendigen zeitlichen und personellen Ressourcen, um diese zu beheben.

Um die Position der IT im eigenen Unternehmen zu stärken, frage ich als Prüfer beim Kick Off-Gespräch, ob die IT oder die Fachbereiche auch noch eigene Prüfungswünsche hat.

Was ist das Zertifikat CASA?

Wir – die IBS – hatten 2017 die Idee, das Zertifikat CASA (Certified Auditor for SAP Applications) zu entwickeln, dass dem Geprüften zertifiziert, dass er in der Lage ist, ein SAP-System professionell prüfen zu können.

Dabei haben wir uns überlegt, dass die Ausbildung und die Zertifizierung getrennt werden müssen. Die ISACA Germany hat sich bereit erklärt, die Zertifizierung zu übernehmen.

Diese Zertifizierung zeichnet sich gegenüber anderen Zertifizierungen dadurch aus, das man nicht nur einen theoretischen, sondern auch einen praktischen Prüfungsteil bestehen muss. In diesem praktischen Teil müssen in einem vorbereiteten SAP-System bestimmte Problemstellungen geprüft werden.

Zur Vorbereitung auf die Zertifizierung bieten wir fakultativ zwei einwöchige Vorbereitungskurse (1. Woche: SAP-Basis, 2. Woche: SAP-Geschäftsprozesse) an. Diese Vorbereitungskurse werden aber auch von vielen Teilnehmern besucht, die nicht an der Zertifizierung teilnehmen, sondern sich in diesen zwei Bereichen weiterbilden wollen.

Vielen Dank an Marcus Herold für das Gespräch! Wenn Sie mehr zum Thema Zertifizierungen oder speziell CASA wissen möchten, dann melden Sie sich bei uns! Wir helfen Ihnen gerne weiter.