Wirtschaftsprüfung im SAP (Wirtschaftsprüfung und SAP Berechtigungen – Teil 1)
Autor: Jonas Krüger | 15. Januar 2021
Die nächste Revision steht bevor und die Berechtigungen brauchen noch ein kleines Update? Im ersten Teil unserer Blogbeitragsreihe zu dem Thema erklären wir, wie eine solche Prüfung der IT abläuft, worauf Prüfer besonders achten und mit welchen Hilfsmitteln Sie Ihr System vorab checken können.
Weitere Artikel zum Thema Wirtschaftsprüfung und SAP Berechtigungen:
- [Dieser Artikel] Wirtschaftsprüfung im SAP (Wirtschaftsprüfung und SAP Berechtigungen – Teil 1)
- Tipps für die anstehende Wirtschaftsprüfung (Wirtschaftsprüfung und SAP Berechtigungen – Teil 2)
- Warum schauen Wirtschaftsprüfer auf das SAP-System? (Wirtschaftsprüfung und SAP Berechtigungen – Teil 3)
- Externe SAP-Wirtschaftsprüfung vs. interne Revision (Wirtschaftsprüfung und SAP Berechtigungen – Teil 4)
- Was prüft der Wirtschaftsprüfer im SAP? (Wirtschaftsprüfung und SAP Berechtigungen – Teil 5)
Die Anforderungen an SAP Berechtigungen sind über die Jahre gewachsen und so einige Auflagen müssen bei der nächsten Revision erfüllt werden. Unternehmen aller Größen und Branchen sind jedoch auch steigenden Risiken und Schwachstellen ausgesetzt, die bei externen Prüfungen für Probleme sorgen könnten. Bei einer IT-Prüfung soll das System auf solche Schwachstellen untersucht werden.
Ziele einer IT-Prüfung
Eine IT-Prüfung wird meistens vom Unternehmen selbst beauftragt und hat vor allem drei Ziele:
- Die Informationen aus dem SAP-System, wie z.B. Auswertungen und Jahresabschlüsse sollen verlässlich sein, da gewisse Richtlinien und Regeln eingehalten werden müssen (das Unternehmen macht sich haftbar)
- Potenzielle Risiken und Schwachstellen aufzudecken, bevor diese kritisch werden.
- Einen ordnungsgemäßen Betrieb des SAP-Systems herstellen
Wie ist eine ordnungsgemäße IT aufgebaut?
Die Basis für die Sicherheit des Systems und der Berechtigungen ist somit eine ordnungsmäße IT. Eine ordnungsgemäße IT beruht auf den drei Kernelementen IT-Governance (G), IT-Risk (R), und IT Compliance (C). Dieses GRC-Dreieck ist wechselseitig und stellt die Einhaltung aller internen und externen Anforderungen an eine ordnungsgemäße IT sicher.
Das IT-GRC-Dreieck
Eine der wichtigsten IT-Prüfungen findet im Rahmen der Jahresabschlussprüfung statt. Der Abschlussprüfer stellt fest, ob das Unternehmen auf die festgestellten Risiken angemessen reagiert hat.
Bestandteile und Bereiche einer IT-Prüfung
In einer IT-Prüfung werden unter anderem folgende Bereiche betrachtet:
• Berechtigungen
• Benutzerverwaltungen
• Prozesse, wie Antrags- oder Freigabeprozesse
• Systemkonfigurationen, wie Systemparameter
• Monitoring und Loging
• Kontroll-Mechanismen zur Selbstkontrolle
Der DSAG-Prüfleitfaden
Ein wichtiger Bestandteil für die Prüfung von SAP-Systemen ist die Orientierung am DSAG-Prüfleitfaden. Dieser gilt als Industriestandard und wurde vor einigen Jahren von der deutschsprachigen SAP-Anwendergruppe (DSAG) entwickelt, um Prüfern und Systeminhabern dabei zu helfen, mögliche Sicherheitsrisiken im SAP-System festzustellen und zu beheben.
Der DSAG-Prüfleitfaden ist aufgeteilt in mehrere Dokumente, die auf der DSAG-Website ohne Anmeldung heruntergeladen werden können. Der neuere Leitfaden aus dem Jahr 2015 ergänzt den ersten Teil des Leifadens von 2009 mit Themen wie SAP GRC und SAP HANA. Dieses Dokument können Sie ideal für die Vorbereitung auf die Prüfung nutzen.
Sie benötigen weitere Unterstützung zu dem Thema? Kontaktieren Sie uns gerne und schreiben Sie eine Mail an info@rz10.de. In unseren Webinaren geben wir immer wieder nützliche Tipps rund um das Thema SAP Basis und Security. Welche Webinare angeboten werden, sehen Sie unter: rz10.de/events
