Artikel
AIS Das Audit Information System von SAP – Ein Werkzeug für die Revision?
Einführung
Heutige moderne IT-Systeme wie SAP® R/3® sind durch eine benutzerfreundliche und am Windows-Standard angelehnte Oberfläche gekennzeichnet, die dem Anwender, also auch dem Revisor gegenüber die gestiegene Komplexität der sich dahinter befindlichen Datenstrukturen und Funktionen verschleiert.
Demgegenüber stehen steigende Anforderungen des Gesetzgebers, die die Mindeststandards der Revisionstätigkeit enthalten, wie beispielsweise die Grundsätze ordnungsgemäßer Speicherbuchhaltung oder das Bundesdatenschutzgesetz und die Landesdatenschutzgesetze.
Diesem sich dem Revisor eröffnenden Spannungsfeld versucht die SAP AG seit dem Release 3.1I mit dem als kostenfreien Bestandteil des SAP® R/3®-Systems mitgelieferten Audit Information System, kurz AIS, zu begegnen.
Sie verspricht den potenziellen Anwendern des AIS, wie Revisoren, Wirtschaftsprüfern und Controllern, die Verbesserung des Prüfungsablaufes sowie der Prüfungsqualität.
Kann das AIS diesen Ansprüchen gerecht werden?
Voraussetzungen
Um das AIS nutzen zu können, benötigt der Revisor neben einem gültigen Benutzerstammsatz ausreichende Anzeigeberechtigungen für alle SAP® R/3®-Module. Diese sollten im Gegensatz zu bisher notwendigen Zugriffsrechten umfassend ausgestaltet sein, da der Revisor ansonsten nicht alle Möglichkeiten des AIS ausschöpfen kann.
In diesem Zusammenhang sei insbesondere bei externen Revisoren darauf hingewiesen, dass innerhalb des AIS Reports genutzt werden, die auch Änderungen von kritischen Funktionen ermöglichen, wie beispielsweise im Systembereich der Report RSWBO004 oder die Transaktion RZ10 oder im kaufmännischen Bereich Tabellenänderungen mittels der Transaktion SM31.
Hierin liegen erhebliche Risiken für die Nutzung des AIS. Diesen kann nur mittels einer zuvor abgestimmten und vom Revisor überprüften Vergabe von Zugriffsrechten entgegengewirkt werden.
Verfügt der Revisor über ausreichende Zugriffsrechte, sind beim Rückgriff auf das AIS vor Beginn der Revisionstätigkeit die oben angesprochenen Steuerungsdaten, wenn sie in mehreren Varianten vorkommen, festzulegen.
Erfolgt die Festlegung beispielsweise auf das Basisjahr 1999, wird in allen zukünftigen Auswertungen diese Voreinstellung genutzt.
Auswertungen
Bei den durch das AIS bestehenden Auswertungsmöglichkeiten greift der Revisor real time *1 auf die Produktivdaten des Systems zu. Dabei orientiert sich das AIS, wie beispielsweise am Prüfungsbereich des Hauptbuches oben dargestellt, an den Prüfungsstandards und Erfordernissen der Revision.
Es ermöglicht den ganzheitlichen Nachweis aller Geschäftsvorfälle unter Berücksichtigung der Vorschriften des Betrachtungsobjekts. Neben grundlegenden Informationen zum Hauptbuch stellt es Auswertungen in kumulierter Form, wie beispielsweise die Bilanz oder GuV, sowie Auswertungen auf unterster Ebene des einzelnen Beleges über die DRILLDOWN-Funktion zur Verfügung.
Zur weiteren Unterstützung der Revisoren wurde der mit dem AIS verbundene Auswertungsbereich mit Belegschnittstellen versehen. Somit bietet das System die bekannten offenen Schnittstellen der SAP® R/3®-Umgebung für die AIS-Auswertungen an.
Hierdurch können alle prüfungsrelevanten Datenfelder, die vom Revisor im Bereich Satzaufbau, Selektion und Sortierkriterien bestimmt wurden, über standardisierte Schnittstellen in nachgelagerte Programme überführt werden.
In diesem Zusammenhang seien beispielsweise Programme zur qualitativen und quantitativen Datenanalyse wie EXCEL oder die neuesten Versionen von IDEA und ACL genannt, die hierauf mit einer direkten Importmöglichkeit der vom AIS ausgelesenen Daten reagiert haben.
Diese Schnittstellen können darüber hinaus zur Übertragung der prüfungsrelevanten Daten in die vom Revisor genutzten Softwareprodukte zur Arbeitsblatt- oder Berichtserstellung verwendet werden. *2
Auch ist ein Ausdruck aller am Bildschirm aufgelisteten Werte möglich. Grundsätzlich nutzt das AIS die in SAP®R/3® standardmäßig zur Verfügung gestellten Möglichkeiten der Erstellung von Auswertungen.
Hierzu zählen zum einen die mit der SAP®-internen Programmiersprache ABAP/43 erzeugten Anwendungsprogramme, aus denen große Teile des SAP®-Systems selbst erstellt wurden. Darüber hinaus wurden von SAP® Queries als individuelle Abfragemöglichkeit der SAP®-Datenbank innerhalb des AIS genutzt.
Gegensätzlich zu den oben angesprochenen ABAPs können Queries von Revisoren auch ohne Programmierkenntnisse erzeugt werden. Hierbei ist der Zugriff auf weitestgehend alle sachgebietsbezogenen SAP®-Datenfelder möglich.
Die letzte technische Möglichkeit, die innerhalb des AIS-Systems zum Einsatz kommt, ist die SAP®-eigene Recherche. Mit ihr können Daten aus verschiedenen Applikationen in einem Bericht zusammengefasst werden.
So lassen sich hiermit sowohl einfache datengesteuerte Listen, so genannte Ad-hoc-Berichte, als auch komplexe formatierte Listen wie zum Beispiel Formularberichte erzeugen. Recherchen bieten neben der Zusammenstellung der Daten beispielsweise auch die Möglichkeit, Formeln und Kennzahlen innerhalb der Auswertung zu berücksichtigen.
Eigene AIS-Strukturbäume
Aus Sicht der Revision ergibt sich durch diese drei technischen Hilfsmittel, aus denen das AIS zusammengesetzt wurde, die Möglichkeit, eigene AIS-Strukturbäume zu erstellen.
Diese können entweder aus bereits vorhandenen Strukturbäumen innerhalb des AIS zusammengesetzt oder aber durch die Anwendung der drei oben dargestellten technischen Möglichkeiten erzeugt werden.
Neben den sonstigen Möglichkeiten des AIS ist hierüber beispielsweise für externe Prüfer die Chance gegeben, Prüfungsvorgehen, die durch das IDW4 vorgegeben sind, mandantenübergreifend innerhalb eines eigenen AIS-Strukturbaumes abzubilden.
Die sonst in Checklisten-Form vorliegenden Prüfungsstandards und -vorgehensweisen können auf diesem Weg direkt in das AIS implementiert werden.
In den Folgejahren lassen sich an diesem AIS-Strukturbaum alle jährlich vorzunehmenden Prüfungshandlungen ausrichten. Neben diesen so grundsätzlich zu etablierenden mandantenübergreifenden Prüfungsstandards können mittels des AIS Ergänzungen vorgenommen werden, die die besonderen Branchen- und Mandantengegebenheiten berücksichtigen.
Zusammenfassung und Ausblick
Aus Sicht der Revision ergeben sich durch die Nutzung des AIS folgende Chancen und Möglichkeiten:
Der Revisor kann ohne umfassende Vorkenntnisse des SAP®R/3®-Systems direkt über das AIS mit seinen Prüfungshandlungen innerhalb des Strukturbaumes beginnen.
Auf Grund der innerhalb des AIS festgelegten Strukturbäume erhält er bereits eine auf der Erfahrung anderer Revisoren beruhende Vorgehensweise für seine eigene Prüfung zur Verfügung gestellt.
Trotz der innerhalb der technischen Umsetzung genutzten Voreinstellungen besteht die Möglichkeit der individuellen Selektion und Aufbereitung der Daten für alle Prüfungsgebiete. Die Ergebnisse des AIS können darüber hinaus komfortabel in weiterverarbeitende revisionsspezifische Programme, sei es zu Analysezwecken oder aber zur Berichtsschreibung, überführt werden.
Auch wenn das AIS nur auf vorhandene ABAPs, Queries und Recherchen des SAP®R/3®-Systems zurückgreift, hilft es dem Revisor anhand einer besseren Übersicht, schnell zu erfolgreichen Prüfungsergebnissen zu gelangen.
Zur Vermeidung von AIS-internen Risiken auf Grund möglicher Datenänderungen ist vor dem Einsatz des Systems eine detaillierte und einschränkende Zugriffsberechtigung für den Revisor festzustellen. Nur auf diesem Wege ist eine Risikoreduktion möglich.
In der Möglichkeit der Erstellung eigener, an die individuellen Prüfungsvorgehen angepasster Strukturbäume besteht aus unserer Sicht der größte Nutzen des AIS. Hierbei lassen sich firmenspezifische Prüfungsstandards direkt umsetzen, die darüber hinaus mandantenbezogen oder prüfungsspezifisch ergänzt werden können.
Dieser von uns als wesentlicher Vorteil gesehene Aspekt setzt allerdings eine vertiefende Auseinandersetzung mit der Oberfläche von SAP®R/3®, insbesondere des AIS, voraus. Gerade durch die Option zur Erstellung eigener Strukturbäume und der damit verbundenen Weiterentwicklung des AIS sehen wir das Versprechen der Verbesserung des Prüfungsablaufes und der Prüfungsqualität von SAP®R/3® als erfüllt an.