Kontrollanforderungen an ein ERP/Cloud-System und Umsetzung in automatisierte Kontrollen

Die in diesem Arbeitspapier enthaltende Darstellung dokumentiert Ergebnisse eines Forschungsprojekts als Forschungs- und Entwicklungsvorhaben im Verbund (FuE-Verbundforschung) im Rahmen der Förderung von Forschung, Entwicklung und Innovation des Landes Mecklenburg-Vorpommern mit Mitteln des 'Europäischen Fonds für regionale Entwicklung' (EFRE) aus den Europäischen Strukturfonds der Europäischen Union in der Förderperiode 2014 bis 2020. Das geförderte Teilprojekt der Hochschule Stralsund trug den Titel "Integrierte Spezifikation und Umsetzung eines IT-Compliance-Framework für die Interaktion zwischen dem ERP-System und einer Supply Chain Management Service Cloud" (INSPECTIO). Ziel des Projekts war die Entwicklung und technische Umsetzung eines rechnungslegungsbezogenen IT-Compliance-Framework in einer prototypisch zu realisierenden informations- und kommunikationstechnischen Infrastruktur eines ERP/Cloud-Systems. Im Rahmen des Projekts wurde ein 'Com-pliance by Design'-Ansatz verfolgt: Kontrollanforderungen wurden aus verschiedenen gesetzlichen Vorgaben sowie aus Normen und Standards abgeleitet, so dass diese bereits bei der Systementwicklung berücksichtigt werden konnten. Als Grundlage der Ableitung der Anforderungen dienten IDW-Prüfungsstandards und IDW-Stellungnahmen zur Rechnungslegung, DIN- und ISO/IEC-Normen, die GoBD sowie Standards der CSA und der ENISA. Die Umsetzung erfolgte prototypisch am Beispiel einer Kontrolle auf Doppelzahlungen. Für die Realisierung der automatisierten Kontrolle werden die Datenanalysesoftware "IDEA", das Datenexport-Tool "SmartExporter" und das CCM-System "CaseWare Monitor" der Fa. Audicon GmbH verwendet. Die prototypische Umsetzung beinhaltet die Bereitstel-lung eines sogenannten IDEA-Skripts und den Datenimport aus dem SAP-System "IDES" mit Hilfe von SmartExporter. Die Verarbeitung der Daten erfolgt in IDEA, die Implementation der automatisierten Kontrolle in CaseWareMonitor als prozessintegrierte Kontrolle.