Thesen zur Entwicklung von Grundsätzen ordnungsmäßiger Datenverarbeitung (GoDV):

Neue EDV-Techniken bergen besondere Risiken

18.03.1983

Aus den Grundsätzen ordnungsmäßiger Buchführung (GoB), den gesetzlichen Vorschriften (HGB, AO, BDSG) und verschiedenen fachlichen Stellungnahmen lassen sich Grundsätze ordnungsmäßiger Datenverarbeitung ableiten. Allerdings treten dabei leicht Verständnisprobleme auf: Erfahrungsgemäß fällt es den EDV-Fachleuten schwer, die gesetzlichen Vorschriften und deren Handhabung zu verstehen, während die hiermit wohlvertrauten Juristen und Kaufleute die Datenverarbeitung meist nur mühsam begreifen.

Hinzu kommt, daß die gesetzlichen Vorschriften sich in bezug auf die Datenverarbeitung nur recht pauschal äußern und im Einzelfall häufig mehr Fragen als Klarheit erzeugen. Daraus ergab sich bei den Betroffenen in der Vergangenheit manchmal eine Abwehrhaltung, in der versucht wurde, die Datenverarbeitung gedanklich von der Buchführung zu trennen, in der Hoffnung, sie damit auch von den Vorschriften abtrennen zu können. Diese Argumentation aber erwies sich als instabil; denn die für die Ordnungsmäßigkeit der Datenverarbeitung maßgeblichen fachlichen Stellungnahmen (GoS-Erlaß der Finanzverwaltung, FAMA-Stellungnahmen 1/1974 und 1/1975 des Instituts der Wirtschaftsprüfer) binden die Datenverarbeitung fest in die Ordnungsvorschriften für die Buchführung, soweit sie anwendbar sind, ein.

In einer kürzlich erschienenen Arbeit hat der Autor auf der Basis der gesetzlichen Vorschriften und fachlichen Stellungnahmen die GoDV entwickelt; die Kernidee und die wesentlichen Thesen dieser Arbeit werden im folgenden zusammengefaßt.

Um die Ordnungsmäßigkeitsanforderungen an die Datenverarbeitung den verantwortlichen Stellen einsichtig zu machen, wird die Zwangsläufigkeit herausgearbeitet, mit der die Grundsätze ordnungsmäßiger Datenverarbeitung von den Grundsätzen ordnungsmäßiger Buchführung abhängen, nämlich durch eine Ableitung für

- das Prinzip der Einheit von System und Inhalt der Buchführung,

- den Grundsatz der Auftragsbindung bei allen EDV-Aktivitäten.

GoB mühelos übertragbar

Um Ordnungsmäßigkeitsanforderungen auf die Datenverarbeitung anwendbar zu machen, werden die wesentlichen Erscheinungsformen der Datenverarbeitung, nämlich

- die Dokumentation,

- die Arbeitsabwicklung,

- das Funktionieren zum Gegenstand von Hauptgrundsätzen gemacht. Das sind die Grundsätze der

- Transparenz durch Dokumentation,

- Kontrollierbarkeit der Arbeitsabwicklung,

- Sicherung der Funktionsfähigkeit,

auf die sich die aus den GoB bekannten Grundsätze der Vollständigkeit, Richtigkeit, Zeitgerechtigkeit, Klarheit, Belegbarkeit, Sicherheit und Prüfbarkeit mühelos anwenden lassen.

Die Sicherheit der Datenverarbeitung ist die Vorbedingung, unter der die Übertragung menschlicher Schreib-, Rechen- und Überwachungsarbeiten auf technische Systeme Oberhaupt zulässig und zweckmäßig sein kann. Die Abhängigkeit der Unternehmen von einer ständig verfügbaren und nur kurzfristig verzichtbaren Datenverarbeitung nimmt tendenziell zu. Die vorgeschlagenen Maßnahmen sollen die mit der Anwendung dieser Systeme verbundenen Zerstörungs- und Manipulationsrisiken so weit wie möglich abwehren helfen. Mögliche Mehrkosten für weitere Sicherungsmaßnahmen sind relativ leicht kalkulierbar und lassen sich dem Zugewinn an Sicherheit gegenüberstellen.

Die Kontrollierbarkeit der EDV-Systeme ist notwendig, weil es insbesondere bei EDV-Programmen keine Garantie für absolute Richtigkeit gibt. Die vorgeschlagenen Richtlinien sollen daher als Netz von organisatorischen Maßnahmen wirken, um insoweit die Zuverlässigkeit eines Abrechnungssystems zu gewährleisten. Die möglichen Mehraufwendungen für erweiterte Kontrollmaßnahmen sind jeweils den zu sichernden Vermögenwerten des Unternehmens gegenüberzustellen.

Größere Transparenz fördert nicht nur die Kontrollierbarkeit der Systeme, sondern auch die Innovation und Anhebung des Qualitätsstandards für EDV-Lösungen, da sie den Ausscheidungsprozeß zwischen guten und schlechten Lösungen erleichtert. Auch hieraus ergeben sich für die Unternehmen Vorteile, die die für die größere Transparenz erforderlichen Aufwendungen aufwiegen würden.

Die vorgeschlagenen Grundsätze regeln eigentlich Selbstverständlichkeiten. Gleichwohl erfordern sie schon in der Systementwicklungsphase ein auf die Grundsätze "Transparenz", "Kontrollierbarkeit" und "Sicherheit" ausgerichtetes diszipliniertes Verhalten des Organisierens, das auch in den Folgephasen der Programmierung und Arbeitsabwicklung eingehalten werden muß, Trotzdem gewähren sie genügend Freiraum für individuelle Ausgestaltung und Anpassung an betriebliche Gegebenheiten.

Die Art der Anwendung dieser Grundsätze wird in der oben angesprochenen Arbeit ausführlich beschrieben. Dabei ist eine Reihe von Aussagen verarbeitet, die dem fachkundigen Leser in der einen oder anderen Form schon begegnet sein werden. Verschiedene Thesen sind jedoch neu und werden deshalb Diskussionen auslösen.

Zu den neuen Thesen dieser Arbeit gehören neben der obengenannten Kernidee:

a) Der Umfang der EDV-Dokumentation ist abhängig von der Kompliziertheit des Abrechnungsverfahrens, insbesondere von der Fülle an Verarbeitungsautomatismen, die die Buchhaltung erheblich beeinflussen, aber nicht direkt und zweifelsfrei aus den Buchhaltungsnachweisen erkennbar sind. Solche Beispiele von dokumentationsbedürftigen Verarbeitungsautomatismen sind

- Benutzerprüfungen,

- Datenfeldprüfungen,

- nicht ausgedruckte Rechenschritte,

- alternative Rechenformeln,

- nicht ausgedruckte Steuerungsfunktionen,

- schlüsselgesteuerte Automatismen,

- tabellengesteuerte Automatismen,

- bedienungsparametergesteuerte Automatismen,

- automatisch erzeugte Buchungen,

- automatische Bestandsabgrenzungen,

- automatische Bestandskontrollen,

- automatische Speicherbuchführung,

-Datenbanken mit ihren unterschiedlichen Zugriffs- und Verwaltungsmethoden, schließlich

- Bildschirmdialog für Dateneingabe, Dateiveränderung oder sonstige Verarbeitung.

Differenzierte Verständigung

b) Die Gliederung der EDV-Dokumentation sollte sich zweckmäßigerweise nach den Ansprechpartnern (Betreuer und Benutzer) der Dokumentation richten. Nach dieser Regel lassen sich auch am sichersten die Inhalte und die Gestaltung der einzelnen EDV-Dokumente ausrichten:

- Anwendungshandbuch (auch Benutzerdokumentation genannt) zur Verständigung zwischen Organisator und Fachabteilung sowie Organisator und Programmierer;

- Systemhandbuch zur Verständigung zwischen Organisator und Programmierer;

- Bedienungshandbuch (oft der Benutzerdokumentation zugeordnet) zur Verständigung zwischen Programmierer und Bedienungspersonal;

- Programmakten (auch Wartungsdokumentation genannt) zur Verständigung zwischen Erstprogrammierer und Änderungsprogrammierer;

- Codierung zur Verständigung zwischen Programmierer und Maschine.

c) Die Aufbewahrungsfristen für EDV-Dokumentation sind nicht befriedigend geregelt. Die Äußerungen der Finanzverwaltung berücksichtigen zu wenig

- die Schnellebigkeit der Datenverarbeitung, ihrer Technik sowie ihrer Organisationsmethoden,

- die unterschiedlichen Prüfungserfordernisse in Abhängigkeit von der Kompliziertheit des Abrechnungsverfahrens und von der Ausdruckintensität,

- den unterschiedlichen Prüfungswert einzelner Dokumentarten.

Befristete Dokumentation

d) Die Aufbewahrungsfristen für EDV-Dokumentation sollten differenziert werden nach der Kompliziertheit des Abrechnungsverfahrens und der Ausdruckintensität beispielsweise nach Buchführung mit Vollausdruck, Buchführung mit Speicherung des Buchungsstoffes in zeitlicher (Grundbuch) und sachlicher (Konto) Ordnung, Speicherbuchführung mit Speicherung des Buchungsstoffes in beliebiger Ordnung mit der Möglichkeit, die jeweils gewünschte Ordnung bei Abruf herstellen zu können.

Bei geringer Kompliziertheit und hoher Ausdruckintensität dürfte ein Minimum an EDV-Dokumentation reichen, um die notwendige Transparenz zu gewährleisten. Dagegen sind bei hoher Kompliziertheit und geringer Ausdruckintensität oder intensiver Speicherbuchführung entsprechend hohe Dokumentationsanforderungen zu stellen.

Auch die Dokumentart sollte bei der Festlegung von Aufbewahrungsfristen berücksichtigt werden. Für technisch orientierte Dokumentarten sollten kürzere Aufbewahrungsfristen zugelassen werden, um die ohnehin schon aufwendige Dokumentationsverwaltung soweit wie möglich zu vereinfachen. Ein entsprechender Vorschlag wird in Form einer Tabelle vorgelegt.

Abgestufte Sicherheit

e) Die Grundsätze der Zulässigkeit, Richtigkeit, Zeitgerechtigkeit, Vollständigkeit und Prüfbarkeit sind auf alle Phasen der EDV-Arbeitsabwicklung streng anzuwenden. Nur die Nutzung aller Kontrollmöglichkeiten kann falsche Datenverarbeitung verhindern.

Insbesondere müssen der Fehlererkennungs- und -korrekturprozeß sowie der Änderungsdienst und der Abstimmprozeß für nachträgliche Prüfungen nachgewiesen werden. Insoweit ist auch die EDV-Arbeitsabwicklung sachgerecht zu dokumentieren.

f) Sicherheitserfordernisse in der räumlichen Organisation sind an den abzudeckenden Risiken zu orientieren, etwa an der Abhängigkeit des Unternehmens von einer jederzeit verfügbaren Datenverarbeitung.

g) Sicherheitserfordernisse in der personellen Organisation, insbesondere die Trennung der Verantwortlichkeit für verschiedene EDV-Aufgaben, können bei unterschiedlicher Personalausstattung zumindest teilweise verwirklicht werden.

Eine Funktionstrennung ist anzustreben zwischen

- Programmierung und Maschinenbedienung; denn das Wissen über die Programmsysteme, kombiniert mit der Zugriffsmöglichkeit zu echten Daten, würde Datenmanipulationen bei laufenden Arbeiten sehr erleichtern,

- Maschinenbedienung und Datenarchivierung; denn eine unkontrollierte Dateiverwaltung würde ebenfalls Datenmanipulationen und Datenveruntreuungen erleichtern,

- Datenerfassung und Maschinenbedienung, weil sonst unauffällig Daten für Manipulationszwecke erstellt und in das EDV-System eingegeben werden können,

- Kontrollgruppe und Maschinenbedienung, weil sonst bei der Ausübung der Kontrolle gewollte Manipulationen verschleiert oder umgangen werden können.

Nur bei sehr kleinen EDV-Organisationen sind Funktionsüberschneidungen nicht zu vermeiden. Gleichwohl ist das daraus resultierende Risiko beachtlich,

h) Zu einem besonderen Überschaubarkeitsrisiko entwickeln sich die neuen EDV-Techniken wie - Datenbanksysteme, bei denen Stamm- und Bewegungsdateien in vielfältiger Weise miteinander verknüpft sein können,

- Speicherbuchführung im Zusammenhang mit Datenbanksystemen, sobald Datenänderungen in zurückliegenden Buchungszeiträumen nicht kenntlich gemacht werden,

- Bildschirmdialogsysteme, bei denen zu einem beliebigen Zeitpunkt von verschiedenen Fachabteilungen aus direkt Verarbeitungen in den Daten des zentralen Rechensystems ausgelöst werden können,

- Datenfernverarbeitungssysteme, bei denen auch dritte Stellen durch Dateneingabe und Datenentnahme in den laufenden EDV-Betrieb eingreifen können.

Sie erfordern eigene Dokumentations- und Kontrollansätze.

i) Eine rückwirkende Herstellung der GoDV wäre für viele EDV-Organisationen erforderlich, ist aber nur in Teilbereichen der Dokumentation und Arbeitsabwicklung möglich. Bei der nachträglichen Herstellung der GoDV sollten vorrangig diejenigen Arbeitsgebiete komplettiert werden, die eine Lebenserwartung von ein bis zwei Jahren haben, erhebliche Bedeutung für die Bilanzierung und Besteuerung haben und aus ihren Aufzeichnungen heraus nicht direkt, zweifelsfrei und in angemessener Zeit prüfbar sind.

Zu beachten ist der Standpunkt der Finanzverwaltung, die davon ausgeht, daß die Dokumentationspflicht zumindest bis in die Zeit der Veröffentlichung des GoS-Erlasses (Juli 1978) zurückreicht.

Diese Thesen streben zur Präzisierung der Ordnungsmäßigkeitsanforderungen an die Datenverarbeitung. Sie gehen teilweise über die der fachlichen Stellungnahmen hinaus - so etwa die Thesen a), b) und e) - während sie an anderer Stelle für eine Milderung eintreten - so etwa die Thesen c) und d). Die Thesen gehen aber konform mit den gesetzlichen Vorschriften. Lediglich zur Aufbewahrungsdauer der EDV-Dokumentation plädieren sie für eine den realistischen Möglichkeiten der Datenverarbeitung angepaßte Regelung.

Die aufgeführten Empfehlungen gelten unabhängig von der jeweiligen Größe der EDV-Abteilung. Je kleiner diese ist, um so schwerer und mit vergleichsweise höherem Aufwand sind einzelne Punkte zu realisieren (für andere Punkte gilt dies nicht); regelmäßig ist aber mit dem Auslassen einiger Punkte eine Verminderung der Wirksamkeit der organisatorischen Maßnahmen zur Kontrollierbarkeit, Verarbeitungssicherheit und zum Schutz der Vermögenswerte verbunden.

Lücken sind Verstöße

Die Unterlassung einer bestimmten Empfehlung braucht noch kein Verstoß gegen die GoDV zu sein, solange andere Maßnahmen die nötige Sicherheit gegen das angesprochene Risiko bieten. Dagegen stellen Lücken in den Grundlagen der GoDV Verstöße dar, die sich wegen der Einheit von System und Inhalt auf die Buchführung auswirken und die Ordnungsmäßigkeit der Buchführung in Frage stellen können.

Die GoDV sind - auch im Hinblick auf künftige Entwicklungen Grundsätze, aber keine Dogmen. Sie dienen der Erfüllung der gesetzlichen Vorschriften und lassen gleichzeitig dem Gesetzgeber und den Fachgremien Raum für eine Weiterentwicklung der Vorschriften und fachlichen Stellungnahmen. Einzelne Empfehlungen können durch die technische Entwicklung gewisse Wandlungen erfahren. Insgesamt ist damit zu rechnen, daß die Automatismen, die die Buchhaltung beeinflussen, ohne aus ihr direkt und zweifelsfrei erkennbar zu sein, zunehmen werden, und infolgedessen auch die Anforderungen an die EDV-Dokumentation und die EDV-Arbeitsabwicklungskontrollen steigen müssen.

Während die GoB sowie die Aufsicht der externen und internen Revision über die Buchführung schon seit vielen Jahrzehnten eine anerkannte Übung im kaufmännischen Leben ist, müssen die GoDV und deren Überwachung durch eine Revision sich noch gegen Widerstände durchsetzen. Es wird einige Zeit dauern, bis die GoDV von den EDV-Fachleuten aufgenommen und an die Stelle alter Gewohnheiten gesetzt worden ist.

Die Einführung der GoDV wird dort, wo sie noch nicht von eingehalten werden, im Anfang zusätzliche Arbeiten und Kosten bereiten. Kosten können aber kein grundsätzliches Argument gegen die GoDV ebensowenig wie gegen die GoB sein. Vielmehr sind die Kosten mit dem Zugewinn an Sicherheit zu vergleichen und danach ihre Angemessenheit zu beurteilen. Also bedürfen die Kosten einer detaillierten wertmäßigen Quantifizierung. Meistens gibt es mehrere Wege, um die Ziele "Transparenz", "Kontrollierbarkeit" und "Sicherheit" zu erreichen, so daß die Quantifizierung der Kosten hilft, den jeweils günstigsten auszuwählen. Im übrigen wird es sich zeigen, daß die Aufwendungen für Transparenz, Kontrolle und Sicherheit kompensiert werden durch höhere Qualität der Systeme, Ersparnisse beim Systemänderungsdienst und bessere Sicherheit für die zu verwaltenden Vermögenswerte.

Literatur:

- Handelsgesetzbuch(HGB) °° 38 bis 47.

- Abgabenordnung (AG) °° 140 bis 14.

- Bundesdatenschutzgesetz (BDSG).

- Grundsätze ordnungsmäßiger Speicherbuchführung (GoS), Anlage zu ° 14 6 AO.

- IdW-Fachgutachten 1/1977, Grundsätze ordnungsmäßiger Durchführung von Abschlußprüfungen, WPg 1977 S. 2 10 ff.

- FAMA-Stellungnahmen 1/1972, 1/1974, 1/1975, WPg 1972 S. 534 ff., WPg 1974 S. 83 ff., WPg 1975 S. 555 ff.

- Schuppenhauer, R., Grundsätze für eine ordnungsmäßige Datenverarbeitung, Düsseldorf 1982.

* Dipl.-Ing. Rainer Schuppenhauer hat bereits zahlreiche Arbeiten zu Fragen der Ordnungsmäßigkeit der Datenverarbeitung publiziert.