Teil VI der Serie: „Das digitale Audit für prozessübergreifende Prozessschwächen“
Daten- und Prozessanalysen können großen Nutzen in der Revision bringen. Aber es besteht häufig folgendes Problem: Wie kann man den zahlreichen und umfangreichen Ergebnissen im Anschluss überhaupt nachgehen? Muss man allen Fällen, die eine Datenanalyse hervorbringt, nachgehen? Denn das sind häufig viel zu Viele! Häufig sind Revisoren von dem Umfang der Ergebnismenge von Datenanalysen schlicht erschlagen. Im Folgenden möchte ich vorstellen, wie man vorgehen kann.
1. Das digitale Audit für prozessübergreifende Prozessschwächen
2. Im Fokus: So prüft man Stammdaten und Zahlungen automatisiert
3. Die GoBD lassen grüßen: Ein Quickcheck für Ihren Buchungsstoff
4. Offenheit kann sich rächen: Automatische Analyse Ihres SAP Zugriffsschutzes
5. Sind Ihre Prozesse plausibel? So bekommen Sie es automatisiert heraus
6. Wenn die Datenanalysen fertig sind kommt das Professional Judgement…
Divide et Impera
„Teile und Herrsche“ – sagt der Lateiner. Das bedeutet schlicht folgendes: Ist eine Aufgabe zu schwer, unterteile man die Aufgabe in Untergruppen und kümmere sich um die einfacher zu bearbeitenden Untergruppen, bis man alle Untergruppen bearbeitet hat. Was bedeutet das für die Interpretation einer SAP Datenanalyse für den Revisor?
Ich habe insgesamt über 125 Indikatoren für Prozessschwächen implementiert (über alle Prozesse Einkauf, Verkauf, Anlage- und Vorratsvermögen, sowie prozessübergreifend). In dieser Serie wurden dabei im Bereich der prozessübergreifenden Fragestellungen verschiedene Indikatoren davon vorgestellt. Während der Implementierung kam genau das beschriebene Problem der zu zahlreichen Ergebnisse auf und deshalb musste dafür eine Lösung konstruiert werden. Ich erkläre es an einem Beispiel – nehmen wir den folgenden Indikator:
Buchungen am Wochenende
Dieser Indikator ist dem Prüfungsziel Ordnungsmäßigkeit zugeordnet.
Es könnten nicht ordnungsgemäße oder betrügerische Buchungen außerhalb des Geschäftsbetriebs verübt worden sein.
Das Kriterium für diesen Indikator ist:
Der Beleg wird markiert, weil er am Wochenende verbucht wurde. Buchungen durch Systemuser werden nicht markiert.
Man stelle sich nun vor, davon seien 12.745 Belege betroffen, die durch diesen Indikator markiert wurden. Schnell kommt dem Revisor bei dieser Anzahl der Gedanke hoch, er hätte besser niemals die Datenanalyse gemacht! Wie soll man 12.745 Indikationen nachgehen?
Um diesem Problem zu begegnen, habe ich das Konzept des „Profils“ erdacht, welches konsequent bei zapliance umgesetzt wurde. Es ist ganz einfach: Jeder Beleg, der von einem Indikator markiert wurde, wird automatisch in eine bestimmte Gruppe sortiert. Was diese Gruppen jeweils sind, ist bei jedem Indikator anders und hängt mit dem fachlichen Analyseziel des Indikators zusammen. Sinn und Zweck ist dann, dass man sich im Wesentlichen nur noch die Ergebnisgruppen ansehen muss und nicht mehr alle einzelnen Belege in den Gruppen.
Verfolgen wir das Beispiel mit dem Indikator „Buchungen am Wochenende“ weiter. Dieser Indikator bildet seine Profile nach dem Kriterium „Wochentag“ in Kombination mit „Belegart“. Beispielweise kommt dabei heraus, dass drei Profile gebildet werden: „Samstag Warenausgang“ (9.801 Belege), „Sonntag kreditorische Rechnung“ (77 Belege) und „Samstag Wareneingang“ (2.867 Belege).
Der Revisor kann sich dann auf das Profil konzentrieren, welches er für Buchungen am Wochenende für besonders relevant oder werthaltig hält. Durch einen Blick auf die Profile klärt sich schnell, dass Wareneingänge und Warenausgänge am Samstag unkritisch sind, weil im Lager regelmäßig am Samstag gearbeitet wird. Als etwaig interessant übrig bleiben also kreditorische Rechnung am Sonntag, denn die Buchhalter arbeiten am Sonntag normalerweise nicht. Durch die Profile findet eine besondere Fokussierung auf die höchsten Risiken oder interessantesten Fälle statt. Zufallsstichproben verlieren an methodischem Wert.
Man auditiert insofern nicht mehr einzelne Fälle, sondern Fallgruppen, was das Audit viel effizienter macht und auch zu einem sehr guten Verständnis der auditierten Einheit führt.
In dem angeführten Beispiel muss also der Frage nachgegangen werden:
Welch Arten von Geschäftsvorfällen sind am Samstag bzw. am Sonntag ungewöhnlich?
… und damit wäre die Prüfung des Indikators abgeschlossen.
