Inhalt der Verfahrensdokumentation

2. Inhalt der Verfahrensdokumentation

2.1. Einführung

Eine Verfahrensdokumentation bildet den organisatorischen und technischen Prozess von der Informationsentstehung über Indexierung und Speicherung, Wiederfinden, Absicherung gegen Verlust oder Verfälschung und Reproduktion an Bildschirm und Drucker ab.

Das HGB schreibt –in Grundzügen- die Belegverwaltung für das Rechnungswesen vor. Es fordert Ordnungsmässigkeit, Nachvollziehbarkeit, Unverfälschbarkeit etc. Die AO wurde am 16. Juli 2001 durch die Verabschiedung der Grundsätze der Prüfbarkeit digitaler Unterlagen (GdPDU) geändert. Diese Grundsätze regeln aus steuerlicher Sicht die Archivierung selbsterstellter Dokumente. Sie berechtigen den steuerlichen Betriebsprüfer zugleich zu lesenden Zugriffen auf Dokumente und Transaktionsabbildungen wie Buchungssätze und andere. Die Verfahrensdokumentation dient in der steuerlichen Betriebsprüfung zum Nachweis des Einhalts der o.g. Anforderungen. Eine gut gemachte Verfahrensdokumentation bietet jedoch weiteren Nutzen, der über die steuerliche Betriebsprüfung hinausgeht. Sie dokumentiert die vollständige und geplante Unternehmensverwaltung. Da die Abbildung der Unternehmensverwaltung vor allem auf Belegebene, sowohl papiergebunden als auch digital erfolgt, ist die Abbildung der in der Bearbeitung und Archivierung von Belegen genutzten Systeme und gewählten Prozesse wichtig. Dies bestimmt die Detaillierung der Verfahrensbeschreibung. Alle Punkte, die für die Nachvollziehbarkeit von Organisationshandeln erforderlich sind, sind hier aufzunehmen.

2.2.1. Allgemeine Inhaltsbeschreibung

In einer Verfahrensbeschreibung sollten enthalten sein:

• Allgemeine Definition der Verwaltungsprozesse im Unternehmen, der Erstellung von Dokumenten und deren Archivierung
• Sachlogische Systemlösung
• Technische Ausführung der Systemlösung; Migration
• Systemschutz und –sicherheit
• Beschreibung des Betriebs des Systems
• Prozessbeschreibungen
• Mitarbeiter-Qualifikation
• Tests, updates, Wartungen

2.2.2 Struktur und Inhalt

Sind diese Punkte umfänglich beschrieben, ist die Verfahrensbeschreibung fertig. Damit Aussenstehende Struktur und Inhalt nachvollziehen können, sollten zusätzlich Informationen gegeben werden zur Verantwortlichkeit; aufgeteilt auf Hersteller, Integrator und Betreiber.

Allgemeine Definition der Verwaltungsprozesse im Unternehmen, der Erstellung von Dokumenten und deren Archivierung

Beschreibung des Unternehmens allgemein, Identifizierung der betroffenen Bereiche, Beschreibung der Aufgaben;

Beschreibung der allgemeinen Aufbau-Organisation, zB in Form eines Organigramms, Darstellung zwischen fachlichen und technischen Bereichen der Verwaltung, Stellenpläne, Arbeitsanweisungen;

Darstellung der Verwaltungsprozesse der betroffenen Bereiche (Zugang, Absicherung, Stellvertretungen);




Sachlogische Systemlösung

Anwendungsbeschreibung

Welche Aufgaben hat die Anwendung? Wie löst sie die Aufgaben?

Strukturbeschreibung für Schlüsselverzeichnisse, Aktenpläne, Klasseneinteilung der Dokumente, Befristung der Aufbewahrung, Vernichtungs- und Löschpläne


GdPDU-Relevanz

Welche Dokumentenbestände sind für Prüfungen wichtig?

Welche Systeme erstellen Dokumente? In welchen Bereichen?

Finanzbuchhaltung

Anlagen-Buchhaltung

Warenwirtschafts-System

Liquiditätssteuerung

Debitoren- und Kreditoren-Buchhaltung

Fremdkapital-Verwaltung

Lohnbuchhaltung

Etc.

Wie lauten die Dokumentformate?

Wo sind die Dokumente gespeichert?

Wie sind ihre Indizes strukturiert?

All

Wer darf wann auf Daten zugreifen? Wie sind die Zugriffsberechtigungen für Prüfungen?

Die Berechtigungseinstellungen sind zu beschreiben

Wie wird sichergestellt, dass nur berechtigte Personen nur auf von ihnen aktuell benötigte Daten zugreifen?

Wie werden diese Berechtigung im Fall einer Prüfung organisiert?

Welche Möglichkeiten des Zugriffs werden den Prüfern eingeräumt?

Die Möglichkeiten des Zugriffs sind ebenso zu beschreiben wie die Art der Bereitstellung von Dokumenten

Es ist zu unterscheiden

• Lesender Zugriff über die ausführende Anwendung oder das Archiv
• Bereitstellung der Daten zur maschinellen Auswertung
• Bereitstellung von Dokumenten zur maschinellen Auswertung

Wie wird sichergestellt, dass auch archivierte Daten in der Prüfung unverzüglich bereitgestellt werden?

Welche Vorgaben für Löschungen von Informationen/ Dateien und Vernichtung von Dokumenten gibt es?

Wie sind die Regeln der Löschung prüfungsrelevanter Daten in den produktiven Systemen?

Wie sind die maschinellen Auswertungsmöglichkeiten nach dem Löschdatum organisiert?

Technische Ausführung der Systemlösung, Migration

Welche Standard-Software wird im Unternehmen genutzt?

Wie sind die eingesetzten Programme zu beschreiben?

• Betriebssysteme
• Treiber-Software
• Standard-Module
• Werkzeuge zur System-Administration
• Programmier-Werkzeuge

Welche Software-Komponenten sind individualisiert/ customized?

Gibt es dafür ein Pflichtenheft?

Welche Anwendungserweiterungen gibt es?

Welche Konfigurationseinstellungen brauchen die?

Wie heissen die Module?

Welche Aufgaben erledigen sie?

Welche Standard-Software-Module beliefern sie?

Über welche Schnittstellen?

In welchen Versionen wurden sie genutzt?

Ist die Nutzung historisiert? Ist die Historisierung erkennbar?

Welche Programmiersprachen wurden genutzt?

Wer pflegt die Software?

Welche Datenbanken sind im System vorhanden?

Beschreibung der Datenbank-Typen mit technischen Daten

Wie sind die Datenbanken konfiguriert?

Wie wird die Integrität der Datenbank gesichert?

Wie wird die Konsistenz der Daten gesichert?

Wie laufen die Sicherungen innerhalb der Datenbank?

Mit welchen Anwendungen kommuniziert die Datenbank?

Werden Datenbank-Transaktionen protokolliert?

Gibt es abgesicherte Zugriffsverfahren?

Welche Möglichkeiten der Änderung von Daten gibt es?

Welche Löschungsregeln und –verfahren gibt es?

Wie sind die Replikations-Möglichkeiten gestaltet?

Wie ist die Datenbank in die Sammlung der Datenbanken integriert?

Wie ist dieses Modell zu beschreiben?

Hardware

Welche Server sind im Einsatz?

Welche Clients sind im Einsatz

Welche Subsysteme unterstützen Server und Clients?

Technische Daten für jede Komponente

Hersteller

Speicherkapazität

RAM

Festplatte

Prozessoren

Anzahl

Typ

Taktung

Services und Umgebung

Wartungsverträge

Garantie-Ansprüche

Verfügbarkeits-Vereinbarungen

Wartungspläne

Betriebsbedingungen

Energieversorgung

Pufferung der Energieversorgung

Klimatisierung der Betriebsräume

Autarkie der Betriebsräume

Wie ist das Netzwerk des Unternehmens aufgebaut?

Logischer Aufbau

Konfiguration

Netzwerkbetriebssystem

Durchsatzraten

Genutzte Protokolle

Abnahme-Zertifikate

Typen und mögliche Anzahl der Clients

Redundanz und Absicherung der Ausfallsicherheit

Welche Ausgabe-Geräte gibt es?

Wie ist die Druckerlandschaft aufgestellt?

Wie werden die Daten im Unternehmen gespeichert?

Welche Speichersysteme gibt es?

Wie heissen die Hersteller?

Welche Speicherung wird genutzt?

Streamer

Festplatte

Optische Speichermedien

Einmalig beschreibbar

Wiederbeschreibbar

Wieviele Laufwerke sind im Einsatz?

Wie sind sie konfiguriert?

Wie stellt das Unternehmen sicher, dass die Sicherung über mehrere Generationen funktioniert?

Wer hat Zugang zu den Speicher-Medien?

Wer hat Zugriff auf die Sicherungen?

Darf die „Fernwartung“ die Sicherungen einsehen?

Kann die „Fernwartung“ Sicherungs-Prozesse anstossen/ überwachen?

Wie ist die Verwaltung der Sicherungsmedien organisiert

Logisch

Physikalisch

Welche Schnittstellen aus der Produktiv-Umgebung haben Kommunikation zur Sicherungs-Umgebung?

Wie ist die Betriebs- und Steuerungs-Software zu beschreiben?

Gibt es einen Wartungsplan für Sicherungen?

Gibt es eine Wiederanlaufplanung?

Gibt es eine Planung für desaster-recovery?

Welche Erfassungssysteme werden im Unternehmen genutzt?

Welche Input-Systeme gibt es?

Tastaturen

VoiceRecorder

Scanner

Wie ist deren technische Beschreibung?

Hersteller

Typenbeschreibung

Geschwindigkeit, Auflösung, Format, Komprimierungsverfahren

Welche Schnittstellen werden bedient?

Wird zusätzliche hard- und software wie zB compression boards oder spezielle Treiber benötigt?

Wie ist die Versionsverwaltung im Unternehmen geregelt?

Gibt es Dokumente über die eingesetzte Software und die zeitliche Nutzung unterschiedlicher Versionen?

Gibt es Dokumente zu Anpassungs-Anforderungen und deren Durchführung bei Fehlern oder Ergänzungen?

Wie werden Anpassungsanforderungen festgestellt?

Wie werden sie dokumentiert?

Wie sind die update-Verfahren organisiert?

Wie sind die Systeme konfiguriert?

Gibt es eine Übersicht der verschiedenen Konfigurationen?

Gibt es eine Übersicht über die Konfigurations-Parameter je genutzter Anwendung?

In welcher Form liegt diese Übersicht vor?

Wer hat darauf Zugriff?

Wie sind die Systeme dokumentiert?

Welche Dokumente gibt es über die Systemkomponenten?

Gibt es Hersteller-Dokumentationen?

Zu hardware, Systemkonfigurationen, Installationen, zu software, zu installierten Datenbanktabellen, zu Benutzerprofilen, zur Systemadministration

Fachkonzepte, IT-Konzeptionen, IT-Administration, operating handbooks, Prozessanleitungen für wiederkehrende Prozesse

Dokumentation der Datenbanken

Soll-Konzepte, anwendungsspezifische Handbücher, Betriebs- und Störungshandbücher

Wie abhängig ist das Unternehmen von der eingesetzten Software? Wie flexibel sind die Möglichkeiten des Systemwechsels/ Lieferantenwechsels?

Wie schwierig ist es, den Systemlieferanten zu wechseln? Müssen dazu grosse Teile der IT-Umgebung ausgetauscht werden?

Was geschieht mit den bisher genutzten Datenbanken?

Was geschieht mit den Archiven/ den Sicherungen?

Ist dann auch ein Wechsel der Betriebssysteme fällig?

Muss dann auch hardware getauscht werden?

Liegen Herstellerdokumentationen der Exportschnittstellen vor?

Systemschutz und –sicherheit

Wer darf auf welche Daten zugreifen?

Wie sind die Berechtigungsverfahren aufgebaut?

Wer darf was? Wann? Wird das protokolliert?

Gibt es eine Zugriffssicherung?

Password

LogIn

Client

Remote access

Schnittstellen

Sind die Clients geschützt?

Permanente Zugangssicherung

Arbeitsplätze

Serverräume

Schließanlage

Zugangskontrollen

Verbot der Mitnahme von Datenträgern

Verschlusszustand der Clients

Besitzen die Clients Disketten-Laufwerke?

Besitzen die Clients CD- oder DVD-Laufwerke?

Dürfen die genutzt werden? Sind die aktiviert?

Verfügen die Clients über SSB-Ports?

Gibt es Virenschutz?

Wie ist die Sicherheit des LAN/ des WAN?

Ist das Intranet durch firewalls abgeschottet?

Ist Internet-Nutzung erlaubt?

Wie ist dann das Sicherheitskonzept?

Wie wird der Datenfluss kontrolliert?

Welchen Datenfluss gibt es?

Wie wird er gegen Verluste im laufenden Betrieb abgesichert?

Wie redundant ist die Speicherung?

Wie ist der Datenfluss gegen Manipulationsversuche gesichert?

Wie wird das Netzwerk gegen Überlastungen gesichert?

Gibt es ein flow-control?

Wie ist die Speicherhierarchie organisiert?

Wie ist der Cache organisiert?

Gibt es eine Transaktionskontrolle?

Wie sind die Verfahren zur Wahrung der Datenintegrität gestaltet?

Wie werden die Referenzen zwischen aktiver Datenbank und Archiv hergestellt?

Wie werden die Daten vor Veränderungen geschützt?

Welche Regeln gibt es für

Restart

Recovery

Gibt es Protokollierungen bei allen Änderungen?

Wie sind die Archive konstruiert?

Wie ist das Ablagekonzept?

Wie ist die Beschreibung des vollständigen Ablaufs einer Archivierung?

Wie sind die Speicherformate der Dokumente, wie ist das Speicherverfahren?

Welche technischen Komponenten werden zur Speicherung eingesetzt?

Gibt es eine Auflistung der Speichermedien?

Gibt es Vorgaben über Aufbewahrungsdauer und –ort?

In welchen Formaten sind die Dokument-Typen abgelegt?

Welchen weiteren Standards und Normen unterliegt das Archiv?

Wie werden Arbeiten am Archiv protokolliert?

Wie sind die Protokollmechanismen in den Anwendungen konstruiert?

Gibt es eine Übersicht über vorhandene Protkolldateien, deren Aufbau mit Feld- und Inhaltsbeschreibung?

Gibt es Herstellerdokumentationen, auf die verwiesen wird?

Gibt es Musterausdrucke der Protokolldateien?



Unter welchen Konditionen werden die Daten archiviert?

Gibt es eine Beschreibung der Einsatzvoraussetzungen, differenziert nach

• Hardware
o Server
o Netzwerk
o Scanner
o Digitale Speicher

• Software
o Betriebssysteme
o Netzwerk

Welche Umgebungsbedingungen sind Voraussetzung für ordnungsgemässes Arbeiten?

• Technische Konditionen
o Klima
o Spannung
o Überspannungsschutz
o Spannungsab-/ ausfall
• Physische Schutzmassnahmen
o Zugangsbeschränkungen
o Zugangskontrollen
o Schutzmassnahmen
 Feuer
 Wasser
 Einbruch/ Diebstahl
 Vandalismus
 Raumüberwachung
 Temperaturüberwachung Prozessoren
 Funktionsüberwachung Lüfter
o Wartungsanforderungen
o Sicherungskonzept
o Betriebs- und Bedienungsanweisung


Wie ist die Datenerfassung organisiert?

Wie ist die Beschreibung der Arbeitsanweisung bei der Datenerfassung?

Personenkreis, Stellenbeschreibung

Zeitpunkte der Erfassung

Vor- und Nachbearbeitung der Datenerfassung

Massnahmen der Qualitätssicherung

Kompressionsverfahren

Erfassungs-Protokolle

Versionierung der Dokumente

Löschungsregeln

Verfallsdaten

Wie ist der Import von Dokumenten organisiert?

Gibt es eine Arbeitsanweisung?

Import von Dateien

Import von Objekten

Ablauf des Scannens

Wie sind die Erfassungsprozesse organisiert?

Gibt es eine automatisierte Übernahme von digitalen (Massen-) Daten?

Wie sind die Regeln der Wiedergabe beschrieben?

Gibt es eine Beschreibung der Daten, die zusammen mit dem Dokument archiviert werden müssen?

Gibt es eine Stellenbeschreibung der mit dem Import-Prozess beteiligten Mitarbeiter, die Auskunft über deren dabei zu erledigenden Aufgaben gibt?

Wie wird der Dokumentenimport auf Vollständigkeit, Richtigkeit, Datenintegrität und –konsistent geprüft?

Wie ist der Prozess der Indizierung von Dokumenten organisiert?

Gibt es eine Arbeitsanweisung?

Gibt es ein flow-chart, welches den Ablauf vollständig abbildet?

Welche Begriffe sind als Ordnungskriterien und welche als Schlagworte zugelassen?

Gibt es Plausibilitätskontrollen?

Gibt es Übernahme- und Abgleichverfahren mit anderen Systemen?

Welche Massnahmen der Qualitätssicherung und –überwachung gibt es?


Wie ist der Prozess der Archivierung organisiert? Wie ist die Recherche organisiert?

Gibt es eine Arbeitsanweisung?

Gibt es Anweisungen, wann welches Dokument archiviert werden muss?

Gibt es Anweisungen, weil lange die Dokumente im Archiv verbleiben dürfen? Gibt es eine Organisation der Verfallsdaten? Was geschieht bei Eintritt des Verfallsdatums?

Gibt es ein Migrationskonzept zwischen Archiven verschiedener Ordnungen?

Gibt es Anweisungen, die Aufschluss geben über Dateien/ Dokumente, die Löschungsregeln vorgeben hinsichtlich physikalischer oder logischer Löschung?

Gibt es eine Beschreibung der unterschiedlichen Rechercheprozesse?

Clients
Web
Enabling

Wie ist der Prozess der Dokumentenbearbeitung/ der Reproduktion organisiert?

Gibt es eine Arbeitsanweisung?

In welcher Form dürfen die Dokumente bearbeitet/ verwendet/ verändert werden?

Welche Möglichkeiten der Reproduktion gibt es?

Formate
Qualität

Sind die Reproduktionsprozesse vollumfänglich beschrieben?

Anzeige
Ausdruck
Bereitstellung und Export

Welche Druck-Optionen gibt es? Wie ist deren Qualitätsstandard?

Gibt es Konfigurationslisten der Druckereinstellungen?

Gibt es Kompetenz-Beschreibungen hinsichtlich der Freigabe von Änderungen, Weiterleitungen, Genehmigungen, Speicherungen, Versionierungen?

Wie ist die Protokollierung organisiert?

Gibt es eine Beschreibung der Einstellung und der Nutzung der Protokollfunktionen?

Welchen Einstellungen folgen die Protokoll-Funktionen?

Wie lange werden die Protokolle erhalten?

Wie werden die Protokolle gespeichert?

Dateien
Druckdateien
Archivierungsdateien

Gibt es Protokolle, die in Papierform vorhanden sein müssen?

Wie wird deren Sicherheit gegen Verlust oder Verfälschung organisiert?

Welche Such- und Auswertungsoptionen der Protokolle/ in den Protokollen gibt es?

Wie ist die System-Administration organisiert?

Gibt es Beschreibungen

• Stelle des System-Administrators
• Stelle des System-Operators
• Benutzerverwaltung
• Kennwort-Verwaltung
o Regeln der Kennwort-Zulässigkeit
o Kalendarium der Kennwort-Wechsel
• Pflege der Verschlagwortung
• Wiederkehrende Sicherungs-Überprüfung
• Ablaufdaten der Verschleissteile
• Spiegelung der Archiv-Medien
• Auslagerung der Sicherung der Archiv-Medien
• Datensicherung
• Administration der Datenbanken
• Regeln der Fernwartung
• Fehler-Management
• Desaster Recovery
• Wiederanlaufplanung
• Dokumentation der durchzuführenden/ durchgeführten Tätigkeiten
o Mit Beschreibung der ausführenden Stellen/ Personen und Benennung/ Protokollierung der kalendarischen Aktionsdaten

Welche Anforderungen an die Mitarbeiter-Qualifikation gibt es? Sind diese Anforderungen dokumentiert?

Welche Rollen sind welchen Mitarbeitern zugewiesen?

In den Bereichen

• Erfassung
• Indizierung
• Bearbeitung
• Fachadministration
• Systemadministration

Welche Kompetenzen benötigen die Mitarbeiter?

Gibt es in den Stellenbeschreibungen?

• Gibt es dort Mindestanforderungen?
o Persönliche Anforderungen
o Fachliche Qualifikation
o Technische Qualifikation
o Soziale Qualifikation
Wie ist die Zuordnung der Mitarbeiter zu ihren definierten Rollen?

Wie werden die erforderlichen Qualifikationen nachgewiesen und auf dem benötigten Stand der Aktualität gehalten?

Gibt es Test- und formelle Abnahmeverfahren für die eingesetzte Technik?

Welche Testdokumentation für die durchgeführen Systemtests liegen vor?

Wo lagern die dazugehörigen Testdaten?

Wo ist die Systemkonfiguration für die Tests festgehalten?

Gibt es förmliche und von den Teilnehmern unterzeichnete Testprotokolle?

Enthaltend:
• Beschreibung der Testfälle mit ihren Parametern
• Testnummer und Testfall
• Beschreibung
• Testergebnis
• Fehlerbeschreibung und Klassifizierung der Abnahmerelevanz
• Anzahl der Durchläufe
• Teilnehmer
• Testdatum und –status

Gibt es ein förmliches Abnahmedokument vom Betreiber oder von einer dritten Seite?

Ist darin enthalten:

• Versionen der eingesetzten Software
• Verweis auf Verfahrensdokumentation
• Art und Weise der Abnahmetests
• Einschränkungen im laufenden Betrieb
• Einschränkungen der Abnahme
• Nummer der Abnahme
• Abnehmende Instanz
• Datum und Unterschrift

Gibt es eine organisierte Systemwartung?

Welches sind die wartungsbezogenen Anforderungen

• Konzept
o Fristen
o Einzelne Massnahmen
o Terminüberwachung
o Überwachung der Wartung
o Eskalations-Stufen
o Abnahme der Wartungsleistung
• Prophylaxe
o Richtlinien der Betreiber oder der Hersteller
o Systemanalysen
o Protokoll-Überwachungen

Wie werden die Wartungen personell umgesetzt?

• Personelle Zuordnung
• Umfang des Wartungsstabes
• Qualifikation der handelnden Personen

Wie wird die Wartung dokumentiert?

Ist die Dokumentation in das Wartungskonzept einbezogen?

Werden die Zeitpunkte, der Umfang, die Ergebnisse der Wartungsarbeiten dokumentiert? Werden die Namen der durchführenden Mitarbeiter festgehalten?

Die vorstehende Ausführung ist ein „Masterplan“, der natürlich angepasst werden muss. Die Individualisierung wird dann zu einer deutlichen Verkürzung führen.