Risiken erkennen, Integrität sichern - So prüfen Wirtschaftsprüfer IT-Migrationsprojekte

Die digitale Transformation ist das Gebot der Stunde, aber der Weg dorthin ist steinig. Gerade bei komplexen IT-Migrationsprojekten lauern zahlreiche Risiken. Wie können Wirtschaftsprüfer Gefahren frühzeitig erkennen und bewerten?

Durch die zunehmende Globalisierung und den starken technologischen Wandel wächst der Druck auf Unternehmen immer stärker, weshalb sie sich schneller an wechselnde Marktbedingungen anpassen müssen, um bestehen zu können. Vor allem im Bereich der Informationstechnologie (IT) herrschen ständiger Wandel und Wachstum, wodurch Migrationen von Systemen eine stets aktuelle und bedeutende Rolle einnehmen. Bei jeder Systemmigration kommen spezifische konzeptionelle, aber auch rechtliche Anforderungen zum Tragen, welche im Verlauf dieses Beitrags erläutert werden. Ein besonderes Hauptaugenmerk wird hierbei auf die Migration von ERP-Systemen gelegt, da Enterprise Resource Planning (ERP) alle Kernprozesse umfasst, die zur Führung eines Unternehmens notwendig sind.

Die Firma SAP mit Hauptsitz in Walldorf ist der größte europäische Softwarehersteller von ERP-Systemen und hat im Rahmen der Anforderungen durch die digitale Transformation die Unternehmenssoftware SAP S/4HANA als neue Technologie vorgestellt, welche den Nachfolger des bisherigen SAP ERP-Systems darstellt. Da die Wartung für das aktuelle System begrenzt und der Umstieg auf SAP S/4HANA ein langwieriges Projekt ist, welches bereits im Vorfeld ausführlich geplant werden sollte, beschäftigt dieses Thema derzeit alle SAP-Anwender. Möchten auch Sie dieses Thema vertiefen? Das Buch „Migrationsprojekte - Durchführung und Prüfung am Beispiel der Umstellung auf SAP S/4HANA“ ist beim IDW Verlag erhältlich

Hilfreiche Tools und Services zur Unterstützung der Digitalisierung in der Wirtschaftsprüfung finden Sie auf der Plattform SOLON X.

Was ist eine Migration?

Der Begriff Migration leitet sich aus dem lateinischen Wort "migratio" für Übersiedlung ab und bezeichnet in der IT einen Umstellungsprozess in den datenverarbeitenden IT-Systemen. Der Begriff ist vielschichtig und kann sowohl die Umstellung insgesamt als auch jeden darin eingeordneten Anpassungsprozess einzelner Bestandteile des Systems bezeichnen und lässt sich grob in die Bereiche Software-, Hardware-, Daten- und Anwendungsmigration unterteilen. Bei der Migration, beispielsweise auf ein neues Enterprise Resource Planning (ERP) System, handelt es sich um eine Anwendungsmigration. Dies stellt eine eine spezielle Herausforderung dar, da alle Bestandteile des Systems (Software, Hardware und Daten) berücksichtigt werden müssen. (Details zu ERP siehe https://www.sap.com/germany/products/erp/what-is-erp.html)

Welche Risiken birgt ein Migrationsprojekt?

Die Komplexität einer Migration erfordert eine umfassende Risikobetrachtung, um angemessen reagieren zu können. Es muss deutlich werden, dass die Prüfung nach einer erfolgten Migration den Rahmen einer Erst- oder Follow-up-Prüfung überschreiten kann, um zu einer angemessenen Risikoeinschätzung zu gelangen. Mit der folgenden exemplarischen Darstellung der Risikofelder soll verdeutlicht werden, dass eine risikoorientierte Prüfungsplanung auch Detailkenntnisse über einzelne Sachverhalte innerhalb der Migrationsphasen erfordert. Eine dem Projekt nachgelagerte Prüfung wird insbesondere dem Kriterium der Nachvollziehbarkeit nur bedingt genügen, weil bereits die Anforderungen an die Dokumentationstiefe innerhalb einzelner Projektphasen nicht definiert sind. Für den Erfolg einer Systemmigration müssen seitens des Anwenders eine Reihe unterschiedlicher Kriterien beachtet werden. Im Umkehrschluss lässt sich ableiten, dass deren nicht angemessene Beachtung zu Risiken innerhalb des Projektes führen könnte. Die Risiken lassen sich exemplarisch in folgende Bereiche gliedern:

Ziele der Migration müssen deutlich formuliert sein
Organisatorische und Strategische Risiken, da die Einführung eines neuen ERP-Systems Auswirkungen auf die komplette IT-Landschaft hat
Projektrisiken bezüglich Vorgehensweise und Migrationsplanung
Steuerrechtliche, vertragliche und datenschutzrechtliche Risiken
Wirtschaftliche Risiken beispielsweise bei der Auslagerung von Daten
Risiken des Betriebsmodells (Cloud Service vs. On Premises)
Qualitative Risiken zur Umsetzung der Ordnungsmäßigkeit und Sicherheit sowie Zufriedenheit der Benutzer

Für ein umfassendes Risikoverständnis des Migrationsprojektes sind Kenntnisse über die einzelnen Risikobereiche und die jeweiligen Projektphasen erforderlich. Dieses Verständnis kann ein Prüfer jedoch nicht im Rahmen der Jahresabschlussprüfung erlangen. Daher wird er vermutlich im Verlauf einer Jahresabschlussprüfung den Fokus auf die rechnungslegungsrelevanten Fehlerrisiken legen, die im Wesentlichen den Qualitativen Risiken zugeordnet werden können. Durch eine vorgelagerte projektbegleitende Prüfung gemäß IDW PS 850 können die Projektrisiken angemessen in der Prüfungsplanung berücksichtigt werden.

Die projektbegleitende Prüfung der Migration gemäß IDW PS 850 durch einen Wirtschaftsprüfer sollte sowohl für den Anwender als auch für den verantwortlichen Abschlussprüfer im beidseitigen Interesse sein. Im Rahmen einer projektbegleitenden Prüfung gilt es, das projektseitige Kontrollrisiko zeitnah zu analysieren und den Anwender ggf. auf wertvolle Maßnahmen zur Reduzierung des Kontrollrisikos hinzuweisen.

Welche Prüfungsstandards gelten im Zusammenhang mit Migrationsprojekten?

Im Zusammenhang mit Migrationsprojekten können insbesondere die folgenden IDW Prüfungsstandards und Stellungnahmen zur Rechnungslegung des Fachausschusses für die Informationstechnologie zur Anwendung gelangen. Je nach Prüfungsschwerpunkt können diese um gängige Standards zur Informationssicherheit (ISO-27000-Reihe), zum IT-Grundschutz sowie zum IT-Servicemanagement (ISO 20000) ergänzt werden:

IDW PS 330 – Abschlussprüfung bei Einsatz von Informationstechnologie
IDW PS 850 ¬– Projektbegleitende Prüfung bei Einsatz von Informationstechnologie
IDW PS 860 – IT-Prüfung außerhalb der Abschlussprüfung
IDW PS 951 – Prüfung des internen Kontrollsystems bei Dienstleistungsunternehmen
IDW RS FAIT 1 – Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie
IDW RS FAIT 2 – Grundsätze ordnungsmäßiger Buchführung bei Einsatz von Electronic Commerce
IDW RS FAIT 3 – Grundsätze ordnungsmäßiger Buchführung beim Einsatz elektronischer Archivierungsverfahren
IDW RS FAIT 4 – Anforderungen an die Ordnungsmäßigkeit und Sicherheit IT-gestützter Konsolidierungsprozesse
IDW RS FAIT 5 – Grundsätze ordnungsmäßiger Buchführung bei Auslagerung von rechnungslegungsrelevanten Prozessen und Funktionen einschließlich Cloud Computing.

Einen ausführlichen Leitfaden sowie eine exemplarische Prüfungshandlung einer projektbegleitenden Prüfung mit Hilfe des Standardvorgehensmodells SAP Activate gemäß IDW PS 850 finden Sie im Buch „Migrationsprojekte“.

Was muss ich als Wirtschaftsprüfer bei der Prüfung von Migrationsprojekten beachten?

Frühzeitige Einbindung: Sie sollten frühzeitig in den Migrationsprozess eingebunden werden, da die umfangreiche IT-Transformation Risiken mit sich bringt, die rechnungslegungsrelevant sein können. Eine projektbegleitende Prüfung gemäß IDW PS 850 ist ratsam, um rechtzeitig auf Mängel reagieren zu können.

Risikobewertung: Bewerten Sie mögliche Risiken des Migrationsprojekts wie Performanceprobleme, Schnittstellen-Komplexität oder Datenverluste. Eine Übersicht über Chancen und Risiken hilft bei der gezielten Prüfungsplanung.

Rechtliche Grundlagen: Arbeiten Sie die relevanten rechtlichen Grundlagen auf, um die Compliance im Projekt zu gewährleisten. Die Compliance-Anforderungen müssen in der Planungsphase berücksichtigt werden.

Prüfungshandlungen: Leiten Sie aus den identifizierten Risiken gezielte Prüfungshandlungen ab, um zu einer verlässlichen Einschätzung des IT-Fehlerrisikos zu gelangen. Prüfen Sie beispielsweise die Datenmigrationsverfahren und Berechtigungskonzepte. Eine frühzeitige und umfassende Prüfung der Migrationsprojekte ist entscheidend, um Risiken zu minimieren und die Integrität der Finanzdaten zu wahren.