Prüfungsbereitschaft im Ausgabenmanagement

Wird Ihr Ausgabenmanagementsystem bereit sein, wenn die Prüfer an Ihre Tür klopfen? Für die meisten Organisationen lautet die Antwort auf diese Frage ein unsicheres "wahrscheinlich". Prüfungsbereitschaft entsteht nicht über Nacht. Sie erfordert systematische Prozesse, umfassende Dokumentation und Technologie, die jede Transaktion und Entscheidung in Ihrem Ausgaben-Workflow aufzeichnet.

Dieser Leitfaden behandelt alles, was Sie über das Erreichen und Aufrechterhalten der Prüfungsbereitschaft im Ausgabenmanagement wissen müssen. Ob Sie sich auf eine interne Revision oder eine externe Finanzprüfung vorbereiten oder auf eine SOC-2- oder ISO-27001-Zertifizierung hinarbeiten: Die hier beschriebenen Prinzipien und Praktiken helfen Ihnen, einen Ausgabenmanagementprozess aufzubauen, der jederzeit prüfungsbereit ist.

Anforderungen an den Prüfpfad verstehen

Der Prüfpfad ist der Grundpfeiler der Prüfungsbereitschaft im Ausgabenmanagement. Er erstellt eine chronologische Aufzeichnung jeder Transaktion in Ihrem Ausgabenmanagementsystem, vom Zeitpunkt der Ausgabe bis zur endgültigen Abstimmung im Hauptbuch.

Was ein vollständiger Prüfpfad erfassen muss

Ein starker Prüfpfad für Ausgaben sollte für jede Transaktion die folgenden Elemente erfassen:

• Transaktionsursprung: Wann und wo die Ausgabe entstanden ist; Lieferantenname, Ort, Datum und Uhrzeit.
• Einreichungsdetails: Wann die Ausgabe eingereicht wurde, von wem und über welchen Kanal (mobil, Web, E-Mail, Firmenkarten-Workflow).
• Belegdokumente: Der Ausgabe beigefügte Originalbelege, Rechnungen und ergänzende Dokumente.
• Genehmigungskette: Jede Genehmigungsaktion, einschließlich wer genehmigt hat, wann genehmigt wurde, abgegebener Kommentare und des durchlaufenen Genehmigungshierarchiepfads.
• Richtlinienprüfungen: Die Ergebnisse der automatisierten Richtliniendurchsetzung, einschließlich erkannter Verstöße, ausgegebener Warnungen und autorisierter Ausnahmen.
• Änderungen: Jede nach der ersten Einreichung an der Ausgabe vorgenommene Änderung; wer die Änderung vorgenommen hat, was geändert wurde sowie alte und neue Werte.
• Zahlungsabwicklung: Wann und wie die Erstattung verarbeitet wurde; Zahlungsmethode, Batch-Referenz und Buchhaltungsunterlagen.
• Systemaktionen: Vom System automatisch durchgeführte Aktionen wie angewendete Wechselkursumrechnungen, Steuerberechnungen und Auswertungen von Richtlinienregeln.

Unveränderlichkeit: Die unverzichtbare Anforderung

Prüfpfade müssen unveränderlich (immutable) sein. Sobald ein Datensatz erstellt wurde, kann er nicht mehr geändert oder gelöscht werden. Das ist nicht nur gute Praxis, sondern eine grundlegende Anforderung der Prüfungskonformität. Masraff gewährleistet die Unveränderlichkeit des Prüfpfads durch Append-only-Aufzeichnung, kryptografische Verifizierung und eine manipulationssichere Speicherarchitektur.

Jeder Datensatz in Masraffs Prüfpfad enthält einen kryptografischen Hash, der mit dem vorherigen Datensatz verknüpft ist, und bildet so eine Kette von Datensätzen, die nicht unbemerkt verändert werden kann. Dieser Ansatz ähnelt der Blockchain-Technologie, ist jedoch für die Leistungsanforderungen des unternehmensweiten Ausgabenmanagements optimiert.

Digitale Signaturen und Dokumentenintegrität

Digitale Signaturen spielen eine entscheidende Rolle für die Prüfungsbereitschaft, indem sie Nichtabstreitbarkeit (Non-Repudiation) gewährleisten. Sie sind der eindeutige Nachweis, dass eine bestimmte Person zu einem bestimmten Zeitpunkt eine bestimmte Aktion durchgeführt hat.

Wie funktionieren digitale Signaturen im Ausgabenmanagement?

• Einreichungssignaturen: Wenn ein Mitarbeiter eine Ausgabe einreicht, wird seine Identität kryptografisch an die Einreichung gebunden und schafft einen unbestreitbaren Nachweis darüber, wer sie eingereicht hat.
• Genehmigungssignaturen: Die Aktion jedes Genehmigers wird digital signiert und liefert einen überprüfbaren Nachweis der Genehmigungskette.
• Belegverifizierung: Hochgeladene Belege erhalten einen digitalen Zeitstempel und einen Integritäts-Hash, der beweist, dass sie seit dem Hochladen nicht verändert wurden.
• Signaturen für Richtlinienausnahmen: Wenn ein Manager eine Richtlinienregel außer Kraft setzt, wird seine Autorisierung mit einem erweiterten Authentifizierungsschritt digital signiert.

Dokumentenaufbewahrung und -integrität

Prüfungsbereitschaft erfordert, dass alle Belegdokumente während der gesetzlich vorgeschriebenen Aufbewahrungsfrist zugänglich und unverändert bleiben. Masraff bietet:

• Konfigurierbare Aufbewahrungsfristen gemäß den lokalen regulatorischen Anforderungen (in der Regel 7-10 Jahre)
• Automatische Integritätsprüfung mit SHA-256-Prüfsummen für alle gespeicherten Dokumente
• Redundante Speicherung in geografisch verteilten Rechenzentren
• Eine Legal-Hold-Funktion für Dokumente im Zusammenhang mit laufenden Untersuchungen oder Rechtsstreitigkeiten

Funktionstrennung (SoD)

Die Funktionstrennung ist ein grundlegendes Prinzip der internen Kontrolle, das verhindert, dass eine einzelne Person unkontrollierte Befugnis über einen vollständigen Finanzprozess hat. Im Ausgabenmanagement stellt die Funktionstrennung sicher, dass die Person, die eine Ausgabe tätigt, diese nicht auch genehmigt, die Zahlung verarbeitet oder sie im Hauptbuch abstimmt. Diese Kontrollen gehören zu den wirksamsten Methoden, um Spesenbetrug zu verhindern.

Zentrale SoD-Kontrollen im Ausgabenmanagement

• Trennung von Einreicher und Genehmiger: Ein Mitarbeiter kann seine eigenen Spesenabrechnungen nicht genehmigen. Das System muss Genehmigungen automatisch an eine andere Person weiterleiten — in der Regel den direkten Vorgesetzten des Mitarbeiters oder einen benannten Genehmiger.
• Trennung von Genehmiger und Verarbeiter: Die Person, die eine Ausgabe genehmigt, sollte nicht dieselbe Person sein, die die Erstattung verarbeitet.
• Trennung von Konfiguration und Ausführung: Die Person, die Richtlinienregeln und Genehmigungs-Workflows konfiguriert, sollte nicht dieselbe Person sein, die täglich Ausgaben einreicht oder genehmigt.
• Unabhängigkeit der Abstimmung: Die Person, die die Ausgabenabstimmung im Hauptbuch durchführt, sollte unabhängig von denjenigen sein, die Ausgaben einreichen und genehmigen.

Umsetzung der Funktionstrennung in Masraff

Masraff setzt die Funktionstrennung über sein rollenbasiertes Zugriffskontrollsystem (RBAC) durch. Die Plattform enthält vorkonfigurierte SoD-Regeln, die häufige Kontrollversagen verhindern:

• Automatische Erkennung und Blockierung von Selbstgenehmigungsversuchen
• Konfigurierbare Genehmigungshierarchien, die die organisatorische Trennung durchsetzen
• Rollenkonflikterkennung, die Administratoren warnt, wenn die Rollenkombination eines Benutzers einen SoD-Verstoß erzeugt
• Kompensierende Kontrollen (wie verstärkte Prüfanforderungen) für kleine Teams, in denen eine vollständige SoD-Trennung nicht praktikabel ist

Rollenbasierte Zugriffskontrolle (RBAC)

RBAC ist der Mechanismus, mit dem Organisationen steuern, wer was im Ausgabenmanagementsystem tun darf. Ein gut durchdachtes RBAC-Modell ist sowohl für die Sicherheit als auch für die Prüfungsbereitschaft unverzichtbar.

Standardrollen im Ausgabenmanagement

• Einreicher: Kann Spesenabrechnungen erstellen und einreichen, den eigenen Ausgabenverlauf einsehen und Belege anhängen. Kann keine Ausgaben genehmigen und nicht auf die Daten anderer Benutzer zugreifen.
• Genehmiger: Kann Spesenabrechnungen für sein zugewiesenes Team oder seine Kostenstelle prüfen und genehmigen/ablehnen. Kann eingereichte Ausgaben in der Genehmigungswarteschlange einsehen, aber nicht ändern.
• Finanzmanager: Kann Richtlinien konfigurieren, Genehmigungs-Workflows verwalten, Zahlungen verarbeiten und Berichte erstellen. Kann ohne Prüfpfad keine Ausgaben im Namen anderer einreichen.
• Prüfer (nur Lesezugriff): Kann alle Ausgabendaten, Prüfpfade und Berichte einsehen, aber keine Daten ändern. Diese Rolle wird in der Regel internen Revisions- und externen Prüfungsteams zugewiesen.
• Systemadministrator: Kann Benutzerkonten verwalten, Systemeinstellungen konfigurieren und Integrationen verwalten. Kann keine Ausgaben genehmigen und keine Zahlungen verarbeiten.

RBAC-Best-Practices für die Prüfungsbereitschaft

1. Prinzip der geringsten Rechte: Weisen Sie Benutzern nur die für ihre Rolle erforderlichen Mindestberechtigungen zu.
2. Regelmäßige Zugriffsüberprüfungen: Führen Sie vierteljährliche Zugriffsüberprüfungen durch, um sicherzustellen, dass die Rollen angemessen bleiben, wenn Personen ihre Position wechseln.
3. Dokumentation der Rollenzuweisung: Dokumentieren Sie, warum jedem Benutzer eine bestimmte Rolle zugewiesen wurde, und schaffen Sie damit eine Nachweisgrundlage für Prüfer.
4. Automatischer Zugriffsentzug: Integrieren Sie HR-Systeme, um den Zugriff auf das Ausgabensystem automatisch zu entziehen, wenn Mitarbeiter die Organisation verlassen.
5. Notfallzugriffsverfahren: Definieren und dokumentieren Sie Verfahren zur Gewährung eines vorübergehend erweiterten Zugriffs in Notfällen, einschließlich verpflichtender Überprüfungs- und Entzugsfristen.

Nachverfolgung von Richtlinienausnahmen

Richtlinienausnahmen sind ein notwendiger Bestandteil jedes Ausgabenmanagementsystems. Legitime Geschäftsanforderungen erfordern manchmal Ausnahmen von Standardrichtlinien. Ausnahmen stellen jedoch einen der risikoreichsten Bereiche für die Prüfungskontrolle dar und erfordern eine umfassende Nachverfolgung.

Was für jede Ausnahme nachverfolgt werden muss

• Ausnahmeantragsteller: Wer die Ausnahme beantragt hat und warum
• Ursprünglicher Verstoß: Welche Richtlinienregel verletzt wurde und die spezifischen Details
• Geschäftliche Begründung: Der dokumentierte Grund, warum die Ausnahme notwendig war
• Autorisierender Genehmiger: Wer die Ausnahme genehmigt hat und dessen Befugnisebene
• Zeitstempel: Wann die Ausnahme beantragt, genehmigt und angewendet wurde
• Häufigkeitsanalyse: Wie oft dieser Benutzer oder diese Abteilung für diese bestimmte Regel Ausnahmen beantragt

Ausnahme-Governance

Eine wirksame Ausnahme-Governance umfasst:

• Eskalationsschwellen: Ausnahmen oberhalb bestimmter Beträge oder in bestimmten Kategorien erfordern eine Genehmigung auf höherer Ebene.
• Häufigkeitsgrenzen: Automatische Kennzeichnung, wenn eine Person oder Abteilung in einem bestimmten Zeitraum eine Schwellenanzahl von Ausnahmen überschreitet. Wiederkehrende Ausnahmemuster können ein frühes Signal für internen Betrug sein.
• Regelmäßige Überprüfung: Monatliche Überprüfung aller Ausnahmen durch die Finanzleitung, um Muster und Richtlinienlücken zu erkennen.
• Ursachenanalyse: Wenn Ausnahmemuster auftreten, analysieren Sie, ob die zugrunde liegende Richtlinie angepasst werden sollte, anstatt weiterhin Ausnahmen zu gewähren.

Ausnahmemanagement

Das Ausnahmemanagement geht über einzelne Richtlinienausnahmen hinaus und umfasst den umfassenderen Prozess des Umgangs mit nicht standardmäßigen Situationen im Ausgabenmanagement.

Arten von Ausnahmen

• Fehlende Belege: Fälle, in denen der Originalbeleg verloren gegangen oder nicht verfügbar ist. Erfordert eine unterschriebene Erklärung über den fehlenden Beleg zusammen mit den Ausgabendetails.
• Verspätete Einreichungen: Ausgaben, die nach dem Standardstichtag eingereicht wurden. Erfordert die Genehmigung des Vorgesetzten und einen dokumentierten Grund für die Verzögerung.
• Wechselkursabweichungen: Wenn der umgerechnete Betrag aufgrund von Währungsschwankungen erheblich vom erwarteten Bereich abweicht.
• Systemgenerierte Ausnahmen: Automatische Warnungen des KI-gestützten Beleg-Scansystems, wenn die extrahierten Daten nicht mit den eingereichten Daten übereinstimmen.
• Compliance-Ausnahmen: Fälle, in denen lokale Vorschriften mit der globalen Richtlinie in Konflikt stehen und rechtsraumspezifische Ausnahmen erfordern. In der Türkei sind steuerlich nicht abzugsfähige Ausgaben ein typisches Beispiel dafür.

Aufbau eines Ausnahmemanagement-Frameworks

1. Klassifizieren Sie Ausnahmen nach Risikostufe: Niedrig, Mittel, Hoch und Kritisch. Jede Stufe hat unterschiedliche Bearbeitungsanforderungen und Genehmigungsbefugnisse.
2. Definieren Sie Lösungs-Workflows: Definieren Sie die spezifischen Schritte, Genehmigungen und Dokumente, die für jeden Ausnahmetyp und jede Risikostufe erforderlich sind.
3. Legen Sie Lösungs-SLAs fest: Definieren Sie maximale Lösungszeiten, um zu verhindern, dass Ausnahmen ungelöst bleiben.
4. Verfolgen und berichten Sie: Überwachen Sie Ausnahmevolumen, -typen und Lösungszeiten, um systemische Probleme zu erkennen.

SOC-2- und ISO-27001-Konformität

Für Organisationen, die eine formale Sicherheitszertifizierung anstreben, müssen Ausgabenmanagementsysteme bestimmte Kontrollanforderungen erfüllen.

Der Bezug von SOC 2 zum Ausgabenmanagement

Die SOC-2-Konformität ist um fünf Trust Services Criteria organisiert:

• Sicherheit: Zugriffskontrollen, Verschlüsselung und Netzwerksicherheit, die Ausgabendaten vor unbefugtem Zugriff schützen.
• Verfügbarkeit: Systemverfügbarkeit, Notfallwiederherstellung und Geschäftskontinuität für Ausgabenverarbeitungssysteme.
• Verarbeitungsintegrität: Genauigkeit und Vollständigkeit von Ausgabenberechnungen, Währungsumrechnungen und Richtlinienauswertungen.
• Vertraulichkeit: Schutz sensibler Finanzdaten, einschließlich persönlicher Bankdaten, die für Erstattungen verwendet werden.
• Datenschutz: Verarbeitung personenbezogener Daten (PII) in Ausgabenaufzeichnungen in Übereinstimmung mit den geltenden Vorschriften.

ISO-27001-Anforderungen

Wichtige Kontrollen mit Bezug zum Ausgabenmanagement:

• A.9 Zugriffskontrolle: Benutzerregistrierung, Zugriffsbereitstellung, Berechtigungsverwaltung und Authentifizierungsanforderungen.
• A.10 Kryptografie: Verschlüsselung von Ausgabendaten im Ruhezustand und bei der Übertragung, Verfahren zur Schlüsselverwaltung.
• A.12 Betriebssicherheit: Änderungsmanagement, Kapazitätsmanagement und Schutz vor Schadsoftware für Ausgabensysteme.
• A.16 Vorfallsmanagement: Erkennungs- und Reaktionsverfahren für Sicherheitsvorfälle, die Ausgabendaten betreffen.
• A.18 Compliance: Identifizierung der geltenden gesetzlichen und regulatorischen Anforderungen und Nachweise der Einhaltung.

Vorbereitung auf interne Revisionen

Checkliste vor der Prüfung

1. Ausgabenrichtlinien überprüfen und aktualisieren: Stellen Sie sicher, dass alle Richtlinien aktuell, klar dokumentiert und für Mitarbeiter zugänglich sind. Bei diesem Schritt kann Ihnen unser Leitfaden zu Ausgabenrichtlinien helfen.
2. Kontrollwirksamkeit verifizieren: Testen Sie, ob alle automatisierten Kontrollen korrekt funktionieren.
3. Beispielberichte erstellen: Ziehen Sie beispielhafte Spesenabrechnungen und verifizieren Sie, dass vollständige Prüfpfade vorhanden sind.
4. Benutzerzugriff kontrollieren: Überprüfen Sie die aktuellen Benutzerrollen und Berechtigungen.
5. Ausnahmeprotokolle validieren: Überprüfen Sie alle Richtlinienausnahmen für den Prüfungszeitraum.
6. Ausnahmemanagement testen: Verifizieren Sie, dass die Ausnahmemanagementprozesse konsequent angewendet werden.
7. Analysen vorbereiten: Erstellen Sie Trendberichte, Ausnahmezusammenfassungen und Compliance-Kennzahlen.

Häufige Feststellungen interner Revisionen

• Fehlende oder unvollständige Belege für Ausgaben oberhalb der Belegschwelle
• Genehmigungen durch nicht autorisiertes Personal
• Ehemalige Benutzerkonten mit aktivem Zugriff
• Richtlinienregeln, die nicht an die aktuellen Geschäftsanforderungen angepasst wurden
• Uneinheitliche Anwendung von Ausnahmeverfahren zwischen Abteilungen

Vorbereitung auf externe Prüfungen

Dokumentationsanforderungen

• Richtliniendokumente: Vollständige, versionskontrollierte Ausgabenrichtlinien mit Genehmigungsdaten und Unterschriften.
• Prozessdokumentation: Detaillierte Beschreibungen der Prozesse für Ausgabeneinreichung, Genehmigung, Zahlung und Abstimmung.
• Kontrollmatrizen: Zuordnung von Risiken zu Kontrollen mit Nachweisen der Kontrollwirksamkeit.
• Systemzugriffprotokolle: Aufzeichnungen darüber, wer wann auf das Ausgabensystem zugegriffen und welche Aktionen ausgeführt hat.
• Änderungsmanagement-Aufzeichnungen: Dokumentation von Änderungen an Systemkonfiguration, Richtlinien oder Workflows während des Prüfungszeitraums.

Unterstützung Ihrer externen Prüfer

1. Lesezugriff bereitstellen: Gewähren Sie externen Prüfern dedizierten Nur-Lese-Zugriff auf das Ausgabensystem.
2. Stichproben im Voraus vorbereiten: Arbeiten Sie mit den Prüfern zusammen, um deren Stichprobenmethodik zu verstehen, und halten Sie die relevanten Aufzeichnungen bereit.
3. Ansprechpartner benennen: Bestimmen Sie ein sachkundiges Teammitglied als primären Kontakt für Prüfungsanfragen.
4. Feststellungs-Tracker erstellen: Dokumentieren Sie alle Feststellungen, Managementantworten und Zeitpläne für Korrekturmaßnahmen.

Kontinuierliche Prüfungsbereitschaft mit Masraff

Der wirksamste Ansatz für die Prüfungsbereitschaft besteht darin, sie kontinuierlich statt periodisch zu gestalten. Mit Masraff können Organisationen eine dauerhafte Prüfungsbereitschaft aufrechterhalten durch:

• Echtzeit-Compliance-Übersichten: Überwachen Sie Richtlinien-Compliance-Raten, Ausnahmevolumen und Kontrollwirksamkeit in Echtzeit.
• Automatisierte Compliance-Berichte: Planen Sie regelmäßige Compliance-Berichte, die automatisch erstellt und an die Beteiligten verteilt werden.
• Kontinuierliche Kontrollüberwachung: Das System testet die Kontrollwirksamkeit automatisch und warnt Administratoren, wenn Kontrollen ausfallen oder sich abschwächen.
• Prüfungsbereite Exporte: Erstellen Sie umfassende Prüfungspakete mit einem einzigen Klick.
• Historische Trendanalyse: Verfolgen Sie Compliance-Trends im Zeitverlauf, um Prüfern eine kontinuierliche Verbesserung nachzuweisen.

Fazit

Prüfungsbereitschaft im Ausgabenmanagement ist kein Ziel, sondern eine fortlaufende Praxis. Durch die Implementierung starker Prüfpfade, digitaler Signaturen, Funktionstrennung, rollenbasierter Zugriffskontrollen und eines umfassenden Ausnahmemanagements können Sie einen Ausgabenmanagementprozess aufbauen, der jederzeit für eine Prüfung offen ist.

Der Schlüssel liegt darin, Technologie zu nutzen, die die Prüfungsbereitschaft automatisch statt manuell macht. Wenn Ihr Ausgabenmanagementsystem jede Transaktion aufzeichnet, jede Kontrolle durchsetzt und jeden Bericht automatisch erstellt, wird die Prüfungsbereitschaft zu einem natürlichen Ergebnis des normalen Betriebs statt zu einer periodischen Hektik.

Bereit für kontinuierliche Prüfungsbereitschaft? Fordern Sie eine Masraff-Demo an, um zu sehen, wie unser umfassender Prüfpfad, unsere automatisierten Kontrollen und unser Compliance-Reporting Ihre Organisation auf jede Prüfung vorbereiten können.