Audit-Vorbereitung im SAP-Umfeld: So vermeidet ihr unnötige Feststellungen

"Das ist uns im Audit aufgefallen." Ein Satz, den vermutlich niemand gerne hört. In der Praxis entstehen viele Audit-Findings jedoch nicht, weil ein Unternehmen komplett unsicher aufgestellt ist. Häufig liegt es eher daran, dass Dokumentationen fehlen, Verantwortlichkeiten nicht eindeutig sind oder Berechtigungen über Jahre gewachsen sind und nie strukturiert überprüft wurden.

Gerade im SAP-Umfeld schauen Prüfer sehr genau hin: Passen Berechtigungskonzept und tatsächliche Systemumsetzung zusammen? Sind kritische Berechtigungen bekannt und begründet? Gibt es nachvollziehbare Kontrollen? Und kann das Unternehmen belegen, dass diese Kontrollen auch tatsächlich durchgeführt wurden?

Die gute Nachricht ist, dass sich viele typische Feststellungen vermeiden lassen, wenn man die wichtigsten Prüfungsschwerpunkte frühzeitig kennt und kontinuierlich daran arbeitet.

Auditoren sind nicht die Gegner

Wirtschaftsprüfer prüfen nicht, weil sie einzelne Fehler suchen möchten. Ihr Auftrag besteht darin, ein verlässliches Bild darüber zu gewinnen, ob Prozesse, Kontrollen und Systeme ordnungsgemäß funktionieren. Im SAP-Umfeld ist das besonders relevant, weil Berechtigungen direkten Einfluss auf Geschäftsprozesse, Finanzdaten, kritische Stammdaten und interne Kontrollen haben.

Gerade bei abschlussrelevanten Prozessen müssen Prüfer nachvollziehen können, ob unberechtigte Änderungen, nicht genehmigte Zugriffe oder fehlende Funktionstrennungen ein Risiko für die Ordnungsmäßigkeit der Geschäftsprozesse darstellen. Es geht also nicht nur um technische SAP-Berechtigungen, sondern um die Frage, ob das Unternehmen seine Risiken kennt, steuert und nachweisen kann.

Deshalb schauen Wirtschaftsprüfer auf Dokumentation, Freigaben, Rollenmodelle, kritische Berechtigungen und IKS-Kontrollen. Nicht, um den Fachbereichen das Leben schwer zu machen, sondern um beurteilen zu können, ob die Organisation ihre Systeme kontrolliert betreibt.

Warum viele Prüfungen ähnlich ablaufen

Wer mehrere SAP-Prüfungen begleitet hat, erkennt schnell wiederkehrende Muster. Viele Prüfer orientieren sich an etablierten Prüfungsansätzen, beispielsweise am DSAG-Prüfleitfaden. Dadurch rücken bestimmte Themen fast immer in den Fokus.

Dazu gehören insbesondere das Benutzer- und Berechtigungsmanagement, kritische Berechtigungen, Funktionstrennungskonflikte, Notfallbenutzerkonzepte, IKS-Kontrollen, sowie die Dokumentation von Rollen, Freigaben und Verantwortlichkeiten.

Für Unternehmen ist das eine Chance. Wer diese Themen nicht erst kurz vor dem Audit betrachtet, sondern dauerhaft pflegt, reduziert Überraschungen erheblich.

Kritische Berechtigungen frühzeitig identifizieren

Ein häufiger Auslöser für Findings sind geschäfts- oder datenschutzkritische Berechtigungen. Besonders sensibel sind Berechtigungen, mit denen Änderungsbelege gelöscht, Protokollierungen beeinflusst, sensible Daten verändert oder weitreichende administrative Tätigkeiten im Produktivsystem ausgeführt werden können.

Diese Berechtigungen müssen nicht immer pauschal entfernt werden. Entscheidend ist aber, dass sie bewusst bewertet werden. Entweder werden sie deaktiviert, eingeschränkt oder fachlich sauber begründet.

Denn eine kritische Berechtigung ohne Begründung wirkt im Audit schnell wie ein ungeklärtes Risiko. Eine kritische Berechtigung mit dokumentierter Notwendigkeit, Genehmigung und ausgleichender Kontrolle ist dagegen deutlich besser vermittelbar.

Regelwerke und Best Practices nutzen

Niemand muss bei der Bewertung kritischer Berechtigungen komplett bei null anfangen. Regelwerke und Best-Practice-Kataloge von spezialisierten Anbietern, zum Beispiel IBS Schreiber oder Xiting, können unterstützen.

Sie helfen dabei, Risiken systematischer zu identifizieren, Berechtigungen einzuordnen und Diskussionen mit Fachbereichen oder Prüfern auf eine nachvollziehbare Grundlage zu stellen.

Der Vorteil: Entscheidungen basieren weniger auf Bauchgefühl und stärker auf etablierten Bewertungslogiken.

Dokumentation macht Prüfungen einfacher

Ein Grundsatz aus der Prüfungspraxis lautet: Was nicht dokumentiert ist, lässt sich nur schwer nachweisen. Das klingt banal, ist aber einer der häufigsten Gründe für zusätzlichen Aufwand im Audit.

Eine saubere Dokumentation zeigt, dass Berechtigungen nicht zufällig vergeben werden, sondern einem strukturierten Prozess folgen. Dazu gehören Rollenbeschreibungen, Freigaben, Risikoakzeptanzen, Kontrollnachweise und nachvollziehbare Ausnahmegenehmigungen.

Je besser die Dokumentation vorbereitet ist, desto weniger muss im Audit nachträglich erklärt, gesucht oder rekonstruiert werden.

IKS-Kontrollen aktiv im Blick behalten

IKS-Kontrollen sind ein weiterer zentraler Baustein. Dabei reicht es nicht, Kontrollen nur theoretisch zu definieren. Sie müssen durchgeführt, dokumentiert und bei Auffälligkeiten nachverfolgt werden.

Typische Fragen im Audit lauten:

• Wer führt die Kontrolle durch?

• Wie häufig findet sie statt?

• Wo liegt der Nachweis?

• Was passiert, wenn Abweichungen festgestellt werden?

Eine regelmäßig gelebte Kontrolllandschaft ist deutlich überzeugender als eine hektische Nachdokumentation kurz vor der Prüfung.

Systemuser und Rollenverantwortliche nicht vergessen

Zwei Themen werden in der Vorbereitung gerne unterschätzt: Systemuser und Rollenverantwortlichkeiten.

Für technische Benutzer und Systemuser sollte eine aktuelle Liste existieren. Darin sollten mindestens Zweck, Verantwortlicher, Einsatzbereich und letzte Überprüfung dokumentiert sein. Gerade in gewachsenen Systemlandschaften findet man sonst schnell Benutzer, deren ursprünglicher Zweck niemand mehr kennt.

Genauso wichtig ist ein gepflegter Rollenkatalog. Jede Rolle sollte einen fachlichen Zweck, einen Rollenverantwortlichen, einen Genehmiger und ein Datum der letzten Überprüfung enthalten. Das schafft Transparenz und zeigt, dass Rollen aktiv gesteuert werden.

Regelmäßiger Austausch statt einmaliger Audit-Hektik

Die beste Audit-Vorbereitung beginnt nicht vier Wochen vor der Prüfung. Sie entsteht durch regelmäßigen Austausch zwischen IT, Fachbereichen, Revision, Datenschutz und Berechtigungsverantwortlichen.

Kurze, wiederkehrende Abstimmungen helfen oft mehr als ein großer Workshop kurz vor dem Audit. Offene Punkte können frühzeitig geklärt, kritische Berechtigungen bewertet und Dokumentationen laufend aktualisiert werden.

Das reduziert Stress und sorgt dafür, dass Audits nicht als Ausnahmezustand wahrgenommen werden.

Wortwahl ist wichtiger, als man denkt

Neben der fachlichen Vorbereitung spielt auch die Kommunikation eine Rolle. Formulierungen wie "historisch gewachsen", "war schon immer so" oder "wissen wir aktuell nicht" wirken selten vertrauensbildend.

Besser ist eine klare, professionelle Sprache: "Das Risiko wurde bewertet", "die Ausnahme ist dokumentiert", "die Kontrolle wurde durchgeführt" oder "die Verantwortlichkeit ist definiert".

Gute Wortwahl ersetzt keine saubere Umsetzung, aber sie hilft dabei, die vorhandene Governance verständlich und nachvollziehbar darzustellen.

Fazit

Viele unnötige Audit-Feststellungen lassen sich vermeiden, wenn SAP-Berechtigungen nicht nur technisch gepflegt, sondern auch organisatorisch sauber gesteuert werden.

Entscheidend sind klare Verantwortlichkeiten, ein aktueller Rollenkatalog, eine gepflegte Systemuser-Liste, dokumentierte IKS-Kontrollen, ein bewusster Umgang mit kritischen Berechtigungen und eine nachvollziehbare Dokumentation.

Und vielleicht der wichtigste Punkt: Auditoren wollen nicht einfach "etwas finden". Sie wollen verstehen, ob System, Konzept und gelebte Praxis zusammenpassen. Wer genau das regelmäßig überprüft, geht deutlich entspannter in die nächste Prüfung.

Wie wir euch unterstützen können

Wenn ihr euer Berechtigungskonzept, Rollenmodell oder eure Audit-Vorbereitung auf den Prüfstand stellen möchtet, unterstützen wir euch gerne mit Projekterfahrung aus dem SAP-Security-Umfeld. 

Über den Button könnt ihr direkt einen Termin vereinbaren.

Jetzt Termin vereinbaren