Start · Lösungen · Recht & Compliance
Lösung · Recht & ComplianceRollenkonflikte und Notfallzugriffe wöchentlich geprüft, das Nachweispaket entsteht mit
Funktionstrennung wöchentlich prüfen statt einmal im Jahr
Roboter ziehen wöchentlich Rollen und Berechtigungen aus SAP, prüfen sie gegen die Regelmatrix der Internen Kontrolle und legen jeden Konflikt seinem Verantwortlichen in Microsoft Teams vor.
Kurzfassung für die Geschäftsführung
Ihre Rollenkonflikte findet der Prüfer einmal im Jahr. Der älteste ist dann zwölf Monate alt.
Unbeaufsichtigte Roboter melden sich in jedem SAP-Mandanten mit einem rein anzeigeberechtigten technischen Konto an und ziehen.
Ein Konflikt ist in der Woche seiner Entstehung sichtbar und nicht elf Monate später im Management Letter, und die Zuordnung dahinter ist benannt.
Nachweisbibliothek in SharePoint; Register in Microsoft Lists; semantisches Modell in Power BI
Geschäftsproblem
Interne Kontrolle
Eine börsennotierte Gruppe muss eine Frage zu ihrem ERP beantworten können: Wer könnte allein einen Lieferanten anlegen, dessen Bankverbindung ändern und die Zahlung freigeben. Nicht wer es getan hat. Wer es könnte. Diese Antwort ist nirgends gespeichert. Sie muss aus Rollenzuordnungen, aufgelösten Sammelrollen und Berechtigungswerten zusammengesetzt werden, und sie ändert sich bei jeder Beförderung, jeder Vertretung und jedem Projekteinsatz.
Das Zusammensetzen ist teuer, also geschieht es selten. Die Matrix ist eine Arbeitsmappe, die ein Controller vor drei Jahren gebaut hat und seither niemand verantwortet; der Auszug ist ein Report, den ein Administrator auf Zuruf startet; die Auswertung sind Suchformeln über fünf Dateien. Zwei Personen verbringen einen Tag damit, also geschieht es, wenn der Prüfer kommt. Verantwortlich für das Ganze ist auch niemand: die Interne Kontrolle hat die Antwort, aber nicht die Daten, das Berechtigungsteam hat die Daten, aber nicht die Regeln, und die Prozessverantwortlichen tragen das Risiko, lesen es aber einmal im Jahr als Rollennamen.
Der privilegierte Zugriff ist die schärfere Kante. Wenn am letzten Tag des Abschlusses eine Buchung scheitert, bekommt jemand für ein paar Stunden weite Berechtigungen. Diese Vergabe ist eine E-Mail, und die Prüfung dessen, was die Person dann getan hat, ist ein Log, das nur geöffnet wird, wenn ein Prüfer eine Sitzung benennt.
Wie es heute läuft
Fünf Arbeitsmappen und eine Regelmappe, die seit zwei Jahren niemand durchgesehen hat: So wird die Funktionstrennung in Gruppen ohne dediziertes Werkzeug für Zugriffsrisiken geprüft.
- MenschDie Interne Kontrolle bittet das Berechtigungsteam um einen Auszug von Benutzern, Rollen und Profilen, meist weil ein Prüfungstermin näher rückt
- SystemDer Administrator startet die Standardreports des Benutzerinformationssystems für jeden der fünf Buchungskreise und schickt fünf Arbeitsmappen per E-Mail
- WartezeitSie liegen, bis jemand einen freien Tag hat, denn Sammelrollen und abgeleitete Rollen müssen zuerst aufgelöst werden
- MenschKonflikte werden mit Suchformeln gegen eine Regelmappe gefunden, die vor zwei Jahren zuletzt durchgesehen wurde und deren Autor das Haus verlassen hat
- FehlerrisikoDer Auszug ist am Tag der Auswertung bereits veraltet, und niemand kann belegen, dass er jeden Benutzer in jedem Mandanten erfasst hat
- MenschDie Liste geht als E-Mail-Anhang an die Prozessverantwortlichen; Antworten kommen als Kommentare in verschiedenen Kopien zurück
- WartezeitNotfallvergaben werden in einem Ticket festgehalten, und das Log dahinter wird nur gelesen, wenn der Prüfer eine Sitzung benennt
Warum der heutige Prozess mehr kostet, als es scheint
Zeit, die verschwindet, bevor sie jemand misst.
- Zwei Personen für einen Tag ist die sichtbare Zahl. Die Woche danach ist es nicht: Verantwortliche nachfassen, Rollen von Hand auflösen, eine Arbeitsmappe rekonstruieren, die niemand dokumentiert hat.
- Eine jährliche Momentaufnahme sagt nicht, wie lange ein Konflikt bestand. Einer, der im März gefunden wird, kann aus dem April des Vorjahres stammen, mit elf Monaten Buchungen dahinter.
- Eine Zeile mit Benutzerkennung, Rollenname und Risikobuchstabe sagt einem Werkleiter nichts darüber, was diese Person tun kann, also wird sie zur Kenntnis genommen statt behoben.
- Akzeptierte Risiken altern still. Ein 2023 akzeptierter Konflikt gilt weiterhin als akzeptiert, obwohl die kompensierende Kontrolle ein Report eines längst ausgeschiedenen Controllers war.
- Privilegierter Zugriff hinterlässt die dünnsten Nachweise von allen: die Vergabe ist dokumentiert, die Sitzung nicht, und ihre Rekonstruktion ein Jahr später kostet ein Vielfaches der laufenden Prüfung.
Kosten des Nichtstuns
Zweimal im Jahr ist, was sich das Unternehmen leistet, nicht was die Kontrolle braucht. Die Liste kommt dann eben von außen, datiert und an den Prüfungsausschuss adressiert, und das folgende Quartal geht für Erklärungen zu Konflikten drauf, die in einer Woche zu schließen gewesen wären. Dreißig Personentage Aufräumen im Jahr sind für fünf Buchungskreise vorsichtig gerechnet.
Was in keiner der Zeilen steht, ist die Zeit. Ein Konflikt, der elf Monate bestand, sind elf Monate Buchungen, die jemand rekonstruieren müsste, und ein akzeptiertes Risiko, dessen Kontrolle still eingeschlafen ist, ist eine Kontrolle, die die Gruppe als wirksam meldet und nicht hat.
Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.
Eine börsennotierte Fertigungsgruppe in Mitteleuropa: fünf Buchungskreise auf einem S/4HANA-System, rund 3.400 namentliche SAP-Benutzer, Microsoft 365 E3 mit Power BI, drei Personen in der Internen Kontrolle und keine Lizenz für SAP Access Control.
Rund 9.000 Rollenzuordnungen, 40 bis 60 Zuordnungsänderungen pro Woche, 60 bis 90 Notfallvergaben pro Jahr und eine Matrix von etwa 120 Konfliktpaaren.
Auszüge auf Zuruf, Auswertung in Excel, einmal vor der Jahresabschlussprüfung und einmal zum Halbjahr. Notfallvergaben werden im Ticket genehmigt, das Security Audit Log wird nur gelesen, wenn jemand eine Sitzung benennt.
Diese Prüfung wöchentlich zu fahren, wie es die Kontrolle verlangt, kostet zwei Personen je einen vollen Tag pro Woche. Deshalb läuft sie zweimal im Jahr, und deshalb kommt die Konfliktliste vom Prüfer.
Roboter ziehen wöchentlich aus jedem Buchungskreis Benutzer, Zuordnungen, aufgelöste Rollen und die Berechtigungswerte hinter jeder Regel, wenden die von der Internen Kontrolle gepflegte Matrix an und ordnen jeden neuen Konflikt der Zuordnung zu, die ihn erzeugt hat. Jeder offene Konflikt wird zur Aufgabe für seinen Verantwortlichen in Microsoft Teams: beheben, mit kompensierender Kontrolle akzeptieren oder die Regel bestreiten. Notfallsitzungen werden gegen das Log abgeglichen und in Stichproben geprüft.
Die Erkennungslücke sinkt von Monaten auf eine Woche, die Interne Kontrolle erstellt die Jahresliste vor dem Prüfer, und das Nachweispaket entsteht laufend. Illustrative Zahlen, kein Kundenergebnis.
Vorgeschlagene Lösung
Unbeaufsichtigte Roboter melden sich in jedem SAP-Mandanten mit einem rein anzeigeberechtigten technischen Konto an und ziehen, was die Regeln brauchen: Benutzerstammdaten, Rollen- und Profilzuordnungen, aufgelöste Sammelrollen und abgeleitete Rollen sowie die Berechtigungswerte, die darüber entscheiden, ob eine Transaktion überhaupt nutzbar ist. Der Auszug landet in einem datierten SharePoint-Ordner samt Kontrollsumme, damit Vollständigkeit belegt und nicht unterstellt wird.
Die Matrix bleibt bei der Internen Kontrolle, in einer Form, die sie ohne Rückfrage ändern kann: eine Excel-Arbeitsmappe auf SharePoint oder Microsoft Lists, wenn versionierte Zeilen dem Team besser liegen. Jede Regel benennt zwei Funktionen, die Transaktionen und Berechtigungsobjekte dahinter, eine Risikoeinstufung, die betroffenen Buchungskreise und einen Verantwortlichen. Der Roboter liest die in dieser Woche gültige Version und stempelt sie auf das Ergebnis, sodass jede Konfliktliste mit den damals gültigen Regeln erklärbar bleibt.
Konflikte werden damit zu Arbeit statt zu einem Report. Der Bestand dieser Woche wird mit dem der Vorwoche verglichen, getrennt nach neu, übernommen und erledigt, und jeder neue Konflikt wird auf die Zuordnung zurückgeführt, die ihn eingeführt hat. Er erreicht seinen Verantwortlichen in Microsoft Teams mit Benutzer, Buchungskreis und beiden Funktionen in Geschäftssprache. Der Verantwortliche behebt, akzeptiert mit einer benannten Kontrolle oder bestreitet die Regel; Akzeptanzen brauchen eine Begründung und laufen ab. Notfallvergaben werden gegen das abgeglichen, was das Konto tatsächlich getan hat, und Stichprobenregeln entscheiden, welche Sitzungen ein Mensch liest.
Eines sollte klar gesagt werden. SAP verkauft Software genau dafür: SAP Access Control aus dem Portfolio für Governance, Risk and Compliance und SAP Cloud Identity Access Governance für Cloud-Landschaften. Beide leisten Risikoanalyse, kompensierende Kontrollen und Notfallzugriffsverwaltung, mit einem von SAP gepflegten Regelwerk. Wenn Ihre Gruppe das lizenziert hat und es die Landschaft abdeckt, nutzen Sie es. Dies hier ist für die Gruppen ohne diese Lizenz und als Ergänzung dort, wo ein solches Produkt nicht hinreicht: Lageranwendung, Treasury, Personalabrechnung, Werkssysteme.
UiPath Orchestrator Zeittrigger, Warteschlangen und Prüfpfad; UiPath SAP automation Aktivitäten sowie die SAP BAPI und OData Konnektoren in UiPath Integration Service; UiPath Action Center Aufgaben als Aktionsbenachrichtigungen in Microsoft Teams; Microsoft Lists und Excel auf SharePoint mit Versionsverlauf; Microsoft Teams Approvals app; Power BI
Extraktionsroboter je SAP-Mandant, Rollenauflösung, die Regel-Engine, den Wochenvergleich mit Ursachenzuordnung, das Register mit Ablauflogik, die Aufgaben und Eskalationen der Verantwortlichen, die Stichprobenregeln, das Nachweispaket und das Dashboard
Lesezugriff auf SAP über UiPath SAP Aktivitäten und OData-Dienste, wo vorhanden; Extraktion von Security Audit Log und Änderungsbelegen je Mandant; Abgleich der SAP-Konten gegen Austritte in Microsoft Entra ID
So läuft der automatisierte Prozess
- AutomatisierungEin Zeittrigger am Wochenende zieht je Mandant Benutzer, Zuordnungen, aufgelöste Rollen und die benötigten Berechtigungswerte, samt Kontrollsumme
- AutomatisierungDer Roboter liest die gültige Version der Matrix und wendet jede Regel auf Benutzer- und Buchungskreisebene an
- SystemDie Konflikte dieser Woche werden mit denen der Vorwoche verglichen, und jeder neue wird auf die Zuordnungsänderung dahinter zurückgeführt
- AutomatisierungKonflikte mit gültigem Registereintrag gelten als kompensiert; Einträge nach Ablaufdatum öffnen sich wieder
- MenschDer Verantwortliche antwortet in Microsoft Teams: beheben, mit kompensierender Kontrolle akzeptieren oder die Regel bestreiten, wobei die Begründung bei Akzeptanz Pflicht ist
- AutomatisierungNotfallvergaben werden gegen das Security Audit Log und die in jeder Sitzung geänderten Belege abgeglichen; Stichprobenregeln wählen aus, was geprüft werden muss
- MenschEin Prüfer liest die ausgewählten Sitzungen in Teams mit Transaktionsliste, geänderten Belegen und der ursprünglichen Begründung im Anhang
- AutomatisierungAuszug, Regelversion, Konflikte, Entscheidungen und geprüfte Sitzungen werden als Nachweispaket der Woche abgelegt, und das Power BI Dashboard aktualisiert sich
Zusammenspiel von Mensch und Automatisierung
Die Automatisierung übernimmt
- Die Extraktion aus jedem SAP-Mandanten nach Zeitplan, inklusive Rollenauflösung und Berechtigungswerten
- Die gültige Regelversion und den Vergleich, der neue Konflikte von übernommenen trennt
- Die Zuordnung von Konflikten zu gültigen Kontrollen, das Wiederöffnen abgelaufener und das Nachfassen bei Verantwortlichen ohne Antwort
- Das Nachweispaket und den Abgleich, der belegt, dass jeder Benutzer in jedem Mandanten erfasst wurde
Menschen entscheiden
- Ob ein Konflikt behoben oder mit einer benannten Kontrolle akzeptiert wird und wer das unterschreibt
- Was die Matrix enthält: welche Funktionspaare kollidieren, mit welcher Einstufung, in welchen Buchungskreisen
- Welche Notfallsitzungen immer in die Stichprobe müssen und wie eine tragfähige Begründung aussieht
- Ob eine bestrittene Regel falsch ist, was die Interne Kontrolle als versionierte Änderung festhält
Vorher und nachher
Systeme und Integrationen
Wo eine Regel reicht, nutzen wir kein Modell. Wo Urteilsvermögen nötig ist, entscheidet ein Mensch.
Eingänge
- SAP-Benutzerstammdaten und Rollenzuordnungen je Buchungskreis
- aufgelöste Sammelrollen und abgeleitete Rollen mit Berechtigungswerten
- SAP Security Audit Log und Änderungsbelege
- Regelmatrix und Register
Automatisierungsschicht
- UiPath Orchestrator
- UiPath Robots
- UiPath SAP automation Aktivitäten
- UiPath Integration Service
- UiPath Action Center
Zielsysteme
- Nachweisbibliothek in SharePoint
- Register in Microsoft Lists
- semantisches Modell in Power BI
Berührungspunkte für Menschen: Action Center Aufgaben in Microsoft Teams; Microsoft Teams Approvals für die Risikoakzeptanz; die Wochenübersicht im Kanal der Internen Kontrolle
Eingesetzte Technologien
wöchentliche Extraktion je SAP-Mandant per Zeittrigger, Warteschlangen, Wiederholungen und Prüfpfad
Aliest Benutzer, Zuordnungen, aufgelöste Rollen und Berechtigungswerte
AKonfliktentscheidungen und Sitzungsprüfungen als Aufgaben direkt in Teams
Aliest die Matrix, legt das Nachweispaket ab, postet die Wochenübersicht
ARegelmatrix und Register, von der Internen Kontrolle gepflegt, mit Versionsverlauf
AFreigabe von Risikoakzeptanzen durch die Führungskraft, die das Risiko trägt
ATrend-Dashboard: Konflikte je Buchungskreis, Alterung, Notfallsitzungen je Monat
AAbgleich der SAP-Konten gegen Ein- und Austritte im Verzeichnis
AIllustratives Wirtschaftlichkeitsmodell
Beginnen Sie damit, die Annahmen zu hinterfragen.
Gemessen hat das niemand bei einem Kunden; die Bandbreiten sind typisch für das obige Szenario. Sie bepreisen das manuelle Äquivalent der Kontrolle in der nötigen Frequenz, nicht einen bereits budgetierten Aufwand: eine wöchentliche Prüfung von Hand kostet zwei Personen je einen vollen Tag, weshalb die meisten Gruppen zweimal im Jahr prüfen. Der Satz von 40 € je Stunde ist ein Vollkostensatz für Interne Kontrolle und Berechtigungsteam in Mitteleuropa.
Rechnen Sie mit Ihren Zahlen
Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.
Geschäftlicher Nutzen
- Ein Konflikt ist in der Woche seiner Entstehung sichtbar und nicht elf Monate später im Management Letter, und die Zuordnung dahinter ist benannt
- Die Jahresliste ist keine Überraschung mehr: die Interne Kontrolle hat sie vor dem Prüfer, bereits vorsortiert
- Akzeptierte Risiken tragen Verantwortlichen, Begründung und Ablaufdatum, sodass das Register das Unternehmen so beschreibt, wie es ist
- Privilegierter Zugriff ist keine Vergabe ohne Fortsetzung mehr; was das Konto getan hat, wird monatlich abgeglichen und in Stichproben geprüft
- Die Prüfungsvorbereitung wird zur Durchsicht vorhandener Nachweise, weil das Paket jede Woche entsteht
Aus Sicht der Geschäftsführung
- Dem Prüfungsausschuss lässt sich sagen, wie viele Konflikte bestehen, wie alt sie sind und wer jeden verantwortet, ohne einen Auszug zu bestellen
- Risikoakzeptanz wird zur Entscheidung mit Namen, Begründung und Datum, und genau darauf soll eine Erklärung zur Internen Kontrolle beruhen
- Die Kontrolle kostet bei drei Buchungskreisen etwa so viel wie bei fünfzehn, weil der Aufwand in den Regeln steckt und nicht in der Auswertung
- Funktionstrennung hängt nicht mehr an der Arbeitsmappe einer Person, sondern wird zu einem Prozess, der deren Weggang übersteht
KPIs für die Geschäftsführung
Sicherheit und Governance
Ein Prüfer sollte jede Entscheidung nachvollziehen können.
- Das Extraktionskonto ist in jedem Mandanten rein anzeigeberechtigt. Eine Kontrolle, die Berechtigungen liest, darf sie niemals vergeben können
- Niemand darf zugleich eine Regel schreiben, den daraus folgenden Konflikt verantworten und dessen Akzeptanz freigeben; der Ablauf erzwingt diese Trennung und hält fest, wer was getan hat
- Die SAP-Zugangsdaten stammen aus Ihrem vorhandenen Tresor statt aus dem Ablauf; die Auszüge, Entscheidungen und Nachweise, die die Kontrolle erzeugt, bleiben in Ihrem Microsoft 365 Tenant und in der EU-Region der UiPath Automation Cloud
- Rollendaten sind personenbezogene Daten: die Nachweisbibliothek trägt ein Aufbewahrungslabel in Microsoft Purview, und jede Änderung der Matrix wird mit Autor und Datum versioniert
Warum jetzt
Der nächste Management Letter entsteht aus einem einzigen Auszug aus einer Woche des Jahres, erstellt von jemandem außerhalb des Unternehmens. Dieselbe Auswertung wöchentlich kostet modellhaft 2.560 € im Monat und holt die Liste auf Ihre Seite des Tisches
Rollenlandschaften sind in Bewegung. S/4HANA-Programme, neue Buchungskreise und die Bündelung von Shared Services verschieben Berechtigungen, und jedes davon erzeugt Konflikte, auf die niemand achtet
Die Extraktion, die früher einen Berater brauchte, ist heute ein geplanter Roboter auf Standardschnittstellen, und die Prüfung, die ein Portal brauchte, passt in Microsoft Teams
Relevante Führungsrollen
Die Erklärung zur Internen Kontrolle stützt sich auf aktuelle, benannte und datierte Konflikte und Akzeptanzen statt auf eine Arbeitsmappe vom letzten Frühjahr
Matrix und Register bleiben in seiner Hand, und die Auswertung, die er sich wöchentlich nicht leisten kann, läuft wöchentlich
Berechtigungsrisiko wird zur messbaren Zahl statt zur jährlichen Diskussion über die Vollständigkeit des Auszugs
Die Prüfung verschiebt sich vom Nachweis, dass die Kontrolle existiert, hin zur Stichprobe ihrer Ergebnisse
Häufige Fragen und Einwände
Dann nutzen Sie es. Es leistet Risikoanalyse, kompensierende Kontrollen und Notfallzugriffsverwaltung sauber, und SAP pflegt das Regelwerk. Dieses Muster ist für Gruppen ohne diese Lizenz und als Ergänzung dort, wo es nicht hinreicht: Lagersystem, Treasury, Personalabrechnung und Werksanwendungen.
Das ist der übliche Ausgangspunkt und der Teil, mit dem wir beginnen. Wir bauen die Regeln hinter den Konflikten Ihrer beiden letzten Management Letters neu und ergänzen den Rest in Wellen. Vierzig Regeln, denen die Verantwortlichen vertrauen, schlagen vierhundert, die niemand liest.
Der Wochenlauf meldet Veränderungen, nicht den gesamten Bestand. Nach dem ersten Aufräumen bringen die meisten Wochen eine Handvoll neuer Konflikte, jeder einer Zuordnung zugeordnet, und jeder Verantwortliche sieht nur seine eigene Liste.
Wann diese Lösung nicht passt
- Eine kleine, einfach gebaute Benutzerbasis: unter einigen hundert ERP-Benutzern mit schlichtem Rollenkonzept ist eine jährliche Prüfung durch eine Person dem Risiko angemessen
- SAP Access Control oder SAP Cloud Identity Access Governance bereits lizenziert und für die gesamte Landschaft im Einsatz; dann erweitern Sie das, statt daneben zu bauen
- Ein Rollenkonzept, das so instabil ist, dass die meisten Benutzer eine individuell gebaute Rolle tragen, denn dann beschreibt die Liste den Rollenkatalog und nicht das Risiko
Eine Frage für die nächste Sitzung
Wann haben wir zuletzt mit Nachweis gewusst, wie viele Personen in dieser Gruppe allein einen Lieferanten anlegen, dessen Bankverbindung ändern und die Zahlung freigeben könnten?
Vorgehen bei der Umsetzung
Wir starten mit einem Ausschnitt und erweitern erst nach dem Nachweis.
Wir liefern
- Einen Arbeitstermin, der die vorhandene Regelmappe der Internen Kontrolle in eine pflegbare Matrix überführt: Funktionen, Transaktionen, Berechtigungsobjekte, Einstufungen, Verantwortliche
- Extraktionsroboter für jeden SAP-Mandanten, mit Rollenauflösung und einer Kontrollsumme je Lauf
- Die Regel-Engine, den Wochenvergleich und die Zuordnung jedes neuen Konflikts zu seiner Ursache
- Das Register kompensierender Kontrollen mit Verantwortlichen, Nachweisorten und Ablaufdaten sowie die Logik, die einen Konflikt bei abgelaufener Kontrolle wieder öffnet
- Konfliktaufgaben, Risikoakzeptanz und Eskalation in Microsoft Teams, die Stichprobenregeln, das Nachweispaket und das Power BI Dashboard
Wir brauchen von Ihnen
- Ihr heutiges Regelwerk in jeder vorhandenen Form und die Konflikte aus Ihren beiden letzten Management Letters
- Ein rein anzeigeberechtigtes technisches Konto in jedem SAP-Mandanten, mit einem für die relevanten Konten konfigurierten Security Audit Log
- Benannte Verantwortliche für Rollen und Prozesse sowie die Bestätigung, dass wer die Matrix ändert, nicht die Akzeptanzen freigibt
Etappen
Analyse
Regelwerk, Landschaft, Buchungskreise, Verantwortliche und die von Ihrem Prüfer bereits gemeldeten Konflikte
Design
Matrixstruktur, Extraktionsumfang, Stichprobenregeln, Aufgabensteuerung, Aufbau des Nachweispakets
Aufbau
Extraktionsroboter, Regel-Engine, Register, Teams-Aufgaben und das Dashboard
Validierung
Parallellauf gegen eine manuelle Prüfung von zwei Buchungskreisen, Konfliktzahlen Position für Position abgestimmt
Produktivstart
Erster Wochenlauf unter Aufsicht der Internen Kontrolle, danach die übrigen Buchungskreise
Unternehmensweit. Den Aufwand bestimmen die Zahl der SAP-Mandanten und Buchungskreise, der Zustand des Rollenkonzepts, die Größe der Matrix und das, was das Security Audit Log aufzeichnet.
Ihre Funktionstrennungskonflikte findet der Abschlussprüfer vor der Internen Kontrolle.
Schicken Sie uns Ihre heutige Regelmatrix, so grob sie ist, und einen Benutzer- und Rollenauszug aus einem Buchungskreis. Wir kommen mit den heute darin enthaltenen Konflikten zurück und mit einer Einschätzung, welche davon Ihr Prüfer am ehesten aufgreift.
Regeln an einem Buchungskreis testenDer Nachbarprozess hat meist dasselbe Problem
Führungskräfte bestätigen Berechtigungen, die sie nicht lesen können, und niemand entzieht Ungenutztes.
Lösung ansehen Recht & ComplianceGeschäftspartner-Screening: Sanktionen, USt, RegisterIhre Partnerkartei stimmte am Tag der Prüfung. Sanktionen und Umsatzsteuerstatus haben sich danach bewegt.
Lösung ansehen IT & ServicesDatenmigration mit Tests geprüft, nicht mit StichprobenEine Tabellenstichprobe von einigen Hundert Datensätzen steht heute zwischen Ihrer Migration und dem Go-live.
Lösung ansehenBranchen, in denen wir das am häufigsten umsetzenProduktion & IndustrieHandel & E-CommerceShared Services