Start · Lösungen · Finanzen & Buchhaltung
Lösung · Finanzen & BuchhaltungEine Bankverbindung ändert sich in SAP erst, wenn Register und Rückruf übereinstimmen
Lieferantenstammdaten mit Kontrolle gegen Zahlungsbetrug
Jede neue oder geänderte Bankverbindung wird gegen amtliche Register geprüft, per Rückruf bestätigt und im Vier-Augen-Prinzip freigegeben, bevor ein Roboter SAP aktualisiert.
Kurzfassung für die Geschäftsführung
Eine überzeugende E-Mail genügt, damit eine sechsstellige Zahlung auf dem Konto eines Betrügers landet.
Mientha pflegt für Kunden Lieferantenstammdaten im Business Process Outsourcing; dieses Kontrollmodell stammt von Menschen.
Jede neue oder geänderte Bankverbindung trägt eine Registerbestätigung und einen dokumentierten Rückruf, bevor darüber gezahlt werden kann.
Lieferantenstammdaten in SAP S/4HANA; Antragsregister und Nachweisbibliothek auf SharePoint
Geschäftsproblem
Stammdaten und Betrugskontrolle
Lieferanten fusionieren, wechseln die Bank und ziehen um; ein Unternehmen mit einigen tausend Kreditoren ändert monatlich Hunderte von Stammsätzen, jede Änderung per E-Mail beantragt, jede in SAP eingetippt. Die Bankverbindung ist das eine Feld, das Geld bewegt, und sie wird mit derselben Routine gepflegt wie eine Adresse.
Zahlungsbetrug lebt von dieser Routine. Der Angreifer schickt eine plausible E-Mail von einer täuschend ähnlichen Domain oder aus dem gekaperten Postfach des Lieferanten, legt ein Schreiben bei und geht ans Telefon, dessen Nummer in der Signatur steht. Das Internet Crime Complaint Center des FBI verzeichnete für 2024 21.442 Meldungen zu Business Email Compromise und 2,77 Mrd. USD gemeldete Schäden.
Das Stammdatenteam trägt eine Kontrolle, die niemand definiert hat; die Treasury zahlt zweimal; der CFO erklärt die Abschreibung. In Polen bringen Zahlungen ab 15.000 PLN auf ein Konto außerhalb der Liste der Umsatzsteuerpflichtigen zusätzliche steuerliche Folgen mit sich. Und drei Personen rufen nicht 65 Lieferanten im Monat zurück, also rufen sie nur an, wenn etwas seltsam wirkt, und genau dieses Urteil soll eine betrügerische E-Mail bestehen.
Wie es heute läuft
- MenschEin Lieferant oder Einkäufer schreibt an das gemeinsame Postfach: neue Bankverbindung, manchmal ein Schreiben als Nachweis
- WartezeitDer Antrag liegt drei bis sieben Arbeitstage, während der Lieferant den Einkäufer in Teams erinnert
- MenschDie Sachbearbeitung tippt die IBAN aus dem Anhang in SAP
- FehlerrisikoDie Liste der Umsatzsteuerpflichtigen wird geprüft, wenn jemand daran denkt; ein Rückruf geht, falls überhaupt, an die Nummer aus der Signatur
- SystemDie Teamleitung bestätigt sensible Felder in SAP freitags im Stapel, ohne den Antrag selbst zu sehen
- MenschDie E-Mail ist der einzige Nachweis; der Änderungsbeleg hält fest, wer gespeichert hat, nicht wer geprüft hat
- FehlerrisikoNiemand zählt, wie viele Bankverbindungen geändert oder geprüft wurden; das erste Anzeichen einer umgeleiteten Zahlung ist eine Mahnung
Warum der heutige Prozess mehr kostet, als es scheint
Hinter jeder Ausnahme steht eine Stunde, die niemand erfasst hat.
- Hinter jeder Änderung steckt eine Recherche, die keine Zeiterfassung ausweist: welcher Buchungskreis, welcher von drei Lieferanten gleichen Namens, ob der Antragsteller echt ist.
- Eine Kontrolle, die stattfindet, wenn jemand Zeit hat, ist für Prüfer wie für Betrüger eine Kontrolle, die es nicht gibt.
- Ein zu spät geänderter Lieferant wird auf das alte Konto bezahlt; die anschließende Klärung kostet mehr als die Änderung selbst.
- In Polen kann eine Zahlung ab 15.000 PLN auf ein nicht gelistetes Konto den Betriebsausgabenabzug kosten und eine gesamtschuldnerische Umsatzsteuerhaftung auslösen.
- Eine umgeleitete Zahlung wird selten zurückgeholt: Das Unternehmen zahlt den Betrüger, dann den echten Lieferanten und verbringt danach Monate mit Bank und Versicherung.
Kosten des Nichtstuns
Jahrelang rührt niemand diesen Prozess an, gerade weil die Bearbeitungskosten überschaubar sind. Das seltene Ereignis dreht das Bild: ein Zahlungslauf an einen größeren Lieferanten, modelliert mit 120.000 €, einmal umgeleitet, kostet so viel wie zweieinhalb Jahre Bearbeitung des Teams, und der echte Lieferant muss trotzdem bezahlt werden. Nichts im heutigen Prozess würde das aufhalten.
Daneben kehren jedes Jahr dieselben verspäteten Zahlungen, dasselbe Steuerrisiko nicht gelisteter Konten und dieselbe Prüfungsfeststellung zurück.
Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.
Europäischer FMCG-Hersteller, drei Länder, rund 6.000 aktive Lieferanten, SAP S/4HANA, Microsoft 365 E3; drei Personen pflegen die Lieferantenstammdaten.
Rund 450 Stammdatenänderungen im Monat über drei Buchungskreise, davon etwa 65 Bankverbindungen; die meisten kommen per E-Mail aus dem Einkauf.
Anträge werden aus dem gemeinsamen Postfach in der Reihenfolge bearbeitet, in der nachgefragt wird; die Sachbearbeitung ändert SAP anhand des Anhangs; Bankfelder werden freitags im Stapel bestätigt; nichts wird dokumentiert.
Rund 20 Minuten Bearbeitung je Änderung, verteilt über drei bis sieben Arbeitstage; keine unabhängige Rückruf-Verifizierung, kein Änderungsregister, keine Nachweise für die Prüfung.
Ein Formular in Teams; ein Roboter prüft die neuen Daten gegen den SAP-Stammsatz, die polnische Liste der Umsatzsteuerpflichtigen, VIES und den Lieferantenbestand; eine zweite Person ruft die hinterlegte Nummer an; die Stammdatenleitung gibt frei; erst dann aktualisiert der Roboter SAP.
Im modellierten Fall sinkt der Personalaufwand je Bankverbindungsänderung auf rund fünf Minuten, jede solche Änderung trägt eine Registerbestätigung und einen dokumentierten Rückruf, und die Durchlaufzeit sinkt auf den nächsten Arbeitstag. Alles hier ist Modellierung; nichts davon haben wir bei einem Kunden gemessen.
Vorgeschlagene Lösung
Mientha pflegt für Kunden Lieferantenstammdaten im Business Process Outsourcing; dieses Kontrollmodell stammt von Menschen, die solche Anträge täglich bearbeiten. Das Prinzip lautet: Kein Bankverbindungsfeld in SAP ändert sich auf Zuruf einer E-Mail.
Anträge kommen über ein Microsoft Forms Formular in Teams; ein Power Automate Flow mit Standardkonnektoren schreibt jede Antwort in eine SharePoint-Liste, die den UiPath Job startet. Der Roboter liest den aktuellen SAP-Stammsatz des Lieferanten und wendet deterministische Regeln an: die Liste der Umsatzsteuerpflichtigen für Konto und Steuernummer, VIES für die EU-Umsatzsteuer-Identifikationsnummer, IBAN-Prüfsumme und Bankland, dieselbe IBAN bei einem anderen Lieferanten, die Domain des Antragstellers gegen die hinterlegte.
Eine Aufgabe zur Rückruf-Verifizierung im UiPath Action Center geht an eine Person, die weder Antragsteller noch Freigeber ist, und zeigt die vor dem Antrag hinterlegte Telefonnummer, nie die Nummer aus der E-Mail. Ein positiver Rückruf gibt die Freigabe im Vier-Augen-Prinzip an die Stammdatenleitung weiter, beide Aufgaben werden in Teams erledigt; eine gescheiterte Prüfung oder ein gescheiterter Rückruf lehnt den Antrag ab und stellt ihn in den Kontrollkanal. Nach der Freigabe schreibt der Roboter die Änderung in SAP und legt das Nachweispaket auf SharePoint ab. Neue Lieferanten laufen denselben Weg, ergänzt um eine Dublettenprüfung über Steuernummer, IBAN und Name.
UiPath Orchestrator Queues; UiPath Action Center App tasks mit Zuweisung, Fristen und Aktionsbenachrichtigungen in Microsoft Teams; UiPath Integration Service Konnektoren für Microsoft OneDrive & SharePoint, Microsoft Teams, Microsoft Outlook 365 und SAP; Microsoft Forms mit Power Automate Trigger; SharePoint mit Aufbewahrungsbezeichnungen aus Microsoft Purview
Antragsformular und Register, Regelwerk, Action Apps für Rückruf und Freigabe samt Zuweisungslogik, Workflows zum Lesen und Ändern in SAP, Nachweispaket, Meldungen im Kontrollkanal, monatlicher Kontrollbericht, Runbook
Polnische Liste der Umsatzsteuerpflichtigen (API wl-api.mf.gov.pl oder tägliche Flatfile); VIES SOAP Webservice (checkVat, checkVatApprox); nationale Handelsregister mit Maschinenschnittstelle; SAP GUI Automatisierung als Rückfalloption für ältere Releases
So läuft der automatisierte Prozess
- AutomatisierungEine Formularantwort (oder eine in einen Antrag überführte E-Mail) legt den Vorgang in der SharePoint-Liste an und stellt ihn in die Orchestrator Queue
- SystemDer Roboter liest den aktuellen SAP-Stammsatz des Lieferanten: Bankdaten, Steuernummer, Land, hinterlegte Telefonnummer
- AutomatisierungDie Prüfungen gegen Liste der Umsatzsteuerpflichtigen, VIES, IBAN-Regeln, Dubletten und Antragsteller-Domain laufen; die Ergebnisse gehen in den Vorgang
- MenschIn Teams erscheint eine Rückruf-Aufgabe für eine zweite Person, vorbelegt mit der hinterlegten Nummer; sie ruft an und dokumentiert das Ergebnis
- MenschDie Stammdatenleitung gibt in Teams frei oder lehnt ab, mit Prüfergebnissen und Rückrufprotokoll in der Aufgabe
- AutomatisierungNach der Freigabe aktualisiert der Roboter SAP, erfasst die Nummer des Änderungsbelegs und legt das Nachweispaket auf SharePoint ab
- AutomatisierungAbgelehnte Vorgänge gehen mit Begründung in den Kontrollkanal; Bestätigungen erreichen Antragsteller und Lieferant über den bekannten Kanal
Zusammenspiel von Mensch und Automatisierung
Die Automatisierung übernimmt
- Annahme und Anlage des Vorgangs; außerhalb des Formulars läuft nichts
- Jede Abfrage und jeden Abgleich: SAP-Stammsatz, Register, IBAN-Regeln, Dubletten, Domains
- Die Aufgabenzuweisung, sodass Antragsteller, Prüfer und Freigeber drei verschiedene Personen sind
- Die Änderung in SAP, das Nachweispaket, die Bestätigungen und den Monatsbericht
Menschen entscheiden
- Ob der Lieferant am Telefon die Änderung bestätigt
- Ob freigegeben wird, mit allen Prüfergebnissen vor Augen
- Was mit einem abgelehnten Vorgang geschieht: eskalieren oder schließen
- Die Regeln: Register je Land, Schwellenwerte, wer prüfen und freigeben darf
Vorher und nachher
Systeme und Integrationen
Wir fügen keine Technologie hinzu, damit eine Architektur seriös aussieht. Jedes Element unten hat hier eine konkrete Aufgabe.
Eingänge
- Microsoft Forms Antrag in Teams
- gemeinsames Postfach für Anträge außerhalb des Formulars
- SAP-Lieferantenstammsatz
- polnische Liste der Umsatzsteuerpflichtigen
- VIES
- nationale Handelsregister
Automatisierungsschicht
- UiPath Orchestrator
- UiPath Robots
- UiPath Integration Service
- UiPath Action Center
- Power Automate Cloud Flow
Zielsysteme
- Lieferantenstammdaten in SAP S/4HANA
- Antragsregister und Nachweisbibliothek auf SharePoint
Berührungspunkte für Menschen: Rückruf-Aufgabe in Teams; Freigabeaufgabe in Teams; Kontrollkanal für Lieferantenstammdaten in Teams; Bestätigungs-E-Mails
Eingesetzte Technologien
stellen jeden Antrag in die Queue, führen die Prüfungen aus, ändern SAP, protokollieren und sichern den Prüfpfad
AAufgaben für Rückruf und Freigabe mit Feldern, Zuweisung, Fristen und Prüfpfad
ATrigger auf der Antragsliste, Nachweisbibliothek, Lesen und Ändern in SAP, Meldungen im Kontrollkanal
AAntragsformular in Teams; ein Cloud Flow schreibt die Antworten in die SharePoint-Liste
AQuelle des Stammsatzes vor der Änderung, Ziel der freigegebenen Änderung
Abestätigt, dass das neue Konto am Abfragetag zur Steuernummer des Lieferanten gehört
Bprüft EU-Umsatzsteuer-Identifikationsnummern; die Abfragekennung wird als Nachweis gespeichert
BIllustratives Wirtschaftlichkeitsmodell
Was es wert ist, mit offener Rechnung.
Nichts davon stammt von einem Kunden; die Bandbreiten sind für Shared-Service-Center üblich. Zwanzig Minuten je Änderung decken Eintippen, Nachschlagen und Nachfassen ab; 26 € sind Vollkosten je Stunde für eine Stammdatenrolle in Mitteleuropa. Die Tabelle bewertet die heutige Bearbeitung; der Zielablauf braucht weiterhin einige Minuten Personalzeit je Änderung, und das Betrugsrisiko steht nicht in der Tabelle.
Rechnen Sie mit Ihren Zahlen
Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.
Geschäftlicher Nutzen
- Jede neue oder geänderte Bankverbindung trägt eine Registerbestätigung und einen dokumentierten Rückruf, bevor darüber gezahlt werden kann
- Ein Umleitungsversuch endet beim Rückruf oder bei der Registerprüfung und wird zu einem dokumentierten Vorfall
- Änderungen sind bis zum nächsten Arbeitstag fertig, sodass Zahlungsläufe das richtige Konto treffen
- Polnische Zahlungen auf nicht gelistete Konten werden für den gesamten Lieferantenbestand blockiert
- Der Personalaufwand je Bankverbindungsänderung sinkt von rund zwanzig auf rund fünf Minuten
- Die Prüfung erhält je Änderung ein Nachweispaket: Namen, Zeitstempel, Registerreferenzen, SAP-Änderungsbeleg
Aus Sicht der Geschäftsführung
- Ein Register aller Änderungen: wer beantragt hat, was sich geändert hat, wer geprüft, wer freigegeben hat und wie lange es gedauert hat
- Funktionstrennung, die der Ablauf erzwingt; der Roboter kann nicht freigeben
- Der monatliche Kontrollbericht gibt CFO und Interner Revision eine Zahl statt einer Annahme
- Neue Buchungskreise und Länder kommen über eine Regeländerung hinzu, nicht über neue Stellen
KPIs für die Geschäftsführung
Sicherheit und Governance
Sicherheit wird mit dem Prozess entworfen, nicht danach.
- In SAP darf der Roboter ausschließlich Lieferantenstammdaten pflegen, ohne Zahlungsrechte; sein Kennwort steht nie im Workflow, sondern wird zur Laufzeit aus dem Credential Store des Orchestrators oder aus Azure Key Vault gelesen
- Antragsteller, Prüfer und Freigeber sind immer drei verschiedene Personen; die Zuweisung liest Microsoft Entra ID Gruppen, die der Finanzbereich verantwortet
- Nichts überschreitet die Tenant-Grenze: Nachweispakete und Berichte liegen in Ihrem Microsoft 365 Tenant unter einer Aufbewahrungsbezeichnung aus Purview, und Orchestrator bleibt mit seinen Protokollen in der EU-Region der UiPath Automation Cloud
- Bankdaten von Einzelunternehmen sind personenbezogene Daten: Benachrichtigungen in Teams zeigen nur die letzten Stellen einer Kontonummer, die Nachweisbibliothek ist auf Stammdaten und Revision beschränkt
- Regeln sind versioniert und werden nur mit Freigabe des Finanzbereichs geändert; im Entscheidungspfad sitzt keine KI
Warum jetzt
Die Bearbeitung kostet modellierte 3.900 € im Monat; das Risiko ist der Zahlungslauf über 120.000 €, und die Kontrolle kostet einen Bruchteil des ersten verhinderten Vorfalls
Das Internet Crime Complaint Center des FBI meldete für 2024 Schäden von 2,77 Mrd. USD durch Business Email Compromise; in Polen sind Zahlungen ab 15.000 PLN auf nicht gelistete Konten ein Steuerrisiko
Die Register haben Maschinenschnittstellen (API und Flatfile der Liste der Umsatzsteuerpflichtigen, VIES Webservice), Aufgaben aus dem Action Center werden in Teams erledigt, und die SAP-Konnektoren von UiPath ändern den Lieferantenstamm
Relevante Führungsrollen
Eine umgeleitete Zahlung ist eine Abschreibung, eine Doppelzahlung und ein Thema für die Geschäftsführung; hier wird aus einer erhofften Kontrolle eine dokumentierte.
Das Team bekommt eine Warteschlange mit Fristen, Zuweisungsregeln und Nachweisen, statt letzte Verteidigungslinie zu sein.
Der Einkauf bleibt Eingangskanal für Lieferantenanträge, ohne zu entscheiden, ob eine Bankverbindung echt ist.
Registerprüfungen und Änderungen in SAP laufen über Standardschnittstellen und ein Servicekonto, nicht über Sachbearbeitung mit weiten Rollen.
Häufige Fragen und Einwände
Die Bestätigung in SAP belegt, dass ein zweiter Benutzer eine Taste gedrückt hat; sie prüft kein Register und erzwingt keinen Anruf an eine unabhängige Nummer. Dieser Ablauf ergänzt genau diese Schritte und die Nachweise.
Für den Lieferanten ist nur ein Anruf Ihres Teams neu, an eine Nummer, die er Ihnen zuvor selbst genannt hat; seriöse Lieferanten erwarten das, ihre Banken halten es genauso. Seine Änderung dauert dann einen Tag statt einer Woche.
Der Rückruf ist der eine Schritt, in dem ein Mensch mit einem Menschen über einen Kanal spricht, den der Angreifer nicht kontrolliert; ihn zu automatisieren entfernt die Kontrolle. Ein Modell liefert eine Wahrscheinlichkeit, ein Register liefert eine Tatsache.
Wann diese Lösung nicht passt
- Ein einzelner Buchungskreis mit einigen Dutzend Änderungen im Monat, wo eine schriftliche Vorgabe und eine strikte Rückrufregel von Hand durchzuhalten sind
- Ein Lieferantenbestand, der von Anbietern außerhalb der EU geprägt ist, wo öffentliche Register keine Antwort geben
- Keine verlässlichen Telefonnummern in den Stammdaten; dann steht zuerst eine Bereinigung an, denn ein Rückruf an eine ungeprüfte Nummer belegt nichts
Eine Frage für die nächste Sitzung
Wer in unserem Unternehmen kann heute die Bankverbindung eines Lieferanten ändern, wer prüft sie wogegen, und welche Nachweise könnten wir der Revision für die letzten fünfzig Änderungen vorlegen?
Vorgehen bei der Umsetzung
Was wir liefern und was wir für den Start brauchen.
Wir liefern
- Eine Durchsicht der Änderungshistorie der letzten drei Monate: Arten, Antragsteller, Länder, tatsächlich erfolgte Prüfung
- Kontrolldesign: Prüfungen je Land, Rückrufregel, Zuweisungslogik, Freigabebefugnis
- Formular, Register, Nachweisbibliothek und Kontrollkanal in Ihrem Microsoft 365 Tenant
- Roboter für das Lesen und Ändern in SAP, Registeranbindungen, Regeln und Monatsbericht; Action Center Apps für Rückruf und Freigabe in Teams
- Pilot auf einem Buchungskreis, danach Rollout mit Hypercare und Runbook
Wir brauchen von Ihnen
- Drei Monate SAP-Änderungsbelege zum Lieferantenstamm und die zugehörigen Antrags-E-Mails
- Eine Prozessverantwortung in der Stammdatenpflege, eine freigebende Rolle im Finanzbereich, einen Kontakt in der Internen Revision
- Technische Konten für SAP-Test und -Produktion, begrenzt auf die Pflege der Lieferantenstammdaten
Etappen
Analyse
Änderungshistorie, Antragswege, gelebte Prüfpraxis, Register im Umfang
Design
Kontrollfolge, Regeln, Aufgabenzuweisung, Freigabebefugnis, Sicherheitsmodell
Aufbau und Validierung
Formular, Register, Roboter, Integrationen, Teams-Aufgaben; Nachspielen historischer Änderungen und eingeschleuster Betrugsanträge
Go-live
Zuerst ein Buchungskreis, Hypercare, dann Feinschliff der Regeln und weitere Länder
Abteilungsweit. Der Aufwand hängt von den Ländern und Registern im Umfang, von der SAP-Schnittstelle und von der Qualität der hinterlegten Telefonnummern ab.
Sagen Sie uns die letzte Kontoänderung, die jemand telefonisch geprüft hat.
Schicken Sie uns drei Monate SAP-Änderungsbelege zum Lieferantenstamm und Ihre aktuelle Freigaberegel; wir kommen mit einer Ziel-Kontrollfolge zurück und mit einer Einschätzung, was die Lücken wert sind.
Änderungskontrolle prüfen lassenDer Nachbarprozess hat meist dasselbe Problem
Schluss mit drei verlorenen Wochen und fehlenden Nachweisen bei jedem neuen Lieferanten.
Lösung ansehen Recht & ComplianceGeschäftspartner-Screening: Sanktionen, USt, RegisterIhre Partnerkartei stimmte am Tag der Prüfung. Sanktionen und Umsatzsteuerstatus haben sich danach bewegt.
Lösung ansehen Finanzen & BuchhaltungEingangsrechnungen ohne manuelle ErfassungBezahlen Sie Ihr Finanzteam nicht länger dafür, Zahlen aus PDFs ins ERP zu übertragen.
Lösung ansehen Recht & CompliancePolicen, Erneuerungen und Schäden in einem RegisterIhr gesamtes Versicherungsprogramm wird aus einer Arbeitsmappe und einem Postfach verwaltet.
Lösung ansehen Case StudyAutomatische Bearbeitung von P2P-AnfragenRechnungskopien, Status und Übersichten sofort geliefert — rund um die Uhr.
Case Study ansehen Case StudyB2B-Kunden-Onboarding in 24 Stunden — Case StudyEin Neukunde bleibt nicht „heiß“, nur weil Ihr Prozess neun Schritte hat.
Case Study ansehenBranchen, in denen wir das am häufigsten umsetzenProduktion & IndustrieShared Services