Die Digitalisierung bietet Unternehmen viele Chancen, birgt jedoch auch (ungeahnte) Risiken. Betriebe stehen oft vor der Frage, wie sie sich angesichts der neuen Möglichkeiten rechtskonform verhalten. In der Praxis sind sie auf sich gestellt. Unsere Erfahrung zeigt: Besonders wenn es darum geht, mit dem ERP- System Compliance-konform zu arbeiten, herrscht große Unsicherheit.
Katja Horlbeck hat mit unserem Partner HMC Hahne Management Consulting GmbH, Geschäftsführer Karl-Ludwig Hahne, ein Gespräch geführt und hat für
Sie einige nützliche Tipps für Ihren Betriebsalltag zusammengefasst.
Katja Horlbeck: Herr Hahne, Daten sind heute praktisch so wertvoll wie Öl. Gleichzeitig steigt die Menge der Daten, mit denen Unternehmen jonglieren müssen, exponentiell. Gestiegen sind auch die technischen und rechtlichen Anforderungen. Wo setzt ein Betrieb da am besten an?
Karl-Ludwig Hahne: Größere Unternehmen, auch KMU, setzen heute zunehmend auf komplexe ERP-Systeme, welche ihre Geschäftsprozesse ganzheitlich abbilden. Im Vordergrund steht bestimmt der ökonomische Aspekt, lässt sich doch häufig die gesamte Wertschöpfungskette des Unternehmens in einer ERP-Umgebung abbilden. Dies führt nicht selten zu hoch komplexen Systemen, welche jedoch trotzdem innovativ und flexibel auf die Anforderungen des Marktes, der Kunden und der Branche reagieren müssen. Als wäre dies nicht genug, müssen zahlreiche rechtliche Vorgaben eingehalten werden, darunter zum Beispiel das Ihnen gut bekannte Bundesdatenschutzgesetz.
Datenschutzrechtliche Anforderungen, das wird Sie freuen, Frau Horlbeck, beschäftigen den Mittelstand stark. Hier stehen die Unternehmen vor zahlreichen Fragen. Etwa: Sind Personalinformationen und -daten bei uns ausreichend geschützt? Wie schützen wir beispielsweise im B2C-Umfeld unsere „Kronjuwelen“, die Kundendaten?
Jedoch müssen in ERP-Systemen auch handels- und steuerrechtliche Anforderungen eingehalten werden. Diese haben nicht nur Einfluss auf die Finanzbuchhaltung, sondern auch auf die Warenwirtschaft, Belegablage und und und…
Katja Horlbeck: Stichwort Belegablage: Worauf müssen Unternehmen achten, wenn sie Dokumentenmanagement-Systeme (DMS) verwenden, um weniger Dokumente in Papierform aufbewahren zu müssen?
Karl-Ludwig Hahne: In diesem Jahr wurde besonders deutlich, dass sich viele Unternehmen mit den sogenannten „GoBD“ (Anm. d. Red.: „Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“) beschäftigen müssen. Die GoBD legen u.a. die Anforderungen an DMS-Produkte aus Sicht der Finanzämter/Betriebsprüfer/des Bundesministeriums der Finanzen fest: Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, Ordnung, Unveränderbarkeit; Buchungen und Aufzeichnungen müssen zeitgerecht erfolgen.
Für die Praxis der elektronischen Rechnungslegung heißt dies zum Beispiel: Die rechnungslegungsrelevanten DMS-Prozesse müssen nachvollziehbar dokumentiert und alle Daten lückenlos erfasst sein. Mitarbeiter müssen darauf achten, Daten so zeitnah wie möglich zu archivieren, um Verlust und Manipulation auszuschließen. So lange, wie die Daten aufbewahrt werden, müssen auch die Kriterien der Ordnungsmäßigkeit erfüllt sein. Und das DMS muss Veränderungen an Dokumenten und Löschungen protokollieren. Alle diese Anforderungen muss ein DMS-System gewährleisten, wenn es anstelle der üblichen Archivierung in Papierform eingesetzt werden soll.
Katja Horlbeck: GoBD und Ihre kurz umrissenen Anforderungen klingen sehr umfangreich. Können Sie für den Mittelstand Schlüssel-Indikatoren kurz und knapp beschreiben?
Karl-Ludwig Hahne: Alles halb so wild: die Erfahrung nach knapp einem Jahr GoBD zeigt, dass die meisten Softwarelösungen, welche im Mittelstand eingesetzt werden, die Anforderungen der GoBD erfüllen. Oftmals müssen die Mittelständler nur ihre Prozesse überdenken, oder besser gesagt, sie ein wenig an die neuen Gegebenheiten anpassen. Oftmals ist auch die Dokumentation in den letzten Jahren zu kurz gekommen. Diese lässt sich dann auch mit interner Kraft wieder gerade ziehen. Die GoBD sehen in diesem Zusammenhang die so genannte Verfahrensdokumentation vor.
Katja Horlbeck: Auch Datenschutz ist heute eine Frage der IT-Security. Gehen doch einmal Daten verloren, ist man schnell im rechtlichen Graubereich – sind es rechnungslegungsrelevante Daten, dann ist die Buchführung schon nicht mehr ordnungsgemäß. Wie können Unternehmer sich gegen dieses Risiko absichern?
Karl-Ludwig Hahne: Das ist richtig. Uns sind durchaus Unternehmen bekannt, die nach einem Datenverlust um den uneingeschränkten Bestätigungsvermerk bangen mussten.
Auch im Mittelstand hilft eine gezielte Risikobetrachtung. Damit in der IT alles ordnungsgemäß läuft, lassen sich Themen, wie der Betrieb der Systeme, gemäß den Betriebsvoraussetzungen und -bedingungen, Backup, Notfall-Abdeckung, Virenschutz, Restart- und Recovery-Fähigkeit der IT abklopfen. Mitarbeiter müssen sensibilisiert und geschult werden, die Systemadministration braucht klare Arbeitsanweisungen. Daneben sind auch die Dokumentation von Maßnahmen in Betriebskonzepten, Arbeitsanweisungen, Notfallplänen empfehlenswert. Diese Inhalte sind oftmals bereits Bestandteil der Verfahrensdokumentation.
IT-Security-Management sollte am besten ein Teil des internen Kontrollsystems (IKS) sein. Ein interner oder extern hinzugezogener IT-Sicherheitsbeauftragter kann gezielt Maßnahmen koordinieren und klären, ob etwa gesetzliche Vorgaben eingehalten werden. Er überprüft Sicherheitskonfigurationen, stimmt sich mit Systemspezialisten ab, erstellt und aktualisiert ein IT-Sicherheitskonzept und berät nicht zuletzt die Geschäftsleitung bei der Gestaltung der IT-Sicherheit. IT-Sicherheit ist übrigens keine Frage der Unternehmensgröße, von daher sollte sich jeder Unternehmer, auch Selbstständige mit kleineren Betrieben, damit befassen.
Katja Horlbeck: Die IT rechtskonform und sicher am Laufen zu halten, ist auch eine Budgetfrage, vor allem bei KMU. Wie können diese sich auf kommende Entwicklungen vorbereiten, den eigenen Bedarf an Maßnahmen einschätzen?
Karl-Ludwig Hahne: Um fachlich, rechtlich und ökonomisch auf der sicheren Seite zu sein, lohnt sich zum Beispiel zunächst ein ERP-Checkup. Er funktioniert wie ein Controlling-Instrument: Geprüft werden kann mit diversen Fokussierungen, um den individuellen Bedarf eines Unternehmens aufzudecken.
Unser Team macht zum Beispiel erst einmal eine Ist-Aufnahme der bestehenden IT-Umgebung und bewertet sie. Eine gezielte Beratung hat das Ziel, umfassend zu unterstützen und geht auf individuelle Probleme und Fragestellungen ein. Begleiten kann die Beratung Unternehmen dann etwa bei der Einführung neuer Strukturen, Maßnahmen oder Anpassungen. Ein strukturiertes Vorgehen ist wichtig.
Ich könnte Ihnen noch viel mehr erzählen – aber Sie sehen: zwar birgt jedes IT-System diverse Risiken und fordert entsprechende Betreuung und Investition, aber der Einsatz zahlt sich aus, denn letztendlich eröffnen die IT und entsprechende ERP-Systeme viele Chancen auf erfolgreiches Unternehmenswachstum.
Katja Horlbeck: Ich danke Ihnen sehr für das aufschlussreiche Gespräch, Herr Hahne!
