Anforderungen an ein internes Kontrollsystem für elektronische Belege

veröffentlicht am 19. April 2018

​Die Verarbeitung und Aufbewahrung von elektronischen Belegen steht im Fokus der Finanzverwal­tung. Mit Hilfe eines internen Kontrollsystems kann der Steuerpflichtige die Erfüllung seiner steuerlichen Pflichten dokumentieren und zudem die Qualität seiner Buchführung verbessern.

Durch die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) verpflichtet die Finanzver­wal­tung Steuerpflichtige zur Einrichtung und Dokumentation eines internen Kontrollsystems für elektronische Belege. Unter elektronischen Belegen im Sinne der GoBD sind die im Zuge der Digitalisierung an Bedeutung gewinnen­den Dokumente in digitaler Form zu verstehen, die als Eingangsbelege (z.B. Rechnungen, Lieferscheine, Bankauszüge etc.), Ausgangsbelege (z.B. Rechnungen, Lieferscheine etc.) sowie Eigenbelege (z.B. AfA-Belege etc.) auftreten. Besonders zu beachten sind Belege, die in bildhafter Form oder in struktu­rierter Form als Datensätze in Vor- oder Nebensystemen der Buchführung anfallen oder von außerhalb in das Unternehmen gelangen. Diese aufbewahrungspflichtigen Unterlagen sind systematisch, vollständig, zeitgerecht und geordnet unter Beachtung der Grundsätze ordnungsmäßiger Buchführung zu verarbeiten und aufzubewahren. Die Dokumentation der Einhaltung der Pflichten aus den GoBD in Form eines steuerlichen internen Kontrollsystems (IKS) hat hierbei innerhalb der steuerlichen Verfahrensdokumentation zu erfolgen. Weiterhin ist die Durch­führung der eingerichteten Kontrollen im unternehmerischen Alltag zu protokollieren, um die Nachvollziehbarkeit sicherzustellen.

Unter einem internen Kontrollsystem versteht man die Gesamtheit aller systematisch gestalteten technischen und organisatorischen Regeln eines Unternehmens zur Einhaltung von Richtlinien und Gesetzen sowie zur Abwehr von Schäden. Die getroffenen Maßnahmen umfassen hierbei sowohl manuelle als auch automatische Kontrollen bzw. Aktivitäten, welche sowohl präventiv als auch retrospektiv erfolgen können. Im Regelfall werden die rechnungslegungs- bzw. steuerrelevanten Vorgänge und Transaktionen in IT-gestützten Rechnungs­legungssystemen abgebildet. Somit sind im Rahmen des steuerlichen IKS neben den Abläufen im Rahmen der Verarbeitung der Geschäftsvorfälle auch die getroffenen Sicherungsmaßnahmen in Hinblick der eingesetzten IT-Systeme zu berücksichtigen. Diese Maßnahmen müssen neben den eingesetzten IT-Anwendungen auch die erforderliche IT-Infrastruktur der rechnungslegungsrelevanten Anwendungen umfassen. Daher sind in Bezug auf das steuerliche interne Kontrollsystem für elektronische Belege insbesondere auch in den folgenden Bereichen entsprechende Kontrollen einzurichten bzw. zu überwachen:

• Zugangs- und Zugriffsberechtigungen auf Basis eines angemessenen Berechtigungskonzepts,
• Funktionstrennungen,
• Erfassungskontrollen und Plausibilitätsprüfungen,
• Abstimmungskontrollen bei der Dateneingabe,
• Verarbeitungskontrollen,
• Schutzmaßnahmen gegen die beabsichtigte sowie unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten.

Insbesondere durch ein angemessenes Zugangs- und Berechtigungskonzept muss sichergestellt werden, dass ausschließlich organisatorisch berechtigte Personen auf die steuerrelevanten Daten und Belege Zugriff erhalten. Darüber hinaus sollte im Rahmen der Erfassung und Verarbeitung der elektronischen Belege sichergestellt werden, dass kritische Bereiche durch eine entsprechende Funktionstrennung überwacht werden, um das Risiko einer fehlerhaften Erfassung von Geschäftsvorfällen zu reduzieren. Im Rahmen der Datenverarbeitung sollten zudem entsprechende Prozesse und Abläufe eingerichtet werden, die sicherstellen, dass die Datenverarbeitung wie in der Verfahrensdokumentation vorgesehen abläuft und zudem Schnittstellen zwischen den Vor- und Nebensystemen sowie dem Hauptsystem vollständig und ordnungsgemäß funktionieren. Weiterhin kommt im Rahmen des steuerlichen IKS dem eingerichteten Change-Management bei Änderungen an den steuerrele­vanten Systemen eine besondere Bedeutung zu. Hierbei hat der Steuerpflichtige sicherzustellen, dass bei Änderungen an den IT-Anwendungen jederzeit die ursprünglichen Informationen nachvollziehbar abgerufen werden können und es im Rahmen dieser Änderungen nicht zu einer fehlerhaften Darstellung der relevanten Daten und Belege kommt.

Im Zusammenhang mit den Erfassungs- und Plausibilitätskontrollen muss das steuerliche IKS sicherstellen, dass originäre Papierbelege ordnungsgemäß digitalisiert werden. Durch den Steuerpflichtigen sind daher organisatorische Maßnahmen und Kontrollen einzurichten, die gewährleisten, dass der Digitalisierungsprozess von der Integritätssicherung des Dokuments über das ersetzende Scannen bis hin zur Vernichtung des Papierbelegs ordnungsgemäß erfolgt.

Weiterhin haben Unternehmen im Rahmen ihres steuerlichen IKS dafür Sorge zu tragen, dass die rechnungs­legungsrelevante IT-Infrastruktur jederzeit einsatzfähig ist. Hierbei sind neben den Sicherung­s­maßnahmen für den Regelbetrieb auch entsprechende Konzepte für die Wiederherstellung der IT-Infrastruktur im Falle eines unvorhergesehenen Ausfalls aufzustellen. Die Maßnahmen für den Regelbetrieb umfassen hierbei auch die Absicherung der IT-Infrastruktur gegen unbefugte Zugriffe, den Schutz gegen Schäden sowie eine regelmäßige Sicherung der Daten.