Einsatz von Checklisten
Checklisten sind ein häufig verwendetes Werkzeug zur Unterstützung des Abschlussprüfers bei seinen Prüfungshandlungen. Hervorzuheben sind zwei wesentliche Funktionen:
- Strukturierung der Arbeitsvorgänge unter Sicherstellung der Vollständigkeit
- Dokumentation der durchgeführten Handlungen und somit auch der Kontrollen
Einfache digitale Checklisten liegen bspw. als PDF-, Word- oder Excel-Dokumente vor. Nachteile dieser Formate sind allerdings, dass die Daten weder automatisiert weiterverarbeitet werden, noch dass sich die Checklisten automatisch den Umständen des Einzelfalls anpassen.
Intelligente Checklisten verändern Ihren Umfang je nach Eingabe des Nutzers. So kann z. B. eine intelligente Anhangscheckliste größenabhängige Erleichterungen des HGB berücksichtigen und ausschließlich die relevanten Anforderungen anzeigen. Die Checkliste ermöglicht auch eine Weitergabe der Daten an andere Programme. In der Regel sind intelligente Checklisten in Komplettlösungen hinterlegt.
Data Mining
Data-Mining, auch bekannt als Knowledge Discovery in Data (KDD), ist ein Prozess zur Erkennung von Mustern, Trends und Gesetzmäßigkeiten in großen, vornehmlich unstrukturierten, Datenbeständen (Big Data) auf Grundlage statistisch-mathematischer Analysen. Data Mining ist abzugrenzen vom Machine Learning, bei dem auf Grundlage bereits bekannter Muster und Gesetzmäßigkeiten Datenbestände analysiert und verarbeitet werden.
Data Mining ist eng mit der der Zeitreihenanalyse verbunden, welche sich mit der Erkennung von Mustern in strukturierten Daten, die im Zeitablauf generiert wurden, befasst. Beide Methoden werden bei Analysen oft zusammen verwendet.
Data Mining wird auch bei der Analyse von Texten, z.B. zur Plagiatserkennung, eingesetzt (Text Mining).
Datenanalyse
Datenanalysen werden aktuell meistens im Zusammenhang mit Big Data (Massendaten) genannt. Sie unterstützen aber auch im Rahmen von Systemprüfungen, bei der Prüfung von Schätzwerten (z. B. Rückstellungen, Wertberichtigungen) sowie der Durchführung einer mathematisch-statistischen Stichprobenauswahl.
Datenanalysen führen nicht zwangsläufig zu einer Beschleunigung der Prüfungsdurchführung, da die Planung und Einrichtung der Prüfungsumgebung zeitintensiv sein kann. Die Qualität der Prüfungshandlungen kann aber durch Datenanalysen verbessert werden.
Eine Datenanalyse setzt voraus, dass strukturierte Daten vorliegen. Dies stellt gegenwärtig noch eine erhebliche Einschränkung für das Potential von Datenanalysen dar. Zwar führt die zunehmende Digitalisierung der Mandanten zu steigenden Datenmengen, diese Daten werden aber nicht selten in Subsystemen ohne Kommunikationsschnittstelle zum Hauptsystem generiert. Dadurch können Beziehungen zwischen Daten aus unterschiedlichen Systemen fehlen, wodurch die Datenqualität verringert wird.
Eine Datenanalyse kann zu einer effizienteren und qualitativ hochwertigeren Abschlussprüfung beitragen, sofern der Abschlussprüfer im Vorfeld klar definiert hat, welche Analysen er automatisiert durchführen lassen will und welche Daten er hierfür benötigt.
Auch bei einer automatisierten Datenanalyse muss der Abschlussprüfer das Ergebnis interpretieren und abschließend beurteilen. Die derzeit verfügbaren Softwarelösungen können eine abschließende Beurteilung nicht ersetzen.
Die Entwicklung geht allerdings dahin, Analyseprogramme mit Künstlicher Intelligenz auszustatten, um die Analyseergebnisse beurteilen und bei Auffälligkeiten Empfehlungen abgeben zu können.
Als Einstieg in die Datenanalyse eignen sich Journal Entry Tests (JET), bei welchen mindestens die Hauptbuchdaten einer Validierung unterzogen und auf Auffälligkeiten hin untersucht werden. Journal Entry Tests eignen sich daher auch zur Aufdeckung von Unregelmäßigkeiten. Für Journal Entry Tests sind bereits die GoBD-Daten ausreichend. Mögliche Prüfschritte sind:
- Analyse von Buchungs-, Beleg- und Erfassungsdatum
- Doppelte Buchungen oder Belegnummern
- Zeitreihenvergleich z. B. Umsatzerlöse zu Materialaufwand
- Manuelle Buchungen auf Sammelkonten bzw. Automatikkonten
Datenbeschaffung und Datenaufbereitung
Digitale Datenbeschaffung bedeutet, dass vom Abschlussprüfer benötigte Daten aus einem Buchhaltungs- oder ERP-System bzw. aus vorgelagerten Subsystemen in strukturierter Form exportiert werden.
Eine gute erste Quelle zur Beschaffung strukturierter Daten ist die GoBD-Schnittstelle des jeweiligen Buchhaltungs- oder ERP-Systems. Hierüber lassen sich eine Vielzahl (steuerlich) relevanter Daten des Systems in strukturierter Form exportieren und stehen für die digitale Weiterverwendung somit unmittelbar zur Verfügung.
Oftmals liegen Daten aus Subsystemen nur in unstrukturierter Form vor, da diese Systeme kaum in das Hauptsystem integriert sind oder mit diesem nicht kommunizieren. Diese Daten müssen vor ihrer digitalen Weiterverarbeitung erst aufbereitet werden (Datenaufbereitung). Besteht die Notwendigkeit, mit unstrukturierten Daten zu arbeiten, so können Softwaretools für Massendatenanalysen unterstützend angewendet werden.
Eine digitalisierte Prüfungsdurchführung ist ohne digitale Mandantendaten nicht möglich. Die Datenbeschaffung, vor allem strukturierter Daten, ist dabei stark vom Digitalisierungsgrad des Mandanten abhängig.
Wichtig ist zudem, die Daten nach dem Export und vor einer weiteren Verarbeitung nochmals zu verifizieren. Fehler in der Datenstruktur können leicht zu einer fehlerhaften Prüfung führen.
Datenschutz
Bei der Entwicklung einer Digitalisierungsstrategie muss auch der Datenschutz berücksichtigt werden. Hierzu sollten bei jedem Schritt folgende Überlegungen angestellt werden:
- Welche Daten werden verarbeitet?
- Wer darf Zugriff auf die Daten haben?
Auf Grund dieser Überlegungen muss ein Berechtigungskonzept erstellt werden, über welches entsprechende Zugriffsbeschränkungen geregelt werden. Dabei sind insbesondere die Zugriffe von Dritten zu regeln. So muss beim praxisinternen DMS sichergestellt werden, dass ein Betriebsprüfer nur Zugriff auf die steuerlich relevanten Daten der geprüften Mandanten erhält. Auf Datenaustauschplattformen darf Geschäftspartnern des Mandanten nur Zugriff auf z. B. die für sie bestimmten Saldenbestätigungen gewährt werden.
Zum Schutz der Daten vor einem unberechtigten Zugriff sollten über das Berechtigungskonzept hinaus weitere Sicherungsvorkehrungen implementiert werden. Diese können z. B. über einen Zugriffsschutz in Kombination mit einer Datenverschlüsselung realisiert werden. Für weitergehende Informationen hierzu verweisen wir auf die Internetseiten des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
HHinweise zur Einhaltung der Vorschriften der Datenschutzgrundverordnung (DSGVO) erhalten Sie in unserem DSGVO-Leitfaden und unter „Meine WPK“ im Bereich „Service > Webinare“. Dort steht Ihnen ein DWS Online-Seminar zum kostenfreien Abruf zur Verfügung.
E-Mail-Verschlüsselung
Die E-Mail-Verschlüsselung ist eine wesentliche Maßnahme für eine geschützte Kommunikation. Hierfür stehen verschiedene Verschlüsselungsformen zur Verfügung.
Am häufigsten wir eine Transportverschlüsselung (TSL-Verschlüsselung, früher SSL-Verschlüsselung) eingesetzt. Diese erfordert keine Aktionen von Sender oder Empfänger. Die Verschlüsselung erfolgt zwischen den E-Mail-Servern von Sender und Empfänger, also bei der Übermittlung durch das Internet. Voraussetzung ist, dass beide Server die TSL-Verschlüsselung unterstützen, ansonsten erfolgt die Übermittlung unverschlüsselt. Bei der TSL-Verschlüsselung ist ein unverschlüsselter Transport von den Endgeräten zu den Servern möglich. Dies führt z.B. zu einem Risiko beim Abrufen von E-Mails in einem öffentlichen Netzwerk.
Eine größere Sicherheit bietet eine End-to-End-Verschlüsselung. Hier erfolgen die Verschlüsselung und Entschlüsselung der E-Mails erst auf den Endgeräten von Sender und Empfänger. Um eine End-to-End-Verschlüsselung verwenden zu können, benötigen Sender und Empfänger eine Verschlüsselungssoftware, die auf den Endgeräten installiert sein muss. Eine Möglichkeit ist der Einsatz von De-Mail, welcher neben einer End-to-End-Verschlüsselung auch die Authentizität von Sender und Empfänger sicherstellen kann. Weiter Informationen zur De-Mail stehen auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Verfügung.
Expertensysteme
Expertensysteme (auch XPS) sind Computerlösungen, welche auf Grundlage einer Wissensdatenbank bei der Entscheidungsfindung unterstützen können. In der Regel werden von dem System über eine dialogbasierte Abfrage, die sog. Dialogkomponente, die für eine Beurteilung benötigten Informationen gesammelt und in der sog. Problemlösungskomponente des Programms analysiert. Diese Problemlösungskomponente greift im Rahmen ihrer Analyse auf die Informationen aus der Wissensdatenbank zurück. Die Auswertung des Systems wird dem Anwender dann wieder über die Dialogkomponente zur Verfügung gestellt.
Um die Aktualität von Expertensystemen zu gewährleisten, ist eine regelmäßige Erweiterung der Wissensdatenbank erforderlich.
Wissensdatenbanken werden in unterschiedlichen Systemen eingesetzt, unter anderem in Planungs- und Prognosetools.
Die Entwicklung Cloud-basierter Lösungen nimmt zu. Eine Cloud-Lösung ist dabei im Regelfall die Nutzung eines externen Rechenzentrums. Allerdings stehen hier verschiedene Servicemodelle zur Verfügung:
- IaaS (Infrastructure-as-a-Service) ist der klassische Rechenzentrumsbetrieb, bei dem Computerhardware-Ressourcen zur Verfügung gestellt werden und der Nutzer für den Betrieb der Anwendungsprogramme verantwortlich ist
- SaaS (Software-as-a-Service) stellt dem Nutzer neben der Hardware auch die Anwendungsprogramme zur Verfügung
Infrastruktur – Software
Die Digitalisierung einer WP/vBP-Praxis kann grundsätzlich prozessübergreifend (bspw. durch eine Komplettlösung) oder nur für einzelne Bereiche bzw. Aktivitäten (einzelne Softwareprodukte) erfolgen.
Die Digitalisierung einzelner Prozesse und der damit oft verbundene Einsatz einzelner Softwarelösungen führen allerdings zu einem höheren administrativen Aufwand. Zudem können Datenredundanzen zwischen den Anwendungen entstehen. Außerdem ist die Effizienzsteigerung durch eine fehlende prozessübergreifende Automatisierung begrenzt. Allerdings sind Änderungen in der Praxisorganisation und den bestehenden Prozessen geringer als bei Komplettlösungen.
Eine prozessübergreifende Digitalisierung dagegen vermeidet Medienbrüche und ermöglicht die automatisierte Datenweiterverarbeitung. So kann bspw. im Bereich der Abschlussprüfung der „rote Faden“ der Auftragsabwicklung systemseitig geführt werden.
Das folgende Schaubild zeigt beispielhaft anhand des Prüfungsprozesses, welche Softwarelösungen in den einzelnen Schritten eingesetzt werden können. Oftmals werden auch in einem Schritt mehrere Lösungen verwendet:
Künstliche Intelligenz
Künstliche Intelligenz (KI) oder auch Artificial Intelligence (AI) ist der Oberbegriff für Computer-Anwendungen und Methoden, welche sich mit der Automatisierung menschlichen intelligenten Verhaltens beschäftigen. Ziel ist die Entwicklung von Programmen, die eigenständig Entscheidungen in einem nichteindeutigen Umfeld treffen können.
Unterschieden wird zwischen schwacher und starker KI. Starke KI ist in der Lage, menschliches Verhalten zu imitieren. Es gibt aktuell aber keine Anzeichen, dass sich solche Systeme in absehbarer Zeit realisieren lassen. Relevanter ist daher derzeit die schwache KI. Diese Systeme sind in der Lage, innerhalb vorgegebener Rahmenbedingungen Analysen für konkrete Anwendungsfälle durchzuführen und aus den Ergebnissen zu „lernen“. Zum Anlernen werden in der Regel Übungsdaten genutzt, der Lernprozess kann dabei überwacht oder unüberwacht ablaufen.
Die in diesem Digitalisierungskompass vorgestellten Digitalisierungsmöglichkeiten setzen insbesondere Anwendungen und Methoden aus den Bereichen Machine Learning und Data Mining zum Erkennen von Anomalien sowie Expertensysteme ein.
Der Einsatz von KI-Anwendungen in der Abschlussprüfung erfordert eine besondere kritische Sorgfalt bei der Interpretation der Analyseergebnisse, da deren Entstehungsweg – insbesondere bei komplexen Systemen – oftmals nicht mehr nachvollzogen werden kann.
Machine Learning
Machine Learning bedeutet, dass ein System in der Lage ist, Muster und Gesetzmäßigkeiten in Testdaten zu erkennen und dieses Wissen auf reale Aufgaben anzuwenden. Lernt beispielsweise ein Buchhaltungssystem, dass bestimmte Sachverhalte stets auf bestimmte Konten gebucht werden, ermöglicht dieses Wissen ein automatisiertes Belegbuchen. Auch die Identifizierung von Spam E-Mails erfolgt auf der Grundlage maschinellen Lernens.
Das Machine Learning ist aktuell ein erfolgversprechendes Teilgebiet der Artificial Intelligence (AI), welche sich allgemein mit der Automatisierung menschlichen intelligenten Verhaltens beschäftigt.
Ziel des Machine Learning ist die Anwendung bekannter Muster und Gesetzmäßigkeiten bei der Datenverarbeitung. Abzugrenzen hiervon ist das Data-Mining, dessen Ziel es ist, in großen vornehmlich unstrukturierten Datenmengen (Big Data) neue Muster und Gesetzmäßigkeiten zu finden.
Predictive Analytics
Predictive Analytics ist ein Teilbereich des Data-Mining, geht aber über dieses hinaus, indem auch Methoden des Machine Learning eingesetzt werden. Predictive Analytics beschäftigt sich mit der Vorhersage künftiger Wahrscheinlichkeiten. Hierzu wird auf der Grundlage historischer Daten ein statistisches Modell erstellt, welches auf aktuelle Daten angewendet wird, um Vorhersagen zu treffen oder Handlungsempfehlungen zu geben. Das Modell ist dabei dynamisch, indem es durch die Analyse neuer Daten regelmäßig validiert und bei Veränderungen angepasst wird.
Predictive Analytics wird bspw. im Finanzsektor bei der Entwicklung von Kreditrisikomodellen oder im Energiesektor bei der Vorhersage des Strombedarfs eingesetzt. Auch in Planungs- und Analyseprogrammen steht zunehmend häufig Predictive Analytics zur Verfügung.
Process Mining
Process Mining ist eine Technik, die es ermöglicht, den tatsächlichen Ablauf von Geschäftsprozessen auf Grundlage ihrer digitalen Spuren in IT-Systemen zu rekonstruieren, zu visualisieren und zu analysieren. Hierzu werden die Datenströme eines Prozesses verfolgt, und mit dem Soll-Prozess abgeglichen. Process Mining stellt dabei ein Bindeglied zwischen Data-Mining und Business Process Management dar.
Beispiel:
Mit Process Mining können Ineffizienzen in Geschäftsprozessen aufgedeckt werden. Da sämtliche Datenströme in einem Unternehmen nachvollzogen werden, kommt die Technik aber auch bei Fraud-Prüfungen zum Einsatz, um beispielsweise auffällige Geschäftsvorfälle aufzudecken.
Szenarioanalyse
Ziel der Szenarioanalyse ist es, mögliche zukünftige Entwicklungen und Ihre Entstehung zu beschreiben und zu analysieren. Die Analysen basieren dabei schwerpunktmäßig nicht mehr auf Vergangenheitsdaten sondern auf zukünftigen Einflussfaktoren.
Die Hauptaufgabe der Szenarioanalyse besteht dabei in der Identifizierung dieser zukünftigen Einflussfaktoren. Hierbei kann Künstliche Intelligenz unterstützen, indem die vorhandenen „Big Data“ mit Hilfe von KI-Verfahren strukturiert und analysiert werden. Ergebnisse können damit schneller generiert und Unsicherheiten in den Auswertungen verringert werden.