Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
© PROJECT CONSULT
Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 2011 / Autorenrecht: Jan-17 / Quelle: PROJECT CONSULT 1
Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI Dipl. Inform Ralf Kaspras, VOI e.V. Update Information Management 2017 Dieses Werk ist urheberrechtlich geschützt. Die Verwertung, insbesondere die Vervielfältigung des Werks (auch in Teilen) ist nur mit schriftlicher Zustimmung erlaubt. Die Präsentation wird ausschließlich für die private, nicht kommerzielle Information bereit gestellt.
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
0
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
0
Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI Referent: Dipl. Inform Ralf Kaspras | VOI e.V. 1
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 1 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Verfahrensdokumentation + Zertifizierung
Verfahrensdokumentation? Erfahrung mit der Erstellung? Zertifizierung? Erfahrung mit Zertifizierung? Nutzen einer Zertifizierung?
2
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Verfahrensdokumentation – kurz beleuchtet: Begrifflichkeit und Entwicklung Kein genormter Begriff Erstmalige Konkretisierung durch die GoBS* zur Nachweisführung in DV-Systemen *Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme, BMF 1995, Verwaltungsvorschrift
Weiterentwicklung des Begriffs u.a. durch den Fachverband VOI e.V. Ausgangspunkt zur ganzheitlichen Nachweisführung in digitalen Dokumentenprozessen DV-Compliance Rahmenwerk „VOI PK-DML“* *Prüfkriterien für elektr. DMS- und Dokumentenprozesslösungen (1. Auflage 2000, 4. Auflage 2014)
Zunehmende Schlüsselrolle in der ganzheitlichen Nachweisführung von IT-Compliance …
3
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 2 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Aktuelles Beispiel für ein Erfordernis zur Führung einer Verfahrensdokumentation: Die BMF Verwaltungsvorschrift GoBD Für jedes DV-System muss eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse des DV-Verfahrens vollständig und schlüssig ersichtlich sind. Die Verfahrensdokumentation muss verständlich und damit für einen sachverständigen Dritten in angemessener Zeit nachprüfbar sein.“ (Absatz 151,GoBD) „Die Verfahrensdokumentation beschreibt den organisatorisch und technisch gewollten Prozess, z. B. bei elektronischen Dokumenten von der Entstehung der Informationen über die Indizierung, Verarbeitung und Speicherung, dem eindeutigen Wiederfinden und der maschinellen Auswertbarkeit, der Absicherung gegen Verlust und Verfälschung und der Reproduktion.“ (Absatz 152,GoBD) „Für den Zeitraum der Aufbewahrungsfrist muss gewährleistet und nachgewiesen sein, dass das in der Dokumentation beschriebene Verfahren dem in der Praxis eingesetzten Verfahren voll entspricht. [...] Die Verfahrensdokumentation ist bei Änderungen zu versionieren und eine nachvollziehbare Änderungshistorie vorzuhalten. […]Die Aufbewahrungsfrist für die Verfahrensdokumentation läuft nicht ab, soweit und solange die Aufbewahrungsfrist für die Unterlagen noch nicht abgelaufen ist, zu deren Verständnis sie erforderlich ist.“ (Absatz 154,GoBD) 4
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Veränderung von Beweiswerten durch Digitalisierung Physische Welt
Digitale Welt eindeutig
hoch
abgestimmt
5
Physische Individualmerkmale Manipulationssicherheit
Rechtssicherheit
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
keine
gering
oft unklar
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 3 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Veränderung der Risikosituation Veränderte Prozessdimensionen -> Auswirkung auf Schadenshöhe Neue Haftungsfragen Werteverlust Image-Verlust Prozessunsicherheit Existenzbedrohung ...
6
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Reaktion und Rahmenparameter Einführung geeigneter Methoden zur Absicherung, Beweisgestaltung und zum Nachweis des ordnungsgemäßen Handelns Technik alleine reicht nicht aus Erforderlich: Abgestimmtes System von geeigneten technischen und organisatorischen Maßnahmen Berücksichtigung eines fortlaufenden Anpassungsbedarfs aufgrund des schnellen Technologiewandels sowie die chronologisch lückenlose Nachvollziehbarkeit. Beherrschen komplexer Strukturen 7
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 4 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Rolle der Verfahrensdokumentation Darstellung des angemessenen Handelns Darstellung des abgestimmten Zusammenwirkens von technischen und organisatorischen Maßnahmen Chronologisch lückenloser Nachweis über sämtliche Veränderungen der Maßnahmen Festlegung eines geeigneten Verfahrens zur fortlaufenden Kontrolle (IKS Internes Kontrollsystem) Hilfsmittel für die Bewertung von Rechtssicherheit und Compliance
8
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
1. Fazit: Nutzen einer Verfahrensdokumentation Erfüllung rechtlicher Vorgaben Verringerung von Risiken durch verbesserte Rechtssicherheit Transparenter Compliance-Nachweis Verbesserung der geschäftlichen Abläufe Einführung eines neuen Steuerungs- und Nachweisprozesses, welcher dem fortlaufenden Wandel der Technologie angepasst ist. Optimierung der Geschäftsprozesse Wettbewerbsstärke, Kosteneffizienz ...
9
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 5 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Verfahrensdokumentation für welche Prozesse erforderlich? 1/2 Absicherung von digitalen Dokumentenprozessen Welche gibt es und welche Rechtsvorgaben sind zu berücksichtigen? Pflicht zur Verfahrensdokumentation und / oder Eigeninteresse? Nachweiszeiten berücksichtigen (z.B. Aufbewahrungsfristen nach §257 HGB, §147 AO usw.) Angemessenheit der Maßnahmen belegen (Verhältnismäßigkeit der Mittel) ...
10
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Verfahrensdokumentation für welche Prozesse erforderlich? 2/2
Buchhaltung
Vertrieb
Produktion
IT
SocialMedia
E-Mail
Organisatorische Systemlösung
Technische Systemlösung
11
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 6 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Verfahrensdokumentation nach den VOI PK-DML
12
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Zertifizierungen durch TÜViT und VOI CERT Unabhängigkeit vom Prüfauftraggeber „Prüf den Prüfer“- Prinzip durch voneinander rechtlich und wirtschaftlich unabhängige Instanzen Transparente Prüfverfahren und -regularien
Kooperation zwischen TÜViT und VOI e.V. seit 1999 auf Grundlage der VOI PK-DML Gemeinsame Weiterentwicklung der VOI Prüfkriterien PK-DML Aufteilung der Prüftätigkeit nach PK-DML
Geringe Auslegungsspielräume von Sachverhalten durch ineinander greifende Strukturen und die Hinterfragung der Kernkriterien: Ordnungsmäßigkeit Vollständigkeit Nachvollziehbarkeit Unveränderbarkeit Verfügbarkeit 13
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 7 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Unterscheidung von Audit- und Zertifizierungsarten
3
Signifikante Veränderungen
4 Zertifizierung
2
1
14
Nach Gültigkeitsablauf
24.01.2017| Zertifizierung von Verfahrensdokumentation
Stand der Voraussetzungen
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
VORGEHEN – VOM ANGEBOT ÜBER DAS AUDIT BIS ZUR ZERTIFIZIERUNG 1/3
Kontaktaufnahme des Kunden
15
Erstellung Angebot Vorgespräch
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
Beauftragung durch den Kunden
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 8 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
VORGEHEN – VOM ANGEBOT ÜBER DAS AUDIT BIS ZUR ZERTIFIZIERUNG 2/3
Bestellung des/der Auditors/en durch das VOI CERT
16
Einsichtnahme und Prüfung der Dokumentation durch den/die Auditor/en
ErgebnisWorkshop Vor-Ort-Audit
beim Kunden
beim Kunden
Ergebnisse Dokumentation plus Vor-Ort-Audit
Prüfung spezifischer – in der Regel für den Nachweis der Revisionssicherheit unabdingbarer – Kriterienpunkte
24.01.2017| Zertifizierung von Verfahrensdokumentation
Etwaige Befunde: Besprechung und Abstimmung weiteren Vorgehens
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
VORGEHEN – VOM ANGEBOT ÜBER DAS AUDIT BIS ZUR ZERTIFIZIERUNG 3/3
Anfertigen des AuditBerichts durch den leitenden Auditor mit Zertifizierungsempfehlung (positiv/negativ)
17
Ausstellung des Zertifikats Überstellung des Audit-Berichts
bei positivem Bescheid
an den Zertifizierungsauschuss
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 9 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
VOI Service GmbH – Bereich VOI CERT VOI CERT prüft und zertifiziert ComplianceSachverhalte rund um die Verarbeitung und Speicherung von elektronischen Dokumenten; u.a.: Systemlösungen auf Seite der Hersteller mit dem Prüfsiegel „PK-DML-ready“ Ersetzendes Scannen Speicherung und Archivierung Einsatz von ECM Softwarelösungen und Teillösungen Neu seit 2016: Zertifizierung von Verfahrensdokumentationen mit dem „Prüfsiegel PK-DMLVerfahrensdokumentation“
18
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
VOI CERT – Zertifizierung von Verfahrensdokumentation 1/2 Was geprüft und zertifiziert wird: Voraussetzung zur Führung einer revisionssicheren VD gemäß den VOI CERT Regularien ist gegeben Zustand der VD am Tag der Prüfung Was NICHT geprüft und zertifiziert wird: Inhaltliche Korrektheit von fachlichen Prozessen des Prüfauftraggebers Einhaltung und Vollständigkeit von gesetzlichen Anforderungen Einhaltung von Leistungsversprechen des Prüfauftraggebers 19
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 10 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
VOI CERT – Zertifizierung von Verfahrensdokumentation 2/2 Grundsätzlich: Struktureller Aufbau nach VOI PK-DML Gestaltung der fortlaufenden Aktualisierung und der Nachvollziehbarkeit von Änderungen Gestaltung des internen Kontrollsystems (IKS auf die VD-bezogen) Hersteller-bezogen (VD-Ready): Vorqualifizierte VD-Module und Textbauteile, die Hersteller und Lösungsanbieter VOI PKDML-gerecht ihren Kunden mitliefern Konkrete Systemlösung im Anwendereinsatz: Stimmigkeit sowie praktische Umsetzung
20
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Zertifizierung durch TÜViT, TÜV Nord Group Vollständige Systemlösungen (DMS, Archiv, ECM u.a.) für digitale Dokumentenprozesse auf der Basis der VOI PK-DML Stimmigkeit zwischen Beschreibung und praktischer Systemlösung in revisionskritischen Sachverhalten Unterteilung in ein theoretische und in eine praktische Prüfung Verfahrensdokumentation als Ausgangspunkt für die Erstellung des praktischen Prüfszenarios Praktische Vorort-Prüfung Gesamtlösung inklusive Verfahrensdokumentation zertifiziert
21
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 11 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
2. Fazit: Nutzen einer „zertifizierten“ Verfahrensdokumentation Steigerung des Beweiswertes durch unabhängige Expertenbegutachtung Verringerung von Risiken durch verbesserte Rechtssicherheit Stimmigkeit des Compliance-Nachweises durch unabhängige Experten geprüft Verbesserung der geschäftlichen Abläufe Einführung eines neuen Steuerungs- und Nachweisprozesses, welcher dem fortlaufenden Wandel der Technologie angepasst ist Optimierung der Geschäftsprozesse Wettbewerbsstärke, Kosteneffizienz ... Verringerung des Risikos „Grobe Fahrlässigkeit“ 22
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Vielen Dank für Ihr Interesse und Aufmerksamkeit !
23
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 12 23.01.2017
Update Information Management 2017 Dipl. Inf. Ralf Kaspras Zertifizierung von Verfahrensdokumentationen durch TÜViT und VOI
Quell- und Copyright-Vermerke 1. Bilder, Grafiken und Fotos (nach Folienummern) VOI e.V. (Bonn): 0,11,12,13,14,15,16,18 und Folienlayout TÜViT (Essen): 20 PresenterMedia (www.presentermedia.com, Januar 2017): 1,2,4,5,6,7,8,9,17,21,22 Ralf Kaspras (Quickborn, S-H/Pi): 10
2. Inhalte (nach Foliennummern) VOI e.V. (Bonn): 3,14,15,16 Ralf Kaspras (Quickborn, S-H/Pi): 0,1,2,4,5,6,7,8,9,10,11,12,17,18,19,20,21,22,23,24
3. Copyright und Nutzung Die Folien werden den Teilnehmern der Veranstaltung „Update Information Management 2017“ der Project Consult Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH (Hamburg) zur persönlichen Verwendung zur Verfügung gestellt. Jegliche kommerzielle Verwertung der Inhalte und Teilen davon, Bilder, Grafiken und Fotos bedarf ausdrücklich und im Einzelfall der schriftlichen Genehmigung der hier genannten, jeweiligen Rechteinhaber.
24
24.01.2017| Zertifizierung von Verfahrensdokumentation
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Ihr Ansprechpartner
Dipl. Inform. Ralf Kaspras Leiter VOI CERT Zertifizierungsausschuss +49 (0) 172 4512733
[email protected]
25
24.01.2017| Zertifizierung von Verfahrensdokumentation
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
© 2017 VOI e.V. / Dipl. Inform Ralf Kaspras
Postfach 20 25 55 20218 Hamburg
www.PROJECT-CONSULT.com © PROJECT CONSULT 2017
Seite 13 23.01.2017
