Analyse und Konfiguration betrieblicher Abläufe unter Revisionsaspekten

Johann Wolfgang Goethe-Universität Frankfurt am Main

Fachbereich Wirtschaftswissenschaften

Disputationsvortrag am 2. August 1999 - 1 -

Analyse und Konfiguration betrieblicher Abläufe unter Revisionsaspekten

Diplom-WirtschaftsinformatikerCertified Information Systems Auditor

Mathias Philipp

Institut für WirtschaftsinformatikFachbereich WirtschaftswissenschaftenJohann Wolfgang Goethe-Universität

Frankfurt a.M.

Erstgutachter: Professor Dr. Gerriet MüllerZweitgutachter: Professor Dr. Andreas Oberweis




Vortragsaufbau

A. Grundlagen

1. Forschungsgegenstand und Begriffe

2. Problemstellung und Zielsetzung

3. Verwendete KI-Methoden

4. Rechnungslegungsrelevante betriebliche Abläufe

B. Methodischer Ansatz

1. Ergebnisorientierte Anforderungen

2. Erweiterung um ablauforientierte Anforderungen

3. Erweiterung um Unsicherheit

C. Diskussion

Ergebnisse der Arbeit




A.1 Forschungsgegenstand

Künstliche Intelligenz

Wirtschafts-informatik

Revision

Forschungs-gegenstand

Informationssystemgestützte betriebliche Abläufe




• Ablaufanalyse:- Aufgabenzerlegung - Abhängigkeiten zwischen Arbeitsschritten- Alternative Arbeitsschrittfolgen=> Ursache-Wirkungs-Beziehungen => Gründe für Ursache-Wirkungs-Beziehungen

• Ablaufkonfiguration:Generierung und Adaptation von Arbeitsschrittfolgen => Aktionsnetze

• Ablaufprüfung:- Analyse der Arbeitsschrittfolgen=> Externe Anforderungen

A.1 Begriffe




A.2 Problemstellung und Zielsetzung

• Integration von Spezialisten-Welten- Verschiedene Spezialisten- Verschiedene Wissenswelten

• Flexibilisierung der Gestaltung von Abläufen- Schnelle Reaktion auf Änderungen- Verkürzung der Innovationszyklen von Produkten u. Normen- Verkürzung der Lebenszyklusphasen von Abläufen

• Wissensmanagement des Wissens über Abläufe- Speicherung- Weiterverarbeitung für Planung, Realisierung und Kontrolle

• Am Beispiel- betrieblicher Spezialist und externer Spezialist (Revisor)- rechnungslegungsrelevante betriebliche Abläufe




Expansion

S4:Ware_EntnehmenS1:Bedarf_Melden

S2:Ware_Abrufen

S3:Ware_Annehmen

S4:Ware_EntnehmenS3:Ware_AnnehmenS1:Bedarf_Melden S2:Ware_Abrufen

S4:Ware_EntnehmenS3:Ware_Annehmen S2:Ware_AbrufenS1:Bedarf_Melden

Linearer Handlungsplan

Nicht-linearer Handlungsplan

A.3 Verwendete KI-Methode





S2:Ware_Abrufen

S3:Ware_AnnehmenSi

Q Sj

Menge aller Erzeuger-Verbraucher-Abhängigkeiten bzgl. Merkmal Q; Si

Q Sj

S Menge aller Schritte Si

Schritt

C Menge der Ordnungs-Constraints mit Begründung G (Halbordnung)

C = {S1<S3[G1]; S1<S2[G2]; S1<S4[G3]; S3<S4[G4]; S2<S4[G5]}

P(S, C, L)

L

Formalismus:Nicht-linearer Handlungsplan P(S, C, L)





S2:Ware_Abrufen

S3:Ware_AnnehmenSi

Q Sj

Menge aller Erzeuger-Verbraucher-Abhängigkeiten bzgl. Merkmal Q; Si

Q Sj

S Menge aller Schritte Si

C Menge der Ordnungs-Constraints mit Begründung G (Halbordnung)

C = {S1<S3[G1]; S1<S2[G2]; S1<S4[G3]; S3<S4[G4]; S2<S4[G5]}

P(S, C, L)

L

S3:Ware_AnnehmenS2:Ware_Abrufen {S2<S3[Kontrolle]}C’ = C

Formalismus:Nicht-linearer Handlungsplan P(S, C, L) Schritt




Aufbau eines Schrittes

Si : Name

Schritt = Instanz einer Aktion A

Name ADD

DELPRE

SchrittADD AdditionslisteDEL LöschlistePRE VorbedingungenVariablen-Constraints

AktionenBE Bestellung_ErfassenWA WarenausgangRV Rechnung_Versenden




S

a, b, c,d, e, f,g, h

b, c,e, g

RV a, f,h

BEb, c,d, e

WAg

b, c,d


Name ADD

DELPRE

SchrittADD AdditionslisteDEL LöschlistePRE VorbedingungenVariablen-Constraints

Zielzustand

StartzustandS0

S

Aufbau eines Schrittes

Si : Name




A.4 Rechnungslegungsrelevante betriebliche Abläufe:

Bundesministerium der Finanzen 7.11.95, AO-Kartei, (GoBS 1995):„In einem DV-gestützten Buchführungssystem sind auch solche Prozesse zu berücksichtigen, in denen außerhalb des eigentlichen Buchhaltungsbereiches buchführungsrelevante Daten erfaßt, erzeugt, bearbeitet und/oder übermittelt werden.“

Scannen

Dokumenten-ManagementWorkflow

EDI, Internet

elektronische Archivierung




gewährleistenEinhaltung


Fachliche Stellungnahmen GoBS, FAMA, ...

definierenAnforderungen

werden abgebildet enthält

unterliegen

werden präzisiert

Handels- u. Steuerrecht GoB


fordern

Internes KontrollsystemVerfahrensdokumentationAufbewahrungspflichten

Ordnungsmäßigkeitskriterien

definieren

OrdnungsmäßigeAnwendung des

Verfahrens

Nachvollziehbarkeitdes

Geschäftsvorfalls

Nachvollziehbarkeitdes

Verfahrens

rechnungslegungsrelevanterbetrieblicher Ablauf

Geschäftsvorfällei.S.v. § 238 HGB

ergebnisorientierte und

ablauforientierte Anforderungen




“Unabhängig von der Art der Erfüllung der Belegfunktion müssen zum Buchungsvorgang die folgenden Inhalte belegt werden:

— hinreichende Erläuterung des Vorganges, — zu buchender Betrag oder Mengen- und Wertangaben, aus denen sich der zu buchende Betrag ergibt, — Zeitpunkt des Vorganges (Bestimmung der Buchungsperiode), — Bestätigung des Vorganges (Autorisation durch den Buchführungspflichtigen).”

Ergebnisorientierte Anforderungen an betriebliche Abläufe

z.B. Belegfunktion zu einem Geschäftsvorfall (GoBS Tz. 2.2.5):

(i)

(iv)(iii

)

(ii)




Integration eines Internen Kontrollsystems in betriebliche Abläufe=>

betrieblicher Ablauf = “Vermaschtes Netz aus

Bearbeitungs- und Kontrolltätigkeiten” (Leffson 1992)

Ablauforientierte Anforderungen an betriebliche Abläufe

- GoBS 1995, Tz. 4: “Internes Kontrollsystem”- FG 1/1988, Kap. D: “Grundsätze für die Prüfungsdurchführung”- ISA 400: International Standards on Auditing- SAS 55+78: Statements on Auditing Standards (USA)

Nationale und internationale Normen:




Vortragsaufbau

A. Grundlagen

1. Forschungsgegenstand und Problemstellung

2. Zielsetzung und Begriffe





2. Erweiterung um ablauforientierte Anforderungen


C. Diskussion






Betrieblicher Plan P(S, C, L)

Integration ergebnisorientierter Anforderungen: P’

Erweiterung um ablauforientierte Anforderungen: P’’

Erweiterung um Unsicherheit: P’’’

Mittels SPA

Prüfung+

Sukzessive Plan-

adaptationen+

Wissens-integration





A. Systematic Plan Adaptor (SPA)

1. Generierung von Handlungsplänen: Input: Startzustand, Zielzustand, Aktionenmenge Output: Menge von zulässigen nicht-linearen Schrittfolgen

2. Adaptation von Handlungsplänen Input: nicht-lineare Schrittfolge P(S,L,C),

Änderungen in S, L, C, Output: Menge von adaptierten nicht-linearen Schrittfolgen

S




B. Wissensmanagement

3. Speicherung: Wissen über P(S,L,C) in den Mengen S,L,C gespeichert => Wissensbasis

4. Weiterverarbeitung: “Reasoning about actions and plans” => Nachvollziehbarkeit u. Beweisbarkeit (z.B. Losrückverfolgung) Begründbarkeit von Schrittfolgen Begründbarkeit von Abhängigkeiten => automatisierte Prüfbarkeit Mengen S, L, C als Prüfungsobjekt





Integration ergebnisorientierter Anforderungen: P’(S,C,L)

Erweiterung um ablauforientierte Anforderungen

Erweiterung um Unsicherheit

Planadaptation durch Zielrevision mit SPA

S




Ansatzpunkt:

Methoden zur Behandlung von Unsicherheit zur Planungszeit

• Zielrevision (Hammond 1986)

=> Unsicherheit im Zielsystem

- Löschen von Zielen

- Hinzufügen von Zielen

- Verfeinern von Zielen




Zielrevision Untersuchte Konzepte SPA-Umsetzung

1. Löschen Widersprüche im Zielsystem.Herstellen eines konsistentenPlanungsproblems

=> Plandefekte=> SPA sucht alternative Aktionen

2. Hinzufügen Positive und negative Merkmale Erzeuger / Zerstörer einplanen=> Planadaptation

Kuppelmerkmale Erzeuger-Nutzer-Constraints einfügen=> Planadaptation

Gebrauchsmerkmale Erzeuger-Nutzer-Constraints einfügen=>Planadaptation

Verbrauchsmerkmale Aktion + Constraints einfügen=> Konflikt=> Planadaptation

Fehlendes Merkmal Aktion + Constraints einfügen=> Planadaptation

Bestandsmerkmale Folgepläne

3. Verfeinern Zieloperationalisierung oder-neuformulierung

Ersatzziele

Zielverfeinerung zurKonfliktauflösung

Zielspezifizierung

Mit SPA umgesetzte Konzepte














Ersatzziele


Zielspezifizierung

1. Beispiel: Übergang Belegfunktion zur Urkunden-funktion bei EDI-Rechnungen

2. Beispiel: Zielkonflikt HGB und BDSG





Beispiel 1: Anerkennung von VSt bei EDI-Rechnungen

1. § 257 (3) 1 HGB: Belegfunktion

=> inhaltliche Wiedergabe (Datensatz) genügt

i.V.m. FAMA 1/1995

=> EDI-Format ausreichend

2. Abschn. 185 UStR i.V.m. § 14 (1) 2 UStG: Urkundenfunktion (Datenfernübertragungserlaß):

- Jede Rechnung ausdrucken + Unterschrift

- Sammelrechnung + Unterschrift

- Protokoll der übertragenen Dateiinhalte + Unterschrift

=> Urkunde(n) versenden




Handelsrechtlich: Merkmals- Umsatzsteuerrechtlich:

Anforderung Zielmerkmal bezeichnung Zielmerkmal Anforderung

(i) a Absender a Nr. 1

(i) b Empfänger b Nr. 2

(i) c Waren_Bezeichnung c Nr. 3

(ii) d Liefer_Menge d Nr. 3

(ii) e Liefer_Preis e Nr. 5

(ii) f MwSt f Nr. 6

(iii) g Liefer_Datum g Nr. 4

(iv) h Freigabe -

- Urkunde i Nr. 7

1. §257(3) HGB: Belegfunktion 2. Abschn.185 UStR i.V.m §14 UStG: Urkundenfunktion

S = „i“ hinzufügen

Beispiel 1: Anerkennung von VSt bei EDI-Rechnungen




S


b, c,e, g

RV a, f,h

BEb, c,d, e

WAg

b, c,d

H

1. Zielrevision des handelsrechtlichen Zielsystems2. Hinzufügen des steuerrechtlichen Ziels i 3. Adaptation von P(Belegfunktion) zu P(Urkundenfunktion)

1.

US

2. Ziel hinzufügen

, i





b, c,e, g

RV a, f,h

BEb, c,d, e

WAg

b, c,d

S


HUS

, i

a, b,c, d,e, f,h

PPE

P

i UAktionenBE Bestellung_ErfassenWA WarenausgangRV Rechnung_VersendenU UnterschreibenPE Protokoll_Erstellen





b, c,e, g

RV a, f,h

BEb, c,d, e

WAg

b, c,d

S


HUS

, i

a, b,c, d,e, f,h

PPEAktionenBE Bestellung_ErfassenWA WarenausgangRV Rechnung_VersendenU UnterschreibenPE Protokoll_Erstellen

P

i U





b, c,e, g

RV a, f,h

BEb, c,d, e

WAg

b, c,d

S


HUS

, i

AktionenBE Bestellung_ErfassenWA WarenausgangRV Rechnung_VersendenU UnterschreibenPE Protokoll_Erstellen

P

i U

a, b,c, d,e, f,h

PPE















Ersatzziele


Zielspezifizierung

1. Beispiel: Übergang Belegfunktion zur Urkunden-funktion bei EDI-Ausgangsrechnungen

2. Beispiel: Zielkonflikt HGB und BDSG





2. Beispiel: Zielverfeinerung zur Konfliktauflösung

Problem bei WORM-Archivierung: (write once read many)

* § 239(3) HGB: verlangt Unveränderlichkeit (elektronisches Radieren) => WORM stellt dies sicher

* § 35(2) BDSG: verlangt Löschbarkeit personenbezogener Daten => WORM macht dies unmöglich

Lösung durch Zielverfeinerung beim BDSG-Ziel:

Löschen = Ändern

Zielwiderspruch: Handelsrecht und Bundesdatenschutzgesetz

Logisches Löschen im Datensatz

Physisches Löschen

Sperren im Index




L

SB

L

SH




L

SB

S

SB’

L

SH

S: LS

Verfeinerung




L

SB

S

SB’

L

SH

S: LS

L

SH

Verfeinerung




Entwurf:function AuditLoop

function AuditLoop(AuditFrontier): List of adapted plans, List of good plans, List of not adaptable plans

1 AdapPlans := GoodPlans := NotAdapPlans := empty2 loop until AuditFrontier is empty3 R := [externalGoal]4 P(I,Z,A,E) := Select a Plan from AuditFrontier5 tag all external goals of P with R6 Delete P from AuditFrontier7 B- := Z \ E

8 If E B- then ;Zielkonformität9 add P to GoodPlans

10 If E B- then ;Hinzufügen von Zielen11 P’ := AdaptationLoop(P(I,Z,A)) ;SPA-Function12 if P’ = failure then add P(I,Z,A,E) to NotAdapPlans13 else add all elements of P’ to AdapPlans

14 for all P(I,Z,A,E) NotAdapPlans do ;Zielverfeinerung15 B := reconstruct initial B from Z,E,B-

16 E’ := goal operationalization of E17 B-’ := a copy of B17 for all b B-’ do18 if b E then19 delete b from B-’

20 for all reasons Ri=[Si

b

S] do21 try to expose Ri

22 RetractRefinement((P,UP));SPA-Function23 Z := B-’ E’24 P’ := AdaptationLoop(P(I,Z,A)) ;SPA-Function25 if P’ = failure then add P(I,Z,A,E) to NotAdapPlans26 else add all elements of P’ to AdapPlans

27 return AdapPlans, GoodPlans, NotAdapPlans






Erweiterung um ablauforientierte Anforderungen: P’’(S,C,L)

Erweiterung um Unsicherheit

S

Integration eines Internen Kontrollsystemsunter Sicherheit zur Ausführungszeit

A, C




C

A

C

IKS unter Sicherheit zur Ausführungszeit

Mit SPA umgesetzte Konzepte:

A

Konzept Umsetzung Beispiel

1. UnzulässigeAktionen

Aus Menge der Aktionen A streichen=> Plandefekte=> SPA sucht alternative Aktionen

SAP R/2: A = Tabelle STCunzulässig: TS10-TS12, TM38 (keinBeleg), alternativ: TM10-TM12, -/-

2. UnzulässigeAktionsfolgen

Erweiterung der Constraintmenge umzusätzliche logische Bedingungen=> Herausschneiden von Teilplänenc = (Au1 < ... < Auj)=> evtl. Plandefekte + Planadaptationen

JIT-Beispiel:c= (W_Annehmen < W_Abrufen)

3.ObligatorischeAktionsfolgen

Erweiterung der Constraintmenge umz = (Au1 < ... < Auj) + Aktionen hinzuplanen+ Halbordnung herstellen

Unterschriftenregelungen

4. UnzulässigeVariablen-kombinationen

Erweiterung der Variablen-Constraints=> Plandefekte und Planadaptation

Vier-Augen-Prinzip:Sachb.Bestellung Sachb.Zahlung

5. UnzulässigeAktions-kombinationen

Trennung von Abläufen=> sich gegenseitig ausschließendeAktionenmengen je Ablauf=> Aktionen entfernen wie oben

schärfer als 4-Augen-Prinzip:

Informeller Informationsfluß,Insidergeschäfte

C




Mit SPA umgesetzte Konzepte:Konzept Umsetzung Beispiel

1. UnzulässigeAktionen

Aus Menge der Aktionen A streichen=> Plandefekte=> SPA sucht alternative Aktionen

SAP R/2: A = Tabelle STCunzulässig: TS10-TS12, TM38 (keinBeleg), alternativ: TM10-TM12, -/-

2. UnzulässigeAktionsfolgen

Erweiterung der Constraintmenge umzusätzliche logische Bedingungen=> Herausschneiden von Teilplänenc = (Au1 < ... < Auj)=> evtl. Plandefekte + Planadaptationen

JIT-Beispiel:c= (W_Annehmen < W_Abrufen)

3.ObligatorischeAktionsfolgen

Erweiterung der Constraintmenge umz = (Au1 < ... < Auj) + Aktionen hinzuplanen+ Halbordnung herstellen

Unterschriftenregelungen

4. UnzulässigeVariablen-kombinationen

Erweiterung der Variablen-Constraints=> Plandefekte und Planadaptation

Vier-Augen-Prinzip:Sachb.Bestellung Sachb.Zahlung

5. UnzulässigeAktions-kombinationen

Trennung von Abläufen=> sich gegenseitig ausschließendeAktionenmengen je Ablauf=> Aktionen entfernen wie oben

schärfer als 4-Augen-Prinzip:

Informeller Informationsfluß,Insidergeschäfte

3. Beispiel: Warenabruf

IKS unter Sicherheit zur Ausführungszeit

C




3. Beispiel: Unzulässige Aktionsfolgen

Erweiterung der Constraint-Menge C um zusätzliche logische Bedingung:Erweiterung der Constraint-Menge C um zusätzliche logische Bedingung:

Expansion


S2:Ware_Abrufen

S3:Ware_Annehmen

S4:Ware_EntnehmenS3:Ware_AnnehmenS1:Bedarf_Melden S2:Ware_Abrufen

S4:Ware_EntnehmenS3:Ware_Annehmen S2:Ware_AbrufenS1:Bedarf_Melden

{ not(S3<S2[Kontrolle]) ) }C’ = C




Zusätzliche logische

Bedingung:

S5 S6 S4

nicht-linearer Teilplan P’

Expansion von P’

S0 S1

S4

S5 S7 S

S6

S

S4 S5 S6

S4 S6 S5

S5 S4 S6

S6 S5 S4

S1S6 S4 S5

S7S0

c = (S4 < S6)






Erweiterung um ablauforientierte Anforderungen: P’’(S,C,L)

Erweiterung um Unsicherheit: P’’’(S,C,L)

S

A, C

Internes Kontrollsystem bei Unsicherheit zur Ausführungszeit

S, A, P




Konzept Umsetzung Beispiel / Ergebnis

1. Einführung vonKontrollzielen

- Hinzufügen von Zielen=> Ergebnisorientierte Zielrevision + Planadaptation

- Nachweis der Durchführung von Kontrollhandlungen (GoBS Tz.2)- Bsp.: „linke Unterschrift“

2. RegelkreisBearbeitungs- u.Kontrollaktion

Erweiterung der Aktionsmenge um- kontrollierte Aktionen und- Kontrollaktionen=> Planadaptation

- Selbstkontrolle- Fremdkontrolle

3. Vergleichs-objekte

- Parallele u. serielle Kontrolle

- Redundante Kontrolle- Redundanzfreie Kontrolle- Plausibilitätskontrolle

- Parallel besser als seriell- Doppelte Ausführung erfordert wenig Planungsaufwand- Redundanz teuer

- Plausibilität erfordert Wissen

4. Kontrollpunkte - Vollkontrolle- Ergebniskontrolle- Distanzkontrolle- Reversibilitätskontrolle

- Vollkontrolle teuer- bei geringem inhärentem Risiko- Problematisch bei nicht-lin. Plänen- z.B. Urbelegsvernichtung

IKS unter Unsicherheit zur Ausführungszeit


S

A

P

P




Konzept Umsetzung Beispiel / Ergebnis

1. Einführung vonKontrollzielen

- Hinzufügen von Zielen=> Ergebnisorientierte Zielrevision + Planadaptation

- Nachweis der Durchführung von Kontrollhandlungen (GoBS Tz.2)- Bsp.: „linke Unterschrift“

2. RegelkreisBearbeitungs- u.Kontrollaktion

Erweiterung der Aktionsmenge um- kontrollierte Aktionen und- Kontrollaktionen=> Planadaptation

- Selbstkontrolle- Fremdkontrolle

3. Vergleichs-objekte

- Parallele u. serielle Kontrolle

- Redundante Kontrolle- Redundanzfreie Kontrolle- Plausibilitätskontrolle

- Parallel besser als seriell- Doppelte Ausführung erfordert wenig Planungsaufwand- Redundanz teuer

- Plausibilität erfordert Wissen

4. Kontrollpunkte - Vollkontrolle- Ergebniskontrolle- Distanzkontrolle- Reversibilitätskontrolle

- Vollkontrolle teuer- bei geringem inhärentem Risiko- Problematisch bei nicht-lin. Plänen- z.B. Urbelegsvernichtung

IKS unter Unsicherheit zur Ausführungszeit


A




A ADD

PRE DEL

AK Z.A

PRE

AK+ ADD

PRE DEL

Z.A

A.ADD

Check_A

A.DEL

A.ADD, A.DEL

Check_A

A.Z

Vorzustand Bearbeitung Kontrollekontrollierter

Bearbeitungszustand

kontrollierte Aktion A*

AK

A ADD

PRE DEL

AK

PRE

AK+ ADD

PRE DELA.ADD

Check_A

A.DEL

A.ADD, A.DEL

Check_A

ADDSTOP




Vortragsaufbau

A. Grundlagen

1. Forschungsgegenstand und Problemstellung

2. Zielsetzung und Begriffe





2. Ablauforientierte Anforderungen


C. Diskussion





C “Zielrevision”

• Integration von Spezialisten-Welten

• Wissensmanagement des Wissens über Abläufe

• Flexibilisierung der Gestaltung von Abläufen

• Am Beispiel betrieblicher Abläufe




Ergebnisse

• Prüfung als immanenter Bestandteil der Analyse und Konfiguration betrieblicher Abläufe => “proaktive Prüfung”

• Inkrementeller Ansatz zur Analyse, Konfiguration und Prüfung betrieblicher Abläufe

• Integration von ergebnis- und ablauforientierten Wissenswelten

• Konforme Berücksichtigung des Internal-Control-Gedankens

• Erweiterung um Unsicherheitsaspekte

Analyse und Konfiguration betrieblicher Abläufe unter Revisionsaspekten

Documents

Transcript of Analyse und Konfiguration betrieblicher Abläufe unter Revisionsaspekten