Mit einer Verfahrensdokumentation sollen die Unternehmen ihre Abläufe und Prozesse dokumentieren, damit sie für einen sachverständigen Dritten verständlich und nachprüfbar sind. Die Forderung nach einer Verfahrensdokumentation ist vor allem in den GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) verankert. Was sich in der Theorie einfach anhört, stellt die Unternehmen in der Praxis vor so manche Herausforderung. Vor allem, wenn es um die Struktur und die Inhalte geht.
Wir haben Martin Lamm, Geschäftsführer der Crowe Kleeberg IT Audit GmbH, zu diesem Thema interviewt. Wir gehen unter anderem der Frage nach, ob man die Verfahrensdokumentation nur schreibt, um der gesetzlichen Verpflichtung nachzukommen, oder ob man sogar einen eigenen Nutzen daraus zieht. Außerdem klären wir die Frage, warum das interne Kontrollsystem immer wichtiger wird.
Wie gehen die Unternehmen mit dem Thema Verfahrensdokumentation um?
Lamm: Viele Unternehmen behandeln die Verfahrensdokumentation stiefmütterlich. Ich schätze, dass weniger als die Hälfte der Unternehmen über angemessene Dokumentationen ihrer Abläufe verfügt. Dabei kennen die Unternehmen die Notwendigkeit und wissen, dass sie hier eine große Baustelle haben. Oftmals fehlen die Ressourcen, um ein solches Projekt zu beginnen oder fortzuführen. Auch fehlt es an der nötigen Motivation. Eine Verfahrensdokumentation zu schreiben, ist verständlicherweise eine mitunter langwierige und lästige Angelegenheit. Sobald die Unternehmen erkennen, dass sie mit einer Dokumentation nicht nur Ihrer Pflicht nachkommen, sondern Chancen nutzen, sorgt das für neue Impulse.
Welche Pflichten erfüllt man mit einer Verfahrensdokumentation?
Lamm: Es geht darum, dass die handels- und steuerrechtlichen Prozesse im Unternehmen nachvollziehbar sind. Mit einer Verfahrensdokumentation wird erreicht, dass die Abläufe verbindlich und verständlich sind. Die Anforderungen an eine solche Verfahrensdokumentation wurden schon vor 20 Jahren vom Institut der Wirtschaftsprüfer (im IDW RS FAIT 1) formuliert. Seitdem hat sich der Begriff gehalten und wurde von der Finanzverwaltung auch in den aktuellen GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff; BMF-Schreiben vom 28.11.2019) verwendet. Zu dokumentieren ist demnach der organisatorisch und technisch gewollte Prozess, der es vor allem den Betriebsprüfenden ermöglichen soll, den Prozess aus steuerlicher Sicht zu verstehen und zu beurteilen.
Welche Rolle spielen Verfahrensdokumentation in Betriebsprüfungen?
Lamm: Wir stellen immer häufiger fest, dass Verfahrensdokumentationen im Rahmen von Betriebsprüfungen angefordert werden. Es gibt Betriebsprüfende, die in der Prüfungsanordnung nur ein Häkchen im Feld „Verfahrensdokumentation“ machen, ohne den Prozess zu spezifizieren, um den es gehen soll. Andere wiederum stellen sehr konkrete Fragen zu einem bestimmten Prozess, z.B. der Kassenbuchführung, für deren Beantwortung ein tiefes Prozessverständnis notwendig ist. Wenn man sich erst zu diesem Zeitpunkt Gedanken zum Prozess macht, ist es zu spät. Betriebsprüfungen fokussieren sich auf zurückliegende Jahre. Ohne Dokumentation ist das Wissen hierüber oft verloren gegangen. In letzter Zeit interessieren sich die Betriebsprüfenden auch vermehrt für das interne Kontrollsystem im Unternehmen. Aber dazu später mehr.
Sie sprachen von den Chancen einer Verfahrensdokumentation. Welche sind das?
Lamm: Mal losgelöst von dem Begriff der Verfahrensdokumentation sollte ein Unternehmen seine Abläufe kennen. Erst damit ist es in der Lage, Prozessschwachstellen zu identifizieren und die Prozesse auch nachhaltig zu verbessern. Und zu einer Verbesserung gehören Digitalisierung und Automatisierung. Vielfach haben sich die Prozesse im Unternehmen über die Jahre hinweg etabliert. Da gibt es Verfahren, die immer schon so gemacht und gar nicht mehr hinterfragt werden. Es gibt auch die sogenannten Workarounds, das sind Abweichungen vom gewollten Prozess, die mitunter Risiken für das Unternehmen darstellen können. Mit einer Dokumentation der Prozesse liegt eine verbindliche Basis zugrunde, anhand derer man den Ist-Stand erkennt und mit Verbesserungen ansetzen kann. Eine Verfahrensdokumentation kann auch neuen Mitarbeitern helfen, sich schneller in die Arbeitsabläufe einzufinden.
Gibt es konkrete Vorgaben für Struktur und Umfang einer Verfahrensdokumentation?
Lamm: Die GoBD geben hier lediglich Eckpunkte vor. Danach besteht die Verfahrensdokumentation in der Regel aus einer allgemeinen Beschreibung, einer Anwenderdokumentation, einer technischen Systemdokumentation und einer Betriebsdokumentation. Der Umfang soll sich nach der Komplexität des beschriebenen Verfahrens richten.
Diese Rahmenbedingungen bedeuten, dass die Unternehmen im Aufbau der Verfahrensdokumentation frei sind. Wir sagen immer, dass das Unternehmen sich mit seiner Verfahrensdokumentation wohlfühlen muss. Es geht letztlich darum, die wesentlichen Prozesse sowohl aus Anwendersicht als auch aus technischer Sicht zu beschreiben. Also einerseits die Tätigkeiten, die man beobachten kann, die die Mitarbeitenden täglich ausführen, wie z.B. die Verarbeitung von Eingangsrechnungen, die Bedienung der Kasse, das Erfassen von Wareneingängen.
Andererseits liegt ein großer Teil der Prozessabläufe in der heutigen digitalen Welt „unter der Haube“, also in den IT-Systemen der Unternehmen, und sind nicht mehr so einfach beobachtbar. Dies begründet im Wesentlichen auch den Bedarf einer Verfahrensdokumentation. Man will verstehen, was in den IT-Systemen passiert. Und man will damit beurteilen können, ob die Abläufe richtig (vor allem ordnungsmäßig) sind. Ohne Dokumentation ist das unmöglich.
Worauf muss man bei den Inhalten einer Verfahrensdokumentation achten?
Lamm: Anhand einer Verfahrensdokumentation sollte man sich zunächst einen Überblick über das Verfahren verschaffen können. Dies gelingt am einfachsten mit Schaubildern und Prozessdiagrammen. In einer weiteren Ebene sollten die Abläufe beschrieben sein. In der Anwendersicht geht es im Wesentlichen um die Aufbau- und Ablauforganisation, um Verantwortlichkeiten und um die konkreten manuellen Tätigkeiten. In der technischen Sicht wird dargestellt, welchen Weg die Daten und die elektronischen Aufzeichnungen und Unterlagen durch die IT-Systeme nehmen, wie sie verarbeitet, wie sie aufbewahrt, gespeichert, gesichert werden. Das ist aber noch nicht alles. In einer weiteren Ebene geht es um das Thema „Internes Kontrollsystem“. Die deskriptive Darstellung der Abläufe ermöglicht zwar ein gutes Prozessverständnis. Eine Beurteilung von Stärken oder Schwachstellen ist damit aber nur erschwert möglich. Aus diesem
Grund fordern die GoBD, dass das interne Kontrollsystem ein wesentlicher Bestandteil der Verfahrensdokumentation zu sein hat.
Welche Bedeutung messen Sie dem internen Kontrollsystem bei?
Lamm: Das interne Kontrollsystem (IKS) besteht aus einer Vielzahl von Maßnahmen im Unternehmen, die dafür sorgen sollen, dass Vorgaben eingehalten oder Fehler erkannt und vermieden werden. Beispiele dafür sind das berühmte Vier-Augen-Prinzip oder die regelmäßige Abstimmung von Salden. Und hier liegt ein großes Problem versteckt: In vielen Unternehmen sind viele Maßnahmen seit Jahren implementiert, sie werden aber vor allem für die Dokumentation eines IKS schlichtweg nicht als solche erkannt. Das liegt daran, dass der Fokus auf dem Beobachtbaren liegt. Es gibt aber sehr viele IT-gestützte Maßnahmen, wie z.B. Parameter, Stammdaten, Berechnungen, Warnhinweise, die vorhanden, aber nicht so offensichtlich sind. Ein paar Beispiele: Eine standardisierte Benutzer- und Rechteverwaltung sorgt dafür, dass nur autorisierte Benutzer auf die Systeme zugreifen. Ausgangsrechnungen werden mittels automatischer Umsatzsteuerfindung korrekt ausgestellt und verbucht. Oder ganz einfach: Eingaben werden durch Pflichtfelder und Plausibilitätschecks überprüft und verhindern Fehleingaben. Hätten Sie solche Maßnahmen in Ihrem internen Kontrollsystem aufgeführt?
Aber das interne Kontrollsystem ist nicht nur Pflichtbestandteil einer Verfahrensdokumentation. Es kann auch ein Mittel darstellen, um gegen das Vorliegen eines Vorsatzes oder einer Leichtfertigkeit einer Steuerhinterziehung zu argumentieren. Mit den einzelnen Maßnahmen zeigt das Unternehmen, welche Risiken es vor allem hinsichtlich der Erfüllung steuerlicher Pflichten erkannt hat und wie es diese steuert. Damit kann das IKS zentraler Bestandteil in einem sogenannten Tax Compliance Managementsystem sein, wenn man es soweit ausbauen möchte.
Ich halte die Dokumentation des internen Kontrollsystems daher aus mehreren Gründen für unerlässlich: Es ist eine Basis für Betriebsprüfende, um Abläufe verstehen und beurteilen zu können. Es ist ein Hilfsmittel für die Unternehmen, um sich beim Vorwurf einer Steuerhinterziehung exkulpieren zu können. Und es dient im Unternehmen selbst dazu, schwache oder nicht vorhandene Maßnahmen zu erkennen und die Prozesse zu verbessern.
Wie soll ein Unternehmen bei der Erstellung einer Verfahrensdokumentation vorgehen?
Lamm: Zunächst stellt sich die Frage, welcher Prozess beschrieben werden soll. Nur von einer einzigen Verfahrensdokumentation zu sprechen, wäre zu ungenau. Im Unternehmen gibt es eine Vielzahl von Prozessen und Abläufen, und grundsätzlich ist jeder rechnungslegungs- und steuerlich relevante Prozess zu dokumentieren. Daher ist es empfehlenswert, blockweise vorzugehen und mit einem bestimmten Prozess zu beginnen. Oftmals sind das Prozesse, bei denen gerade ein neues IT-System eingeführt wurde, z.B. ein Workflow- oder Archivsystem. Man sollte das im Rahmen des Projekts erlangte Wissen möglichst frisch konservieren. Oder es sind Prozesse, von denen man weiß, dass sie im Fokus der nächsten Betriebsprüfung liegen. Am gängigsten ist da sicherlich die Rechnungseingangsverarbeitung, also der Weg einer Rechnung vom Eingang, einer eventuellen Digitalisierung und Archivierung über Prüfung und Freigabe bis hin zur Verbuchung. Wer das ausbauen möchte, nimmt den zugrundeliegenden Kernprozess des Einkaufs und fängt bei der Bedarfsermittlung an zu dokumentieren. Obacht gilt bei Prozessen oder IT-Systemen, die abgeschaltet wurden oder demnächst werden. Es ist ratsam, auch diese in eine Verfahrensdokumentation einzubeziehen, solange es noch geht. Wichtig ist auch die Struktur der Verfahrensdokumentation. Es gibt, wie gesagt, nicht das eine Dokument, das man als Verfahrensdokumentation bezeichnen kann. Vielmehr gibt es eine Vielzahl von unterschiedlichen Dokumenten im Unternehmen, die wesentlichen Input liefern. Das sind z.B. Arbeitsanweisungen, Betriebshandbücher, Bedienungsanleitungen. Es gehören auch allgemeine Prozessbeschreibungen dazu wie das oben erwähnte Benutzermanagement. Aus all diesen Bestandteilen ergibt sich ein modularer Aufbau von verschiedenen Dokumentationen. Dennoch sollte man daran denken, wie man eine Herausgabe an die Betriebsprüfenden regelt. Bevor man ihnen sämtliche Dokumente übergibt oder Zugang zum eigenen Intranet gewährt, kann man Prozessdeckblätter – so nennen wir das – in Erwägung ziehen, die die wichtigsten Informationen
zusammenfassen. Bei tiefergehendem Interesse der Betriebsprüfenden kann man dann weitere Dokumente bereitstellen.
Die Unternehmen müssen sich darüber bewusst sein, dass eine Verfahrensdokumentation keine einmalige Angelegenheit ist. Es gilt, die Verfahrensdokumentation auf einem aktuellen Stand zu halten. Um Veränderungen nachvollziehen zu können, ist ein Versionskonzept einzuführen.
Wer sollte die Verfahrensdokumentation schreiben?
Lamm: Federführend sollte das Unternehmen sein. Die Mitarbeitenden kennen ihre Abläufe am besten, auch die Schwachstellen. Außerdem ist Ihnen bekannt, welche Unterlagen bereits existieren, die herangezogen werden können. Wichtig ist, dass alle beteiligten Abteilungen involviert werden. Für die Beschreibung der Anwendersicht ist das meist kein großes Problem. Schwierig wird es bei der Beschreibung der technischen Sicht. Hier sind Mitarbeitende aus der IT-Abteilung oder eventuell die Softwarehersteller oder -berater einzubeziehen. Es geht auch um die Beschreibung der IT- und Datensicherheit, also Themen wie Schnittstellen(sicherheit), Datenformate, Datensicherung oder Notfallkonzepte. All das gehört auch dazu.
Damit die Verfahrensdokumentation von Anfang an in die richtige Richtung läuft, stehen wir als Berater zur Seite. Gemeinsam mit dem Mandanten erarbeiten wir ein Konzept. Wir begleiten den Mandanten sehr eng bei diesem Projekt und unterstützen bei der Aufnahme der Prozesse. Wir sind in der Lage, als neutraler Beobachter zu fungieren und die werdende Dokumentation unvoreingenommen zu beurteilen. Natürlich greifen wir dem Mandanten auch unter die Arme und helfen beim Schreiben, wenn es nötig ist. Unseren wesentlichsten Input für den Mandanten liefern wir aber sicherlich beim Auf- und Ausbau und der Dokumentation des internen Kontrollsystems.
Was ist, wenn die Unternehmen wesentliche Prozesse auf Dienstleister ausgelagert haben?
Lamm: Dies kommt mittlerweile sehr häufig vor. Ausgelagert werden z.B. der Betrieb der wesentlichen IT-Infrastruktur in einem Rechenzentrum, die Rechnungseingangsverarbeitung oder die Lohnbuchhaltung. Für die Einhaltung der rechnungslegungs- und steuerlich relevanten Anforderungen bleiben die auslagernden Unternehmen verantwortlich, Einblick in die ausgelagerten Prozesse haben Sie meist nicht im Detail. Es ist daher sinnvoll, von den Dienstleistern eine entsprechende Dokumentation anzufordern. Viele Dienstleister lassen ihre Prozesse auch von einem unabhängigen Wirtschaftsprüfer prüfen. Dabei geht es primär um das eingerichtete dienstleistungsbezogene interne Kontrollsystem und seine Wirksamkeit. Die Berichterstattung des Wirtschaftsprüfers beinhaltet detaillierte Informationen zu den ausgelagerten Prozessen und dem internen Kontrollsystem. Wir halten unsere Mandanten immer dazu an, eine solche Berichterstattung in Form eines Prüfberichts nach „IDW PS 951“ oder „ISAE 3402“ von ihrem Dienstleister anzufordern und zum Bestandteil der eigenen Verfahrensdokumentation zu machen.
Vielen Dank für das Interview!
Lamm: Sehr gerne.