Softwaretestierung nach dem IDW-Prüfungsstandard PS-880

Inhaltsverzeichnis

1. Einleitung

2. Verfahrensprüfung
2.1. Prüfung der Verarbeitungsfunktionen
2.1.1. Prüfung der notwendigen Verarbeitungsfunktionen
2.1.2. Prüfung der programmierten Verarbeitungsregeln
2.2. Die Prüfung der Softwaresicherheit
2.3. Prüfung der Dokumentation

3. Berichterstattung und Testat

Abkürzungsverzeichnis

Abbildung in dieser Leseprobe nicht enthalten

1. EINLEITUNG

Im Rahmen einer Praxisphase hatte ich die Möglichkeit bei einer Softwaretestierung mitzuarbeiten. Die während einer Softwaretestierung anfallenden Tätigkeiten möchte ich in dieser Praxisarbeit näher erläutern.

Heutzutage werden fast sämtliche Geschäftsprozesse eines Unternehmens mit Hilfe von EDV-Systemen abgewickelt. Aus diesem Grund ist die Abhängigkeit der Unternehmen von ihren EDV-Systemen sehr groß. Ein Ausfall der EDV bedeutet für ein Unternehmen einen sehr großen zusätzlichen Arbeits- und finanziellen Aufwand. Im schlimmsten Falle kann sogar die Existenz des Unternehmens bedroht sein, wenn sämtliche unternehmens- relevanten Daten, wie z.B. Kundendaten, Auftragsdaten, Informationen über Lagerbestände EDV-gestützt verarbeitet werden und nur noch ein geringer Teil dieser Daten in nichtdigitaler Form vorliegt. Ganz zu schweigen von den wirtschaftlichen Auswirkungen möglicher Fehlfunktionen des EDV-Systems. Folglich sind an die EDV-Systeme Qualitätsanforderungen zu stellen, die die oben genannten Risiken minimieren.

Auch die Software als ein wesentlicher Bestandteil eines EDV-Systems muss Qualitätsansprüchen Rechnung tragen, die eine korrekte Verarbeitung der Daten sicherstellen. Dies ist vor allem dann der Fall, wenn die Software Daten verarbeitet oder beeinflusst, die für die Rechnungslegung des Unternehmens wichtig sind. Denn schließlich fließen jene Daten in die Bilanz des Unternehmens ein und haben somit Auswirkungen auf die wirtschaftliche Darstellung des Unternehmens nach außen. Ferner werden viele unternehmerische Entscheidungen auf der Grundlage des Datenmaterials getroffen, das die EDV-Systeme liefern. Würden in diesem Fall Daten von dem System falsch verarbeitet oder falsch aufbereitet, so würde dies wiederum ein Risiko darstellen, das den Fortbestand des Unternehmens gefährden könnte.

Schließlich gibt es noch gesetzliche Normen (z.B. HGB, AO) und die Grundsätze ordnungsmäßiger Buchführung (GoB) bzw. die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) als Abwandlung der GoB für die EDV-gestützte Buchhaltung, die bestimmte Ordnungsmäßigkeitsanforderungen an die Rechnungslegung stellen. Auch EDV-Systeme, die rechnungslegungsrelevante Daten verarbeiten, müssen diese Anforderungen erfüllen. Ist dies nicht der Fall, so kann der Jahresabschluss eines Unternehmens, aufgrund mangelnder Ordnungsmäßigkeit der Buchhaltung, nicht testiert werden. Des weiteren besteht die Gefahr, dass das Finanzamt wegen der falschen Buchhaltung eine Steuerschätzung durchführt.

Aus den eben genannten Gründen ergibt sich die Notwendigkeit, buchführungsrelevante Softwareprodukte testieren zu lassen. Dies ist zwar nicht gesetzlich vorgeschrieben, doch andererseits verlangen immer mehr Anwender ein Testat für die eingesetzte Software. Denn der Anwender ist verantwortlich für die Ordnungsmäßigkeit seiner Buchhaltung. Verfügt der Anwender über eine testierte Software, so gibt ihm diese eine gewisse Sicherheit im Hinblick auf Jahresabschlussprüfungen, denn eine testierte Software sorgt schon für eine gewisse Ordnungsmäßigkeit der Buchhaltung. Dabei muss aber betont werden, dass eine testierte Software keine Garantie für eine ordnungsmäßige Buchführung ist. Des weiteren ergibt sich für Vorstände von Kapitalgesellschaften, die durch Gesetze wie das KonTraG immer stärker in die Pflicht genommen werden, mehr Rechtssicherheit. Denn die Anschaffung einer testierten Software kann als Maßnahme zur Förderung eines effektiven Risikomanagements im Unternehmen betrachtet werden. Für den Hersteller der Software stellt ein Softwaretestat ein zusätzliches Verkaufsargument für sein Produkt dar. Ferner unterstützt eine Testierung die Qualitätssicherung im Softwareerstellungsprozess, indem sie dem Hersteller ein Feedback über die Qualität der Software und des Entwicklungsprozesses gibt.

Im Rahmen einer Softwaretestierung wird die Güte einer Software untersucht und beurteilt. Dabei gibt es verschiedene Prüfungsansätze:

So gibt es einmal die prozessorientierte Softwaretestierung, „hierbei wird das System der Softwareproduktion betrachtet. Erfüllt dieses System der Softwareerstellung bestimmte formale Anforderungen, so wird auf die Güte der Software geschlossen. In diesem Fall wird also kein spezielles Softwareprodukt anhand bestimmter Software-Qualitätsmerkmalen beurteilt, sondern lediglich der Softwareherstellungsprozess“.^I „Im Gegensatz dazu werden bei der produktorientierten Softwaretestierung bestimmte Qualitätseigenschaften einer bestimmten Software untersucht“.^I Schließlich hat der Prüfer noch die Möglichkeit die beiden vorher genannten Prüfungsansätze miteinander zu verbinden.^II In der Praxis führt er sowohl eine prozessorientierte als auch eine produktorientierte Prüfung durch. „Dabei wird in Abhängigkeit von den Ergebnissen der prozessorientierten Prüfung die produktorientierte Prüfung intensiviert oder verringert.“^I

In meiner Praxisarbeit möchte ich auf den Prüfungsstandard „IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen“, der vom

„Institut der Wirtschaftsprüfer in Deutschland e.V.“ herausgegeben wurde, näher eingehen.

„Dieser Prüfungsstandard ist produktorientiert, da in diesem Fall die Software bestimmte Eigenschaften erfüllen muss, die sich an der Erfüllung der Grundsätze ordnungsmäßiger Buchführung ausrichten.“I Der Prüfungsstandard PS-880 definiert die Auflagen und Voraussetzungen, die eine Software erfüllen muss, um das Testat eines Wirtschaftsprüfers zu erhalten. Der in diesem Zusammenhang verwendete Begriff „Software“ ist nicht ausschließlich auf Buchhaltungssoftware bezogen, sondern meint vielmehr Software, die für

„die Ordnungsmäßigkeit der Rechnungslegung von Bedeutung ist.“^III Dies kann auch Software sein, die der Produktionsplanung oder der Materialwirtschaft dient, und somit einen mittelbaren Einfluss auf die Rechnungslegung hat.

Im Gegensatz zu anderen Prüfungsgrundsätzen, wie zum Beispiel der FAMA Stellungnahme 1/1987 bezieht sich der IDW Standard auf die Prüfung der Software beim Hersteller, bzw. Prüfung der Software vor ihrer Implementierung beim Endanwender.^IV Der Hauptgegenstand einer Softwareprüfung nach dem PS-880 ist die Frage, ob die durch die Software bereitgestellten Verfahren und Funktionalitäten eine ordnungsmäßige Buchführung ermöglichen.^V

Die Prüfung selbst wird hauptsächlich mit Hilfe der Testfallmethode durchgeführt. Dabei erstellt der Prüfer Geschäftsvorfälle (Testfälle). Diese Testfälle können von relativ einfachen Szenarien, wie dem Anlegen eines Kontos bis hin zur Durchführung eines Jahresabschlusses, bei dem die Software sämtliche Konten abschließen und die Salden in eine ordnungsmäßige Bilanz überführen muss, reichen. Dabei wird durch den Abgleich des Sollzustandes mit dem Istzustand untersucht, ob die in der Software implementierten Verfahren ordnungsmäßig arbeiten. Der Prüfungstandard schreibt vor, dass „alle wesentlichen, in der Dokumentation beschriebenen Funktionen der Software durch die Testfälle abgedeckt werden“.^VI

Die Softwareprüfung lässt sich in zwei große Teilgebiete unterteilen, nämlich in Verfahrensprüfung und in Berichterstattung und Testat. Dabei nimmt die Verfahrensprüfung den zeitlich gesehen größten Anteil der Prüfung ein. In dieser Phase werden die verschiedenen Einzelprüfungen im Hinblick auf die Ordnungsmäßigkeit der Software durchgeführt, ausgewertet und dokumentiert. Aus den Ergebnissen der Verfahrensprüfung leitet sich die Testierung bzw. Nichttestierung der Software ab. Die im Rahmen der Verfahrensprüfung gewonnenen Ergebnisse werden anschließend in einem Bericht festgehalten.

2. VERFAHRENSPRÜFUNG

Die Verfahrensprüfung unterteilt sich, wie schon erwähnt, in mehrere einzelne Prüfungsschritte. Im einzelnen sind dies:

2.1. Prüfung der Verarbeitungsfunktionen

2.2. Prüfung der Softwaresicherheit

2.3. Prüfung der Dokumentation

Die eben erwähnten Prüfungsschritte dürfen nicht isoliert voneinander betrachtet werden. Bei Erarbeitung eines Testfalls werden mehrere Prüfungsschritte in diesem Testfall zusammengefasst. Diese Prüfungsschritte werden dann bei Durchführung des Testfalls abgearbeitet. Aus diesem Grund kann es im folgenden Teil, wo noch genauer auf die einzelnen Prüfungsschritte eingegangen wird, zu Überschneidungen kommen.

Vor Beginn der eigentlichen Prüfungshandlungen erfolgt zunächst eine Bestandsaufnahme des Testsystems. Hierbei wird die verwendete Hardware (Rechnersystem, Netzwerkumgebung usw.), die Systemsoftware (Betriebssystem, Netzwerksoftware) sowie die Anwendungssoftware (das zu testierende Softwareprodukt, Datenbankanwendung) erfasst. Dabei sind der genaue Release-Stand der Software und die verwendeten Module genau zu dokumentieren.I Dies betrifft sowohl die eigentliche Testsoftware als auch andere Softwarekomponenten des Testsystems wie z.B. die Datenbankanwendung oder Betriebssystem. Ferner sind im Verlauf der Prüfungshandlungen Aktualisierungen der Software zu erfassen, um bei der Erstellung des Berichts das Prüfungsobjekt exakt abgrenzen zu können.

Diese vorbereitenden Handlungen sind insbesondere im Hinblick auf die Gültigkeit des Testats von Bedeutung. In welchem Umfang ein Softwaretestat in der Praxis eingesetzt werden kann, um den Jahresabschlussprüfer von weiterführenden Prüfungshandlungen zu entbinden bzw. dem Kunden einen Eindruck über die Ordnungsmäßigkeit der Software zu geben, muss im Einzelfall entschieden werden. Dabei muss untersucht werden in welchem Ausmaß die konkrete Installation der Software von dem Testsystem, hinsichtlich Release, Parametrisierung, IT-Infrastruktur usw., abweicht.

2.1. PRÜFUNG DER VERARBEITUNGSFUNKTIONEN

2.1.1. Prüfung der notwendigen Verarbeitungsfunktionen

Für die Prüfung der Verarbeitungsfunktionen sind als gesetzliche Grundlage die Vorschriften des Handelsgesetzbuchs (§§ 238, 239, 257 HGB) und der Abgabenordnung (§§ 145, 146, 147 AO) maßgebend. Des weiteren definieren die Stellungnahme des Fachausschusses für moderne Abrechnungssysteme (FAMA 1/1987) und die „Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)“, mit dem beigefügten Begleitschreiben des Bundesministers für Finanzen, Maßstäbe, die bei der Ordnungsmäßigkeitsprüfung von Software zu berücksichtigen sind.^II

Zu Beginn der Prüfung gilt es zunächst jene Verarbeitungsfunktionen zu identifizieren, die für eine ordnungsmäßige Buchführung und Bilanzierung von Bedeutung sind, da diese Hauptgegenstand der Prüfungshandlungen sind. In diesem Zusammenhang sind die Belegfunktion, die Journalfunktion und die Kontenfunktion besonders hervorzuheben.^III

Belegfunktion: „Die Belegfunktion ist die Grundlage für die Beweiskraft der Buchführung“.^I Sie ist das Bindeglied zwischen den realen, buchführungspflichtigen Geschäftsvorfällen einerseits, und den „abstrakten“ Daten in den Büchern eines Unternehmens andererseits, das sicherstellt, dass die realen Ereignisse korrekt in der Buchführung abgebildet werden.^II

Im Rahmen der DV-Buchführung erfüllen nicht mehr ausschließlich die „klassischen“ Papierbelege die Belegfunktion, sondern auch programmierte Verfahren, die automatisch Buchungen erzeugen (z.B. EDI, automatische Buchung der Umsatzsteuer).^III In diesem Fall existieren keine physischen Belege mehr zu den Geschäftsvorfällen (wie z.B. die AfA- Buchung). Aus diesem Grund muss das Verfahren, dem nun die Belegfunktion zukommt, über verfahrensinterne Kontrollmechanismen verfügen, um eine ordnungsmäßige Buchführung sicherzustellen.^IVDes weiteren muss zu dem jeweiligen ^Verfahren eine entsprechende Dokumentation vorliegen, die auch einer Prüfung zu unterziehen ist. Denn erst das Verfahren, inklusive der implementierten Kontrollen, plus dessen Dokumentation erfüllt die Belegfunktion.

Ferner muss im Zusammenhang mit der Belegfunktion geprüft werden, ob die Software beim Ausführen von Buchungen sicherstellt dass:

- der Buchungsbetrag
- die Kontierung
- der Buchungstext
- die Belegnummer
- das Beleg- und Buchungsdatum
- die Buchungsperiode

erfasst werden.^V

Dies kann das System z.B. durch Mussfelder sicherstellen, d.h. sollte ein bzw. mehrere, der oben genannten Kriterien nicht angegeben worden sein, so darf es die Software nicht ermöglichen die Buchung auszuführen.

Journalfunktion: Das Journal dient unter anderem dazu die Geschäftsvorfälle in ihrer zeitlichen Reihenfolge darzustellen,^VI d.h. in der Reihenfolge der Buchungen der Geschäftsvorfälle. Die Reihenfolge richtet sich also nach der jeweiligen Buchungsperiode bzw. nach dem Buchungsdatum des Geschäftsvorfalls. Durch das Journal soll gewährleistet werden, dass ein „zeitlicher Zusammenhang zwischen dem Geschäftsvorfall und dessen buchmäßigen Erfassung besteht.‘‘^VII Dies setzt voraus, dass die Geschäftsvorfälle zeitnah erfasst werden.

Weiterhin soll durch das Journal eine Verbindung zwischen Beleg und Buchung hergestellt werden. Dadurch wird die Nachvollziehbarkeit vom Beleg zur Buchung und umgekehrt sichergestellt.

In einem EDV-gestützten Buchführungssystem wird die Journalfunktion durch die

„Darstellung der Buchungen in zeitlich geordneter, übersichtlicher und vollständiger Form“ und „Ausdruckbereitschaft“ realisiert.^VI

[...]

^I Mathias Philipp, Software-Zertifizierung nach IDW PS 880, www.mphilipp.de/papers/conquest99.html

^II Vgl. Mathias Philipp, Software-Zertifizierung nach IDW PS 880, www.mphilipp.de/papers/conquest99.html

^III IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (1)

^IV Vgl. IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (2)

^V Vgl. IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (3)

^VI IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (20)

^I Vgl. IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (5)

^II Vgl. IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (8)

^III Vgl. IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (7)

^IGoBS – Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme 2.2.1

^II Vgl. GoBS – Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme 2.2.1

^III Vgl. Nagel, Kurt: Ordnungsmäßigkeit der Speicherbuchführung, 1.,Herne/Berlin, S.35

^IV Vgl. GoBS – Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme 2.2.7

^V IDW-PS-880 IDW Prüfungsstandard: Erteilung und Verwendung von Softwarebescheinigungen (9)

^VI Vgl. Christoph Swart, Systemprüfung in verteilten Abrechnungssystemen, IDW-Verlag Düsseldorf , S.73

^VII Christoph Swart, Systemprüfung in verteilten Abrechnungssystemen, IDW-Verlag Düsseldorf, S.73