Zugriffsüberprüfungen – wie sollte man sie durchführen, damit sie einen realen Wert haben?

In vielen Organisationen werden Zugriffsüberprüfungen nur deswegen durchgeführt, weil dies interne Verfahren, Gruppenkontrollstandards oder Abschlussprüfer verlangen. Daher läuft dieser Prozess oft darauf hinaus, die aus dem System generierten Benutzerliste zu genehmigen, d.h. auf eine routinemäßig durchgeführte Tätigkeit ohne eine tiefere Analyse der tatsächlichen Risiken im Zusammenhang mit den erteilten Berechtigungen. Und das birgt zahlreiche Risiken. Welche genau und warum dürfen sie nicht ignoriert werden?

Zunächst sollte betont werden, dass eine ordnungsgemäß durchgeführte Zugriffsüberprüfung eines der Schlüsselelemente des internen Kontrollumfelds sein kann. Sie ermöglicht nämlich die Prüfung, ob Systembenutzer nur die notwendigen Zugriffsrechte zur Erfüllung ihrer Aufgaben haben, sowie die Identifizierung von Bereichen, die sich negativ auf die:

• Informationssicherheit,
• Datenintegrität, 
• Glaubwürdigkeit der Finanzberichterstattung

auswirken können.

Eine Zugriffsüberprüfung ist besonders wichtig bei Systemen, die wichtige Geschäftsprozesse unterstützen, wie ERP-Systeme. Übermäßige Berechtigungen, unkontrollierte privilegierte Zugriffsrechte oder ungelöste Funktionstrennungskonflikte können nicht nur zu operativen Fehlern führen, sondern auch die Kontrollen schwächen, auf denen die Finanzberichterstattung basiert. Daher lohnt es sich, die Zugriffsüberprüfung nicht als eine regelmäßige Formalität, sondern als ein Instrument zur Unterstützung eines effektiven Risikomanagements in der Organisation zu betrachten.

Bei welchen Systemen sollte man die Zugriffskontrolle im Rahmen der Analyse der Risiken im Zusammenhang mit den Zugriffsrechten der Mitarbeiter beginnen?

Nicht alle von einer Organisation verwendeten Systeme verursachen das gleiche Risiko. Bei der Entscheidung für eine Interne Revision zur Verringerung von Fahrlässigkeit sollte man sich zunächst auf Anwendungen konzentrieren, die wichtige Geschäftsprozesse und -systeme unterstützen und deren Betrieb direkt oder indirekt die Finanzberichterstattung beeinflussen kann.

Je nach den Besonderheiten der jeweiligen Organisation können als Systeme, die am stärksten dem Risiko eines unsachgemäßen Zugriffsmanagements ausgesetzt sind: 

• ERP-Systeme und FiBu-Software, 
• Lagerverwaltungssysteme, 
• Produktionssysteme, 
• Vertriebssoftware. 
• Anwendungen und Lösungen für Identitäts- und Zugriffsmanagement

bezeichnet werden.

Wie sollte man beurteilen, ob ein Mitarbeiter tatsächlich alle ihm gewährten Zugriffsrechte benötigt?

Viele Organisationen konzentrieren sich bei den regelmäßigen rollenbasierten Zugriffskontrollen darauf, die Liste der aktiven Benutzer zu bestätigen und lassen die Analyse des Umfangs ihrer Zugriffsrechte weg. Der übermäßige Zugriff ist gerade eines der häufigsten Risiken für die Datensicherheit und Vertraulichkeit der Informationen in Unternehmenssystemen.

Ein Positionswechsel, die Teilnahme an einem ungewöhnlichen Projekt oder eine vorübergehende Vertretung eines Mitarbeiters kann zur Erteilung zusätzlicher Berechtigungen führen, die jedoch nicht immer später von dem Benutzerzugriffsadministrator entzogen werden.

Deshalb sollte jede Überprüfung zwei zentrale Fragen beantworten: 

• Wer hat Zugriff? 
• Ist der Grad dieses Zugriffs immer noch geschäftlich gerechtfertigt?

Analyse der privilegierten Zugriffsrechte

Es ist erwähnenswert, dass Interne Revisoren den Benutzern mit den sog. privilegierten Zugriffsrechten einschließlich u.a. der Administratorberechtigungen eine besondere Aufmerksamkeit während der regelmäßigen Zugriffsüberprüfungen widmen sollten.

Personen mit privilegierten Rechten haben oft die Möglichkeit, Benutzerkonten zu verwalten, das System anzupassen und zu konfigurieren oder Aktionen auszuführen, die den Standardbenutzern nicht zur Verfügung stehen. Daher sollte eine Organisation, die für ein effektives Zugangsmanagement sorgt, regelmäßig die Legitimität solcher Rollen überprüfen und sicherstellen, dass sie nur den Personen zugewiesen werden, die sie wirklich für die Durchführung ihrer Aufgaben benötigen.

Eine solche tiefgehende Analyse sollte für alle Benutzerkonten gelten, die häufig zur Integration von Systemen, Implementierung automatisierter Prozesse oder zum Betrieb von Anwendungen verwendet werden. Das bedeutet, dass Organisationen bei der Überprüfung der privilegierten Zugriffsrechte besonderen Wert auf die Kontrolle der:

• Admin-Konten, 
• technischen Konten, 
• Servicekonten

legen sollten. 

Aufgrund eines großen Umfangs von Berechtigungen und einer begrenzten Rückverfolgbarkeit des für ihre Nutzung verantwortlichen Benutzers sollten solche Konten einen Geschäfts- oder technischen Eigentümer zugewiesen bekommen und regelmäßig überprüft werden.

Risiko im Zusammenhang mit der Nichtberücksichtigung von Funktionstrennungskonflikten (SoD)

Es ist zu betonen, dass die Überprüfung der Systemzugriffe nicht auf die Bewertung individueller Benutzerrechte beschränkt werden sollte. Die Kontokontrolle sollte aus einer breiten und ganzheitlichen Perspektive erfolgen, was bedeutet, dass es wichtig ist, nicht nur zu verstehen, welche Prozesse eine bestimmte Person im System durchführen kann, sondern auch festzustellen, ob die ihr zugewiesenen Zugriffsrechte es ihr nicht erlauben, die Tätigkeiten durchzuführen, die sich gegenseitig kontrollieren.

Beispiele für Tätigkeiten, die sich gegenseitig kontrollieren, sind:

• die Möglichkeit, gleichzeitig Lieferanten anzulegen, Überweisungen einzugeben und Zahlungen zu genehmigen, 
• die Möglichkeit, Belege einzugeben und zu verbuchen,
• die Möglichkeit, anderen Benutzern Zugriffsrechte zu gewähren. 

Solche Funktionstrennungskonflikte (Segregation of Duties – SoD) gehören zu den am häufigsten festgestellten Unregelmäßigkeiten bei Revisionen und können die Kontrollmechanismen in der Organisation erheblich schwächen.

Deshalb sollte die SoD-Analyse eines der wesentlichen Elemente jeder wertvollen Überprüfung der innerhalb einer Organisation zugewiesenen Zugriffsrechte sein.

Konten ehemaliger Mitarbeiter und inaktive Zugriffe – ein Risiko, das nicht ignoriert werden sollte

Eines der Hauptziele von regelmäßigen Zugriffsüberprüfungen auf Daten und Anwendungen ist es, sicherzustellen, dass nur Menschen, die tatsächlich Zugriff auf Systeme benötigen, Zugriffsrechte darauf haben. Dennoch identifizieren Wirtschaftsprüfer während der Prüfungen und der Erbringung von Bestätigungsleistungen zur Bestätigung der Qualität von Unternehmensprozessen regelmäßig aktive Konten ehemaliger Mitarbeiter oder Benutzer, die das System seit langem nicht mehr nutzen.

Das Vorhandensein solcher nicht deaktivierten Rollen erhöht das Risiko unbefugter Nutzung der Konten und erschwert ein effektives Management des Kontrollumfelds. Daher sollte jede Überprüfung des Zugriffs auf Unternehmensressourcen eine Analyse ungenutzter Konten und eine strenge Prüfung der Rechtfertigung ihrer weiteren Existenz enthalten. Man sollte nicht vergessen, dass dieses Problem nicht nur auf Privatkonten zutrifft. Ähnliche Risiken können mit privilegiertem Zugriffsmanagement zusammenhängen und bei ungenutzten technischen, Service- oder temporären Konten auftreten, die nach dem Abschluss von Projekten oder organisatorischen Veränderungen im System geblieben sind.

Eine regelmäßige Identifikation solcher Konten senkt das Risiko und erhöht die Transparenz im Kontrollumfeld.

Wie sollten Ergebnisse der Zugriffsüberprüfung dokumentiert werden?

Wichtig ist, dass eine Zugriffsüberprüfung nicht mit der Feststellung von Unregelmäßigkeiten endet. Es ist ebenso wichtig, die Ergebnisse der durchgeführten Analyse entsprechend zu dokumentieren. Eine solche Dokumentation sollte aufzeigen:

• von wem die Überprüfung durchgeführt wurde, 
• wie der Umfang der Überprüfung war, 
• welche Risiken im Laufe der Überprüfung identifiziert wurden, 
• welche Entscheidungen über einzelne Benutzer bzw. Berechtigungen getroffen wurden.

Es ist auch entscheidend, die Person zu identifizieren, die für die Annahme der Ergebnisse der Zugriffsüberprüfung verantwortlich ist. In der Praxis wird eine solche Rolle meistens von dem Prozesseigner, dem Systemeigner oder dem Leiter der Organisationseinheit übernommen, der am besten versteht, wie das System verwendet wird und welche Risiken damit zusammenhängen. Gerade diese Person sollte die Ergebnisse der Überprüfung unabhängig prüfen, was das Risiko verringert, Unregelmäßigkeiten zu übersehen.

Es lohnt sich auch, Prozesse zu implementieren, die künftig ein effektives Zugriffskontrolle- Management erleichtern sowie Korrekturmaßnahmen zu dokumentieren, wobei die Personen, die für deren Durchführung und die geplanten Fristen für die Umsetzung der Änderungen verantwortlich sind, berücksichtigt werden sollen. Dies ermöglicht es der Organisation, den Arbeitsfortschritt zu überwachen und zu bestätigen, dass die festgestellten Unregelmäßigkeiten erfolgreich behoben wurden. Eine ordnungsgemäß erstellte Dokumentation ist auch ein wichtiger Beweis für die Wirksamkeit der Kontrolle für Prüfer, Geschäftsleitung und Personen, die für die Überwachung des internen Kontrollsystems verantwortlich sind.

Dokumentation und Überwachung von Ausnahmen

Der Zweck der Zugriffsüberprüfung auf Anwendungen und Systeme, die in einer Organisation verwendet werden, besteht nicht nur darin, Unregelmäßigkeiten zu identifizieren, sondern auch eine bewusste Entscheidung darüber zu treffen, wie man mit dem erkannten Risiko umgehen wird.

In manchen Fällen kann man einen Funktionstrennungskonflikt nicht beseitigen, privilegierte Zugriffsrechte nicht einschränken oder bestimmten Zugriff nicht entziehen, ohne die betriebliche Tätigkeit der Organisation zu beeinträchtigen. Dies gilt insbesondere für kleinere Unternehmen, Organisationen, die sich in Transformation, Restrukturierung oder Umwandlung befinden, sowie für Bereiche, in denen personelle Ressourcen die vollständige Implementierung des Modellkontrollumfelds verhindern.

In solchen Fällen sollte die während der rollenbasierten Zugriffskontrolle identifizierte Ausnahme formell von dem Prozesseigner, Systemeigner oder Risikomanager akzeptiert werden. Die von den Prüfern erstellte Dokumentation sollte klar den Grund für die Abweichung, das Risikoniveau, die erwartete Dauer und die zusätzlichen Maßnahmen benennen, die für die Reduzierung des Risikos auf ein akzeptables Niveau erforderlich sind.

Beispiele für Lösungen für Reduzierung der Risiken im Zusammenhang mit Ausnahmen, die Zugriffskontrolle behindern, sind: 

• eine regelmäßige Überprüfung der Berichte,
• eine zusätzliche Genehmigung der durchgeführten Operationen,  
• eine unabhängige Überprüfung der vom Benutzer mit erweiterten Berechtigungen durchgeführten Aktionen.

Von entscheidender Bedeutung ist auch eine regelmäßige Überprüfung der akzeptierten Abweichungen. Risiken, die vor einigen Monaten wirtschaftlich gerechtfertigt waren, bleiben nach einer Änderung der Organisationsstruktur, der Implementierung eines neuen Systems oder einer Erhöhung der Mitarbeiterzahl nicht immer relevant. Aus diesem Grund sollte jede Organisation die Häufigkeit der Ausnahmeprüfung bestimmen und Personen benennen, die für die Überwachung deren aktuellen Legitimität verantwortlich sind.

Dank dieses Ansatzes sind Ausnahmen nicht mehr informelle Abweichungen von den Regeln, sondern werden zu einem Bestandteil eines bewussten Risikomanagements. Dies lässt die Kontrollanforderungen mit den geschäftlichen Anforderungen der Organisation ausbalancieren und erhöht zugleich die Transparenz und Effizienz des gesamten Zugriffsüberprüfungsprozesses.

Was sollte man bei der Überprüfung des Zugriffs auf Systeme, die sich auf die Finanzberichterstattung auswirken, im Hinterkopf behalten?

Bei Zusammenfassung der Maßnahmen, die ein effektives Zugriffsmanagement ermöglichen, sollte klar gesagt werden, dass eine effektive Zugriffsüberprüfung auf Anwendungen und Systeme nicht darauf hinauslaufen sollte, die aus dem System generierten Benutzerlisten zu genehmigen. Ihr Zweck ist in erster Linie zu bestätigen, dass den Zugriff auf Schlüsselanwendungen nur Personen haben, die ihn wirklich für die Durchführung ihrer Aufgaben benötigen, und dass der Umfang der gewährten Berechtigungen ihrer Rolle entspricht.

Es ist wichtig zu bedenken, dass der größte Mehrwert durch Überprüfungen auf Basis von Risikoanalysen erzielt wird, d.h. durch solche, die sich auf die: 

• Analyse von Systemen, die relevante Geschäftsprozesse unterstützen, 
• Überprüfung der privilegierten Zugriffsrechte, 
• Identifizierung der Funktionstrennungskonflikte,  
• regelmäßige Überprüfung der nicht aktiven Benutzerkonten

konzentrieren.

Ebenso wichtig ist natürlich die ordnungsgemäße Dokumentierung der Überprüfungsergebnisse und das bewusste Management von Ausnahmen, die aus geschäftlichen oder organisatorischen Gründen nicht ausgeschlossen werden können.

Eine ordnungsgemäß durchgeführte Zugriffsprüfung verringert nicht nur das Risiko eines unbefugten Zugriffs auf Daten und Systemfunktionen, sondern auch stärkt das interne Kontrollumfeld und erhöht die Zuverlässigkeit der in der Finanzberichterstattung verwendeten Informationen. Dies macht sie zu einem tragfähigen Kontrollmechanismus, der die Organisation im Risikomanagement unterstützt, und nicht nur zu einer Formalität, die für Prüfungszwecke oder gemäß den regulatorischen Anforderungen erfüllt wird.