Systemeinstellungen
Manuell gepflegte Organisationsebenen in Rollen zurücksetzen
Die Berechtigungsprüfung für das Objekt S_PATH erfolgt, wie beschrieben, nur für Dateien, die einem Pfad mit Berechtigungsgruppe in der Tabelle SPTH entsprechen. In unserem Beispiel müssten Sie daher für den Zugriff auf Dateien mit dem Pfad /tmp/myfiles* eine Berechtigung für das Objekt S_PATH mit dem Wert FILE im Feld FS_BRGRU erteilen. Beachten Sie dabei, dass das Berechtigungsobjekt nur zwei Zugriffsarten unterscheidet. In diesen beiden Werten werden die Zugriffsarten des Berechtigungsobjekt S_DATASET zusammengefasst. Der Wert Ändern entspricht den Werten Löschen, Schreiben und Schreiben mit Filter; der Wert Anzeigen entspricht den Werten Lesen und Lesen mit Filter.
Liegen solche Informationen aus der Vergangenheit vor, sollte überprüft werden, ob alle Themen entsprechend den Anmerkungen umgesetzt wurden. Sollte die eine oder andere Empfehlung nicht umgesetzt worden sein, ist dieser Umstand auf jeden Fall nachvollziehbar zu dokumentieren, bzw. sollte eine nachvollziehbare Begründung vorgebracht werden können. Es reicht jedoch nicht, sich nur auf die vorgebrachten Verbesserungspotentiale zu konzentrieren, denn es muss sichergestellt sein, dass all jene Punkte, welche in der Vergangenheit nicht moniert wurden, auch weiterhin passen. Die Vorbereitung wird wesentlich erschwert, wenn keine hilfreichen Kommentare oder Berichte aus dem vergangenen Geschäftsjahr vorliegen oder wenn es sich um eine Erstprüfung bzw. um einen Wechsel des Wirtschaftsprüfers handelt. Was sieht sich der IT-Prüfer im Rahmen der Jahresabschlussprüfung alles an? Es gibt Themen, die sich jeder Prüfer ansieht, weil es dazu Standards gibt, jedoch ist es üblich, dass der Wirtschaftsprüfer abhängig von der Strategie der gesamten Prüfung, zusätzliche Prüfungshandlungen in der IT-Prüfung vornimmt. In diesem Newsletter wollen wir uns auf die wichtigsten Standardprüfungsthemen auf der Prozessebene und der darin definierten IT-Kontrollen im Zusammenhang des SAP®-Systems konzentrieren.
Änderungsbelege der Zentralen Benutzerverwaltung verwenden
Wir können nun das Testskript mit beliebigen Eingaben massenhaft ausführen. Hierzu benötigen wir eine Testkonfiguration. Geben Sie dieser ebenfalls einen sprechenden Namen, im Beispiel Z_ROLLOUT_STAMMDATEN, und klicken Sie auf den Button Objekt anlegen. Auf der Registerkarte Attribute geben Sie eine allgemeine Beschreibung sowie eine Komponente an. Gehen Sie dann auf die Registerkarte Konfiguration, und wählen Sie das zuvor erstellte Testskript im entsprechenden Feld aus. Wechseln Sie dann auf die Registerkarte Varianten. Die Varianten sind die Eingaben in unserem Skript. Da wir das Format, in dem eCATT die Eingabewerte benötigt, nicht kennen, ist es hilfreich, sich dieses zunächst herunterzuladen. Wählen Sie dazu Externe Varianten/Pfad aus, und klicken Sie auf Varianten herunterladen.
Auch die Vergabe von Kombinationen kritischer Berechtigungen (z.B. Rechnung buchen und Zahllauf starten), allgemein bekannt unter dem Begriff „Funktionstrennungskonflikte“, sind zu überprüfen und gegebenenfalls mit den Verantwortlichen in den Fachbereichen zu klären, warum diese im System existieren. Sollten hierfür kompensierende Kontrollen implementiert sein, ist es hilfreich, wenn auch die IT-Abteilung darüber Bescheid weiß, um den IT-Prüfer diese Kontrollen benennen zu können. Dieser kann in weiterer Folge diese Information an seine Prüferkollegen weitergeben.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Es gibt verschiedene rechtliche Anforderungen, die ein regelmäßiges Prüfen und Bewerten (Audit) Ihres SAP-Systems erfordern.
Nicht unüblich sind nachträgliche Anforderungen aus dem Bereich Compliance (SOX o.ä.) oder das gestiegene Schutzbedürfnis.