Datenherkunft und Prüfberichte

Wenn sich Unternehmen auf ein Audit vorbereiten – sei es im Finanz-, Regulierungs-, IT- oder Betriebsbereich –, sind Daten eine der häufigsten Ursachen für Unsicherheit. Woher stammen sie? Wer hat sie bearbeitet? Wie wurden sie aufbereitet? Können wir ihnen vertrauen? Diese Fragen stehen im Mittelpunkt eines Konzepts, das als „Data Lineage“ bekannt ist.

Wird in Prüfungsberichten also nach der Datenherkunft gefragt?

Die kurze Antwort lautet: Ja – manchmal explizit und fast immer implizit. Auch wenn Prüfer nicht immer genau den Begriff „Datenherkunft“ verwenden, erwarten sie routinemäßig Nachweise, die diese belegen. In diesem Artikel werden wir untersuchen, was das in der Praxis bedeutet, warum es für Prüfer wichtig ist, wie sich die Datenherkunft bei verschiedenen Arten von Prüfungen darstellt und wie Unternehmen sich darauf vorbereiten können, ohne ihren Ansatz zu überkomplizieren.

Was ist Data Lineage?

Die Datenherkunft beschreibt den gesamten Migration Daten von ihrer ursprünglichen Quelle über alle Transformationen, Systeme, Berechnungen und Übergaben bis hin zu ihrem endgültigen Bestimmungsort in Berichten, Dashboards oder behördlichen Meldungen.

Eine lückenlose Datenherkunft beantwortet Fragen wie:

• Woher stammen diese Daten?
• Welche Systeme haben die Daten verarbeitet?
• Welche Umformungen oder Berechnungen wurden durchgeführt?
• Wer hatte Zugriff oder hat Änderungen vorgenommen?
• Wie oft werden die Daten aktualisiert?
• Welche Kontrollmaßnahmen gibt es, um Fehler oder Manipulationen zu verhindern?

Stellen Sie sich die Datenherkunft als eine nachvollziehbare Nachverfolgungskette für Daten vor. So wie Wirtschaftsprüfer bei Finanzprüfungen den Geldfluss nachverfolgen, verfolgen sie bei modernen Prüfungen den Datenfluss.

Warum Wirtschaftsprüfer Wert auf die Datenherkunft legen

Bei Prüfungen geht es im Wesentlichen um Vertrauen und Sicherheit. Wirtschaftsprüfer überprüfen nicht nur Zahlen, sondern auch die Prozesse, aus denen diese Zahlen hervorgegangen sind. Die Datenherkunft bietet diese Sicherheit auf verschiedene entscheidende Weisen.

1. Überprüfung der Richtigkeit

Wirtschaftsprüfer müssen bestätigen, dass die ausgewiesenen Zahlen korrekt und vollständig sind. Ohne Nachverfolgbarkeit lässt sich nicht überprüfen, ob die Daten:

• Aus der richtigen Quelle entnommen
• Korrekt umgewandelt
• Fehlerfrei aggregiert
• Ausgeschlossen oder falsch einbezogen

Mit Lineage können Prüfer die Daten vom Abschlussbericht bis zur ursprünglichen Quelle „rückverfolgen“.

2. Bewertung der Wirksamkeit der Kontrollmaßnahmen

Interne Kontrollen im Bereich der Daten sind genauso wichtig wie Kontrollen im Finanzbereich. Die Wirtschaftsprüfer beurteilen, ob:

• Änderungen an den Daten sind zulässig.
• Die Umwandlungen sind dokumentiert und wiederholbar.
• Fehler können erkannt und korrigiert werden.
• Manuelle Eingriffe werden kontrolliert.

Eine klare Datenherkunft zeigt, dass Kontrollmechanismen vorhanden sind und funktionieren.

3. Förderung der Nachvollziehbarkeit und Reproduzierbarkeit

Prüfer fragen oft: „Wennwir diesen Prozess noch einmal durchführen würden, würden wir dann das gleiche Ergebnis erhalten?“

Die Datenherkunft trägt zur Reproduzierbarkeit bei, indem sie Folgendes dokumentiert:

• Datenquellen.
• Verarbeitungslogik.
• Abhängigkeiten zwischen Systemen.

Ohne Herkunftsangabe können Ergebnisse willkürlich oder nicht überprüfbar erscheinen.

Wird in Prüfungsberichten ausdrücklich nach der „Datenherkunft“ gefragt?

Manchmal ja – aber meistens stellen sie Fragen, deren Beantwortung eine Datenherkunftsanalyse erfordert.

Die Prüfer können Folgendes verlangen:

• Zuordnungen von Quelle zu Bericht.
• Datenflussdiagramme.
• Systemarchitekturdiagramme.
• Transformationslogik oder Geschäftsregeln.
• Nachweis der Kontrollen zur Datenvalidierung.
• Abgleich zwischen Systemen.

All dies sind Artefakte der Abstammungslinie, auch wenn das Wort „Abstammungslinie“ in der Prüfungscheckliste nie vorkommt.

In ausgereiften regulatorischen Umfeldern wird der Begriff „Data Lineage“ jedoch zunehmend explizit verwendet. Dies gilt insbesondere für Technologie-, Risiko- und Compliance-Prüfungen.

Datenherkunft bei verschiedenen Arten von Prüfungen

Im Folgenden werden wir verschiedene Arten von Prüfungen erörtern, denen ein Unternehmen ausgesetzt sein kann, sowie darlegen, wie die Datenherkunft dabei helfen kann, die Fragen der Prüfer zu beantworten.

Finanzprüfungen

Bei Finanzprüfungen ist die Herkunftsnachverfolgung für die Rückverfolgbarkeit von entscheidender Bedeutung. Prüfer führen häufig „Walkthroughs“ durch, bei denen sie eine Nummer zurückverfolgen, beginnend bei:

1. Ein Jahresabschluss.
2. Zurück zu einem Bericht oder einem Hauptbuch.
3. Zurück zu den Transaktionssystemen.
4. Zurück zu den Originaldokumenten.

Zum Beispiel:

• In der Gewinn- und Verlustrechnung ausgewiesene Umsatzerlöse.
• Stammt aus einem Konsolidierungssystem.
• Aus verschiedenen ERP-Systemen abgerufen.
• Die Daten stammen aus einzelnen Rechnungen oder Verkaufsaufzeichnungen.

Die Datenherkunft untermauert diese Nachweiskette und verringert die Abhängigkeit von manuellen Erläuterungen.

SOX-Prüfungen (Sarbanes-Oxley)

Bei SOX-Prüfungen wird großer Wert auf die internen Kontrollen der Finanzberichterstattung (ICFR) gelegt. In diesem Zusammenhang ist die Datenherkunft von entscheidender Bedeutung, um Folgendes nachzuweisen:

• Wie Finanzdaten zwischen Systemen fließen.
• In welchen Fällen kommen automatisierte bzw. manuelle Kontrollen zum Einsatz?
• Wie Änderungen an Daten oder Logik geregelt werden.
• Ob die Zugriffskontrollen der Sensibilität der Daten entsprechen.

Wirtschaftsprüfer können Folgendes verlangen:

• Datenflussdiagramme zur Unterstützung wichtiger Berichte.
• Nachweis des Veränderungsmanagements bei Umstrukturierungen.
• An die Datenbewegung gekoppelte Steuerungszuordnungen.

Ohne Nachvollziehbarkeit haben Organisationen oft Schwierigkeiten nachzuweisen, dass die Kontrollmaßnahmen vollständig und wirksam sind.

Regulatorische Prüfungen (DSGVO, HIPAA, BCBS 239 usw.)

Bei behördlichen Prüfungen wird die Herkunft noch deutlicher.

Beispiele hierfür sind:

• DSGVO: Nachweis darüber, wo personenbezogene Daten erhoben, verarbeitet, gespeichert und weitergegeben werden.
• HIPAA: Nachverfolgung geschützter Gesundheitsdaten systemübergreifend.
• BCBS 239 (Bankwesen): Verpflichtung der Banken, die Aggregation von Risikodaten und die Herkunftsnachweise zu dokumentieren.

Die Aufsichtsbehörden verlangen den Nachweis, dass die Organisationen Folgendes verstehen:

• Welche Daten sie haben.
• Wohin es führt.
• Anwendungsweise.
• Wer hat Zugriff darauf?

Hier ist die Datenherkunft keine Option. Sie ist eine regulatorische Anforderung.

IT- und Systemprüfungen

IT-Prüfer bewerten die Zuverlässigkeit von Systemen und Datenpipelines. Mithilfe von Lineage können sie Folgendes bewerten:

• Systemintegrationen und Abhängigkeiten.
• Datenübergaben zwischen Anwendungen.
• Batch-Verarbeitung vs. Echtzeitverarbeitung.
• Fehlerquellen oder Risiken.

Wirtschaftsprüfer könnten fragen:

• Wie Daten von System A zu System B übertragen werden.
• Ob Schnittstellen überwacht werden.
• Wie Fehler erkannt und behoben werden.

Ohne eine dokumentierte Abstammungslinie lassen sich diese Fragen unmöglich mit Sicherheit beantworten.

Interne Prüfungen

Interne Revisionsteams konzentrieren sich zunehmend auf Data Governance Analytik. Sie nutzen die Datenherkunft, um:

• Nicht dokumentierte Datenflüsse identifizieren.
• Heben Sie die Abhängigkeiten von Schlüsselpersonen hervor.
• Risiken im Zusammenhang mit der Datenqualität bewerten.
• Verbesserungen bei der Steuerung vorschlagen.

Auch wenn interne Audits weniger formell sind, bildet die Herkunftsnachverfolgung oft das Rückgrat ihrer Ergebnisse und Empfehlungen.

Was passiert, wenn keine Datenherkunft vorliegt?

Unternehmen ohne klare Datenherkunft sehen sich in der Regel mit folgenden Problemen konfrontiert:

1. Längere, mühsamere Prüfungen

Die Teams bemühen sich,:

• Stellen Sie die Datenflüsse manuell wieder her.
• Ad-hoc-Diagramme und Tabellen erstellen.
• Verlassen Sie sich auf das kollektive Wissen der Gemeinschaft.

Dies führt zu einem höheren Zeitaufwand, höheren Kosten und mehr Stress bei der Prüfung.

2. Erhöhtes Risiko von Prüfungsfeststellungen

Aus Sicht der Rechnungsprüfung stellt eine nicht dokumentierte Herkunft ein Versagen der Unternehmensführung und der Kontrollmechanismen dar und nicht lediglich eine Lücke in der Dokumentation. Infolgedessen können Unternehmen negative Feststellungen erhalten, nicht weil die Zahlen falsch sind, sondern weil es an ausreichenden Nachweisen mangelt, die belegen, dass die Zahlen konsistent und zuverlässig ermittelt wurden.

3. Übermäßiges Vertrauen auf manuelle Erklärungen

Wenn die Herkunft nicht dokumentiert ist, stützen sich Prüfungen auf mündliche Erklärungen einiger weniger Schlüsselpersonen. Dies führt zu:

• Einzelne Ausfallstellen.
• Widersprüchliche Antworten.
• Geschwächtes Vertrauen der Wirtschaftsprüfer.

Prüfer ziehen dokumentierte, reproduzierbare Nachweise dem institutionellen Gedächtnis vor.

Welchen Grad an Datenherkunft erwarten Wirtschaftsprüfer?

Prüfer erwarten in der Regel Verhältnismäßigkeit, nicht Perfektion.

Sie erwarten nicht, dass jedes Feld für jedes System zugeordnet wird, dass für alle Datenbestände eine Echtzeit-Herkunftsverfolgung möglich ist oder dass kleine Organisationen teure Unternehmens-Tools einsetzen müssen.

Stattdessen erwarten sie in der Regel:

• Eindeutige Herkunftsangabe für Materialdaten.
• Dokumentation zu wichtigen Berichten und Kennzahlen.
• Nachweis kontrollierter und wiederholbarer Prozesse.

Unternehmen sollten sich bei der Vorbereitung auf jede Art von Prüfung auf die für den Prüfungsumfang wichtigsten Aspekte konzentrieren. Die Einführung solider, grundlegender Data Governance trägt dazu bei, diesen Zustand ständiger Bereitschaft zu erreichen.

Häufig bei Audits verwendete Artefakte zur Datenherkunft

Unternehmen erfüllen die Anforderungen an die Rechnungsprüfung in der Regel durch eine Kombination aus:

• Dokumente zur Zuordnung von Quell- zu Zieldaten.
• Datenflussdiagramme.
• Dokumentation zur Berichtslogik.
• Mit Datenschritten verknüpfte Kontrollmatrizen.
• Systemarchitekturdiagramme.
• Datenwörterbücher für Schlüsselfelder.

Diese müssen nicht perfekt sein, sollten aber korrekt, aktuell und verständlich sein.

Automatisierte vs. manuelle Datenherkunft

Viele Unternehmen fragen sich, ob sie automatisierte Data-Lineage-Tools benötigen, um die Anforderungen der Prüfer zu erfüllen. Hier finden Sie eine kurze Auflistung der Vor- und Nachteile beider Arten von Data-Lineage-Strategien.

Handbuch-Stammbaum

Vorteile:

• Schneller umzusetzen.
• Geringere Kosten.
• Reicht oft für kleinere Anwendungsbereiche aus.

Nachteile:

• Schwieriger zu pflegen.
• Neigt dazu, veraltet zu sein.
• Bei Prüfungen sehr arbeitsintensiv.

Tools zur automatisierten Herkunftsverfolgung

Vorteile:

• Immer auf dem neuesten Stand.
• Lässt sich systemübergreifend skalieren.
• Reduziert den Prüfungsaufwand im Laufe der Zeit.

Nachteile:

• Höhere Anschaffungskosten.
• Erfordert eine technische Integration.
• Für kleine Umgebungen ist das vielleicht übertrieben.

Wirtschaftsprüfer schreiben Automatisierung in der Regel nicht vor. Ihnen geht es um Genauigkeit und Zuverlässigkeit – nicht darum, welche Tools ein Unternehmen einsetzt, um diese Ziele zu erreichen.

So bereiten Sie sich unter Berücksichtigung der Datenherkunft auf Prüfungen vor

Ein praxisorientierter Ansatz umfasst die folgenden Schritte.

1. Ermitteln Sie die wichtigsten Berichte und Kennzahlen, die bei Prüfungen oder bei der Einreichung von Unterlagen bei Aufsichtsbehörden verwendet werden.
2. Dokumentieren Sie die Datenquellen und die Transformationen für diese Ausgabedaten.
3. Ordnen Sie den einzelnen Schritten des Datenflusses Steuerelemente zu.
4. Die Dokumentation mit den fachlichen und technischen Datenverantwortlichen abgleichen.
5. Halten Sie die Abstammungslinie auf dem neuesten Stand, wenn sich die Systeme ändern.

Dies schrittweise anzugehen ist weitaus effektiver, als zu versuchen, unter dem Druck der Prüfung alles auf einmal zu erstellen.

Actian Data Intelligence-Plattform Tools zur Datenherkunftsverfolgung, die bei Audits helfen

In Prüfungsberichten wird dies zwar nicht immer als „Datenherkunft“ bezeichnet, doch wird durchweg verlangt, dass Ressourcen und Prozesse Folgendes nachweisen:

• Rückverfolgbarkeit.
• Transparenz.
• Kontrolle über die Datenflüsse.
• Vertrauen in die gemeldeten Ergebnisse.

Wenn Sie klar darlegen können, woher Ihre Daten stammen, wie sie aufbereitet wurden und wie sie kontrolliert werden, erfüllen Sie die wesentlichen Anforderungen an die Datenherkunft und werden den Erwartungen bei Audits gerecht. Actian Data Intelligence-Plattform auf Knowledge-Graph-Technologie, stützt sich auf Beobachtbarkeit und kann Unternehmen mit präzisen Informationen zur Datenherkunft bei der Vorbereitung auf Audits unterstützen.

Um zu erfahren, wie die Plattform Ihrem Unternehmen dabei helfen kann, die Data Governance zu festigen Data Governance die Datenherkunft zu dokumentieren, lassen Sie sich die Fähigkeiten in einer individuellen Vorführung vorstellen.

Über den Autor

Über Actian Germany GmbH

Actian ermöglicht es Unternehmen, Daten in großem Umfang sicher verwalten zu steuern. Unternehmen vertrauen auf Datenmanagement Data-Intelligence-Lösungen von Actian, um komplexe Datenumgebungen zu optimieren und die Bereitstellung von KI-fähigen Daten zu beschleunigen. Die auf Flexibilität ausgelegten Lösungen von Actian lassen sich nahtlos integrieren und arbeiten zuverlässig in On-Premises, Cloud und Hybridumgebungen. Erfahren Sie mehr über Actian, den Daten- und KI-Geschäftsbereich von HCL Software, unter actian.com.