Zum Inhalt springen
0621 877 55 990
Notfall
DAVINCI Rechenzentrum

Die Nachweismappe: acht Belege, einmal gebaut, viermal vorgelegt

Der Nachweiskatalog dieses Bereichs als Arbeitsliste: je Beleg, was er enthält, wer ihn liefert, in welchem Rhythmus er erneuert wird und welcher Prüfer in welcher Formulierung danach fragt. Wer die Mappe führt, bereitet keine Prüfung mehr vor – er zieht sie aus dem Schrank.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr
Geöffneter Serverschrank mit leuchtenden StatusanzeigenKI-generiertes Bild

Was Ihr Haus vorlegen muss

Wirtschaftsprüfer, Finanzamt, Kunden und BSI verlangen dieselben Belege – gebaut werden sie einmal.

1Wie viele Arbeitsplätze hat Ihr Unternehmen?
2In welcher Branche?
3Welche Software setzen Sie ein?

Erscheint nach der Branche.

Drei Angaben genügen – Sie sehen sofort, was bei Ihnen trägt.

Die meisten Häuser bereiten jede Prüfung einzeln vor: im Herbst für den Wirtschaftsprüfer, nach dem Brief des Finanzamts für die Betriebsprüfung, nach der Anfrage des Einkaufs für das Kundenaudit. Jedes Mal werden dieselben Dinge gesucht, zusammengestellt und danach wieder verstreut. Die Nachweismappe beendet das: ein Ordner – physisch oder im Archiv –, in dem die acht Belege liegen, die alle vier Prüfer verlangen, jeder mit Datum, jeder in einem festen Rhythmus erneuert.

Die Mappe ist kein zusätzliches Dokument. Sie ist der Ort, an dem die Dokumente liegen, die ohnehin entstehen müssen – und die Liste, die sagt, wann der nächste fällig ist. Wer sie führt, hat bei der nächsten Anfrage keine Vorbereitung mehr, sondern einen Griff ins Regal.

Die acht Belege

Spalte „Wer“ nennt die Quelle im Normalfall; bei Systemen, die wir betreiben, liefern wir die mit ✦ markierten Belege.

BelegInhaltWerRhythmusFundstelle
1. Berechtigungskonzept mit RechtelisteRollen, Funktionstrennung, privilegierte Konten, Austrittsprozess; Anhang: Export mit Datum, Abgleich gegen PersonallisteLeitung (Konzept), ✦ Betrieb (Listen)Konzept jährlich, Listen vierteljährlichGoBD Rz. 110; § 30 Abs. 2 Nr. 9 BSIG
2. RücksicherprotokollWas zurückgespielt wurde, wann, wie lange, Ergebnis; Sicherungskonzept mit Aufbewahrung✦ BetriebMindestens halbjährlich§ 30 Abs. 2 Nr. 3 BSIG; GoBD Rz. 152 (Absicherung gegen Verlust)
3. Änderungsfreigaben und VersionsständeWelche Änderungen an Buchhaltung, ERP und Infrastruktur, wer freigegeben hat, eingesetzte ProgrammversionenFachabteilung (Freigabe), ✦ Betrieb (Versionen)Laufend, Übersicht vierteljährlichGoBD Rz. 154 (Programmidentität); § 30 Abs. 2 Nr. 5 BSIG
4. VerfahrensdokumentationAllgemeine Beschreibung, Anwenderdokumentation, technische Systemdokumentation, Betriebsdokumentation – versioniertHaus und Steuerberater; ✦ Betrieb (technische Teile)Bei Änderungen, Prüfung vierteljährlichGoBD Rz. 151–155; § 147 Abs. 1 Nr. 1 AO
5. VorfallberichtErkannte Vorfälle mit Zeitachse, Bewertung, Maßnahmen, Meldung; Lagebild der Erkennung✦ Betrieb (Angriffserkennung), Leitung (Bewertung)Je Vorfall; Lagebild monatlich§ 30 Abs. 2 Nr. 2, § 32 BSIG
6. DienstleisternachweisVerträge mit Leistungsbeschreibung, Standorte, Zugriffe, Vorfallmeldung; Bericht nach PS 951 / ISAE 3402, soweit vorhandenLeitung, DienstleisterJährlichGoBD Rz. 21; § 147 Abs. 6 AO; § 30 Abs. 2 Nr. 4 BSIG
7. Archiv- und AufbewahrungskonzeptWelche Belege wo liegen, Unveränderbarkeit, Fristen je Belegtyp, Löschung, Datenzugriff Z1–Z3Buchhaltung und Steuerberater; ✦ Betrieb (Technik)Jährlich§ 146 Abs. 4, § 147 Abs. 3 und 6 AO; GoBD Rz. 107–110, 165–170
8. Protokoll der LeitungBeschluss zu Maßnahmen, vierteljährlicher Bericht auf einer Seite, Reaktion auf Lücken, SchulungsnachweisGeschäftsführungVierteljährlich§ 38 BSIG; § 317 HGB (Fortführung)

Derselbe Beleg, vier Fragen

Was die Mappe leistet, zeigt sich am ersten Beleg. Der Wirtschaftsprüfer fragt: „Gibt es ein Berechtigungskonzept, und wer hat es freigegeben?“ Der Betriebsprüfer fragt: „Wie stellen Sie sicher, dass Buchungen nicht unbemerkt geändert werden?“ Der Kundenauditor fragt: „Wie steuern Sie den Zugriff auf unsere Daten?“ Das BSI fragt: „Wie haben Sie § 30 Abs. 2 Nr. 9 umgesetzt, und wo ist das dokumentiert?“ Vier Formulierungen, ein Dokument – mit Datum und Rechteliste im Anhang.

Deshalb lohnt es sich, jeden Beleg so zu schreiben, dass er alle vier Fragen beantwortet, statt vier Fassungen zu führen. Die Fundstellen in der Tabelle helfen dabei: Wer die Randnummer oder den Paragrafen auf dem Beleg nennt, zeigt dem Prüfer, dass er weiß, warum das Dokument existiert. Das ist mehr wert, als es klingt.

Die Mappe anlegen

  1. Bestand aufnehmenFür jeden der acht Belege: vorhanden, mit Datum? Der Nachweis-Check auf dieser Website tut das in zwei Minuten und gibt die Liste der Lücken aus.
  2. Zuständigkeit und Rhythmus festlegenJe Beleg eine Person und ein Termin. Die Belege aus dem Betrieb kommen vom Dienstleister – das gehört in seinen Vertrag.
  3. Lücken schließen, in der Reihenfolge der TabelleBerechtigungen und Rücksicherung zuerst – sie sind am schnellsten zu beschaffen und werden am häufigsten verlangt.
  4. Einen Ort bestimmenEin Ordner im Archiv mit Unveränderbarkeit, Zugriff für Leitung, Buchhaltung und IT. Nicht das Postfach des IT-Leiters.
  5. Vierteljährlich eine StundeFällige Belege erneuern, Änderungen eintragen, den Bericht an die Leitung schreiben. Das ist zugleich die Überwachung, die § 38 BSIG verlangt.

Werkzeuge dazu

Häufige Fragen

Reicht die Mappe als Verfahrensdokumentation?
Nein – sie enthält die Verfahrensdokumentation als Beleg 4, ersetzt sie aber nicht. Die Mappe ist der Ort und die Liste; die Verfahrensdokumentation ist ein eigenes, nach GoBD Rz. 153 gegliedertes Dokument. Beides zusammen beantwortet die Fragen aller vier Prüfer.
Wie viel Arbeit ist das im laufenden Betrieb?
Nach dem Anlegen etwa eine Stunde im Quartal, wenn die Belege aus dem Betrieb geliefert werden – prüfen, ablegen, eine Seite Bericht an die Leitung. Das Anlegen selbst hängt vom Bestand ab: Ein Haus mit geregelten Berechtigungen und geprobter Sicherung braucht Wochen, eines ohne braucht Monate.
Welche Belege liefern Sie konkret?
Für Systeme, die wir betreiben: Rechteliste und Kontenabgleich (Beleg 1, Anhang), Rücksicherprotokoll und Sicherungskonzept (2), Versionsstände und Änderungsprotokoll (3), technische System- und Betriebsdokumentation (4), Vorfallberichte und Lagebild der Angriffserkennung (5), die technische Beschreibung von Archiv und Datenzugriff (7). Konzepte, Beschlüsse und Verträge (1, 6, 8) bleiben beim Haus – wir bringen Vorlagen mit.
Was, wenn ein Prüfer etwas verlangt, das nicht in der Mappe steht?
Das kommt vor – jeder Prüfer hat Schwerpunkte, und Branchen haben Besonderheiten (Kassen im Handel, Medizinprodukte, Chargenrückverfolgung). Die Mappe deckt den gemeinsamen Kern; was darüber hinaus verlangt wird, wird beim nächsten Mal ein neunter Beleg. Wichtig ist nur, dass er dann in der Mappe liegt und nicht im Postfach.

Quellen und Nachweise

  1. GoBD im Amtlichen AO-Handbuch 2024, Anhang 64 – Rz. 21, 107–110, 151–155, 165–170 · Bundesministerium der Finanzenamtlich
  2. § 146 AO – Ordnungsvorschriften für die Buchführung, Absatz 4 · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  3. § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  4. § 30 BSIG – Risikomanagementmaßnahmen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  5. § 32 BSIG – Meldepflichten · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  6. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  7. § 317 HGB – Gegenstand und Umfang der Prüfung · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich

Das gehört dazu

WirtschaftsprüferDer Wirtschaftsprüfer prüft IT nicht als IT, sondern als Grundlage der Zahlen: Wer darf buchen, wer darf ändern, läuft die Sicherung, wer hat Administratorrechte. Die vier Felder, die typischen Feststellungen – und warum eine Feststellung ein Termin für die Geschäftsführung ist.Ansehen →
VerfahrensdokumentationFür jedes DV-System muss eine Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse vollständig und schlüssig ersichtlich sind – so steht es in Rz. 151 der GoBD. Was hinein muss, wie sie gegliedert ist, wer welchen Teil schreibt, und warum sie fehlt, obwohl alles läuft.Ansehen →
GoBD-konforme IT„GoBD-konform“ ist keine Eigenschaft einer Software, sondern eines Verfahrens. Drei Dinge muss die Technik dafür leisten: Buchungen und Belege unveränderbar halten, acht bis zehn Jahre lesbar aufbewahren und dem Prüfer auf drei Wegen zugänglich machen. Was das für Server, Archiv und Sicherung bedeutet – mit Randnummern.Ansehen →
BerechtigungskonzeptWer darf was, wer hat das entschieden, wann wurde es zuletzt geprüft – drei Fragen, die Wirtschaftsprüfer, Betriebsprüfer, Kundenauditoren und das BSI gleichermaßen stellen. In den meisten Häusern liegt die Antwort im Verzeichnisdienst, aber nicht auf Papier. Wie ein Berechtigungskonzept aussieht, das ein Prüfer akzeptiert, und wie es gepflegt wird.Ansehen →
TISAXWer Automobilhersteller beliefert, wird nach TISAX gefragt – einem Prüfverfahren der ENX Association auf Basis des VDA-ISA-Katalogs. Was dahintersteckt, wie lange ein Label gilt, was ein Zulieferer mit 80 Beschäftigten technisch braucht und was davon aus dem Rechenzentrum kommt. Die Prüfung selbst machen zugelassene Prüfdienstleister – nicht wir.Ansehen →
ISO 27001ISO/IEC 27001 zertifiziert ein Managementsystem, nicht eine Technik – aber ohne die Technik besteht kein Audit. Was ein Zertifikat ist, wie lange es gilt, wie das BSI den Weg über den IT-Grundschutz beschreibt, und welche Maßnahmen der Auditor im Betrieb der Systeme prüft. Wir sind nicht zertifiziert und sagen, was das für Sie bedeutet.Ansehen →
ISAE 3402 / PS 951Wenn Buchhaltung, Server oder Archiv bei einem Dienstleister laufen, muss Ihr Wirtschaftsprüfer dessen Kontrollen beurteilen. Entweder prüft er selbst – oder er liest einen Bericht, den ein anderer Prüfer über den Dienstleister erstellt hat: nach ISAE 3402 international, nach IDW PS 951 in Deutschland. Was darin steht, wie man ihn liest, was Typ 1 von Typ 2 unterscheidet – und warum wir ehrlich sagen, dass wir keinen haben.Ansehen →
DORASeit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen – und reicht ihre Pflichten an jeden IT-Dienstleister weiter, der für sie arbeitet. Was ein Dienstleister dann vertraglich zusagen und nachweisen muss, und wo die Grenze zu Rechtsberatung liegt.Ansehen →
Prüfung bestehenVier Prüfer, ein Nachweiskatalog: Wer die Buchführung prüft, die Steuer, die Lieferkette oder die Sicherheit, verlangt am Ende dieselben acht Belege aus der IT. Einmal gebaut, viermal vorgelegt. Diese Seiten sagen, was jeder Prüfer sehen will, was technisch dahintersteht und was davon aus dem Rechenzentrum kommt.Ansehen →

Die Mappe anlegen – mit den Belegen aus dem Betrieb

Vier der acht Belege entstehen beim Betrieb der Systeme. Wir liefern sie im Quartal, mit Datum, in der Form, die ein Prüfer liest – und bringen die Vorlage für die übrigen vier mit.

Verfahrensdokumentation gliedern