Verfahrensdokumentation in zwei Tagen: Was hinein muss, was nicht, und wer welchen Teil schreibt

Die Verfahrensdokumentation hat einen schlechten Ruf, und er ist verdient – nicht wegen der Anforderung, sondern wegen der Art, wie sie angegangen wird. Als Projekt mit Berater, Vorlage und 80 Seiten, das nach drei Monaten liegen bleibt, weil niemand die Seiten 40 bis 80 füllen will. Dabei verlangen die GoBD etwas anderes: eine übersichtlich gegliederte Beschreibung, aus der ein sachverständiger Dritter in angemessener Zeit versteht, wie aus einem Beleg eine Buchung wird und wo beides danach liegt (Rz. 151; § 238 HGB).

Für einen typischen mittelständischen Betrieb – Buchhaltungssoftware im Haus oder beim Steuerberater, gescannte Eingangsrechnungen, ein ERP oder eine Warenwirtschaft als Vorsystem, ein Archiv – ist das in zwei Arbeitstagen zu schaffen. Nicht von einer Person, sondern von drei: der Geschäftsführung oder Buchhaltungsleitung, dem Steuerberater und dem, der die Systeme betreibt. Jeder schreibt den Teil, den nur er kennt.

Die vier Teile und ihre Autoren

Rz. 153 nennt die Bestandteile: allgemeine Beschreibung, Anwenderdokumentation, technische Systemdokumentation, Betriebsdokumentation. Die Zuständigkeit steht nicht in den GoBD, aber sie ergibt sich: Die allgemeine Beschreibung und die Anwenderdokumentation kennt das Haus – wer nimmt Belege an, wer erfasst, wer gibt frei, wer scannt. Die technische System- und die Betriebsdokumentation kennt der Betreiber der Systeme – Versionen, Infrastruktur, Schnittstellen, Sicherung, Berechtigungen, Datenzugriff. Der Steuerberater bewertet, ob der beschriebene Prozess den GoBD genügt, etwa beim ersetzenden Scannen.

Tag eins, vormittags: der Belegfluss

Die Geschäftsführung oder die Buchhaltungsleitung schreibt für jeden Belegtyp eine Seite: Eingangsrechnung, Ausgangsrechnung, Kontoauszug, Kassenbeleg, Vertrag. Auf jeder Seite dieselben Fragen: Wo entsteht der Beleg oder kommt an, wer prüft, wer erfasst, wer gibt frei, wer bucht, wo liegt das Original, wann wird es vernichtet. Das ist der Kern der allgemeinen Beschreibung und der Anwenderdokumentation – und es ist der Teil, den niemand sonst schreiben kann, weil niemand sonst weiß, dass die Eingangsrechnungen am Montag von der Assistenz geöffnet und am Dienstag vom Einkauf geprüft werden.

Tag eins, nachmittags: Systeme und Verantwortliche

Eine Tabelle: welche Systeme, wer ist fachlich verantwortlich, wer technisch, seit wann im Einsatz. Buchhaltung, Vorsysteme, Archiv, Scansoftware, E-Mail-Postfach für elektronische Rechnungen. Dazu die Verantwortlichkeiten nach Rz. 21: Der Steuerpflichtige bleibt verantwortlich, auch wenn Steuerberater oder Rechenzentrum Aufgaben übernehmen – und das gehört als Satz in die allgemeine Beschreibung, mit den Namen der Beteiligten.

Tag zwei, vormittags: die technischen Teile vom Betreiber

Jetzt liefert der, der die Systeme betreibt – die eigene IT oder das Rechenzentrum. Was er liefert, muss er nicht erfinden, sondern nur aufschreiben: eingesetzte Programme mit Version (Programmidentität nach Rz. 154), Server und Betriebssysteme, Standort, Schnittstellen zwischen Vorsystemen und Buchhaltung mit Richtung und Rhythmus, Sicherungskonzept mit dem letzten Rücksicherprotokoll, Berechtigungen mit Rechteliste, und wie das Archiv Unveränderbarkeit gewährleistet – Versionierung, Löschprotokoll, oder bei Ablage im Dateisystem die zusätzlichen Maßnahmen, die Rz. 110 verlangt.

Dazu der Datenzugriff: Wie bekommt ein Betriebsprüfer Lesezugriff (Z1), wer wertet nach seinen Vorgaben aus (Z2), wie wird exportiert (Z3) – nach § 147 Abs. 6 AO und Rz. 165 bis 170. Bei Betrieb im Rechenzentrum: der Satz aus dem Vertrag, dass der Betreiber diese drei Wege bedient. Das ist die technische Systemdokumentation; die Betriebsdokumentation ergänzt Wartung, Updates mit Freigabe, Störungen und die Löschung nach Fristablauf. Wer seine Systeme bei uns betreibt, bekommt diesen Teil fertig – er entsteht aus den Protokollen, die ohnehin geführt werden.

Tag zwei, nachmittags: Bewertung, Version, Termin

Der Steuerberater liest den Belegfluss und bewertet, was steuerlich zu bewerten ist: ersetzendes Scannen, Kasse, Aufbewahrungsfristen je Belegtyp nach § 147 Abs. 3 AO. Das ist seine Aufgabe und nicht die der IT. Dann bekommt das Dokument eine Versionsnummer, ein Datum und eine Änderungshistorie auf der ersten Seite – Rz. 154 verlangt beides – und einen Termin im Kalender: jedes Quartal eine halbe Stunde, in der Änderungen eingetragen werden. Ohne diesen Termin ist die Dokumentation in einem Jahr wieder das, was sie vorher war: ein Ordner, der ein Verfahren beschreibt, das es nicht mehr gibt.

Der Fehler, der die meisten Dokumentationen entwertet

Er passiert nicht beim Schreiben, sondern danach: Die Dokumentation wird fertig, abgeheftet und nie wieder angefasst. Zwei Jahre später hat die Buchhaltungssoftware drei Versionssprünge hinter sich, das Archiv wurde gewechselt, der Scanprozess läuft über ein neues Gerät – und die Dokumentation beschreibt ein Verfahren, das es nicht mehr gibt. Rz. 154 verlangt genau das Gegenteil: Für den Zeitraum der Aufbewahrungsfrist muss die Dokumentation dem tatsächlich eingesetzten Verfahren entsprechen, versioniert, mit Änderungshistorie.

Deshalb ist der Termin am Ende von Tag zwei der wichtigste Satz des Vorhabens. Eine halbe Stunde im Quartal: Was hat sich geändert – Software, Server, Prozess, Dienstleister, Person? Eintragen, Versionsnummer hochzählen, Datum setzen, ablegen. Die technischen Änderungen liefert der Betreiber der Systeme ohnehin mit seinem Bericht; was bleibt, ist der Belegfluss, und der ändert sich selten. Wer diesen Termin hält, hat eine Dokumentation, die bei jeder Prüfung gilt. Wer ihn nicht hält, hat in zwei Jahren einen Ordner, der dieselbe Feststellung erzeugt wie gar keiner.

Was nicht hinein muss

Zwei Tage sind kein Versprechen für jeden Betrieb. Wer zehn Vorsysteme, drei Standorte und eine eigene Softwareentwicklung hat, braucht länger. Aber für den Betrieb, der heute keine Verfahrensdokumentation hat, weil er sie für ein Projekt hält, ist die Nachricht dieselbe: Es ist keines. Es sind drei Autoren, zwei Tage und ein Termin im Quartal.

Verwandte Themen: Wer hier weiterdenkt, liest bei revisionssichere Archivierung, IT-Prüfung im Jahresabschluss und Angriffserkennung unter NIS2 weiter.