Revisionssicherheit und Verfahrensdokumentation: was der Prüfer wirklich sehen will

Zwei Wörter tauchen in fast jedem DMS-Angebot auf und werden fast nie erklärt: „revisionssicher” und „Verfahrensdokumentation”. Beim ersten nickt man, weil es beruhigend klingt. Beim zweiten hofft man, dass es der Anbieter mitliefert. Beides ist ein Missverständnis, und beide Missverständnisse fallen erst in der Betriebsprüfung auf.

Dieser Artikel erklärt, was hinter den beiden Begriffen steckt, wer wofür zuständig ist und wie eine brauchbare Verfahrensdokumentation für einen kleinen Betrieb aussieht.

Hinweis: Dieser Text ist eine allgemeine Orientierung, keine Rechts- oder Steuerberatung. Für Ihren Fall sprechen Sie bitte mit Ihrem Steuerberater.

„Revisionssicher” steht in keinem Gesetz

Der Begriff stammt nicht aus dem Gesetzestext. Er hat sich aus der Praxis entwickelt und fasst zusammen, was Handelsgesetzbuch, Abgabenordnung und die GoBD an eine elektronische Aufbewahrung stellen. Gemeint sind fünf Eigenschaften:

• unveränderbar: eine abgelegte Fassung lässt sich nicht unbemerkt überschreiben;
• vollständig: kein Beleg fehlt, keiner ist doppelt erfasst;
• nachvollziehbar: für jede Aktion ist erkennbar, wer sie wann ausgeführt hat;
• verfügbar: die Unterlagen sind über die gesamte Aufbewahrungsfrist lesbar und auffindbar;
• geschützt: gegen Verlust, unbefugten Zugriff und technisches Veralten.

Diese fünf Punkte sind der Maßstab. Alles andere ist Marketing.

Warum ein Produkt allein nicht revisionssicher sein kann

Das ist der Satz, den man beim Kauf hören sollte und selten hört: Revisionssicherheit ist eine Eigenschaft des Verfahrens, nicht der Software. Ein System kann die technischen Voraussetzungen liefern, aber ob Ihre Ablage am Ende ordnungsgemäß ist, hängt genauso an der Organisation drumherum.

Ein Beispiel macht es deutlich. Das System protokolliert jede Änderung, sauber und lückenlos. Wenn aber drei Personen mit demselben Administratorzugang arbeiten, weiß das Protokoll nur, dass „admin” etwas getan hat. Die Technik hat geliefert, die Organisation nicht.

Ein zweites: Der Scanprozess ist einwandfrei, die Belege landen vollständig im Archiv. Wenn aber niemand festgelegt hat, wer wann scannt und was mit dem Papier danach passiert, fehlt der Nachweis, dass das digitale Abbild dem Original entspricht.

Deshalb gilt: Wer „zertifizierte Revisionssicherheit” für ein Produkt verspricht, verkürzt. Prüfsiegel und Testate beziehen sich auf die Fähigkeiten der Software oder auf eine konkrete Installation zu einem Zeitpunkt. Sie ersetzen nicht Ihre eigene Dokumentation und nicht die Disziplin im Alltag.

Was die Technik beisteuern muss

Das sind die Funktionen, an denen Sie ein System messen können. Fehlt eine davon, wird der Rest schwierig.

Versionierung. Ändert jemand ein Dokument, entsteht eine neue Fassung, die alte bleibt erhalten und abrufbar. Nicht „das Original wird überschrieben, aber wir haben ja ein Backup”.

Änderungsprotokoll. Wer hat wann was getan: hochgeladen, geöffnet, verschoben, gelöscht, wiederhergestellt, Rechte geändert. Das Protokoll muss auch für Administratoren nicht stillschweigend bereinigbar sein.

Papierkorb mit Wiederherstellung. Ein gelöschtes Dokument verschwindet nicht sofort und endgültig, sondern bleibt für eine definierte Zeit wiederherstellbar.

Rechte und benannte Benutzer. Jede Person hat einen eigenen Zugang. Sammelkonten machen jedes Protokoll wertlos.

Gesicherte Aufbewahrung. Regelmäßige Sicherungen, deren Wiederherstellung tatsächlich einmal getestet wurde, und eine Trennung der Daten zwischen Mandanten oder Unternehmen.

Lesbarkeit über Jahre. Dokumente in gängigen Formaten, exportierbar, ohne dass ein Spezialprogramm nötig ist.

Die Verfahrensdokumentation: der Teil, der Ihnen gehört

Die Verfahrensdokumentation beschreibt, wie in Ihrem Betrieb mit Belegen umgegangen wird, vom Eingang bis zur Aufbewahrung. Sie ist kein Handbuch der Software, sondern die Beschreibung Ihres Verfahrens. Deshalb kann sie kein Anbieter für Sie schreiben, wohl aber die Teile beisteuern, die sein System betreffen.

Verlangt wird sie, damit ein sachverständiger Dritter, in der Praxis der Betriebsprüfer, den Weg eines Belegs nachvollziehen kann, ohne Sie fragen zu müssen. Fehlt sie, ist das für sich genommen ein formeller Mangel. Wie schwer er wiegt, hängt vom Einzelfall ab, und genau darüber möchte man in einer Prüfung nicht diskutieren müssen.

Die vier Teile

Die Struktur folgt dem BMF-Schreiben und funktioniert auch für einen Betrieb mit zehn Personen. Wer nicht bei null anfangen will: Wir stellen eine kostenlose Vorlage für die Verfahrensdokumentation bereit, als Word-Datei und als PDF, ohne Anmeldung und ohne E-Mail-Adresse.

1. Allgemeine Beschreibung. Was macht das Unternehmen, welche Belegarten fallen an, welche Systeme sind im Einsatz, wer ist wofür verantwortlich.

2. Anwenderdokumentation. Wie die Menschen arbeiten: Wer scannt die Eingangspost und wann? Wie werden Dokumente benannt und abgelegt? Wer gibt Rechnungen frei? Was passiert mit dem Papier nach dem Scannen? Das ist der Teil, den ein Prüfer zuerst liest, und der Teil, der in der Realität am häufigsten fehlt.

3. Technische Systemdokumentation. Welche Software in welcher Version, wo liegen die Daten, wie sind Rechte vergeben, wie und wie oft wird gesichert, wie lange werden Protokolle aufbewahrt. Hier liefert Ihr Anbieter die Fakten zu.

4. Betriebsdokumentation. Wie das Verfahren im Alltag kontrolliert wird: wer prüft die Vollständigkeit, wer testet die Wiederherstellung eines Backups, wie werden neue Mitarbeitende eingewiesen.

Dazu kommt ein oft vergessenes Element: die Änderungshistorie. Die Verfahrensdokumentation muss versioniert sein, denn für jeden Zeitraum der Aufbewahrungsfrist muss die damals gültige Fassung vorliegen. Eine Dokumentation ohne Datum und Versionsnummer beschreibt nur die Gegenwart, gebraucht wird sie aber für die Vergangenheit.

Wie lang muss sie sein?

Für einen kleinen Betrieb reichen erfahrungsgemäß zehn bis zwanzig Seiten, wenn sie das tatsächliche Vorgehen beschreiben. Eine fünfzigseitige Mustervorlage, die mit Ihrem Alltag nichts zu tun hat, ist schlechter als fünf ehrliche Seiten. Der Maßstab ist immer derselbe: Könnte ein Fremder danach Ihren Belegfluss nachvollziehen?

Ersetzendes Scannen: hier wird es ernst

Papierbelege dürfen nach dem Scannen vernichtet werden, wenn der Scanprozess dokumentiert und eingehalten wird. Genau dafür ist die Verfahrensdokumentation die Voraussetzung. Sie beschreibt, wer scannt, welche Vorlagen erfasst werden, wie die Übereinstimmung mit dem Original geprüft wird, wie mit fehlerhaften Scans umgegangen wird und wann das Papier vernichtet wird.

Ohne diese Beschreibung bleibt das Papier faktisch die einzige belastbare Grundlage. Mit ihr fällt die Doppelablage weg, und das ist für viele Betriebe der eigentliche wirtschaftliche Gewinn der Digitalisierung.

Ausgenommen bleiben Unterlagen, die im Original aufzubewahren sind, etwa Jahresabschlüsse oder Urkunden.

Die fünf häufigsten Fehler

1. Sammelkonten. Ein Zugang für mehrere Personen, und das Protokoll sagt nichts mehr aus.
2. Die Dokumentation aus dem Internet. Ein Muster ist ein guter Startpunkt und eine schlechte Abgabe. Was drinsteht, muss stimmen.
3. Keine Version, kein Datum. Wer nicht nachweisen kann, welches Verfahren 2024 galt, hat für 2024 keine Dokumentation.
4. Das Backup, das nie zurückgespielt wurde. Eine Sicherung, deren Wiederherstellung niemand getestet hat, ist eine Annahme, kein Nachweis.
5. Zwei Ablagen parallel. Ein Teil im DMS, ein Teil auf dem Netzlaufwerk. Damit ist die Vollständigkeit dahin, und niemand weiß mehr, welche Fassung gilt.

Die Liste für Montagmorgen

• Hat jede Person einen eigenen Zugang, und ist der alte Sammelaccount deaktiviert?
• Führt das System ein Protokoll, das auch Administratoren nicht unbemerkt löschen können?
• Bleiben frühere Fassungen eines Dokuments erhalten?
• Wurde in den letzten zwölf Monaten eine Wiederherstellung getestet, mit Datum und Ergebnis?
• Existiert eine Verfahrensdokumentation mit Versionsnummer, und beschreibt sie, was Sie heute wirklich tun?
• Ist geregelt, was nach dem Scannen mit dem Papier passiert?

Sechs Fragen. Wer alle sechs mit Ja beantwortet, hat die Substanz beisammen.

Was Blina Space davon abdeckt

Auf der technischen Seite bringt Blina Space die Bausteine mit: benannte Benutzer mit Rollen und Rechten, ein Aktivitätsprotokoll über Zugriffe und Änderungen, erhaltene frühere Fassungen, einen Papierkorb mit Wiederherstellung, Virenprüfung jeder Datei, automatische Sicherungen, eine eigene Datenbank je Unternehmen statt gemischter Daten und Hosting in Deutschland.

Was Blina Space nicht tut, und was Ihnen niemand seriös verkaufen kann: Ihre Verfahrensdokumentation schreiben. Wir können die technischen Angaben für Teil 3 liefern, damit Ihr Steuerberater den Rest nicht erraten muss, und wir stellen die Vorlage samt Ausfüllhinweisen kostenlos zur Verfügung. Die Beschreibung Ihres Betriebs bleibt Ihre.

Das ist keine Einschränkung, sondern der Punkt: Ordnungsmäßigkeit entsteht aus Software und Organisation. Wer nur eine Hälfte kauft, hat sie nicht.