Der Einsatz von Software as a Service (SaaS) schließt eine Prüfung nach IDW PS 880 nicht aus. Für Anbieter von Cloud-, ERP- und Rechnungswesenlösungen stellt sich aber eine andere Frage: Was genau wird geprüft, und wie lässt sich die nächste Softwareprüfung trotz laufender Releases planbar vorbereiten?
Die Bereitstellung in der Cloud ist für sich genommen weder ein Ausschlusskriterium noch ein eigener Prüfungsmaßstab. Im Mittelpunkt stehen das konkrete Softwareprodukt, der vereinbarte Prüfungsgegenstand und die Kriterien, nach denen die funktionalen Anforderungen beurteilt werden.
Gerade bei SaaS-Produkten kommt es auf eine saubere Abgrenzung an. Eine Softwarebescheinigung nach IDW PS 880 ist nicht automatisch ein Testat über den gesamten Cloud-Betrieb, die Informationssicherheit des Anbieters oder dessen internes Kontrollsystem.
Warum IDW PS 880 für SaaS-Anbieter relevant ist
Für Softwareanbieter kann eine Bescheinigung nach IDW PS 880 ein wichtiger Nachweis für Kunden, Abschlussprüfer und Geschäftspartner sein. Das gilt besonders dann, wenn die Anwendung rechnungslegungsrelevante Funktionen übernimmt, etwa bei der Belegverarbeitung, der Buchungslogik oder bei Auswertungen für den Jahresabschluss.
In der Praxis reicht eine allgemeine Produktbeschreibung dafür häufig nicht aus. Es muss nachvollziehbar sein, welche Funktionen tatsächlich Gegenstand der Prüfung sind, welcher Versionsstand betrachtet wurde und wie Änderungen an der Software auf die geprüften Funktionen wirken.
Bei SaaS-Lösungen ist dieser Punkt besonders relevant. Releases werden zentral ausgerollt, mehrere Mandanten nutzen dieselbe Plattform und Schnittstellen zu ERP-, DMS- oder Zahlungsverkehrssystemen sind oft eng eingebunden. Das verändert nicht automatisch die fachliche Funktion. Es erhöht aber den Bedarf an klarer Dokumentation und einer belastbaren Prüfungsplanung.
Softwarebescheinigung, Cloud-Prüfung oder IKS-Bericht?
Rund um Cloud-Software werden unterschiedliche Prüfungsleistungen häufig unter dem Sammelbegriff „Cloud-Zertifizierung“ zusammengefasst. Fachlich sollte man genauer unterscheiden.
IDW PS 880: Prüfung des Softwareprodukts
Bei IDW PS 880 steht die Frage im Mittelpunkt, ob das Softwareprodukt bei sachgerechter Anwendung den im Auftrag vereinbarten Kriterien für die funktionalen Anforderungen entspricht. Prüfungsgegenstand kann das Produkt insgesamt, ein Modul oder eine einzelne Funktion sein.
IDW PS 860 und IDW PH 9.860.3: Prüfung von Cloud-Diensten
Bei einer Prüfung von Cloud-Diensten liegt der Blick stärker auf dem Dienstleister und dem Betrieb der Cloud-Umgebung. IDW PH 9.860.3 konkretisiert die Anwendung der Grundsätze des IDW PS 860 auf Prüfungen von Cloud-Diensten. Das ist eine andere Perspektive als die produktbezogene Prüfung nach IDW PS 880.
IDW PS 951 beziehungsweise ISAE 3402: Kontrollen beim Dienstleister
Eine Prüfung nach IDW PS 951 beziehungsweise ISAE 3402 betrifft das interne Kontrollsystem eines Dienstleistungsunternehmens in Bezug auf ausgelagerte Dienstleistungen. Für einen SaaS-Anbieter kann ein solcher Bericht relevant sein, wenn Kunden oder deren Abschlussprüfer einen Nachweis über dienstleistungsbezogene Kontrollen benötigen.
Die Prüfungsleistungen können sich ergänzen. Eine Softwarebescheinigung nach IDW PS 880 ersetzt aber nicht automatisch einen Nachweis über Cloud- oder Dienstleistungskontrollen. Umgekehrt beantwortet ein Bericht über Dienstleistungskontrollen nicht automatisch die Frage, ob die fachlichen Funktionen eines Softwareprodukts den vereinbarten Kriterien entsprechen.
Was regelt IDW PS 880?
Der IDW Prüfungsstandard „Die Prüfung von Softwareprodukten“ in der Fassung IDW PS 880 n.F. (01.2022) beschreibt den Rahmen für eine Prüfung von Softwareprodukten. Ziel ist die Beurteilung mit hinreichender Sicherheit, ob das Produkt bei sachgerechter Anwendung den im Prüfungsauftrag festgelegten Kriterien entspricht.
Die Neufassung von 2022 wurde laut IDW an die ISA [DE] angepasst. Daraus sollten keine speziellen SaaS-Regeln abgeleitet werden, die der Standard nicht ausdrücklich enthält. Eine eigenständige, allgemein formulierte „SaaS-Zertifizierung“ ist nicht der Kern des Standards.
Für den Auftrag bedeutet das: Prüfungsziel, Prüfungsgegenstand, Kriterien und die sachgerechte Anwendung müssen so beschrieben sein, dass sie auf das konkrete Produkt bezogen werden können. Je klarer diese Punkte zu Beginn feststehen, desto weniger Reibungsverluste entstehen später bei Dokumentation, Testfällen und Nachweisen.
Was ist der Prüfungsgegenstand?
Eine SaaS-Plattform besteht häufig aus mehreren Modulen, optionalen Funktionen und Schnittstellen. Deshalb sollte vor der Prüfung nicht nur der Produktname feststehen. Entscheidend ist die fachliche und technische Abgrenzung.
Vor Beginn der Prüfung sollte geklärt werden:
- Welche Anwendung oder welches Produkt wird geprüft?
- Welche Module und Funktionen sind einbezogen?
- Welche Schnittstellen gehören zum Prüfungsgegenstand?
- Welcher Versions- oder Funktionsstand wird betrachtet?
- Nach welchen Kriterien wird beurteilt?
- Für welche sachgerechte Anwendung soll die Aussage gelten?
Diese Fragen sind keine zusätzlichen SaaS-Anforderungen. Sie folgen aus der produkt- und auftragsbezogenen Struktur der Softwareprüfung. Bei einer Plattform mit vielen Konfigurationsmöglichkeiten entscheidet diese Abgrenzung aber maßgeblich darüber, welche Unterlagen und Testfälle tatsächlich benötigt werden.
Welche Funktionen können bei Rechnungswesen-Software relevant sein?
Welche Funktionen geprüft werden, lässt sich nicht allein aus dem Begriff „Finanzsoftware“ oder „SaaS“ ableiten. Maßgeblich sind der Funktionsumfang des Produkts und die Kriterien des konkreten Prüfungsauftrags.
Erfassung und Verarbeitung von Geschäftsvorfällen
Dazu können, abhängig vom Produkt, die Erfassung von Belegen, die Verarbeitung von Rechnungen, Kontierung, Buchungslogik, Steuerkennzeichen oder wiederkehrende Buchungen gehören.
Nachvollziehbarkeit der Verarbeitung
Zu beurteilen sein kann, ob die Verarbeitung von der Eingabe bis zur Buchung und zur Auswertung nachvollziehbar ist. Ob dabei Protokollierungen, Änderungsinformationen oder andere Nachweise betrachtet werden, hängt von den vereinbarten Kriterien und der konkreten Funktion ab.
Abstimmungen und Auswertungen
Bietet die Software Bankabstimmungen, offene Posten, Nebenbuchfunktionen, Abschlussfunktionen oder Berichte an, können diese Bestandteil des Prüfungsgegenstands sein. Sie sind aber nicht automatisch in jeder PS-880-Prüfung enthalten.
Schnittstellen und Datenexporte
Schnittstellen können relevant werden, wenn sie Bestandteil der geprüften Softwarefunktion sind oder für die Beurteilung der Verarbeitung benötigt werden. Der bloße Umstand, dass eine Anwendung cloudbasiert ist, macht nicht jede Schnittstelle automatisch zum Gegenstand der Prüfung.
Berechtigungen und Konfiguration
Berechtigungen, Rollen und Konfigurationen können für die sachgerechte Anwendung der Software von Bedeutung sein. Ob sie als eigene Prüfungsbereiche einbezogen werden, ist im Auftrag und in der Prüfungsplanung festzulegen. Eine pauschale Aussage, IDW PS 880 prüfe stets das vollständige Berechtigungskonzept, wäre zu weitgehend.
Welche Rolle spielt IDW RS FAIT 1?
In der Praxis wird häufig verkürzt von „IDW FAIT 1“ gesprochen. Gemeint ist regelmäßig IDW RS FAIT 1, die Stellungnahme zur Rechnungslegung zu den Grundsätzen ordnungsmäßiger Buchführung bei Einsatz von Informationstechnologie.
IDW RS FAIT 1 kann bei der fachlichen Einordnung rechnungslegungsrelevanter IT-Prozesse und Funktionen eine wichtige Orientierung bieten. Daraus folgt jedoch nicht, dass IDW RS FAIT 1 automatisch und vollständig der Prüfungsmaßstab jeder Softwareprüfung nach IDW PS 880 ist.
Für eine PS-880-Prüfung müssen die Kriterien im konkreten Prüfungsauftrag festgelegt und auf das Softwareprodukt bezogen werden. Bei einer Rechnungswesen- oder ERP-Lösung können Ordnungsmäßigkeit, Nachvollziehbarkeit, Vollständigkeit und Richtigkeit eine Rolle spielen. Der Verweis auf IDW RS FAIT 1 ersetzt aber nicht die konkrete Beschreibung des Prüfungsziels.
IDW PS 880 und SaaS-Releases: Was gilt beim nächsten Versionswechsel?
Regelmäßige Versionswechsel gehören zum SaaS-Modell. Ein Versionswechsel ist dabei weder automatisch ein Neustart der gesamten Prüfung noch automatisch ohne Bedeutung für eine bestehende Bescheinigung.
Ob eine Folgeprüfung, eine ergänzende Beurteilung oder eine andere Einordnung erforderlich ist, hängt unter anderem von folgenden Punkten ab:
- dem Wortlaut und der Abgrenzung der erteilten Bescheinigung,
- dem geprüften Versions- oder Funktionsstand,
- der Art und Bedeutung der Änderungen für die geprüften Funktionen,
- der Dokumentation des Herstellers und der Vereinbarung mit dem Prüfer.
IDW PS 880 n.F. enthält nach den öffentlich zugänglichen Informationen keine allgemeine SaaS-Regel, nach der jeder Versionswechsel automatisch eine vollständige neue Prüfung auslöst. Ebenso lässt sich nicht pauschal sagen, dass Releases für die Bescheinigung immer unbeachtlich sind.
Für SaaS-Anbieter ist deshalb eine nachvollziehbare Produkt- und Release-Dokumentation sinnvoll. Sie sollte erkennen lassen, welche Funktionen geändert wurden, ob rechnungslegungsrelevante Verarbeitungslogiken betroffen sind, welche Tests vor der Freigabe stattgefunden haben, wann die Version produktiv gesetzt wurde und auf welchen Stand sich vorhandene Prüfungsberichte oder Bescheinigungen beziehen.
Was SaaS-Anbieter jetzt konkret tun sollten
1. Prüfungsgegenstand und Funktionsumfang festlegen
Legen Sie fest, welches Produkt, welche Module und welche Funktionen geprüft werden sollen. Bei Plattformen mit optionalen Funktionen ist diese Abgrenzung besonders wichtig. Auch Schnittstellen und relevante Konfigurationen sollten nicht erst während der Prüfung nebenbei geklärt werden.
2. Kriterien und Aussageziel klären
Beschreiben Sie, nach welchen Kriterien die Funktionen beurteilt werden sollen und wofür die Softwarebescheinigung verwendet werden soll. Für rechnungslegungsbezogene Software sollten die fachlichen Anforderungen konkret und verständlich formuliert sein.
3. Versionen und Releases dokumentieren
Halten Sie den geprüften Versions- oder Funktionsstand fest. Dokumentieren Sie wesentliche Änderungen seit dem Prüfungszeitpunkt und deren Auswirkungen auf die geprüften Funktionen. Ein belastbarer Release-Prozess hilft nicht nur dem Prüfer. Er schafft intern auch Klarheit über Verantwortlichkeiten und Freigaben.
4. Produktdokumentation und Testfälle vorbereiten
Stellen Sie Funktionsbeschreibungen, Prozessdarstellungen, Schnittstelleninformationen und relevante Konfigurationsbeschreibungen zusammen. Bereiten Sie außerdem Geschäftsvorfälle und Testdaten vor, mit denen die im Auftrag enthaltenen Funktionen nachvollziehbar demonstriert werden können.
5. Weitere Prüfungsbedarfe abgrenzen
Klären Sie frühzeitig, ob zusätzlich ein Nachweis über Cloud-Kontrollen, Informationssicherheit, Dienstleisterkontrollen oder ausgelagerte Prozesse benötigt wird. Dafür kann eine andere Prüfungsleistung einschlägig sein. Diese Abgrenzung verhindert, dass Erwartungen an eine Softwarebescheinigung gestellt werden, die sie nicht erfüllen soll.
Unser pragmatischer Vorschlag für den Einstieg
Für SaaS-Anbieter empfehlen wir einen kompakten Einstieg in vier Schritten:
- Initialer Workshop. Gemeinsames Verständnis von Produkt, Modulen, Systemlandschaft, Zielsetzung und aktuellem Prüfungsstand.
- Abgrenzung von Prüfungsgegenstand und Kriterien. Festlegen, welche Funktionen und Schnittstellen beurteilt werden und welche Aussage die Bescheinigung tragen soll.
- Readiness-Check für Dokumentation und Releases. Abgleich von Funktionsbeschreibungen, Testfällen, Versionsständen, Änderungsnachweisen und Freigabeprozessen.
- Vorbereitung der Prüfung. Strukturierte Zusammenstellung der Unterlagen, Ansprechpartner, Testdaten und Nachweise für den vereinbarten Prüfungszeitraum.
Dieser Ansatz ist bewusst schlank. Ziel ist nicht, den Prozess unnötig komplex zu machen. Es geht darum, früh Klarheit zu schaffen: Was ist Gegenstand der Prüfung, welche Nachweise sind vorhanden und wo muss vor dem Prüfungsbeginn nachgearbeitet werden?
IDW PS 880 ist kein allgemeines Cloud-Testat
Eine Bescheinigung nach IDW PS 880 beantwortet eine produktbezogene Frage: Entspricht die geprüfte Software bei sachgerechter Anwendung den vereinbarten funktionalen Kriterien?
Sie sagt damit nicht automatisch aus, dass der Anbieter sämtliche Cloud-Kontrollen, seine Informationssicherheit, die Mandantentrennung, seine Unterauftragnehmer oder den gesamten Release-Prozess umfassend geprüft hat. Solche Aussagen können Gegenstand anderer Prüfungsleistungen sein und müssen separat beauftragt und abgegrenzt werden.
IDW PS 880 bei SaaS: Auf die Abgrenzung kommt es an
SaaS-Software kann grundsätzlich Gegenstand einer Prüfung nach IDW PS 880 sein. Die Cloud-Bereitstellung führt weder zum Ausschluss von der Prüfung noch automatisch zu einem vollständig anderen Prüfungsmaßstab.
Entscheidend sind der konkrete Prüfungsgegenstand, die vereinbarten Kriterien und die Frage, ob die Software bei sachgerechter Anwendung die geprüften funktionalen Anforderungen erfüllt. Bei einer Rechnungswesenlösung können rechnungslegungsrelevante Kernfunktionen im Fokus stehen. Sie sind fachlich nicht deshalb anders zu beurteilen, weil die Anwendung als SaaS statt On-Premise bereitgestellt wird.
Besondere praktische Fragen ergeben sich bei SaaS-Produkten aus zentralen Releases, Versionswechseln, Hosting, Mandantentrennung und der Einbindung weiterer Dienstleister. Je früher diese Punkte mit dem Prüfungsauftrag abgeglichen werden, desto besser lässt sich die Prüfung vorbereiten.
Sie bereiten eine Softwareprüfung nach IDW PS 880 vor?
GDC Digital unterstützt Softwareanbieter bei der Einordnung und Vorbereitung von Prüfungen nach IDW PS 880, auch bei cloudbasierten SaaS-, ERP- und Rechnungswesenlösungen. Wir helfen bei der Abgrenzung des Prüfungsgegenstands, der Vorbereitung der Dokumentation und der Einordnung weiterer Prüfungsbedarfe.
Vorheriger Beitrag
