Re­vi­si­ons­si­cher­heit: De­fi­ni­ti­on und Bedeutung für die Cloud

In­for­ma­tio­nen in elek­tro­ni­scher Form auf­zu­be­wah­ren, gehört mitt­ler­wei­le in vielen Un­ter­neh­men zur Ta­ges­ord­nung. Das pa­pier­lo­se Büro wird immer beliebter. Bei der digitalen Ar­chi­vie­rung gilt es aber allerhand zu beachten: Auf­be­wah­rungs­pflich­ti­ge und -würdige Dokumente sind bei­spiels­wei­se immer re­vi­si­ons­si­cher im digitalen Spei­cher­raum abzulegen. Wir verraten, was es damit auf sich hat.

Der Begriff der Re­vi­si­ons­si­cher­heit be­schreibt eine sichere Auf­be­wah­rung von In­for­ma­tio­nen in elek­tro­ni­scher Form, die man auch als re­vi­si­ons­si­che­re Ar­chi­vie­rung be­zeich­net. Ur­sprüng­lich betrifft die Re­vi­si­ons­si­cher­heit auf­be­wah­rungs­pflich­ti­ge und -würdige Daten im handels- und steu­er­recht­li­chen Bereich, deren Ar­chiv­sys­te­me ver­schie­de­nen An­for­de­run­gen ent­spre­chen müssen. Neben ver­schie­de­nen handels- und steu­er­recht­li­chen Vorgaben geht eine re­vi­si­ons­si­che­re In­for­ma­ti­ons­auf­be­wah­rung auf folgende Richt­li­ni­en zurück:

• die An­for­de­run­gen des Han­dels­ge­setz­bu­ches (HGB) an die Führung von Han­dels­bü­chern (§ 239) und an die Auf­be­wah­rung von Un­ter­la­gen (inklusive Auf­be­wah­rungs­fris­ten) (§ 257)
• die An­for­de­run­gen der Ab­ga­ben­ord­nung (AO) an die Buch­füh­rung und Auf­zeich­nung (§ 146) und an die Auf­be­wah­rung von Un­ter­la­gen (§ 147)
• die Grund­sät­ze der ord­nungs­ge­mä­ßen elek­tro­ni­schen Buch­füh­rung (GoBD)

Mitt­ler­wei­le ist Re­vi­si­ons­si­cher­heit bzw. re­vi­si­ons­si­che­re Ar­chi­vie­rung auch außerhalb der Handels- und Steu­er­welt ein Thema: Immer häufiger wird der Begriff bei­spiels­wei­se verwendet, um eine ver­fäl­schungs­si­che­re und lang­zei­ti­ge Auf­be­wah­rung elek­tro­ni­scher In­for­ma­tio­nen zu kenn­zeich­nen.

Aus den An­for­de­run­gen, die das Han­dels­ge­setz­buch, die Ab­ga­ben­ord­nung und die GoBD stellen, lassen sich folgende zehn Merkmale für Re­vi­si­ons­si­cher­heit ableiten:

1. Voll­stän­dig­keit: Auf dem Weg ins Archiv darf kein Dokument verloren gehen.
2. Un­ver­än­der­bar­keit: Jegliche Dokumente werden un­ver­än­dert und un­ver­än­der­bar ar­chi­viert.
3. Ord­nungs­mä­ßig­keit: Jedes Dokument ist den recht­li­chen und or­ga­ni­sa­ti­ons­in­ter­nen Richt­li­ni­en folgend auf­zu­be­wah­ren.
4. Wie­der­auf­find­bar­keit: Alle In­for­ma­tio­nen müssen wie­der­auf­find­bar bzw. abrufbar sein, bei­spiels­wei­se durch das In­de­xie­ren mit Metadaten.
5. Nutzung nur durch Be­rech­tig­te: Alle In­for­ma­tio­nen müssen derartig ar­chi­viert sein, dass sie nur von be­rech­tig­ten Personen ein­ge­se­hen werden können.
6. Sicherung vor Verlust: Die Da­ten­si­cher­heit muss zu jedem Zeitpunkt ge­währ­leis­tet sein.
7. Achtung der Auf­be­wah­rungs­fris­ten: Ein Dokument darf frü­hes­tens dann aus dem Archiv gelöscht werden, wenn seine Auf­be­wah­rungs­frist ab­ge­lau­fen ist.
8. Do­ku­men­ta­ti­on: Eine aus­führ­li­che Do­ku­men­ta­ti­on des Ar­chi­vie­rungs­ver­fah­rens ist Pflicht, um bei­spiels­wei­se eine rei­bungs­lo­se Migration des Archivs zu er­mög­li­chen.
9. Nach­voll­zieh­bar­keit: Sämtliche Ver­än­de­run­gen im Archiv sind zu pro­to­kol­lie­ren, sodass sie nach­voll­zieh­bar sind und die Wie­der­her­stel­lung des ur­sprüng­li­chen Zustands möglich ist.
10. Prüf­bar­keit: Ein re­vi­si­ons­si­che­res Ar­chiv­sys­tem muss jederzeit von einem dritten Sach­ver­stän­di­gen über­prüf­bar sein.

Ein digitales Archiv, das die auf­ge­zeig­ten Ansprüche der Re­vi­si­ons­si­cher­heit erfüllt, kann sich aus ver­schie­dens­ten Gründen auszahlen. Zum einen hilft ein re­vi­si­ons­si­che­res Archiv, Ge­schäfts­pro­zes­se zu op­ti­mie­ren: Passende Such­me­cha­nis­men und eine ver­bes­ser­te In­for­ma­ti­ons­struk­tur sorgen dafür, dass ge­wünsch­te Dokumente in kürzester Zeit verfügbar sind, um bei­spiels­wei­se Kun­den­an­fra­gen noch schneller be­ant­wor­ten zu können.

Zum anderen hilft Re­vi­si­ons­si­cher­heit dabei, Fehler im Umgang mit wichtigen Daten bzw. Do­ku­men­ten lang­fris­tig auf ein Minimum zu re­du­zie­ren. Die re­vi­si­ons­si­che­re elek­tro­ni­sche Ar­chi­vie­rung stellt sicher, dass keine mehr­fa­chen Exemplare eines Dokuments auf­tau­chen oder dass keine In­for­ma­tio­nen ver­se­hent­lich gelöscht werden.

Generell können Un­ter­neh­men durch die Rea­li­sie­rung eines re­vi­si­ons­si­che­ren Ar­chiv­sys­tems größeren fi­nan­zi­el­len Schäden und einem möglichen Image­ver­lust infolge ver­lo­ren­ge­gan­ge­ner Dokumente oder un­be­rech­tig­ter Zugriffe vorbeugen.

Wer ein re­vi­si­ons­si­che­res System für die digitale Auf­be­wah­rung von Do­ku­men­ten aufbaut und einsetzt, kann damit auch ganz grund­sätz­lich auf Kunden- und Part­ner­sei­te punkten. Zer­ti­fi­ka­te, die Re­vi­si­ons­si­cher­heit be­stä­ti­gen, schaffen Vertrauen und sind damit nicht nur als wichtiger Über­zeu­gungs­fak­tor für neue Kunden, Partner und In­ves­to­ren, sondern auch als Basis für eine lang­fris­ti­ge Zu­sam­men­ar­beit gefragt.

Ty­pi­scher­wei­se findet eine Über­prü­fung und Zer­ti­fi­zie­rung der Re­vi­si­ons­si­cher­heit von elek­tro­ni­schen Ar­chiv­sys­te­men durch Wirt­schafts­prü­fer vor Ort statt. Das IDW (Institut der Wirt­schafts­prü­fer in Deutsch­land) hat hierfür 2015 mit der Ver­laut­ba­rung IDW RS FAIT 3 („Grund­sät­ze ord­nungs­mä­ßi­ger Buch­füh­rung beim Einsatz elek­tro­ni­scher Ar­chi­vie­rungs­ver­fah­ren“) eigene Vorgaben gemacht, die Un­ter­neh­men für einen er­folg­rei­chen Check erfüllen müssen.

Eine „re­vi­si­ons­si­che­re Ar­chi­vie­rung von Do­ku­men­ten­ma­nage­ment-Lösungen“ können sich Un­ter­neh­men außerdem von TÜV In­for­ma­ti­ons­tech­nik (TÜViT) zer­ti­fi­zie­ren lassen. Als Grundlage für den Zer­ti­fi­zie­rungs­pro­zess verwenden die TÜViT-Experten die Prüf­kri­te­ri­en für Do­ku­men­ten­ma­nage­ment- und Do­ku­men­ten­pro­zess-Lösungen (PK-DML) des Verbands für Or­ga­ni­sa­ti­ons- und In­for­ma­ti­ons­sys­te­me (VOI).

Die Vorteile von Cloud-Computing haben das Arbeiten in der Cloud in vielen Un­ter­neh­men un­ver­zicht­bar gemacht. Besonders beliebt bei KMUs: Das Speichern und Ar­chi­vie­ren von Dateien und Do­ku­men­ten in einem Cloud-Speicher.

Ähnlich wie das Thema Da­ten­schutz wird Re­vi­si­ons­si­cher­heit von den Anbietern der ver­schie­de­nen Markt­lö­sun­gen ganz un­ter­schied­lich gewichtet. Ins­be­son­de­re zwischen Providern aus dem deutschen bzw. eu­ro­päi­schen Bereich und US-ame­ri­ka­ni­schen Dienst­leis­tern geht das Be­wusst­sein für eine da­ten­schutz­kon­for­me und re­vi­si­ons­si­che­re Auf­be­wah­rung der In­for­ma­tio­nen weit aus­ein­an­der. Ein wichtiger An­halts­punkt für Nutzer ist daher, ob ein Cloud-Service nicht nur die DSGVO beachtet, sondern auch die bereits erwähnten Grund­sät­ze der ord­nungs­ge­mä­ßen elek­tro­ni­schen Buch­füh­rung (GoBD) umsetzt.

Die typischen Merkmale für Re­vi­si­ons­si­cher­heit lassen sich dabei eins zu eins auf eine re­vi­si­ons­si­che­re Cloud über­tra­gen:

• Die Un­ver­än­der­bar­keit ge­spei­cher­ter In­for­ma­tio­nen muss ge­währ­leis­tet sein. Anbieter können dieses Ziel u. a. durch eine au­to­ma­ti­sier­te Ver­sio­nie­rung aller Cloud-Daten erreichen.
• Die Nach­voll­zieh­bar­keit der Re­vi­si­ons­si­cher­heit lässt sich in der Cloud durch ein ge­schütz­tes Ak­ti­vi­tä­ten­pro­to­koll rea­li­sie­ren, das sämtliche Da­tei­über­tra­gun­gen sowie Änderungs- und Lösch­pro­zes­se erfasst.
• Die Sicherung vor Da­tei­ver­lust ist ebenfalls ein wichtiger Punkt. Cloud-Provider ver­spre­chen eine hohe Da­ten­si­cher­heit und setzen hierfür bei­spiels­wei­se auf geo­red­un­dan­te Hardware, Ver­schlüs­se­lung und leis­tungs­star­ke Si­cher­heits­soft­ware. Für eine re­vi­si­ons­si­che­re Ar­chi­vie­rung sollte auch die Mög­lich­keit eines zu­sätz­li­chen Backups nicht fehlen.
• In­te­grier­te Such­funk­tio­nen sorgen dafür, dass Cloud-Speicher auch den Faktor „Wie­der­auf­find­bar­keit“ erfüllen.
• Der Forderung, un­be­rech­tig­te Zugriffe zu ver­hin­dern, können Cloud-Speicher durch eine ent­spre­chen­de Zu­griffs­ver­wal­tung ebenfalls nach­kom­men. Auf Basis eines solchen Ma­nage­ment-Tools können Ver­ant­wort­li­che Nut­zer­rol­len erstellen und zuteilen, sodass jeder Cloud-User nur das sehen, öffnen und be­ar­bei­ten kann, was seinem Status im Un­ter­neh­men ent­spricht.