Journal Entry Testing: was die Analyse übernimmt und was nicht

Von der Stichprobe zur Vollerhebung

Die klassische Vorgehensweise wählt aus einigen hunderttausend Buchungen einige Dutzend aus und prüft diese gründlich. Das ist methodisch sauber und praktisch unbefriedigend, weil die Auswahl per Konstruktion nichts über die nicht gezogenen Sätze aussagt. Eine Datenanalyse dreht das um: Sie sieht jede Buchung an und filtert die auffälligen heraus.

Der Unterschied ist nicht nur quantitativ. Eine Zufallsstichprobe findet dolose Handlungen nur mit Glück, weil solche Buchungen selten und gezielt platziert sind. Eine kriterienbasierte Vollerhebung findet sie, wenn die Kriterien stimmen.

Was sich sinnvoll automatisieren lässt

Die Kriterien sind seit Jahren dieselben und in jeder Prüfungssoftware abbildbar:

• Buchungen außerhalb der Geschäftszeiten, an Wochenenden und Feiertagen
• Buchungen von Personen, die den betreffenden Kontenbereich sonst nie bebuchen
• Runde Beträge, Beträge knapp unter Genehmigungsgrenzen, wiederkehrende identische Beträge
• Selten oder nie verwendete Konten, ungewöhnliche Kontenkombinationen
• Buchungen kurz vor und kurz nach dem Stichtag, insbesondere mit Umsatz- oder Ergebniswirkung
• Manuelle Buchungen in Bereichen, die üblicherweise automatisch bebucht werden
• Stornos und Umbuchungen kurz nach der ursprünglichen Erfassung

Hinzu kommen Auswertungen, die keine Auffälligkeit im engeren Sinn suchen, sondern die Datengrundlage absichern: Summenabstimmung gegen die Salden, Lückenanalyse der Belegnummern, Vollständigkeit der Perioden.

Was die Analyse nicht kann

Sie erzeugt eine Liste. Ob eine Buchung um 23:40 Uhr am 31. Dezember eine Manipulation ist oder das Ergebnis eines Mitarbeiters, der die Abschlussarbeiten noch fertig machen wollte, steht in keinem Datensatz. Diese Unterscheidung braucht Kenntnis des Unternehmens, der handelnden Personen und der üblichen Abläufe.

Das ist keine vorübergehende Schwäche der Werkzeuge. Die Beurteilung setzt Kontext voraus, der außerhalb des Buchungsstoffs liegt. Wer sie an ein Modell delegiert, delegiert das Prüfungsurteil, und das ist berufsrechtlich nicht vorgesehen.

Der Engpass liegt woanders

In der Praxis scheitert Journal Entry Testing selten an der Analyse. Es scheitert an der Datenbeschaffung. Der Export aus dem Mandantensystem ist unvollständig, die Feldbelegung unterscheidet sich von der des Vorjahres, Benutzerkennungen sind technische Kürzel ohne Zuordnung zu Personen, Zeitstempel fehlen oder beziehen sich auf die Erfassung statt auf die Buchung.

Wer hier investiert, hat mehr gewonnen als durch jedes zusätzliche Analysekriterium. Ein sauber dokumentierter, wiederholbarer Exportweg je Mandant spart in der Folgeprüfung Tage. Ein einmalig zusammengeklickter Export spart nichts, weil ihn im nächsten Jahr niemand nachvollziehen kann.

Dokumentation: der Teil, der später zählt

Für die Nachschau ist nicht entscheidend, dass eine Analyse gelaufen ist, sondern dass nachvollziehbar ist, welche Kriterien mit welchen Parametern auf welchen Datenbestand angewandt wurden, wie viele Sätze jedes Kriterium ergeben hat und wie mit den Treffern verfahren wurde. Auch mit denen, die nach Durchsicht nicht weiterverfolgt wurden, samt Begründung.

Das lässt sich vollständig automatisch erzeugen und ist einer der Punkte, an denen sich Aufwand am schnellsten amortisiert.

Eine realistische Erwartung

Die Analyse verschiebt Zeit von der Auswahl zur Beurteilung. Sie reduziert den Gesamtaufwand, aber weniger stark, als die Werkzeuganbieter versprechen, weil die Trefferlisten in den ersten Jahren zu lang sind. Kriterien müssen auf das jeweilige Mandat kalibriert werden, sonst produzieren sie hunderte Treffer, von denen keiner relevant ist. Nach zwei bis drei Prüfungsjahren ist eine Liste erreicht, mit der sich arbeiten lässt.

Die genannten Kriterien sind Praxisbeispiele, keine abschließende Aufzählung. Umfang und Ausgestaltung richten sich nach den einschlägigen Prüfungsstandards und der Risikobeurteilung im Einzelfall.