INFO AG betreut Personalabrechnung für die Axima GmbH

Die INFO AG, Anbieter von praxisorientierten IT Consulting- und IT Outsourcing-Leistungen, übernahm am 01.07.2005 die Personalabrechnung für 815 aktive Mitarbeiter und ca. 700 Rentner der Axima GmbH. Die Daten werden auf dem hauseigenen SAP R/3 ASP-System der INFO AG betrieben. Im Mittelpunkt stehen zunächst die Komponenten Stammdatenverwaltung und Entgeltabrechnung – flankiert von der Auslagerung der Lohn- und Gehaltssachbearbeitung im Rahmen eines Business Process Outsourcings (BPO). Zusätzlich wurde der Basisbetrieb des SAP R3 ERP Systems sowie der Betrieb zweier Server für Non-SAP-Anwendungen an die INFO AG übertragen.

Die Axima GmbH, Teil der SUEZ-Gruppe, ist deutschlandweit einer der führenden Anbieter auf dem Gebiet der Gebäude-, Anlagen- und Prozesstechnik sowie im Anlagen- und Gebäudemanagement. Die Unternehmenszentrale ist in Köln, weitere 14 Niederlassungen sind über ganz Deutschland verteilt. Mit etwa 800 Mitarbeitern erwirtschaftete das Unternehmen im Jahr 2005 einen Umsatz von ca. 180 Mio. Euro. Die SUEZ-Gruppe ist als börsennotiertes Unternehmen weltweit führend in den Bereichen Energie und Umwelt und erzielte im Jahr 2005 mit mehr als 160.000 Mitarbeitern in über 100 Ländern rund 41,5 Mrd. Euro Umsatz. In Deutschland ist SUEZ mit Tochterunternehmen in den Gebieten Strom und Gas, Fernwärme und Energiedienstleistungen, Wasser sowie Entsorgung tätig. Da die Muttergesellschaft an der amerikanischen Börse notiert ist, unterliegt die Axima GmbH dem Sarbanes-Oxley-Act (SOX) – mit entsprechenden Auswirkungen auf die Zusammenarbeit mit Dienstleistern.

SOX

Ziel dieses Gesetzes ist die Wiederherstellung des Vertrauens der Anleger in die Richtigkeit der veröffentlichten Finanzdaten von Unternehmen, die den amerikanischen Rechtsvorschriften unterliegen. Im Rahmen des SOX wurden neben einer Neuregelung der Verantwortlichkeiten von Unternehmensmanagern und einer umfassenderen Haftung der Wirtschaftsprüfer auch die Anforderungen an veröffentlichte Finanzdaten erheblich verschärft. Darüber hinaus wird das Verhältnis zwischen Abschlussprüfer und Mandant präzisiert. Schließlich wird durch das Gesetz auch ein neues Aufsichtsgremium über die Wirtschaftsprüfer geschaffen – das Public Company Oversight Accounting Board (PCAOB).

Für die Zertifizierung durch die Wirtschaftsprüfer ist die Sektion 404 des Gesetzes von Bedeutung. Hier wird die Installation und jährliche Überprüfung und Bewertung eines internen Kontrollsystems für das Finanzberichtswesen durch den CEO und CFO gefordert. Das Gesetz schreibt ebenfalls eine Prüfung der Bewertung des CEO und CFO durch einen Wirtschaftsprüfer vor. Daher geht es im Zusammenhang mit einer SOX-Zertifizierung immer auch um die Implementierung und Prüfung eines Kontrollsystems für alle abrechungsrelevanten Prozesse, egal ob unternehmensintern oder von einem Dienstleister erbracht. Die Sektion 404 definiert dabei ausschließlich Anforderungen an das Kontrollsystem – für alle im Zusammenhang mit der Finanzbuchhaltung als wesentlich eingestuften Prozesse und seine Effizienz. Leider werden aber keine konkreten inhaltlichen Hinweise gegeben, welche Prozesse genau im Zusammenhang mit der Finanzbuchhaltung stehen und wie die Kontrollen sowie deren Reporting konkret umzusetzen sind. SOX-relevante Prozesse müssen daher oft kunden-individuell im jeweiligen Projekt gemeinsam definiert werden.

Lösungsansätze

Mit dem Auslagern der Axima Personalabrechnung unterliegt also auch die INFO AG dem SOX-Verfahren. Da es sich bei dieser Auslagerung jedoch nur um einen kleinen Teil SOX-relevanter Daten und Betreuung handelt, ist auch der Prüfungsumfang begrenzt. Letztlich muss nur nachweisbar sichergestellt werden, dass bei der Lohnabrechnung korrekte Daten erzeugt und verwendet werden. Das kann auf verschiedenen Wegen geschehen – zum Beispiel:

a) Das gemäß SOX kontrollierte Unternehmen kann einen Dienstleister einsetzen, der nach SAS 70 zertifiziert ist (unabhängiger Nachweis, dass der Dienstleister die in Sektion 404 festgelegten Anforderungen erfüllt). Diese Zertifizierung des Dienstleisters bezieht sich jedoch nur auf die für Dritte geleisteten Dienste, nicht auf das eigene Financial Reporting. Die Prüfpflicht des Auftraggebers ist in diesem Fall auf die Überprüfung der Schnittstellenfunktionen zum Dienstleister beschränkt.

b) Das gemäß SOX kontrollierte Unternehmen kann aber auch einen nicht zertifizierten Dienstleister beauftragen. Hier muss der Dienstleister die entsprechenden Kontrollen durch den Auditor des auftraggebenden Unternehmens ermöglichen und dafür auch ausreichende Ressourcen zur Verfügung stellen. Für das SOX-Audit (SOA) sind insbesondere die Anforderungen an das interne Überwachungssystem (ordnungsgemäßer Ablauf der Prozesse) und an die interne Revision (Kontrolle, ob das interne Überwachungssystem ordnungsgemäß arbeitet) des Dienstleisters relevant.

Lösung

Obwohl die INFO AG über interne Überwachungssysteme verfügt, die den SOA-Vorgaben entsprechen, entschied sich der Hamburger Dienstleister auf Wunsch der Axima GmbH für eine weiter gehende SAS 70 Zertifizierung. Mit der Folge, dass der Auftraggeber sich auf eine unabhängige Prüfung verlassen kann und keine eigenen Ressourcen für die Kontrolle des Dienstleiters bereitstellen muss. Die SAS 70 Zertifzierung der INFO AG umfasst die Ablaufdokumentation für die Personalabrechnung auf dem SAP R3 ASP System inklusive der Beschreibung der durch Axima geforderten Mindestkontrollen. Außerdem ist die Einhaltung der Kontrollen selbst, die Prüfung der allgemeinen EDV Sicherheit, des Zugriffsschutzes, des Serverbetriebs und der Datensicherheit beglaubigt. Der erste Teil der Zertifizierung (design effectiveness) überprüft dabei die Funktion der Kontrollmechanismen in den einzelnen Abläufen und ist bereits abgeschlossen. Im zweiten Teil der Zertifizierung (control effectiveness) wird in stichprobenartigen Tests die korrekte Anwendung der Kontrollen überprüft. Um sicher zu stellen, dass die zertifizierten Abläufe und Kontrollmechanismen langfristig wirken, wird die SAS 70 Zertifizierung halbjährlich von einem Wirtschaftsprüfer der INFO AG aktualisiert.

Im nächsten Schritt wird sich die INFO AG bis Ende des Jahres auch die Standardbetriebsprozesse des SAP R3 ERP Systems und des Servers für die Non-SAP Anwendungen nach SAS 70 zertifizieren lassen, um der Axima GmbH eine komplett SOX-sichere Zusammenarbeit zu gewährleisten.

Fazit

Christian Altmann, Personalleiter bei der Axima GmbH: „Mit der Info AG haben wir einen Partner gefunden, der es uns erfolgreich ermöglicht hat, in einem sehr kurzen Zeitraum von 4 Monaten von Paisy zu SAP R3 HR zu migrieren und dabei auch noch die Lohn- und Gehaltsabrechnung im Rahmen eines BPO (Business Process Outsourcing) an die Info AG zu übertragen. Dies war nur durch die sehr enge, kompetente und vertrauensvolle Zusammenarbeit aller Beteiligten möglich. Geholfen hat dabei, dass beide Parteien von Anfang an die Abbildung SOX-konformer Prozesse im Fokus hatten. Aus heutiger Sicht blicke ich auf mehr als ein Jahr erfolgreicher Zusammenarbeit zurück.“

Alle Projektinfos auf einen Blick

Auftraggeber:
Axima GmbH, Köln

Dienstleister:
INFO AG, Hamburg

Projektumfang:

• Übernahme der Personalabrechnung auf das SAP R3 ASP System der INFO AG
• Übernahme der Lohn- und Gehaltssachbearbeitung: Migration von Hostanwendung Paisy
• Übernahme des Basisbetriebs des SAP R3 ERP Systems
• Betrieb von zwei Servern für Non-SAPAnwendungen

Projektlaufzeit:

• Phase 1: Modul HR-Entgeltabrechnung: Beginn 01. März 2005, Going Live Juli 2005
• Phase 2: Modul HR-Zeitwirtschaft: Beginn Mitte August 2005, Going Live Oktober 2005

Projektvolumen:
rund € 110 T

Projektvergabe:
Akquise mit Aufzeigen der Benefits auf SAP R/3 HR durch INFO AG

Leistungsschein BPO:
Laufzeit 63 Monate

Volumen:
ca. 17.000,00 EUR/Mon. für ca. 2.000 Abrechnungen/Monat (Aktive und Rentner); in Abhängigkeit zur Anzahl der Abrechnungen wurde ein Stufenkonzept als Preismodell angeboten