Funktionstrennung im ERP: Welche Aufgaben nicht zusammengehören
Kurz gesagt
Eine amtliche Liste verbotener Rechte-Kombinationen haben wir in den geöffneten Quellen nicht gefunden. In Deutschland nennt die GoBD die Funktionstrennung als Beispiel für Kontrollen, deren Ausgestaltung sich nach Größe, Organisation und DV-System richtet (Rz. 100). Riskant sind Paare wie Wareneingang mit Rechnungsbuchung, Rechnungsbuchung mit Zahlungsfreigabe und Bankdatenänderung mit Zahlungsfreigabe. Stand Oktober 2026.
Das Wichtigste
- GoBD Rz. 100 nennt Funktionstrennung als Beispiel; die Ausgestaltung richtet sich nach Betrieb, Organisation und DV-System.
- BSI-Grundschutz (Deutschland) ORP.1.A4: unvereinbare Aufgaben wie operative und kontrollierende Funktionen gehören auf verschiedene Personen, auch Vertreter.
- BSI-Grundschutz (Deutschland) ORP.4.A4: diese unvereinbaren Aufgaben muss das Berechtigungsmanagement trennen.
- Kritische Paare im Einkauf: Bestellung mit Wareneingang, Wareneingang mit Rechnungsbuchung, Rechnungsbuchung mit Zahlungsfreigabe, Bankdatenpflege mit Zahlungsfreigabe.
- Kleine Teams ersetzen die Trennung durch dokumentierte Ersatzkontrollen, die vor der Ausführung greifen.
- Die GoBD ist eine Verwaltungsanweisung des BMF, der IT-Grundschutz eine Methode des BSI; ein Gesetz ist keines von beiden.
Die Frage nach Rechten, die nicht in eine Hand gehören, stellt sich, sobald eine Person im ERP eine Handlung ausführen und zugleich prüfen kann. Getrennt werden keine Personen, sondern Paare von Rechten: Bestellung, Wareneingang, Rechnungsbuchung, Zahlungsfreigabe und die Pflege der Lieferantenbankdaten. Wo ein kleines Team ein Paar nicht auf zwei Personen verteilen kann, tritt eine Kontrolle an seine Stelle, die eine zweite Instanz oder eine Systemprüfung einbringt.
Worum es bei der Funktionstrennung geht
Für die Buchführung in Deutschland verlangt § 146 Abs. 1 Satz 1 der Abgabenordnung (AO), Buchungen einzeln, vollständig, richtig, zeitgerecht und geordnet vorzunehmen. Für deren Einhaltung hat der Steuerpflichtige nach den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD, BMF-Schreiben vom 28. November 2019, zuletzt geändert am 14. Juli 2025) Kontrollen einzurichten, auszuüben und zu protokollieren. Die GoBD nennen als Beispiele unter anderem Zugangs- und Zugriffsberechtigungskontrollen und Funktionstrennungen (Rz. 100). Wie das Kontrollsystem aussieht, richtet sich nach der Komplexität und Diversifikation der Geschäftstätigkeit, der Organisationsstruktur und dem eingesetzten DV-System (Rz. 100); die Beschreibung des internen Kontrollsystems gehört in die Verfahrensdokumentation (Rz. 102). Die GoBD sind eine Verwaltungsanweisung des Bundesministeriums der Finanzen und kein Gesetz.
Auf der Technikseite steht der BSI-Baustein ORP.4 Identitäts- und Berechtigungsmanagement: Nach ORP.4.A4 müssen die von der Institution definierten unvereinbaren Aufgaben und Funktionen durch das Berechtigungsmanagement getrennt werden. Was unvereinbar ist, bestimmt der Baustein ORP.1: Operative und kontrollierende Funktionen gehören auf verschiedene Personen, für unvereinbare Funktionen muss eine Funktionstrennung festgelegt und dokumentiert sein, und auch Vertreter unterliegen ihr (ORP.1.A4). Das IT-Grundschutz-Kompendium ist eine Methode des Bundesamts für Sicherheit in der Informationstechnik; verbindlich wird es durch Gesetz, Vertrag oder eine eigene Regelung, nicht durch sich selbst.
Das Committee of Sponsoring Organizations of the Treadway Commission (COSO) hat sein Internal Control — Integrated Framework 1992 veröffentlicht und 2013 überarbeitet (ICIF-2013); auch dieses Rahmenwerk ist kein Gesetz und bindet nur, wenn Gesetz, Vertrag oder eigene Regelung darauf verweisen.
Die Quellen liefern den Rahmen; welche Paare kritisch sind, ergibt sich aus Ihrem Ablauf.
Diese Rechtepaare zählen
Die Tabelle nennt Paare aus Einkauf und Kreditorenbuchhaltung, die Wirkung der Kombination und eine Ersatzkontrolle für den Fall, dass eine Person beide Rechte braucht. Die Auswahl der Paare ist unsere redaktionelle Einschätzung, abgeleitet aus dem jeweiligen Ablauf.
| Recht A | Recht B | Was die Kombination ohne Kontrolle ermöglicht | Ersatzkontrolle, wenn eine Person beide Rechte hat |
|---|---|---|---|
| Bestellung anlegen | Wareneingang buchen | eine Bestellung auszulösen und denselben Zugang selbst als eingetroffen zu buchen, ohne unabhängige Prüfung von Menge und Bestellung | Wareneingang nur mit Lieferschein und Bestellbezug; Abgleich von Bestellung, Lieferschein und Wareneingang mit Toleranzgrenze |
| Wareneingang buchen | Eingangsrechnung buchen | eine Rechnung zu buchen, ohne dass eine unabhängige Stelle den Eingang der Ware bestätigt hat | Abgleich aus Bestellung, Wareneingang und Rechnung vor der Buchung; gebucht wird nur, was innerhalb der Toleranz übereinstimmt |
| Eingangsrechnung buchen | Zahlung freigeben | eine Rechnung zu erfassen und denselben Betrag selbst zur Zahlung freizugeben | Freigabe jeder Rechnung durch eine zweite Person oder Vorlage des Zahlungslaufs vor der Ausführung |
| Lieferantenbankdaten ändern | Zahlung freigeben | die Bankverbindung auf ein anderes Konto zu ändern und die Zahlung dorthin freizugeben | Rückruf bei einer im Lieferantenstamm hinterlegten Nummer vor der Änderung, Vier-Augen-Freigabe der Änderung, Änderungsprotokoll |
| Zahlungslauf erzeugen | Zahlungslauf freigeben | den Zahlungsverkehr ohne zweite Person auszulösen | Trennung von Erzeugen und Freigeben der Datei; die Freigabe prüft Summe und Empfänger |
| Wareneingang buchen | Bestandskorrektur buchen | eine Fehlmenge durch eine Korrekturbuchung auszugleichen, statt sie zu melden | Korrekturbuchungen ab festgelegter Menge nur mit Begründung und Gegenzeichnung; Stichproben gegen den gezählten Bestand |
Regeln zur Zahlungsfreigabe stehen in Vier-Augen-Prinzip bei Zahlungen, der Ablauf für Eingangsrechnungen in Rechnungsfreigabe-Workflow aufbauen; Prüfungen vor dem Anlegen eines Lieferanten stehen in Lieferanten anlegen.
Was eine Ersatzkontrolle leisten muss
Fünf Bedingungen trennen eine wirksame Ersatzkontrolle von einer Formalie.
- Sie liegt bei einer anderen Person oder bei einer Systemprüfung, nicht bei der Person, die die Handlung vorgenommen hat.
- Sie arbeitet am Original: am Lieferschein, an der Rechnung oder an der im Stamm hinterlegten Rufnummer, nicht an einer Zusammenfassung.
- Sie greift vor der Wirkung, also vor der Buchung oder vor dem Zahlungsabgang, nicht danach.
- Sie hinterlässt eine Spur im System. In Deutschland muss eine Buchung oder Aufzeichnung so bleiben, dass der ursprüngliche Inhalt feststellbar ist (§ 146 Abs. 4 Satz 1 AO).
- Sie ist beschrieben. Nach GoBD Rz. 102 gehört die Beschreibung des internen Kontrollsystems in die Verfahrensdokumentation.
Für ein sehr kleines Team heißt das: Die Kontrolle kommt von außerhalb des Kontos, etwa durch die Geschäftsführung, eine zweite Person oder die Steuerberatung.
Woraus sich der Aufwand zusammensetzt
Eine Funktionstrennung erfordert keinen neuen Arbeitsplatz, aber Zeit und eine zusätzliche Prüfschleife. Der Aufwand verteilt sich auf vier Posten: Rechtekonzept erstellen und fortschreiben, Stellvertretungen regeln, Ersatzkontrollen in den Tagesablauf einpassen, Protokolle auswerten. Braucht die zweite Person einen eigenen Buchhaltungs- oder Freigabeplatz, kann das je nach Lizenzmodell zusätzliche Kosten auslösen; klären Sie das schriftlich bei Ihrem Anbieter.
Nach GoBD Rz. 100 ist der Aufwand an das Haus gebunden: Ein Betrieb mit wenigen Vorgängen braucht ein anderes Kontrollsystem als ein Betrieb mit mehreren Standorten und getrennten DV-Systemen.
Welche Ersatzkontrolle zu welcher Betriebssituation passt
Die Tabelle ordnet Aufteilungen im kleinen Betrieb der Kontrolle zu, die dazugehört. Die Zuordnung ist unsere redaktionelle Empfehlung; maßgeblich bleiben Ihr Ablauf und die Festlegung, die Sie dokumentieren.
| Situation | Was sich nicht trennen lässt | Ersatzkontrolle, die dazu gehört |
|---|---|---|
| Eine Person führt Einkauf und Kreditorenbuchhaltung | Bestellung, Wareneingang und Rechnungsbuchung in einer Hand | Wareneingang sofort gegen Lieferschein erfassen, Rechnungen erst nach dem Abgleich buchen, Zahlungen von einer zweiten Person freigeben lassen |
| Zwei Personen teilen sich Einkauf und Buchhaltung | Erzeugen und Freigeben des Zahlungslaufs bei derselben Person | Die andere Person gibt die Datei vor dem Versand an die Bank frei und sieht dabei Summe und Empfänger |
| Lager und Büro sind getrennt | Wareneingang und Bestandskorrektur in einem Konto | Korrekturbuchungen der Buchhaltung vorbehalten und gegen gezählte Stichproben abgleichen |
| Die Buchhaltung ist ausgelagert | Änderung der Lieferantenbankdaten und Zahlungsfreigabe beim Dienstleister | Bankdaten nur über eine Freigabe des Betriebs ändern, Rückruf beim Lieferanten, getrennte Konten für Betrieb und Dienstleister |
| Mehrere Personen nutzen ein gemeinsames ERP-Konto | jede Zuordnung von Rechten zu einer Person | persönliche Kennungen anlegen; technische Konten einer namentlich verantwortlichen Person zuordnen |
Die Pflege von Konten bei Eintritt, Aufgabenwechsel und Austritt beschreibt Benutzerverwaltung im ERP, den Weg vom Aufgabenprofil zur Rolle Rollen- und Rechtekonzept fürs ERP; was ein Berechtigungskonzept ist, erklärt Berechtigungskonzept. Für KI-Agenten mit eigenem Konto gilt dieselbe Matrix (KI-Agenten absichern).
Warnsignale in Rechtevergabe und Protokoll
- Ein Konto kann bestellen, Ware buchen, Rechnungen erfassen und Zahlungen freigeben, und keine Regel nennt diesen Fall.
- Bankdaten eines Lieferanten lassen sich ohne zweites Kennzeichen und ohne Eintrag im Änderungsprotokoll ändern.
- Mehrere Personen arbeiten unter einer Kennung; im Protokoll steht ein Name für mehrere Handelnde.
- Rechte werden ohne Antrag und ohne Begründung geändert, oder frühere Rechte aus einer anderen Aufgabe stehen noch offen (ORP.4.A2 verlangt, nicht mehr benötigte Berechtigungen bei personellen Veränderungen zu entfernen).
- Für Abwesenheiten gibt es keine Vertretungsrolle; statt ihrer wird ein fremdes Konto mit dessen vollen Rechten genutzt.
- Die Rechtevergabe folgt keiner Rollenbeschreibung, und die Dokumentation wurde noch nicht mit dem tatsächlichen Stand verglichen.
So prüfen Sie Ihre Rechtevergabe in fünf Schritten
- Ziehen Sie je Benutzerkonto die wirksamen Rechte, nicht nur die zugewiesenen Rollen.
- Markieren Sie in dieser Liste die Rechte aus der Konflikttabelle und tragen Sie ein, welche Person sie hält.
- Nehmen Sie für jedes Paar, das eine Person hält, ein Recht aus dem Konto oder hängen Sie die passende Ersatzkontrolle an den Prozess; legen Sie dabei fest, wer die Kontrolle ausübt.
- Schreiben Sie die Funktionstrennung samt Ersatzkontrollen in die Verfahrensdokumentation (GoBD Rz. 102) und ergänzen Sie die Rollenbeschreibung um das Ergebnis.
- Gleichen Sie die Dokumentation mit dem Systemstand ab: nach jeder personellen Veränderung und zusätzlich einmal im Jahr. ORP.4.A3 verlangt diesen Abgleich regelmäßig, ohne einen Zeitraum zu nennen.
Den Rahmen für das Kontrollsystem als Ganzes behandelt Internes Kontrollsystem im ERP und allgemein IKS; welche Nachweise eine Revisionsstelle erwartet, steht in IKS und ERP in Österreich und IKS in der Schweiz.