Kompensierende Maßnahmen für Funktionstrennungskonflikte
Kritische Berechtigungen
Sie sollten alle Belegarten in denselben Zeitintervallen archivieren; dies gilt besonders für die Archivobjekte US_USER und US_PASS. Üblich ist es, die Änderungsbelege zwischen zwölf und achtzehn Monate aufzubewahren, da dies den Aufbewahrungsfristen für die Revision entspricht. Wollen Sie aus Performancegründen in kürzeren Intervallen archivieren, sollten Sie immer alle Archivobjekte zeitgleich archivieren und die Archivobjektklassen PFCG und IDENTITY in separaten Archiven ablegen. In diesem Fall ist es unter Umständen sinnvoll, die archivierten Änderungsbelege in eine Schattendatenbank zurückzuladen, um sie zur schnelleren Auswertung durch die Revision zur Verfügung zu stellen. Dazu können Sie die folgenden Reports nutzen: RSUSR_LOAD_FROM_ARCH_PROF_AUTH / RSUSR_LOAD_FROM_ARCHIVE. Mit dem Archivobjekt BC_DBLOGS können Sie zusätzlich die Tabellenänderungsprotokolle archivieren.
Das Herunterladen der Tabelle muss monatsweise erfolgen. Sie können sich das Herunterladen zusätzlich erleichtern; dazu stellt Frank Buchholz in seinem Blog Programme vor, die Sie nutzen können (siehe http://wiki.scn.sap.com/wiki/display/Snippets/Show+RFC+Workload+Statistic+to+build+authorizations+for+authorization+object+S_RFC). Optional ist der nächste Schritt, in dem Sie Funktionsgruppen zu den Funktionsbausteinen ermitteln. Diese finden Sie im Feld AREA der Tabelle ENLFDIR. Wir empfehlen Ihnen allerdings die Berechtigungsvergabe auf der Ebene der Funktionsbausteine, da Funktionsgruppen häufig sehr viele Funktionsbausteine enthalten und die Zugriffsmöglichkeiten so unnötig erweitert werden.
Verbesserungen der Rollentransportfunktion nutzen
Das Berechtigungskonzept in SAP ERP ermöglicht es normalerweise nicht, Berechtigungen auf einzelne Geschäftsjahre einzugrenzen. Dies ist aber insbesondere bei Steuerprüfungen relevant. Zum 1. Januar 2002 wurde in Deutschland die elektronische Steuerprüfung gesetzlich im § 147 (6) Abgabenordnung verankert. Die Auffassung der Finanzverwaltung dazu ist im BMF-Schreiben vom 16.07.2001 (BStBl. 2001 I) »Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen« (GDPdU) niedergelegt. Die elektronische Steuerprüfung kann in Deutschland auf drei Zugriffsarten erfolgen: Unmittelbarer Zugriff: Die Finanzbehörde hat das Recht, Einsicht in die gespeicherten Daten zu nehmen (Nur-Lesezugriff) und die Hard- und Software des Steuerpflichtigen zur Prüfung der Daten einschließlich der Stammdaten und Verknüpfungen zu nutzen. Mittelbarer Zugriff: Die Finanzbehörde kann vom Steuerpflichtigen verlangen, dass er die Daten nach ihren Vorgaben maschinell auswertet, um den Nur-Lesezugriff durchführen zu können. Datenträgerüberlassung: Alternativ kann die Finanzverwaltung vom Steuerpflichtigen verlangen, dass ihr die gespeicherten Unterlagen auf einem maschinell verwertbaren Datenträger zur Auswertung überlassen werden.
Diese neue Verhaltensweise für das Profil SAP_ALL können Sie durch die Einstellung des Customizing-Schalters ADD_S_RFCACL auf den Wert YES in der Tabelle PRGN_CUST wieder abschalten. Hat der Eintrag ADD_S_RFCACL den Wert YES, enthält SAP_ALL also weiterhin die Gesamtberechtigung für das Berechtigungsobjekt S_RFCACL.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Die Anpassung müssen Sie manuell in der PFCG-Rolle nachtragen.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Lesen Sie hier, wie Sie die Buttons zum Kopieren und Einfügen im Dialogfenster zur Pflege von Feldwerten zu den Berechtigungsobjekten einspielen und nutzen.