Überlegungen zu SOX für Tableau-Visualisierungen

In vielen Unternehmen ermöglicht die Anwendung von Data Analytics den Benutzern auf allen Ebenen die Gewinnung von Erkenntnissen und die Verbesserung ihrer Informationsbasis für die täglichen Entscheidungen. In Unternehmen, die Tableau bereitstellen, können die Mitarbeiter sofort auf schnelle Weise aussagekräftige Berichte zu geschäftlichen Fragen erstellen und auf diese zugreifen. Selfservice-Analytics bieten einen enormen Mehrwert im Geschäftsalltag. Allerdings muss, da immer mehr Unternehmen Tableau für die Erstellung von Finanzberichten verwenden, die Nutzung von Tableau vor dem Hintergrund der Audit-Anforderungen des Sarbanes-Oxley Act (SOX) überprüft werden.

Für einen Revisionsexperten bedeutet dieser Wechsel von den bisherigen Berichtsmethoden auf die Anwendung leistungsstarker Data-Analytics-Plattformen allerdings eine gewisse Herausforderung. Sie haben die Aufgabe, sicherzustellen, dass die mit Tableau erstellten Finanzberichte den SOX-Vorschriften der Kontrollumgebung Ihres Unternehmens genügen. In diesem Zusammenhang müssen für die Anwendung von Tableau in Ihrem Unternehmen einige wichtige Aspekte beachtet werden. Im Folgenden finden Sie verschiedene Empfehlungen, wie Sie die Berichterstellung mit Tableau erfolgreich in den SOX-Kontext einbinden, speziell, was konforme Quelldaten für Tableau-Visualisierungen betrifft, und wie Sie die Herausforderungen der Integration der Tableau-Berichtsfunktion in ein strukturiertes Änderungsmanagement bewältigen.

Der wichtigste Aspekt bei der Anwendung einer Tableau-Visualisierung ist dabei, woher die Quelldaten stammen und wie deren Abruf kontrolliert werden kann. Hierfür müssen folgende Fragen zu Quelldaten beantwortet werden:

• Stammen die Quelldaten aus einem System, für das die SOX-Vorschriften gelten?
• Stammen die Daten aus einem System, das nicht unter SOX fällt?
• Oder handelt es sich um eine Kombination aus beiden Varianten?

Mit Tableau können Sie Daten aus mehreren unterschiedlichen Quellen auf einfache Weise zu einem einzigen Datenbestand aggregieren, verknüpfen und verschmelzen. Deshalb muss sichergestellt sein, dass die zentralen Merkmale für SOX-Berichte für die Daten jedes Berichts eindeutig ermittelt wurden. Des Weiteren müssen Sie feststellen, woher die Daten mit diesen Merkmalen stammen.

Wenn mit einer Datenquelle nur Informationen operativer Natur bereitgestellt werden, für die nicht das zentrale Kontroll- oder materielle Verfahren gilt, kann diese Datenquelle möglicherweise für die SOX-Prüfung außer Acht gelassen werden. Wenn mit dem Quellsystem zentrale Informationen bereitgestellt werden, die nicht als SOX-relevant gelten, muss der Revisions- und Compliance-Experte ermitteln, warum dies der Fall ist und mit welchen Maßnahmen die Quelldaten gegebenenfalls überprüft werden.

Darüber hinaus sollte berücksichtigt werden, wie diese Quelldaten für die Verwendung in Tableau zur Erstellung der zentralen Berichte generiert oder präsentiert werden. Auch wenn das Quellsystem bereits den SOX-Vorschriften unterliegt, sind möglicherweise weitere Schritte notwendig, damit der vollständige und korrekte Transfer von Informationen zwischen dem Quellsystem und Tableau sichergestellt ist. Um festzustellen, ob diese Schritte erforderlich sind, beantworten Sie die im Folgenden aufgeführten Fragen: Wird ein vordefinierter oder benutzerdefinierter Bericht generiert und dann der Visualisierung zugrunde gelegt? Gibt es eine komplexe Schnittstelle zwischen dem System und Tableau? Werden die Daten vor der Herstellung der Verbindung mit Tableau von einem externen System in ein lokales oder Cloud-Data-Warehouse übertragen?

Die Daten müssen nicht nur bei der ursprünglichen Quelle überprüft werden, sondern fortwährend auch im Zuge der Integration und in der Phase der Bereitstellung.

Wenn für Finanzberichte Visualisierungen verwendet werden, benötigt Ihr Unternehmen für die Prüfung, ob ein zentraler Bericht vollständig und korrekt ist, ein strukturiertes Änderungsmanagement. Im Folgenden sind die Schritte aufgeführt, die unserer Meinung nach für ein Änderungsmanagement im Zusammenhang mit der Nutzung von Tableau hilfreich sind:

1. Prüfen Sie die Umgebung des Änderungsmanagements. Um im Zeitablauf verlässliche mit Tableau erstellte Finanzberichte sicherzustellen, müssen Sie als Erstes ermitteln, ob zentrale SOX-Berichte einem Änderungsmanagement und den entsprechenden Kontrollen unterliegen. Wenn ein solches Verfahren noch nicht eingerichtet ist, sollten Sie mit Geschäftspartnern und der IT-Abteilung ein Verfahren entwickeln und verbindlich festlegen, mit dem bei Änderungen einer zentralen Tableau-Visualisierung diese in kontrollierter Weise geprüft, genehmigt und weiterverarbeitet werden. Wenn Sie bereits über ein Änderungsmanagement verfügen, müssen Sie prüfen, ob die Teams für die Tableau-Finanzberichte die Anforderungen dieses Verfahrens kennen und die zentralen Finanzvisualisierungen in dieses Verfahren einbeziehen. Dies ist ein wichtiger Schritt zur Gewährleistung der Berichts-Compliance mit den SOX-Vorschriften.
2. Passen Sie das Verfahren Tableau an. Aus Sicht des Änderungsmanagements sollte auf keinen Fall eine Einheitslösung für alle Berichte verwendet werden. Die Nutzung von Tableau zum Erstellen von Finanzberichten stellt andere Anforderungen als die Verwendung eines Systems vorgefertigter oder benutzerdefinierter Berichte. Als Erstes müssen deshalb die zentralen SOX-Komponenten einer Visualisierung ermittelt werden.

   Beachten, dass die Art der erforderlichen Prüfung und Genehmigung von Berichten vor der Bereitstellung und Anwendung von der Tableau-Umgebung in Ihrem Unternehmen sowie von der Komplexität der Datenvisualisierung abhängt.

   Da Visualisierungen sehr einfach aktualisiert und bearbeitet werden können, kommt es immer wieder zu Änderungen. Wenn die zentralen SOX-Komponenten der Visualisierung ermittelt sind, gibt es oft einen gewissen Spielraum, um die strukturierten Verfahren des Änderungsmanagements auf diese zentralen Komponenten zu beschränken und so den Gesamtaufwand zu reduzieren.

3. Sorgen Sie für regelmäßige Kontrollen. Wenn zentrale Tableau-Visualisierungen einem maßgeschneiderten und wirksamen Änderungsmanagement unterliegen, müssen die entsprechenden Kontrollen kontinuierlich durchgeführt werden. Außerdem muss eine entsprechende Kommunikation zwischen den Teams sichergestellt sein, wenn neue Tableau-Visualisierungen in die SOX-Prüfung aufgenommen werden und vorhandene Berichte nicht mehr relevant für SOX sind.

Mit den hier genannten Maßnahmen hinsichtlich der Quellfinanzdaten für Tableau-Visualisierungen und den oben aufgeführten Schritten für ein Änderungsmanagement sind Sie für die Einbindung von Tableau-Berichten in die SOX-Prüfung besser vorbereitet. Außerdem ermöglichen diese einen reibungsloseren Übergang von den bisherigen Tools zu einer robusten Analytics-Plattform, die dem Unternehmen insgesamt eine höhere Wertschöpfung bietet.

Weitere Informationen zur Bereitstellung leistungsstarker Analytics auf einer flexiblen und kontrollierten Plattform bei gleichzeitiger Einhaltung der SOX-Audit-Vorschriften finden Sie auf der Seite der Tableau Finance Analytics-Lösung.