Umsetzung der Ergebnisfeststellungen der SAP-Berechtigungsprüfung 2017/2018
Stadt: osnabrueck
Drucksache: VO/2018/2690
Datum: 2018-08-31
Vorlagenart: Mitteilungsvorlage

Seite: 1/4
Stadt Osnabrück 10.08.2018 
Vorstand für Finanzen, Liegenschaften, Beteiligungen
Fachbereich Finanzen und Controlling
Mitteilungsvorlage Vorlage-Nr:
Öffentlichkeitsstatus:
VO/2018/2690
öffentlich
Umsetzung der Ergebnisfeststellungen der SAP-
Berechtigungsprüfung 2017/2018
Beratungsfolge:
Gremium Datum Sitzungs-
art
Zuständigkeit TOP- 
Nr.
 Ausschuss für Finanzen und 
Beteiligungssteuerung 11.09.2018 Ö Kenntnisnahme
 Ausschuss für Rechnungsprüfung 18.09.2018 N Kenntnisnahme
Der Inhalt der Vorlage unterstützt folgende/s strategische/n Stadtziel/e:
 nicht zutreffend
Sachverhalt:
Die Firma IBS Schreiber GmbH wurde im Jahr 2017 vom Rechnungsprüfungsamt mit der 
Prüfung des SAP-Berechtigungskonzepts, der System- und Schnittstellensicherheit sowie 
der Themenfelder Backup und Recovery beauftragt. Die Prüfungshandlungen fanden im 
Zeitraum 11.-12.2017 statt. Die Ergebnisse der Prüfung wurden in zwei Berichten 
zusammengefasst:
Prüfbericht SAP Berechtigungskonzept und System- und Schnittstellensicherheit 
2017
Prüfbericht Backup und Recovery des SAP Produktivsystems – Ist-Zustände, 
Bewertungen und Empfehlungen – 
Die Prüfungsberichte liegen den Mitgliedern des Rechnungsprüfungsausschusses vor.
Die Prüfungsergebnisse wurden nach Risikoeinstufung und Fristenempfehlung klassifiziert 
(1-3) Mit einem hohen Risiko (1) wurden 14 Feststellungen bewertet. 61 
Prüfungsfeststellungen wurden mit einem mittleren Risiko (2) bewertet. Und 57 
Feststellungen wurden mit einem geringen Risiko (3) bewertet. Sofortigen Handlungsbedarf 
sieht die Fa. IBS Schreiber bei den Ergebnisfeststellungen der Risikoklassifizierung (1). Eine 
Umsetzungsfrist von drei Monaten wird bei den Ergebnissen der Risikoklassifizierung (2) 
zugestanden. Maßnahmen der dritten Risikoklassifizierung sind in einer Frist von sechs 
Monaten umzusetzen. 
Die Ergebnisse wurden am 27.02.2018 dem Ausschuss für Rechnungsprüfung durch die 
Firma IBS Schreiber vorgestellt. Die Firma empfiehlt eine völlige Neukonzeptionierung der 
Berechtigungsverwaltung. Allerdings weist sie auch darauf hin, dass hiermit ein längerer 
Umsetzungsprozess verbunden ist. 
Der Fachbereich Finanzen und Controlling arbeitet seit Januar 2018 an der Umsetzung der 
Prüfungsfeststellungen. Einen Überblick über die Umsetzung wurde im Rahmen einer 
Präsentation am 17.05.2018 dem Ausschuss für Rechnungsprüfung vorgestellt. Bis zu 
diesem Stichtag konnten bereits sieben Prüfungsfeststellungen mit der Risikoklassifizierung 
(1) umgesetzt werden. Ferner konnten vier Feststellungen der Risikoklasse (2) umgesetzt 
werden. Ebenfalls vier Umsetzungen konnten im Bereich der Risikoklasse (3) erzielt werden. 
Das bisher nicht alle Prüfungsfeststellungen umgesetzt werden konnten, liegt mitunter an der 
Tatsache, dass sich 8 von 14 Prüfungsfeststellungen der Risikoklassifizierung (1) auf die 
                                                           Seite: 2/4
Berechtigungsvergabe und die Berechtigungsstruktur beziehen. Dies betrifft auch 42 von 61 
Prüfungsfeststellungen der Risikoklassifizierung (2) sowie 45 von 57 Feststellungen der 
Risikoklassifizierung (3). Um die aus Sicht der Fa. IBS Schreiber möglichen Risiken zu 
minimieren, ist hier ein einheitliches Vorgehen erforderlich und notwendig. Da das Thema 
"Berechtigungskonzept" ein in sich zusammenhängendes technisches Gebilde darstellt. 
Für eine objektive Beurteilung der Prüfungsfeststellungen sind die Rahmenbedingungen und 
der derzeitige Prozess darzustellen: 
Kennzahlen:
Anzahl der zu betreuenden SAP-User = 322 (Tendenz steigend)
163 Eigenentwicklungen im SAP-System
98 Schnittstellen zum SAP-System
rd. 1,7 Mio. Buchungen/ p. a. 
Rahmenbedingungen:
Struktur des SAP-Berechtigungswesens wurde 2008 in Zusammenarbeit mit der 
Datenzentrale Baden-Württemberg (DZBW – jetzt Iteos) im Rahmen des Projekts 
„Doppik“ entwickelt und eingeführt
Von den damaligen Projektmitgliedern sind lediglich zwei Mitarbeiter im Fachdienst 
Rechnungswesen verblieben
Umsetzung des SAP-Berechtigungswesens wird derzeit durch 0,1 VZÄ lt. Stellenplan 
wahrgenommen
Es ist keine vollständige Vertretung im Fachdienst darstellbar
Andere Städte (bspw. Braunschweig) sind hier deutlich besser aufgestellt (2 VZÄ)
Abarbeitung von Berechtigungsänderungen erfolgt im Rahmen eines praktikablen 
Ansatzes
Punktuelle Unterstützungen seitens des IT-Dienstleisters erfolgen bei komplizierten 
Berechtigungen oder im Vertretungsfall
Hauptverantwortlich für die Prüfungsfeststellungen ist auch die Dezentralität des 
Rechnungswesens. Ein zentrales Rechnungswesen benötigt ein Vielfaches weniger an SAP-
Usern, demzufolge auch weniger an SAP-Lizenzen. Diese können dann besser im Rahmen 
der Berechtigungsverwaltung betreut werden.
In Zusammenarbeit mit dem IT-Dienstleister Itebo GmbH, welche auch den SAP-
Anwendungssupport der Stadt Osnabrück betreut, wurden zwei Lösungsvarianten skizziert 
und dem Ausschuss für Rechnungsprüfung vorgestellt. 
1. Umsetzungsvariante – Neukonzeptionierung nach Empfehlung der Fa. IBS 
Schreiber:
Völlige Neukonzeptionierung des Berechtigungswesens der Stadt Osnabrück 
entsprechend der Empfehlung der Fa. IBS Schreiber
 
Dies bedingt den Aufbau einer Parallelberechtigungsstruktur nach den Vorgaben der 
Fa. IBS Schreiber mit anschließendem „Turnaround“ nach Fertigstellung
Kosten: 
Einmalig Projektkosten:  ca. TEUR 152 
oIT-Kosten TEUR 82 (Anwendungsunterstützung Berechtigungswesen),
ointerne Projektkosten TEUR 70 (1 VZÄ für mind. 1 Jahr)
Dauerhafte Mehrkosten im Fachdienst:  ca. TEUR 35 
oAufstockung VZÄ-Anteile von 0,1 auf 0,5 (Betreuung SAP-
Berechtigungswesen nach Umstellung) 
                                                           Seite: 3/4
oUmschichtung von Aufgaben innerhalb des Fachdienstes ggf. Anforderung 
Kompensation
Projektlaufzeit:
Aufgrund der Komplexität und auch die Interaktion sowohl mit dem IT-Dienstleister 
als auch mit allen SAP-Usern, ist die Darstellung der Umstellung nur als Projekt 
sinnvoll.
Die reinen operativen Tätigkeiten zur Anpassung werden ca. ein  Jahr in Anspruch 
nehmen, hinzukommen die Zeiten für Projektinitiierung, Projektierung, 
Vergabeverfahren und Ressourcenbereitstellung (Personal)  ca. 2 Monate.
Vorteile: Aufbau einer den Feststellungen entsprechende Berechtigungsstruktur 
sowie Implementierung eines neuen Verfahrens zur 
Berechtigungsvergabe mit nachhaltiger Wirkung für die Zukunft.
Nachteile: Laufzeitintensives Projekt und hohe Implementierungskosten.
2. Umsetzungsvariante – Schwachstellenbereinigung
Sukzessive Abarbeitung der Feststellungen im laufenden Betrieb und Anpassung der 
jeweiligen Rollen entsprechend dem Prüfungsfeststellungen der Fa. IBS Schreiber 
keine völlige Neukonzeptionierung
 
Kosten: 
Einmalige Projektkosten:  ca. TEUR 64 
oIT-Beratung TEUR 30, 
ointerne Projektkosten TEUR 34 (1 VZÄ für mind. 0,5 Jahre)
Dauerhafte Mehrkosten im Fachdienst:  ca. TEUR 35 
oAufstockung VZÄ-Anteile von 0,1 auf 0,5 (Betreuung SAP-
Berechtigungswesen nach Umstellung)
oUmschichtung von Aufgaben innerhalb des Fachdienstes ggf. Anforderung 
Kompensation
Projektlaufzeit:
Aufgrund der Komplexität und auch die Interaktion sowohl mit dem IT-Dienstleister 
als auch mit allen SAP-Usern, ist die Darstellung der Umstellung nur als Projekt 
sinnvoll.
Die reinen operativen Tätigkeiten zur Anpassung werden ca. ein halbes Jahr in 
Anspruch nehmen, hinzukommen die Zeiten für Projektinitiierung, Projektierung, 
Vergabeverfahren und Ressourcenbereitstellung (Personal)  ca. 2 Monate.
Vorteile:  Gegenüber der Variante 1 eine von der Laufzeit und den Kosten her 
günstigere Variante.
Nachteile: Mit dieser Alternative werden lediglich die der Ergebnisfeststellung 
zugrundeliegenden Problembereiche behoben. Eine nachhaltige 
Wirkung, wie sie bei der Variante 1 (völlige Neustrukturierung 
Berechtigungskonzept) erzielt wird, kann bei der Variante 2 bedingt 
erreicht werden.
                                                           Seite: 4/4
Mit Präsentation am 17.05.2018 erfolgte vom Fachdienst Rechnungswesen und 
Sondervermögen im Ausschuss für Rechnungsprüfung die Darstellung der Möglichkeiten zur 
Abarbeitung der noch offenen Prüfungsergebnisse (siehe oben). 
Eine für die Verwaltung bindende Entscheidung wurde durch den Ausschuss nicht gefasst. 
 Aus Sicht der Verwaltung stellt unter Berücksichtigung der fachlichen und finanziellen 
Beurteilung die „Variante 2“ einen vertretbaren Lösungsansatz dar. 
Die durch die Fa. IBS Schreiber gesetzten Fristen zur Umsetzung der Prüfungsfeststellungen 
sind bereits verstrichen. Ohne zusätzliche Personalausstattung, die bisher nicht bereitgestellt 
werden konnte, ist dieses Projekt innerhalb des Fachdienstes Rechnungswesen und 
Sondervermögen derzeit nicht umzusetzen. 
Weitere Vorgehensweise
Der Fachbereich Finanzen und Controlling wird nochmals um die Bereitstellung einer 
Einsatzkraft zur personellen Unterstützung bitten. Die hierfür benötigten Mittel werden im 
Rahmen eines Antragsverfahrens gem. § 117 NkomVG (Über- und außerplanmäßige 
Aufwendungen und Auszahlungen) beantragt.