Wie erleichtere ich die SoD-Prüfungen für SAP und Cloud-Systeme?
Praxisleitfaden 2026: KI-Agenten, universeller XML-Adapter und 90-Tage-Plan. 60-80% weniger manuelle Reviews bei gleichzeitig vollständiger Auditierbarkeit.
SoD-Prüfungen - die Überprüfung der Funktionstrennung - sind in 2026 nicht mehr ein reines SAP-Thema. Die Daten, die in einem Audit zählen, leben heute in einer Mischung aus SAP, Workday, Salesforce, ServiceNow, Azure AD und einer Handvoll kundenindividueller Cloud-Apps. Die meisten Unternehmen, die wir bei smartGRC begleiten, hatten zu Beginn der Zusammenarbeit eine vollständig manuelle Cloud-SoD-Praxis: Excel-Tabellen, vierteljährliche Marathon-Reviews, zwei oder drei Vollzeitkräfte, die mehr Zeit mit Aufräumen als mit Risikoarbeit verbringen.
Das funktioniert nicht mehr. Die Cloud-Estate ist zu groß, die Änderungsfrequenz zu hoch, die Wirtschaftsprüfer zu kritisch geworden. Dieser Leitfaden beschreibt drei Hebel, mit denen die SoD-Prüfung über SAP und Cloud hinweg um 60-80% reduziert werden kann - bei gleichzeitig besserer Auditierbarkeit. Die Erkenntnisse stammen aus 15 signierten Enterprise-Referenzen der letzten 36 Monate.
Hebel 1: KI-Agenten für die Routine-Analyse
Die größte Aufwandsquelle in einer klassischen SoD-Prüfung ist nicht die Risikoarbeit - es ist die Sortierung von False Positives und die manuelle Bewertung tausender Berechtigungskombinationen. In einer typischen Quartalsprüfung mit 1.000 SAP-Nutzern und 800 Cloud-Nutzern entstehen 3.000-5.000 SoD-Findings. 80-90% davon sind entweder akzeptierte Restrisiken oder bereits durch kompensierende Kontrollen abgedeckt. Ein menschliches Reviewteam verbringt 70% der Zeit damit, diese auszusortieren - und nur 30% mit den 200-400 echten Risiken.
KI-Agenten kehren dieses Verhältnis um. Der SoD-Monitoring-Agent klassifiziert jedes Finding automatisch: akzeptiert, mitigiert durch Kontrolle X, kritisches Risiko, oder unklar. Der Mensch sieht nur die letzten zwei Kategorien - typischerweise 5-10% des Gesamtvolumens. Bei einer 1.000-Nutzer-SAP-Estate sinkt der Review-Aufwand pro Quartal von ~80 Personentagen auf 10-15 Personentage.
Konkrete Anwendungsfelder:
- Firefighter-Session-Audit - automatische Analyse von Notfallzugriff-Logs, die kritische Transaktionen kennzeichnet. Wir haben darüber eine ausführliche Fallstudie publiziert: 6 Monate Firefighter-Daten, 600 Sessions, KI vs. Mensch - KI gewann 6:0.
- SoD-Pattern-Erkennung - der Agent identifiziert wiederkehrende Risikomuster über mehrere Nutzer hinweg und schlägt Rollendesign-Korrekturen vor.
- Mitigation-Designer - bei Findings ohne bestehende kompensierende Kontrolle schlägt der Agent eine passende Kontrolle vor (basierend auf 15 Referenzkatalogen).
Hebel 2: Universeller XML-Adapter für Cloud-Systeme
Der zweite Aufwandstreiber ist die System-Heterogenität. Jedes Cloud-System hat sein eigenes Berechtigungsmodell, seine eigene Export-Schnittstelle, seine eigene Risikoterminologie. Das klassische Vorgehen war: für jedes neue System ein eigenes Integrationsprojekt mit eigener Datenmodellierung - Aufwand pro System: 3-6 Monate.
smartGRC verwendet einen universellen XML-Adapter (dokumentiertes XSD-Schema). Jedes System, das eine Liste von Nutzern, Rollen/Berechtigungen und Mapping-Regeln exportieren kann, lässt sich in 2-4 Tagen integrieren. Beispiele aus der Praxis:
| Cloud-System | Integration-Aufwand | Anwendungsfeld |
|---|---|---|
| Workday | 3 Tage | HR-Daten, Position-Hierarchie, Recertification von HR-Berechtigungen |
| SAP SuccessFactors | 2 Tage | Talent-Daten, Performance-Reviews-Zugriff |
| Salesforce | 4 Tage | Customer-Daten, Vertriebs-SoD (Quote+Deal+Discount-Approval) |
| ServiceNow | 3 Tage | Change-Management, ITGC-Kontrollen |
| Azure AD | 2 Tage | Identity-Lifecycle, Privileged-Access-Management |
| AWS IAM | 4 Tage | Cloud-Infrastruktur, Production-Access |
| Eigenentwickelte Apps | 5-10 Tage | Je nach Komplexität des Berechtigungsmodells |
Eine vollständige Fallstudie zur Beyond-SAP-Integration haben wir publiziert: 8 Nicht-SAP-Systeme, eine GRC-Plattform - wie ein europäischer Telekom-Medien-Konzern smartReview von SAP auf Billing, DWH, CRM und kundenindividuelle Apps erweitert hat.
Hebel 3: Risk-basierte Recertification statt vollständiger Reviews
Der dritte Aufwandstreiber ist die Tradition vollständiger Recertification-Kampagnen: alle Berechtigungen, alle Nutzer, jedes Quartal. Das ist nicht nur teuer, sondern auch wirkungslos - die Reviewer-Müdigkeit nach 100 Berechtigungen führt zu Rubber-Stamping ohne echte Risikoarbeit.
Das moderne Vorgehen: risk-basierte Recertification. Der smartReview-Agent klassifiziert jeden Nutzer in eine Risikokategorie (basierend auf SoD-Findings, kritischen Berechtigungen, Last-Use-Daten) und passt die Review-Tiefe an:
- Niedriges Risiko (60-70% der Nutzer): vereinfachter Review alle 12 Monate, Bulk-Approval möglich.
- Mittleres Risiko (25-30%): vollständiger Review alle 6 Monate, einzelne Berechtigungen bestätigen.
- Hohes Risiko (5-10%): vollständiger Review pro Quartal, plus kontinuierliche Echtzeit-Überwachung.
Effekt: bei einer 1.000-Nutzer-SAP-Estate sinkt der Review-Aufwand pro Quartal um weitere 40-50% - und gleichzeitig steigt die Qualität, weil die Aufmerksamkeit dort liegt, wo das Risiko ist.
Der 90-Tage-Migrationsplan
Die Umstellung von einer klassischen, vollständig manuellen Cloud-SoD-Praxis auf das oben skizzierte System lässt sich in 90 Tagen abschließen - das ist die typische Projektdauer aus unseren 15 Referenzen.
Woche 1-3: Datenextraktion und Risikokatalog
Export aller bestehenden Berechtigungs- und Rollendaten aus SAP plus den 3-5 wichtigsten Cloud-Systemen. Konsolidierung der vorhandenen Risikoregeln (typischerweise eine Excel-Datei mit 200-500 Regeln) und Übersetzung in die plattformneutrale Risikosprache. Erfahrungswert: 30-40% der bestehenden Regeln sind veraltet oder doppelt und werden nicht migriert.
Woche 3-6: KI-Training und Workflow-Konfiguration
Die KI-Agenten werden auf den historischen Review-Daten der letzten 2-3 Quartale trainiert. Approval-Workflows für Zugriffsanträge, Notfallzugriff und Rollenänderungen werden in die Organisationshierarchie eingebunden. Authentifizierung erfolgt gegen den unternehmensweiten Identity Provider (Azure AD, Okta, SAP IAS).
Woche 5-8: Pilotbetrieb
Erste vollständige SoD-Prüfungskampagne auf einem definierten Pilotbereich - typischerweise Finance und HR. Vergleich der Ergebnisse mit dem letzten klassischen Review. Iterative Verfeinerung der KI-Klassifizierung. In dieser Phase wird der Nutzen sichtbar: was vorher 20 Personentage Reviewaufwand bedeutete, dauert jetzt 3-4 Tage.
Woche 8-12: Vollständiger Rollout und Big-4-Abstimmung
Ausrollung auf alle SAP- und Cloud-Systeme. Parallelbetrieb mit dem alten Verfahren für ein vollständiges Review-Zyklus zur Audit-Continuity. Abstimmung mit dem externen Wirtschaftsprüfer (Big 4) zur Anerkennung der KI-gestützten Methodik. In allen 15 unserer Referenzen wurde die Methodik im ersten Audit-Jahr akzeptiert.
Was Wirtschaftsprüfer brauchen - und was sie nicht brauchen
Eine häufige Sorge: akzeptieren externe Wirtschaftsprüfer KI-gestützte SoD-Prüfungen überhaupt? Antwort: ja, wenn drei Bedingungen erfüllt sind.
Vollständiger Audit-Trail. Jede Entscheidung muss nachvollziehbar sein: wer hat wann was entschieden, mit welcher Begründung, gestützt auf welche Datenlage. Bei KI-Entscheidungen muss zusätzlich die Entscheidungslogik des Agenten dokumentiert sein. smartGRC liefert das standardmäßig.
Standard-Exporte. Big-4-Prüfer arbeiten mit Standardformaten (CSV, XML, PDF). Proprietäre Exportformate werden abgelehnt. smartGRC unterstützt alle drei Standardformate.
Methodologie-Dokumentation. Der Prüfer muss verstehen können, wie die KI-Klassifizierung funktioniert - nicht in Codedetails, aber in Prozessschritten. smartGRC liefert eine 12-seitige Methodologie-Dokumentation, die in mehreren Big-4-Audits akzeptiert wurde.
Die drei Hebel - KI-Agenten, XML-Adapter, risk-basierte Recertification - reduzieren den SoD-Prüfungsaufwand um 60-80%. Sie funktionieren nicht einzeln. Wer nur KI ohne Risikodifferenzierung einsetzt, automatisiert nur das Rubber-Stamping. Wer XML-Adapter ohne KI nutzt, hat dieselbe manuelle Last auf mehr Systemen. Die Reduktion entsteht aus dem Zusammenspiel.
Nächste Schritte. Wenn Ihre nächste SoD-Kampagne in den nächsten 90 Tagen ansteht und das aktuelle Verfahren Sie an die Grenzen bringt, ist der oben skizzierte Plan der Arbeitsplan, der in das verbleibende Fenster passt. Eine vollständige Modulbeschreibung finden Sie unter smartSoD und smartReview. Für eine 30-minütige Demo auf Ihren eigenen Daten: Kontaktformular.