Onboarding Leitfaden

Zeitplan

Übersicht

1. S-User Einrichtung

FinOptory benötigt einen S-User mit lesenden Berechtigungen auf dem SAP for Me Portal (me.sap.com), um Ihre SAP-Vertragsdaten, Lizenznutzung, Cloud-Infrastruktur und Abrechnungen laufend zu überwachen und auszuwerten. Ohne diesen Zugang ist ein datenbasiertes Vertragsmanagement nicht möglich.

Der Zugriff erfolgt über einen dedizierten S-User unter Ihrer SAP-Kundennummer, der von Ihrem Super Administrator oder Cloud Administrator angelegt und verwaltet wird. FinOptory erhält damit ausschliesslich lesenden Zugriff. Schreibende Aktionen (Cases erstellen, Lizenzen bestellen, Systemdaten ändern) sind bewusst nicht enthalten. Die Datenverarbeitung ist über den Auftragsverarbeitungsvertrag (AVV) zwischen Ihnen und FinOptory geregelt.

Berechtigungsebene

FinOptory empfiehlt die Vergabe auf Global-Ebene. Damit ist sichergestellt, dass alle SAP-Verträge unter Ihrer Kundennummer vollständig erfasst werden, einschliesslich vertraglicher Querabhängigkeiten wie Volumenrabatte, Laufzeitüberschneidungen und Konsolidierungspotenziale.

Wenn Sie den FinOptory Managed Service nur für ausgewählte Verträge nutzen möchten, können die Berechtigungen auf Installations-Ebene eingeschränkt werden. In diesem Fall vergeben Sie die Berechtigungen nur für die relevanten SAP-Installationsnummern.

SAP for Me Portal

SAP Cloud Products

Installation and System Management

Case Management

Reports

Zusammenfassung: 15 Berechtigungen

Schritt-für-Schritt: S-User anlegen

1. SAP for Me öffnen und mit Ihrem Administrator-S-User anmelden (me.sap.com)
2. User Management aufrufen (Menü: Users & Contacts > User Management)
3. Neuen S-User anlegen: Klicken Sie auf Create User und geben Sie die Kontaktdaten des FinOptory-Beraters ein, den Sie von uns erhalten
4. Berechtigungen zuweisen: Wechseln Sie auf den Tab Authorizations und vergeben Sie die 15 Berechtigungen aus den obigen Tabellen
5. Berechtigungsebene wählen: Wählen Sie Global (empfohlen) oder die gewünschten Installationsnummern
6. Speichern und aktivieren: Der neue S-User erhält eine Aktivierungsmail von SAP

Nach der Einrichtung teilen Sie uns die S-User-ID (Format: S00XXXXXXXXX) mit. FinOptory verifiziert den Zugriff und bestätigt die erfolgreiche Einrichtung.

Hinweise zum S-User

Dedizierter Zugang: Ihr Administrator legt einen eigenen S-User für FinOptory an. Bestehende S-User-Zugangsdaten werden nicht weitergegeben.

Berechtigungen mit Manage im Namen: Einige SAP-Berechtigungen tragen den Zusatz Manage (z.B. Manage Invoices and Payments), obwohl FinOptory nur lesenden Zugriff benötigt. In der SAP-Berechtigungsstruktur existiert für diese Bereiche keine separate Display-Berechtigung. FinOptory nutzt diese Zugänge ausschliesslich zum Lesen. Im Rahmen des Onboardings dokumentieren wir gemeinsam mit Ihnen die Nutzungsgrenzen.

Anpassungen: Falls Ihre SAP-Landschaft besondere Anforderungen hat (z.B. Customer Center of Expertise mit mehreren Kundennummern), stimmen wir die Berechtigungsstruktur im Onboarding individuell ab.

2. SAP API-Anbindung

FinOptory synchronisiert Daten aus Ihrer SAP-Landschaft automatisch über offizielle SAP APIs. Das ersetzt die manuelle Datenpflege für Systemlandschaften, BTP-Verbrauch, Berechtigungen und Subaccount-Strukturen. Die Synchronisation erfolgt täglich und automatisch.

Verfügbare Verbindungen

Service Key erstellen (BTP APIs)

Alle drei BTP-Verbindungen (Consumption, Entitlements, Accounts) nutzen denselben Service Key. Er muss nur einmal erstellt werden.

Schritt A: Service berechtigen (Global Account Admin erforderlich)

1. SAP BTP Cockpit öffnen und zum Global Account navigieren (oberste Ebene, nicht Subaccount)
2. Entitlements > Entity Assignments aufrufen
3. Den Subaccount auswählen, in dem die Instanz erstellt werden soll
4. Configure Entitlements > Add Service Plans klicken
5. Nach cis oder Cloud Management suchen
6. Den Plan central auswählen > Add Service Plans > Speichern

Schritt B: Service-Instanz erstellen

1. In den Subaccount navigieren > Services > Service Marketplace
2. Nach Cloud Management Service suchen
3. Create klicken > Plan central > Namen vergeben > Create

Schritt C: Service Key erstellen

1. Services > Instances and Subscriptions aufrufen
2. Die Instanz im Tab Instanzen finden und anklicken
3. Tab Service Keys > Create Service Key > Namen vergeben > Create
4. View klicken und das vollständige JSON kopieren
5. Das JSON im FinOptory Setup-Assistenten einfügen (Settings > SAP Connections > Add Connection)

Das JSON enthält clientid, clientsecret, url (Token-URL) und endpoints (API Base URL). FinOptory extrahiert alle Felder automatisch.

Service Key erstellen (Cloud ALM)

Cloud ALM benötigt einen eigenen Service Key im Cloud ALM Subaccount:

1. SAP BTP Cockpit öffnen und zum Cloud ALM Subaccount navigieren
2. Services > Service Marketplace aufrufen
3. Nach SAP Cloud ALM API (oder calm) suchen
4. Create klicken > Plan Landscape Management auswählen > Create
5. Instances and Subscriptions > Instanz anklicken > Service Keys > Create Service Key
6. Das vollständige JSON kopieren und in FinOptory einfügen

Cloud ALM muss in Ihrer BTP-Landschaft provisioniert und aktiviert sein, bevor der API-Service im Marketplace verfügbar ist.

Einrichtung in FinOptory

Über den Setup-Assistenten in Settings > SAP Connections > Add Connection:

1. Verbindungstyp auswählen (Cloud ALM, BTP Consumption, Entitlements oder Accounts)
2. Das vollständige Service Key JSON einfügen
3. Die extrahierten Felder prüfen (Token URL, API Base, Client ID, Secret)
4. Verbindung testen

Nach erfolgreicher Einrichtung synchronisiert die Verbindung automatisch im Tagesrhythmus.

Fehlerbehebung

Fehlermeldung Service not found in Marketplace: Der Service ist möglicherweise nicht für Ihren Subaccount berechtigt. Unter Entitlements > Configure Entitlements den Plan central für Cloud Management hinzufügen.

Kein Create-Button sichtbar: Sie benötigen die Rolle Subaccount Administrator. Ihr Global Account Administrator kann diese Rolle zuweisen.

Cloud Management nicht verfügbar: Ihr BTP-Vertrag enthält diesen Service möglicherweise nicht. Klären Sie die Berechtigung mit Ihrem SAP Account Executive.

3. FinOptory-Report und Systemzugang

Für die Analyse Ihrer ECC- und S/4HANA-Systeme nutzt FinOptory den bestehenden ABAP-Report Z_FINOPTORY_EXTRACT. FinOptory stellt die aktuelle Version als Transport bereit. Ihr SAP Basis Administrator importiert den Transport in das vereinbarte Collector-System und richtet die freigegebenen RFC-Verbindungen zu den Quellsystemen ein.

Da FinOptory die Analyse als Managed Service durchführt, benötigen wir denselben dedizierten FinOptory-Dialogbenutzer in jedem zu analysierenden ECC- oder S/4HANA-System und Mandanten. Die Anmeldung per SAP GUI in jedem dieser Systeme gehört zu diesem Schritt. Der Kunde importiert den Transport, richtet Benutzer und Verbindungen ein und vergibt die Minimalrolle. FinOptory führt anschließend die Datensammlung aus.

Verfügbare Datenmodule

• Vermessung und Systeminventar: Pflichtmodul mit Benutzern, Lizenzklassifizierung und offizieller Messung
• Berechtigungen: Rollen, Profile, Zuweisungen und Referenzbenutzer
• Berechtigungsregelwerk: SU24-Vorschläge sowie Objekt- und Transaktionskataloge
• Organisationsebenen: Klartexte für Buchungskreise, Werke und weitere Organisationseinheiten
• Nutzung: Berechtigungs-Trace und Transaktionsnutzung, sofern kundenseitig freigegeben

Was Sie bereitstellen

1. Import des von FinOptory bereitgestellten Transports in das vereinbarte Collector-System
2. Derselbe dedizierte FinOptory-Dialogbenutzer und SAP-GUI-Anmeldung in jedem zu analysierenden ECC- oder S/4HANA-System und Mandanten
3. Freigegebene Typ-3-RFC-Verbindungen vom Collector zu den Quellsystemen. Ein technisch getrennter RFC-Benutzer ohne Dialogzugang kann nach Ihrer Sicherheitsrichtlinie verwendet werden
4. Eine Rolle, identisch im Collector-System und in jedem Quellsystem und Mandanten
5. Gemeinsamer Verbindungs- und Testlauf vor der ersten Datenübertragung

Eine Rolle, in jedem System identisch

Der FinOptory-Benutzer erhält dieselbe Rolle im Collector-System und in jedem Quellsystem: Dialogzugang zum Starten des Reports und RFC-Zugriff für die systemübergreifende Ausführung. Dieselbe Rolle trägt auch die Berechtigung für punktuelle Dialoganalysen direkt im System, wenn eine Auffälligkeit das erfordert. Der Benutzer ist einem einzelnen FinOptory-Berater persönlich zugeordnet, nicht geteilt, alle Aktivitäten sind über das Security Audit Log und STAD nachvollziehbar. Eine Ausnahme bleibt systemspezifisch: die SM59-Destination in S_ICF wird nur in dem System gepflegt, das die Ergebnisse an FinOptory ausliefert, in allen anderen Systemen bleibt das Feld leer.

Ihr SAP Basis Administrator bestätigt die Rolle mit STAUTHTRACE je Release und gewähltem Modul. In Systemen unterhalb SAP_BASIS 7.02 ist S_RFC RFC_TYPE = FUNC noch nicht verfügbar, der Trace zeigt dann den Fallback FUGR auf die ganze Funktionsgruppe. SAP_ALL, Entwicklungs-, Transport-, RFC-Administrations- und Änderungsberechtigungen für den FinOptory-Benutzer sind nicht erforderlich.

4. Digital Access Benutzeranalyse (optional)

Digital Access wird anhand erzeugter Dokumente und nicht anhand von Named Usern gemessen. Für die laufende Vertragssteuerung analysiert FinOptory deshalb, welche Dokumentmengen durch ausgewählte Schnittstellen-, RPA- oder technische Benutzer verursacht wurden. So lassen sich Automatisierungen und Integrationen mit ihrer tatsächlichen SAP-Nutzung verbinden.

Dafür verwendet FinOptory denselben dedizierten FinOptory-Benutzer aus Schritt 3. Die Reports werden jeweils in dem System und Mandanten ausgeführt, in dem die Dokumente entstanden sind. Eine zentrale Ausführung aus einem anderen SAP-System ersetzt diese lokalen Reportläufe nicht.

Reports nach Systemtyp

• ECC: Report DAC_ECC_COUNT_DOCTYP_ITEM gemäß SAP Note 2992090
• S/4HANA: Report DAC_S4_COUNT_DOCTYP_ITEM gemäß SAP Note 2999672
• Kontrollgröße: Standardmessung mit RSUVM_DAC gemäß SAP Note 2837612

Zusätzliche Berechtigungen

Für Digital Access wird kein weiterer Benutzer und keine weitere Rolle angelegt. Was pro System und Mandant zusätzlich nötig ist, steht in der Berechtigungsmatrix aus Schritt 3 in der Spalte Digital Access.

5. Vertragsdokumente

Für die Vertragsanalyse benötigen wir Ihre SAP-Vertragsdokumente. Je vollständiger die Unterlagen, desto präziser die Analyse und desto schneller der Start.

Bereitstellung: Upload direkt in der FinOptory-Plattform (PDF, DOCX, XLSX), oder per E-Mail an Ihren FinOptory-Berater. Vertragsdokumente werden KI-gestützt indexiert und den entsprechenden Vertragseinheiten zugeordnet.

6. Plattform-Zugang und Rollen

FinOptory verwendet ein rollenbasiertes Berechtigungsmodell auf zwei Ebenen: Tenant-weit und pro Vertrag. Die Einrichtung erfolgt gemeinsam mit Ihrem FinOptory-Berater.

Rollen

Anmeldung

Die Standard-Anmeldung erfolgt per E-Mail und Passwort. MFA kann pro Tenant aktiviert werden (deaktiviert, optional oder erforderlich). Optional kann Single Sign-On über Microsoft Entra ID eingerichtet werden (siehe Schritt 7).

Vertragszugriff

Für jeden Vertrag in FinOptory wird separat festgelegt, welche Benutzer Zugriff erhalten und mit welcher Rolle. So können Sie beispielsweise einem Kollegen Viewer-Zugriff auf einen bestimmten Vertrag geben, ohne dass dieser andere Verträge sehen kann.

Einrichtung

1. FinOptory erstellt Ihren Tenant und lädt Ihren ersten Admin-Benutzer ein
2. Ihr Admin lädt weitere Benutzer ein (Settings > Users > Invite User)
3. Für jeden Vertrag wird der Zugriff pro Benutzer konfiguriert

7. Microsoft Entra ID (optional)

Ihre Mitarbeiter melden sich mit ihrem Microsoft-Firmenkonto bei FinOptory an, ohne zusätzliches Passwort. FinOptory erhält dabei die Anmeldung, den Namen und die E-Mail-Adresse des Benutzers. Die Anmeldung per E-Mail und Passwort bleibt daneben verfügbar.

Was Sie bereitstellen

• Eine einmalige Freigabe von FinOptory durch einen Administrator Ihrer Microsoft-Umgebung. Den Freigabelink erhalten Sie von uns.
• Die E-Mail-Domains, die per Single Sign-On anmelden sollen, zum Beispiel ihrefirma.com.

Ablauf

1. Ihr Administrator öffnet den Freigabelink und bestätigt FinOptory für Ihre Organisation.
2. Wir schalten Ihre Domains frei, sobald die Freigabe vorliegt.
3. Ihre Mitarbeiter geben bei der Anmeldung ihre Firmenadresse ein und werden zu Microsoft weitergeleitet.

Danach

Ihre Microsoft-Umgebung führt FinOptory als freigegebene Anwendung. Dort legen Sie fest, welche Benutzer oder Gruppen FinOptory nutzen dürfen, und beenden den Zugang, wenn Sie ihn nicht mehr benötigen. Auf Wunsch erhalten Benutzer Ihrer Domain beim ersten Login automatisch ein FinOptory-Konto mit einer von Ihnen festgelegten Rolle (Viewer, Editor oder Admin).

8. KI-Integration (optional)

FinOptory bietet eine Schnittstelle (Model Context Protocol), über die KI-Werkzeuge wie ChatGPT oder Google Gemini direkt auf Ihre Vertragsdaten zugreifen können. So können Sie Vertragsinhalte in natürlicher Sprache abfragen, ohne die FinOptory-Plattform öffnen zu müssen.

Funktionsweise

Die Integration nutzt OAuth 2.0 zur Authentifizierung über api.finoptory.ai. Sie erstellen einmalig einen OAuth Client in den FinOptory-Einstellungen und hinterlegen die Zugangsdaten in ChatGPT (als Custom GPT) oder Gemini (als Gem). Danach ist die Verbindung dauerhaft aktiv.

Verfügbare Funktionen

Einrichtung

1. In FinOptory: Settings > MCP Service > Create OAuth Client
2. Client ID und Client Secret sicher notieren (das Secret wird nur einmal angezeigt)
3. In ChatGPT oder Gemini: Custom GPT / Gem erstellen und die OAuth-Zugangsdaten hinterlegen
4. Verbindung autorisieren (einmalige Anmeldung bei FinOptory)

Detaillierte Anleitungen für ChatGPT und Gemini finden Sie nach dem Login in der FinOptory-Plattform unter Settings > MCP Service.