SAP Digital Access Audit-Checkliste: 10 Schritte fuer eine souveraene Audit-Vorbereitung

Digital Access ist einer der häufigsten Findings bei SAP Enhanced Audits. Wer seinen Integrationsbestand kennt, den DAAP-Status geklärt hat und Dokumentvolumina verfolgt, geht vorbereitet in das Gespräch. Diese Checkliste führt in zehn Schritten durch die wesentlichen Vorbereitungsmaßnahmen.

Warum Digital Access im Enhanced Audit so häufig zum Thema wird

Im SAP Enhanced Audit analysiert das Global License Auditing Team die Integrationsarchitektur systematisch. SAP fordert eine vollständige Liste aller Drittsysteme mit SAP-Schnittstellen an und wertet Transaktionslogs aus, um zu rekonstruieren, welche technischen User welche Dokumenttypen erzeugt haben.

Die neun Dokumenttypen, Sales Order Items, Purchase Order Items, Service Order Items, Manufacturing Order Items, Invoice Items, Payment Items, Goods Movement Items, Journal Entries und Inbound Delivery Items, werden auf ihre Lizenzgrundlage geprüft. Systeme ohne dokumentierte Named-User-Lizenz und ohne Digital Access Supplement stehen als Compliance-Lücken im Audit-Ergebnis.

Das typische Muster: E-Commerce-Plattformen mit hohem Bestellvolumen, RPA-Bots im Rechnungsprozess, WMS-Systeme mit automatisierten Warenbewegungen. Alles Szenarien, in denen Digital-Access-Lizenzpflichten entstehen, die ohne laufende Dokumentation unsichtbar bleiben.

Die folgenden zehn Schritte strukturieren die Vorbereitung. Sie sind kein kurzfristiges Audit-Projekt. Sie sind eine laufende Governance-Aufgabe, die im Steuerungsrhythmus verankert sein sollte.

Die 10-Schritte-Checkliste

Schritt 1: Integrationslandschaft vollständig erfassen

Erstellen Sie eine Liste aller Systeme, die über eine Schnittstelle mit SAP kommunizieren. Die Grundlagen sind IT-Architektur-Dokumentation, Middleware-Konfigurationen (SAP Integration Suite, MuleSoft, Boomi, Azure Integration Services) und Schnittstellen-Register aus dem SAP-Basis-Bereich.

Für jede Schnittstelle erfassen Sie:

Systemkategorie (CRM, WMS, MES, E-Commerce, RPA, Finanzportal, Einkaufsplattform)
Richtung des Datenflusses (lesend, schreibend, bidirektional)
Authentifizierungsmodell (Named User, technischer System-User, API-Key)
Betriebszustand (produktiv, inaktiv, in Einführung)

Typische Lücken: Schatten-Integrationen, die ohne zentrale IT-Beteiligung eingeführt wurden, und Middleware-Flows, die niemand vollständig dokumentiert hat. Befragen Sie nicht nur die Architektur-Dokumentation, sondern auch die Applikationsteams.

Schritt 2: Dokumenttypen pro Integration identifizieren

Für jede schreibende Integration klären Sie, welche der neun lizenzrelevanten Dokumenttypen erzeugt werden. Diese Information steckt in den API-Aufrufen der Integration (BAPIs, RFC-Funktionsmodule, OData-Services) oder in den Transaktionslogs des SAP-Systems.

Eine CRM-Plattform, die Aufträge via BAPI_SALESORDER_CREATEFROMDAT2 anlegt, erzeugt Sales Order Items. Ein Buchhaltungs-Portal, das Zahlungseingänge bucht, erzeugt Payment Items und Journal Entries. Ein WMS, das Wareneingänge verbucht, erzeugt Goods Movement Items.

Wenn Sie die Dokumenttypen nicht kennen, sind Transaktions-Traces im SAP-System (SM66, STAD) oder die Logs Ihrer Middleware der richtige Ausgangspunkt.

Schritt 3: Dokumentvolumen pro Integration messen

Für jede Integration mit identifizierter Schreibaktivität messen Sie das monatliche Dokumentvolumen. Die Einheit ist Dokument-Items, nicht Transaktionen: Eine Sales Order mit zehn Positionen entspricht zehn lizenzrelevanten Items.

Historische Messung über zwölf Monate gibt ein belastbares Bild der tatsächlichen Volumina. Fehlende historische Daten lassen sich über SAP-Transaktionslogs rekonstruieren. Für den Audit-Zeitraum (typischerweise zwei bis drei Jahre) sollten Sie zumindest Schätzgrößen mit belegbarer Methodik vorliegen haben.

Dieser Schritt ist der Steuerungsmoment "Nutzung" im FinOptory-Modell: Wer weiß, welche Integration wie viel produziert, erkennt Overage-Risiken frühzeitig und hat die Verhandlungsgrundlage für den DAAP-Abschluss.

Schritt 4: Lizenzgrundlage pro Integration prüfen

Für jede schreibende Integration stellt sich die Frage: Auf welcher Lizenzgrundlage läuft sie?

Die drei möglichen Antworten:

Named-User-Lizenz: Die Personen oder Systeme, die über das Drittsystem in SAP arbeiten, sind als Named User lizenziert. Passt bei wenigen, identifizierbaren Nutzern mit begrenztem Volumen.

Digital Access Supplement (DAAP): Ein DAAP-Amendment ist abgeschlossen und deckt Document-Based Licensing für diese Integration ab. Passt bei hohem Volumen, anonymen Nutzern oder vollautomatisierten Prozessen.

Anerkannte Ausnahme: Static Read (kein Schreiben in SAP) oder die Export-Regel (lizenzierter SAP-User hat den automatisierten Prozess eingerichtet). Ausnahmen müssen belegbar und dokumentiert sein.

Integrationen ohne eine dieser drei Grundlagen sind als Compliance-Lücken zu dokumentieren.

Schritt 5: RPA-Systeme gesondert klassifizieren

RPA-Bots sind im Enhanced Audit regelmäßig Bestandteil der Findings. SAP hat zwei kostenlose Lizenzkategorien definiert: Lizenztyp 68 für SAP IRPA-eigene Bots und Lizenztyp 69 für zertifizierte Drittanbieter-RPA-Bots.

Für jeden produktiven Bot klären Sie:

Fällt er unter Lizenztyp 68 oder 69?
Ist das im Vertrag oder in der Lizenzdokumentation belegt?
Wie authentifiziert sich der Bot gegenüber SAP?

Bots, die über eigene technische User laufen, außerhalb zertifizierter Kategorien fallen oder Dokumenttypen außerhalb der SAP-IRPA-Scope-Definition erzeugen, benötigen eine eigene Named-User-Lizenz oder ein DAAP-Supplement.

Schritt 6: Vertragsgenerationscheck durchführen

Welches Digital-Access-Supplement gilt in Ihrem aktuellen Vertrag? Diese Frage ist besonders relevant für:

RISE-Kunden mit On-Premise-Vorgeschichte: Das Digital-Access-Supplement, das mit einem RISE-Enterprise-Agreement kommt, unterscheidet sich möglicherweise vom Supplement des ursprünglichen On-Premise-Vertrags. Wenn der Integrationsbestand bei der RISE-Migration übernommen wurde, ohne einen Lizenzreview durchzuführen, können Konstellationen entstanden sein, die unter dem neuen Vertragsstand anders zu bewerten sind.

Bestandskunden ohne DAAP-Migration: Kunden mit SAP-Verträgen, die vor 2019 abgeschlossen wurden und auf die kein DAAP-Amendment nachträglich aufgesetzt wurde, arbeiten möglicherweise noch mit Indirect-Access-Regelungen des alten Vertragsmodells. Ein Vertragsgenerationscheck klärt den aktuellen Stand.

Prüfen Sie Ihr Digital-Access-Supplement gegen die aktuelle Fassung im SAP Trust Center (sap.com/about/trust-center/agreements.html).

Schritt 7: M&A-Integrationen auf EA-Scope prüfen

Wenn Ihr Unternehmen in den letzten Jahren Gesellschaften akquiriert hat, tragen diese möglicherweise eigene SAP-Integrationen mit, die nicht unter den Geltungsbereich Ihres Enterprise Agreements fallen.

Der EA-Scope definiert, welche juristischen Einheiten und welche Systeme unter die inkludierte Digital-Access-Regelung fallen. Gesellschaften, die nach Vertragsabschluss hinzugekommen sind, fallen in der Regel nicht automatisch darunter. Für diese Szenarien gilt die gleiche Prüflogik wie für externe Integrationen.

Wenn Sie post-M&A-Gesellschaften in Ihrem SAP-Umfeld haben, prüfen Sie explizit, ob deren Integrationen in den EA-Scope aufgenommen wurden oder eine eigene Lizenzgrundlage benötigen.

Schritt 8: Offene Lücken priorisieren und schließen

Für jede identifizierte Compliance-Lücke entscheiden Sie, ob Named-User-Nachlizenzierung oder ein DAAP-Amendment der richtige Weg ist.

Die Entscheidungslogik: Bei wenigen, identifizierbaren Nutzern mit begrenztem Dokumentvolumen ist Named User der einfachere Weg. Bei hohem Volumen, anonymen Nutzern oder vollautomatisierten Prozessen ohne identifizierbare Personen ist Document-Based Licensing über DAAP wirtschaftlicher.

Für den DAAP-Abschluss ist das gemessene historische Dokumentvolumen (Schritt 3) die Verhandlungsgrundlage. Das DAAP-Programm ermöglicht eine Retrospektiv-Bereinigung des historischen Zeitraums. Je früher dieser Schritt abgeschlossen ist, desto geringer ist das rückwirkende Exposure bei einem späteren Audit.

Schritt 9: Integrationsregister prüffertig aufbereiten

Das Ergebnis der Schritte 1 bis 8 ist ein Integrationsregister, das alle relevanten Informationen pro Schnittstelle zusammenfasst. Dieses Register ist die Antwort auf die SAP-Audit-Anfrage "Stellen Sie uns eine vollständige Liste aller Drittsysteme mit SAP-Schnittstellen zur Verfügung."

Qualitätsmerkmale eines prüffertigen Registers:

Vollständigkeit: Alle produktiven Schnittstellen sind erfasst, einschließlich inaktiver Systeme, die im Prüfzeitraum aktiv waren
Aktualität: Letzte Aktualisierung ist dokumentiert
Lizenzentscheidungen: Für jede Schnittstelle ist die Lizenzgrundlage und die Entscheidungslogik nachvollziehbar
Volumen: Historische Messdaten oder Schätzgrößen mit Methodik sind hinterlegt

Ein Register, das kurzfristig unter Audit-Druck zusammengestellt wird, ist schwerer zu verteidigen als eines, das über Monate im laufenden Betrieb geführt wurde.

Schritt 10: Neuen Integrationen einen Lizenz-Gate-Prozess einrichten

Die zuverlässigste Form der Audit-Vorbereitung ist, keine neuen Lücken entstehen zu lassen. Dafür braucht es einen Lizenz-Gate-Prozess für neue Integrationen: Bevor eine neue Schnittstelle in den Produktivbetrieb geht, wird die Lizenzfrage geklärt.

Der Prozess ist nicht aufwendig. Die Fragen sind klar: Welche Dokumenttypen erzeugt die Integration? Welches Volumen ist zu erwarten? Gibt es eine Lizenzgrundlage? Wenn nicht: Named User oder DAAP-Erweiterung?

Dieser Schritt verankert Digital-Access-Governance im Betrieb, nicht im Audit-Projekt. Er ist der Steuerungsmoment "Berechtigungen" aus der Governance-Perspektive: Wer entscheidet, welche Schnittstellen aktiv sind und welche Lizenzgrundlage sie haben, steuert die Compliance-Position des Unternehmens proaktiv.

Was diese Checkliste nicht ersetzen kann

Die zehn Schritte geben eine strukturierte Grundlage für die Audit-Vorbereitung. Sie ersetzen nicht die rechtliche Bewertung konkreter Vertragspositionen, die Verhandlungsstrategie im Audit selbst oder die Entscheidung über den richtigen Zeitpunkt für ein DAAP-Amendment.

Bei komplexen Integrationslandschaften, RISE-Migrationen mit umfangreichem On-Premise-Bestand oder bevorstehenden Renewal-Verhandlungen ist es sinnvoll, die Vorbereitung mit einer unabhängigen Einschätzung des Integrations-Exposures zu verbinden.

Das Ziel dieser Checkliste ist ein konkretes: Wer diese zehn Punkte kennt und regelmäßig überprüft, geht nicht unvorbereitet in ein SAP Enhanced Audit.

FAQ

Wie viel Zeit sollte ich für die Audit-Vorbereitung einplanen?

Das hängt vom Umfang der Integrationslandschaft ab. Unternehmen mit zehn bis zwanzig Integrationen können die Schritte 1 bis 6 in wenigen Wochen abarbeiten. Bei komplexen Portfolios mit mehreren ERP-Systemen, internationalen Gesellschaften und umfangreichem RPA-Einsatz ist eine strukturierte Bestandsaufnahme ein mehrmonatiges Projekt. Das spricht dafür, die Schritte nicht als einmaliges Projekt zu behandeln, sondern im laufenden Steuerungsrhythmus zu verankern.

Was ist der erste Schritt, wenn ich eine Audit-Einladung erhalten habe?

Zunächst intern abstimmen: IT, Einkauf und Legal sollten koordiniert vorgehen, bevor die erste Antwort an SAP geht. Dann den Scope der Einladung prüfen: Welche Systeme und Zeiträume sind benannt? Danach mit dem Integrationsregister (Schritt 9) den eigenen Stand einschätzen und Lücken identifizieren, die vor der Datenübergabe an SAP noch bearbeitet werden können.

Muss ich SAP alle Integrationsdaten liefern?

Die SAP General Terms and Conditions verpflichten zur Mitwirkung an der Messung für Systeme im Vertragsscope. Systeme außerhalb des Geltungsbereichs und vertraglich ausgenommene Umgebungen sind nicht automatisch Teil des Audits. Was genau geliefert werden muss, ergibt sich aus dem spezifischen Vertragstext. Bei Unklarheiten über den Scope empfiehlt sich eine rechtliche Einschätzung vor der Datenübermittlung.

Was passiert, wenn ich eine Lücke während der Audit-Vorbereitung entdecke?

Eine selbst identifizierte und proaktiv geschlossene Lücke ist eine deutlich stärkere Verhandlungsposition als ein SAP-Finding. Wenn die Zeit reicht, vor der Datenübergabe ein DAAP-Amendment abzuschließen oder Named-User-Lizenzen nachzukaufen, verbessert das die Ausgangslage erheblich. Wenn die Zeit nicht reicht, ist zumindest die interne Dokumentation und eine belegte Einschätzung des Exposures ein sinnvoller Ausgangspunkt für die Verhandlungsphase.

Weiterführende Artikel in dieser Reihe: SAP Digital Access und Indirect Access: Lizenzierung, Audit-Risiko und Governance verstehen und SAP Digital Access im Audit: Was SAP prüft und wie Sie vorbereitet sind.

Wenn Sie Ihren Digital-Access-Status vor dem nächsten Audit oder Renewal strukturiert aufbereiten möchten: Vertragscheck buchen oder Erstgespräch vereinbaren.