SAP Digital Access im Audit: Was SAP prueft und wie Sie vorbereitet sind

Im Enhanced Audit analysiert SAP die Integrationslandschaft explizit. Wer seinen Integrationsbestand dokumentiert und den DAAP-Status geklärt hat, geht vorbereitet in das Gespräch. Was SAP prüft, welche Findings typischerweise entstehen und wie die Verhandlungsposition davon abhängt.

Was SAP im Enhanced Audit bei Digital Access prüft

Der Enhanced Audit ist die vertiefte Prüfung im SAP-Lizenzaudit-Zyklus. Er findet typischerweise alle zwei bis drei Jahre statt oder wird anlassbezogen eingeleitet: vor Renewal-Verhandlungen, nach M&A-Transaktionen oder wenn ein vorheriger Basic Audit Auffälligkeiten gezeigt hat.

Im Unterschied zur jährlichen Basis-Messung, die sich hauptsächlich auf Named-User-Zahlen und Engine-Metriken konzentriert, analysiert das Enhanced-Audit-Team des SAP Global License Auditing (GLA) aktiv die Integrationsarchitektur.

Die drei Prüfbereiche bei Digital Access

Integrations-Inventar: SAP fordert eine vollständige Liste aller Drittsysteme an, die über eine Schnittstelle mit SAP kommunizieren. Das schließt CRM-Plattformen, WMS-Lösungen, MES-Systeme, E-Commerce-Schnittstellen, RPA-Bots und Finanzportale ein. Wer diese Liste nicht selbst erstellt hat, wird sie im Audit auf SAP-Initiative erstellen müssen, unter Zeitdruck und ohne die Möglichkeit zur Vorbereitung.

Transaktionslogs und Dokumentvolumina: Transaktionslogs in SAP enthalten ausreichend Information, um zu rekonstruieren, welche technischen User und welche Schnittstellen welche Dokumenttypen erstellt haben. Das SAP-Audit-Team wertet diese Daten systematisch aus. Die neun definierten Dokumenttypen, Sales Order Items, Purchase Order Items, Service Order Items, Manufacturing Order Items, Invoice Items, Payment Items, Goods Movement Items, Journal Entries und Inbound Delivery Items, werden auf ihre Lizenzgrundlage geprüft.

Lizenzgrundlage pro Schnittstelle: Für jedes System, das Dokument-Items erzeugt, prüft SAP, ob eine Lizenzgrundlage vorhanden ist: Named-User-Lizenz für die beteiligten Personen oder ein Digital Access Supplement (DAAP-Amendment) für Document-Based Licensing. Systeme ohne dokumentierte Lizenzgrundlage werden als Compliance-Lücken markiert.

Der Steuerungsmoment liegt darin, diese Dokumentation selbst zu führen, bevor SAP danach fragt.

Typische Audit-Findings bei Digital Access

Die häufigsten Findings in Enhanced Audits mit Digital-Access-Fokus folgen einem wiederkehrenden Muster.

Nicht lizenzierte Integrationen mit hohem Dokumentvolumen

E-Commerce-Plattformen, die täglich tausende Sales Orders in SAP übertragen, und WMS-Lösungen mit hoher Buchungsfrequenz für Warenbewegungen sind die volumenstärksten Szenarien. Wenn diese Integrationen kein DAAP-Supplement haben und die Endnutzer nicht als Named User lizenziert sind, entsteht eine Compliance-Lücke mit erheblichem rückwirkenden Exposure.

RPA-Systeme ohne Lizenzklärung

Robotic Process Automation ist einer der am häufigsten übersehenen Trigger. Bots haben keinen Named User und laufen oft als technische System-User im Hintergrund. SAP hat für eigene IRPA-Bots (Lizenztyp 68) und zertifizierte Drittanbieter-RPA-Bots (Lizenztyp 69) eigene kostenlose Lizenzkategorien definiert. Bots außerhalb dieser Kategorien oder mit anderen Authentifizierungsmodellen erzeugen Dokument-Items und damit eine Lizenzpflicht. Im Audit werden diese Systeme über die Transaktionslogs identifiziert, unabhängig davon, ob der Kunde sie im Inventar geführt hat.

RISE-Migrationen mit mitgebrachtem Integrationsbestand

Kunden, die im Rahmen einer RISE-Migration ihren On-Premise-Integrationsbestand übernommen haben, ohne einen Lizenzreview durchzuführen, tragen in vielen Fällen Konstellationen mit, die unter altem Vertragsstand standen. Das Digital-Access-Supplement, das unter RISE gilt, unterscheidet sich möglicherweise vom Supplement des ursprünglichen On-Premise-Vertrags. Diese Diskontinuität wird im Enhanced Audit sichtbar.

M&A-Integrationen ohne Scope-Prüfung

Wenn ein akquiriertes Unternehmen eigene SAP-Integrationen mitbringt, befinden sich diese häufig außerhalb des Enterprise-Agreement-Geltungsbereichs des übernehmenden Unternehmens. Der EA-Scope definiert, welche juristischen Einheiten und welche Systeme unter die inkludierte Digital-Access-Regelung fallen. Gesellschaften, die nach Vertragsabschluss hinzugekommen sind, fallen in der Regel nicht automatisch darunter.

Finanzielles Exposure: Wie sich Nachforderungen berechnen

Das finanzielle Exposure bei Indirect-Access-Findings setzt sich aus mehreren Positionen zusammen.

Nachkauf fehlender Lizenzen: Dokument-Kontingente, die zur Deckung des festgestellten Volumens erforderlich sind, werden zum aktuellen Listenpreis nachgekauft. Bestandsrabatte aus früheren Verhandlungen gelten für den Nachkauf in der Regel nicht.

Retroaktive Lizenzgebühren: SAP berechnet die Lizenzgebühren rückwirkend für den Prüfzeitraum. Der Enhanced Audit deckt typischerweise zwei bis drei Jahre ab. Das bedeutet, dass nicht lizenzierte Volumina aus diesem Zeitraum retroaktiv bepreist werden.

Back-Maintenance: Auf den retroaktiv nachgekauften Lizenzwert wird Back-Maintenance berechnet, in der Praxis rund 20 Prozent des Lizenzwerts pro Jahr. Bei einem sechsstelligen Lizenz-Nachkauf und einem Prüfzeitraum von drei Jahren ergibt sich allein aus der Back-Maintenance ein erheblicher Zusatzbetrag.

In der öffentlichen Literatur sind Findings bei High-Volume-Integrationen mit substantiellen sechsstelligen oder siebenstelligen Gesamtbeträgen dokumentiert (Redress Compliance, JNC UK). Das spezifische Exposure hängt vom Dokumentvolumen, der Laufzeit der nicht dokumentierten Nutzung und den vertraglich vereinbarten Listenpreisen ab.

Die Konsequenz für die Steuerung: Je früher eine Compliance-Lücke erkannt und durch DAAP-Amendment oder Named-User-Nachlizenzierung geschlossen wird, desto geringer ist das rückwirkende Exposure.

Audit als Verhandlungssituation: Vorbereitung stärkt die Position

Enhanced Audits fallen in der Praxis häufig mit kommerziellen Ereignissen zusammen. Vor Renewal-Verhandlungen, vor RISE-Migrationen, nach größeren Systeminvestitionen. Das SAP-Audit-Team und das SAP-Account-Team agieren koordiniert. Audit-Ergebnisse werden als Ausgangspunkt für Lizenz-Nachkäufe und Upgrade-Gespräche genutzt.

Wer mit einem dokumentierten Integrationsbestand und einem abgeschlossenen DAAP-Supplement in das Audit geht, gestaltet die Ausgangslage aktiv. Fehlende Compliance gibt SAP Anlass, Nachkäufe als Teil der Renewal-Verhandlung zu platzieren. Das verändert die Dynamik des Gesprächs erheblich.

Dokumentierter Integrationsbestand bedeutet konkret: ein gepflegtes Integrationsregister, das für jede Schnittstelle die Dokumenttypen, das Volumen und die Lizenzgrundlage ausweist. Nicht als Audit-Dokument, das kurzfristig zusammengestellt wird, sondern als Teil des laufenden Steuerungsrhythmus.

Eine starke Verhandlungsposition entsteht nicht im Audit selbst. Sie entsteht in den Quartalen davor.

Pre-Audit-Bereinigung: Was vor einem Audit erledigt sein sollte

Die folgenden Schritte sind keine kurzfristige Reaktion auf eine Audit-Einladung. Sie sind Teil einer laufenden Digital-Access-Governance. Wer sie bereits im Steuerungsrhythmus führt, hat im Audit keinen Aufholbedarf.

Schritt 1: Integrationslandschaft vollständig erfassen Für jede Schnittstelle zu SAP: Welche Systemkategorie? Welche Richtung (lesend oder schreibend)? Welche Dokumenttypen werden erstellt? Welches Volumen pro Monat? Wer nutzt das System (intern, externe Kunden, Lieferanten, Bots)?

Schritt 2: Lizenzgrundlage pro Integration prüfen Für jede schreibende Integration: Welche Lizenzgrundlage existiert? Named-User-Lizenz, Digital-Access-Supplement oder eine anerkannte Ausnahme wie Static Read oder die Export-Regel? Integrationen ohne Lizenzgrundlage sind als Lücken zu dokumentieren.

Schritt 3: RPA-Systeme auf Lizenztyp prüfen Für jeden produktiven Bot: Fällt er unter SAP IRPA Lizenztyp 68 oder Drittanbieter-RPA Typ 69? Ist die Klassifizierung dokumentiert? Bots außerhalb dieser Kategorien benötigen eine eigene Lizenzgrundlage.

Schritt 4: Vertragsgenerationscheck Welches Digital-Access-Supplement gilt im aktuellen Vertrag? Ist das DAAP-Amendment abgeschlossen? Bei RISE-Migrationen mit On-Premise-Vorgeschichte: Wurde der Integrationsbestand im Rahmen der Migration einem Lizenzreview unterzogen?

Schritt 5: Offene Lücken schließen Für jede identifizierte Lücke: Named-User-Nachlizenzierung oder DAAP-Amendment? Die Entscheidung hängt von Nutzerbasis und Volumen ab. Der DAAP-Abschluss sollte den historischen Zeitraum einschließen, um retroaktive Nachforderungen im Audit zu vermeiden.

Schritt 6: Dokumentation prüffertig aufbereiten Das Integrationsregister sollte so strukturiert sein, dass es ohne Aufwand als Antwort auf eine SAP-Audit-Anfrage verwendet werden kann. Vollständigkeit, Aktualität und Nachvollziehbarkeit der Lizenzentscheidungen sind die drei Qualitätsmerkmale.

Kooperieren und kontrollieren: Was Sie liefern müssen und was nicht

Im Enhanced Audit gilt der Grundsatz: kooperativ und kontrolliert. Die SAP General Terms and Conditions verpflichten den Kunden zur Mitwirkung an der Messung und zur Datenübermittlung. Sie definieren aber auch den Scope dieser Verpflichtung.

Was vertraglich geschuldet ist: Die Ergebnisse der USMM/LAW-Messung für die Produktivsysteme im Scope des Vertrags. Bei Enhanced Audits mit Digital-Access-Fokus: Informationen zur Integrationslandschaft im vertraglichen Geltungsbereich.

Was nicht automatisch geliefert werden muss: Daten über Systeme, die vertraglich nicht im Scope sind, Testumgebungen, wenn diese im Vertrag explizit ausgenommen sind, oder Informationen über geplante Systeme und zukünftige Integrationen.

Vor der ersten Datenlücke und vor jeder Antwort auf SAP-Rückfragen empfiehlt sich eine interne Abstimmung zwischen IT, Einkauf und Legal. Jedes Finding sollte intern bewertet werden, bevor eine Antwort an SAP übermittelt wird. Findings, die auf falschen Annahmen oder unvollständigen Transaktionsdaten basieren, lassen sich anfechten. Das setzt voraus, dass die eigene Dokumentation vollständig ist.

Unternehmen, die regelmäßige Self-Audits mit USMM und LAW durchführen und ihr Integrationsregister laufend pflegen, bestehen Enhanced Audits typischerweise ohne substanzielle Nachforderungen (Redress Compliance, Reveal Compliance). Audit-Compliance ist eine laufende Disziplin, kein einmaliges Projekt.

Steuerungsmoment: Wie FinOptory Digital-Access-Audits begleitet

Digital Access ist einer der Steuerungsmomente im FinOptory-Modell, der regelmäßig sichtbar wird, wenn Audits oder Renewal-Gespräche anstehen. Das Integrationsregister, das Volumen-Tracking pro Schnittstelle und der DAAP-Status sind Bestandteile des laufenden 14-Tage-Steuerungsrhythmus.

Wer SAP-Verträge nach der Unterschrift systematisch steuert, hat im Audit keinen Aufholbedarf. Der Integrationsbestand ist dokumentiert. Die Lizenzgrundlagen sind belegt. Das DAAP-Amendment ist abgeschlossen oder eine bewusste Entscheidung, Named User zu nutzen, ist getroffen und dokumentiert.

Diese Position entsteht nicht im Audit. Sie entsteht durch laufende Steuerung.

FAQ

Wie läuft ein SAP Enhanced Audit ab?

SAP sendet eine formelle Audit-Benachrichtigung mit Scope, Timeline und Ansprechpartner. Der Kunde führt USMM in allen relevanten Produktivsystemen durch und konsolidiert die Ergebnisse über LAW (SLAW2). Beim Enhanced Audit fordert SAP zusätzlich Informationen zur Integrationslandschaft und analysiert Transaktionslogs aktiv. Der Prozess dauert für komplexe Umgebungen typischerweise drei bis sechs Monate. Die SAP-Audit-Abteilung (Global License Auditing) präsentiert anschließend ein Ergebnis mit identifizierten Compliance-Lücken. Darauf folgt eine Verhandlungsphase.

Was ist USMM und was misst es?

USMM (User and System Measurement Management) ist ein SAP-Standardprogramm (Transaktion USMM), das in jedem SAP-System verfügbar ist. Es misst Named-User-Zahlen und Engine-Metriken pro Einzelsystem. Die Ergebnisse werden als Messdatei exportiert und in LAW (SLAW2) systemübergreifend konsolidiert. Der konsolidierte Report ist das Dokument, das an SAP übermittelt wird. USMM zählt alle Named User, unabhängig davon, ob sie aktiv sind. Inaktive Accounts und Duplikate erhöhen die gemessene Zahl künstlich.

Was passiert, wenn SAP im Audit eine Digital-Access-Lücke findet?

SAP markiert das betroffene System als Compliance-Lücke und beziffert das Exposure: Nachkauf der fehlenden Dokument-Kontingente zum aktuellen Listenpreis, retroaktive Lizenzgebühren für den Prüfzeitraum (typischerweise zwei bis drei Jahre) und Back-Maintenance. Das Finding wird als Ausgangspunkt für eine Verhandlung über den True-Up-Umfang verwendet. Jedes Finding kann intern bewertet und bei Bedarf angefochten werden, wenn die eigene Dokumentation eine andere Einschätzung stützt.

Kann ich ein SAP-Audit ablehnen?

Die Verpflichtung zur Mitwirkung an der jährlichen Messung ist in den SAP General Terms and Conditions verankert. Eine vollständige Verweigerung ist vertragswidrig. Der Scope der Verpflichtung ist jedoch durch den Vertrag begrenzt. Systeme außerhalb des Vertragsscopes und vertraglich ausgenommene Umgebungen (Testsysteme, Sandboxes) sind nicht automatisch Bestandteil des Audits.

Wann ist der beste Zeitpunkt, eine Digital-Access-Bereinigung durchzuführen?

Vor dem nächsten Renewal-Gespräch und vor dem nächsten Enhanced Audit. Idealerweise ist die Bereinigung kein separates Projekt, sondern Teil des laufenden Steuerungsrhythmus: Integrationsregister pflegen, neue Integrationen vor Go-Live prüfen, DAAP-Amendment abschließen oder Named-User-Lizenzierung für identifizierte Lücken nachholen. Je früher eine Lücke geschlossen wird, desto geringer ist das rückwirkende Exposure bei einem späteren Audit.

Weiterführende Artikel in dieser Reihe: Digital Access und Indirect Access bei SAP: Drittanbieter-Integrationen lizenzrechtlich steuern und Compliance-Dokumentation für Digital Access: Das Integrationsregister.

Wenn Sie Ihren Digital-Access-Status vor dem nächsten Audit oder Renewal klären möchten: Vertragscheck buchen oder Erstgespräch vereinbaren.