SAP-Audit-Survival-Guide: Was bei einem laufenden Audit konkret zu tun ist

SAP kündigt eine Lizenzvermessung an. Die E-Mail liegt vor, die Frist ist gesetzt. Was jetzt passiert, wer zuständig ist, welche Daten tatsächlich übermittelt werden müssen und worauf dabei zu achten ist: dieser Leitfaden beschreibt die vier Phasen eines strukturierten Audit-Prozesses.

Ein SAP-Audit ist kein Ausnahmezustand, der alles andere überlagert. Er ist eine geregelte Prüfung mit bekannter Mechanik. Wer die Phasen kennt und das richtige Audit-Response-Team zusammenstellt, begleitet den Prozess informiert statt reaktiv.

Phase 1: Benachrichtigung erhalten, was tun?

Die erste Reaktion entscheidet, wie kontrolliert die folgenden Wochen verlaufen.

Audit-Typ bestimmen. SAP unterscheidet zwischen dem jährlichen Basic Audit (selbst durchgeführt, standardisierter USMM/LAW-Report) und dem Enhanced Audit (SAP Global License Auditing involviert, Laufzeit typischerweise drei bis sechs Monate). Im Enhanced Audit hat SAP direkteren Zugriff auf Messdaten und einen stärkeren Verhandlungsrahmen.

Nicht sofort bestätigen. Die initiale Audit-Ankündigung enthält in der Regel einen Vorschlag für Zeitplan und Umfang. Es ist legitim, den Zeitplan zu kommentieren und Anpassungen zu verhandeln, bevor der Prozess formal startet. Besonders wenn relevante Personen wie Contract Manager oder externe Berater nicht unmittelbar verfügbar sind. Zwei bis drei Wochen Vorlaufzeit vor dem offiziellen Start sind in der Praxis oft realistisch verhandelbar.

Audit-Response-Team aktivieren. Vier Rollen gehören vom ersten Tag an in die Steuerungsrunde: der Contract Manager (Lizenzbaseline, Vertragsklauseln), Procurement (Einkaufshistorie, Renewal-Konditionen), Controlling (Kostenallokation, Rechnungshistorie) und auf Executive-Ebene mindestens Informationsstand, damit Freigaben nicht zum Engpass werden. Externe Unterstützung durch SAP-Lizenz-Experten ist bei Enhanced Audits in den meisten Fällen sinnvoll.

Vertragstext lesen, bevor Daten zusammengestellt werden. Was SAP anfordern darf, steht im Vertrag. Der Scope ist nicht beliebig erweiterbar. Klausel zu Audit-Frequenz, zulässigen Messperioden und Datenzugang prüfen.

Phase 2: Datenerhebung, Wochen 2 bis 4

Diese Phase bestimmt, wie das Ergebnis aussieht. Wer hier sauber arbeitet, verhandelt in Phase 4 aus einer informierten Position.

USMM für alle relevanten Systeme ausführen. Das User and System Measurement Management (Transaktion USMM) misst jeden Named User unabhängig von seiner tatsächlichen Aktivität. Alle Produktivsysteme, die lizenzpflichtig sind, müssen erfasst werden. Sandbox- und Schulungssysteme gesondert prüfen: Ob sie zählen, hängt von der vertraglichen Regelung ab.

LAW-Konsolidierung durchführen. Die License Administration Workbench (SLAW2) konsolidiert Einzelmessungen über alle Systeme und dedupliziert dieselbe Person in mehreren Systemen. Schlechte Datenhygiene bei User-IDs erhöht den manuellen Aufwand erheblich. Je früher die Konsolidierung läuft, desto mehr Zeit bleibt für Bereinigung.

Inaktive Accounts identifizieren und bereinigen. USMM zählt gesperrte oder lange nicht genutzte Accounts. Wer vor der Datenübermittlung berechtigt Accounts sperrt oder löscht, reduziert die gemessene Lizenzmenge. Empfohlene Schwelle: 90 Tage ohne Login. Diese Bereinigung muss intern dokumentiert sein und transparent begründbar bleiben.

Fehlklassifizierungen adressieren. Ein User mit Limited-Berechtigung, der Professional-Transaktionen aufgerufen hat, erscheint im USMM als Non-Compliant. Wenn technisch belegbar ist, dass bestimmte Transaktionen nicht aktiv genutzt werden oder die Rollenzuordnung korrigiert werden kann, sollte das vor der Messung passieren. Nicht nachträglich und nicht in Eile, aber strukturiert.

Dieser Steuerungsmoment im Bereich Berechtigungen ist einer der wenigen, der sich im laufenden Audit noch aktiv gestalten lässt. Er wirkt direkt auf das gemessene Ergebnis.

STAR-Analyse intern durchführen. Die S/4HANA Trusted Authorization Review zeigt zugewiesene Berechtigungen. Rohe STAR-Daten werden intern genutzt, um Fehlklassifizierungen zu identifizieren, aber nicht ungeprüft an SAP weitergegeben. STAR zeigt zugewiesene, nicht genutzte Berechtigungen. Der Unterschied ist im Audit relevant.

Phase 3: Datenübermittlung und SAP-Analyse

In dieser Phase übermittelt der Kunde die konsolidierten Messdaten. SAP verarbeitet sie und erstellt einen vorläufigen Compliance-Report.

Nur das übermitteln, was vertraglich geschuldet ist. SAP darf bestimmte Daten anfordern, aber nicht alles was technisch abrufbar ist. Der Vertragstext definiert den Umfang. Faustregel: USMM/LAW-Ergebnisse für lizenzpflichtige Systeme, keine darüber hinausgehenden Systemdaten ohne explizite vertragliche Grundlage.

Übermittlung dokumentieren. Was wann in welcher Version übermittelt wurde, gehört schriftlich festgehalten. Das ist besonders relevant, wenn SAP in Phase 4 auf andere Zahlen verweist. Ein einfaches Übermittlungsprotokoll mit Datum, Dateiversion und Systemumfang reicht aus.

PCE Metering-Daten gesondert bewerten. Bei Systemen mit Private Cloud Edition triggert SAP monatliches automatisiertes Metering. In der Praxis zeigen sich bei PCE Metering bekannte Qualitätsgrenzen, die SAP weiter adressiert. Diskrepanzen zwischen automatisiertem Metering und den eigenen Messergebnissen sollten dokumentiert werden und können in Phase 4 als Diskussionspunkt eingebracht werden.

Kommunikation schriftlich führen. Alle Rückfragen, Klärungen und Anpassungen im laufenden Audit per E-Mail, nicht per Telefon. Das gilt für beide Seiten.

Phase 4: Findings bewerten und verhandeln

SAP legt einen Compliance-Report vor. Dieser Report ist nicht das Ende des Prozesses, er ist der Startpunkt der Verhandlung.

Jedes Finding einzeln prüfen. Ein Finding bedeutet nicht automatisch, dass SAP Recht hat. Drei Pflicht-Tests für jedes Finding:

Ist das Finding vertraglich korrekt? Die Klassifizierungsregel, die SAP anwendet, muss im Vertrag stehen. Wenn SAP eine Klassifizierung auf Basis von Annahmen trifft, die nicht explizit im Vertrag verankert sind, ist das verhandelbar.
Sind die zugrundeliegenden Messdaten korrekt? USMM/LAW-Ergebnisse können Datenhygiene-Probleme widerspiegeln, die keine echte Non-Compliance darstellen. Doppelte User-IDs, historische Accounts, Migrationsdaten: all das muss separat bewertet werden.
Ist das Exposure plausibel? SAP berechnet Nachzahlungen auf Basis von Listpreisen plus Back-Maintenance. Diese Ausgangsbasis ist verhandelbar, besonders wenn die Compliance-Lücke auf einer Klassifizierungsfrage liegt und nicht auf tatsächlich genutzten Kapazitäten.

Kooperativ, aber mit Substanz verhandeln. SAP ist ein Langfristpartner. Eskalation und Konfrontation ohne sachliche Grundlage schwächen die eigene Position. Substantiierte Gegenargumente, klare Begründungen und schriftliche Klärung dagegen stärken sie.

Steuerungsmoment Kosten aktiv nutzen. Der Audit-Abschluss ist ein natürlicher Steuerungsmoment im Bereich Kosten: Nachzahlungen, Anpassung der Lizenzbasis, mögliche Vertragsänderungen für den Folgevertrag. Wer diesen Moment vorbereitet, kann nicht nur das Audit-Ergebnis optimieren, sondern auch die Grundlage für die nächste Renewal-Verhandlung legen.

Settlement dokumentieren. Das Audit-Ergebnis, jede vereinbarte Zahlung und jede Anpassung an der Lizenzbasis werden schriftlich festgehalten und in die Vertragsdokumentation überführt.

Was nach dem Audit laufend stehen sollte

Ein abgeschlossenes Audit ist keine Ruheposition. Die häufigste Situation nach einem Audit: Die Lizenzbasis wurde neu verhandelt, aber die Prozesse, die zur Compliance-Lücke geführt haben, laufen weiter.

Drei Maßnahmen, die nach jedem Audit verankert werden sollten:

Erstens: Quartalsweise Self-Audits als Betriebsstandard einführen. USMM/LAW mindestens quartalsweise intern ausführen, Ergebnisse dokumentieren, Abweichungen zur Lizenzbasis sofort adressieren. SAM4U kann dabei laufende Optimierungspotenziale sichtbar machen.

Zweitens: Inaktive-Account-Prozess definieren. Die 90-Tage-Schwelle, die im Audit oft hastig angewendet wird, gehört als fester Lifecycle-Prozess verankert. Zuständig ist in der Regel IT/Basis, aber der Contract Manager muss den Prozess steuern.

Drittens: Audit-Response-Team beibehalten. Das Team, das im Audit funktioniert hat, sollte nicht nach Abschluss wieder aufgelöst werden. Ein quartalsweiser Governance-Review mit Contract Manager, Procurement, Controlling und Executive-Beteiligung ist die strukturelle Grundlage, um den nächsten Steuerungsmoment nicht zu verpassen.

Wer nach einem Audit diese drei Maßnahmen etabliert, verschiebt sich im SAP-Lizenz-Reifegradmodell von Stufe 1 (reaktiv) in Richtung Stufe 3 (aktiv gesteuert). Der Unterschied liegt nicht im Wissen, sondern im Rhythmus.

Drei Fragen, die häufig im Audit entstehen

Muss ich SAP Zugriff auf meine Systeme geben? Nein, nicht automatisch. Beim Enhanced Audit hat SAP vertraglich definierte Rechte, die im Vertrag stehen. Direkter Systemzugriff ist kein Standard, sondern eine Einzelfallregelung. Den Vertragstext prüfen.

Was passiert, wenn ich einen Fehler in meiner Übermittlung entdecke? Korrekturen sind in der Regel möglich, solange der finale Compliance-Report noch nicht ausgestellt wurde. Korrektur sofort schriftlich kommunizieren und begründen. Korrekturen nach Ausstellung des Reports sind möglich, aber aufwendiger.

Kann SAP denselben Zeitraum zweimal prüfen? Die Audit-Frequenz und zulässige Prüfzeiträume sind im Vertrag geregelt. Ein Enhanced Audit deckt in der Regel die vorangegangenen ein bis drei Jahre ab, abhängig von der Vertragslaufzeit und dem Auslöser.

Weiterführende Artikel in diesem Pillar: