Postverarbeitung - Archivierung - Compliance

Postverarbeitung - Archivierung - Compliance „Input meets Output” meets Compliance Dr. Olaf Riebe, Leiter Product Marketing im Geschäftsbereich ECM der Beta Systems Software AG Zum Thema „Compliance“ gibt es zahlreiche Veröffentlichungen in der Presse und auch im Internet finden sich umfangreiche Dokumente. Insofern können die nachfolgenden Ausführungen bestenfalls eine Einführung und Anregung für ein weiterführendes Studium sein. Aufgrund des speziellen Fokus auf die Postverarbeitung ist es sinnvoll, wichtige Punkte rund um den Themenschwerpunkt „Compliance“ einführend noch einmal darzustellen. Was bedeutet „Compliance“ ? In erster Linie hat „Compliance“ etwas mit der Erfüllung rechtlicher und regulativer Vorgaben und deren Nachweisbarkeit zu tun. Es existieren sowohl internationale wie auch nationale Regulatorien, die zum Teil branchenspezifisch sind, wie zum Beispiel „Basel II“ im Bankenumfeld oder „Domea in der öffentlichen Verwaltung. Weithin bekannt ist Sarbanes-Oxley, wo unter anderem das Thema einer detaillierten Dokumentation signifikanter Geschäftsprozesse gefordert wird. Ausschließlich deutsche Regulatorien wären HGB/AO (Handelsgesetzbuch/Abgabenordnung), BGB (Bürgerliches Gesetzbuch), SigG (Signaturgesetz) oder Verordnungen wie GDPdU (Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen) bzw. SigV (Signaturverordnung). Diese Aufzählung verdeutlicht bereits, dass „Compliance“ vor allem ein Prozess-Thema ist, welches einer kontinuierlichen Pflege und Anpassungen an neue Gesetze und Verordnungen bedarf. Zudem muss es durch klare unternehmensinterne organisatorische Festlegungen hinterlegt sein. Technik gewinnt erst in zweiter Instanz Bedeutung, indem sie es über dedizierte Infrastrukturkomponenten ermöglicht, Regulatorien einzuhalten und der Nachweispflicht zu genügen. Der Zugriffsschutz auf Daten und dessen Dokumentation sind ein Beispiel. Als problematisch erweist sich in vielen Fällen, dass die Gesetze oder behördlichen Verordnungen in ihrer Auslegung nicht unbedingt eindeutig sind – siehe Anfänge der GDPdU. Dies hat viele Unternehmen insbesondere im mittelständischen Bereich dazu verleitet, eine eher abwartende Haltung zu beziehen. Das ist nicht verwunderlich, da das „Compliance“-Thema nicht unerhebliche finanzielle Investitionen nach sich zieht. Schon bei der Frage, welche Dokumente aufbewahrt werden müssen und über welchen Zeitraum, ist eine Eindeutigkeit nicht immer gegeben. Gemäß Abgabenordnung wird zum Beispiel gefordert: • Jahresabschlüsse, Eröffnungsbilanzen, Arbeitsanweisungen, Buchhaltungsbelege für 10 Jahre aufzubewahren und • Handels- und Geschäftsbriefe 6 Jahre aufzubewahren. Bei bestimmten Geschäftsbriefen kann in ausgewählten Fällen eine durchaus längere Aufbewahrungsfrist gelten. Bewährt hat sich in jedem Fall der direkte Kontakt zu den Behörden, um spätere Unstimmigkeiten zu vermeiden. Eine Protokollierung ist dabei selbstverständlich. Ausgewählte „Compliance“-relevante Kriterien sind: • Authentizität • Vollständigkeit • Reproduzierbarkeit • Unveränderlichkeit • Prüfbarkeit • Nachvollziehbarkeit • Nachweisbarkeit „Compliance“ beginnt bereits an den Unternehmensgrenzen Nachvollziehbarkeit und Nachweisbarkeit sind wichtige Kriterien, die bereits beim Posteingang, aber auch beim Postausgang von hoher Bedeutung sind. Was früher durch das Posteingangs- und Postausgangsbuch abgedeckt wurde, lässt sich heute im Zeitalter elektronischer Medien und Massenpost nur noch durch technische Infrastrukturkomponenten effizient lösen. Schon die zunehmende Bedeutung der Emails im täglichen Geschäftsverkehr fordert den Einsatz derartiger Lösungen. Die nachfolgende Abbildung lässt nur erahnen, welche Komplexität an den Schnittstellen eines Unternehmens auftritt, insbesondere wenn Themen wie Input Management und Output Management jeweils für eine ganze Klasse von Kommunikationsmedien wie Papier, Fax oder Email stehen. Man spricht heute von Multi-Channel Input und Multi-Channel Output. Neue Technologie wie UMTS oder interaktives Fernsehen stellen zusätzliche Herausforderungen an diese Technik. Das Problem mit der Eingangspost Die Eingangspost ist heute nicht mehr nur auf Papierdokumente beschränkt. Dedizierte Lösungen für nur einen speziellen Posteingangskanal sind aus wirtschaftlichen Gesichtpunkten kaum noch zu empfehlen. Mit der Multi-Channel-Input-Lösung FrontCollect lässt sich hingegen eine universelle Posteingangslösung realisieren, die für alle Eingangskanäle gleiche „Compliance“-relevante Maßstäbe ansetzt (siehe Abbildung). Ein großes Problem bei der automatischen Eingangspostbearbeitung ist die Bestimmung, welche Dokumente „Compliance“-relevant sind und welche nicht. Das bedeutet, dass alle eingehenden Dokumente über alle Eingangskanäle hinweg analysiert und anschließend nach „Compliance“- relevanten Merkmalen klassifiziert werden müssen. Typische Dokumentenklassen können dabei Eingangsrechnungen oder Antragsformulare einer Versicherung sein. Das Universelle an der Klassifizierung der Eingangspost ist dabei nicht nur die Selektion nach „Compliance“-relevanten Merkmalen, sondern die damit verbundene Möglichkeit der Zuordnung der Eingangspost zum jeweiligen Geschäftsvorgang. Dem kann sich eine automatische Rechnungsbearbeitung oder Bearbeitung des Versicherungsantrages anschließen. Dafür ist neben der vollautomatischen Dokumentenklassifizierung auch die Extraktion aller für die nachfolgende Bearbeitung notwendigen Daten eines Dokumentes wie Rechnungsnummer oder Rechnungsbetrag notwendig. Zusätzliche Informationen die in Form von Meta-Daten wie Datum oder Zeit des Rechnungseinganges vorliegen – der elektronische Posteingangsstempel - sind weiterhin wichtige Informationen im Sinne der Nachvollziehbarkeit von Geschäftsvorgängen und dienen gleichzeitig zur Festlegung der Aufbewahrungsfristen im elektronischen Archiv. Ein heute immer mehr an Bedeutung gewinnendes Thema ist die Email-Verarbeitung. Stellvertretend für eine ganze Reihe von Detail-Themen rund um die Verarbeitung von Emails soll an dieser Stelle die Selektion geschäftsrelevanter Emails unter „Compliance“-Kriterien betrachtet werden. Emails werden heute in den meisten Fällen noch in persönlichen Email-Boxen aufbewahrt. Wenn Mitarbeiter ein Unternehmen verlassen oder auch nur für längere Zeit abwesend sind, ist der Zugriff auf persönliche Email-Boxen nur unter erhöhten Aufwendungen möglich. Eine bessere Lösung ist, alle eingehenden Emails auf „Compliance“-relevante Merkmale zu untersuchen und im positiven Fall zentral abzulegen. Eine Kopie kann dabei durchaus auch in der persönlichen Email-Box gespeichert werden, besser natürlich in einem Gruppenordner oder einer elektronischen Akte. Auch hier kommt die Dokumentenklassifikation und Datenextraktion zum Einsatz. Mit der Nutzung als zentrale unternehmensweite Lösung – Stichwort „Corporate- Standard“ -, hängt es dann nicht mehr vom „Ermessensspielraum“ eines einzelnen Mitarbeiters ab, ob eine eingehende Email „Compliance“-relevant ist oder nicht. In der Konsequenz vereinfacht sich dadurch nicht nur die Arbeit für den Mitarbeiter selbst, sondern das Unternehmen wird nachhaltig bei der Einhaltung von „Compliance“-Regulatorien unterstützt. Komplexität der Ausgangspostverarbeitung nimmt zu Interessanterweise unterscheidet sich die „Compliance“-Thematik bei der Postausgangsbearbeitung nicht grundlegend von der der Posteingangsbearbeitung. Multi- Channel Output ist hier das Stichwort und kann prinzipiell mit dem Thema Multi-Channel Input gleichgesetzt werden, nur eben mit umgekehrtem Vorzeichen. Um beim Email-Beispiel zu bleiben, spielen auch hier persönliche Ordner noch eine dominierende Rolle im täglichen Umgang mit der Geschäftspost. Eine zentral verfügbare Ablage bzw. Archivierung über Gruppenpostfächer/Akten auf Basis klar nachvollziehbarer „Compliance“-Kriterien kann Abhilfe schaffen. Die automatische Klassifizierung der Ausgangspost kann auch hier zum Einsatz kommen, um Emails „Compliance“-relevant zu selektieren und sie dann zentral zu archivieren und unternehmensweit verfügbar zu machen. Ein weiterer interessanter Aspekt kam mit der steigenden Bedeutung des dezentralen Druckes auf. Während noch vor 20 Jahren der dezentrale Druck kaum eine Bedeutung hatte, sieht die 1 Situation heute ganz anders aus . Der dezentrale Druck ist stark geprägt durch die Nutzung von Office-Anwendungen, über die ein Teil der geschäftsrelevanten Post erstellt und ausgedruckt wird, was insbesondere in mittelständischen Unternehmen einen hohen Stellenwert hat. Abgesehen davon, dass in der Regel aus Office-Anwendungen heraus kaum Dateien erzeugt werden, die hinsichtlich ihres Ausgabeformates für eine Langzeitarchivierung geeignet sind, liegen die Postausgangsdokumente überwiegend in einem File-System. Ein File-System bietet grundsätzlich schlechte Voraussetzungen für eine einfache Recherchierbarkeit und hält zudem den meisten „Compliance“-Anforderungen nicht stand. Ein Ausweg ergibt sich mit dem Einsatz eines Output-Management-Systems wie VIDiDOC, welches als zentrale Instanz die vollständige Steuerung der Ausgangspost eines Unternehmens übernehmen kann. Unabhängig davon, ob die Ausgangspost per Papier im zentralen Druck oder im dezentralen Druck produziert wurde oder per Email oder Fax zum Empfänger gelangt. VIDiDOC erlaubt es, die eingehenden Postausgangsdokumente in das richtige Langzeitarchivierungsformat zu überführen und an ein Langzeitarchiv zu übergeben sowie für den richtigen Ausgabekanal aufzubereiten - PDF für Email, AFP für den Zentraldruck als Beispiel. So gelangt die Ausgangspost zur richtigen Zeit im richtigen Format über die unterschiedlichsten Ausgabekanäle zum richtigen Empfänger, jeweils mit vollständiger Protokollierung der durchlaufenen Prozessschritte.