TNr. 44 Verfahrenssicherheit im Bereich der Personalverwaltung

Der ORH hatte in den Jahren 2014 sowie 2017 bis 2019 die Verfahrenssicherheit des IT-Personalverwaltungssystems VIVA[1] bei den Personal- und Stellenverwaltungen von vier Ressorts[2] der Staatsverwaltung geprüft und dabei insbesondere auf die lückenlose, fälschungssichere und historisch nachvollziehbare Verarbeitung von Daten geachtet. Die in VIVA erfassten Personaldaten dienen auch der für den Haushalt bedeutsamen Bezügezahlung; der ORH hatte im Rahmen seiner Prüfungen u.a. festgestellt, dass intern nicht überprüfte Daten zu erheblichen Risiken für den Haushalt führten. Im Hinblick auf Mängel in der Verfahrenssicherheit hat er nun 2020 bei allen Ressorts Ordnungsmäßigkeit und Effizienz geprüft. Diese Prüfung hat auch umfasst, ob und inwieweit die früheren ORH-Empfehlungen umgesetzt wurden.

44.1 Ausgangslage

Beim Freistaat Bayern sind rd. 175.000 Beschäftigte und 230.000 Beamte tätig.[3] Die Bezüge beliefen sich 2018 auf 15 Mrd.€. Im Prüfungszeitraum[4] wurden allein rd. 34.000 Personen neu eingestellt (rd. 27.000 Beschäftigte und 7.000 Beamte), deren Daten erstmals erfasst werden mussten. Zudem wurden beim vorhandenen Personal beispielsweise bei über 11.000 Beschäftigten und über 24.000 Beamten Änderungen in der Tarif- bzw. Besoldungsgruppe vorgenommen.

Die dazu erforderlichen Datenvorgaben der Personalverwaltung müssen im System VIVA, das auch das Landesamt für Finanzen (LfF) für alle Bezügezahlungen nutzt, korrekt sein und vor unberechtigten Zugriffen besonders geschützt werden. Zudem müssen die Datenvorgaben zeitnah geprüft werden, da sie ein hohes Fehlerpotenzial und finanzielle Auswirkung haben können. Rückwirkende Korrekturen sind rechtlich nur begrenzt möglich.

44.1.1 Prüfkonzept des Finanzministeriums und Prüftool

Das Finanzministerium hatte dazu ein Prüfkonzept für die Personal- und Stellenverwaltung gegenüber allen Geschäftsbereichen bekanntgemacht; es ist aber für die Ressorts nicht durchgehend verpflichtend.

Das LfF richtete zur Umsetzung des Prüfkonzepts das Prüftool HR-Easy-Audit für VIVA ein. Das Prüftool eignet sich zur Qualitätssicherung und Korruptionsprävention. Es dient zudem der übergreifenden Datensicherheit und damit der korrekten Arbeit der Bezügestellen, weil diese zu den von der Personalverwaltung eingetragenen Daten keine Unterlagen mehr in Papierform erhalten.

Das Finanzministerium hatte u.a. darauf hingewiesen, dass jedem Personalsachbearbeiter ein Prüfer und ein Prüfervertreter zwingend zuzuordnen und im System VIVA zu vermerken sind. Die Zuordnungen von Prüfern bzw. Prüfervertretern sowie die Überwachung der Prüfungsvorgänge und der Prüfdauer gehören u.a. zu den Aufgaben der Personalverwaltung jeder Behörde. Das sicherzustellen, unterliegt der Aufsicht jedes Ressorts. Erst die o.g. Zuordnungen ermöglichen es, die zahlungsrelevanten Datenvorgaben der Personalverwaltung mit dem Prüftool HR-Easy-Audit zu überprüfen. Die prüfpflichtigen Fälle können damit automatisiert selektiert und die Prüfung durch einen elektronischen Erledigungsvermerk revisionssicher dokumentiert werden.

Zeitlich sollen laut Prüfkonzept die Datenvorgaben vor dem nächsten Zahltag, spätestens aber vor dem darauffolgenden geprüft werden (30-Tage-Zeitraum). Unabhängig von der Prüfung mit HR-Easy-Audit sind alle Personalvorgänge stets zeitnah auch auf die materielle Richtigkeit hin zu überprüfen.

44.1.2 Berechtigungen

Neben einer Kennung (User-ID), die jeder Benutzer von VIVA und dem Prüftool HR-Easy-Audit braucht, werden jedem Personalsachbearbeiter, Prüfer und dessen Vertreter die Berechtigungen eingeräumt, die für die Zugriffe notwendig sind. Diese erlauben den Zugriff auf VIVA und legen fest, welche Daten eingesehen bzw. gepflegt werden können.

Bei der Vergabe der Berechtigungen wurden im Konzept für das System VIVA die Prinzipien der minimalen Berechtigung und der Funktionstrennung (z.B. von Sachbearbeiter und Prüfer) festgelegt, um einen sicheren Betrieb und den Datenschutz zu gewährleisten.

Die Überprüfung der Berechtigungen und ihre Zuordnung auf Sachbearbeiter, Prüfer und Prüfervertreter sind wesentliche Grundlagen für die Verfahrenssicherheit und damit für korrekte Bezügezahlungen. Daher müssen insbesondere bei personellen Veränderungen der Sachbearbeiter, Prüfer bzw. Prüfervertreter deren Zuordnungen und Eintragungen überprüft und ggf. geändert werden.

44.1.3 Rollen bei VIVA

Die verschiedenen Aufgaben der Benutzer im System VIVA erfordern unterschiedliche Berechtigungen zum Zugriff auf Daten. Dabei geht es insbesondere um die Berechtigung zum Lesen bzw. zum Pflegen von Daten (Lese- bzw. Schreibberechtigung), aber auch um die Berechtigung der Prüfer zur Überprüfung der Datenvorgaben (Systemberechtigung). Diese inhaltliche und organisatorische Abgrenzung und die eindeutigen Zuweisungen der Aufgaben sowie die damit verbundenen Berechtigungen werden über sogenannte Rollen vorgenommen.

44.2 Feststellungen

Der ORH hat bei der Nachprüfung vier Schwerpunkte gesetzt bei:

• Zuordnung von Prüfern und Prüfervertretern,
• Berechtigungen für VIVA und für das Prüftool HR-Easy-Audit,
• Prüfungsdauer und
• ungeprüften Fällen.

44.2.1 Zuordnung der Prüfer und der Prüfervertreter

Die Auswertungen des ORH über alle Ressorts (ohne Epl.11) ergaben 5.703 Benutzer, die Schreib- oder Leseberechtigungen hatten; von den Benutzern waren 2.586 (45,3%) schreibberechtigt. Die Zahl der schreibberechtigten Rollen lag je nach Ressort zwischen einer Rolle und 600 Rollen. Benutzern mit Schreibrechten waren in 307 Fällen (11,9%) kein Prüfer, in weiteren 272 Fällen (10,5%) war dem Prüfer kein Vertreter zugeordnet.

Soweit kein Prüfer eingetragen war, wurden die Datenvorgaben eines Sachbearbeiters ungeprüft im System VIVA erfasst und waren ungeprüft Grundlage für Zahlungen. Wenn der Prüfer verhindert ist, können Datenvorgaben ohne Prüfervertreter nicht oder nicht rechtzeitig geprüft werden. Eine Verhinderung ergibt sich z.B. wegen Urlaub, Krankheit oder wenn ein Prüfer seinen eigenen Personalfall prüfen müsste; davon ist er rechtlich ausgeschlossen. Prüfer oder Prüfervertreter zu bestellen, ist ebenfalls eine Voraussetzung für zeitnahe, effiziente Prüfungen.

Im Nachgang zu Prüfungen in den Ressorts hinsichtlich der Verfahrenssicherheit von VIVA war der ORH bereits 2014 an das Finanzministerium mit der Forderung nach einer revisionssicheren (lückenlosen, fälschungssicheren und historisch nachvollziehbaren) Dokumentation der Rollen und Berechtigungszeiträume herangetreten. Dazu wurde eine IT-Unterstützung hinsichtlich der Vergabe von Schreib- und Leserollen empfohlen. Diese Empfehlung wurde von der Leit- und Koordinierungsstelle VIVA-PSV in der Arbeitsgruppe "Dezentrale VIVA-Benutzerverwaltung“ mehrfach behandelt. Ein konkretes Ergebnis wurde nicht erzielt.

44.2.2 Berechtigungen für VIVA und für das Prüftool HR-Easy-Audit

44.2.2.1 Kennung (User-ID)

Jeder Benutzer benötigt für den Zugriff auf das System VIVA eine gültige Kennung (User-ID). 33 Prüfern bzw. 60 Prüfervertretern war zum Auswertungszeitpunkt keine aktive User-ID mehr zugeordnet, wovon 408 Prüfungsbereiche betroffen waren. Ohne aktive User-ID konnten die eingetragenen Prüfer bzw. Prüfervertreter nicht mehr aktiv auf das VIVA-System zugreifen. Somit kamen die Fälle ungeprüft zur Zahlung.

44.2.2.2 Identität von Sachbearbeiter und Prüfer bzw. Prüfervertreter

Eine Prüfung wird bei Identität von Sachbearbeiter und Prüfer bzw. von Sachbearbeiter und Prüfervertreter im VIVA-System technisch unterbunden. In zwei Fällen wurde festgestellt, dass Sachbearbeiter und Prüfer identisch waren. Deshalb gelangten die vorgegebenen Daten ungeprüft zur Zahlung. 508 Prüfervertreter (betraf in Folge von Mehrfacheintragung als Prüfer bzw. Prüfervertreter 516 Fälle) waren identisch mit dem Sachbearbeiter oder dem Prüfer. Falls der Prüfer verhindert war oder eine Datenvorgabe den Prüfer betraf (Identität von Sachbearbeiter und Betroffenem), konnten die Datenvorgaben nicht oder nicht rechtzeitig geprüft werden.

44.2.2.3 Systemberechtigung für Prüfungen

20 Prüfer (betraf infolge von Mehrfacheintragung 23 Fälle) bzw. 31 Prüfervertreter (betraf infolge von Mehrfacheintragung 305 Fälle) hatten keine Systemberechtigung für Prüfungen. Den Prüfern bzw. Prüfervertretern fehlte damit bereits der Zugang zu den prüfpflichtigen Fällen. Somit erhielten diese keinen automatischen Hinweis auf offene Prüffälle. Eine Prüfung der Datenvorgaben wurde nicht dokumentiert.

44.2.3 Prüfungsdauer geprüfter Fälle

Nachstehende Tabelle fasst eine Auswertung der über 200.000 geprüften Fälle zusammen, u.a. Neueinstellungen und tarifliche Änderungen (s.TNr.44.1 Ausgangslage) mit Änderungsdatum vom 02.01.2018 bis 31.12.2019:

Von den 201.316 prüfpflichtigen Datenvorgaben in 2018 und 2019 wurden 53.110 Fälle (26%) nach einer Zeit von mehr als 30 Tagen geprüft. In 8.017 Fällen (4%) fand die Prüfung nach mehr als 180 Tagen statt und die späteste Prüfung nach 782 Tagen. In den beiden letzten Fallgruppen war die tarifrechtliche Ausschlussfrist[5] bereits abgelaufen, innerhalb der Arbeitgeber bzw. Beschäftigte ihre Ansprüche hätten geltend machen können.

44.2.4 Ungeprüfte Fälle

Eine weitere Auswertung[6] der Fälle, bei denen im Zeitraum vom 02.01.2018 bis zum 31.12.2019 zahlungsrelevante Daten in VIVA geändert wurden, zeigte 18.422 Fälle, in denen weder Prüfungsergebnis noch -datum eingetragen waren. Der ORH ging hier mangels Dokumentation von ungeprüften Fällen aus.

Von 18.422 ungeprüften Fällen aus 2018 und 2019 lag im Zeitpunkt der Auswertung bei 15.928 Fällen die Datenänderung in VIVA über 180 Tage zurück. Die ältesten, zwei Jahre ungeprüften 8 Fälle beruhten auf personalbezogenen Datenvorgaben vom 02.01.2018.

44.3 Würdigung und Empfehlungen

Fehlende bzw. nicht zeitnahe Prüfungen von zahlungsrelevanten Datenvorgaben können zu Fehlzahlungen (Über- oder Unterzahlungen) mit erheblichem Haushaltsrisiko führen. Mit fortschreitender Zeit kann nicht mehr für alle Personalfälle die Richtigkeit der Ausgaben und damit auch nicht der Nachweis ordnungsgemäßer Zahlungen erbracht werden.

Sofern bei einer Dienststelle keine Mitarbeiter zur Verfügung stehen, die die Vertretung des Prüfers übernehmen können, muss an anderer Stelle eine Prüfmöglichkeit eingerichtet werden. Alternativ empfiehlt der ORH zu prüfen, ob die Personalverwaltung des entsprechenden Bereichs neu- oder umorganisiert werden kann.

Der ORH sieht dringenden Handlungsbedarf, insbesondere in folgenden Bereichen:

• Das Prüfkonzept des Finanzministeriums für die Personal- und Stellenverwaltung ist zu beachten und umzusetzen.
• Die Prüfung soll spätestens bis zum übernächsten Abrechnungslauf abgeschlossen sein.
• Mit einer im System VIVA bereitgestellten informationstechnischen Möglichkeit sollten alle Eintragungen von Prüfern und Prüfervertretern und die Rollen von Sachbearbeitern und Prüfern bzw. Prüfervertretern regelmäßig - mindestens einmal pro Quartal - überprüft werden.

44.4 Stellungnahme der Verwaltung

Das Finanzministerium, das der ORH um Koordinierung gebeten hatte, teilte nach einem Treffen der personalverwaltenden Stellen mit, grundsätzlich habe Einvernehmen bestanden, dass Handlungsbedarf zur Sicherstellung der Verfahrenssicherheit bestehe. Wünschenswert sei eine Tool-gestützte Lösung zur Unterstützung der regelmäßigen Überprüfungstätigkeiten.

Die letzte Markterkundung für eine bessere IT-Unterstützung liege einige Jahre zurück, solle nun zeitnah wiederholt und möglichst bis Ende des ersten Quartals 2021 abgeschlossen werden. Dazu würden der dezentrale Ansatz (Rollenvergabe durch PSV-Stellen vor Ort) als auch der zentrale (Rollenvergabe durch das LfF) evaluiert. Danach werde das weitere Vorgehen festgelegt.

44.5 Schlussbemerkung

Personaldaten müssen wegen ihrer haushaltsrechtlichen Bedeutung auch im Personalverwaltungssystem VIVA stets aktuell und korrekt sein. Die vier früher geprüften Ressorts hatten schon zu den früheren Prüfungsmitteilungen zugesichert, die vom ORH aufgezeigten Defizite beseitigt zu haben bzw. künftig abzustellen. Dennoch stellte der ORH bei allen Ressorts erhebliche aktuelle Mängel fest. Der ORH empfiehlt daher dringend, zeitnah sicherzustellen, dass die vielfältigen, langjährigen Mängel abgestellt werden.

 

[1] Vollintegriertes Verfahren komplexer Anwendungen.
[2] Umweltministerium, Landwirtschaftsministerium, Sozialministerium und Innenministerium.
[3] Stand: 01.05.2020.
[4] Mai 2019 bis Mai 2020.
[5] § 37 TV-L.
[6] Stand: 29.04.2020.