REVIZIJSKA SLED V TRGOVINSKIH POS REŠITVAH S STALIŠ Č A PRAVNE UREDITVE

1. REVIZIJSKA SLED V TRGOVINSKIH POS REŠITVAH S STALIŠČA PRAVNE UREDITVE Stane Moškon Our Space d.o.o. Ljubljana, 3. februar 2004

2. Predstavitev problematike Ugotovitve povezane s POS sistemi pri projektu ureditev varnosti informacijskega sistema v enem od večjih slovenskih trgovskih podjetij: • organizacijske in strukturne spremembe (različni POS sistemi), • različne in zastarele tehnologije (DOS, Clipper, dBase), • proces obvladovanja sprememb se ne izvaja dosledno, • nezanesljivi sistemi prenosa podatkov med aplikacijami, • za razvoj in vzdrževanje skrbi zunanji partner, • neustrezne pogodbe z zunanjimi partnerji, • pojma revizijske sledi ne razumejo niti lastniki procesov, niti programski skrbniki, niti informatiki. POS je v trgovini podpora za izvajanje ključnega dela trgovskega procesa – prodaje.

3. Predstavitev trgovinske POS rešitve Širši pogled na trgovinsko POS rešitev • Podsistemi POS-a: • blagajna s čitalcem črtne kode, terminal za obdelavo plačilnih kartic, terminal za obdelavo bonitetnih kartic, komunikacijska oprema; • POS strežnik s komunikacijsko opremo in opremo za arhiviranje; • sistem za povezavo z ostalimi aplikacijami. • Procesi v trgovinski POS rešitvi: • na POS terminalu s pripadajočo strojno in programsko opremo, • na POS strežniku, • procesi za povezavo POS-a z ostalimi aplikacijami. Na videz preprosta rešitev dejansko pokriva kompleksen proces.

4. Revizijska sled definicija in namen Revizijsko sled sestavljajo vidni podatki in informacije, ki omogočajo identificirati posamezne transakcije, določiti njihovo veljavnost, pravilnost in celovitost izkazovanja v računovodskih izkazih ter dejanskost izvedbe kontrol. Namen revizijske sledi: • zagotavljanje točnosti in nepotvorljivosti podatkov, • dokumentiranost okolja v katerem so transakcije nastale, • predstavitev zgodovinskega zaporedja transakcij o poslovnem dogodku, • nadzor nad izvedbami kontrol, • zagotavljanje in nadzor nad usklajenostjo rešitve z zakonodajo. Revizijska sled je orodje revizorjev, kontrolorjev in linijskih vodij.

5. Revizijska sled in podatki Revizijske sledi bi iz vidika podatkov razdelili v tri skupine: • revizijske sledi pri vnosu podatkov • revizijske sledi pri obdelavi podatkov, • revizijske sledi pri izhodu. Revizijska sled omogoča, da se posamezna transakcija – zapis o poslovnem dogodku, ki jo predstavlja zapis v podatkovni zbirki, sledi do njenega nastanka.

6. Revizijske sledi pri vnosu podatkov Vhodne kontrole morajo zagotavljati: • vsaka transakcija mora biti prejeta, obdelana in shranjena v celoti, • sprejeti morajo biti samo veljavni in avtorizirani podatki, • vhodne aplikacijske kontrole morajo zagotavljati točnost in popolnost prenešenih podatkov med aplikacijami. Primer iz prakse: Vnos spremembe cen ob dobavi blaga v trgovskih poslovalnicah. Revizijska sled mora zagotavljati delovanje vhodnih kontrol.

7. Revizijske sledi pri obdelavi podatkov Procesne kontrole morajo zagotavljati: • popolnost in zanesljivost pri obdelavi podatkov, • podatek zapisan v podatkovni bazi mora ostati popoln in nespremenjen, • spremembe podatkov se lahko izvedejo samo po avtoriziranem postopku. Primer iz prakse: Sprememba cene artikla sproži proces prevrednotenja zalog, ki mora izvesti sklop transakcij v različnih analitičnih evidencah do glavne knjige. Revizijska sled mora zagotavljati delovanje kontrol pri obdelavi podatkov.

8. Revizijske sledi pri izhodu Pri oblikovanju izhodnih poročil je potrebno zagotoviti: • dokumentiranje parametrov pri katerih je bilo poročilo izvedeno, • stanje podatkovne baze, • kontrolo zveznosti poročil, • vmesni seštevki, končni seštevki in oznaka za konec poročila, • poročila o izjemah in napakah, • ponovljivost izdelave poročil. Primer iz prakse: Trgovinske evidence – trgovska knjiga na nivoju poslovalnice in na nivoju podjetja. Revizijska sled sloni na čim bolj popolni in dosledni dokumentiranosti.

9. Revizijska sled in računalniški programi • Dokazljivost delovanja kontrol: • dokumentiranost verzij programske opreme, • dokumentiranost obstoja in izvajanja kontrol. • Upravljanje sprememb: • metodologija obvladovanja sprememb, • ločevanje nalog, • dokumentiranost sprememb. • Testni postopki: • metodologija testiranja, • dokumentiranost testnih postopkov. Pomembna je dokumentiranost okolja v katerem so se za določen poslovni dogodek izvršile vse potrebne transakcije.

10. Revizijska sled in zagotavljanje skladnosti z zakonodajo Revizijska sled mora omogočati: • ugotavljanje skladnosti, zakonitosti in popolnosti obdelav; • zagotavljanje verodostojnosti podatkov v primeru njihove uporabe v sodnih postopkih ali pri različnih inšpekcijskih pregledih; Revizijska sled ni samo orodje revizorjev in kontrolorjev, marveč je sistem za zagotavljanje in kontrolo skladnosti delovanja nekega procesa z internimi in eksternimi predpisi.

11. Pravne osnove za področje trgovinskih POS rešitev Zakonodaja pomembna za trgovinske POS rešitve: • splošna zakonodaja, • zakonodaja in drugi predpisi s področja trgovinske dejavnosti, • zakonodaja s področja elektronskega poslovanja, • drugi standardi in predpisi, • mednarodni standardi in predpisi. Zakonodaja predstavlja za delovanje trgovinskih POS rešitev pomembno osnovo.

12. Splošna zakonodaja • Kazenski zakonik (KZ) • Zakon o gospodarskih družbah (ZGD) • Zakon o avtorskih in sorodnih pravicah (ZASP) • Zakon o varstvu osebnih podatkov (ZVOP) • Zakon o davku na dodano vrednost (ZDDV) Splošni zakonodajni okvir pomemben za trgovinsko POS rešitev.

13. Kazenski zakonik Kazenski zakonik je pomemben za POS rešitev s stališča: • vdora ali zlorabe informacijskega sistema (členi 154., 225., 242), • kazenska in materialna odgovornost za zaupana finančna in materialna sredstva (členi od 211. do 221.), • poškodovanje računalniških podatkov ali programov (člen 225.), • izdaje poslovne skrivnosti in zlorabe notranjih informacij (členi 241. in 243), • izdelovanje in pridobivanje pripomočkov za kaznivo dejanje (člen 309.). Informacijska podpora trgovskemu procesu prodaje je izpostavljena možnostim zlorabe.

14. Zakon o avtorskih in sorodnih pravicah V večini primerov razvijajo in vzdržujejo trgovinske POS rešitve zunanji izvajalci zato je pomembno: • avtorske pravice računalniških programov (člen 15.), • materialne avtorske pravice (člen 21.), • prenos avtorskih pravic (členi od 73. do 82.), • posebnosti pri računalniških programih (členi od 111. do 117). Za programsko opremo razvito in kupljeno od zunanjih izvajalcev je potrebno definirati vprašanje izvorne kode v primeru stečaja ali ukinitve podjetja zunanjega izvajalca.

15. Zakon o varstvu osebnih podatkov in zakon o varstvu potrošnikov Zakon o varstvu osebnih podatkov 30. člen: Z denarno kaznijo od 500.000 do 1,000.000 tolarjev se kaznuje za prekršek upravljavec zbirke osebnih podatkov, pravna oseba ali posameznik, ki stori prekršek v zvezi s samostojnim opravljanjem dejavnosti: 3. če v nasprotju z zakonom zbira osebne podatke od drugih oseb ali jih pridobiva iz že obstoječih zbirk osebnih podatkov (8. člen); 4. če obdeluje osebne podatke za namene, ki niso določeni v zakonu ali pisni privolitvi posameznika, ali jih uporablja na način, ki ni združljiv s temi nameni (9. člena); Zakon o varstvu potrošnikov 77. člen: Posameznik se kaznuje z denarno kaznijo 1.000.000 tolarjev, pravna oseba pa z denarno kaznijo najmanj 3.000.000 tolarjev, če: 3. oglašuje blago ali storitve na način, ki je v nasprotju z zakonom, nedostojen ali zavajajoč .... Oglaševanje preko neželene pošte je danes eden od resnih problemov elektronske pošte.

16. Zakon o davku na dodano vrednost Vsebuje določila po katerih mora delovati POS rešitev pri obračunavanja in vodenju evidenc davka na dodano vrednost: • predmet obdavčitve (člen 3.), • nastanek obveznosti obračuna DDV (člen 19.), • obveznost izdajanja računov in podatke, ki jih mora račun vsebovati (člena 33. in 34.), • določa podatke, ki jih je davčni zavezanec dolžan zagotoviti v svojem knjigovodstvu (člen 56.), • hrambo davčne dokumentacije (člen 57.). Revizijska sled mora zagotavljati pravilnost in popolnost obračunavanja DDV.

17. Zakonodaja in drugi predpisi s področja trgovinske dejavnosti • Zakon o trgovini (ZoT) • Obligacijski zakonik (OZ) • Zakon o varstvu potrošnikov (ZVPot) Ključni zakoni povezani s trgovsko dejavnostjo.

18. Zakon o trgovini Zakon o trgovini opredeljuje opravljanje trgovinske dejavnosti: • opredeljuje trgovino na drobno in prodajo končnim potrošnikom (člen 8.), • predpisuje vodenje trgovinske evidence o nakupu in prodaji blaga in njeno dostopnost inšpekcijskim organom (člen 18.), Zakon o trgovini določa minimalne tehnične pogoje za izpolnjevanje trgovinske dejavnosti med katerimi je tudi računalniška oprema in vse potrebne evidence.

19. Obligacijski zakonik Obligacijski zakonik opredeljuje obligacijska razmerja in njihovo zakonsko in pogodbeno urejanje: • ob vsaki prodaji blaga ali storitve kupcu se ustvari obligacijsko razmerje na osnovi ponudbe (členi 22., 23., in 24.) ter na osnovi sprejema ponudbe (člen 28.), • opredeljuje omejitev in izključitev odgovornosti zaradi malomarnosti ali naklepa (člen 242.), • opredeljuje pogodbo, kjer se izvajalec zavezuje, da bo opravil določeno delo za naročnika (členi od 619. do 665.), • opredeljuje licenčno pogodbo za uporabo licenčne programske opreme (členi od 704. do 746). Vsaka prodaja, ki se izvede ob podpori POS rešitve je predmet obligacijskega razmerja.

20. Drugi predpisi in standardi • Pravilnik o vodenju evidenc v trgovini: • trgovinske evidence so v pravilniku natančno opredeljene in so osnova za določitev podatkovnih struktur predvsem o: • začetnem stanju, • vsaki nabavi in prodaji, • primanjkljajih in odpisih blaga, • premikih blaga med prodajnimi objekti in oddelki. • Pravilnik o označevanju govejega mesa: • zagotavljanje sledljivosti od rejca živali do potrošnika, • sledljivost se izgubi v trgovini. Z vstopom v EU se bo pojavljalo še več predpisov in standardov.

21. Mednarodni standardi za področje trgovinskih POS rešitev • Sledljivost mesa in mesnih izdelkov – uredba EU 1760/2000. • 21 CFR Part 11: • validacija sistemov za veljavnost elektronskih zapisov, • revizijska sled in časovni žig, • povezava in kompatibilnost s starejšimi sistemi, • kopije zapisov in način zagotavljanja verodostojnih kopij, • hranjenje zapisov v predpisanem obdobju. Sledljivost postaja pomembna zahteva ne samo pri mesu, marveč pri vseh živilskih, farmacevtskih in kozmetičnih izdelkih.

22. Revizijska sled – kontrolni mehanizem za zagotavljanje skladnosti z zakonodajo Revizijska sled kot mehanizem za zagotavljanje: • skladnosti z zakonodajo na operativno tehničnem nivoju, • preprečevanja zlorab, • verodostojnosti, popolnosti in konsistentnosti podatkov, • ustreznosti hranjenja in dostopa do arhivskih podatkov, • obvladovanja sprememb programske opreme. Revizijska sled je kompleksni mehanizem za zagotavljanje skladnosti z zakonodajo in drugimi predpisi.

23. Zaključek Kompleksnost trgovskega procesa zahteva tudi kompleksen pristop h kontroli in zagotavljanju skladnosti z zakoni in predpisi. Revizijska sled v trgovinskih POS rešitvah je metodologija in orodje za zagotavljanje skladnosti rešitve z zakonodajo in orodje za zagotavljanje verodostojnosti podatkov in njihovo priznavanje na sodišču.