Startseite › User Access Review

User Access Review und SoD Review mit SAP GRC

Beide Prozesse gehören zum Standard von SAP GRC Access Control. Ob sie etwas bewirken, entscheiden vier Voraussetzungen, die außerhalb des Review-Customizings liegen.

Zwei Prozesse, zwei Fragen

• User Access Review: Braucht dieser Benutzer diese Rolle noch? Der Verantwortliche bestätigt die Zuordnung oder lässt sie entziehen.
• SoD Review: Was geschieht mit dieser Risikoverletzung? Die Rolle wird entzogen, oder eine Mitigation deckt das Risiko ab. Der ausgelieferte Workflow entscheidet das in zwei Stufen.

Warum Prüfer danach fragen

Die regelmäßige Überprüfung von Zugriffsrechten gehört zu gängigen Anforderungen, etwa ISO/IEC 27001 (Anhang A, Control 5.18). Für Unternehmen im Anwendungsbereich von NIS2 nennt § 30 Abs. 2 Nr. 9 BSIG Konzepte für die Zugriffskontrolle als Pflichtmaßnahme. Ob und wie das auf Sie zutrifft, klären Sie bitte mit Ihrer Revision oder Rechtsberatung.

Was vor dem ersten Lauf stimmen muss

1. Der Entzug läuft durch. Der Review entscheidet, die Provisionierung setzt um. Funktioniert der automatische Rollenentzug über Access Request Management nicht produktiv, bleibt ein abgelehntes Recht einfach bestehen.
2. Die Verantwortlichen sind gepflegt. Manager- und Koordinatordaten müssen stimmen, sonst landet die Aufgabe bei der falschen Person oder bei niemandem.
3. Das Regelwerk taugt etwas. Der SoD Review erbt jeden Fehler des Regelwerks. Bei zu vielen Fehlalarmen wird durchgewunken. Mehr dazu unter SoD-Regelwerk für S/4HANA und Fiori.
4. Die Workflows sind sauber transportiert. In einer Landschaft ohne Testsystem sollte der erste produktive Lauf eng begleitet werden, denn dort zeigt sich zum ersten Mal, was im Entwicklungssystem nicht auffallen konnte.

Was sich ohne Modifikation erweitern lässt

• Auslaufende Mitigationen. Ein schlanker Report ermittelt die ablaufenden Zuordnungen und startet für genau diese Benutzer den SoD Review des Standards. So fällt eine abgelaufene Mitigation nicht erst in der nächsten Prüfung auf.
• Koordinatoren aus der eigenen Zuordnung. Wenn die Zuständigkeit in einer eigenen Tabelle steht, liest eine klassenbasierte Agentenregel im MSMP-Workflow sie aus.

Was wir beitragen

Wir führen User Access Review und SoD Review bei laufendem SAP GRC Access Control ein und entwickeln, was der Standard nicht abdeckt, in ABAP. Dabei prüfen wir zuerst die vier Voraussetzungen oben, damit der erste Lauf keine Überraschung wird.

Stand: Oktober 2026. Diese Seite ist keine Rechtsberatung.