# Decommissioning · Altsysteme prüfbar abschalten Beratung zur geordneten Ablösung von Altsystemen: Umfangsentscheidung, Übergangsarchitektur, Abgleich an jedem Übergang, Überleitungsrechnung und prüffähiges Archiv. Dargestellte Fassung: https://simo-online.com/decommissioning Decommissioning Altsysteme abschalten, ohne den Nachweis zu verlieren. Die meisten Altsysteme sterben nicht. Sie werden migriert und laufen weiter: als Lesekopie, als Kostenzeile, als offene Flanke im Prüfbericht. Wir begleiten die Ablösung so, dass am Ende ein abgeschaltetes System steht und ein Nachweis, der ohne dieses System trägt. ## Warum Altsysteme nicht sterben Die Migration gilt als abgeschlossen, das Altsystem läuft trotzdem weiter. Vier Gründe treten fast immer zusammen auf. ### Die Kosten bleiben, der Nutzen fehlt Lizenzen, Betrieb, Wartung und Support laufen weiter, obwohl kein Geschäftsprozess mehr auf dem System geführt wird. Der Geschäftsfall der Migration rechnet mit genau diesen Einsparungen. Sie treten erst mit den letzten Rückbauschritten ein, also lange nachdem das Programm seine Aufmerksamkeit verschoben hat. ### Das Risiko läuft weiter, die Betreuung nicht Ein System, das abgelöst wird, verliert seine Betreuung schneller als seine Erreichbarkeit. Es hängt weiter am Netz, während die Aufmerksamkeit längst auf der Zielplattform liegt: Sicherheitskorrekturen werden nicht mehr eingespielt, Zertifikate laufen unbemerkt aus, Überwachungsregeln beschreiben einen Betrieb, den es so nicht mehr gibt. Aufsicht und Revision kennen dafür keine Kategorie „halb abgeschaltet“. Ein System am Netz muss beherrscht sein, die ganze Zeit über, in der es läuft. ### Fachwissen bleibt gebunden Wer das Altsystem versteht, wird für das Altsystem gebraucht: für den Quartalslauf, die Prüfungsanfrage, den einen Bericht, den niemand nachgebaut hat. Diese Fachkräfte fehlen im Zielbetrieb. Verlassen sie das Haus, bleibt ein System ohne Erklärung. ### Die Abschaltung ist nicht entscheidbar Abschalten darf nur, wer belegen kann, dass niemand mehr auf das System angewiesen ist und dass die Bestände anderswo prüfbar vorliegen. Fehlt dieser Beleg, ist Weiterlaufen die einzige verantwortbare Entscheidung. Decommissioning ist deshalb eine Nachweisaufgabe, keine Betriebsaufgabe. Deshalb steht die Frage nach der Abschaltung bei uns am Anfang und nicht am Ende. ## Die tragenden Prinzipien Sieben Regeln tragen jede Ablösung. Sie entscheiden über Reihenfolge, Umfang und Nachweis, bevor über ein Werkzeug gesprochen wird. Fünf von ihnen tragen zugleich ein bestimmtes Bauteil der Flying Bridge. Das steht jeweils unter der Regel. ### Weniger bewegen Was migriert wird, muss abgebildet, abgeglichen und im Zielsystem dauerhaft untergebracht werden. Jede dieser Stufen kostet, und zwar nicht nur einmal. Deshalb steht je Bestand zuerst die Entscheidung: migrieren, archivieren oder nach Fristablauf vernichten. Von diesen drei Antworten ist die Migration die teuerste; sie muss sich gegen die beiden anderen beweisen, nicht umgekehrt. ### Ein führendes System je Domäne Für jede Datendomäne, also jeden fachlich zusammengehörigen Bestand wie Kundenstamm oder Positionen, führt zu jedem Zeitpunkt genau ein System. Jeder Beteiligte kann es benennen. Schreibzugriffe auf die nicht führende Seite werden technisch gesperrt, nicht bloß verfahrensmäßig abgeraten. den Schreibpfad der Flying Bridge ### Umkehrbar bis zum benannten Punkt Jeder Plan nennt seinen Point of No Return, also den Schritt, ab dem es kein Zurück mehr gibt. Alles, was davor liegt, braucht einen Rückweg, der tatsächlich geprobt wurde und nicht nur beschrieben ist. Altumgebung, Sicherungen und Umkehrläufe bleiben erhalten, bis dieser Punkt förmlich anerkannt ist. den Rückweg der Flying Bridge ### Kein Provisorium ohne Abrissdatum Brücke, temporäre Kontrolle, Zwischenspeicher. Jedes dieser Bauteile bekommt schon im Entwurf drei Angaben: Eigentümer, gedeckte Laufkosten, Abrissdatum. Fehlt das Datum, verschwindet das Bauteil nicht, sondern nur seine Dokumentation. Was das nächste Vorhaben dann aufräumt, ist nicht das Altsystem, sondern die Übergangszeit davor. das Ende der Flying Bridge ### Abgleich an jedem Übergang Gemessen wird an jedem Schritt: Auszug, Umschlüsselung, Bereitstellung, Ladelauf, Archivaufnahme. Wer nur Anfang und Ende vergleicht, weiß im Fehlerfall nicht, welcher Schritt den Verlust verursacht hat. Der Abgleich je Übergang findet ihn, solange dieser Schritt noch wiederholbar ist. die Abgleichstrecke der Flying Bridge ### Lesend, bevor aus Das Altsystem geht nicht aus dem Vollbetrieb heraus direkt aus. Es läuft für eine festgelegte Zeit schreibgesperrt weiter, und genau in dieser Zeit tauchen der Quartalsabschluss, die Jahresendverarbeitung und die Anfrage einer Prüfung auf, die kein Workshop gefunden hat. Gegen ein noch laufendes System kostet das Tage, gegen ein abgebautes ein eigenes Projekt. den Ausgang aus der Flying Bridge ### Kein Rückbau ohne geprüftes Archiv Bevor ein einziger unumkehrbarer Schritt läuft, ist das Archiv vollständig, lesbar und abgenommen. Geprüft wird mit Prüfsummen über den gesamten Bestand und mit Stichproben, die fachlich lesbar sein müssen und nicht nur technisch vorhanden. Lesbar heißt hier: ohne das abgeschaltete System. Braucht ein Bestand zu seiner Deutung genau die Anwendung, die gerade abgebaut wird, dann ist er aufbewahrt und nicht archiviert, und im Prüfungsgespräch nicht auskunftsfähig. ## Flying Bridge: die Zeit zwischen zwei Systemen Zwischen Altsystem und Zielsystem liegt eine Phase, in der beide laufen. Flying Bridge ist unser Name für diese Phase, wenn sie entworfen und nicht hingenommen wird: eine Folge nummerierter Übergangszustände mit prüfbaren Ein- und Austrittskriterien. Jeder Zustand ist für sich betriebs- und prüfungsfähig. Jeder Übergang hat einen Rückweg, bis das Lenkungsgremium ausdrücklich entscheidet, dass es ab hier keinen mehr gibt. Die Bauteile sind nicht frei gewählt, sondern abgeleitet. Schreibpfad, Abgleichstrecke und Rückweg sind je eine der oben genannten Regeln in gebauter Form. Lesepfad und Schalter folgen aus derselben Führungsregel wie der Schreibpfad: Wer festlegt, welches System führt, muss auch festlegen, wer aus ihm liest und wann die Führung wechselt. Die beiden übrigen tragenden Regeln bestimmen kein Bauteil, sondern das Ende der Brücke und ihren Ausgang. Mehr dazu im Abschnitt darunter und in Schritt 07 des Ablaufs. ### Schreibpfad Wo entsteht der Geschäftsvorfall, und in welchem System wird er geführt? Je Domäne und Phase gilt genau eine Antwort, technisch erzwungen. Der Schreibpfad wandert schrittweise; jede Verschiebung ist ein eigener Zustandsübergang. Für den Gleichlauf beider Seiten gilt eine Rangfolge: Einwegkopie vor laufender Änderungsübernahme vor doppelter Erfassung. Regel „Ein führendes System je Domäne“ in gebauter Form. ### Lesepfad Wer liest was aus welchem System? Auswertungen, Meldestrecken und nachgelagerte Verbraucher hängen länger an der Altwelt als der Schreibpfad. Jeder Verbraucher wird namentlich geführt und einzeln umgehängt. Geschlossen wird ein Eintrag durch die Bestätigung des Verbrauchers, nicht durch die Beobachtung, dass nichts mehr fließt. Folgt aus der Führungsregel: Eine benannte Führung nützt nichts, solange niemand weiß, wer aus welcher Seite liest. ### Abgleichstrecke An jedem Übergang wird gemessen statt geglaubt: Anzahl, Wert, Attribut und der Abgleich gegen die Nachbarsysteme. Toleranzen stehen vorab fest und liegen nicht im Ermessen des Bearbeiters zur Laufzeit. Differenzen entstehen als Vorgänge mit Eigentümer und Frist, nicht als E-Mail-Verlauf. Regel „Abgleich an jedem Übergang“ in gebauter Form. ### Schalter Die Umschaltung kennt zwei Stellungen und keinen Graubereich. Ein Kriterium nennt Messgröße, Schwelle und Beobachtungsdauer; „läuft stabil“ nennt nichts davon. Zu jedem Schalter gehört eine vorab schriftlich vereinbarte Regel, wer gewinnt, wenn beide Seiten etwas anderes sagen. Diese Regel wird vor dem Übergang vereinbart, nicht während der Störung verhandelt. Folgt aus der Führungsregel: Der Schalter ist der Führungswechsel selbst, deshalb kennt er genau zwei Stellungen. ### Rückweg Je Übergang ein geprobter Weg zurück in den Vorzustand: erhaltene Altumgebung, gesicherte Ausgangsdaten, geprüfte Umkehrläufe und ein befristetes Fenster, in dem abgeschaltete Brücken wieder eingeschaltet werden können. Die Rückwegvorsorge kostet Geld und steht deshalb als eigene Zeile im Geschäftsfall. Regel „Umkehrbar bis zum benannten Punkt“ in gebauter Form. ### Der Ablauf: Zustände statt Übergangsphase Die Zustände sind nummeriert und einzeln beschrieben. Jeder muss bewohnbar sein: Bleibt das Vorhaben dort stehen, weil ein Budget stockt oder eine Prüfung dazwischenkommt, muss das Haus in diesem Zustand arbeiten, eine Berichtsperiode darin abschließen und darin geprüft werden können. Zustände, die nur sicher sind, solange man sie schnell durchquert, sind keine Architektur. ### Der Rückweg: zurück oder ausdrücklich nicht Ein Übergang hat entweder einen definierten Rückweg, oder er ist ein benannter Punkt ohne Wiederkehr, den das Lenkungsgremium anerkennt. Einen dritten Fall lassen wir nicht zu. Ohne Rückweg hat ein Team keine Wahl mehr, sondern nur noch eine Richtung. Es schiebt deshalb auch eine defekte Umstellung weiter. ### Das Ende: Eigenschaft des Bauteils, nicht Absicht des Programms Jedes temporäre Bauteil wird bei seiner Entstehung eingetragen, mit Zweck als endender Bedingung, Eigentümer, Laufkosten und Abrissdatum. Der Lenkungsausschuss sieht drei Zahlen: offene Einträge, laufende Kosten und die Zahl der Einträge über ihrem Abrissdatum. Die dritte hat den Sollwert null. Der Rückbau der Brücken eines Zustands ist Eintrittskriterium für den nächsten, und eine Verlängerung ist eine benannte Entscheidung statt einer stillen Fristverschiebung. ## Überleitungsrechnung: vom Schlussbestand zum Eröffnungsbestand Der prüfbare Nachweis, dass der Schlussbestand des Altsystems dem Eröffnungsbestand des Zielsystems entspricht, Position für Position, mit erklärter und abgezeichneter Differenz. Sie ist die Stelle, an der Datenmigration und Rechnungslegung auf dieselbe Zahl schauen und sich darauf einigen, wie sie zustande kommt. Sie ist kein Abstimmungslauf, sondern ein Dokument der Rechnungslegung. Und sie wird unterschrieben. ### Altbestand Der Schlussbestand des Altsystems zum festgelegten Stichtag, gemessen in einem vorab festgeschriebenen Verarbeitungszustand. Gegliedert wird nach der Ordnung, in der später geprüft wird: Buchungskreis, Hauptbuchkonto, Währung, Bestandsklasse. Der Bestand wird eingefroren und gekennzeichnet. Ab diesem Moment ist er ein Beleg und keine Abfrage. ### Bewegungen Was zwischen Schluss- und Eröffnungsbestand bewusst bewegt wurde, je Kategorie mit Anzahl und Wert: migriert, in eine spätere Welle verschoben, ins Archiv überführt, nach Fristablauf mit Nachweis vernichtet, in Abwicklung befindlich. Jede Position gehört genau einer Kategorie an. Sammelpositionen lassen wir nicht zu, denn der Bestand, den niemand zuordnet, ist genau der, nach dem gefragt wird. ### Anpassungen Die bewusst herbeigeführten Unterschiede: abweichende Kursquelle, anderes Rundungsregime, andere Abgrenzungsmethodik, Zuordnung zu einem anderen Kontenplan, Währungsumrechnung, in der Altwelt manuell korrigierte Sachverhalte. Jede Anpassung trägt Betrag, fachliche Begründung, Rechnungslegungs- oder Rechtsgrundlage und benannten Genehmiger. Eine Anpassung ohne Begründung ist keine Anpassung, sondern eine Differenz. ### Neubestand Der Eröffnungsbestand des Zielsystems in derselben Gliederung, gemessen, nachdem die Zielplattform ihren ersten Tagesendlauf beendet hat. Die Rechnung geht auf, wenn Altbestand, Bewegungen und Anpassungen zusammen exakt den Neubestand ergeben. Sie ist in beide Richtungen lesbar: Von oben erklärt sie den Eröffnungsbestand, von unten führt sie jede Zeile auf ihren Ursprung zurück. Prüfer gehen von unten. ### Toleranzen Eine Toleranz ist eine Entscheidung, keine Rechengröße. Sie fällt vor dem ersten Lauf, liegt in der Konfiguration und trägt einen Namen: den ihres Genehmigers. Drei Fälle, und sie unterscheiden sich nicht nach Datenart, sondern danach, wie viel Spielraum überhaupt zulässig ist. Was in die Bilanz geht Kein Spielraum. Konto, Buchungskreis und Währung müssen einzeln aufgehen, auf den Cent, und eine Differenz darf nicht gegen eine andere aufgerechnet werden. Der Grund liegt nicht in der Höhe des Betrags: Ein Fehler, der heute einen Cent erzeugt, erzeugt beim nächsten Lauf einen beliebigen Betrag. Verfolgt wird deshalb die Ursache, nicht die Summe. Was nicht in die Bilanz geht Spielraum zulässig, aber nur als hinterlegte Entscheidung mit vier Angaben: absolute Schranke, relative Schranke, fachlicher Grund, benannter Genehmiger. Typischer Fall ist eine abweichende Kursquelle. Was diese vier Angaben nicht trägt, ist keine Toleranz, sondern eine ungeklärte Differenz mit freundlicherem Namen. Anzahlen und einzelne Felder Kein Spielraum, und zwar an einer anderen Stelle als man erwartet. Was verglichen wird, muss übereinstimmen; was nicht vergleichbar ist, wird vorher benannt und herausgenommen: bei Anzahlen über eine Liste der ausgenommenen Datensätze, jeder einzeln bezeichnet und einzeln genehmigt, bei Feldern über die Normalisierungsvorschrift, die vor dem Vergleich läuft. Die Ausnahme steht damit im Entwurf und nicht im Ergebnis. Eine Toleranz, die weder ihren Genehmiger noch ihren Grund nennt, ist nicht vereinbart, sondern übersehen. Sie gehört korrigiert, bevor der erste Lauf startet, nicht verteidigt, wenn der Prüfer danach fragt. ### Wer unterschreibt und wogegen Die Rechnung ist ein Dokument mit Unterschriften, kein Laufergebnis. Sie wird einmal abgezeichnet und liegt danach im Nachweisordner. Fachbereich und Dateneigentümer je Domäne Dass die überführten Bestände fachlich das sind, was sie sein sollen, und dass die Anpassungen sachlich zutreffen. Rechnungswesen je Buchungskreis Dass der Eröffnungsbestand mit dem Schlussbestand in Einklang steht und die Anpassungen bilanziell zulässig hergeleitet sind. Abschlusskalender und Rechnungslegungsvorgaben gelten je bilanzierender Einheit, die Unterschrift deshalb auch. Programmleitung und Datenarchitektur Dass die zugrunde liegenden Abstimmungsläufe vollständig, wiederholbar und mit Belegen geführt sind. Interne Revision Keine Unterschrift unter die Rechnung, sondern Prüfung der Rechnung als Kontrolle: Aufbau, Durchführung, Nachverfolgung. Maßstab ist die Rekonstruierbarkeit allein aus dem Nachweisordner, ohne die Beteiligten zu befragen. Abschlussprüfer Der Eröffnungsbestand des ersten Abschlusses nach der Umstellung ist prüfungsrelevant. Als Nachweis zählen systemerzeugte, unveränderte, zeitgestempelte Laufergebnisse und die unterschriebene Rechnung darüber. Aufsicht Kein Unterzeichner, aber Adressat. Die Frage im Prüfungsgespräch ist einfach: Welche Domäne wurde an einem bestimmten Datum von welchem System geführt, und woraus ist der Eröffnungsbestand hergeleitet? Aufbewahrt wird die Rechnung so lange wie die längste Frist der Bestände, die sie erklärt. Für deutsche Institute ist das im Regelfall die handels- und steuerrechtliche Zehnjahresfrist. ## Abgleich an jedem Übergang Der technische Abgleich und die Überleitungsrechnung sehen auf dieselben Daten und beantworten verschiedene Fragen. Der Abgleich fragt, ob alles angekommen ist; die Rechnung fragt, ob der Eröffnungsbestand richtig, vollständig und hergeleitet ist. Der Abgleich läuft wiederholt, in drei Achsen und mit einem vierten Vergleich, der am häufigsten fehlt. ### Anzahl Gezählt wird entlang der Verarbeitungskette und je Segment: Auszug, Bereitstellung, Ladelauf, Ablehnungen, Quarantäne. Summen über das Ganze verdecken gegenläufige Fehler, deshalb wird geschnitten. Jede Abweichung braucht eine Erklärung, und im Bestandsvergleich ist diese Erklärung eine fachliche Kategorie und kein technischer Ablehnungsgrund. ### Wert Verglichen wird je Währung, Buchungskreis und Hauptbuchkonto. Auf Hauptbuchsalden gilt Nulltoleranz. Der Vergleichszustand steht im Ablaufplan fest, denn die Mehrzahl der Scheindifferenzen sind Zeitpunktartefakte und keine Datenfehler. ### Attribut Verglichen wird über eine Prüfsumme je Zeile über die abgebildeten Felder. Das findet vertauschte Felder, abgeschnittene Inhalte, Zeichensatzschäden, verschobene Datumsangaben und stille Vorbelegungen. Es findet nicht, ob das Zielsystem dasselbe Feld anders auswertet. Ein Feld kann prüfsummengleich und fachlich trotzdem falsch sein, denn übertragen wird Bedeutung und nicht nur Inhalt. ### Systemübergreifend Abgeglichen wird gegen die Nachbarsysteme, die dem Ergebnis zustimmen müssen: Kundenbestand, Instrumentenstamm, Mandate, Risiko- und Finanzdatenhaltung. Dieser Vergleich wird am häufigsten weggelassen und füllt dann die Störungsliste der ersten Wochen nach der Umstellung. ### Differenzbehandlung Jede Differenz außerhalb der Toleranz wird eingeordnet, und die Einordnung entscheidet über den weiteren Weg. #### Zeitliche Differenz Ein Verarbeitungszustand oder ein in Abwicklung befindlicher Posten. Trägt ein erwartetes Klärungsdatum. Verstreicht dieses Datum wiederholt, verliert die Einordnung ihre Berechtigung: Die Differenz wird neu eingeordnet und wie ein Mangel untersucht. Keine Kategorie wird häufiger missbraucht als diese. #### Erklärte Differenz Bewusst herbeigeführt. Wird zur Anpassungsposition der Überleitungsrechnung, mit Begründung und Genehmiger. #### Zu behebende Differenz Abbildungs- oder Ladefehler. Korrektur, dann ein sauberer Wiederholungslauf. #### Akzeptierte Differenz Unwesentlich, mit schriftlicher Annahme des Dateneigentümers. #### Übernommene Altlast Ein im Altsystem bereits bekannter Mangel. Wird vorab als erwartete Differenz hinterlegt, damit der erste Produktionslauf Neues von Ererbtem selbst unterscheidet. #### Ungeklärt Der einzige Status, der ein Gate blockiert. Jede Differenz bekommt bei ihrer Entstehung einen benannten Bearbeiter; nicht zugewiesene Differenzen alarmieren automatisch, statt in einer Liste zu altern. Wiederholt sich eine Differenz über mehrere Läufe, gilt sie unabhängig von ihrer Höhe als systematisch und wird bis zur Ursache verfolgt. Geschlossen wird durch einen sauberen Wiederholungslauf oder durch eine vollständige Annahmeerklärung, in beiden Fällen von einer zweiten Person geprüft. ## Von der Bestandsaufnahme bis zur Abschaltung Acht Schritte in fester Reihenfolge. Wer einen auslässt, verlagert ihn nur: in die Stabilisierungsphase, in die Jahresabschlussprüfung oder in ein Folgeprogramm. ### Bestandsaufnahme und Umfangsentscheidung 01 Bevor etwas bewegt wird, wird gefragt, ob überhaupt migriert werden muss. Je Datenbestand eine Zeile: migrieren, archivieren oder nach Fristablauf vernichten, mit Aufbewahrungsfrist und Eigentümer. Dieser Schritt bestimmt die Größe aller folgenden. ### Wahl des Migrationsmusters 02 Stichtagswechsel, Wellen oder Archivieren und Neubeginn. Abgeleitet aus Schnittstellenzahl, Mengengerüst, Buchungskreisstruktur, Abschluss- und Aufsichtskalender und dem Reifegrad der Zielplattform. Die Entscheidung kostet wenige Workshops und eine Architekturfreigabe; ihre Umkehr nach Baubeginn kostet Quartale. ### Entwurf der Übergangszeit 03 Ergibt die Ableitung Wellen, wird die Zeit dazwischen entworfen statt hingenommen: nummerierte Zustände mit prüfbaren Kriterien, Führungsregel je Domäne und Phase, Brücken mit Enddatum und Laufkosten, temporäre Kontrollen über die Naht, Rückweg je Übergang. ### Messung im laufenden Betrieb 04 Anzahl, Wert, Attribut und der Abgleich gegen die Nachbarsysteme, an jedem Übergang und in festem Rhythmus. Toleranzen vorab, Differenzen mit Eigentümer und Frist, Belege systemerzeugt und unverändert abgelegt. Ohne diese Messung ist die Brücke ein Vertrauensbauwerk. ### Überleitungsrechnung 05 Aus den Messwerten wird ein abzeichnungsfähiges Dokument: Altbestand, Bewegungen, Anpassungen, Neubestand, je Buchungskreis und Währung. Hier wechselt das Ergebnis die Ebene, von der Verarbeitung in die Bilanz, und bekommt Unterschriften. ### Führungswechsel und Point of No Return 06 Mit abgezeichneter Überleitung führt die Zielplattform, und zwar für jede Domäne im Umfang. Der Punkt ohne Wiederkehr wird bewusst gesetzt und förmlich anerkannt, nicht durch Zeitablauf erreicht. Erst danach läuft der erste Rückbauschritt. ### Abriss der Brücken, dann Schreibsperre 07 Verbraucher einzeln umgehängt und schriftlich bestätigt, Ruhe im Verkehrsprotokoll über ein Beobachtungsfenster, das mindestens einen Monatsabschluss umfasst, Abschaltung mit befristetem Wiedereinschaltfenster. Danach wird das Altsystem schreibgesperrt, der Nutzerkreis auf eine namentliche Liste reduziert und jede Abfrage protokolliert. Dieses Protokoll ist die Anforderung an den Archivzugriff, geschrieben von der Wirklichkeit statt von einer Umfrage. ### Archiv, Rückbau, Vernichtung 08 Der Endauszug läuft gegen die noch lebende Quelle, einschließlich Protokollspuren und der Schlüsseltabellen, ohne die die Daten Jahre später nicht mehr lesbar wären. Erst die unterschriebene Archivprüfung öffnet die unumkehrbaren Schritte. Dann gilt: deaktivieren, ruhen lassen, löschen, in dieser Reihenfolge, jede Stufe als genehmigte Änderung mit Rückfallerklärung und mit verifiziertem Zustand statt geschlossenem Ticket. Vernichtung ist eine benannte Entscheidung mit Datenbestand, Rechtsgrundlage, Methode und Genehmiger, nie eine Nebenwirkung des Abbaus. ## Was am Ende vorliegt Eine Abschaltung ist erst abgeschlossen, wenn sie ohne das abgeschaltete System erklärbar bleibt. Fünf Ergebnisse leisten das. ### Nachweisordner Systemerzeugte, unveränderte, zeitgestempelte Laufergebnisse mit Laufkennung, Ausführendem, Umgebung und Version der Vergleichsdefinition. Maßstab ist die Rekonstruierbarkeit: Ein Prüfer muss das Ergebnis allein aus dem Ordner nachvollziehen können. Bildschirmfotos sind kein Nachweis. ### Unterschriebene Überleitungsrechnung Der hergeleitete Eröffnungsbestand je Buchungskreis und Währung, mit Anpassungen, Begründungen und Genehmigern. Sie trägt die Abschaltentscheidung und den ersten Abschluss nach der Umstellung. ### Führungshistorie je Domäne Welches System an welchem Datum für welche Datendomäne führend war, hergeleitet aus den Zustandsdefinitionen der Übergangszeit. Das ist die Antwort auf die häufigste Frage im Prüfungsgespräch. ### Prüffähiges Archiv Bestände in einer Form, die ohne die abgeschaltete Anwendung lesbar bleibt. Belegt durch Prüfsummen über den vollständigen Bestand, Stichprobenabrufe über den gesamten Zeitraum in fachlich lesbarer Form und einen gemessenen Abruf gegen die aufsichtliche Erwartung. ### Restpflichtenregister und Abschlussbescheinigung Was das Haus nach dem Ende noch schuldet: Lesezugriff für benannte Rollen mit jährlicher Rezertifizierung, Bestände unter Zurückbehaltung, Betrieb des Archivs, wiederkehrender Abruftest, Vernichtung bei Fristablauf. Je Eintrag ein Eigentümer, eine Kostenzeile, ein Enddatum. Danach die Bescheinigung und keine Zwischenzustände mehr, denn dort leben Datenbestände ohne Eigentümer. ## Wann dieses Vorgehen nicht passt Eine entworfene Übergangszeit ist nicht immer das richtige Mittel. In sechs Fällen raten wir davon ab, und wir sagen es vor der Beauftragung statt danach. ### Keine eindeutige Führungsregel Lässt sich für eine Domäne nicht formulieren, welches System in welcher Phase führt, entsteht doppelte Führung. Dann ist die Brücke kein Übergang, sondern ein zweites Buchungssystem, mit allen Folgen für Abstimmung, Prüfbarkeit und Auskunft gegenüber der Aufsicht. Zuerst ist der Domänenschnitt zu klären. ### Keine belastbare Technik für Änderungsdaten Ohne verlässliche Änderungszeitstempel oder eine funktionierende Änderungserfassung auf der Altseite ist die Delta-Strategie eine Annahme und keine Technik. Das ist vor der Musterentscheidung zu prüfen und nicht während der Umsetzung zu hoffen. ### Kein offener Bestand Ausgelaufene Produkte, geschlossene Bücher, reine Nachschlagesysteme. Hier ist der ehrlichere und billigere Weg: Bestand in ein prüffähiges Archiv, Geschäft auf der Zielplattform neu beginnen, Altsystem abschalten. Diese Variante wird selten geprüft, weil Migrationsteams zum Migrieren aufgestellt sind. Wir stellen sie zuerst. ### Kleiner, einheitlicher Zuschnitt Eine Anwendung, ein Buchungskreis, überschaubare Schnittstellenzahl, ein Ladelauf, der in die Nacht passt, und eine anderswo erprobte Zielplattform. Dann ist der Stichtagswechsel das risikoärmere Mittel, und eine Brücke wäre Aufwand ohne Gegenwert. ### Koexistenzkosten nicht getragen Eine Brücke kostet zweimal Geld: einmal, während sie gebaut wird, und dann in jedem Monat, in dem sie läuft. Fehlt diese Zeile im Geschäftsfall oder ist sie nicht tragbar, erodiert der Nutzen von innen, während das Vorhaben Fortschritt meldet. Dann ist erst der Geschäftsfall zu korrigieren. ### Keine Durchsetzungsdisziplin Wer Enddaten am Gate nicht durchsetzt und Verlängerungen nicht namentlich entscheidet, bekommt die teuerste aller Varianten: am Ende zwei Systeme statt eines, und das nächste Vorhaben beginnt damit, dieses aufzuräumen. Eine Beratungsleistung ohne Grenze ist keine. Wir nennen die Grenze vor dem Angebot.