Hin und wieder kann es tatsächlich interessant sein auch schon ältere Themen,die hier im Blog  behandelt worden sind, sich aber über mehrere Artikel verstreut haben noch einmal zusammenzufassen.

Ausgangspunkt ist die Frage, dass  ein bestimmter Personenkreis nur Sachkosten ohne Personalkosten auf Kostenstellen und Innenaufträge auswerten können sollen. Dieses lässt sich natürlich auch beliebig auf andere Kostenarten übertragen.

Der erste Gedanke war hier recht naheliegend anhand der Konten selbst eine Berechtigung zu pflegen. Sowohl beim Sachkonto als auch bei der Finanzposition besteht die Möglichkeit eine sogenannte Berechtigungsgruppe zu hinterlegen.

Im Rahmen dieses Artikel kam dann auch schnell die Frage auf, wie das vorhandene Berechtigungskonzept angepasst werden kann. Dieses wird in einen späteren Abschnitt erläutert.

Berechtigungsgruppe in den Stammdaten Sachkonto und Finanzposition hinterlegen

In den Stammdaten des Sachkonto (Transaktion FS00) ist das Feld Berechtigungsgruppe im Reiter Steuerungsdaten zu finden.  Ebenso findet sich das Feld Berechtigungsgruppe in der Finanzposition (Transaktion FMCIA) unter den Grunddaten.

Über sogenannte Berechtigunsgruppen, die in ihrer Bezeichnung frei wählbar sind, kann ein weiterer Berechtigungsschutz ermöglicht werden.

Die Vorgehensweise ist ausführlich im Artikel "SAP BC: Personalkontenberechtigungen" erläutert. Die entsprechende Ausprägungen können in folgende Berechtigungsobjekten vorgenommen werden:

• Berechtigungsobjekte für FI Sachkonto
  • F_BKPF_BES "Buchhaltungsbeleg: Kontenberechtigung für Sachkonten"
    Berechtigungsfelder: Aktivität, Berechtigungsgruppe
  • F_SKA1_BES "Sachkonto: Kontenberechtigung"
    Berechtigungsfelder: Aktivität, Berechtigungsgruppe
• Berechtigungsobjekte für PSM Finanzposition
  • F_FICA_FPG "Haushaltsmanagement: Berechtigungsgruppe der Finanzposition"
    Berechtigungsfelder Aktivität Berechtigungsprüfung, Berechtigungsgruppe der Finanzposition, Finanzkreis
  • F_FICA_FTR "Haushaltsmanagement HHM-Kontierung"
    Berechtigungsfelder:
    Aktivität Berechtigungsprüfung
    FIFM: Berechtigung Datum
    Finanzstelle
    Finanzkreis
    Fonds
    Finanzposition
  • F_FICB_FPS "Finanzmittelrechnung/Haushaltsmanagement Finanzposition"
    Berechtigungsfelder:
     Aktivität Berechtigungsprüfung
     FIFM: Berechtigung Datum
     Finanzkreis
     Finanzposition

Berechtigungsobjekte im Controlling mit Bezug auf Kostenarten für CO-OM (Kostenstellen und Innenauftrag)

Damit würde sich grundsätzlich diese Berechtigungsobjekte anbieten um die gewünschte Berechtigungssteuerung umzusetzen. Allerdings baut manches Berichtswesen leider nicht nur auf PSM-FM auf, sondern es werden auch die CO-OM (Gemeinostenrechnung) Objekte direkt über die Kostenart ausgewertet.

Eine Berechtigungsvergabe im Modul CO für das Berichtswesen ist nur über die beiden Berechtigungsobjekte K_CCA, K_REPO_CCA für Kostenstellen und K_ORDER, K_REPO_OPA  für Innenaufträge möglich.  Hier sind jedoch nur Kostenarten entweder als Einzelwerte oder als Intervall positiv berechtigt, so dass keine negative Kostenartenberechtigung (Ausschluss bestimmter Kostenarten) noch Kostenartengruppen hinterlegt werden können. Die Berechtigungsobjekte sind dabei wie folgt ausgeprägt:

• Berechtigungsobjekte für Kostenstellen
  • K_CCA "CO-CCA: Allg. Berechtigungsobjekt für Kostenstellenrechnung"
    Berechtigungsfelder:
    Aktionen der Berechtigungsprüfung
    Kostenart
    CO-OM Verantwortungsbereich
  • K_REPO_CCA "CO-CCA: Reporting auf Kostenstellen / Kostenarten"
    Berechtigungsfelder:
    Aktivität
    Kostenrechnungskreis
    Kostenstelle
    Kostenart
• Berechtigungsobjekte für Innenaufträge
  • K_ORDER "CO-OPA: Allgemeines Berechtigungsobjekt für Innenaufträge"
    Berechtigungsfelder:
    Berechtigung Innenauftrag: Berechtigungsprüfung CO-OM
    Aktionen der Berechtigungsprüfung
    Kostenart
    CO-OM Verantwortungsbereich
  • K_REPO_OPA "CO-OPA: Reporting auf Aufträgen"
    Berechtigungsfelder:
    Aktivität
    Auftragsart
    Kostenrechnungskreis
    Kostenart

Insbesondere die Aktionen 3027: Summensätze selektieren und 3028: Einzelposten selektieren bei K_ORDER und K_CCA dürften diene Erfordernisse entsprechen.

Damit ist nur eine Steuerung über eine positive Berechtigungsfeldpflege für Kostenarten möglich. Dieses bedeutet, dass alles verboten ist, was nicht explizit erlaubt ist. Der Nachteil ist nur, dass die Berechtigungsausprägungen additiv wirken, so dass sich die Berechtigungen unterschiedlicher Rollen summieren.

Berechtigungsvergabe auf Ebene der Belegart

Eine andere Alternative wäre noch anhand der Belegart der gebuchten Belege eine Berechtigungsgruppe zu hinterlegen. Dieses ist im Artikel "Belegartberechtigung F_BKPF_BLA" ausführlicher beschrieben. Diese Belegart wird auch auf den Kostenrechnungsbeleg fortgeschrieben, so dass hier ggf. über die Art der Belege eine Berechtigung vergeben werden kann. Im Artikel "Grundlagen Finanzbuchhaltung - Customizing von Nummerkreis und Belegarten"  bin ich ebenfalls auf  Belegarten eingegangen.

Massenänderungen von Berechtigungsfeldwerten PFCGMASSVAL

Gerade wenn schon Intervalle mit Kostenarten gepflegt sind dürfte der OSS Hinweis / SAP Note 2177996 weiterhelfen. Hierdurch wird die Transaktion PFCGMASSVAL  zur Verfügung gestellt mit der die Berechtigungswerte mehrerer Rollen auf einmal gändert werden können.

Thomas Berger stellt diese Transaktion im "SAP Basis und Solution Manager " im Artikel "ABAP Rollenpflege – Massenpflege von Werten (SAP Note 2177996) ".

Da eine Änderung per LSMW oder eCATT von Berechtigungsfeldwerten durch die unterschiedlichen Positionen der Werte nicht ohne weiteres möglich ist kommt hier die Lösung "Massenstammdatenpflege mit LSMW oder SECATT dank Transaktionsaufzeichnung - Handbuch erweiterte computergestützte Test-Tool (eCATT) und LSMW" nicht in Frage.

Wie im oberen ARtikel von Thomas Berger geschildert besteht nach Aufruf der Transaktion PFCGMASSVAL  die Möglichkeit zum einen Rollen in einer Mehrfachauswahl zu selektieren (inkl, einer Suche nach Rollen mit Berechtigungsdaten (Berechtigungsobjekt und Feldwerte ebenso nach Benutzerzuordnung oder Pflegestatus (Als Selektion).

Danach kann  eine Simulation durchgeführt werden, die Ausführung mit vorheriger Simulation oder eine direkte AUsführung gestartet werden.

Bei der Art der Feldänderungen kann zwischen:

• Organisationsebene ändern
• Feldwerte von Berechtigungen zu einem Objekt ändern
• Feldwerte von Berechtigungen zu einen Feld ändern (Objektübergreifend)
• Hinzufügen einer manuellen Berechtigung zu einem Objekt
• Löschen einer manuellen Berechtigung zu einen Objekt

Bei den Feldänderungen für Berechtigungen kann anhand eines selektierten Berechtigungsobjektes für die einzelnen Berechtigungsfeldwerte

• Hinzufügen
• Ersetzen
• Alles ersetzen
• Löschen

gewählt werden.

Für unseren Fall der Pflege des Berechtigungsfeldes KSTAR im Berechtigungsobjekt K_ORDER bietet sich die Änderung  ERSETZEN an und es können  über die Schaltfläche Zu ersetzende Werte und die Schaltfläche Werte entsprechende Änderungen eingeplant werden.

Damit ist eine Massenänderug tatsächlich auch für eine Vielzahl von Rollen möglich.

Je nachdem, ob ihre Berechtigungen an ein Automatisches Transportsystem (Einstellungen SSC4) angeschlossen sind wird hier informativ auch im Abschnitt Rollentransport darauf eingangen. Sollte die SCC4 Einstellung nicht aktiv sein, kann jedoch im Anschluss an der Änderungen die gewünschten Rollen markiert werden und in der Drucktastenleiste die Transportfunktion angestossen werden.

Nähere Informationen dazu sind im OSS Hinweis / SAP Note 1723881 zu den SCC4-Einstellungen zu finden.

Im Rahmen der Transaktion PFCG ist es möglich Berechtigungsrollen über die Menüpunkte Rolle- Upload und Download mit einen Speichermedium von einem Testsystem in ein Produktivsystem auch ohne Transportauftrag zu übertragen. 

Notwendige Berechtigungen werden über das Berechtigungsobjekt S_USER_AGR und den Aktivitäten DL und UL abgebildet.

Sofern erst einmal geklärt werden soll, welche Berechtigungen nun eigentlich noch fehlen ist der Artikel "SAP Basis Basic oder dank SU53 oder ST01 Trace fehlende Berechtigungen finden" weiterhin hilfreich. Auch wenn die Pflege von Berechtigungen im Bereich HCM bei mir schon eine Weile zurück liegt dürfte auch der Artikel "Infotypberechtigung anhand Personalteilbereiche" weiterhin aktuell sein.

Wenn es um die Suche von solchen Lösungen geht bin ich übrigens noch immer sehr froh um meine Blogroll (siehe unter den Webempfehlungen) und die dort ebenfalls verlinkte Websuche über einige bekannte SAP Seiten. Daneben sind immer noch Bücher eine wichtige Quelle um sich auch in anderen Modulen noch Wissen anzulesen. Hierzu findet sich unter Buchempfehlungen eine Übersicht einiger von mir gerne genutzter Bücher.

In der Desktop Version dieser Internetseite habe ich hier auch an der Seite ein entsprechendes Menü ergänzt, so dass heir schnell auf das jeweilige Modul oder die Suche zugegriffen werden kann.

Fazit

Gerade bei einen bestehenden Berechtigungskonzept ist eine nachträgliche Berechtigungsanpassung schwierig, insbesondere dann wenn eine Trennung von funktionalen und operativen Berechtigungen zwar vorgenommen worden sind aber tatsächlich die Kontierungsobjekte (wie Kostenstelle, Kostenart, Finanzposition, Finanzstelle, ...) in einer gemeinsamen Rolle gepflegt sind.

Gerade in diesen Fall ist die Transaktion PFCGMASSVAL tatsächlich eine gute Unterstützung, allerdings ist bei der Einführung eienr Berechtigungsgruppe zu beachten, dass ggf. übergeleitete Belege (Abrechnung aus externen HCM System) ebenfalls durch Berechtigungen auf neue Probleme stossen können. So muss auch der technische User für die Abrechnung entsprechende Berechtigungen zum Buchen auf der Berechtigungsgruppe haben.

Gerade für Keyuserinnen und Keyuser kann es daher tatsächlich interessant sein das bestehende Berechtigungskonzept zu überarbeiten und vielleicht gemeinsam mit der SAP Basis sich diese Transaktion genauer anzusehen.

Sollen nur bestimmte Kreditoren / Debitorendaten ausgewertet werden können hier ebenfalls bei Kreditoren unter Allgemeine Daten / Steuerung (Kontosteuerung) im Feld Berechtigung bzw. bei Debitoren unter Steuerungsdaten ebenfalls im Feld Berechtigung eine Berechtigungsgruppe eingepflegt werden.

Über die Berechtigungsobjekte:

Debitoren:
F_BKPF_BED
F_KNA1_BED

Kreditoren:
F_BKPF_BEK
F_LFA1_BEK

können dann Aktivitäten zugewiesen werden.

Zu Beachten ist hierbei, dass bei einer evtl. Auswertung eines Debitorernbeleges dann die Buchungszeile des Debitor nich angezeigt wird (BS 01).

Der Artikel "Kontenberechtigung bspw. für Personalkosten auf Kostenarten, Sachkonten und Finanzpositionen oder Belagart mit Berechtigungsgruppen" fasst die einzelnen Beiträge zu diesem Thema ebenfalls zusammen.

Sollen Infouser innerhalb Fachabteilungen nur bestimmte Konten auswerten können, kann es sinnvoll sein hier Berechtigungsgruppen für bestimmte Konten zu verwenden.

Hier kann in Sachkonten unter Steuerungsdaten eine Berechtigungsgruppe zugewiesen werden. Dieses Feld ist frei definierbar.

Berechtigunsgrguppe bei FI Sachkonten

Über die Berechtigungsobjekte F_SKA1_BES und F_BKPF_BES können Aktivitäten in Verbindung mit den Berechtigungsgruppen zugewiesen werden (bspw. Aktivität 03 Anzeige).

 

Berechtigungsgruppe PSM-FM Finanzpositionen

ACHTUNG:

Wird das Modul Public Sector Management (ehemals FM bzw. PSM) eingesetzt. Ist eine solche Berechtigungsgruppe auch bei den Finanzpositionen (Kontierungsobjekt analog der Sachkonten) einzutragen.

Die Berechtigungen werden in PSM über die Berechtigungsobjekte

F_FICA_FPG
und
F_FICA_TRG

zu pflegen. Alternativ könnte man über das Berechtigungsobjekte

F_FICB_FPS
und
F_FICA_FTR

auch einzelne Finanzpositionen innerhalb des Berechtigungsfeldes FM_FIPOS für eine Auswertung im Haushaltsmanagement einstellen.

Eine Verwendung von Berechtigungsgruppen bei Finanzpositionen würde jedoch eine einfachere Datenpflege ermöglichen.

Die Berechtigungsgruppen könnten auch für Finanzstellen und Fonds genutzt werden, jedoch ist hier oftmals eine direkte Zuweisung der betroffenen Fonds und Finanzstellen übersichtlicher und dokumentationstechnisch genauer.

Eine andere Alternative ist die Berechtigungssteuerung von Personalkostenbuchungen anhand der Belegarten (siehe Artikel Belegartberechtigung F_BKPF_BLA. Dieses ist auch ein wenig flexibler als die reine Steuerung über Sachkonten.

Berechtigungen für einzelne Kostenarten

Eine Berechtigungsvergabe im Modul CO für das Berichtswesen ist nur über die beiden Berechtigungsobjekte K_CCA für Kostenstellen und K_ORDER für Innenaufträge möglich.

Hier sind jedoch nur Kostenarten entweder als Einzelwerte oder als Intervall positiv berechtigt, so dass keine negative Kostenartenberechtigung (Ausschluss bestimmter Kostenarten) noch Kostenartengruppen hinterlegt werden können.


K_CCA
"CO-CCA: Allg. Berechtigungsobjekt für Kostenstellenrechnung"
Hier können über CO-OM Verantwortungsbereich entsprechende Berechtigungen für Kostenarten hinterlegt werden.

Insbesondere die Aktionen 3027: Summensätze selektieren und 3028: Einzelposten selektieren dürften diene Erfordernisse entsprechen.

K_ORDER,
"CO-OPA: Allgemeines Berechtigungsobjekt für Innenaufträge"
Hier können ebenfalls Kostenarten in Kombination mit Innenaufträgen definiert werden.

Ergänzend sind noch zwei weitere Berechtigungsobjekte erwähnenswert:

K_REPO_OPA "CO-OPA: Reporting auf Aufträgen"

K_REPO_CCA "CO-CCA: Reporting auf Kostenstellen / Kostenarten"

Damit werden für die Kombination Kostenstelle/Innenauftrag die Berechtigungen auf Kostenarten festgelegt.

Der Artikel "Kontenberechtigung bspw. für Personalkosten auf Kostenarten, Sachkonten und Finanzpositionen oder Belagart mit Berechtigungsgruppen" fasst die einzelnen Beiträge zu diesem Thema ebenfalls zusammen.

Jeder Buchhaltungsbeleg wird innerhalb der Finanzbuchhaltung einer Belegart zugeordnet . Innerhalb des Customizing Grundeinstellung Finanzbuchhaltung
- Beleg
- Belegkopf
- Belegarten definieren (Transaktion OBA7)

lassen sich durch Tabellenpflege die Belegarten einer Berechtigungsgruppe zuweisen. Die Bezeichnung der Berechtigungsgruppe ist frei definierbar und kann innerhalb des Berechtigungsobjektes F_BKPF_BLA eingepflegt werden.

Allerdings sollte hier berücksichtigt werden, dass dieses Berechtigungsobjekt nicht mit * ausgeprägt ist. Eine Möglichkeit ist hier sensible Belege mit Nummerncodes (333) zu versehen und normale Belege mit alphanumerischer Bezeichnung (A007).

In der Berechtigungspflege können hier auch Intervalle eingetragen werden.

So ist es auch möglich die Berechtigungsgruppe x auszuschliessen durch Zuweisung des Intervalls a bis w* und y bis z* sowie 0 bis 9*.

Nachtrag: Berechtigungsgruppe bei Belegarten

Den Hinweis von Felix (siehe Kommentar unten) aufgreifend möchte ich noch ein paar weiter gehende Informationen zum Nomenklaturvorschlag erwähnen:

Die einzelnen Belegarten sind je nach Nebenbuchhaltung zweistellig (bspw. KR für Kreditorenrechnung, AA für Anlagenbuchhaltung, ...). Innerhalb des Pflegekatalogs (Transaktion OBA7) kann nun direkt eine dieser Belegarten per Doppelklick aufgerufen werden und das Feld Berechtigungsgruppe gefüllt werden.

Für die Pflege der Berechtigungsgruppe wird in den Eigenschaften der Belegart eine Berechtigungsgruppe angegeben. Auf Datenbanktabellenebene entspricht dieses dem Feld BRGRU innerhalb des View V_T003 (bzw. der dahinter liegenden Tabelle T003). Dieses Feld ist von der Länge 4 und Datentyp CHAR, so dass hier bis zu vier Zeichen als Berechtigungsgruppe verwendet werden können. Dieses nutzt auch das obige Beispiel durch eine Kombination von Buchstaben und Zeichen. Ferner werden an dieser Stelle auch die entsprechenden Belegnummernkreise der einzelnen Belegarten festgelegt, so dass auch hier ein Blick in die Pflege von Interesse sein kann.

Ergänzend dazu kann auch eine Berechtigungssteuerung in der Kreditoren- / Debitorenrechnung interessant sein. Diese ist im Artikel "SAP BC: Kreditor/Debitor Berechtigungen" beschrieben.

Der Artikel "Kontenberechtigung bspw. für Personalkosten auf Kostenarten, Sachkonten und Finanzpositionen oder Belagart mit Berechtigungsgruppen" fasst die einzelnen Beiträge zu diesem Thema ebenfalls zusammen.