Veoom
Anmelden Zugang anfragen

Schweiz & Sicherheit

Die Regeln stehen im Belegfluss – nicht in einer Checkliste.

QR-Rechnung nach den SIX Implementation Guidelines, Pflichtangaben nach Art. 26 MWSTG, Bilanz nach OR 959a, Archiv nach GeBüV: In Veoom sind das Sperren und Abläufe, keine Absichtserklärungen. Diese Seite zeigt, welche Regel wo greift – und was wir bewusst nicht behaupten.

  • Belegnummern entstehen erst bei der Freigabe und werden protokolliert
  • Freigegebene Belege sind unlöschbar – korrigiert wird über Gutschrift
  • Das Journal ist nur über geprüfte Wege beschreibbar
  • Der Treuhänder liest, ändert nichts und sieht keine KI-Seiten
  • Art. 26 MWSTG
    Pflichtangaben gesperrt und im Datenweg abgewiesen
  • SHA-256
    Prüfsumme je Belegversion im Archiv
  • Nur anfügen
    jede Nummernvergabe protokolliert
  • Je Mandant
    getrennt auf Datenbankebene (RLS)
  • 1'700+
    automatische Prüfungen im Bestand
  • 02:30 Uhr
    nächtliche Sicherung, Abzug gegengelesen

01Schweizer Grundlagen

Zehn Normen, die den Betrieb steuern.

Links die Regel, in der Mitte was sie im Alltag bedeutet, rechts die Norm. Wo eine Norm eine Sperre verlangt, ist die Sperre nicht nur in der Maske gesetzt, sondern auch im Datenweg – sonst wäre sie eine Bitte.

  • QR-Rechnung

    Zahlteil und Empfangsschein entstehen mit dem Beleg, in fester Anordnung und mit fester Grösse. Der Zahlteil ist nicht konfigurierbar – auch nicht im Belegkonfigurator.

    SIX Implementation Guidelines

  • Pflichtangaben der Rechnung

    Name und Adresse beider Parteien, MWST-Nummer, Datum, Leistungsdatum, Art und Umfang der Leistung, Entgelt, Steuersatz und Steuerbetrag sind als Pflicht markiert: in der Oberfläche nicht abwählbar, über den Datenweg abgewiesen.

    Art. 26 MWSTG

  • MWST je Position

    Der Satz hängt an der Position, nicht am Beleg – 8.1 % im Normalsatz. Zugeordnet wird über das Leistungsdatum, nicht über das Rechnungsdatum. Die Abrechnung entsteht je Periode aus den Belegen und lässt sich nur für abgeschlossene Perioden erstellen.

    Art. 25 MWSTG · 8.1 %

  • Rappenrundung

    Netto und Steuer werden auf den Rappen gerechnet, das Total auf 0.05. Die Rundungsdifferenz bucht der Verbuchungstrigger selbst auf das Rundungskonto, damit Soll und Haben aufgehen.

    Rundung 0.05 · Konto 3809

  • Bilanz

    Gliederungsstufen und Vorjahresvergleich, aufgebaut aus denselben Konten, in die Verkauf, Einkauf und Bank täglich buchen. Kein zweiter Datenstand für den Abschluss.

    OR 959a

  • Erfolgsrechnung

    Ertrag, Aufwand und Ergebnis der gewählten Periode mit Vorjahresvergleich – aus dem Journal, nicht aus einer Nebenrechnung.

    OR 959b

  • Archiv

    Jede freigegebene Belegversion liegt als eingefrorene PDF mit SHA-256-Prüfsumme. Das Register nimmt Einträge nur an; ändern und löschen ist gesperrt.

    GeBüV · OR 958f

  • Bankauszüge

    camt.053 einlesen, Zahlungen den offenen Posten zuordnen, Originaldatei aufbewahren. Keine Direktanbindung ans E-Banking – die Suite löst keine Zahlung aus.

    camt.053

  • Kontenplan

    Kontenrahmen KMU mit Salden, Gliederung und Zuordnung zur Bilanz. Das Aufwandskonto einer Einkaufsrechnung oder Spese löst die Suite über hinterlegte Regeln auf – Lieferant, Spesenkategorie, Steuercode, Standardkonto – in dieser Reihenfolge.

    Kontenrahmen KMU

  • Zeitrechnung

    Fristen, Überfälligkeit, Mahnlauf und die Nachtläufe rechnen in Ortszeit. «06:00» heisst sechs Uhr in Zürich – im Sommer wie im Winter, ohne dass Sie eine Zeitzone einstellen.

    Europe/Zurich

02Revisionssicherheit

Was freigegeben ist, bleibt – korrigiert wird sichtbar.

Bis zur Freigabe ist ein Beleg ein Entwurf ohne Nummer: frei änderbar, löschbar. Mit der Freigabe entstehen Nummer und Archivversion in einem Vorgang. Ab da gibt es kein Löschen mehr, nur noch Wege, die eine Spur hinterlassen.

Die beiden Tafeln dieser Seite sind stilisierte Nachbildungen der Oberfläche mit fiktiven Beispieldaten (Muster AG).

Die Nummer entsteht bei der Freigabe – und wird protokolliert.

Erst die Freigabe zieht die nächste Nummer aus dem Nummernkreis und schreibt die Vergabe in ein Protokoll, das ausschliesslich Einträge annimmt. Eine Lücke in der Belegreihe ist damit kein Rätsel für die Revision, sondern eine Zeile mit Grund.

Reihenfolge
Nummer reservieren, dann PDF erzeugen, ablegen und Version registrieren, dann der Statuswechsel.
Wenn es klemmt
Scheitert die Archivierung, bleibt der Beleg Entwurf; die reservierte Nummer verfällt mit Begründung im Protokoll, und der Vorgang meldet den Fehler sichtbar.
Folge
Ein freigegebener Beleg ohne Archivversion kann nicht entstehen. Der Datenbank-Wächter ist dabei die zweite, autoritative Linie – nicht die Oberfläche.
Tafel VIIINummernprotokoll. Belegnummern entstehen erst bei der Freigabe; jede Vergabe wird angefügt, jede verfallene Nummer trägt ihren Grund in derselben Zeile.

Unlöschbar ab Freigabe

Ein freigegebener Beleg lässt sich nicht löschen. Korrigiert wird über die Gutschrift mit Bezug zur Ursprungsrechnung; bei einer uneinbringlichen Forderung über die Abschreibung – die Rechnung bleibt bestehen und zählt nicht mehr als Umsatz.

Abschliessende Zustände wie «bezahlt» oder «abgeschrieben» sind endgültig. Der Rückweg zum Entwurf ist gesperrt, jeder Statuswechsel wird gegen eine Matrix je Belegart geprüft.

Journal nur über geprüfte Wege

Buchungen und Buchungszeilen lassen sich nicht direkt anlegen, ändern oder löschen – auch nicht über den Datenweg.

Jeder Schreibvorgang läuft über einen geprüften Weg: manuelle Buchung, Storno, automatische Verbuchung aus Beleg, Zahlung oder Einkauf, Jahresabschluss. In jedem davon sind Soll = Haben, Periodensperre und Unlöschbarkeit garantiert.

Verbuchte Zahlungen sind eingefroren

Betrag, Datum und Zuordnung einer verbuchten Zahlung sind unveränderbar, Löschen ist gesperrt.

Eine Zahlung nachträglich auf einen anderen Beleg zu «schieben», ist damit ausgeschlossen. Die Korrektur läuft über den Storno-Weg und bleibt lesbar.

Periodensperre

Buchungen in abgeschlossenen Geschäftsjahren werden abgewiesen. Öffnen und Schliessen eines Geschäftsjahres läuft über eine eigene Funktion, die den Wechsel protokolliert.

Muss ein Beleg aus einem gesperrten Jahr korrigiert werden, entsteht das Storno im aktuellen offenen Jahr mit heutigem Datum – nie rückwirkend im geschlossenen.

Archivierung ist Teil der Freigabe

Ohne unveränderliche Archivversion gibt es keine Freigabe. Beides entsteht im selben Vorgang, nicht in zwei Schritten mit Lücke dazwischen.

Die Archivprüfung sucht in vier Richtungen: Datei ohne Registereintrag, Registereintrag ohne Datei, ungültige Zahlungsreferenz – und den schwersten Fall, einen freigegebenen Beleg ganz ohne Archivversion.

Archivversionen bleiben byteidentisch

Ändern Sie das Belegbild im Belegkonfigurator, wirkt das nur auf künftige Ausgaben. Bestehende Archivversionen bleiben unverändert.

Eine erneute Ausgabe eines freigegebenen Belegs erzeugt eine neue Version mit eigener Prüfsumme. Alte Versionen werden nicht überschrieben, sondern behalten.

  1. Eigentümer

    Voller Zugriff auf den eigenen Mandanten: Belege, Buchhaltung, Abschluss, Einstellungen, Nummernkreise, Geschäftsjahre. Der Helpdesk-Assistent und Develop stehen dem Eigentümer zur Verfügung.

  2. Treuhänder

    Reiner Lesezugriff auf die Buchhaltungsdaten: sehen, prüfen, exportieren – nichts ändern. Kein Zugriff auf die KI-Seiten und deren Daten. Für die Prüfung liefert der Treuhänder-Export Journal, Konten und Belege.

  3. Mandantentrennung

    Alle Daten hängen am Mandanten, und jede Tabelle ist per Row-Level-Security auf ihn eingegrenzt. Die Trennung liegt damit in der Datenbank und nicht in einer Bedingung, die eine Abfrage vergessen könnte.

  4. Zugänge fail-closed

    Ist das zentrale Geheimnis für einen Hintergrundzugang nicht lesbar, wird der Aufruf abgewiesen. Einen Rückfall auf einen öffentlichen Schlüssel gibt es nicht. Personen werden je Mandant mit einer eigenen Rolle zugeteilt.

04Betrieb

Im Browser. Auf unserer Infrastruktur. Täglich nachgemessen.

Keine Installation, kein Update-Termin bei Ihnen, kein Server im Keller. Was nachts läuft, meldet sich am Morgen – auch dann, wenn es nichts zu melden gibt.

Tafel IXWächter-Tagesmeldung. Jede Prüfung meldet ihren Zustand mit Zeitpunkt; eine ausgefallene Prüfung erscheint als Befund, nicht als leere Zeile.

Der Wächter meldet auch das Nichts.

Ein Sammellauf prüft nachts den Bestand und schickt ab 06:00 Uhr eine Tagesmeldung. Jede Prüfung liefert dabei einen Zustand: gelaufen und etwas gefunden, gelaufen und nichts gefunden, bewusst ausgenommen mit Grund – oder gar nicht gelaufen. Der letzte Fall ist ein Befund, keine Entwarnung.

Prüfbestand
Über 1'700 automatische Prüfungen – Wächter, Beweise, Trigger-Deckung – laufen täglich mit.
Sichtbar
Befunde erscheinen mit Zeitpunkt unter «Systemstatus & Jobs». Geschlossen wird ein Befund vom nächsten Lauf, nicht von Hand.
Pausiert
Eine bewusst deaktivierte Prüfung erscheint als «Pausiert» und verstellt den Blick nicht auf echte Störungen.

Nächtliche Sicherung, gegengelesen.

Um 02:30 Uhr entsteht ein vollständiger Abzug der Datenbank samt Konfiguration. Zu jedem Abzug wird eine SHA-256-Prüfsumme geschrieben und das Inhaltsverzeichnis mit dem Rückspiel-Werkzeug wieder ausgelesen.

Ein Abzug ohne lesbares Inhaltsverzeichnis gilt als gescheitert und wird als Störung protokolliert – eine Sicherung, die niemand lesen kann, ist keine. Abzüge werden vierzehn Tage vorgehalten.

Was hier bewusst nicht steht

Serverstandort
Betrieb auf eigener Infrastruktur der Sarvon GmbH, Server in Europa – keine Zusage «Schweiz».
Zertifizierungen
Keine. Wir führen keine, also nennen wir keine.
Verfügbarkeit
Keine Prozentzahl, kein Service-Level-Versprechen.
Zeitstempel
Prüfsumme und Beleg liegen in derselben Datenbank; einen qualifizierten Zeitstempel eines Dritten gibt es nicht.

Was wir zusagen können, sagen wir Ihnen im Gespräch – schriftlich und mit dem Stand, der an dem Tag gilt.

05Häufige Fragen

Fünf Fragen, die im ersten Gespräch immer kommen.

Kurz beantwortet, mit dem Weg, den die Suite dafür vorsieht. Der Helpdesk-Assistent beantwortet dieselben Fragen später in Ihrem Mandanten – mit Verweis auf die Stelle im Quelltext.

Können wir eine falsche Rechnung löschen?

Ab der Freigabe nicht. Der vorgesehene Weg ist die Gutschrift mit Bezug zur Ursprungsrechnung; bei einer uneinbringlichen Forderung die Abschreibung. Die Rechnung bleibt bestehen und zählt nicht mehr als Umsatz. Ein Entwurf ohne Nummer lässt sich dagegen jederzeit löschen.

Was passiert, wenn eine Belegnummer fehlt?

Sie fehlt nicht ohne Grund. Jede Vergabe steht im Nummernprotokoll, das nur Einträge annimmt. Verfällt eine reservierte Nummer – etwa weil die Archivversion nicht entstanden ist –, steht der Grund in derselben Zeile.

Kann unser Treuhänder mitarbeiten?

Er kann mitlesen. Die Treuhänder-Rolle hat reinen Lesezugriff auf die Buchhaltungsdaten und keinen Zugriff auf die KI-Seiten. Für die Prüfung liefert der Treuhänder-Export Journal, Konten und Belege in einem Zug.

Kann der KI-Assistent unsere Belege verändern?

Nein. Der Helpdesk-Assistent erklärt die Suite und ändert nie etwas: Er speichert nichts und löst nichts aus. Der zur Build-Zeit eingebettete Quelltext verlässt den Server nie und ist nur für den Eigentümer erreichbar; Geheimnisse werden vor dem Einbetten unkenntlich gemacht. Develop schreibt Aufträge, setzt aber nichts ohne Ihre Freigabe um.

Ist ein abgeschlossenes Geschäftsjahr wirklich gesperrt?

Ja. Buchungen in abgeschlossenen Geschäftsjahren werden abgewiesen, und der Statuswechsel eines Geschäftsjahres wird protokolliert. Ein nötiges Storno entsteht im aktuellen offenen Jahr mit heutigem Datum.

Prüfen Sie die Regeln an Ihren eigenen Belegen – wir richten Ihren Mandanten persönlich ein.

Zugang anfragen Anmelden