ist es auch Revisionsthema, dass z. B. Modulbetreuer im Produktivsystem mit Ihrem User Rechnungen buchen, Stornos in z.T. Millionenhöhe vornehmen?

Natürlich zur Unterstützung der Anwender.

Der saubere Weg wäre aber dass die Anwender selbst buchen.

sollte das dokumentiert werden oder gar "verboten" werden?

Gibt es irgendwelche Grundlagen etc. dazu?

wenn du in die Materie einsteigen möchtest kann ich dir nur den DSAG Leitfaden zu Prüfungen empfehlen:

DSAG Prüfleitfaden SAP ERP 6.0 

Grundsätzlich zu deiner Frage - die Kombination der verschiedenen Berechtigungen macht erst ein Risiko (das was bei einer Prüfung analysiert wird). Wenn also ein Modulbetreuer nicht nur Buchen kann, sondern z.B. auch Kreditoren anpassen, Bestellungen ändern und Wareneingang buchen kann ist es seitens der Prüfung ein hohes Risiko.Natürlich auch solche Berechtigungen wie Transporte importieren.

Eine "Notfall" Buchung abzusetzen sollte auf jeden Fall von einem Sachkundigen (Fachbereich) kontrolliert und dementsprechend nachvollziehbar dokumentiert werden. Dazu gibt es auch z.B. das Firefighter Tool im GRC Paket, dass diese Dokumentation sicherstellt.

ich bin zwar kein Fachmodulbetreuer, aber Last Level Support. Spezielle Last Level User müssen bei uns mittels Ticket beantragt werden. Sie werden dann vom Betrieb freigeschaltet. Außerdem ist im Ticket zu dokumentieren, was man mit denen gemacht hat.

Falls die Fachmodulbetreuer die Rechte ständig haben (und dies auch so gewollt ist - Berechtigungskonzept, Wirtschaftsprüfer ...), sollten sie meiner Meinung nur nach Aufforderung und mit Dokumentation tätig werden.

Also es fehlt ein passender Anwender (krank, alle passenden zu Hause etc.). Dann macht der Anwender, der Hilfe will, ein Ticket auf. Der Fachmodulbetreuer macht das Gewünschte und schreibt das in den Incident.

Eine verschärfte Lösung wären ebend Firefighter / Lastleveluser, die dann freigeschaltet werden. Doku bleibt, danach werden sie wieder gesperrt.

Meine 2 Cent