ERP環境下基于系統參數的風險管理系統構建研究

陳旭　李蓮

【摘 要】 ERP整合了企業所有資源且高度集成，是風險管理融入企業“DNA”的最佳平臺。文章從ERP環境下信息系統風險管理現狀入手，針對風險識別內容繁雜不清、風險評估標準不明確、風險監察手段不力等問題，提出構造基于系統參數的閉環適時風險管理系統。該系統包括風險識別、風險評估、風險評級和風險監察四個模塊，運用故障樹和層次分析法中的定權方法來對風險進行定量分析。

【關鍵詞】 ERP； 系統參數； 風險管理； 故障樹； 層次分析法

隨著人們對信息技術依賴程度的增加，越來越多的企業業務開展與信息系統緊密相關，與此同時，信息系統風險也隨之進入了人們的視野。風險管理是企業管理的重要內容之一，它直接影響一個企業的正常生產經營。信息時代的風險管理具有許多新的特征與內涵，需要更新觀念，運用新的方法與手段，及時識別信息系統運行中的預警信號，采取措施，將風險控制在可接受范圍。

一、信息系統風險管理現狀

針對信息系統的風險問題，各相關機構發布了一系列的框架體系，如國際內部審計師協會（IIA）的“電子系統保證與控制”（ESAC）模型和美國IT治理研究院（ITGI）的信息及相關技術控制目標（COBIT）體系。目前，理論界對信息系統風險評估與管理的研究大部分停留在經驗總結及定性分析階段。在國務院國資委的《中央企業全面風險管理指引》、財政部的《企業內部控制基本規范》和《企業內部控制配套指引》相繼頒布之后，實務界各軟件公司也順勢推出了各自的內控風控系統，如金蝶K3、用友內控等，但其大都未對風險進行量化評估，部分有簡單量化也僅停留于粗略的等級劃分；另外，也未站在整個企業層面將風險統籌管理及邏輯展示，不利于管理者進行戰略決策。

風險發生于企業的各個層面，其管理不能各自為政，而整合了企業所有資源高度集成的ERP，則創造了一個讓風險管理融入企業“DNA”的最佳平臺。本文在目前風險管理系統已有的研究基礎上，針對系統參數設置可能造成的風險，利用故障樹和層次分析法中的定權方法，構造出一個閉環適時的風險管理系統，以為解決目前信息系統風險管理中風險識別內容繁雜不清、風險評估標準不明確、風險監察手段不力等諸多問題提供思路，讓風險管理伴隨ERP真正滲透整個企業，成為企業的新型競爭優勢。

二、ERP環境下風險管理系統構建

ERP環境下，企業內部控制與ERP的信息系統控制緊密結合，很多內部控制點的控制標準、控制方法通過信息系統控制的方式實現。因此，企業內部控制風險很大程度上取決于信息系統控制的風險。目前，信息系統控制的實現方式有程序代碼固化控制和參數化控制兩種，其中參數化控制的有效性取決于參數設置的正確性和及時性，如果一個控制參數沒有正確設置或是被惡意錯設，由于ERP最大的特點就是數據集中采集、信息共同分享，控制失效就會使系統反復發生相同的紕漏并蔓延至整個企業，其風險之大不言而喻。

因此，根據系統參數設置失誤可能造成的影響來確定對應風險點，掃描匯總參數設置漏洞后進行風險評估；確定參數及風險權重，計算得出風險評估值，對企業風險評級；實時監控參數設置情況，當條件事件（敏感參數錯設或風險超出企業容忍度）被觸發時，進行反饋控制。以此方式來管理企業風險，可以合理保證企業在可控狀態下安全運營。

綜上，本風險管理系統主要包括四大基本功能模塊：風險識別模塊、風險評估模塊、風險評級模塊和風險監察模塊。

（一）風險識別模塊

首先，根據COSO及國務院國資委頒布的《中央企業全面風險管理指引》對風險的定義及描述，可以精細分類把風險整理成三個級別，依次是風險層次、風險類別及風險點（見表1）。根據風險點具體含義及描述，確定ERP每個模塊系統參數錯設時對應的風險點（見表2）。

本模塊的主要任務是通過掃描匯總系統參數設置漏洞。

（二）風險評估模塊

本模塊分為故障樹編制和風險定量分析兩個子模塊，其中，故障樹對展示系統參數及對應風險之間的邏輯關系，并為下一步風險定量分析權重確定及風險值計算奠定基礎。

1.編制風險故障樹

故障樹分析技術是美國貝爾電話實驗室1962年開發的，它采用邏輯的方法，形象地進行危險的分析工作，特點是直觀、明了，思路清晰，邏輯性強。用故障樹的方法分析風險，既可定性也可定量，兼具系統性、準確性和預測性。根據表2編制出風險故障樹（見圖1），圖中矩形代表頂上事件或中間事件，圓形代表不要求進一步展開的基本引發風險事件。

本文在故障樹的建模過程中，只探討了下級元素與上級元素為N：1關系且邏輯關系均為或門的情況，未能充分利用到故障樹強大的處理復雜結構問題的功能。今后可進一步分析各控制參數設置直接和間接影響的風險點及風險之間可能存在的連鎖反應，逐漸豐滿故障樹，以更全面準確地對風險進行定性和定量分析。

2.風險定量分析

為體現企業對風險的容忍度，本文將故障樹單純考慮事件的發生概率加上權重因素后綜合考慮。為便于得到邏輯推理計算公式，加強其概括性，設故障樹頂上事件為T0，中間事件為AIi，基本事件為XIi。其中，中間事件和基本事件的下標I均表示元素所在的層次，i表示事件在該層次的順序編號。下面依次講解權重的確定及風險值計算具體方法。

（1）權重計算

故障樹事件的定權借用層次分析法中權重確定方法求得。在構造比較判斷矩陣時，事件兩兩比較的基礎是風險發生可能造成的后果危害程度和企業對該參數設置的敏感程度，而非對頂層事件的影響大小。此法可避免對所有個體直接進行排序的困難，使決策者注意力集中，較為客觀地評價兩者的“優先”程度，以提高準確度。

據此，首先對照層次分析法中的標度含義表，構造出比較判斷矩陣，然后利用“和法”取列向量算術平均進行求權，最后對矩陣進行一致性檢驗，檢查矩陣A的不一致程度是否在容許范圍之內。若有滿意的一致性，通過一致性檢驗，可用其歸一化特征向量作為權向量，否則要重新構造成對比較矩陣A。

例：現金流風險分支下轄3個元素X41（出納簽字）、X42（貨幣資金赤字警告）、X43（收款預算控制）。

比較3個元素可能造成現金流風險后果的危害程度和企業對元素的重視程度，構造出成對比較陣：

依此按照底層→次頂層→頂層→最頂層的順序循環，可計算出故障樹所有事件權重及風險值，最終即可匯總出各企業總風險值T0=∑ni=1R（A1i）·E（A1i）。

（三）風險評級模塊

依據會計確認對可能性的估計區間的劃分及事件風險的權重賦值，計算出風險評估矩陣（見表3）。

如圖3，當事件發生可能性極小且權重為極低、低、中時，風險等級為低；當事件發生可能性極小且權重為高和極高、事件可能和很可能發生且權重為極低時，風險等級為較低；當事件可能發生且權重為低、中和高，事件很可能發生且權重為低、事件基本確定發生但權重為低和極低時，風險等級為中度；當事件可能發生且權重為極高、事件很可能發生且權重為中和高、事件基本確定發生但權重為中時，風險等級為高度；當事件很可能發生且權重為極高、事件基本確定發生且權重為高和極高時，風險等級為極高。

根據風險等級劃分原則和評估矩陣計算結果，可得出每個風險等級區間的臨界值，由此劃分出風險評級表（見表4）。

依據風險定量分析中得出的風險評估值，對照該表，可對應得出各風險所對應的風險等級，視情況進行分級管理。

（四）風險監察模塊

一個閉環的風險管理系統，它的信息流通途徑及反應機制應為“控制信息→反饋信息→控制信息（控制手段）”。其中前饋的控制信息應是企業根據管理需求，在故障樹的節點處自定義的觸發條件。其觸發條件可以是敏感參數的錯誤設置或超出企業容忍度的風險評估值抑或是信息系統某模塊參數設置的漏洞總數。

在控制信息傳達出去后便得到反饋信息，再次回饋的控制信息就應該是控制手段。風險監察模塊提供人工控制和程序控制兩種控制手段，可根據企業需求調整控制強度，如預警提示、禁止業務進行等多個強度級別。

對風險的識別絕不是一個單一的、一次性的過程。在風險管理系統建立之初，經各種程序識別的一系列風險所在的環境，將隨著這些已識別風險性質的改變而迅速發生變化，企業還需對已識別的風險進行監察。首先，在應用之初根據實際應用的ERP特點及具體業務情況確定參數及對應風險。在運營過程中，需綜合考慮計算機購置成本、服務器承載能力、風險容忍度、運營效率等多個因素，依據成本效益原則，合理調整故障樹并及時變更風險監察的反應機制，以適應企業運營管理需要。

三、風險管理系統的應用

通過風險管理系統對參數漏洞進行定期掃描和主動反應，可以對企業信息系統風險洞察入微，防止人為或非人為等未知因素在暗處干擾企業運行。另外，通過將風險管理系統中的參數設置和風險評級歷史情況進行存檔，一可將歷史記錄與企業經營中的財務及業務數值進行對比，建立線性關系，以探尋既定的企業運營效率之下最合適的風險容忍度及參數配置值；二可以在企業進行內審的時候給予一定的切入點，如某段時間客戶信用管理參數設置為“是”，則應重點審查信用額度高的客戶銷售業務，如為“否”，則需重點檢查銷售欠款較多的客戶的相關業務。●

【參考文獻】

[1] 陳旭，李蓮.基于ERP系統參數的內部控制及風險評估研究[C].第十一屆會計信息化年會論文集，2012.

[2] 史定華，王松瑞.故障樹分析技術方法和理論[M].北京：北京師范大學出版社，1993.

[3] 趙煥臣，許樹柏，和金生.層次分析法[M].北京：科學出版社，1986.