基于權限職責分離矩陣的ERP系統風險控制

李梓

[摘 要] ERP系統上線后，應該對系統用戶使用權限進行嚴格控制，避免越權操作，給企業管理帶來不必要的風險，企業的內部風險控制部門應該與ERP項目組按企業ERP系統覆蓋的業務模塊及系統中實現的功能，共同制定ERP系統用戶權限控制策略。權限職責分離矩陣是實現ERP系統用戶權限安全管理的基礎，ERP系統管理員只有嚴格依據職責分離矩陣進行授權管理，才能達到有效控制ERP系統管理風險的目標。

[關鍵詞] 權限職責分離矩陣；ERP系統；風險控制

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 22. 025

[中圖分類號] F272.7 [文獻標識碼] A [文章編號] 1673 - 0194（2014）22- 0042- 02

1 什么是權限責分離矩陣

按照企業內控制度要求，企業的關鍵管理崗位必須采取制約機制防控風險。ERP系統是企業經營管理基礎工作平臺，覆蓋著全部或大部分管理業務，ERP系統的用戶權限直接對應于實際工作崗位。ERP系統操作授權怎樣才能符合內控要求，這就要求企業在實施和維護ERP系統過程中，結合實際制定出切實可行的權限控制策略，建立權限職責分離矩陣就是非常有效的方法。權限職責分離矩陣是在對ERP系統業務活動之間關系進行判斷的基礎上，依據ERP系統角色不相容原理而確立的體現權限對象相互關系（互斥或相容）ERP系統賦權管理模型。依據權限職責分離矩陣，ERP系統管理人員在給相關崗位人員賦權時，可以隨時對授權對象互斥關系進行對比甄別，確定無誤后再進行授權操作。

2 制定權限職責分離矩陣的原則

企業在制定ERP系統權限職責分離矩陣時，應主要遵循以下原則：

原則1：業務批準與業務執行相分離。例如“創建采購訂單”和“審批采購訂單”是屬于互斥的業務活動，必須相分離，不能賦予同一用戶。

原則2：業務執行職能與業務檢查職能相分離。例如有“庫存出入庫”操作權限的人，不應擁有“錄入盤點結果”“存貨入庫”活動與“存貨入庫復核”活動的操作功能。

原則3：不相容職務不能一人兼任。不相容職務是指由一個部門或人員辦理，既能弄虛作假，又可以自己掩飾作弊的兩項或幾項職務。例如：出納職務與會計職務分離，錢賬分管；賬物分管等等。

原則4：主數據維護與其他業務活動相分離。例如，進行“客戶主數據管理”的人不能同時擁有“客戶訂單維護”的功能。

原則5：財務活動與其他業務活動相分離。財務活動和其他業務活動（指采購、銷售、庫存等業務活動）之間必須兩兩分離，財務人員不能同時具有維護主數據或其他業務活動的權限。

原則6：系統管理人員不能處理相關業務及數據。ERP系統管理人員未經允許，不能擁有ERP系統相關業務及數據的處理權限。

上述規則并不是絕對的，職責分離的精細程度，取決于企業內外部風險管控的需要，企業可以根據自身的特點，進行適當的調整。可以明確職責分離矩陣的例外事項，也可以使用不適用原則和下放原則。但都應該規避由擁有該互斥權限造成的風險，采取獨立復核控制。

3 權限職責分離矩陣的主要內容

權限職責分離矩陣應該按照企業ERP系統所包含的業務模塊來確定不同的業務活動。一般情況下，FICO（財務成本管理）模塊應該包括會計科目主數據維護、財務專用供應商主數據維護、財務專用客戶主數據維護、總賬管理、發票校驗、開關賬管理、成本主數據維護、成本核算等業務活動，MM（物資管理）模塊應該包括供應商主數據維護、物料主數據維護、價格主數據維護、創建采購申請、維護采購申請、審批采購申請、創建采購訂單、維護采購訂單、審批采購申請、創建入庫單、審核入庫單、發票預制、創建出庫單、審核出庫單、創建移庫單等業務活動，PS（項目管理）模塊應該包括項目創建、項目維護、進度確認等業務活動，PP（生產計劃管理）模塊包括BOM創建、BOM維護、生產計劃的創建、生產計劃的維護、產成品入庫等業務活動，PM（設備管理）模塊應該包括維修工單的創建、維修工單的審批、維修工單的維護、設備檔案的創建、設備檔案的維護等業務活動，SD（銷售與分銷管理）模塊應該包括客戶主數據的創建、客戶主數據的維護、銷售訂單的創建、銷售訂單的維護、銷售訂單的審批、外向交貨、創建發票、發票過賬等業務活動。

不同的企業實施的ERP業務模塊不盡相同，各模塊的具體業務也不一樣，因此，權限職責分離矩陣所包含的具體內容需要根據企業實際情況進行分析確定。圖1是某企業ERP系統權限職責分離矩陣，其中，“X”表示相對應的兩個業務活動存在互斥關系。

4 權限職責分離的實現

在ERP系統中，權限職責分離是通過控制成員的分配、權限的分配、角色的激活和使用來實現的?；コ鈱嶓w職責分離最終是為了防止用戶獲得過多權力，分析互斥權限、互斥用戶和互斥角色在分配關系上的各種約束，避免系統管理員隨意分配權限、角色。合理限制用戶、角色和權限之間的聯系能夠保證實現職責分離，因此在給用戶分配權限時，需根據業務活動的互斥關系，來檢查用戶是否具有互斥事務代碼的權限。

在進行ERP系統的權限—角色、角色—用戶分配時，需要重點關注以下基本原則：

（1）互斥權限不能授予同一個角色。即角色內互斥，這是在角色設計時應該堅決杜絕的，不然分配了該角色的用戶權限就存在互斥關系。

（2）互斥角色不能分配同一用戶。由于兩個或兩個以上的角色間存在互斥權限，如果用戶同時擁有了這些角色，就會通過這些互斥角色擁有互斥權限。

（3）互斥角色不能派生新角色。如果角色之間存在互斥關系，那么不能通過繼承方式派生新的角色，否則新派生角色就成為了互斥角色。

（4）權限分配前要進行互斥判斷，用戶權限分配時要對用戶現有的角色和新增的角色進行互斥判斷，人工判斷會費時費工，并且容易出錯，最好是做一個小工具，將用戶現有的角色和新增的角色導入后進行程序判斷，這樣效率和質量都有保障。

（5）定期檢查用戶權限是否互斥。企業內控部門要定期將系統中的用戶權限導出，進行互斥檢查，避免因管理員操作失誤或人工判斷出錯，造成用戶越權使用系統。

5 結束語

在ERP環境下，企業管理的風險控制點已經固化在ERP系統上，ERP系統風險防控程度即代表著企業管理水平，ERP系統授權管理是否安全可控至關重要。結合企業實際制定好ERP系統權限職責分離矩陣，并基于職責分離矩陣做好ERP系統日常維護工作，是提升企業管理水平的基礎保障。

主要參考文獻

[1]李若山.企業內控管理[M].北京：中國科學文化音像出版社，2010.

[2][德]薩斯喀-亞歷山大·拜爾.SAP權限系統[M].北京：東方出版社，2006.