審計(jì)師眼中的好ERP系統(tǒng) 和諧整體的應(yīng)用單元

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

審計(jì)師認(rèn)為一個(gè)好的erp系統(tǒng)應(yīng)該是像SAP R/3，Oracle財(cái)務(wù)和peoplesoft這樣一些可以構(gòu)成和諧整體的客戶/服務(wù)商應(yīng)用單元。

這樣的一些單元模塊開始普及，因?yàn)樗鼈兡芴峁┒喙δ艿臉I(yè)務(wù)流程解決方案，這正好可以應(yīng)用到組織的財(cái)務(wù)和人力資源方面中。

ERP單元包括一系列經(jīng)修改就可以適應(yīng)財(cái)務(wù)需要的模塊，例如應(yīng)付帳款，應(yīng)收帳款，總賬等。已經(jīng)廣泛使用的Oracle財(cái)務(wù)模塊和SAP R/3，以及起先致力于人力資源和相關(guān)財(cái)務(wù)追蹤研究的peoplesoft都可提供這種服務(wù)。對(duì)所有可用ERP的類型和可用模塊選擇的概述不再本文范圍。

ERP應(yīng)用模塊可與端到端流程連接到一起。例如，從訂貨單或征調(diào)單到發(fā)貨單或付款單，再到總賬。ERP在許多地方的使用，就好比是一個(gè)系統(tǒng)的建筑群。ERP中多樣化的選擇，業(yè)務(wù)規(guī)章，報(bào)告，審計(jì)追蹤，監(jiān)管特征等等都應(yīng)該按照商業(yè)需求來設(shè)計(jì)。它的實(shí)施是非常復(fù)雜的。

對(duì)于ERP審計(jì)的發(fā)展，存在一些普遍的錯(cuò)誤觀點(diǎn)。例如，你很有可能聽到這樣的說法：“這是一個(gè)軟件套裝，因此它的應(yīng)用應(yīng)該是低風(fēng)險(xiǎn)的（和家庭應(yīng)用相比）”。這個(gè)19世紀(jì)90年代早期的觀點(diǎn)很有可能是錯(cuò)誤的。尤其是在說到它在ERP中的應(yīng)用時(shí)，它就更是錯(cuò)誤的了。事實(shí)上，很多早期的ERP之所以失敗，就是由于企業(yè)嚴(yán)重低估了自身應(yīng)該投入的時(shí)間，金錢和努力。企業(yè)認(rèn)為，ERP就像一個(gè)已經(jīng)被設(shè)計(jì)好的精確的會(huì)計(jì)軟件，我們只需要加入一些賬戶圖表就可以使用。

要想加入這些圖表，ERP系統(tǒng)需要一個(gè)相當(dāng)耐用的數(shù)據(jù)管理系統(tǒng)，通常Oracle可以勝任這項(xiàng)工作。此外，ERP的實(shí)施還需要提供合適的數(shù)據(jù)結(jié)構(gòu)、計(jì)劃、子模塊以及相關(guān)數(shù)據(jù)元素，這其中的復(fù)雜性是ERP系統(tǒng)實(shí)施中所面臨的重大挑戰(zhàn)。

要想讓任何審計(jì)都能有效進(jìn)行，就需要先清晰地設(shè)定審計(jì)目標(biāo)。通常，在ERP審計(jì)時(shí)，我們從定義審計(jì)實(shí)體，評(píng)估風(fēng)險(xiǎn)和風(fēng)險(xiǎn)控制開始一個(gè)完整的審計(jì)過程。如果ERP系統(tǒng)側(cè)重于財(cái)務(wù)交易過程，審計(jì)目標(biāo)就通常類似于，“確保已授權(quán)的付款以準(zhǔn)確的數(shù)目付給了經(jīng)我方認(rèn)可的買方。”換句話說，就是應(yīng)付帳款系統(tǒng)是不是記錄了所有合法的交易——在根本沒有備份的情況下——并把他們填寫在正確的分賬中？

審計(jì)師和信息技術(shù)經(jīng)理要意識(shí)到，審計(jì)包括應(yīng)付帳款模塊等在內(nèi)的獨(dú)立信息系統(tǒng)是一個(gè)復(fù)雜的過程，其保持應(yīng)用模塊的完整性會(huì)讓一件事情變得更加困難，那就是怎樣能把保持完整性這個(gè)目標(biāo)放入一個(gè)劃分明確的審計(jì)項(xiàng)目中。

審計(jì)師需要理解ERP的整個(gè)處理過程，因?yàn)樽畛醯慕灰捉⒌臄?shù)據(jù)是供各類模塊使用才有意義。審計(jì)師需要大致看一下那些比較大的業(yè)務(wù)模塊并好好理解它們：例如銷售模塊，支出模塊，薪酬模塊和客戶服務(wù)模塊。這樣就可以弄明白各種各樣的子過程（以及它們的支持模塊）是怎樣相互影響的。理解一個(gè)完整的流程是非常重要的一步，因?yàn)榭刂七^程依賴于最開始的交易和隨后的一系列相互作用影響。

ERP審計(jì)

審計(jì)師在ERP審計(jì)中提到的一些問題和那些在開發(fā)和應(yīng)用系統(tǒng)時(shí)提出的問題完全一樣。

·對(duì)于財(cái)務(wù)方面來講，系統(tǒng)需要完全遵循通用會(huì)計(jì)準(zhǔn)則和通用審計(jì)準(zhǔn)則嗎？

·在用戶和系統(tǒng)的互動(dòng)中，用戶的需求被完全開發(fā)出來了嗎？

·系統(tǒng)保護(hù)信息資產(chǎn)的完整和隱私嗎？

·系統(tǒng)是否控制流程僅進(jìn)行真實(shí)、有效和準(zhǔn)確的交易？

·系統(tǒng)的操作運(yùn)行和支持功能是否有效？

·所有的系統(tǒng)資源是否都是經(jīng)過授權(quán)才得以訪問和使用？

·ERP系統(tǒng)的管理者是否都有明確的授權(quán)？

·系統(tǒng)功能可接受嗎？滿足用戶需求嗎？用戶滿意嗎？

·審計(jì)追蹤和對(duì)用戶行為的監(jiān)控是否充分？

·系統(tǒng)能提供給管理層最可靠的數(shù)據(jù)嗎？

·用戶得到培訓(xùn)了嗎？他們是否有完備和及時(shí)的文檔？

·是否有一個(gè)問題升級(jí)方法？ 

變更管理和控制  

對(duì)于一個(gè)使用中的ERP系統(tǒng)來說，另一個(gè)關(guān)鍵的方面就是改變管理。那些在檢查中提出的問題，聚焦于在生產(chǎn)中對(duì)更新和改變的控制，但是說到底還是和信息技術(shù)開發(fā)有關(guān)的。

管理變更是一門藝術(shù)，而且如果處理不好就會(huì)成為控制中的一個(gè)薄弱環(huán)節(jié)。審計(jì)師要提出的問題有：

在一個(gè)正式的變更請(qǐng)求的處理中，這個(gè)處理是否能用文件證明?是否有授權(quán)的政策，相關(guān)的控制形式和授權(quán)許可？

所有的變更請(qǐng)求和相關(guān)的活動(dòng)是否都記錄了下來便于日后的追蹤？

管理層授權(quán)的所有變更內(nèi)容都是在分析后得到認(rèn)可嗎？

在變更之后要實(shí)施的安全管理都能得到及時(shí)批準(zhǔn)嗎？

對(duì)變更進(jìn)行的所有的測試產(chǎn)生的相關(guān)證明資料都要保存下來，包括測試計(jì)劃書，測試結(jié)果以及相關(guān)的批準(zhǔn)文件。為了避免主要的變化未能充分測試，相應(yīng)的變更管理方針要對(duì)變更進(jìn)行分級(jí)，并對(duì)它們的重要性作出明確定義。一些小的變更當(dāng)然就不需要像那些關(guān)鍵變更一樣級(jí)別的測試和相關(guān)證明資料，但是為了趕著完工，開發(fā)設(shè)計(jì)者有時(shí)會(huì)說：“變更計(jì)劃中這個(gè)地方需要的改動(dòng)太少了，所以完全不用進(jìn)行測試。”

在進(jìn)行重要的升級(jí)或重大的變更之前，應(yīng)該對(duì)原先的那個(gè)系統(tǒng)版本做一個(gè)詳盡的備份。審計(jì)師要明確是不是有一個(gè)終止系統(tǒng)更新的計(jì)劃作為重大變革的一個(gè)常規(guī)內(nèi)容。為了防止系統(tǒng)變更失敗，企業(yè)的整個(gè)信息系統(tǒng)要有能力存儲(chǔ)系統(tǒng)變更前的版本。同時(shí)審計(jì)師還要注意，在系統(tǒng)的變更開始前用戶是否已經(jīng)參與了進(jìn)來并得到了系統(tǒng)變更的通知。

以上這些對(duì)ERP審計(jì)中出現(xiàn)問題的回答，可以算是對(duì)這個(gè)復(fù)雜的課題的一個(gè)簡要的概括。這個(gè)概括提供了一些關(guān)鍵的內(nèi)容，供我們思考怎樣針對(duì)ERP系統(tǒng)設(shè)計(jì)專門的審計(jì)項(xiàng)目和測試步驟。(itgov)