erp系统权限管理测试

《erp系统权限管理测试》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、ERP系统权限管理测试14.2.1对地区公司开展现场或非现场测试检查4.2.2地区公司根据测试检查报告开展整改4.2.3对地区公司的整改结果进行复查目录阶段一.项目准备阶段二.蓝图设计阶段三.系统配置阶段四.测试检查阶段六.上线审批阶段五.流程完善ERP系统建设内部控制工作程序2目录1.ERP系统权限管理2.ERP系统权限测试介绍3.ERP系统测试检查问题分析31.ERP系统权限管理随着地区公司从2007年开始陆续上线ERP系统，股份信息管理部、内控与风险管理部在原有《信息系统总体控制实施办法》（GC

2、C）的基础上形成了《ERP/人力资源系统总体控制(试行)》。在该实施办法中详细规范ERP系统的相关权限管理要求，因此地区公司在ERP系统上线后，应严格制定ERP系统相关的控制措施。本培训将重点介绍ERP系统的权限管理，ERP系统的权限测试步骤及权限测试工具，以及测试检查中权限问题的分析讨论。41.ERP系统权限管理(1)ERP系统上线后对地区公司和总部公司的权限管理会发生如下变化：1)控制执行层面发生变化：控制执行跨地区公司和总部两个层面，需要总部和地区公司的控制执行人共同完成。例如用户权限角色变更流

3、程，角色变更的申请由地区公司发起，在地区公司需要关键用户检查角色变更是否满足职责分离的要求，申请人主管领导进行业务层面的审批，通过后由总部ERP运维主管进行技术层面的审批，最后由总部技术人员在系统中进行角色变更活动。51.ERP系统权限管理2)控制实施证据发生变化：考虑ERP系统权限管理的细化及复杂性，对控制执行证据进行更新和完善，具体发生变化的权限实施证据如下：原有GCC表单GCC-ERP/HR中对应表单《用户帐号及权限管理表》《ERP系统用户帐号新增请求表》《ERP系统用户帐号注销请求表》《ERP

4、系统用户权限变更请求表》《ERP系统角色变更请求表》《应用系统权限检查表》《ERP应用系统用户权限检查表》《ERP系统用户与角色对应关系表》《ERP系统特权用户权限检查表》《岗位角色对应关系、职责分离矩阵和敏感事务权限规则的检查记录》61.ERP系统权限管理总体控制领域控制点编号总部层面执行地区公司层面执行信息安全-用户权限管理GIT-ERP-5.1○○GIT-ERP-5.2√XGIT-ERP-5.3√XGIT-ERP-6.1○○GIT-ERP-6.2○○GIT-ERP-6.3√XGIT-ERP-6.

5、4√XGIT-ERP-6.5√XGIT-ERP-7.1√XGIT-ERP-7.2X√GIT-ERP-7.3○○√代表需执行该控制X代表无需执行该控制○代表总部和地区公司共同执行71.ERP系统权限管理(2)用户权限的管理以及设置规则职责分离原则：对于同一组不相容权限，任何用户不能同时具有两种（或两种以上）的权限未明确允许即禁止：除非用户有对于权限的需求得到了相关领导的明确批准，否则不应当授予用户任何权限需求导向及最小授权原则：对于用户的权限，应当以其实际工作需要为依据，且仅应当授予能够完成其工作任务的

6、最小权限访问权限：是指用户能够访问哪些资源或执行哪些任务（或功能）的范围，从控制的角度考虑在系统中所拥有的权限是否超出了其工作需要。职责分离：职责分离是把一个业务（子）流程的工作内容分为几个职责不相容的部分并由不同的人来完成，避免因一个人能够操作不相容职责而产生的舞弊风险。用户权限设置应同时满足以下基本原则：用户权限管理的范围包括访问权限和职责分离81.ERP系统权限管理在执行ERP系统权限管理时，用户权限分配不当将引起以下两个方面的风险：风险一：用户如果在系统中具有不符合其实际业务职责的权限，可能导

7、致对业务、财务数据相关信息不适当的非授权修改。风险二：用户如果在系统中具有互斥权限，那么该用户就具有了在系统中进行舞弊操作的可能。91.ERP系统权限管理对于风险一：系统管理员通过对业务终端用户的角色分配实现敏感事物的授权，所以在进行ERP系统用户权限管理时，应确定ERP系统中的敏感事务，并确定这些敏感事务访问权限的设置规则。用户权限分配应遵循能够满足用户日常工作对系统资源的需求的最小授权原则进行授权。101.ERP系统权限管理《敏感事务访问权限的设置规则》由ERP系统的业务活动，敏感事务代码以及这些

8、敏感事务应分配的工作岗位组成。事务代码:各地区公司根据其业务活动描述所定义的事务代码。事务名称:事务代码所对应的名称。111.ERP系统权限管理对于第二个风险，应该制定《ERP系统职责分离矩阵》，避免用户出现互斥的权限。（附录二、《ERP系统职责分离矩阵》模板）。职责分离矩阵模版中定义了业务活动之间的互斥关系，若矩阵中某两个业务活动被标注为"X"，即表示这两个业务活动是互斥的，因此用户不能在系统中同时具有执行这两个互斥的业务活动的权限。121.ERP系统