ERP系统实施和应用的风险管理（三）

    有个农夫，看到自己田里的青蛙太多了，怕庄稼受损害，就捉走了很多，可是过了几天却发现，庄稼全都枯萎了。明白的人都知道这是食物链的原因，青蛙没有了，害虫必然增多，庄稼自然枯萎。企业内部的信息系统同样也存在着这样一条锁链，既然是链，必然存在一个个紧密相连的环，这些环就是企业赖以生存的数据，一旦某一个环出现了问题，如果不得到及时的更正，势必影响到其他环节，甚至造成连锁反应。这是信息系统的使用过程中最显著的风险。

　　在第二篇中，我们重点讨论了ERP系统实施中的一些风险和控制策略。由于ERP系统本身的技术特点，使得在使用中我们需要考虑一些与一般MIS不同的控制管理手段来化解ERP系统给我们带来的业务风险。这一篇我们将从ERP使用的角度来阐述风险应对策略。

　　在ERP系统产生以前，企业内部的系统业务系统基本上是基于业务职能部门建立。通常会有销售系统、采购系统、库存管理系统和财务系统。这些系统的开发和使用都是独立于其它业务部门。每个功能系统一般都有其独立的应用系统或多个系统去实现相应的业务需求。这些系统有些完全与其他业务部门的系统独立，有些通过接口与其它系统进行数据交换。这种模式常常导致数据交换上的迟滞、维护成本的增加和数据冗余。在具有这样特征的业务应用系统环境中，企业对整个业务的控制一般还是以手工为主。以采购订单为例，对于采购部门来说，采购定单一般在定单产生后先在采购部门获得到批准。在供应商的发票到达财务部门后，需要重新从采购部门打印采购定单或从文档中调出并作为发票的附件在财务部门作付款的最终批准和实现付款。在整个付款过程中，采购单和付款审批需要多次确认。出现这样的问题是因为传统业务系统的设计和使用是以业务职能为关注点，造成信息传递只能通过手工传递来完成。在ERP系统中，系统的设计是业务流程为核心和关注点，通过业务流程将各业务部门的功能整合起来，提供在线和实时的信息集成系统来支持端到端的业务流程从而实现企业物流、资金流和信息流的三流合一，充分优化企业资源的利用。但是，在使用了ERP系统优化了业务流程和提高效率的同时，业务流程的改变也改变了整个业务的其它方面，比如说内部控制。传统的文档审计线索消失了，对业务信息的访问的群体比以前更广了，任何主数据的改变将对整个业务产生影响。相对于传统内部控制系统而言，这些新问题的出现使得基于ERP系统的业务流程的控制体系就需要得到相应的改变。显然，ERP系统也好，其他商业系统也好，它们的使用将改变原来企业的内部风险特征。

　　单点失效风险及其控制

　　在过去的企业业务处理系统环境中，某一系统出现的故障或数据丢失对其它业务系统的影响是比较有限的，因为各个系统之间相对来说是独立的。系统出现的故障允许我们在几天内通过其它应急措施或手工得以弥补，有较充裕的时间使系统恢复正常。在ERP系统环境中，如果碰到类似的问题就不那么轻松了。我曾经在某国内实施ERP系统最全面和最成功的企业中发现，该公司专门为ERP系统成立了一个应急小组，任何系统出现细微的故障，都必须在24小时内解决，原因很简单，任何一点的系统故障将殃及整个集团的业务运作和管理。在实施了ERP系统后，企业的运作管理就转变为网上实时管理，任何系统的不正常将直接导致业务运行出现混乱。举个例子，某食品分销商使用了ERP系统，内部效率提高几十倍。他们的产品代理使用手持式输入系统作现场定单录入，定单信息实时传入公司后台ERP系统。有一次，定单录入系统出现故障，代理商通过人工输入定单信息，由于缺乏经验造成数据差错，定单信息不准确。这个信息被实时传送到后端ERP库存系统。对于定单的差错，仓库人员由于对系统的陌生，没有及时发现并采取措施，形成发货错误而导致相应的库存信息不准确影响到财务、生产等部门的统计和决策。对于这类在ERP系统使用过程中最显著的风险，我们可以采用何种方式加以化解呢？

　　由于这类风险ERP系统本身的特点造成的，是固有的，不可能根本性的消除它们。降低这类风险的关键是企业具有完整和全面的业务连续性管理计划。所谓业务连续性管理计划是指当系统出现问题后，能够有这样一套程序确保业务继续运行同时为系统的恢复获得时间。调查表明，许多企业在没有实施ERP系统以前都没有业务连续性管理计划。企业的业务连续性管理计划对那些实施了ERP系统或者其业务对目前运行的系统依赖性非常强的企业非常重要，必须对此要做全面认识和规划。ERP有四个特征可能会对业务连续性规划产生影响，它们是：

　　大型、集成数据库

　　功能模块较多，涉及较多的企业业务流程

　　所有的模块都在物理上和逻辑上相互关联，需要同一时间对它们进行恢复处理

　　ERP同时会影响到与企业直接有系统关联的供应商和其它第三方的业务系统

　　同时，对于ERP这样的实时业务系统还需要相应的在线实时监控以确保在严重问题发生以前或对其它业务产生影响前能够得到及时处理。

　　系统访问风险及其控制

　　系统安全目前正逐步引起企业的重视。由于ERP系统将所有大量的业务应用功能集成在一个系统环境之下，ERP用户就可能有更多的机会访问其它与之不相关的信息。虽然，ERP系统中都有权限控制的功 能，但这并不能完全保证信息的保密性和完整性。另外，通过无线或远程登录ERP系统在这两年已开始推广，它们在一定程度上进一步增加了访问系统的机会。伴随着这些访问机率和途径的增加，对数据的准确性控制和各类恶意攻击将对系统构成威胁。

　　纵观目前市场上的ERP系统，几乎都具备不同程度的安全控制功能。例如在SAP R/3系统中，大量的安全参数设置包括用户密码、入侵锁定、超级用户访问等等。为了确保万无一失，有些ERP系统还通过插件的方式获得更强的安全控制。除了技术手段外，企业还应该制定面向企业级的安全策略，用户的访问权限应该基于这个安全策略来定义而不仅仅是基于业务需求的考虑。在实践中，对与访问风险控制我们可以考虑下面一些因素：

　　访问权限的定义和访问权限的使用应由不同的人员来执行

　　权限应局限于用户的工作需要或根据用户在业务流程中的角色来定义并符合企业级安全策略的要求

　　权限的定义还要根据风险控制和成本效益平衡的原则，也就是说消除用户获得某个访问权限后对系统可能造成的风险所付出的代价是否是经济合理的 数据质量风险及其控制

　　由于ERP系统使用一个数据库，这就对数据完整性提出了要求。许多实施了ERP系统的企业中流传这样一句话，如果数据的准确性、完整性不能保证，那么ERP系统的使用是没有任何意义的，“进去的是垃圾，出来的肯定也是垃圾”。ERP系统中，数据的录入一般有两种方式，一种是人工键入，另一种是通过数据录入装置，例如条形码扫描。对于后一种方式，数据录入的差错风险较小，但人工键入的方式，差错率就比较高。虽然，ERP系统中可以设置一些参数来对错误数据进行报警，但无法根本上解决这类问题。实验中，我们发现，对于系统弹出的警告，系统用户在经历多次后会变得麻木，甚至被忽略，从而失去效果。实践证明，建立完善的输入控制机制是有效化解这方面风险的手段。一方面，加强人员的培训和增加控制点的方式。例如，数据输入后，由另外一个人进行核对并确认。这种方式采用得比较普遍，但由于这种校对受到员工责任心、情绪和工作环境等因素影响，往往这类控制效果不是非常显著，我们常常需要从采取另外一些手段。这些手段是从“人机工程学”的角度来考虑。例如，原始凭证的设计和布局符合人们日常阅读的习惯，关键的数据采用加粗，键盘的设计有利于录入操作等等。

　　企业信息化过程中，ERP系统的实施和应用是一个重要的方面。对于准备信息化的企业，无论是使用ERP系统还是选用客户关系管理系统(CRM)或其他商业应用系统，无论是属于制造业还是服务业，都将面临业务流程越来越依靠信息系统来实现这样一个趋势。从辩证的角度来看，任何事物总存在正反两方面的因素。通过对ERP系统风险的讨论，希望大家对企业信息化过程中信息技术可能给我们所带来的负面影响特别是业务方面的影响有个初步的认识。