SAP

1

นอ้ งนุช เหลา่ มณีรัตนาภรณ์DirectorEnterprise Risk ServicesDeloitte Touche Tohmatsu Jaiyos AdvisoryEmail : [email protected] 2

 ผูเ้ขา้ รบั การอบรมควร 1. สามารถเปรยี บเทยี บความแตกต่างระหว่างการตรวจระบบ SAP R/3 กบั การ ตรวจสอบระบบทท่ี าอยูใ่ นปจั จบุ นั ได้ 2. เขา้ ใจแนวทางการตรวจสอบระบบ SAP R/3 ตาม Business Cycle ทส่ี าคญั เช่น • Revenue Business Cycle • Expenditure Business Cycle และ • Inventory Business Cycle 3. เขา้ ใจ authorization concepts และ segregation of duties ภายในระบบ SAP R/3 มากยง่ิ ข้นึ 4. ทราบแนวทางการตรวจสอบใหมๆ่ สาหรบั ระบบ SAP R/3 และ ERP System 3

การตรวจสอบระบบ SAP R/3 เปรยี บเทยี บกบั การตรวจสอบระบบทวั่ ไปแนวทางการตรวจสอบ SAP R/3 ตาม Business CyclesSAP authorization concepts และ segregation of duties ภายใน ระบบ SAPแนวทางการตรวจสอบใหมๆ่ สาหรบั ระบบ SAP R/3 และ ERP Systemแบบฝึกหดั การใชร้ ะบบ SAP R/3ถาม - ตอบ 4

-1 -การตรวจสอบระบบ SAP R/3เปรยี บเทยี บกบั การตรวจสอบ ระบบทว่ั ไป 5

Business Customer Stock Distribution Invoicing Processes Order Checking Loan Interest Payment Application App Approve Draw calculation systems down IT system SAP Back office Impact infrastructure Oracle systemIT Organization ATM GFMIS IT process Core Banking SWIFT Impact System development and program changes Network and security management IT Planning and Organization IT service operation 6

Single ModuleIT Audit and SAP R/3 Basis System (IT) Organization and IT basic Business Departments security Database systems Operating System Network and Communication SystemsPhysical and Organizational Situation in the IT Environment*Introduction to the SAP R/3 System focusing on audit aspects By Roger Odenthal 7

วเิ คราะห์แนวทางการตรวจสอบ SAP R/3B Business Audit  Understanding of SAP R/3 Basic Functions and Usage  Understanding of SAP R/3 Business Cycles  Risks – Controls – Auditing process/Techniques  Auditing SAP R/3 Business CyclesS System Audit Basis  User Security Infrastructure  System Modification  System Security 8

-2-แนวทางการตรวจสอบ SAP R/3 ตาม Business Cycles 9

Page 60, figure 4.4 Core Business Cycles Book: Security , Audit and Control Features SAP R/3, 2nd EditionCreating Customer Material Producing Creating Creating Vendor Relationship Requirement Inventory Production Order Relationship PlanningSales Quotation Production Purchase Sales Order Requisition Goods Issue Handling Finished Raw Materials Goods Management Purchase Order Delivery Note Goods Receipt Invoice Invoice VerificationRevenue Account Accounts Payable Expenditure Receivable Collection Reporting Payment 10

11

Page 60, figure 4.3 Linking Audit Cycles to SAP Modules Book: Security , Audit and Control Features SAP R/3, 2nd EditionAudit Business Cycles SAP Module Functional Category Financial Accounting Financial Applications Treasury Logistics Applications Fixed Assets Human Resources Expenditures Basis Component Revenues Cross ApplicationsInventory management Industry Solutions Payroll and Personnel 12

Price/Customer EDI Customer Secretary of FinanceMaintenance Forms Department Customer Service (Sales Order Entry) Customer Cheque AR Clerk Data Entry Or ApprovalMaster Data Maintenance SAP R/3 Picking, dispatching, maintain delivery information AR supervisor and Finance Customer invoices Money Deposited Manager reconcile check at bank account tally against bank deposit report EFT AR Clerk insert check in bank envelope1. Maintain Pricing/Customer Data 2. Sales Order Processing 3. Invoice Processing Bank 4. Payment Receipt 13

SAP R/3 Revenue Business Cycle สามารถแบง่ เป็น 4 ส่วน ดงั น้ี1. Master data maintenance  Customer master data  Material master data  Pricing master data2. Sales order processing  Sales queries (inquiries and quotes)  Sales orders (cash sale, credit sales, promotional goods order)  Outline agreement (contracts and scheduling agreements)  Customer problems (complaints and returns)3. Shipping, invoicing, returns and adjustments4. Collecting and processing cash receipts  Receiving payments  Recording the amounts in the cashbook  Matching receipts to sales invoices in the sales ledger  Following up and collecting outstanding amounts 14

Sales Order Sold-to Party สงั่ ซอื้ โดย บรษิ ัท ไทยคา้ ปลกี Ship-to Party จัดสง่ ไปยัง บรษิ ัท ไทยกระจายสนิ คา้ Bill-to Party วางบลิ ไปยัง บรษิ ัท ไทยคา้ ปลกี Pay-to Party ชาระเงนิ โดย บรษิ ัท ไทยรว่ มทนุการผกู ความสมั พนั ธใ์ นกลมุ่ ขอ้ มลู หลกั ผซู ้ อื้ และผขู ้ าย ทาใหเ้ กดิ ความยดึ หยนุ่ ในการจัดการขอ้ มลู หลกั และความถกู ตอ้ งในการบนั ทกึ ขอ้ มลู ธรุ กรรม 15

SAP R/3 Revenue Business Cycle Risks การวเิ คราะห์ความเส่ียงของระบบงานสามารถแบ่งเป็น 4 สว่ น ดงั น้ี Key Controls1. Master data maintenance การควบคุมที่สาคญั Testing Techniques  Customer master data เทคนิคการทดสอบ  Material master data  Pricing master data 162. Sales order processing  Sales queries (inquiries and quotes)  Sales orders (cash sale, credit sales, promotional goods order)  Outline agreement (contracts and scheduling agreements)  Customer problems (complaints and returns)3. Shipping, invoicing, returns and adjustments4. Collecting and processing cash receipts  Receiving payments  Recording the amounts in the cashbook  Matching receipts to sales invoices in the sales ledger  Following up and collecting outstanding amounts

Requisition Vendor Invoice EFT Payment Registered Purchase Officer Purchaser/ Vendor Invoice Enters Purchase Receiving Department EFT Approval AP Clerk Input Order Input Receiving UNMATCHED File Information PO Release Reconcile Officer EFT File PO AP supervisor Bank Reconciliation Purchase Order 2. Goods Receipt 3. Invoice Processing 4. Payment1. Purchases 17

SAP R/3 Expenditure Business Cycle Risksสามารถแบง่ เป็น 4 ส่วน ดงั น้ี การวเิ คราะห์ความเส่ียงของระบบงาน1. Master data maintenance Key Controls การควบคุมท่ีสาคญั  Vendor master data Testing Techniques  Material master data เทคนิคการทดสอบ  Vendor pricing information 182. Purchasing  Purchase requisition  Request for Quotation (RFQ)  Purchase Order  Contract / Scheduling agreement  Release procedure (Release strategy)  Goods Receipts ( GR)3. Invoice Processing  Invoice Verification  Three-way match process; Purchase Order, Goods Receipts and Invoice4. Processing Disbursements

Product Data Order Entry Production Warehouse Management Team Department Planned Order F/G Create Master Data in Production Sales SAP Planning Order Flag Product MRP Pick and Availability Pack Production OrderEngineeringDepartment PO Vendor Purchase Post Goods Issue Order Kit Order DO Warehouse Raw Delivery Raw Material Materials Docket Work In Customer ProcessUpdate Bill of Returns Materials Enter Goods Receipt1. Maintaining Master Data 2. Managing Raw Materials 3. Producing and Costing Inventory 4. Handling and shipping F/G 19

SAP R/3 Inventory Business Cycle สามารถแบ่งเป็น 4 ส่วน ดงั น้ี1. Master data maintenance  Material master data  Production planning and control for material requirements planning  Bill Of Material (BOM)2. Managing Raw Materials  Distribution Requirement Planning (DRP)  Material Requirement Planning (MRP)  Inventory Management for goods movement postings and physical inventory  Sales and distribution for sales order processing3. Producing and Costing Inventory  Manage inventory on a quantity and value basis  Carry out physical inventory counts  Plan, enter and check any goods movements  Production Costing  Inventory Valuation4. Handling and Shipping Finished Goods 20

ขอ้ มลู หลกั วสั ดุ จะถกู แบง่ ตามลกั ษณะของขอ้ มลู และความสมั พนั ธก์ บั หน่วยงานทใ่ี ชข้ อ้ มลู นัน้ ๆ(Views) 21

SAP R/3 Inventory Business Cycle Risksสามารถแบ่งเป็น 4 สว่ น ดงั น้ี การวเิ คราะห์ความเส่ียงของระบบงาน1. Master data maintenance Key Controls การควบคุมท่ีสาคญั  Material master data Testing Techniques  Production planning and control for material requirements planning เทคนิคการทดสอบ  Bill Of Material (BOM) 222. Managing Raw Materials  Distribution Requirement Planning (DRP)  Material Requirement Planning (MRP)  Inventory Management for goods movement postings and physical inventory  Sales and distribution for sales order processing3. Producing and Costing Inventory  Manage inventory on a quantity and value basis  Carry out physical inventory counts  Plan, enter and check any goods movements  Production Costing  Inventory Valuation4. Handling and Shipping Finished Goods

Revenue Cycle Expenditures Cycle Inventory Cycle 1. Master data 1. Master data 1. Master data maintenance maintenance maintenance 2. Sales order 2. Purchasing 2. Managing processing Raw Materials 3. Invoice 3. Shipping, Processing 3. Producing andinvoicing, returns 4. Processing Costing Inventoryand adjustments Disbursements4. Collecting and 4. Handling andprocessing cash Shipping F/G receipts Risks การตรวจสอบระบบ SAP R/3 Testing Techniquesการวเิ คราะห์ความเสี่ยงของระบบงาน เทคนิคการทดสอบ Key Controls การควบคุมท่ีสาคญั 23

Auditing SAP R/3Expenditure Business Cycle 24

Expenditures Cycle 1. Master data maintenance 2. Purchasing 3. Invoice Processing 4. Processing Disbursements การตรวจสอบระบบ SAP R/3 Risks Key Controls Testing Techniquesการวเิ คราะห์ความเส่ียงของระบบงาน การควบคมุ ทสี่ าคญั เทคนิคการทดสอบ 25

 Master Data Maintenance Risks ความเสย่ี งทเ่ี กดิ จากการสรา้ งหรอื แกไ้ ขขอ้ มลู Vendor Master 1. ปญั หาการสรา้ งหรอื การแกไ้ ขขอ้ มลู Vendor Master ทไ่ี ม่ถกู ตอ้ ง อาจทาให้ เกดิ ความเสย่ี ง ไดแ้ ก่ การสงั่ ซ้อื สนิ คา้ จาก Vendor ทไ่ี มไ่ ดร้ บั อนุญาต การจ่ายเงนิ ค่า สนิ คา้ และ discount terms ไมถ่ กู ตอ้ ง 2. ขอ้ มลู Vendor Master ไม่เป็นปจั จบุ นั ▪ ขอ้ มลู ของ Vendor มกี ารเปลย่ี นแปลงแต่ยงั ไมไ่ ดแ้ กไ้ ขในระบบ ▪ ในระบบมี Vendor ทไ่ี มม่ กี ารเคลอ่ื นไหวอยู่เป็นจานวนมากPage 122Book: Security , Audit and Control Features SAP R/3, 2nd Edition 26

 Master Data Maintenance Key Controls จดุ ควบคุมทส่ี าคญั ในเร่อื งการสรา้ งหรอื แกไ้ ขขอ้ มลู Vendor Master 1. ปญั หาการสรา้ งหรอื การแกไ้ ขขอ้ มลู Vendor Master ทไ่ี มถ่ กู ตอ้ ง Key Controls ไดแ้ ก่ : - ใหม้ กี ารตรวจสอบรายงานการเปลย่ี นแปลงขอ้ มลู Vendor Master อยู่เสมอ - กาหนดผูร้ บั ผดิ ชอบในการสรา้ งหรอื แกไ้ ขขอ้ มลู ใหเ้หมาะสม - การกาหนดค่าควบคุมในระบบ (Configure) ควรใหเ้หมาะสมกบั กลมุ่ ของ Vendor Master ทม่ี คี วามแตกต่างกนั ดว้ ย 2. ขอ้ มลู Vendor Master ไมเ่ ป็นปจั จบุ นั Key Controls ไดแ้ ก่ : - ใหม้ กี ารสอบทานการเปลย่ี นแปลงขอ้ มลู Vendor Master และปรบั ปรงุ ขอ้ มลู ทอ่ี ยู่ในระบบใหเ้ป็นปจั จบุ นั อยู่เสมอPage 122 - 123Book: Security , Audit and Control Features SAP R/3, 2nd Edition 27

 Master Data Maintenance Testing Techniques เทคนิคการทดสอบ Vendor Master 1. ตรวจสอบจากรายงานการเปลย่ี นแปลง/แกไ้ ขขอ้ มลู Vendor Master (Program RFKABL00) 2. ตรวจสอบ User access authorization ในการเปลย่ี นแปลง/แกไ้ ขขอ้ มลู Vendor Master วา่ เป็นไปตามนโยบายบรษิ ทั หรอื ไม่ 3. ตรวจสอบการกาหนดค่าควบคุมในระบบ (Configurable Control settings) ใหม้ คี วามสอดคลอ้ งกบั กลมุ่ ของ Vendor Master ซง่ึ ตอ้ งการการควบคุมทม่ี ี ความแตกต่างกนั 4. ตรวจสอบความซา้ ซอ้ นของขอ้ มลู - Extract ขอ้ มลู Vendor Master จาก Table LFA1 5. ตรวจสอบหลกั ฐานการอนุมตั จิ ากผูม้ อี านาจในการสรา้ ง Vendor Master ใน ระบบ (Program RFKKVZ00)Page 123 - 124Book: Security , Audit and Control Features SAP R/3, 2nd Edition 28

Expenditures Cycle 1. Master data maintenance 2. Purchasing 3. Invoice Processing 4. Processing Disbursements การตรวจสอบระบบ SAP R/3 Risks Key Controls Testing Techniquesการวเิ คราะห์ความเส่ียงของระบบงาน การควบคมุ ทสี่ าคญั เทคนิคการทดสอบ 29

 Purchasing Risks ความเสย่ี งของการจดั ซ้อื1. ปญั หาการใสข่ อ้ มลู และการแกไ้ ขขอ้ มลู Purchasing ไม่ถกู ตอ้ ง อาจทาใหเ้กดิความเสย่ี ง ไดแ้ ก่ การไดร้ บั สนิ คา้ ไมถ่ กู ตอ้ ง, ไมต่ รงเวลา รวมถงึ การจดั ซ้อื ทไ่ี มไ่ ดร้ บัการอนุมตั ทิ ถ่ี กู ตอ้ ง (Release Strategy)2. การรบั สนิ คา้ ทไ่ี มต่ รงกบั ใบสงั่ ซ้อืจานวนสนิ คา้ และ/หรอื ชนิดสนิ คา้ ไมต่ รงกบั ใบสงั่ ซ้อื3. การส่งคนื สนิ คา้ ให้ Supplier ลา่ ชา้ หรอื ไม่เป็นไปตามกาหนดเวลาPage 124Book: Security , Audit and Control Features SAP R/3, 2nd Edition 30

Page 125 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Purchasing Key Controls 1. ปญั หาการใส่ขอ้ มลู และการแกไ้ ขขอ้ มลู Purchasing Key Controls ไดแ้ ก่ : - จากดั ผูร้ บั ผดิ ชอบในการสรา้ ง,แกไ้ ขขอ้ มลู และการยกเลกิ การจดั ซ้อื - กาหนด Source list of Material ตาม Vendor approval list - ใช้ SAP R/3 Release Strategy 2. การรบั สนิ คา้ ทไ่ี มต่ รงกบั ใบสงั่ ซ้อื Key Controls ไดแ้ ก่ : - ตรวจสอบการสอบทานรายงานการรบั สนิ คา้ ทผ่ี ดิ ปกติ เช่น รายการรบั สนิ คา้ ทไ่ี มม่ ใี บสงั่ ซ้อื - จากดั ผูร้ บั ผดิ ชอบในการป้อนขอ้ มลู , การแกไ้ ข หรอื การยกเลกิ รายการรบั สนิ คา้ 3. การส่งคนื สนิ คา้ ให้ Supplier ลา่ ชา้ หรอื ไมเ่ ป็นไปตามกาหนดเวลา Key Controls ไดแ้ ก่ : - ตรวจสอบกระบวนการสง่ คนื สนิ คา้ และรายงานการสง่ คนื สนิ คา้ จากระบบ 31

Page 125 - 127 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Purchasing Testing Techniques เทคนคิ การทดสอบการจดั ซ้อื ในระบบ 1. ตรวจสอบ User access to PR/PO transaction วา่ เป็นไปตามนโยบายบรษิ ทั หรอื ไม่ 2. ตรวจสอบ Approval source list of materials and Approval Vendor Lists 3. ตรวจสอบการกาหนดค่าควบคมุ ในระบบ (Configurable Control settings) ในการกาหนด Release Strategy รวมถงึ การตรวจสอบใหเ้ป็นไปตามนโยบายบรษิ ทั ดว้ ย 4. การตรวจสอบรายชอ่ื และเหตผุ ลของ Vendor ทม่ี กี ารคา้ งจ่ายเงนิ เป็นเวลานาน (Program RM06EM00) 5. ตรวจสอบรายการสนิ คา้ ทต่ี อ้ งสง่ คนื Vendor (Transaction MB51; specify Storage location & movement type) 32

Expenditures Cycle 1. Master data maintenance 2. Purchasing 3. Invoice Processing 4. Processing Disbursements การตรวจสอบระบบ SAP R/3 Risks Key Controls Testing Techniquesการวเิ คราะห์ความเส่ียงของระบบงาน การควบคมุ ทสี่ าคญั เทคนิคการทดสอบ 33

 Invoice Processing Risks ความเสย่ี งของการตง้ั หน้คี ่าสนิ คา้ /บรกิ าร 1. จานวนเงนิ ทจ่ี ะบนั ทกึ เป็นเจา้ หน้ี ไมเ่ ป็นไปตามจานวนสนิ คา้ หรอื บรกิ ารทบ่ี รษิ ทั ไดร้ บั 2. จานวนเงนิ ทบ่ี นั ทกึ ไมถ่ กู ตอ้ ง หรอื บนั ทกึ ไมต่ รงตามงวดเวลา 3. ใบลดหน้หี รอื รายการปรบั ปรุง บนั ทกึ ไมถ่ กู ตอ้ ง หรอื บนั ทกึ ไมต่ รงตาม งวดเวลาPage 127Book: Security , Audit and Control Features SAP R/3, 2nd Edition 34

Page 125 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Invoice Processing Key Controls1. จานวนเงนิ ทจ่ี ะบนั ทกึ เป็นเจา้ หน้ี ไมเ่ ป็นไปตามจานวนสนิ คา้ หรอื บรกิ ารทบ่ี รษิ ทั ไดร้ บัKey Controls ไดแ้ ก่ :- จากดั ผูร้ บั ผดิ ชอบในการ input ขอ้ มลู , การแกไ้ ข, การยกเลกิ หรอื การอนุมตั จิ ่ายเงนิ โดยผูท้ าหนา้ ทด่ี งั กลา่ วไม่ควรเป็นคนเดยี วกนั กบั ผูท้ อ่ี อก ใบสงั่ ซ้อื (PO) และ/หรอื ผูท้ ท่ี าหนา้ ทร่ี บั สนิ คา้ (GR)2. จานวนเงนิ ทบ่ี นั ทกึ ไมถ่ กู ตอ้ ง หรอื บนั ทกึ ไมต่ รงตามงวดเวลาKey Controls ไดแ้ ก่ :- กาหนดค่าควบคุมในระบบ (Configurable Control settings) > Three-way match process; (Purchase Order, Goods Receipts and Invoice) and posting period control- กาหนดค่าควบคุมในระบบสาหรบั ค่า Tolerance limits และบญั ชี GR/IR- ตรวจสอบรายงานใบสงั่ ซ้อื ทเ่ี กินกาหนดเวลาอย่างสมา่ เสมอ- จากดั ผูร้ บั ผดิ ชอบในการบนั ทกึ Exchange rate3. ใบลดหน้ีหรอื รายการปรบั ปรงุ บนั ทกึ ไมถ่ กู ตอ้ ง หรอื บนั ทกึ ไมต่ รงตามงวดเวลาKey Controls ไดแ้ ก่ :- จากดั ผูร้ บั ผดิ ชอบในการ input ขอ้ มลู , การแกไ้ ข, การยกเลกิ หรอื การอนุมตั ใิ บลดหน้ีค่าสนิ คา้ 35

Page 127 - 129 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Invoice Processing Testing Techniques 1. ตรวจสอบ User access authorization – Invoice Processing 2. ตรวจสอบการกาหนดค่า GR/IR control indicator (globally required) 3. ตรวจสอบการกาหนดค่าควบคมุ ในระบบ (Configurable Control settings) สาหรบั ค่า Tolerance limits และ Message control โดยรวมถงึ การตรวจสอบ ใหเ้ป็นไปตามนโยบายบรษิ ทั ดว้ ย 4. การตรวจสอบยอดคงเหลอื ของบญั ชี GR/IR (Program RM06EM00) 5. ตรวจสอบรายงานใบสงั่ ซ้อื ทเ่ี กนิ กาหนดเวลา (PO Outstanding) – Program RM06EM00 6. ตรวจสอบรายงานการแกไ้ ข Exchange rate 36

Expenditures Cycle 1. Master data maintenance 2. Purchasing 3. Invoice Processing 4. Processing Disbursements Risks การทดสอบระบบ SAP R/3 Testing Techniquesการวเิ คราะห์ความเส่ียงของระบบงาน เทคนิคการทดสอบ Key Controls การควบคมุ ทสี่ าคญั 37

Page 129 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Processing Disbursement Risks ความเสย่ี งของการจ่ายเงนิ ค่าสนิ คา้ /บรกิ าร ไดแ้ ก่ 1. การอนุมตั จิ ่ายเงนิ ใหก้ บั เจา้ หน้ีทไ่ี ม่มตี วั ตน 2. จานวนเงนิ ทจ่ี ่ายไมถ่ กู ตอ้ ง หรอื จ่ายเงนิ โดยยงั ไมไ่ ดร้ บั สนิ คา้ 3. การจ่ายเงนิ โดยหลกี เลย่ี งการบนั ทกึ เขา้ ระบบ 38

Page 129 Book: Security , Audit and Control Features SAP R/3, 2nd Edition Processing Disbursement Key controls จดุ ควบคมุ ทส่ี าคญั เร่อื ง Invoice Processing 1. จากดั ผูร้ บั ผดิ ชอบในการทา Payment run ในระบบ ควรมกี ารจากดั ผูร้ บั ผดิ ชอบในการแกไ้ ขการทารายการจ่ายเงนิ ในระบบ (Payment run parameter) หรอื จากดั จานวนคนทส่ี ามารถทารายการจ่ายเงนิ ในระบบได้ 2. จากดั ผูร้ บั ผดิ ชอบในการ Release blocked invoice ควรมกี ารกาหนด/จากดั ผูท้ ส่ี ามารถปลด lock การจ่ายเงนิ สาหรบั invoice ทถ่ี กู block for payment ไว้ ทงั้ การปลด lock เป็นราย invoice และราย vendor 39

-3 -SAP R/3 Authorization Concept andSegregation Of Duties 40

User Master Record SAP Security CheckProfile Authorisations and Field Values 41

 SAP มกี ารควบคุมการรกั ษาความปลอดภยั ในระดบั ต่าง ๆ ดงั น้ี ระดบั 1: User ID Access (User master record) ระดบั 2: Transaction code access (Example: PFCG; FB01; VA01) ระดบั 3: Authorisation access (Example: S_TABU_CLI; F_BKPF_BUK) User Master Record Activity Group/Profile Authorisation Object Field Values 42

Security DynamicsExecute S_TCODE PASSTransaction FAIL Check Object PASS ERROR MESSAGE FAIL ERROR MESSAGE ABAP PROGRAM Authorisation Object 1 ERROR MESSAGE FAIL PASS Authorisation Object 2 ERROR MESSAGE FAIL PASS Authorisation Object . . . 43

User Master Record Profile Composite Role Single Role Single Role Single Role Profile Profile ProfileAuthorisation Authorisation AuthorisationAuthorisation object Authorisation objectField Field Field Field(Values) (Values) (Values) (Values) 44

การแบง่ แยกหนา้ ทจ่ี ะสามารถลดโอกาสของการเกดิ ขอ้ ผดิ พลาดในการปฏบิ ตั งิ านโดยแบง่ แยกกระบวนการทางานไปยงั บคุ คลทต่ี ่างกนั ในแต่ละช่วงเวลาของกระบวนการ โดยปกตจิ ะแบง่ แยกโดย Approval (RA) Custody (AA) Recording / Transaction processing (TP) Control (CO) 45สาหรบั ระบบ ERP มกี ารแบง่ แยกหนา้ ทง่ี านอกี ชนิดหน่งึ ทตี อ้ งคานึงถงึ นนั่ คอื Access to master data maintenance (MD)

Business Process - Segregation Of Duties AnalysisPURCHASE TO PAY - Purchasing ACTIVITIES / RESPONSIBILITIES Authorization Custody of assets Recording Control activityIssues purchase requisitions ME51 - ME52Approves purchase ME55requisitionsIssues purchase order ME21 ME22(including Sub-contractors) ME25 ME31 ME31K ME31LApproves purchase orders ME28 ME35 ME32 MEK ME35K ME35L ME32LApproves access to purchase- Business Process MRRL MRRSrelated data filesPrepares/issues debit memosto vendors 46

47

คลกิ เพอ่ื แสดง transaction code ทก่ี ำหนดไว้ 48

49

-4- แนวทางการตรวจสอบใหมๆ่สาหรบั ระบบ SAP R/3 และ ERP System 50