关注ERP审计

mzgcareer

erp服务咨询不应该只是简单的安装、部署、培训，如果这样，这就是一个三流的工作，sap实施为什么那么贵，就是公司也希望通过实施sap达到企业资源整合和优化。但是，很多sap咨询顾问始终局限于简单的实施，把完成项目作为第一目标，不理项目的质量。我曾共事的一位上海的sap咨询顾问（来自一外包公司），对sap实施工作敷衍了事，引起客户极大愤慨。
-------权当发牢骚，我实施完目前为止唯一的一个sap项目后，实在对这般从事sap实施的前辈印象很是不好（我只接触了几个，当然不能一棒子打死一群人，相信大部分顾问是优秀并付责任的），一怒之下，转作审计。
~~牢骚漫天啊

谢谢前辈们的sap审计思路，为我开拓了视野，又一次让我有站在巨人肩膀上的感觉

xrlsy

"不要把SAS想得太难，作为应用，为什么一定要去编程呢？每个人都去编程，那软件公司吃啥？也并不一定要有多么强的统计功底，只要懂业务，有点统驭规划方面的能力就能够掌握了， 基本都是group by，sum，count 的东西。step by step, 入门以后努力学习自然就好了"此话引至楼上的兄台。如果说仅仅是简单的数学统计那完全而可以用Excel，犯不着弄个SAS.把事情处理的简单更好操作。

mzgcareer

哥们，excel处理一般数据量小，字段数也少的表格确实是很好的工具。但说到处理大数据还是有必要使用专业工具的，否则oracle， sybase等数据库供应商就先要去喝西北风了

xrlsy

爷们，SQL Server也是数据库好吧，人家也提供数据挖掘的解决方案哦。为这些具体的处理技术争论有啥意思，干点该干的。

zyboy1978

lz说的这种关于ERP审计，其实主要就是针对业务进行审计，四大一直都在做，但是大家都不是专门从事erp系统设计或者说是建立者，所以都有些疏漏，再所难免。

juvenzeng

原帖由 jeff_wu 于 2008-4-28 10:29 发表
楼上在ACL啊? 以前试图自学ACL，当然，没想达到专家级别，但发现ACL挺难学的，不是很用户友好。就放弃了。

ACL的卖点就是有审计线索，以及数据倒入后不能再修改。但是为了这个特点就牺牲用户友好性，挺可惜的。我碰到一个ERP软件，如果要做DATA LEVEL VALIDATION，第一选择肯定是直接从DB里抓数，写几句SQL比写ACL SCRIPT省下的时间和精力可多不少。

另外，ACL早该做产品、行业解决方案了。我们公司自己就有用ACL写好的SAP, ORACLE ERP审计脚本，也有看SAP DIRECT DATA ACCESS相关风险的工具，不过对使用者要求太高。 要是ACL早作产品和行业方案，可能推广会更快些。

ANYWAY，楼上SHARE的资料，简单说了一下ACL通过SAP DIRECT DATA ACCESS实现AUTOMATED TESTING/REPORTING和持续审计，学习一下。如果能从设计角度更深入介绍SAP的权限审计、配置审计、BASIS安全审计等在ACL的实现方法，就更好些。 谢谢！

您的想法确实很好，ACL确实在这方面做过努力，他们推出过CCM（Continuous Controls Monitoring）解决方案，但是由于涉及的行业太多，今年开始逐渐停掉了这一解决方案，加强了审计数据分析管理方面的产品，今年已经推出了AuditExchange。

我确实在做ACL，最近两年接触了很多国内客户，确实感受到ACL前期学习成本很高，我们也在想办法改进。

关于您提到的从Database中获取数据，其实在ACL中还是比较简单的，也不需要写ACLScript，直接在程序界面就能完成，如果以后需要重复使用，在Log里面直接将取数的命令保存成Script就可以了。如果采用ACL Server，从Database中获取数据效率将会更高，支持从Oracle、DB2、SQL Server中直接获取数据，只需简单访问权限配置，而不是通过ODBC方式。今年推出AuditExchange后，OEM了其他厂商的产品，将会对其他常用数据库的支持。

使用ACL获取数据很难的是导入Report形式的数据文件。

具体到SAP ERP审计，据在ACL 2008年用户大会上SIEMENS的反映，他们到现在为止仍旧没有完全弄清楚，确实是比较难的课题。
我尝试去找下关于SAP的权限审计、配置审计等资料。

一点认识，供大家参考。

jeff_wu

谢谢回复！我的想法见蓝色lightlight部分

您的想法确实很好，ACL确实在这方面做过努力，他们推出过CCM（Continuous Controls Monitoring）解决方案，但是由于涉及的行业太多，今年开始逐渐停掉了这一解决方案，加强了审计数据分析管理方面的产品，今年已经推出了AuditExchange。

首先， CCM和行业解决方案不是一类概念。但既然提到CCM， 就多说两句。 行话叫Continuous Audit，我相信Continuous audit应该是审计软件的未来方向。当然不同行业，应用的程度，先后，都有不同，银行、保险等金融服务行业的应用已经到一定程度了。

其次，为什么要提供行业或者说基于不同应用软件的方案？ 简单的说，就是因为审计软件说白了也就是个数据分析工具。你不提供分软件的解决方案，不同软件的data model，字段、data flow都不一样，实施的时候不管是顾问还是企业都会面临很大困难。

把话题扯远一点。 其实审计软件也好，统计软件、商务智能也好，都是数据分析。看数据的角度不同，提取信息的目的不同而已。不管是ACL, COGNOS, BRIO, BO, 还是SAS，开始都是数据分析起家的，然后在产品应用方面分别找自己的nicke market。 我们且试试他山之石，是不是可以攻玉。 从商务智能的发展历程，尝试着来看审计软件的未来。

阶段一、从数据分析的角度出发，开发出适用的、灵活的数据分析功能；
阶段二、提供与各软件产品（SAP / ORACLE / PPLSOFT / JDE）无缝集成的解决方案，以面对各软件厂商自己开发的BI产品；
阶段三、随着企业对BI的应用不断加大，应用软件商们看到了这里的利润空间，因此BI业进入混战的三国时代，主流的BI产品现在已经基本被应用软件商(SAP)及软件鲨鱼们(ORACLE、IBM)兼并一空。

看看商务智能产品的今天，就是审计软件的明天。现在趋势已经很明显了，SAP, ORACLE都在做基于自己的审计解决方案，几年前SAP并购了一家专门做SAP 审计软件的公司， ORACLE有自己的Interal control manager模块。等到他们发现企业在这一领域的需求越来越大，不管是出于抢市场、还是恶意竞争的目的，他们也许就要考虑并购审计软件工具了。

那么，审计软件是不是啥都不用做了，等着并购呢。我觉得不会，应该会更迅速的扩大市场份额，加大被并购时的砝码。如何扩大市场份额，一个方法就是设计和实施PRODUCT-BASED的解决方案啦。


我确实在做ACL，最近两年接触了很多国内客户，确实感受到ACL前期学习成本很高，我们也在想办法改进。

关于您提到的从Database中获取数据，其实在ACL中还是比较简单的，也不需要写ACLScript，直接在程序界面就能完成，如果以后需要重复使用，在Log里面直接将取数的命令保存成Script就可以了。如果采用ACL Server，从Database中获取数据效率将会更高，支持从Oracle、DB2、SQL Server中直接获取数据，只需简单访问权限配置，而不是通过ODBC方式。今年推出AuditExchange后，OEM了其他厂商的产品，将会对其他常用数据库的支持。

SORRY，这里我没有表达清楚，我想说的是抓出来后的数据分析，写SQL比写ACL SCRIPT容易的多。一些银行现在的IT AUDIT部门还在拿SQL抓数然后分析。

使用ACL获取数据很难的是导入Report形式的数据文件。

具体到SAP ERP审计，据在ACL 2008年用户大会上SIEMENS的反映，他们到现在为止仍旧没有完全弄清楚，确实是比较难的课题。
我尝试去找下关于SAP的权限审计、配置审计等资料。

这方面我们可以探讨，我们公司对SAP, ORACLE, JDE, PPLSOFT都有权限和配置的审计工具软件。ORACLE的审计工具我就用过，JDE我做过实施，对底层表比较熟悉。SAP只是ONLINE审核过配置和权限，没RUN过SCRIPTS。

多问一句，除了ERP审计的方案， ACL有没有针对不同数据库和操作系统可以抓出安全相关配置的方案？ 谢谢！

juvenzeng

原帖由 jeff_wu 于 2008-5-1 20:03 发表
首先， CCM和行业解决方案不是一类概念。但既然提到CCM， 就多说两句。 行话叫Continuous Audit，我相信Continuous audit应该是审计软件的未来方向。当然不同行业，应用的程度，先后，都有不同，银行、保险等金融服务行业的应用已经到一定程度了。

其次，为什么要提供行业或者说基于不同应用软件的方案？ 简单的说，就是因为审计软件说白了也就是个数据分析工具。你不提供分软件的解决方案，不同软件的data model，字段、data flow都不一样，实施的时候不管是顾问还是企业都会面临很大困难。

把话题扯远一点。 其实审计软件也好，统计软件、商务智能也好，都是数据分析。看数据的角度不同，提取信息的目的不同而已。不管是ACL, COGNOS, BRIO, BO, 还是SAS，开始都是数据分析起家的，然后在产品应用方面分别找自己的nicke market。 我们且试试他山之石，是不是可以攻玉。 从商务智能的发展历程，尝试着来看审计软件的未来。

阶段一、从数据分析的角度出发，开发出适用的、灵活的数据分析功能；
阶段二、提供与各软件产品（SAP / ORACLE / PPLSOFT / JDE）无缝集成的解决方案，以面对各软件厂商自己开发的BI产品；
阶段三、随着企业对BI的应用不断加大，应用软件商们看到了这里的利润空间，因此BI业进入混战的三国时代，主流的BI产品现在已经基本被应用软件商(SAP)及软件鲨鱼们(ORACLE、IBM)兼并一空。

看看商务智能产品的今天，就是审计软件的明天。现在趋势已经很明显了，SAP, ORACLE都在做基于自己的审计解决方案，几年前SAP并购了一家专门做SAP 审计软件的公司， ORACLE有自己的Interal control manager模块。等到他们发现企业在这一领域的需求越来越大，不管是出于抢市场、还是恶意竞争的目的，他们也许就要考虑并购审计软件工具了。

那么，审计软件是不是啥都不用做了，等着并购呢。我觉得不会，应该会更迅速的扩大市场份额，加大被并购时的砝码。如何扩大市场份额，一个方法就是设计和实施PRODUCT-BASED的解决方案啦。

多谢回复！

你公司SAP、Oracle、JDE、PeopleSoft等系统都有啊？
怎么上了这么多系统？

非常认同你的看法，现在比较大的困难是对行业的了解。

在北京吗？有空可以一起聊聊。
MSN：juvenzeng@hotmail.com

jeff_wu

原帖由 juvenzeng 于 2008-5-4 20:26 发表


多谢回复！

你公司SAP、Oracle、JDE、PeopleSoft等系统都有啊？
怎么上了这么多系统？

非常认同你的看法，现在比较大的困难是对行业的了解。

在北京吗？有空可以一起聊聊。
MSN：juvenzeng@hotmail.com

我在事务所。工作中会接触多一些系统。

已加msn。

mzgcareer

首先， CCM和行业解决方案不是一类概念。但既然提到CCM， 就多说两句。 行话叫Continuous Audit，我相信Continuous audit应该是审计软件的未来方向。当然不同行业，应用的程度，先后，都有不同，银行、保险等金融服务行业的应用已经到一定程度了。

其次，为什么要提供行业或者说基于不同应用软件的方案？ 简单的说，就是因为审计软件说白了也就是个数据分析工具。你不提供分软件的解决方案，不同软件的data model，字段、data flow都不一样，实施的时候不管是顾问还是企业都会面临很大困难。

把话题扯远一点。 其实审计软件也好，统计软件、商务智能也好，都是数据分析。看数据的角度不同，提取信息的目的不同而已。不管是ACL, COGNOS, BRIO, BO, 还是SAS，开始都是数据分析起家的，然后在产品应用方面分别找自己的nicke market。 我们且试试他山之石，是不是可以攻玉。 从商务智能的发展历程，尝试着来看审计软件的未来。

阶段一、从数据分析的角度出发，开发出适用的、灵活的数据分析功能；
阶段二、提供与各软件产品（SAP / ORACLE / PPLSOFT / JDE）无缝集成的解决方案，以面对各软件厂商自己开发的BI产品；
阶段三、随着企业对BI的应用不断加大，应用软件商们看到了这里的利润空间，因此BI业进入混战的三国时代，主流的BI产品现在已经基本被应用软件商(SAP)及软件鲨鱼们(ORACLE、IBM)兼并一空。

看看商务智能产品的今天，就是审计软件的明天。现在趋势已经很明显了，SAP, ORACLE都在做基于自己的审计解决方案，几年前SAP并购了一家专门做SAP 审计软件的公司， ORACLE有自己的Interal control manager模块。等到他们发现企业在这一领域的需求越来越大，不管是出于抢市场、还是恶意竞争的目的，他们也许就要考虑并购审计软件工具了。

那么，审计软件是不是啥都不用做了，等着并购呢。我觉得不会，应该会更迅速的扩大市场份额，加大被并购时的砝码。如何扩大市场份额，一个方法就是设计和实施PRODUCT-BASED的解决方案啦
－－－－－实在是佩服，能将审计软件这个行业分析得这么透。
SORRY，这里我没有表达清楚，我想说的是抓出来后的数据分析，写SQL比写ACL SCRIPT容易的多。一些银行现在的IT AUDIT部门还在拿SQL抓数然后分析。
－－－我现在就在使用sql server直接从oracle活excel中抓数据。难得碰到你这样的专家，能给我们多讲讲，在我们将数据抓过来后，审计时有那些方法和技巧吗？比如重号分析、段号分析。现在我们更关注的应该时一个公司的效益，请问怎样审计效率比较高？如果能够举一个例子那就更好了。（我们面临的是制造业，如在财务、物流、销售、库存、采购等方面怎样去审计？）
－－－目前我把数据抓取过来后，只能看看某些业务数据、每个产品几年的一个趋势，总收入产品的结构进行分析，财务数据中主营业务收入与成本在几年、几十个月的一个趋势比较分析，以及与业务数据的一个比较分析。但感觉还是很虚很乱，没有一个系统方法，抓不到数据的根本？能跟我说说你们审计时是怎样一个具体的过程吗？
－－－万分感激