ΕΛΕΓΚΤΙΚΗ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ- Η ΠΕΡΙΠΤΩΣΗ ΤΟΥ ERP ΣΥΣΤΗΜΑΤΟΣ SAP

Transcript

1 ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ ΠΟΛΥΤΕΧΝΙΚΗ ΣΧΟΛΗ Π.Μ.Σ: «ΔΙΟΙΚΗΣΗ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ» ΕΛΕΓΚΤΙΚΗ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ- Η ΠΕΡΙΠΤΩΣΗ ΤΟΥ ERP ΣΥΣΤΗΜΑΤΟΣ SAP Επίκουρος Καθηγητής Δρ. Ευριπίδης Λουκής Φοιτητής Σιμιτός Αδάμ (323Μ/ )

2 ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ ΠΟΛΥΤΕΧΝΙΚΗ ΣΧΟΛΗ ΤΜΗΜΑ ΜΗΧΑΝΙΚΩΝ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΚΑΙ ΕΠΙΚΟΙΝΩΝΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Ελεγκτική Πληροφοριακών Συστημάτων- Η Περίπτωση του ERP Συστήματος SAP Η Διπλωματική Εργασία παρουσιάστηκε ενώπιον του Διδακτικού Προσωπικού του Πανεπιστημίου Αιγαίου Σε Μερική Εκπλήρωση των Απαιτήσεων για το Μεταπτυχιακό Δίπλωμα του Μηχανικού Πληροφοριακών και Επικοινωνιακών Συστημάτων του ΑΔΑΜ ΣΙΜΙΤΟΥ Χειμερινό Εξάμηνο

3 Η ΤΡΙΜΕΛΗΣ ΕΠΙΤΡΟΠΗ ΔΙΔΑΣΚΟΝΤΩΝ ΕΓΚΡΙΝΕΙ ΤΗ ΔΙΠΛΩΜΑΤΙΚΗ ΕΡΓΑΣΙΑ ΤΟΥ ΑΔΑΜ ΣΙΜΙΤΟΥ: ΛΟΥΚΗΣ ΕΥΡΥΠΙΔΗΣ, Επιβλέπων Επίκουρος Καθηγητής Τμήμα Μηχανικών Πληροφοριακών και Επικοινωνιακών Συστημάτων ΚΟΚΟΛΑΚΗΣ ΣΠΥΡΙΔΩΝ, Μέλος Επίκουρος Καθηγητής Τμήμα Μηχανικών Πληροφοριακών και Επικοινωνιακών Συστημάτων KΑΡΥΔΑ ΜΑΡΙΑ, Μέλος Λέκτορας Τμήμα Μηχανικών Πληροφοριακών και Επικοινωνιακών Συστημάτων ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ ΧΕΙΜΕΡΙΝΟ ΕΞΑΜΗΝΟ

4 Copyright Σιμιτός Αδάμ, 2010 Με επιφύλαξη παντός δικαιώματος. All rights reserved Απαγορεύεται η αντιγραφή, ανατύπωση, αποθήκευση και διανομή (με κάθε μέσο: ηλεκτρονικό, μηχανικό, φωτοαντιγραφικό) του συνόλου ή μέρους της παρούσας μεταπτυχιακής διπλωματικής εργασίας, χωρίς την άδεια του συγγραφέα ή του επιβλέποντος καθηγητή. 4

5 ΠΕΡΙΛΗΨΗ Με τη ραγδαία ανάπτυξη της τεχνολογίας πληροφορικής, σχεδόν όλες οι επιχειρήσεις εξαρτώνται από Πληροφοριακά Συστήματα, προκειμένου να διεκπεραιώσουν τις λειτουργίες τους και να επεξεργαστούν τις βασικές πληροφορίες τους. Ως αποτέλεσμα, η διασφάλιση της ορθής λειτουργίας των πληροφοριακών συστημάτων και της αξιοπιστίας των δεδομένων κρίνεται απαραίτητη. Η Ελεγκτική Πληροφοριακών Συστημάτων είναι ένα μέρος της γενικότερης ελεγκτικής που ασχολείται με τον έλεγχο Τεχνολογιών Πληροφορικής και Επικοινωνιών [1]. Οι ελεγκτές καλούνται να εκτιμήσουν την αξιοπιστία των παραγόμενων του ΠΣ δεδομένων ή την ακρίβεια των υφιστάμενων ελέγχων των συστημάτων, ώστε να μειωθεί ο κίνδυνος απώλειας αυτών (των δεδομένων) λόγω σφαλμάτων, απάτης, παράνομων δραστηριοτήτων, ατυχημάτων κτλ. Η SAP είναι μία από τις ηγετικές εταιρείες παροχής επιχειρηματικού λογισμικού παγκοσμίως. Στόχος του SAP audit είναι η αποτίμηση της συνολικής λειτουργικής κατάστασης του SAP συστήματος και της επίδοσής του στην υποστήριξη του οργανισμού. Επίσης, ελέγχεται το επίπεδο ασφάλειας, που παρέχει το σύστημα, καθώς και η πρόσβαση των χρηστών. Επιτελούνται λειτουργικές και τεχνικές αναλύσεις στο σύστημα κατά τις οποίες εντοπίζονται ευκαιρίες για μελλοντική βελτίωση. Η ελεγκτική στο SAP βελτιώνει την αποδοτικότητα του ERP, ώστε αυτό να παρέχει καλύτερες υπηρεσίες στη επιχείρηση/ οργανισμό. ΣΙΜΙΤΟΣ ΑΔΑΜ Τμήμα Μηχανικών Πληροφοριακών και Επικοινωνιακών Συστημάτων ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ

6 ABSTRACT As computer technology has advanced, almost all enterprises have become increasingly dependent on information systems to carry out their operations and to process essential information. As a result, assuring the functioning of the information systems and the reliability of data is necessary. IS auditing is a branch of general auditing concerned with governance (control) of information and communication technologies [1]. Auditors may need to evaluate the reliability of computer generated data or to evaluate the adequacy of controls in systems to reduce the risk of data loss due to errors, fraud, and other illegal acts and disasters. SAP has become one of the leading suppliers of integrated business standard software world wide. Τhe goal of the SAP audit is the evaluation of the overall operational status of the SAP system and the estimation of system s performance in organization support. Furthermore, the security level of the system and the users access are checked. Functional and technical analyses of the system are carried out in which opportunities for future improvement are identified. SAP auditing improves ERP efficiency, so as the latter offers better services to the enterprise/ organism. ADAM SIMITOS Department of Information and Communication Systems Engineering UNIVERSITY OF THE AEGEAN

7 ΕΥΧΑΡΙΣΤΙΕΣ Αρχικά, θα ήθελα να ευχαριστήσω τον επιβλέποντα καθηγητή μου, κ. Ευριπίδη Λουκή, που μου εμπιστεύτηκε την παρούσα μεταπτυχιακή διπλωματική εργασία. Η συμβολή του υπήρξε καθοριστική, με την κατάλληλη καθοδήγηση και βοήθεια, καθ όλη τη διάρκεια εκπόνησής της. Επίσης, θα ήθελα να ευχαριστήσω τον συνεπιβλέποντα καθηγητή κ. Απόστολο Ανδριτσάκη για την εξαίρετη συνεργασία που είχαμε, στα πλαίσια της πρακτικής μου άσκησης στην «Εθνική Ασφαλιστική», και για τις συμβουλές που μου παρείχε. Επιπλέον, ευχαριστώ όλους τους συμφοιτητές μου από το μεταπτυχιακό πρόγραμμα σπουδών για τη δημιουργική και εποικοδομητική ακαδημαϊκή χρονιά που είχαμε. Τέλος, ευχαριστώ πολύ την οικογένεια μου για τη διαρκή υποστήριξη που μου παρείχε και επέτρεψε την επιτυχή διεκπεραίωση των σπουδών μου. 7

8 ΠΕΡΙΕΧΟΜΕΝΑ ΠΕΡΙΛΗΨΗ 5 ABSTRACT 6 ΕΥΧΑΡΙΣΤΙΕΣ 7 ΠΕΡΙΕΧΟΜΕΝΑ 8 ΚΑΤΑΛΟΓΟΣ ΠΙΝΑΚΩΝ 15 ΚΑΤΑΛΟΓΟΣ ΕΙΚΟΝΩΝ 16 1 ΕΙΣΑΓΩΓΗ ΣΚΟΠΟΣ ΕΡΓΑΣΙΑΣ ΜΕΘΟΔΟΛΟΓΙΑ ΕΡΓΑΣΙΑΣ ΔΟΜΗ ΕΡΓΑΣΙΑΣ ΠΛΗΡΟΦΟΡΙΑΚΑ ΣΥΣΤΗΜΑΤΑ ΠΡΟΓΡΑΜΜΑΤΙΣΜΟΥ ΕΠΙΧΕΙΡΗΣΙΑΚΩΝ ΠΟΡΩΝ (ERP) ΟΡΙΣΜΟΣ ΤΩΝ ERP ΙΣΤΟΡΙΚΗ ΑΝΑΔΡΟΜΗ Η ΛΕΙΤΟΥΡΓΙΚΗ ΔΟΜΗ ΤΩΝ ERP ΒΑΣΙΚΕΣ ΙΔΙΟΤΗΤΕΣ ΥΠΑΡΧΟΝΤΩΝ ΠΑΚΕΤΩΝ ERP ΚΡΙΣΙΜΟΙ ΠΑΡΑΓΟΝΤΕΣ ΕΠΙΤΥΧΙΑΣ ΕΡΓΩΝ ERP ΤΡΟΠΟΙ ΥΛΟΠΟΙΗΣΗΣ ΤΩΝ ΣΥΣΤΗΜΑΤΩΝ Ο ρόλος του συμβούλου υλοποίησης ΤΕΧΝΟΛΟΓΙΚΗ ΥΠΟΔΟΜΗ ΕΝΟΣ ERP Τεχνικά χαρακτηριστικά των ERP Η Αρχιτεκτονική Client/Server Βάσεις δεδομένων και εργαλεία ΓΙΑΤΙ ΕΙΝΑΙ ΑΝΑΓΚΑΙΑ ΤΑ ERP; ΠΛΕΟΝΕΚΤΗΜΑΤΑ ΚΑΙ ΜΕΙΟΝΕΚΤΗΜΑΤΑ ΤΩΝ ERP

9 2.9.1 Πλεονεκτήματα των ERP Μειονεκτήματα του ERP ΕΙΣΑΓΩΓΗ ΣΤΗΝ ΕΛΕΓΚΤΙΚΗ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΔΙΑΣΤΑΣΕΙΣ ΤΗΣ ΑΣΦΑΛΕΙΑΣ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Εμπιστευτικότητα (Confidentiality) Ακεραιότητα (Integrity) Διαθεσιμότητα (Availability) Η ΑΝΑΓΚΗ ΓΙΑ ΕΛΕΓΧΟ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΣΤΑΔΙΑ ΚΑΙ ΑΝΤΙΚΕΙΜΕΝΟ ΤΟΥ ΕΛΕΓΧΟΥ ΣΤΟΧΟΙ ΤΟΥ ΕΛΕΓΧΟΥ ΒΑΣΙΚΟΙ ΟΡΙΣΜΟΙ ΕΛΕΓΚΤΙΚΗΣ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΤΥΠΟΙ ΕΛΕΓΚΤΩΝ Εσωτερικοί Ελεγκτές Εξωτερικοί Ελεγκτές ΒΑΣΙΚΕΣ ΕΝΝΟΙΕΣ ΕΛΕΓΚΤΙΚΗΣ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΣΗΜΑΣΙΑ ΤΟΥ ΕΛΕΓΧΟΥ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Κόστος από ανασφαλή λήψη αποφάσεων Κόστος από απώλεια δεδομένων Κόστος από αναποτελεσματική χρήση του Πληροφοριακού Συστήματος Κόστος από κατάχρηση του Πληροφοριακού Συστήματος Κόστος απώλειας εμπιστευτικότητας και ιδιωτικότητας των δεδομένων Κόστος από εσφαλμένη λειτουργία του Πληροφοριακού Συστήματος ΧΑΡΑΚΤΗΡΑΣ ΤΟΥ ΕΛΕΓΧΟΥ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Η ΛΕΙΤΟΥΡΓΙΑ ΤΟΥ ΕΛΕΓΧΟΥ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ

10 4.3.1 Οργάνωση του ελέγχου Πληροφοριακών Συστημάτων Διαχείριση ελεγκτικών πόρων Σχεδιασμός ελέγχου Πληροφοριακών Συστημάτων Πλάνο Ελέγχου Έκταση Ελέγχου και Πλάνο Ελέγχου Νομικά και Κανονιστικά Θέματα κατά τον Σχεδιασμό του Ελέγχου Κίνδυνοι και ανάλυση επικινδυνότητας ΜΗΧΑΝΙΣΜΟΙ ΕΛΕΓΧΟΥ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Στόχοι των μηχανισμών ελέγχου Κατηγοριοποίηση ΔΙΕΞΑΓΩΓΗ ΕΛΕΓΧΟΥ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ Κατηγοριοποίηση των ελέγχων Πληροφοριακών Συστημάτων Μεθοδολογία Ελέγχου Τύποι προγραμμάτων ελέγχου Αναφορά Ελέγχου Αναφορά Διαδικασίας Ανταπόκριση στα προκαταρτικά ζητήματα του ελέγχου Ζητήματα διαπραγμάτευσης Διανομή αναφοράς Ανταπόκριση διοίκησης Περιορισμοί και κίνδυνοι του ελέγχου Πληροφοριακών συστημάτων 73 5 ΕΙΔΙΚΑ ΘΕΜΑΤΑ ΕΛΕΓΚΤΙΚΗΣ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΑΡΧΕΣ ΚΑΙ ΘΕΩΡΗΣΕΙΣ ΕΛΕΓΚΤΙΚΗΣ Ανεξαρτησία Αντικειμενικότητα/ Αμεροληψία Επαγγελματικός Σκεπτικισμός Εμπιστευτικότητα

11 5.1.5 Αποδεικτικά Στοιχεία Η ΣΥΜΠΕΡΙΦΟΡΑ ΤΗΣ ΕΠΙΧΕΙΡΗΣΗΣ Κατανόηση του αντικειμένου του ελέγχου Δουλεύοντας με τον ελεγκτή Δημιουργία του κατάλληλου περιβάλλοντος ελέγχου Τα «Πρέπει» και τα «Μη» ΤΟ ΠΛΑΙΣΙΟ COBIT ΓΕΝΙΚΑ COBIT ΚΑΙ ΕΛΕΓΚΤΙΚΗ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΠΛΑΙΣΙΟ ΑΝΑΦΟΡΑΣ ΣΚΟΠΟΙ ΕΛΕΓΧΟΥ ΠΕΡΙΟΡΙΣΜΟΙ ΚΑΙ ΙΔΙΑΙΤΕΡΟΤΗΤΕΣ ΤΟΥ COBIT SAP Η ΕΤΑΙΡΕΙΑ ΕΡΓΑΣΤΗΡΙΑ - ΘΥΓΑΤΡΙΚΕΣ ΣΤΡΑΤΗΓΙΚΕΣ ΣΥΝΕΡΓΑΣΙΕΣ Η SAP ΣΤΗΝ ΕΛΛΑΔΑ Ελληνικοποίηση ΟΙ ΠΕΛΑΤΕΣ ΣΤΗΝ ΕΛΛΑΔΑ TO SAP R/3 (ERP) Περιγραφή Τα πλεονεκτήματα του SAP R/ Αρχιτεκτονική του SAP R/ SAP R/3 ΚΑΙ ΕΛΕΓΚΤΙΚΗ ΣΥΝΑΦΕΙΑ ΕΛΕΓΧΟΥ ΠΕΡΙΒΑΛΛΟΝ ΕΓΚΑΤΑΣΤΑΣΗΣ ΚΑΙ ΛΕΙΤΟΥΡΓΙΑ

12 8.3 ΕΞΑΤΟΜΙΚΕΥΣΗ ΚΑΙ ΔΙΑΧΕΙΡΙΣΗ ΠΙΝΑΚΑ ΤΟ ΠΡΟΤΥΠΟ ΤΟΥ SAP R/3 ΕΝΑΝΤΙΑ ΣΤΗΝ ΤΡΟΠΟΠΟΙΗΣΗ ΤΟΥ ΠΗΓΑΙΟΥ ΚΩΔΙΚΑ ΕΝΙΣΧΥΣΗ ΤΟΥ ΣΥΣΤΗΜΑΤΟΣ SAP ΜΕ ΒΑΣΗ ΤΟΝ ΠΡΟΓΡΑΜΜΑΤΙΣΜΟ ABAP ΡΥΘΜΙΣΕΙΣ ΣΥΣΤΗΜΑΤΟΣ ΚΑΙ ΑΣΦΑΛΕΙΑ ΑΠΟΤΥΧΙΑ ΥΛΙΚΟΥ ΚΑΙ ΠΡΟΓΡΑΜΜΑΤΙΣΤΙΚΑ ΣΦΑΛΜΑΤΑ ΔΙΕΠΑΦΕΣ ΒΑΣΙΚΑ ΔΕΔΟΜΕΝΑ ΤΟΥ SAP ΕΠΙΘΕΩΡΗΣΗ ΔΙΕΡΓΑΣΙΑΣ ΚΑΙ ΣΥΝΘΕΤΗ ΕΝΟΠΟΙΗΣΗ ΕΠΙΠΕΔΑ ΕΛΕΓΧΟΥ ΠΡΟΣΤΑΣΙΑ ΤΩΝ LOG FILES ΔΙΑΜΟΡΦΩΣΗ ΑΣΦΑΛΕΙΑΣ ΣΕ SAP ΣΥΣΤΑΤΙΚΑ ΑΣΦΑΛΕΙΑΣ SAP UserID, password και κύρια εγγραφή χρήστη Η έννοια της εξουσιοδότησης SAP Κλάση Αντικειμένου Αντικείμενα Εξουσιοδότησης Εξουσιοδοτήσεις Προφίλ Σύνθετα Προφίλ Παραγόμενα Προφίλ Ρόλοι ΑΥΘΕΝΤΙΚΟΠΟΙΗΣΗ ΧΡΗΣΤΗ ΔΗΜΙΟΥΡΓΙΑ ΚΑΙ ΑΝΤΙΣΤΟΙΧΗΣΗ ΠΡΟΦΙΛ ΕΞΟΥΣΙΟΔΟΤΗΣΗΣ ΈΛΕΓΧΟΣ ΚΑΙ ΠΑΡΑΚΟΛΟΥΘΗΣΗ Επιθεώρηση της δραστηριότητας των χρηστών

13 9.4.2 Παρακολούθηση της πρόσβασης χρηστών στην ομάδα χρηστών BASIS Έλεγχος των σημαντικών προεπιλεγμένων προφίλ Έλεγχος των προεπιλεγμένων userids του SAP Παρακολούθηση των αιτημάτων αλλαγής Έλεγχος πληροφοριακού συστήματος ΔΙΑΧΕΙΡΙΣΗ ΚΑΙ ΣΥΝΤΗΡΗΣΗ ΠΡΟΫΠΟΘΕΣΕΙΣ ΓΙΑ ΤΗ ΔΗΜΙΟΥΡΓΙΑ ΧΡΗΣΤΗ ΠΕΡΙΟΡΙΣΜΟΣ ΠΡΟΣΠΑΘΕΙΩΝ ΣΥΝΔΕΣΗΣ ΚΑΙ ΠΡΟΣΔΙΟΡΙΣΜΟΣ CLIENT ΑΣΦΑΛΕΙΑ LOGON ΣΤΟ SAP Logging on Σφάλματα Logon ΡΥΘΜΙΣΗ ΕΛΕΓΧΩΝ PASSWORD Ρύθμιση του μήκους και της εγκυρότητας του password Προσδιορισμός ανεπίτρεπτων passwords ΑΠΟΣΥΝΔΕΣΗ ΤΩΝ ΑΝΕΝΕΡΓΩΝ ΧΡΗΣΤΩΝ ΑΝΤΙΣΤΟΙΧΗΣΗ ΟΜΑΔΩΝ ΧΡΗΣΤΩΝ LOG ΜΑΖΙΚΩΝ ΑΛΛΑΓΩΝ Ο EMERGENCY ΧΡΗΣΤΗΣ ΕΦΑΡΜΟΓΗ ΕΛΕΓΚΤΙΚΗΣ ΣΕ SAP R/ ΕΙΣΟΔΟΣ ΣΤΟ ΣΥΣΤΗΜΑ ΠΛΟΗΓΗΣΗ ΣΤΗ ΒΑΣΙΚΗ ΟΘΟΝΗ TOY SAP TRANSACTION CODES Το transaction code «suim» Το υπομενού User Το υπομενού Roles

14 Το υπομενού Profiles Το υπομενού Authorizations Το υπομενού Authorization objects Το υπομενού Transactions Το υπομενού Comparisons Το υπομενού Where- Used List Το υπομενού Change Documents ΣΥΜΠΕΡΑΣΜΑΤΑ ΒΙΒΛΙΟΓΡΑΦΙΑ- ΔΙΚΤΥΑΚΕΣ ΤΟΠΟΘΕΣΙΕΣ

15 ΚΑΤΑΛΟΓΟΣ ΠΙΝΑΚΩΝ Πίνακας 3-1: Βασικοί όροι ελεγκτικής Πίνακας 4-1: Κατηγορίες μηχανισμών ελέγχου Πίνακας 4-2: Φάσεις μεθοδολογίας ελέγχου Πίνακας 6-1: Ορολογία για COBIT Πίνακας 7-1: Πελάτες SAP στην Ελλάδα [35] [36] [37] Πίνακας 7-2: Υποσυστήματα του SAP R/3 [34] [38] Πίνακας 7-3: Μη SAP περιβάλλοντα Πίνακας 8-1: Σύγκριση του Security Audit Log με το System Log Πίνακας 9-1: Περιγραφή προφίλ SAP_ALL και SAP_NEW Πίνακας 9-2: Περιγραφή προεπιλεγμένων χρηστών SAP Πίνακας 9-3: Προϋποθέσεις δημιουργίας χρήστη

16 ΚΑΤΑΛΟΓΟΣ ΕΙΚΟΝΩΝ Εικόνα 2-1: Γραφική απεικόνιση του ERP [6] Εικόνα 2-2: Λειτουργική δομή ERP [8] Εικόνα 2-3: Λειτουργική δομή ERP 2 [12] Εικόνα 2-4: Τρόποι υλοποίησης συστημάτων [13] Εικόνα 2-5: Η αρχιτεκτονική client/ server [14] Εικόνα 6-1: Πληροφορίες Διοίκησης [26] Εικόνα 6-2: Περιοχές εστίασης ΙΤ διακυβέρνησης Εικόνα 6-3: Διάγραμμα περιεχομένων COBIT Εικόνα 6-4: Συσχέτιση συστατικών COBIT Εικόνα 6-5: Κύβος COBIT Εικόνα 6-6: Δομή ελέγχου και τομείς ελέγχου Εικόνα 7-1: Υποσυστήματα SAP R/ Εικόνα 7-2: SAP R/3 Modules [39] Εικόνα 7-3: Μη SAP περιβάλλοντα [41] Εικόνα 7-4: Πλατφόρμες SAP R/3 [47] Εικόνα 7-5: Αρχιτεκτονική Client/ Server [32] Εικόνα 7-6: Αναπαράσταση δομής GUI/ Modules/ databases (1) [32] Εικόνα 7-7:Αναπαράσταση δομής GUI/ Modules/ databases (2) [32] Εικόνα 7-8: Αναπαράσταση δομής BASIS [32] Εικόνα 8-1: Αναπαράσταση περιβάλλοντος εγκατάστασης SAP [50] Εικόνα 8-2: Επίπεδα ΙΤ ασφάλειας και ελέγχου [50] Εικόνα 9-1: Εφαρμογή ασφάλειας SAP [51] Εικόνα 9-2: Συστατικά ασφαλείας SAP (1) [53] Εικόνα 9-3: Κλάση αντικειμένου [54] Εικόνα 9-4: Περιγραφή αντικειμένου εξουσιοδότησης σε περιβάλλον SAP [55] Εικόνα 9-5: Διαμόρφωση ασφαλείας SAP (1) [51] Εικόνα 9-6: Διαμόρφωση ασφαλείας SAP (2) [51] Εικόνα 9-7: Κατηγορίες προφίλ [50] Εικόνα 9-8: Διαμόρφωση ασφαλείας SAP (3) [54] Εικόνα 9-9: Προειδοποιητικό μήνυμα αποσύνδεσης Εικόνα 10-1: Οθόνη εισαγωγής userid και password Εικόνα 10-2: Βασική οθόνη SAP Εικόνα 10-3: Περιγραφή βασικής οθόνης SAP Εικόνα 10-4: Πεδίο εντολών SAP Εικόνα 10-5: Διαγραμματική περιγραφή των transactions [62] Εικόνα 10-6: Εισαγωγή transaction Εικόνα 10-7: Βασικό menu της suim Εικόνα 10-8: Το υπομενού Users Εικόνα 10-9: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-10: Αποτελέσματα αναζήτησης Εικόνα 10-11: Αποτελέσματα αναζήτησης Εικόνα 10-12: Αποτελέσματα αναζήτησης

17 Εικόνα 10-13: Το υπομενού users Εικόνα 10-14: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-15: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-16: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-17: Αποτελέσματα αναζήτησης Εικόνα 10-18: Η φόρμα αναζήτησης με βάση τα στοιχεία του χρήστη Εικόνα 10-19: Αποτελέσματα αναζήτησης Εικόνα 10-20: Αποτελέσματα αναζήτησης Εικόνα 10-21: Αποτελέσματα αναζήτησης ρόλων χρήστη Εικόνα 10-22: Αποτελέσματα αναζήτησης προφίλ χρήστη Εικόνα 10-23: Change documents του χρήστη Εικόνα 10-24: Το υπομενού Users Εικόνα 10-25: Αναζήτηση emergency user Εικόνα 10-26: Εμφάνιση emergency user Εικόνα 10-27: Ρόλοι emergency user Εικόνα 10-28: Προφίλ emergency user Εικόνα 10-29: Το υπομενού user Εικόνα 10-30: Φόρμα εισαγωγής ρόλου Εικόνα 10-31: Αποτελέσματα αναζήτησης Εικόνα 10-32: Φόρμα εισαγωγής ρόλου Εικόνα 10-33: Το υπομενού users Εικόνα 10-34: Φόρμα εισαγωγής προφίλ Εικόνα 10-35: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-36: Φόρμα εισαγωγής προφίλ Εικόνα 10-37: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-38: Το υπομενού users Εικόνα 10-39: Σχηματική απεικόνιση των εξουσιοδοτήσεων του S_ADDRESS Εικόνα 10-40: Φόρμα εισαγωγής εξουσιοδότησης/ αντικειμένου εξουσιοδότησης Εικόνα 10-41: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-42: Το υπομενού users Εικόνα 10-43: Φόρμα εισαγωγής αντικειμένων εξουσιοδότησης Εικόνα 10-44: Εμπλουτισμένη φόρμα εισαγωγής αντικειμένων εξουσιοδότησης Εικόνα 10-45: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-46: Το υπομενού users Εικόνα 10-47: Φόρμα εισαγωγής transaction Εικόνα 10-48: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-49: Το υπομενού users Εικόνα 10-50: Εμφάνιση κλειδωμένων χρηστών Εικόνα 10-51: Το υπομενού users Εικόνα 10-52: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-53: Αποτελέσματα αναζήτησης χρήστη Εικόνα 10-54: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-55: Αποτέλεσμα αναζήτησης χρήστη Εικόνα 10-56: Φόρμα εισαγωγής χρήστη/ κριτηρίων

18 Εικόνα 10-57: Αποτελέσματα αναζήτησης χρήστη Εικόνα 10-58: Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα 10-59: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-60: Το υπομενού users Εικόνα 10-61: Φόρμα εισαγωγής variant Εικόνα 10-62: Φόρμα εισαγωγής variant Εικόνα 10-63: Αποτελέσματα αναζήτησης χρηστών Εικόνα 10-64: Φόρμα εισαγωγής χρηστών/ κριτηρίων Εικόνα 10-65: Αποτελέσματα αναζήτησης Εικόνα 10-66: Αποτελέσματα αναζήτησης Εικόνα 10-67: Το υπομενού Roles Εικόνα 10-68: Φόρμα εισαγωγής ρόλων/ κριτηρίων Εικόνα 10-69: Αποτελέσματα αναζήτησης ρόλου Εικόνα 10-70: Καρτέλα περιγραφής ρόλου Εικόνα 10-71: Καρτέλα με το μενού του ρόλου Εικόνα 10-72: Καρτέλα με το workflow του ρόλου Εικόνα 10-73: Καρτέλα με το προφίλ του ρόλου Εικόνα 10-74: Οθόνη με τις εξουσιοδοτήσεις του ρόλου Εικόνα 10-75: Καρτέλα με τους χρήστες που διαθέτουν το ρόλου Εικόνα 10-76: Καρτέλα με τα miniapps του ρόλου Εικόνα 10-77: Καρτέλα με τα Personalization objects του ρόλου Εικόνα 10-78: Οθόνη με τους χρήστες του ρόλου Εικόνα 10-79: Οθόνη με τα προφίλ του ρόλου Εικόνα 10-80: Οθόνη με τα transactions του ρόλου Εικόνα 10-81: Το υπομενού Roles Εικόνα 10-82: Φόρμα εισαγωγής ρόλου Εικόνα 10-83: Αποτελέσματα αναζήτησης ρόλου Εικόνα 10-84: Το υπομενού Roles Εικόνα 10-85: Φόρμα εισαγωγής χρήστη Εικόνα 10-86: Αποτελέσματα αναζήτησης ρόλων Εικόνα 10-87: Οι μη αποδοσμένοι ρόλοι Εικόνα 10-88: Το υπομενού Roles Εικόνα 10-89: Φόρμα εισαγωγής transactions Εικόνα 10-90: Αποτελέσματα αναζήτησης ρόλων Εικόνα 10-91: Το υπομενού Roles Εικόνα 10-92: Φόρμα εισαγωγής προφίλ Εικόνα 10-93: Αποτελέσματα αναζήτησης ρόλων Εικόνα 10-94: Το υπομενού Roles Εικόνα 10-95: Φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα 10-96: Αποτελέσματα αναζήτησης ρόλων Εικόνα 10-97: Το υπομενού Roles Εικόνα 10-98: Εμπλουτισμένη φόρμα εισαγωγής αντικειμένων εξουσιοδότησης Εικόνα 10-99: Αποτελέσματα αναζήτησης ρόλων Εικόνα : Το υπομενού Roles

19 Εικόνα : Φόρμα εισαγωγής χρηστών/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης ρόλων Εικόνα : Φόρμα εισαγωγής χρηστών/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης ρόλων Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής προφίλ/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Διαγραμματική απεικόνιση αντικειμένων προφίλ Εικόνα : Παράθυρο where- used list Εικόνα : Αποτελέσματα αντιστοίχησης σε προφίλ Εικόνα : Αποτελέσματα αντιστοίχησης σε χρήστες Εικόνα : Αποτελέσματα αντιστοίχησης σε ρόλους Εικόνα : Τα change documents του προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής προφίλ/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής προφίλ Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής εξουσιοδοτήσεων/ αντικειμένων εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Φόρμα εισαγωγής εξουσιοδοτήσεων/ αντικειμένων εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Εμπλουτισμένη φόρμα εισαγωγής αντικειμένων εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Profiles Εικόνα : Φόρμα εισαγωγής ρόλου Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Το υπομενού Authorizations Εικόνα : Φόρμα εισαγωγής αντικειμένου εξουσιοδότησης/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Οθόνη περιγραφής αντικειμένου εξουσιοδότησης Εικόνα : Παράθυρο where- used list αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης προφίλ Εικόνα : Αποτελέσματα αναζήτησης χρηστών Εικόνα : Αποτελέσματα αναζήτησης προγραμμάτων Εικόνα : Λεπτομερής περιγραφή αντικειμένου εξουσιοδότησης Εικόνα : Το υπομενού Authorizations

20 Εικόνα : Φόρμα εισαγωγής εξουσιοδότησης/ αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης αντικειμένων εξουσιοδότησης Εικόνα : Φόρμα εισαγωγής εξουσιοδοτήσεων/ αντικειμένων εξουσιοδοτήσεων Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Το υπομενού Authorizations Εικόνα : Εμπλουτισμένη φόρμα εισαγωγής αντικειμένων εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Το υπομενού Authorizations Εικόνα : Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης εξουσιοδοτήσεων Εικόνα : Το υπομενού Authorizations objects Εικόνα : Φόρμα εισαγωγής κριτηρίων Εικόνα : Αποτελέσματα αναζήτησης αντικειμένων εξουσιοδότησης Εικόνα : Περιγραφή αντικειμένου εξουσιοδότησης Εικόνα : Πληρέστερη περιγραφή αντικειμένου εξουσιοδότησης Εικόνα : Το υπομενού Authorizations objects Εικόνα : Φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα : Αποτέλεσμα αναζήτησης αντικειμένου εξουσιοδότησης Εικόνα : Το υπομενού Authorizations objects Εικόνα : Φόρμα εισαγωγής κριτηρίων αντικειμένων εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης αντικειμένων εξουσιοδότησης Εικόνα : Το υπομενού Authorizations objects Εικόνα : Φόρμα εισαγωγής κριτηρίων αντικειμένων εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης αντικειμένων εξουσιοδότησης Εικόνα : Το υπομενού transactions Εικόνα : Φόρμα εισαγωγής κριτηρίων Εικόνα : Το υπομενού transactions Εικόνα : Φόρμα εισαγωγής χρήστη Εικόνα : Αποτελέσματα αναζήτησης transaction Εικόνα : Εμφάνιση λεπτομερειών transaction Εικόνα : Το υπομενού transactions Εικόνα : Φόρμα εισαγωγής ρόλου Εικόνα : Αποτελέσματα αναζήτησης transaction Εικόνα : Το υπομενού transactions Εικόνα : Φόρμα εισαγωγής προφίλ Εικόνα : Αποτελέσματα αναζήτησης transaction Εικόνα : Το υπομενού transactions Εικόνα : Φόρμα εισαγωγής εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης transaction Εικόνα Το υπομενού Comparison Εικόνα : Φόρμα εισαγωγής των προς σύγκριση χρηστών

21 Εικόνα : Αποτελέσματα σύγκρισης Εικόνα : Το υπομενού Comparison Εικόνα : Φόρμα εισαγωγής των προς σύγκριση ρόλων Εικόνα : Αποτελέσματα σύγκρισης Εικόνα : Το υπομενού Comparison Εικόνα : Φόρμα εισαγωγής των προς σύγκριση προφίλ Εικόνα : Αποτελέσματα σύγκρισης Εικόνα : Αναλυτική περιγραφή σύγκρισης Εικόνα : Το υπομενού Comparison Εικόνα : Φόρμα εισαγωγής των προς σύγκριση αντικειμένων Εικόνα : Αποτελέσματα σύγκρισης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής ρόλου Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής προφίλ Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής προφίλ Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής προφίλ Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής εξουσιοδότησης/ αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής αντικειμένων εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Εμπλουτισμένη φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Εμπλουτισμένη φόρμα εισαγωγής αντικειμένου εξουσιοδότησης Εικόνα : Αποτελέσματα αναζήτησης Εικόνα : Το υπομενού Where- used list Εικόνα : Φόρμα εισαγωγής αντικειμένου εξουσιοφότησης Εικόνα : Εμφάνιση αποτελεσμάτων

22 Εικόνα : Το υπομενού Change dosuments Εικόνα : Φόρμα εισαγωγής χρήστη/ κριτηρίων Εικόνα : Change Documents χρήστη Εικόνα : Το υπομενού Change dosuments Εικόνα : Φόρμα εισαγωγής ρόλου, χρήστη και κριτηρίων Εικόνα : Change documents ρόλου χρήστη Εικόνα : Το υπομενού Change dosuments Εικόνα : Φόρμα εισαγωγής ρόλου/ κριτηρίων Εικόνα : Change documents ρόλου Εικόνα : Το υπομενού Change dosuments Εικόνα : Φόρμα εισαγωγής προφίλ/ κριτηρίων Εικόνα : Change documents προφίλ Εικόνα : Το υπομενού Change dosuments Εικόνα : Φόρμα εισαγωγής εξουσιοδοτήσης/ κριτηρίων Εικόνα : Change documents εξουσιοδότησης

23 1 ΕΙΣΑΓΩΓΗ 1.1 ΣΚΟΠΟΣ ΕΡΓΑΣΙΑΣ Ένα πληροφοριακό σύστημα (ΠΣ) είναι ένα οργανωμένο σύστημα που αποτελείται από πέντε στοιχεία που αλληλεπιδρούν μεταξύ τους και με το περιβάλλον τους. Τα πέντε αλληλεπιδρώντα στοιχεία είναι τα εξής: Άνθρωποι (Humans), Υλικό (Hardware), Λογισμικό (Software), Δεδομένα (Data) και Διαδικασίες (Procedures). Στόχος ενός ΠΣ είναι η παραγωγή και διαχείριση πληροφορίας για την υποστήριξη ανθρώπινων δραστηριοτήτων στα πλαίσια ενός οργανισμού. Επειδή κάθε πληροφοριακό σύστημα είναι τεχνητό, οι στόχοι και οι προδιαγραφές λειτουργίας του είναι προκαθορισμένες. Παρόλα αυτά, κανένα ΠΣ δεν είναι τέλειο. Είναι πολύ συχνό να παρατηρούνται αποκλίσεις ανάμεσα στα προβλεπόμενα και στα πραγματικά αποτελέσματα κατά τη χρήση του. Θα πρέπει να σημειωθεί ότι είναι πρακτικά αδύνατη η μηδενική απόκλιση, τόσο λόγω των ατελειών του ΠΣ, όσο και από την αδυναμία ακριβούς μέτρησης των προβλεπόμενων και πραγματικών τιμών. Οι αποκλίσεις αυτές δημιουργούν ευπάθειες (vulnerabilities), οι οποίες ενδέχεται να προκαλέσουν εκδήλωση απειλών για το ΠΣ, με τελική επίπτωση την αρνητική επίδραση στο τρόπο λειτουργίας αυτού. Υπό την έννοια αυτή, η Ελεγκτική είναι ένα πολύτιμο εργαλείο της Διοίκησης Πληροφοριακών Συστημάτων, προκειμένου να διασφαλιστεί η απρόσκοπτη λειτουργία του. Οι έλεγχοι (controls) του πληροφοριακού συστήματος στοχεύουν: Στην πρόληψη των αποκλίσεων (όπου είναι αυτό δυνατό). Στον έγκαιρο εντοπισμό των αποκλίσεων και των αιτιών που την προκάλεσαν. Στη διατύπωση προτάσεων για τη λήψη μέτρων για τον περιορισμό τους ή τον περιορισμό των συνεπειών τους [2]. Η ελεγκτική διαδικασία (auditing) θεωρείται αποτρεπτική για εγκληματικές ενέργειες, ειδικά εκ των έσω. Οι ελεγκτές προσπαθούν να απαντήσουν ερωτήματα όπως: Γίνονται οι έλεγχοι όπως είχαν σχεδιαστεί; Υλοποιούνται ορθά; Είναι επαρκείς, αξιόπιστοι, αποτελεσματικοί; Παρατηρήθηκε κάποια παραβίαση ασφαλείας; Εάν ναι, ποιες ενέργειες απαιτούνται για να αποτραπούν παρόμοιες; 23

24 Ποιοι τομείς δεν καλύπτονται από τους ελέγχους; Ποιοι έλεγχοι δε χρειάζονται; Υπάρχει σαφής διαχωρισμός των αρμοδιοτήτων των υπαλλήλων; Υπάρχουν διαδικασίες που λειτουργούν διορθωτικά σε περιπτώσεις παραβίασης [3]; Αυτές οι ερωτήσεις πρέπει να απαντηθούν από ανεξάρτητους, αμερόληπτούς παρατηρητές. Τέτοιοι παρατηρητές εκτελούν την ελεγκτική διαδικασία των πληροφοριακών συστημάτων. Στόχος της συγκεκριμένης πτυχιακής εργασίας είναι να παρουσιαστεί η σημασία της Ελεγκτικής Πληροφοριακών Συστημάτων, δεδομένου ότι τα συστήματα αυτά, αφενός αντιπροσωπεύουν μεγάλες οικονομικές επενδύσεις, αφετέρου η πιθανή προσβολή τους προκαλεί συχνά ανυπολόγιστες απώλειες για την επιχείρηση/ οργανισμό [4]. Επιπροσθέτως, η εργασία μελετά την ασφάλεια του ΠΣ της SAP και διεξάγει έλεγχο αυτής. 1.2 ΜΕΘΟΔΟΛΟΓΙΑ ΕΡΓΑΣΙΑΣ Η μεθοδολογία που ακολουθήθηκε για την εκπόνηση της παρούσας μεταπτυχιακής διπλωματικής εργασίας είναι η ακόλουθη: Αναζήτηση βιβλιογραφίας σχετικά με Έλεγχο Πληροφοριακών Συστημάτων Μελέτη εγχειριδίων SAP Εξοικείωση με περιβάλλον SAP Μελέτη εγχειριδίων σχετικά με δυνατότητες ασφαλείας SAP Εξοικείωση με ασφάλεια SAP Μελέτη εγχειριδίων για ελεγκτική σε SAP Εξοικείωση με δυνατότητες ελεγκτικής SAP Δημιουργία εγχειριδίου για έλεγχο ασφαλείας σε SAP με την κατάλληλη παρουσίαση οθονών Εξαγωγή συμπερασμάτων 1.3 ΔΟΜΗ ΕΡΓΑΣΙΑΣ Η εργασία δομείται σε 11 κεφάλαια. Στο δεύτερο κεφάλαιο γίνεται μία γενική περιγραφή των Πληροφοριακών Συστημάτων Διαχείρισης Επιχειρηματικών Πόρων (ERP) παρουσιάζοντας βασικά σημεία, όπως η λειτουργική και τεχνολογική υποδομή τους, οι ιδιότητές τους κτλ. Το τρίτο κεφάλαιο αποτελεί μία εισαγωγή στον τομέα της Ελεγκτικής Πληροφοριακών Συστημάτων, δίνοντας κάποιους βασικούς ορισμούς, αναφέροντας τους στόχους του ελέγχου κτλ. 24

25 Το τέταρτο κεφάλαιο περιγράφει αναλυτικότερα τον τομέα της Ελεγκτικής ΠΣ παρουσιάζοντας τη σημασία, λειτουργία, διεξαγωγή και τους μηχανισμούς ελέγχου. Το πέμπτο κεφάλαιο παρουσιάζει κάποια επιπλέον ειδικά θέματα πάνω στην Ελεγκτική ΠΣ. Το έκτο κεφάλαιο περιγράφει αναλυτικά το COBIT, που αποτελεί παγκοσμίως κοινό πρότυπο βέλτιστων πρακτικών σχετικά με τα ΠΣ και εφαρμόζεται κατά τη διαδικασία του ελέγχου. Το έβδομο κεφάλαιο κάνει μία γενική περιγραφή της εταιρείας SAP και του ERP προϊόντος της SAP R/3. Το όγδοο κεφάλαιο παρουσιάζει κάποια βασικά σημεία ελέγχου του SAP R/3. Το ένατο κεφάλαιο παρουσιάζει λεπτομερώς τον τρόπο με τον οποίο διαμορφώνεται η ασφάλεια στο SAP R/3. Το δέκατο αποτελεί ένα εγχειρίδιο ελεγκτικής της ασφάλειας σε SAP R/3 με την παρουσίαση των κατάλληλων οθονών του συστήματος. Το ενδέκατο κεφάλαιο περιέχει τα συμπεράσματα που εξήχθησαν κατόπιν της προσεκτικής έρευνας που πραγματοποιήθηκε στο θέμα της Ελεγκτικής ΠΣ και της Ελεγκτικής Ασφαλείας στο SAP R/3. 25

26 2 ΠΛΗΡΟΦΟΡΙΑΚΑ ΣΥΣΤΗΜΑΤΑ ΠΡΟΓΡΑΜΜΑΤΙ- ΣΜΟΥ ΕΠΙΧΕΙΡΗΣΙΑΚΩΝ ΠΟΡΩΝ (ERP) 2.1 ΟΡΙΣΜΟΣ ΤΩΝ ERP Οι επιχειρήσεις σήμερα πρέπει να είναι ευέλικτες, με ικανότητα άμεσης και γρήγορης προσαρμογής στις απαιτήσεις των πελατών και να έχουν τη δυνατότητα ταχείας διαχείρισης των διάφορων επιχειρησιακών δραστηριοτήτων για να ανταποκρίνονται στις διαφοροποιήσεις της αγοράς, στις νέες ευκαιρίες και στις προκλήσεις. Με την πρόοδο των Πληροφορικών Συστημάτων, στο κέντρο του επιχειρηματικού ενδιαφέροντος βρίσκονται τα συστήματα που αποκαλούνται με τον όρο ERP (Enterprise Resource Planning Systems), ο οποίος στα ελληνικά αποδίδεται ως «Διαχείριση Επιχειρησιακών Πόρων». Τα Ολοκληρωμένα Συστήματα Διαχείρισης Επιχειρησιακών Πόρων είναι ένα συμπαγές σύνολο εφαρμογών λογισμικού που υποστηρίζουν ένα ευρύ φάσμα επιχειρησιακών δραστηριοτήτων και λειτουργιών. Αποτελούν επιχειρησιακό εργαλείο ελέγχου, παρακολούθησης και συντονισμού των εργασιών στις κεντρικές και απομακρυσμένες εγκαταστάσεις μιας επιχείρησης. Τα ERP καλύπτοντας όλες τις επιχειρηματικές δραστηριότητες και απευθυνόμενα σε όλους τους κλάδους των επιχειρήσεων, παρέχουν ένα περιβάλλον ανασχεδιασμού υποστηρίζοντας την πραγματοποίηση αλλαγών στις επιχειρηματικές λειτουργίες [05]. Εικόνα 2-1: Γραφική απεικόνιση του ERP [6] 26

27 Σε μία εποχή, κατά την οποία ο ανταγωνισμός καθοδηγείται όλο και περισσότερο από τις δυνάμεις της τεχνολογίας, οι πρωτοπόρες επιχειρήσεις χρησιμοποιούν τις σύγχρονες δυνατότητες της Πληροφορικής για να πετύχουν συγκριτικό πλεονέκτημα αναφορικά με τον ταχύτερο χρόνο ανταπόκρισης στις ανάγκες των πελατών και των προμηθευτών τους, μικρότερο κόστος συναλλαγών, υψηλότερη ποιότητα εξυπηρέτησης και αξιόπιστες σχέσεις συνεργασίας με τους πελάτες και τους προμηθευτές τους. Μια ERP λύση (ERP Solution) δίνει τη δυνατότητα στις εταιρείες να ενσωματώνουν διεθνώς κατανεμημένες οικονομικές πρακτικές και λειτουργικές διαδικασίες [07]. Ως Σύστημα Διαχείρισης Επιχειρησιακών Πόρων (Enterprise Resource Planning Systems- ERP), ορίζεται ένα ολοκληρωμένο Πληροφοριακό Σύστημα, το οποίο υποστηρίζει όλες τις λειτουργίες της επιχείρησης και τις μεταξύ τους συνδέσεις, καθιστώντας έτσι δυνατό τον ενοποιημένο προγραμματισμό χρήσης, την αξιοποίηση και την παρακολούθηση όλων των παραγωγικών της πόρων (π.χ. μηχανημάτων, υλικών, ανθρώπων, οικονομικών πόρων κτλ), με τελικό στόχο την καλύτερη εξυπηρέτηση των πελατών [8]. Περνάμε, δηλαδή, από μια παραδοσιακή μορφή οργάνωσης, όπου κάθε τμήμα της επιχείρησης μηχανογραφείται ανεξάρτητα δημιουργώντας αποκομμένες και ανομοιογενείς νησίδες πληροφοριών και στην πραγματικότητα μηχανογραφεί την ήδη υπάρχουσα οργάνωση, στα πακέτα ERP τα οποία αναδιοργανώνουν μέσω της αυτοματοποιημένης μηχανογράφησης τις λειτουργίες της επιχείρησης λειτουργώντας ως το μοναδικό σημείο συγκέντρωσης και αποκόμισης πληροφοριών για το σύνολο της εταιρείας. Είναι ένα πακέτο λογισμικού που δίνει τη δυνατότητα σε μια επιχείρηση να αυτοματοποιεί και να ολοκληρώνει τις βασικές της επιχειρηματικές διαδικασίες, να διαμοιράζεται κοινά δεδομένα και πρακτικές στο εσωτερικό της και να παράγει πληροφορία σε πραγματικό χρόνο. Αναλυτικότερα ενσωματώνει πληροφορίες και δεδομένα από όλη την επιχείρηση, ώστε να υπάρχει καλύτερη ανάλυση της πληροφορίας, μεγαλύτερη και ορθότερη εκμετάλλευσή της με απώτερο σκοπό την αύξηση του κέρδους της επιχείρησης [5]. Τα πακέτα ERP ήρθαν στην αγορά με την υπόσχεση να προσφέρουν μία ολοκληρωμένη λύση εφαρμογών ώστε, κάτω από μια δυναμική λειτουργικότητα, να βελτιστοποιήσουν τους διάφορους πόρους που διαθέτει η επιχείρηση, να προσφέρουν πλεονεκτήματα και ευελιξία, και να μειώσουν τα λειτουργικά έξοδα. Για πρώτη φορά από τον καιρό που ιδρύθηκαν οι μεγάλες εταιρείες, οι managers έχουν τη δυνατότητα να παρακολουθούν τα γεγονότα που λαμβάνουν χώρα μέσα στην εταιρεία τους σε πραγματικό χρόνο, χωρίς να χρειάζεται να περιμένουν τις μηνιαίες α- ναφορές των διαφόρων τμημάτων, που ενδεχομένως να είναι εκπρόθεσμες έως τη 27

28 στιγμή που θα τις παραλάβουν. Έχουν επίσης τη δυνατότητα να παρακολουθούν από το γραφείο τους τι συμβαίνει όχι μόνο στην εταιρεία αλλά σε ολόκληρο τον κόσμο. Η πληροφορία ρέει ομοιόμορφα σε όλο το εύρος του οργανισμού. Ό,τι δηλαδή προσφέρει το Διαδίκτυο για την επικοινωνία μεταξύ οργανισμών, προσφέρουν αυτά τα συστήματα για το εσωτερικό του οργανισμού [9]. Τα συστήματα αυτά που είναι γνωστά ως Enterprise Resource Planning (ERP) μπορούν στο εξής να αναφέρονται και ως Enterprise Systems (ES). Οι επιχειρησιακές εφαρμογές ξεκίνησαν με την υποστήριξη των back-office εφαρμογών 1 και στη συνέχεια μετατοπίστηκαν και στις front-office εφαρμογές, υποστηρίζοντας την εφοδιαστική αλυσίδα, τις πωλήσεις, την εξυπηρέτηση του πελάτη κλπ. Αυτές οι νέες λειτουργίες επιτεύχθηκαν είτε με την εγκατάσταση πιο περιεκτικών πακέτων, είτε με συμπληρωματικά πακέτα λογισμικού από third-party εταιρείες λογισμικού. Οι αλλαγές που υπεισέρχονται με αυτά τα συστήματα είναι αρκετά μεγάλες, καθώς αλλάζουν τον τρόπο που, μέχρι τότε, λειτουργούσε κάποια επιχείρηση. Η οργανωσιακή δομή, η κουλτούρα, ο τρόπος που εργάζονταν οι εργαζόμενοι και η επιχειρησιακή στρατηγική της επιχείρησης αναδομούνται [5]. 2.2 ΙΣΤΟΡΙΚΗ ΑΝΑΔΡΟΜΗ Τα παραγωγικά συστήματα στην δεκαετία του 60 επικέντρωναν την προσοχή τους κυρίως στον έλεγχο των αποθεμάτων (inventory control). Ωστόσο οι επιχειρήσεις εκείνη την εποχή είχαν την δυνατότητα να κρατούν υψηλά αποθέματα για να ικανοποιούν οποιαδήποτε ζήτηση από τους πελάτες τους και ταυτόχρονα να είναι ανταγωνιστικές. Έτσι, είναι λογικό οι περισσότερες εφαρμογές να περιορίζονταν μόνο στην αποτελεσματική οργάνωση και διαχείριση μεγάλων ποσοτήτων αποθέματος. Κατά τη δεκαετία του 70 οι επιχειρήσεις δεν είχαν τη δυνατότητα να κρατούν υψηλά αποθέματα. Αυτό οδήγησε στη δημιουργία των πρώτων συστημάτων Πρόβλεψης Απαιτήσεων Υλικών (Materials Requirements Planning MRP). Για πρώτη φορά χρησιμοποιώντας ένα πρότυπο πλάνο χρονοπρογραμματισμού της παραγωγής (Master Production Schedule MPS) και τις απαιτούμενες προδιαγραφές των υλικών (Bill of Materials BOM: τα συγκεκριμένα υλικά δηλαδή που χρειάζονται για να παραχθεί ένα τελικό προϊόν), ένας υπολογιστής αρκούσε για να προσδιορίσει τις ακριβείς ποσότητες υλικών που χρειάζονται. Ταυτόχρονα, χρησιμοποιώντας τα α- κριβή στοιχεία από την καταγραφή των αποθεμάτων, δηλαδή τη διαθέσιμη ποσότητα (on-hand) ή την ποσότητα που είναι προγραμματισμένη για παραλαβή (schedule- 1 Frond office εφαρμογή είναι κάθε είδους λογισμικό που έχει απ ευθείας σχέση με τους πελάτες. Αντιθέτως, οι back office εφαρμογές δεν παρέχουν απ ευθείας σχέση [10]. 28

29 to-arrive) έγινε δυνατό να υπολογιστούν τα ισοζύγια των υλικών που απαιτούνται στο βέλτιστο χρόνο. Παράλληλα με την ανάπτυξη των MRP συστημάτων, δημιουργήθηκαν και τα πρώτα συστήματα Πρόβλεψης Απαιτήσεων Παραγωγικού Δυναμικού (Capacity Requirements Planning CRP). Έτσι, σε συνδυασμό με τα MRP, δημιουργήθηκαν εφαρμογές που υποστηρίζουν λειτουργίες, όπως ο σχεδιασμός και η πρόβλεψη του συνόλου των πωλήσεων (forecasting and sales planning), ο χρονοπρογραμματισμός (MPS), η δυναμικότητα της παραγωγής και, γενικότερα, η διαχείριση της ζήτησης. Η εισαγωγή μοντέλων και τεχνικών χρονοπρογραμματισμού της παραγωγής (MPS) στα MRP συστήματα αποτέλεσαν το έναυσμα για να δημιουργηθούν τα πρώτα συστήματα που εκτείνονται σε όλο το εύρος της επιχείρησης. Κατά τη διάρκεια της δεκαετίας του 80 η κατακόρυφη αύξηση της υπολογιστικής ισχύος και οι νέες τεχνολογίες Πληροφορικής επέτρεψαν την ανάπτυξη που σχετίζονταν με τις χρηματοοικονομικές δραστηριότητες μιας επιχείρησης. Με αυτό τον τρόπο δημιουργήθηκαν τα πρώτα ολοκληρωμένα πληροφοριακά συστήματα Manufacturing Resource Planning (MRP ΙΙ), που συνδύαζαν τα συστήματα διαχείρισης παραγωγής και υλικών με τη λογιστική και χρηματοοικονομική διαχείριση μιας επιχείρησης. Μέσα από την οικονομική απεικόνιση της παραγωγής και των κινήσεων των αποθεμάτων τα MRP ΙΙ συστήματα έγιναν πολύ ελκυστικά εργαλεία στη λήψη αποφάσεων σε μια επιχείρηση. Στις αρχές της δεκαετίας του 90 τα MRP ΙΙ συστήματα επεκτάθηκαν για να συμπεριλάβουν το σχεδιασμό και τη διαχείριση σχεδόν όλων των παραγωγικών πόρων μιας επιχείρησης. Έτσι, λειτουργίες όπως ο σχεδιασμός προϊόντων, η διαχείριση αποθηκών, η διαχείριση έργων και ανθρώπινου δυναμικού και ολόκληρη η ε- μπορική και οικονομική διαχείριση (πάγια, επιταγές, γραμμάτια και άλλα) μιας επιχειρήσεις συμπεριλαμβάνονταν σε ένα μόνο σύστημα. Αυτού του είδους τα ολοκληρωμένα πληροφοριακά συστήματα είναι γνωστά ως Συστήματα Διαχείρισης Επιχειρησιακών Πόρων (Enterprise Resource Planning Systems ERP) [11]. 2.3 Η ΛΕΙΤΟΥΡΓΙΚΗ ΔΟΜΗ ΤΩΝ ERP Όλα υποσυστήματα του ERP διασυνδέονται, ώστε να μπορούν να ανταλλάσσουν δεδομένα (π.χ. δεδομένα ή έξοδοι (αποτελέσματα) ενός υποσυστήματος να μπορούν να χρησιμοποιηθούν και από άλλα υποσυστήματα ως είσοδοι). Για την ε- πίτευξη της διασύνδεσης αυτής συνήθως όλα τα Υποσυστήματα του ERP στηρίζονται σε μία κοινή βάση δεδομένων, όπως φαίνεται και στο παρακάτω σχήμα (Εικόνα 2-2: Λειτουργική δομή ERP [8]), ούτως ώστε τα δεδομένα και τα αποτελέσματα από κάθε υποσύστημα να αποθηκεύονται στην κοινή αυτή βάση δεδομένων και τα άλλα υποσυστήματα να μπορούν να τα διαβάσουν ή να τα επεξεργασθούν, κ.ο.κ. [8]. Στη βάση δεδομένων ενός ERP συστήματος αποθηκεύεται κάθε είδους πληροφορία, μία 29

30 και μόνο φορά, κατά τη γέννησή της. Η βάση δέχεται και στέλνει δεδομένα σε ένα σύνολο εφαρμογών, οι οποίες καλύπτουν όλο το φάσμα δραστηριοτήτων της επιχείρησης. Με αυτόν τον τρόπο τυποποιούνται και ενοποιούνται οι επιχειρηματικές διαδικασίες (κάτω από μια ενιαία πλατφόρμα), καταργούνται οι νησίδες πληροφοριών, απλοποιείται η επικοινωνία και διευκολύνεται η υλοποίηση νέων μεθόδων των επιχειρήσεων. Στο παρελθόν, οι εταιρείες χρησιμοποιούσαν για τις ανάγκες τους εφαρμογές οι οποίες ήταν λειτουργικά απομονωμένες. Για παράδειγμα, η γενική λογιστική, η μισθοδοσία, η διαχείριση αποθεμάτων είχαν το δικό τους λογισμικό, τη δική τους πληροφορία και τη δική τους διεπαφή (interface). Όλα αυτά με το ERP ενοποιούνται και δίνεται η δυνατότητα της άμεσης πληροφόρησης για οτιδήποτε ζητηθεί. Οι πληροφορίες της βάσης δεδομένων χρησιμοποιούνται από τις ενότητες του συστήματος, οι οποίες υποστηρίζουν διαφορετικές διαδικασίες, τμήματα και λειτουργίες. Η εισαγωγή μίας πληροφορίας, μέσω μίας ενότητας στη ΒΔ, προκαλεί μεγάλο αριθμό δοσοληψιών και ενεργοποίηση πολλών δραστηριοτήτων [5]. Εικόνα 2-2: Λειτουργική δομή ERP [8] Παράδειγμα αποτελεί η διαπραγμάτευση μιας πώλησης, όπου το σύστημα ε- τοιμάζει κάποιο συμβόλαιο, κοστολογεί την πώληση, ενημερώνει όλους τους σχετικούς λογαριασμούς, προγραμματίζει την παραγωγή, παραγγέλνει τα υλικά, ενημε- 30

31 ρώνει διαδικασίες πρόβλεψης, προγραμματίζει τη βέλτιστη διανομή του προϊόντος και εκτελεί επιπρόσθετες ενέργειες. Σήμερα δεν χρειάζεται οι επιχειρήσεις να δημιουργήσουν μόνες τους το δικό τους ολοκληρωμένο σύστημα. Στην αγορά διατίθενται από πολλούς κατασκευαστές προϊόντα, των οποίων οι εφαρμογές αποτελούνται από συνεργαζόμενα υποσυστήματα/ ενότητες (modules). Κάθε υποσύστημα περιλαμβάνει ποικιλία εφαρμογών. Για παράδειγμα, το υποσύστημα που αφορά τη Λογιστική περιλαμβάνει τη γενική λογιστική, τους πληρωτέους λογαριασμούς, τη διαχείριση εσόδων, το συνάλλαγμα κλπ. Όλη η πληροφορία που παράγεται από αυτές τις ενότητες είναι ήδη αποδεκτή από τις εφαρμογές του Internet αλλά και του Intranet. Για κάποιες επιχειρήσεις δεν θεωρείται απαραίτητη η εγκατάσταση όλων των πιθανών υποσυστημάτων που υπάρχουν στην αγορά. Πολλά από αυτά υιοθετούνται από σχεδόν όλες τις επιχειρήσεις, όπως το Finance και Accounting, ενώ κάποια άλλα, όπως η διαχείριση ανθρωπίνων πόρων- Human Resource Management, δεν υιοθετούνται και δεν συμπεριλαμβάνονται σε συγκεκριμένα ERP projects. Ακολουθούν αναλυτικά τα «Λειτουργικά Υποσυστήματα» που συμπεριλαμβάνονται σε ένα ERP (Functional Modules), τα πιο γνωστά εκ των οποίων είναι [11]: Εικόνα 2-3: Λειτουργική δομή ERP 2 [12] Το υποσύστημα Οικονομικής Διαχείρισης είναι η καρδιά του ERP, και ανταλλάσσει πληροφορίες με όλα τα υπόλοιπα υποσυστήματα. Βασικές διαδικασίες της Οικονομικής Διαχείρισης περιλαμβάνουν τη Γενική Λογιστική (General Ledger), την Αναλυτική Λογιστική (Analytical 31

32 Ledger), του Πληρωτέους Λογαριασμούς (Accounts Payable), την Κοστολόγηση βάσει δραστηριοτήτων, κλπ. Οι βασικές λειτουργίες του υποσυστήματος Πωλήσεων-Marketing περιλαμβάνουν την Παραγγελιοληψία (Order Entry), την Τιμολόγηση (Invoicing), τις Προβλέψεις Ζήτησης (Forecasting), την Ηλεκτρονική Α- νταλλαγή Δεδομένων (EDI), το Ηλεκτρονικό Εμπόριο μέσω Internet (Electronic Commerce), κλπ. Το υποσύστημα των Πωλήσεων ανταλλάσσει πληροφορίες κυρίως με τα υποσυστήματα Παραγωγής, Οικονομικής Διαχείρισης και Αποθήκευσης και Διανομής. Το υποσύστημα Προμηθειών περιλαμβάνει τη διαχείριση Εντολών Αγοράς (Purchase Orders Management), την αξιολόγηση των προμηθευτών (Supplier Evaluation), τη Διαχείριση Συμβάσεων (Contract Management), κλπ. Αυτό το υποσύστημα ανταλλάσσει πληροφορίες με αυτά της Οικονομικής Διαχείρισης, Αποθήκευσης και Διανομής, και Παραγωγής. Οι βασικές λειτουργίες του υποσυστήματος Αποθήκευσης-Διανομής περιλαμβάνουν τη Διαχείριση Αποθεμάτων (Inventory Control) και τον Προγραμματισμό Απαιτήσεων Διανομής (Distribution Requirement Planning). Άλλες λειτουργίες, που πιθανών να υποστηρίζονται, περιλαμβάνουν τη Διαχείριση Αποθηκών (Warehouse Management) και τη Διαχείριση Στόλου Φορτηγών (Fleet Management). Το υποσύστημα της Αποθήκευσης-Διανομής ανταλλάσσει πληροφορίες με τα υποσυστήματα Οικονομικής Διαχείρισης, Πωλήσεων-Marketing, Προμηθειών και Παραγωγής. Το υποσύστημα Ανθρωπίνων Πόρων περιλαμβάνει τον Προγραμματισμό Προσωπικού (Personnel Planning), τη Μισθοδοσία (Payroll), την Αξιολόγηση Προσωπικού (Personnel Evaluation), κλπ. Το υποσύστημα των Ανθρωπίνων Πόρων ανταλλάσσει πληροφορίες κυρίως με το υποσύστημα Οικονομική Διαχείρισης. Οι βασικές λειτουργίες που καλύπτει το υποσύστημα Παραγωγής περιλαμβάνουν τον Προγραμματισμό Απαιτήσεων Υλικών (Material Requirements Planning), τον μακροπρόθεσμο Προγραμματισμό Παραγωγής (Master Production Scheduling), τον Έλεγχο Μονάδων Παραγωγής (Shop Floor Control) και άλλες. Το υποσύστημα αυτό ανταλλάσσει πληροφορίες με αυτά των Οικονομικής Διαχείρισης, Πωλήσεων- Marketing, Προμηθειών και Αποθήκευσης-Διανομής [12]. Τα σύγχρονα ERP, πέραν των παραπάνω υποσυστημάτων υποστήριξης των τυποποιημένων διεκπεραιωτικών εργασιών (operational subsystems), όταν υπάρχουν μεγάλες ανάγκες υποστήριξης λήψης αποφάσεων, περιλαμβάνουν επίσης και 32

33 ένα αυτόνομο υποσύστημα υποστήριξης αποφάσεων (analytical subsystem ή decision support subsytem). Αυτό περιλαμβάνει τα εξής: Ιδιαίτερος εξοπλισμός υλικό (υψηλής υπολογιστικής ισχύος) Ιδιαίτερα αρχεία: Αποθήκη Δεδομένων (Data warehouse) με συγκεντρωτικά στοιχεία που παράγονται ανά τακτά χρονικά διαστήματα από τα αναλυτικά στοιχεία των αρχείων των «διεκπεραιωτικών» υποσυστημάτων Ιδιαίτερα εργαλεία, όπως: On Line Analytical Processing (OLAP) tools Data Mining Tools (ανακάλυψη νέας γνώσης) Decision Modeling Tools Effectiveness Modeling Tools User s Modeling Tools (values, risk attitude) [8] 2.4 ΒΑΣΙΚΕΣ ΙΔΙΟΤΗΤΕΣ ΥΠΑΡΧΟΝΤΩΝ ΠΑΚΕΤΩΝ ERP Οι βασικές ιδιότητες των ERP θα μπορούσαν να συνοψιθούν στα εξής: Υποστηρίζουν την αρχιτεκτονική client- server (περιγράφεται στην ε- νότητα 2.3) Είναι πραγματικού χρόνου (real time) Διατηρούν κοινή βάση δεδομένων όλων των υποσυστημάτων Χαρακτηρίζονται από υψηλή προσαρμοστικότητα χωρίς προγραμματισμό (δυνατότητα πραμετροποιήσεων) Υποστηρίζουν πολλά νομίσματα και γλώσσες Υποστηρίζουν τόσο τον προγραμματισμό εργασιών, όσο και την παρακολούθηση της υλοποίησης τους [8]. 2.5 ΚΡΙΣΙΜΟΙ ΠΑΡΑΓΟΝΤΕΣ ΕΠΙΤΥΧΙΑΣ ΕΡΓΩΝ ERP Είναι μεγάλο το ποσοστό των ERP (και γενικότερα των ΠΣ) που αποτυγχάνουν λόγω κακού σχεδιασμού. Για να αποφευχθούν τέτοια περιστατικά, πρέπει να λαμβάνονται υπόψη οι παρακάτω παράγοντες. Εμπλοκή και ενδιαφέρον της ανώτερης και ανώτατης διοίκησης (top management involvement) Κατάλληλος project manager με εμπειρία, γνώση της επιχείρησης και δυνατότητα λήψης αποφάσεων Μέλη- χρήστες με γνώση από όλες τις οργανωτικές μονάδες που θα καλυφθούν από το σύστημα (project team)- επαρκής συμμετοχή- ε- μπλοκή χρηστών 33

34 Κατάλληλη εξωτερική βοήθεια- έμπειροι consultants (αναλύεται στην ενότητα 2.6.1) Επαρκής εκπαίδευση χρηστών και εξειδικευμένου προσωπικού Πληροφορικής (training) Πρόγραμμα διαχείρισης της αλλαγής (change management program), ώστε να αποφευχθούν αρνητικές αντιδράσεις και αντιστάσεις (resistance to change) Σαφής καθορισμός του έργου και μετριοπάθεια στόχων (project scope) Κατάλληλη αντιμετώπιση τεχνικών προβλημάτων (μετατροπή δεδομένων, διασύνδεση με άλλα συστήματα/ εφαρμογές) Κατάλληλη αντιμετώπιση του θέματος «Διαδικασίες» Κατάλληλη στρατηγική υλοποίησης Επιλογή κατάλληλου ERP συστήματος (κοντά στις διαδικασίες της επιχείρησης) [8]. 2.6 ΤΡΟΠΟΙ ΥΛΟΠΟΙΗΣΗΣ ΤΩΝ ΣΥΣΤΗΜΑΤΩΝ Η υλοποίηση ενός τέτοιου συστήματος, όπως αναφέραμε, δεν σημαίνει απλώς την ε- γκατάστασή του και τίποτα περισσότερο. Σημαίνει (όπως ήδη προαναφέρθηκε) την ολοκλήρωση όλων των λειτουργιών και πληροφοριών σε κοινή βάση δεδομένων, την εγκατάλειψη παλαιών μεθό- Εικόνα 2-4: Τρόποι υλοποίησης συστημάτων [13] δων, την εκπαίδευση των εργαζομένων κλπ. Με λίγα λόγια η οργανωσιακή αλλαγή αντιπροσωπεύει σε μεγάλο βαθμό την επιτυχία ενός ERP. Οι επιχειρήσεις μπορούν να υλοποιήσουν ένα ERP με πολλούς διαφορετικούς τρόπους. Οι διαστάσεις κλειδιά που διαφοροποιούν τον τρόπο υλοποίησης ενός ERP είναι ο χρόνος υλοποίησης και το μέγεθος της οργανωσιακής αλλαγής που προσδοκά η επιχείρηση. Όταν οι δύο αυτές διαστάσεις συνδυαστούν προκύπτει ο πίνακας της εικόνας 2-4. Τα συστήματα μπορούν να υλοποιηθούν είτε αργά, είτε γρήγορα. Αυτό εξαρτάται από τους στόχους που έχει θέσει η επιχείρηση, από το πόσο περιορισμένος είναι ο διαθέσιμος χρόνος και από το πόσο καλά προχωρά η υλοποίηση. Μια γρή- 34

35 γορη υλοποίηση μπορεί να διαρκέσει από μερικούς έως έξι (6) μήνες, ενώ μια αργή να χρειαστεί πέντε (5) ή και παραπάνω χρόνια. Ανάλογα με τις επιδιώξεις της εταιρείας τα συστήματα ERP μπορούν να εγκατασταθούν για τεχνικούς λόγους ή για την υποστήριξη της στρατηγικής και της α- νταγωνιστικότητας της. Μια υλοποίηση που αφορά τον πρώτο λόγο σκοπεύει στη προσφορά μιας ουσιώδους λειτουργικότητας στην εταιρεία, με την όσο το δυνατόν μικρότερη οργανωσιακή αλλαγή. Αντίθετα, μια υλοποίηση που αφορά το δεύτερο λόγο στοχεύει στη μεγιστοποίηση της θετικής οργανωσιακής αλλαγής και αξίας της εταιρείας στην αγορά. Από τον παραπάνω πίνακα ο μοναδικός συνδυασμός, ο οποίος δεν φαίνεται να είναι λογικός, είναι η επιλογή «Αργή-Τεχνική», καθώς η εστίαση στους τεχνικούς λόγους προσφέρει μικρή επιχειρηματική αξία (business value). Όταν λοιπόν κάποιος διαπιστώσει ότι βρίσκεται σε αυτή την κατηγορία, αντιλαμβάνεται ότι έχει πραγματοποιήσει μια «φτωχή» υλοποίηση. Ο συνδυασμός «Γρήγορη-Τεχνική» σημαίνει μια γρήγορη ανακούφιση από πολλά τεχνικά προβλήματα, και είναι μια προσέγγιση που θεωρείται ως η πιο οικονομική. Κάποιες εταιρείες θεωρούν ορθότερο να ξεκινούν με μια γρήγορη τεχνική υλοποίηση, σκοπεύοντας όμως στην απόκτηση συγκεκριμένης επιχειρηματικής αξίας από τα συστήματά τους. Για να γίνει αυτό περισσότερο κατανοητό, η θεώρησή αυτή υποδηλώνει τη γρήγορη εγκατάσταση του συστήματος στην εταιρεία και, στην πορεία, την προσαρμογή του στις ανάγκες αυτής [13] Ο ρόλος του συμβούλου υλοποίησης Στο παρελθόν έχουν γίνει αρκετά έργα ERP με μέτρια αποτελέσματα για τις επιχειρήσεις ή, σε ορισμένες περιπτώσεις, οδήγησαν ανάλογα projects σε αποτυχία. Δεν είναι τυχαίο ότι οι σοβαροί Οίκοι Λογισμικού κάνουν το τελευταίο διάστημα μια έντονη προσπάθεια να στελεχωθούν με συμβούλους που δεν έχουν τόσο προϋπηρεσία στο χώρο του λογισμικού, όσο στο χώρο του management consulting. Αυτό που έλειπε από τα έργα υλοποίησης ERP συστημάτων ήταν σύμβουλοι υλοποίησης με «Business» προσέγγιση. Αυτοί οι σύμβουλοι λειτουργούν ως «μεταφραστές των απαιτήσεων» ανάμεσα στα στελέχη της επιχείρησης (που ζητά το ERP) και στους developers του ERP software, επιλύοντας προβλήματα, βρίσκοντας διεξόδους στις περιπτώσεις που το software δεν μπορεί να καλύψει επακριβώς τις ανάγκες της επιχείρησης, διευκολύνοντας την ομαλή ροή της εργασίας μέσα στα προκαθορισμένα χρονοδιαγράμματα και, γενικότερα, βοηθώντας την διεκπεραίωση του έργου. 35