Die Rechtestruktur im ERP ist die kritischste Einstellung für interne Kontrolle und Datensicherheit. In den meisten Einführungen wird sie am ersten Tag breit gesetzt und nie wieder angefasst.
01. Die Berechtigungsmatrix
Welche Rolle auf welcher Maske was darf, gehört in eine Tabelle. Ohne sie werden vergebene Rechte mit der Zeit zu einem Gebilde, das niemand erklären kann.
02. Funktionstrennung
Wer eine Bestellung anlegt und wer sie freigibt, wer eine Rechnung erfasst und wer zahlt, darf nicht dieselbe Person sein. Der Großteil von Missbrauchsfällen entsteht aus fehlender Trennung.
03. Kritische Vorgänge
Preisänderung, Rabattvergabe, Bestandskorrektur, Debitorenlöschung sowie Periodenöffnung und -schließung sind kritisch. Sie gehören in eine enge Gruppe, und jede Nutzung ist zu protokollieren.
04. Der Prüfpfad
Wer wann welchen Datensatz wie geändert hat, muss aus dem System beantwortbar sein. Die Protokollierung darf keine abschaltbare Einstellung sein und für normale Nutzer nicht löschbar.
05. Keine Sammelkonten
Gemeinsam genutzte Einzelkonten machen den Prüfpfad wertlos. Auch an Lagerterminals sollte personenbezogene Anmeldung gelten.
06. Regelmäßige Kontrolle
Prüfen Sie einmal jährlich alle Nutzer und Rechte. Konten Ausgeschiedener, temporär vergebene und dauerhaft gewordene Rechte sowie kollidierende Rollen treten dabei zutage.