Trách Nhiệm Thực Hiện Kiểm Soát “Thử Nghiệm Hệ Thống”

dùng số liệu thực. Vì vậy trong giai đoạn thử nghiệm đã bao gồm cả việc chuyển đổi dữ liệu và hệ thống.

Hoạt động thử nghiệm hệ thống giúp doanh nghiệp đạt nhiều mục tiêu như:

 Đảm bảo hệ thống ERP tích hợp được vào qui trình xử lý hoạt động kinh doanh, xử lý các hoạt động của doanh nghiệp, đáp ứng các yêu cầu thông tin của doanh nghiệp (mục tiêu CNTT1, CNTT11)

 Đảm bảo đáp ứng sự phù hợp giữa thiết bị và phần mềm ERP và các sai sót của hệ thống được phát hiện trước khi sử dụng chính thức, từ đó đảm bảo sự tin cậy với hệ thống ERP (mục tiêu CNTT 12,15,20,21).

Thực tế khảo sát ở Việt Nam cho thấy kiểm soát thử nghiệm hệ thống cực kỳ quan trọng vì mức điều chỉnh qui trình xử lý kinh doanh khá cao, việc điều chỉnh phần mềm ERP cũng cận mức chấp nhận tối đa, gần tới mức bị đánh giá là ERP thay đổi bản chất nguyên thủy.

Để hoạt động thử nghiệm đạt mục tiêu, CobiT hướng dẫn sử dụng AI7 trong thiết kế kiểm soát thử nghiệm hệ thống. Kết hợp hướng dẫn của AI7 và các nguyên tắc kiểm soát thử nghiệm hệ thống, luận án đề nghị các kiểm soát sau:

 Xác định phương pháp thử nghiệm và lập kế hoạch thử nghiệm hệ thống. Kế hoạch này cần xác định trình tự thời gian và trình tự các phân hệ trong qui trình thử nghiệm và người chịu trách nhiệm việc thử nghiệm. Quá trình bắt đầu từ thử nghiệm từng phân hệ ở mức độ chi tiết ít bị ảnh hưởng bởi phân hệ khác trước rồi mới tới các phân hệ chịu ảnh hưởng đầu vào từ các phân hệ khác liên quan rồi tới toàn bộ hệ thống; Từ thử nghiệm của nhà tư vấn, triển khai đến thử nghiệm người sử dụng. Người quản lý bộ phận phải đánh giá và chấp thuận kết quả thử nghiệm. Nếu người sử dụng chưa chấp thuận hệ thống thì chưa đưa vào sử dụng chính thức. Vì mức độ điều chỉnh qui trình và phần mềm ERP ở Việt Nam cao nên bắt buộc sau khi thử nghiệm, hệ thống mới vẫn cần chạy song song với hệ thống cũ một khoảng thời gian

tương đối, từ 1- 3 tháng (là khoảng thời gian tương đối đủ cho các hoạt động xử lý quan trọng liên quan hoạt động kinh doanh và báo cáo tài chính).

 Thực hiện đầy đủ qui trình thử nghiệm theo kế hoạch. Lập biên bản thử nghiệm hệ thống và phân tích kết quả thử nghiệm đầy đủ và đưa ra kết luận rõ ràng hoặc chấp nhận hoặc đề nghị sửa chữa.

 Sau khi thử nghiệm, cần xây dựng hồ sơ sử dụng hệ thống với đầy đủ hồ sơ kỹ thuật, hồ sơ hướng dẫn sử dụng hệ thống.

 Đánh giá chất lượng hoạt động thử nghiệm bằng cách thực hiện việc đánh giá hệ thống sau một thời gian sử dụng thông qua tỷ lệ hay số lượng phân hệ hoặc số lượng dữ liệu đã được thử nghiệm nhưng vẫn phải sửa chữa trong quá trình sử dụng hệ thống do thử nghiệm không tốt gây ra. Ví dụ số lượng dữ liệu không được định nghĩa đầy đủ ở giai đoạn chạy thử hay phân hệ hàng tồn kho không quản lý được hàng hóa tồn kho theo bộ, nhưng sử dụng theo từng chi tiết trong quá trình thực hiện hoạt động kinh doanh.

Trách nhiệm liên quan trong hoạt động thử nghiệm hệ thống được xác định như bảng 3.5 sau.

Hoạt động	CIO	Phụ trách bộ phận hoạt động	PMO	Kiểm toán
Xây dựng và xem xét kế hoạch và phương pháp thử nghiệm hệ thống	A/R	C/I	C	C
Thực hiện chuyển đổi hệ thống và chuyển đổi dữ liệu	I	A/R	I	C
Thực hiện kiểm tra (test) hệ thống	A	A/R	R	C
Phân tích kết quả thử nghiệm và đề nghị	A/I	R	R	C

Có thể bạn quan tâm!

Xem toàn bộ 226 trang tài liệu này.

Bảng 3.5. Trách nhiệm thực hiện kiểm soát “Thử nghiệm hệ thống”

Nguồn: Tác giả tổng hợp và phát triển từ hướng dẫn CobiT Báo cáo hồ sơ liên quan thử nghiệm hệ thống:

 Kế hoạch thử nghiệm hệ thống

 Đánh giá, phân tích và đề nghị kết quả thử nghiệm hệ thống

Huấn luyện nhân viên.

Trong hệ thống ERP, người sử dụng hệ thống là người tạo dữ liệu và lấy dữ liệu, giám sát, kiểm tra hệ thống ERP. Cụ thể: Người quản lý các bộ phận sẽ đưa ra các chính sách quản lý của bộ phận, xét duyệt thủ công, xét duyệt giám sát nghiệp vụ trên hệ thống; Nhân viên bộ phận chức năng kinh doanh sẽ đưa các dữ liệu về hoạt động kinh doanh theo qui trình xử lý kinh doanh; Nhân viên kế toán thực hiện các thao tác và đưa các dữ liệu liên quan tới chi phí dịch vụ hay giá trị tài sản liên quan nghiệp vụ kinh tế, các ước tính kế toán cuối kỳ như khấu hao, phân bổ hay lập dự phòng; Kế toán trưởng đưa các chính sách kế toán vào hệ thống như phương pháp hạch toán và tính giá hàng tồn kho, phương pháp hạch toán và tính giá thành sản phẩm, phương pháp khấu hao v.v..Quản trị hệ thống thông tin kết hợp cùng các quản lý bộ phận đưa ra các chính sách an toàn hệ thống, truy cập hệ thống và dữ liệu và kiểm soát bất thường sử dụng hệ thống; Kiểm toán giám sát và đánh giá tuân thủ hoạt động kinh doanh, chất lượng thông tin và báo cáo.

Việc huấn luyện, đào tạo các nhân viên doanh nghiệp nhằm đáp ứng được mục tiêu kiểm soát hệ thống là :

Đảm bảo sự hài lòng của người sử dụng với các dịch vụ được cung cấp (Mục tiêu CNTT số 3).

Đạt được và duy trì các kỹ năng công nghệ thống tin để đáp ứng chiến lược công nghệ thông tin (mục tiêu CNTT 9)

Đảm bảo sử dụng đúng và tuân thủ các qui định về kỹ thuật và thao tác hệ thống ERP (mục tiêu CNTT số 13)

Tối ưu hóa việc sử dụng nguồn lực thông tin (mục tiêu CNTT 15)

Giảm các khiếm khuyết và phải làm lại trong những hoạt động cung cấp và giao dịch vụ CNTT (mục tiêu CNTT số16)

Nếu phân tích vị trí, vai trò của nhóm người tham gia hoạt động, các rủi ro lớn nhất có thể xẩy ra là:

 Sai sót hoặc cố tình điều chỉnh dữ liệu nhập vào hệ thống

 Điều chỉnh các dữ liệu mệnh lệnh hoặc chính sách để phù hợp dữ liệu thực hiện được đưa vào từ một bộ phận nhập liệu khác.

 Trì hoãn hoặc làm chậm việc nhập liệu.

 Không hiểu tầm quan trọng ảnh hưởng công việc của bản thân với các bộ phận khác nên không tuân thủ nghiêm ngặt các qui trình qui định hệ thống ERP.

 Không có ý thức tuân thủ qui trình hoạt động của hệ thống do nhận thức không đúng vấn đề chất lượng thông tin và ảnh hưởng của chất lượng thông tin, dịch vụ tới người sử dụng cuối cùng.

Việc huấn luyện, đào tạo nhân viên chưa tốt tại các doanh nghiệp sử dụng ERP tại Việt Nam, dẫn tới khả năng rủi ro về ý thức và thực hiện hoạt động của nhân viên trong quá trình sử dụng ERP.

Để đạt các mục tiêu kiểm soát liên quan huấn luyện, đào tạo nhân viên, CobiT đã hướng dẫn các xử lý CNTT PO6.5, PO7.2, PO 7.4, AI4, DS7. Về nguyên tắc, một hướng dẫn xử lý CNTT bao giờ cũng đáp ứng nhiều mục tiêu kiểm soát, vì vậy luận án chỉ chọn ra các kiểm soát phù hợp.

Huấn luyện nhân sự được thực hiện tùy theo giai đoạn của quá trình phát triển hệ thống ERP. Ở giai đoạn cài đặt, huấn luyện việc huấn luyện nhân viên doanh nghiệp hoàn toàn do nhà tư vấn, triển khai thực hiện. Ở giai đoạn sử dụng hệ thống, việc huấn luyện này vẫn cần tiến hành định kỳ và có thể do chính doanh nghiệp đảm nhận hoặc có thể thuê các nhà tư vấn, đơn vị đào tạo thực hiện.

Trước khi huấn luyện, phụ trách bộ phận CNTT (CIO, quản lý đội dự án, phụ trách các bộ phận sử dụng và bộ phận huấn luyện đào tạo thuộc phòng nhân sự cần xây dựng một kế hoạch xác định nhu cầu cần huấn luyện nhân viên tùy theo từng nhóm nhân viên. Từ đây, xác định những nội dung huấn luyện nào cần được thực hiện ở giai đoạn triển khai do nhà tư vấn thực hiện, những nội dung huấn luyện nào cần được thực hiện ở giai đoạn sử dụng do bộ phận huấn luyện công ty đảm trách.

 Xác định các nhu cầu cần huấn luyện và đào tạo nhân viên. Các nhu cầu này thường bao gồm các vấn đề

 Chiến lược và mục tiêu kinh doanh hiện tại và tương lai.

 Thông tin là một tài sản của doanh nghiệp và có giá trị như tài sản.

 Giá trị doanh nghiệp như giá trị đạo đức, văn hóa doanh nghiệp

 Cách thức hoạt động của hệ thống

 Kỹ năng cần thiết và trách nhiệm của nhân viên trong việc thực hiện và an toàn hệ thống

 Các kỹ năng cần thiết hiện tại và tương lai, những bằng cấp, thành tích chứng tỏ việc thích hợp với công việc và sự phấn đấu của nhân viên.

 Giai đoạn cài đặt, huấn luyện hệ thống ERP. Giai đoạn huấn luyện này do nhà tư vấn triển khai ERP đảm nhận liên quan chủ yếu tới cách thức hoạt động hệ thống, những kỹ năng và trách nhiệm cần thiết để hoạt động và an toàn hệ thống. Đây cũng là một trong những nội dung thể hiện kinh nghiệm và khả năng của nhà tư vấn, triển khai ERP

 Lập kế hoạch huấn luyện. Kế hoạch cần đạt mục tiêu xác định và huấn luyện được nhân viên về các thay đổi hệ thống và đủ kỹ năng và hiểu biết hệ thống kịp thời gian trước khi hệ thống chính thức sử dụng.

o Kế hoạch này cần xem xét toàn diện về cả vấn đề thời gian, nội dung huấn luyện và các nhóm người được huấn luyện. Theo lời khuyên của chuyên gia, việc thiết lập chương trình huấn luyện nên bắt đầu càng sớm càng tốt và có thể bắt đầu ngay khi thiết kế thay đổi hệ thống (tùy chỉnh) để đảm bảo vấn đề về tiến độ thời gian của cả doanh nghiệp và nhà tư vấn.

o Phương pháp huấn luyện có thể kết hợp cả huấn luyện lý thuyết trên lớp, huấn luyện mẫu mô phỏng qua huấn luyện điện tử E-learning và trên phần mềm thực tế; và qua các cẩm nang hướng dẫn sử dụng và hướng dẫn kỹ thuật hệ thống.

o Nội dung huấn luyện cần cung cấp nhân viên đủ kiến thức và kỹ năng thực hiện hoạt động liên quan, bao gồm cả qui trình hoạt động kinh doanh, luân chuyển công việc (workflow) trong hệ thống, thao tác sử dụng hệ thống, kỹ năng nhập liệu và lấy thông tin, hiểu biết và kỹ năng về an toàn thông tin, hệ thống và rất quan trọng là tầm quan trọng của ý thức tuân thủ và thái độ sử dụng của người sử dụng đối với hệ thống.

o Phân loại nhóm người cần huấn luyện và nội dung huấn luyện liên quan. Nhóm người công nghệ thông tin trong doanh nghiệp cần được huấn luyện chủ yếu về những vấn đề thiết bị, mạng truyền thông, cơ sở dữ liệu và các vấn đề liên quan yêu cầu kỹ thuật. Nhóm đội dự án cần được huấn luyện những kỹ năng trình bày mô tả vấn đề, kỹ năng phân tích thiết kế hệ thống (ở mức độ cơ bản) và kỹ năng về quản trị dự án. Nhóm người sử dụng cần được huấn luyện chủ yếu qui trình hoạt động kinh doanh, luân chuyển công việc, kỹ năng thao tác hệ thống đưa dữ liệu, lấy thông tin, kỹ năng kiểm soát nguồn dữ liệu, an toàn và lưu trữ dữ liệu và tuân thủ kỷ luật hệ thống.

 Thực hiện hoạt động huấn luyện và đánh giá hoạt động huấn luyện

 Xây dựng hồ sơ huấn luyện: gồm hướng dẫn sử dụng hệ thống ERP, hồ sơ kỹ thuật hệ thống ERP, hướng dẫn giải quyết các sai sót hay các trục trặc kỹ thuật đơn giản.

 Giai đoạn sử dụng hệ thống. Giai đoạn này chủ yếu huấn luyện nhóm người sử dụng và công nghệ thông tin nhằm cập nhật và nâng cao kiến thức về hệ thống và thao tác hệ thống, về xử lý kinh doanh. Ngoài ra cần thường xuyên huấn luyện và đào tạo người sử dụng hệ thống nâng cao nhận thức về quản lý an toàn thông tin, chính sách quản lý an toàn thông tin của doanh nghiệp. Việc huấn luyện có thể do nhà tư vấn triển khai, nhà tư vấn độc lập hoặc các tổ chức đào tạo, giáo dục. Cụ thể gồm:

 Lập kế hoạch huấn luyện gồm nội dung huấn luyện, thời gian huấn luyện, phương pháp huấn luyện và trách nhiệm thực hiện kế hoạch. Kế hoạch này cần xây dựng chi tiết cho từng nhóm nhân viên theo mục tiêu và trách nhiệm của họ tại doanh nghiệp

 Thực hiện kế hoạch huấn luyện đào tạo

 Đánh giá việc thực hiện. Thông thường có nhiều cách đánh giá như khảo sát trực tiếp từ nhân viên, từ người quản lý và sử dụng nhân viên và từ báo cáo của bộ phận huấn luyện. Các chỉ tiêu đánh giá huấn luyện như: số lần và mức độ thực hiện huấn luyện; Đánh giá thực hiện kế hoạch huấn luyện; Tỷ lệ nhân viên được huấn luyện; Tỷ lệ % nhân viên hài lòng huấn luyện; gia tăng hiệu quả hoạt động nhân viên/ hay mức độ sai sót của nhân viên; Số lượng các cuộc gọi tới bộ phận hỗ trợ dịch vụ về hỗ trợ dịch vụ.

Các báo cáo hay hồ sơ của hoạt động huấn luyện gồm:

 Kế hoạch huấn luyện

 Báo cáo thực hiện huấn luyện

 Các hồ sơ huấn luyện

Trách nhiệm thực hiện huấn luyện, đào tạo nhân viên được trình bày ở bảng 3.6.

Bảng 3.6. Trách nhiệm thực hiện kiểm soát “Huấn luyện, đào tạo nhân viên”

Hoạt động

CIO	Phụ trách bộ phận hoạt động	PMO	BP huấn luyện	Kiểm toán
Xác định kỹ năng CNTT cho nhân viên	A/R	I	C
Xây dựng nhu cầu huấn luyện & đào tạo nhân viên	A	R	C	R	C
Xây dựng kế hoạch/chương trình huấn luyện & đào tạo nhân viên	A	R	C	R	I
Thực hiện huấn luyện	A	C	C	R	I
Xây dựng và phát triển hồ sơ hướng dẫn sử dụng nhân viên	A	C	C	R	I
Đánh giá kết quả huấn luyện	A/R	R/I	C	R	C

(Nguồn: Tác giả tổng hợp và phát triển từ hướng dẫn CobiT)

3.4.6. Kiểm soát nhân tố “Đảm bảo hệ thống ERP tin cậy”.

Hệ thống ERP tin cậy là hệ thống cần đạt được 5 tiêu chuẩn là An ninh hệ thống; Bảo mật thông tin quan trọng; Riêng tư của thông tin cá nhân; Dữ liệu toàn vẹn trong thu thập và xử lý; và Hệ thống sẵn sàng cho việc sử dụng (Romney and Steinbart, 2006)

Mục tiêu kiểm soát đảm bảo hệ thống ERP tin cậy là:

 Đảm bảo thông tin quan trọng và bí mật được bảo vệ từ những người không được truy cập (mục tiêu CNTT 19).

 Đảm bảo nghiệp vụ kinh tế và thông tin trao đổi giữa các nghiệp vụ xử lý và hệ thống xử lý được tin cậy (mục tiêu CNTT20)

 Đảm bảo hạn chế việc hệ thống bị ngừng trệ do sai sót, tấn công hoặc thiên tai; đảm bảo hồi phục hệ thống và thông tin trong những tình huống này (mục tiêu CNTT 21)

 Đảm bảo giảm thiểu tối đa ảnh hưởng xấu hoạt động kinh doanh trong trường hợp hệ thống bị ngưng trệ hay thay đổi (mục tiêu CNTT 22)

 Đảm bảo các dịch vụ CNTT sẵn sàng cho sử dụng (mục tiêu CNTT 23).

Trong môi trường ERP, hầu hết các hoạt động xử lý kinh doanh và xử lý thông tin được thực hiện tự động và mức độ phụ thuộc vào tính liên tục, tin cậy của hệ thống rất cao. Rủi ro lớn nhất của kiểm soát hệ thống ERP là hoạt động kinh doanh bị ngưng trệ; dữ liệu và thông tin hư hỏng, không hồi phục được; thông tin cá nhân và dữ liệu, bí mật của doanh nghiệp bị mất, bị công bố không đúng luật và do đó hệ thống tạo ra thông tin không tin cậy, không kịp thời. Môi trường ERP cho phép có thể truy cập hệ thống và cơ sở dữ liệu dùng chung từ rất nhiều nơi trong doanh nghiệp và việc truy cập và sửa chữa dữ liệu về nguyên tắc thì không để lại dấu vết. Vì vậy đe dọa và điểm xung yếu nhất của hệ thống ERP là truy cập và lưu trữ dữ liệu.