Zabezpečení ERP SAP jako součást finančního auditu v prostředí velkých firem

Marek Fišer

Master's thesis

SAP ERP security as part of financial audit in a large business environment

Abstract:

Cílem této diplomové práce je představit metodiku, která je využívána k otestování návrhu a implementace interních aplikačních kontrol v prostředí velkých firem využívajících ERP systémy, a to zejména v prostředí těch firem, které využívají SAP ECC. Tato metodika je v práci detailně popsána a součástí práce je i praktická úloha, která je zaměřena na ověření úrovně zabezpečení SAP ECC v reálném firemním prostředí. Součástí této úlohy je detailní popis jednotlivých kroků testování a postupu auditora IT, výčet prvků zabezpečení, které jsou podrobeny auditnímu šetření a jaké podklady jsou vyžadovány pro ověření efektivity kontrol implementovaných v prostředí klienta. Následně je provedeno shrnutí a vyhodnocení míry rizika spojeného se zjištěnými nedostatky. Součástí vyhodnocení je i seznam doporučení, která má firma aplikovat ke zvýšení efektivity interních kontrol a dosažení optimální úrovně zabezpečení SAP ECC. V závěrečné části práce je provedena analýza nad nedostatky, které byly odhaleny během auditní sezóny 2016 v prostředí 20 velkých firem využívajících tento ERP systém. Zjištěné nálezy jsou klasifikovány do skupin dle rizika a součástí analýzy je i obsáhlé doporučení, které auditoři IT v praxi poskytují svým klientům za účelem zvýšení úrovně zabezpečení IT prostředí, a to zejména ve spojitosti se správou a dalšími činnostmi souvisejícími s finančními daty.

Abstract:

The aim of this diploma thesis is to present the methodology that is used, to test the design and implementation of internal application controls in environment of large companies using ERP systems, especially in the environment of companies using SAP ECC. This methodology is described in the thesis. Practical task which is aimed at verifying the security level of SAP ECC in real business environment is also part of the thesis. The practical part is composed of a detailed description of IT auditors individual steps of the testing procedure, a list of security elements, which are subject to an audit procedures and documents required for verification of the control effectiveness implemented in clients environment. Furthermore, there is a summary and evaluation of the risk level associated with identified deficiencies. Part of the evaluation is a list of recommendations, which the company should apply to increase the efficiency of internal controls and thus achieve the optimal security level of SAP ECC. In the final section of the diploma thesis there is an analysis of the deficiencies elaborated. These deficiencies have been identified during the audit season in 2016 in environment of 20 large companies using this ERP system. Identified findings are classified according to the risk level. Another part of analysis are comprehensive recommendations that IT auditors provide to their clients in order to increase the security level of IT environment, especially in connection with the management and other activities related to financial data.

Keywords

nedostatek, firma, aplikační kontrola, audit IT, doporučení, SAP ECC

Keywords

deficiency, SAP ECC, recommendation, company, application control, IT audit

Language used: Czech

Date on which the thesis was submitted / produced: 1. 2. 2017

Thesis defence

• Date of defence: 6. 6. 2017
• Supervisor: Vlasta Svatá
• Reader: Vojtěch Výborný

Vysoká škola ekonomická v Praze

Master programme / field:
Aplikovaná informatika / Informační management