ERP 系统的权限管理与内控设计
在现代企业中，ERP 系统是所有营运数据的核心，从财务报表、客户数据、采购价格到生产配方，几乎所有机密信息都集中在这个平台上。如果权限管理设计不当，轻则导致数据外泄、员工舞弊，重则可能造成财务损失与法律风险。因此，权限管理与内部控制设计是 ERP 系统成功运作的关键基石。本文将探讨 ERP 权限管理的核心原则，以及如何透过系统设计建立有效的内控机制。
1. 权限管理的核心原则：最小权限与职责分离
最小权限原则
每位员工只应被授予完成其工作所需的「最低限度权限」。例如，业务人员只需能查询客户数据、建立报价单与订单，不需要拥有修改会计凭证或调整库存的权限。会计人员只需能处理财务模块，不应能修改采购价格或删除销售纪录。最小权限原则能有效降低因人为疏失或恶意行为而导致的数据损坏或外泄风险。
职责分离原则
职责分离是内控的核心，其目的是避免「一个人从头到尾掌控一笔交易」。例如：
* 采购与验收分离：负责下采购单的人，不能同时负责收货验收。
* 付款与对账分离：负责付款的人，不能同时负责银行对账。
* 建档与审核分离：负责建立供货商或客户数据的人，不能同时拥有审核权限。
在 ERP 系统中，这些原则必须透过「角色权限设定」来实现。系统应允许管理员根据职务建立不同的角色（如业务、采购、仓管、会计、财务主管），并为每个角色分配对应的权限。
2. 权限设计的实务做法
功能权限与数据权限分开设定
权限管理应区分为两个层次：
* 功能权限：员工是否能进入某个模块、是否能执行新增、修改、删除、查询等动作。
* 数据权限：员工能看到哪些数据。例如，业务主管能看到所有业务的客户数据，而一般业务只能看到自己负责的客户。
善用审核关卡
ERP 系统应设定关键交易的审核机制。例如，采购单超过一定金额时，必须经过主管审核才能发送给供货商；付款单必须经过财务主管核准才能执行。审核关卡不仅能防止错误，也能留下完整的审核轨迹，方便事后稽核。
定期检视与调整权限
员工的职务会变动，权限也应随之调整。企业应建立定期检视权限的机制（例如每半年一次），并在员工离职或调职时，立即停用或调整其权限。此外，应定期检查是否有「长期未使用」的账号，并将其停用。
3. 远程连线的内控设计：RDP 的 Timeout 设定
对于需要远程存取 ERP 系统的企业，远程桌面连线是常见的工具。然而，若远程连线没有适当的逾时设定，可能导致安全漏洞。例如，员工离开座位时未登出，任何人经过都能直接操作其 ERP 系统；或是连线中断后，工作阶段仍长时间保持开启，增加被恶意利用的风险。
因此，企业应在 RDP 服务器上设定以下两项逾时：
* 中断连线逾时：建议设定为 1 分钟。当连线意外中断（如网络不稳、电脑休眠）时，系统会在 1 分钟后自动登出该工作阶段，避免工作阶段长时间闲置。
* 闲置逾时：建议设定为 3 至 8 小时，视乎企业的作业性质而定。当使用者在一段时间内没有任何鼠标或键盘操作时，系统会自动登出。对于处理机密数据的财务或管理人员，建议设定较短的闲置逾时（如 3 小时）；对于需要长时间监控或操作的人员，则可设定较长的时间（如 8 小时）。
由于闲置逾时以「小时」为单位，即使设定为 3 小时，员工离开座位后仍有长达数小时的空窗期。若在此期间有人未经授权使用该电脑，即可直接操作 ERP 系统，风险相对较高。因此，除了 RDP 的闲置逾时外，企业还必须搭配 Windows 的屏幕保护程序，并设定为「恢复时需要输入密码」。具体做法是：将屏幕保护程序的等待时间设定为较短的时间（例如 5 至 10 分钟），并勾选「在恢复时显示登录画面」。如此一来，即使 RDP 的闲置逾时尚未触发，屏幕保护程序也会在短时间内锁定画面，要求使用者重新输入密码。这形成了双重保护：短时间的屏幕锁定加上长时间的 RDP 登出，能有效降低未授权存取的风险。
4. 内控设计：稽核轨迹与异常监控
完整的稽核轨迹
ERP 系统应记录每一笔交易的操作者、操作时间、操作内容（新增、修改、删除）以及修改前后的值。这让管理者在发生异常时，能快速追溯是哪位员工在何时做了什么动作。稽核轨迹是内部稽核与外部审计的重要依据。
异常监控与警示
系统应设定异常监控规则，例如：
* 同一笔凭证在短时间内被反复修改。
* 某个账号在非上班时间登录。
* 某个员工的采购金额突然大幅增加。
* 供货商银行账号突然变更。
当系统侦测到异常时，应自动发送警示给管理层或稽核人员，以便及时介入调查。
5. 结论
ERP 系统的权限管理与内控设计，是企业风险管理的第一道防线。透过最小权限原则与职责分离原则，企业能有效降低舞弊与错误的风险；透过稽核轨迹与异常监控，企业能实时发现问题并采取行动。此外，远程连线的逾时设定（中断连线逾时 1 分钟、闲置逾时 3 至 8 小时）也需搭配 Windows 屏幕保护程序与密码锁定，才能形成完整的防护。权限管理不是一次性的设定，而是需要持续检视与调整的动态过程。唯有将权限管理与内控设计落实到日常营运中，ERP 系统才能真正成为企业安全、可靠的营运核心。
