Campione
Fin qui arriva una verifica a mano: alcuni utenti, alcuni ruoli, qualche transazione, scelti in base a esperienza e tempo. Tutto il resto rimane un’ipotesi. Non perché non interessi a nessuno, ma perché nessuno lo paga.
Verifichi il sistema.Non il campione.
Chi verifica un sistema SAP a mano controlla tabelle, ruoli, parametri e registrazioni uno per uno. Richiede tempo. Per questo per lo più ci si ferma ai campioni, e il budget di audit decide quanta parte del sistema qualcuno ha visto.
ISPICIO_S verifica tutti gli utenti, i ruoli, i parametri e le registrazioni rispetto al Suo insieme di regole e presenta il risultato riga per riga. ISPICIO_X preleva i dati gratuitamente là dove Lei non ha accesso. Una licenza per auditor, indipendentemente dal numero di sistemi e di utenti SAP.
Il problema
Il campione non è mai stato il metodo.
Era il compromesso.
Nessuno verifica solo un frammento per convinzione. Il campione è la risposta a un impegno che nessun budget copre. Con un software che legge l’intero sistema, quella ragione viene meno.
- OnerosoChi verifica un sistema SAP a mano passa in rassegna tabelle, ruoli, parametri e registrazioni. Uno per uno, in sequenza, da capo per ogni sistema.
- CampioneCosì si controllano alcuni utenti, alcuni ruoli, alcune registrazioni. Il resto rimane un’ipotesi.
- BudgetI budget di audit rispecchiano di rado l’effettivo impegno di analisi. La profondità della verifica segue il budget, non il rischio.
- Rischio residuoCiò che il campione non contiene, nessuno lo vede. Autorizzazioni critiche e conflitti nella separazione delle funzioni restano inosservati.
Dal campione all’analisi completa
L’intero sistema. Non un frammento.
Ogni punto è un utente. A mano se ne controllano alcuni. ISPICIO_S li verifica tutti, rispetto a tutte le regole, e mostra dove ci sono occorrenze.
Analisi completa
ISPICIO_S legge le tabelle del sistema e verifica ogni utente e ogni ruolo rispetto a ogni regola scelta. In più i parametri di sistema, le registrazioni del periodo, l’utilizzo delle transazioni e le modifiche allo standard SAP. Quanti utenti abbia il sistema non ha importanza, né per l’impegno dell’auditor né per il prezzo.
Risultato
Una riga per regola, accanto il numero delle occorrenze e ogni singolo utente o ogni ruolo. Ciò che emerge è comprovato, non stimato. E senza occorrenze l’affermazione è comprovata allo stesso modo: tutti verificati, nulla trovato.
Due programmi. Un file.
A sinistra non costa nulla.
A destra una licenza.
Il percorso dei dati ha un confine tra l’azienda sottoposta a revisione e l’auditor. ISPICIO_X lavora a sinistra del confine, gratuitamente. ISPICIO_S lavora a destra, con una licenza per auditor. In mezzo viaggia un file.
- 01Sistema SAP presso l’azienda verificata
- 02ISPICIO_X legge, gratuitamente
- 03File attraversa il confine
- 04ISPICIO_S verifica, una licenza per auditor
- 05Report PDF, CSV, file di analisi
-
Via 1
Auditor con accesso
Se l’auditor dispone di un proprio accesso RFC, ISPICIO_S si collega direttamente al sistema SAP e legge le tabelle. ISPICIO_X non serve. Così lavora anche il team SAP Basis che verifica il proprio sistema.
-
Via 2
I dati vanno all’auditor
Il team SAP Basis dell’azienda sottoposta a revisione estrae i dati con ISPICIO_X, gratuito: accesso in sola lettura, set di tabelle predefiniti, su richiesta di notte secondo una pianificazione. Il file va all’auditor, che lo apre in ISPICIO_S.
-
Via 3
Il risultato torna indietro
L’auditor salva l’analisi conclusa come file. L’azienda sottoposta a revisione lo apre in ISPICIO_X, gratuito, e genera da sé gli stessi report. Il risultato è tracciabile su entrambi i lati del confine.
Tre impegni
Una licenza. Tutto. Comprovato.
-
Un auditor. Tutti i sistemi, tutti gli utenti.
La licenza di ISPICIO_S appartiene alla persona che verifica, non al sistema SAP. Con essa un auditor analizza tanti sistemi con tanti utenti SAP quanti ne verifica. Il prezzo resta lo stesso. ISPICIO_X non costa nulla, a nessuno.
-
Analisi completa invece del campione.
ISPICIO_S verifica tutti gli utenti o tutti i ruoli rispetto a ogni regola scelta, più parametri di sistema, registrazioni, utilizzo e modifiche allo standard SAP. Il risultato è una riga per regola con il numero delle occorrenze, espandibile fino al singolo utente.
-
Audit trail completo dell’analisi.
Ogni estrazione dei dati lascia un registro con il numero di righe per tabella. Ogni analisi è un file che si può riaprire, anche con ISPICIO_X, gratuito. Ogni report indica regola, autore e data.
Cinque aree di controllo
Che cosa viene verificato. Secondo le Sue regole.
Quali autorizzazioni siano critiche, quali combinazioni costituiscano un conflitto e quali parametri valgano lo stabilisce Lei. Gli ambiti di verifica si possono raggruppare in Control Set; un team condivide regole e modelli di report e verifica ovunque allo stesso modo. Gli sviluppi propri li verifica ad hoc, senza creare una regola.
- Autorizzazioni
- Autorizzazioni critiche e separazione delle funzioni (SoD): quali utenti e ruoli possono fare ciò che non dovrebbero poter fare. A scelta per società o organizzazione acquisti, a scelta solo per gli utenti di dialogo.
- IT General Controls
- Parametri di sistema rispetto ai valori attesi, oltre a controlli di accesso, di modifica e operativi: regole per le password, Security Audit Log, trasporti nel sistema produttivo, chiavi sviluppatore, utenti standard.
- Journal Entry Testing
- Le registrazioni di un periodo, da ECC o S/4HANA, come base per la revisione contabile. I risultati passano in CSV all’analisi successiva.
- Utilizzo
- Quali transazioni e report vengono davvero richiamati, e da chi. Ciò che non si usa mai può essere eliminato. Chi ha effettivamente registrato con troppi diritti diventa visibile.
- IPE Testing
- Modifiche allo standard SAP. Ciò che l’azienda sottoposta a revisione ha modificato nello standard, l’auditor non può presupporlo come standard e lo verifica separatamente.
In sede di audit
Comprovato fino al singolo utente.
Il risultato di un’analisi non è una sintesi, ma un elenco: una riga per regola, accanto ogni utente, ogni ruolo, ogni documento. Ciò che l’auditor mostra, l’azienda sottoposta a revisione può aprirlo da sé con ISPICIO_X.
Area di controlloRegolaOccorrenze
Autorizzazioni Rilasciare cicli di pagamento 41 utenti
- A. M. · Ruolo Z_FI_ZAHLLAUF
- K. S. · Profilo SAP_ALL
- T. L. · Ruolo Z_FI_BUCHHALTUNG
- e altri 38
Separazione delle funzioni Creare fornitore e rilasciare pagamento 12 utenti
IT General Controls Lunghezza minima della password inferiore al valore richiesto Not Effective
Journal Entries Registrazioni nei fine settimana e nei giorni festivi 118 documenti
Utilizzo Transazioni mai richiamate nel periodo di verifica 264 transazioni
-
Report PDF
Definizione delle regole, report sintetico con i primi dieci utenti per regola, report dettagliato con tutti, tabella incrociata di utente, autorizzazione e utilizzo, un report per ambito di verifica. Ognuno con autore, azienda e data.
-
Esportazioni CSV
Tutte le autorizzazioni per utente come tabella piatta per le tabelle pivot, ruoli, ogni vista del Result Explorer, registrazioni per la verifica successiva.
-
File di analisi
L’analisi salvata si apre in ISPICIO_S e in ISPICIO_X, gratuito. L’azienda sottoposta a revisione genera da sé gli stessi report.
-
Registro di download
Per ogni estrazione dei dati un registro con il numero di righe per tabella, da confrontare con il sistema SAP. I nomi utente si possono sostituire con iniziali o numeri prima dell’esportazione.
Requisiti
Che cosa Le serve.
Due programmi Windows, un accesso RFC in sola lettura. Nessun server, nessun database, nessun cloud. I dati restano sul computer che li legge.
- Postazione di lavoro
- Windows 10 (dalla versione 1809) o Windows 11, 64 bit. Entrambi i programmi arrivano come pacchetto MSIX firmato; un doppio clic li installa. Interfaccia e report PDF in tedesco o inglese.
- Accesso SAP
- Un utente RFC con autorizzazioni esclusivamente di lettura, tramite connessione diretta o attraverso il Message Server. Un ruolo adatto lo riceve da noi. Nel sistema SAP non si installa e non si modifica nulla.
- Memoria RAM
- L’analisi viene eseguita nella memoria del computer. Per IPE Testing e grandi volumi di registrazioni si consigliano 16 GB; le registrazioni si possono caricare per trimestre o per mese.
- Licenza
- ISPICIO_X: nessuna. ISPICIO_S: una chiave di licenza per auditor (Named User), indipendentemente dal numero di sistemi e utenti SAP. La licenza viene verificata online sul server licenze di ISPICIO.
- E-mail, opzionale
- SMTP o Microsoft Exchange, se ISPICIO_X o ISPICIO_S devono segnalare la fine di un’estrazione dei dati lunga, ad esempio dopo un’estrazione notturna delle registrazioni.
Prossimo passo
Cominci oggi: ISPICIO_X preleva le tabelle, gratuitamente. Il nostro ufficio commerciale invia la chiave per ISPICIO_S, valida per 14 giorni.