用友 ERP环境下企业 ISO9001质量管理体系认证有效性研究

孙 玮 安 东 姚宇骏 裘 慧

(1.浙江出入境检验检疫局 浙江杭州 310012;2.国家认证认可监督管理委员会)

1 前言

企业管理信息化的发展趋势不可逆转,现在只要需要建设管理信息化系统,企业就一定会超越低级阶段,瞄准及选择最新的研究成果,即一旦企业进行企业管理信息系统的再造,其涉及的领域将空前广泛 ,包括产、供、销、设备、仓储、运输、设计、质量乃至人教劳资等企业管理的各个领域。目前越来越多的企业在加紧企业管理信息系统的建设,这从我国企业管理软件开发供应商的规模上可反映出来。企业管理信息化建设的一个重要阶段是建设企业核心的业务管理和应用系统阶段,在这个阶段最有代表性的是企业资源计划系统 (Enterprise Resource Planning,ERP)。用友 ERP是一种科学管理思想的计算机实现,它对产品研发和设计、作业控制、生产计划、投入品采购、市场营销、销售、库存、财务和人事等方面以及相应的模块组成部分,采取集成优化的方式进行管理。用友 ERP不是机械地适应企业现有的流程,而是对企业流程中不合理的部分提出改进和优化建议,并可能导致组织机构的重新设计和业务流程重组。

传统的认证审核人员在寻找客观证据时,主要是针对手工的记录 (包括采购记录,生产记录,检验记录,库存记录等等)进行证据资料的采集,而现代企业越来越多的使用电脑进行各种记录,随着电磁质量记录介质越来越广泛的应用,纸质记录将越来越罕见,认证审核人员面临的问题是无法通过传统的方法来获得纸质的客观证据,而大量的电磁介质的记录是否能作为客观证据呢?如果可以,那怎样判断电磁介质记录的真实性?依据所获得的电磁介质的客观证据得出的认证审核结论是否能全面、客观、真实、准确地反映企业质量管理现状?正是这些问题催生了传统 ISO9001质量管理体系认证审核方法的变革。

认证审核的电子环境已逐步形成,且其电子化的色彩将伴随着电子商务的产生和发展而变得越来越浓。本文以用友 ERP为例研究电子环境下企业 ISO9001质量管理体系认证的方法变化[1],该研究是新形势下提高认证审核有效性方法的探索,对提高质量管理体系审核的有效性具有深远意义[2]。

2 认证程序的变化

2.1 用友 ERP环境下电磁质量记录的特点

(1)电磁质量记录的系统依赖性。传统纸质记录不需要借助其他工具、设备就可以被人们感知;电磁质量记录对运行环境的依赖程度很大,输入、存储、输出的全过程都必须借助一定的硬件设备和软件平台。这是由于电磁质量记录在形成、传输的过程中,需要利用电磁场的变化将信息转变成以二进制代码存在的电子形式存贮或流动,这种信息只有依靠特定的系统并通过相应的程序解码,使用打印、屏显、运行等方式才能将其显现出来。电磁质量记录对系统的依赖性还决定了电磁质量记录的高技术性,电磁质量记录的生成、传递都必须以计算机技术、网络技术为依托,它的一系列存储、传输过程是否安全可靠,也影响着电磁质量记录的安全可靠性。

(2)电磁质量记录的脆弱性。网络空间的虚拟性,使得行为主体会有更加便利的条件、机会,使用更多的手段来破坏、毁灭证据。这种人为的差错,再加上环境 (如系统的不稳定)等客观因素都会影响到电磁质量记录的真实性。具体而言,人们可能因差错、欺骗或者偏见,而添加、遗漏、修改或删除计算机内的某些信息。这些错误的风险可能取决于多种因素,包括数据输入人员的动机和其所受过的训练,录入信息的数量,以及程序被监控的质量等。并且由于电磁质量记录对保存条件的要求与传统证据不同,必须防尘、防高热、防磁,如果保存条件发生变化导致存储介质周围的磁场受到严重干扰,就有可能会对电磁质量记录真实性产生影响。也就是说,电磁质量记录的记录方式及介质的特殊性和网络空间的特性决定了它自身具有一定的脆弱性。

(3)电磁质量记录的可挽救性。在某些情况下,计算机可以按照例行程序自行追踪和挽救一些信息,如Word软件中有时会产生一些挽救的文档,在意外断电的情况下,系统还可以将文档恢复到断电前自动保存时的状态。电磁质量记录的可挽救性还体现在可以通过一些技术手段恢复被删除、修改的文件上。而对于传统纸质记录而言,一旦原件遭到毁损,则无法复原纸质记录。

2.2 基于电磁质量记录的认证审核程序创新

传统的认证审核程序是:企业提交申请→企业与认证机构签定合同→认证机构确定审核组进行文件审核→现场审核→企业实施纠正措施→认证机构对纠正措施进行验证→批准→注册颁证。对于依赖纸质记录的传统认证环境而言,这样的认证审核程序严谨、充分;而对于依赖电磁质量记录的ERP环境下的认证审核而言,却缺少了一个重大的环节——对电磁质量记录的真实性和完整性的审核。鉴于如上所述电磁质量记录具有系统依赖性和脆弱性的特点,如果所有的认证审核结论都是建立在不真实、不完整的质量记录上,那这样的认证审核结论就不具有真实、准确、可靠性。笔者认为,在现场审核之前应该进行电磁质量记录的真实性和完整性的审核,在现场审核内容中也要贯穿电磁质量记录的真实性和完整性的审核。所以新的认证审核程序是:企业提交申请→企业与认证机构签定合同→认证机构确定审核组进行文件审核→对电磁质量记录的真实性和完整性的审核→现场审核(包含电磁质量记录的真实性和完整性的审核)→企业实施纠正措施→认证机构对纠正措施进行验证→批准→注册颁证。

3 对电磁质量记录的真实性和完整性的审核

对电磁质量记录真实性和完整性的威胁,来自企业内部和外部两个方面,且由于内部威胁的主动性和明确的目的性,因此以内部威胁为主。降低内部威胁的有效办法是企业自我管制机制的建立,故对电磁质量记录的真实性和完整性的审核首先要从审核 ERP环境下企业自我管制机制开始。ERP环境下企业自我管制机制审核应包括但不仅限于以下方面。

3.1 ERP系统维护管制

ERP系统维护包括软件修改、代码结构修改和计算机硬件与通讯设备的维修等,涉及到系统功能的调整、扩充和完善。对 ERP系统进行维护必须经过周密计划和严格记录,维护过程的每一环节都应设置必要的管制,维护的原因和性质必须有书面形式的报告,经批准后才能实施修改。软件修改尤为重要,系统操作员不能参与软件的修改,所有与系统维护有关的记录都应打印后存档。

3.2 实体安全管制

实体安全涉及到计算机主机房的环境和各种技术安全要求、光和磁介质等数据存贮体的存放和保护,是一种预防性管制。计算机机房应该符合技术要求和安全要求,充分满足防火、防水、防潮、防盗、恒温等技术条件;机房应配有空调和消防设施等;对用于数据备份的磁盘、光盘等存贮介质应注意防潮、防尘和防磁;对每天的业务数据双备份,建立目录清单异地存放;长期保存的磁介质存贮媒体应定期转贮。计算机管理系统有关的资料应及时存档,企业应建立起完善的档案制度,加强档案管理。除此之外,还应定期对所有档案进行备份并保管好这些备份。为防止档案被破坏,企业应制订出档案被破坏事件发生时的应急措施和恢复手段。

3.3 ERP系统的人员职能管制

利用计算机舞弊的人大多是企业的程序员兼计算机操作员。ERP系统要求的完善的人员职能管制机制就是适当分工,明确规定每个岗位的职责,防止对处理过程的不适当干预。机构调整必须同组织管制相结合,实现职权分离,有效地限制和及时发现错误或违法行为,如规定系统开发人员和维护人员不能兼任系统操作员和管理人员等,以减少利用计算机舞弊的可能性。

3.4 ERP系统的操作管制

企业用于 ERP系统的计算机应尽可能专用,企业应对计算机的使用建立一整套管理制度,保证每一个工作人员和每一台计算机都只做其应该做的事情。一般来讲,企业对用于 ERP系统计算机的上机管理措施应包括轮流值班制度、上机记录制度、完善的操作手册和上机时间安排等。操作管制包括业务发生管制、数据输入管制、数据通讯管制、数据处理管制、数据输出管制和数据储存管制等。

如果经过初步审核认为 ERP环境下企业自我管制机制充分、有效,就意味着 ERP系统提供不真实或不完整电磁质量记录的可能性较小,现场审核中用于审核 ERP系统所提供电磁质量记录真实性和完整性的强度可以适当降低。反之,要加大现场审核中用于审核 ERP系统所提供电磁质量记录真实性和完整性的强度。

4 用友 ERP环境下现场审核计划环节的审核方法探索

4.1 审核人天数的确定 (表中含有办公室人、监督审核和复核)

用友 ERP环境下现场审核审核人天数的确定见表 1。

表 1 ISO9001审核人天数对应表[3](ISO9001审核时间标准)

由表 1可见,审核人天数和企业的雇员数量直接相关,和审核收费也是直接相关,所以被审核企业往往希望通过低报雇员数量达到降低审核人天数从而降低审核收费。这样一方面可以减少企业的费用,更重要的是可以减少不符合项的发现率,从而提高企业认证审核的通过率,因此准确、合理地确定企业的雇员数量显得意义重大。用友 ERP提供了确定企业雇员数量的一条途径,见图 1。

图 1 用友 ERP提供的企业人员列表

如果经过初步审核认为 ERP环境下企业自我管制机制充分、有效,那就可以认为用友 ERP所提供的企业雇员数量可靠。反之,则还需要通过其他途径核实,比如通过企业规模,后勤保障人员和设施等,这一过程就是对电磁质量记录真实性和完整性的现场审核。

4.2 审核范围的确定

在现场审核的计划阶段,审核范围的确定也是一个重要内容。从被审核方 (企业)的角度来讲,审核范围越小,其审核前的准备工作量越小,审核准备工作就能做得更充分,这样不符合项的发现率就会大大降低,从而提高企业认证审核的通过率。因此,准确界定认证范围可以降低审核方的审核风险,得出准确的审核结论,防止出现误导公众的结果出现。用友 ERP提供了确定审核范围的一条途径即企业的组织机构图,见表 2。

图 2 用友 ERP提供的企业组织机构图

图 2可以作为初步确定审核范围的依据。如果经过初步审核认为 ERP环境下企业自我管制机制充分、有效,那就可以认为用友 ERP所提供的组织机构图可靠。反之,则还需要通过其他途径核实,比如通过政府相关法律文件、背景情况、人员流向等,这一过程同样也是对电磁质量记录真实性和完整性的现场审核。

总之,在用友 ERP环境下,既提供了有效进行企业 ISO9001质量管理体系认证的手段,同时由于电子质量记录自身的特点,也会导致以此为基础的正确审核结论的风险上升。除了利用上述针对性的审核方法来降低审核风险,提高审核有效性外,还有一个十分重要的因素——营造宏观环境,即营造一个以企业提供真实、完整的电子质量记录为荣,以企业提供不真实、不完整的电子质量记录为耻甚至犯罪的宏观环境。当然这个宏观环境的形成,除了舆论、经济、行政、法律手段的综合运用外,还要长期运用教育、宣传乃至文化娱乐的手段来影响人们的观念,这将有待于认证工作者的长期努力。

[1] ISO9001 AUDITI NG PRACTICES GROUP GU I DANCE ON:AUD ITI NG ELECTRONIC-BASED MANAGEMENT SYSTEMS(EBMS)

[2] CNAS-CC14:2008强制性文件——获认可的管理体系认证对计算机辅助审核技术的使用[S].

[3] ISO/IEC导则 62质量体系评价和认证/注册机构的基本要求及 I AF指南[S].