孫 瑋 安 東 姚宇駿 裘 慧

(1.浙江出入境檢驗檢疫局 浙江杭州 310012;2.國家認證認可監(jiān)督管理委員會)

1 前言

企業(yè)管理信息化的發(fā)展趨勢不可逆轉(zhuǎn),現(xiàn)在只要需要建設(shè)管理信息化系統(tǒng),企業(yè)就一定會超越低級階段,瞄準及選擇最新的研究成果,即一旦企業(yè)進行企業(yè)管理信息系統(tǒng)的再造,其涉及的領(lǐng)域?qū)⒖涨皬V泛 ,包括產(chǎn)、供、銷、設(shè)備、倉儲、運輸、設(shè)計、質(zhì)量乃至人教勞資等企業(yè)管理的各個領(lǐng)域。目前越來越多的企業(yè)在加緊企業(yè)管理信息系統(tǒng)的建設(shè),這從我國企業(yè)管理軟件開發(fā)供應(yīng)商的規(guī)模上可反映出來。企業(yè)管理信息化建設(shè)的一個重要階段是建設(shè)企業(yè)核心的業(yè)務(wù)管理和應(yīng)用系統(tǒng)階段,在這個階段最有代表性的是企業(yè)資源計劃系統(tǒng) (Enterprise Resource Planning,ERP)。用友 ERP是一種科學管理思想的計算機實現(xiàn),它對產(chǎn)品研發(fā)和設(shè)計、作業(yè)控制、生產(chǎn)計劃、投入品采購、市場營銷、銷售、庫存、財務(wù)和人事等方面以及相應(yīng)的模塊組成部分,采取集成優(yōu)化的方式進行管理。用友 ERP不是機械地適應(yīng)企業(yè)現(xiàn)有的流程,而是對企業(yè)流程中不合理的部分提出改進和優(yōu)化建議,并可能導致組織機構(gòu)的重新設(shè)計和業(yè)務(wù)流程重組。

傳統(tǒng)的認證審核人員在尋找客觀證據(jù)時,主要是針對手工的記錄 (包括采購記錄,生產(chǎn)記錄,檢驗記錄,庫存記錄等等)進行證據(jù)資料的采集,而現(xiàn)代企業(yè)越來越多的使用電腦進行各種記錄,隨著電磁質(zhì)量記錄介質(zhì)越來越廣泛的應(yīng)用,紙質(zhì)記錄將越來越罕見,認證審核人員面臨的問題是無法通過傳統(tǒng)的方法來獲得紙質(zhì)的客觀證據(jù),而大量的電磁介質(zhì)的記錄是否能作為客觀證據(jù)呢?如果可以,那怎樣判斷電磁介質(zhì)記錄的真實性?依據(jù)所獲得的電磁介質(zhì)的客觀證據(jù)得出的認證審核結(jié)論是否能全面、客觀、真實、準確地反映企業(yè)質(zhì)量管理現(xiàn)狀?正是這些問題催生了傳統(tǒng) ISO9001質(zhì)量管理體系認證審核方法的變革。

認證審核的電子環(huán)境已逐步形成,且其電子化的色彩將伴隨著電子商務(wù)的產(chǎn)生和發(fā)展而變得越來越濃。本文以用友 ERP為例研究電子環(huán)境下企業(yè) ISO9001質(zhì)量管理體系認證的方法變化[1],該研究是新形勢下提高認證審核有效性方法的探索,對提高質(zhì)量管理體系審核的有效性具有深遠意義[2]。

2 認證程序的變化

2.1 用友 ERP環(huán)境下電磁質(zhì)量記錄的特點

(1)電磁質(zhì)量記錄的系統(tǒng)依賴性。傳統(tǒng)紙質(zhì)記錄不需要借助其他工具、設(shè)備就可以被人們感知;電磁質(zhì)量記錄對運行環(huán)境的依賴程度很大,輸入、存儲、輸出的全過程都必須借助一定的硬件設(shè)備和軟件平臺。這是由于電磁質(zhì)量記錄在形成、傳輸?shù)倪^程中,需要利用電磁場的變化將信息轉(zhuǎn)變成以二進制代碼存在的電子形式存貯或流動,這種信息只有依靠特定的系統(tǒng)并通過相應(yīng)的程序解碼,使用打印、屏顯、運行等方式才能將其顯現(xiàn)出來。電磁質(zhì)量記錄對系統(tǒng)的依賴性還決定了電磁質(zhì)量記錄的高技術(shù)性,電磁質(zhì)量記錄的生成、傳遞都必須以計算機技術(shù)、網(wǎng)絡(luò)技術(shù)為依托,它的一系列存儲、傳輸過程是否安全可靠,也影響著電磁質(zhì)量記錄的安全可靠性。

(2)電磁質(zhì)量記錄的脆弱性。網(wǎng)絡(luò)空間的虛擬性,使得行為主體會有更加便利的條件、機會,使用更多的手段來破壞、毀滅證據(jù)。這種人為的差錯,再加上環(huán)境 (如系統(tǒng)的不穩(wěn)定)等客觀因素都會影響到電磁質(zhì)量記錄的真實性。具體而言,人們可能因差錯、欺騙或者偏見,而添加、遺漏、修改或刪除計算機內(nèi)的某些信息。這些錯誤的風險可能取決于多種因素,包括數(shù)據(jù)輸入人員的動機和其所受過的訓練,錄入信息的數(shù)量,以及程序被監(jiān)控的質(zhì)量等。并且由于電磁質(zhì)量記錄對保存條件的要求與傳統(tǒng)證據(jù)不同,必須防塵、防高熱、防磁,如果保存條件發(fā)生變化導致存儲介質(zhì)周圍的磁場受到嚴重干擾,就有可能會對電磁質(zhì)量記錄真實性產(chǎn)生影響。也就是說,電磁質(zhì)量記錄的記錄方式及介質(zhì)的特殊性和網(wǎng)絡(luò)空間的特性決定了它自身具有一定的脆弱性。

(3)電磁質(zhì)量記錄的可挽救性。在某些情況下,計算機可以按照例行程序自行追蹤和挽救一些信息,如Word軟件中有時會產(chǎn)生一些挽救的文檔,在意外斷電的情況下,系統(tǒng)還可以將文檔恢復(fù)到斷電前自動保存時的狀態(tài)。電磁質(zhì)量記錄的可挽救性還體現(xiàn)在可以通過一些技術(shù)手段恢復(fù)被刪除、修改的文件上。而對于傳統(tǒng)紙質(zhì)記錄而言,一旦原件遭到毀損,則無法復(fù)原紙質(zhì)記錄。

2.2 基于電磁質(zhì)量記錄的認證審核程序創(chuàng)新

傳統(tǒng)的認證審核程序是:企業(yè)提交申請→企業(yè)與認證機構(gòu)簽定合同→認證機構(gòu)確定審核組進行文件審核→現(xiàn)場審核→企業(yè)實施糾正措施→認證機構(gòu)對糾正措施進行驗證→批準→注冊頒證。對于依賴紙質(zhì)記錄的傳統(tǒng)認證環(huán)境而言,這樣的認證審核程序嚴謹、充分;而對于依賴電磁質(zhì)量記錄的ERP環(huán)境下的認證審核而言,卻缺少了一個重大的環(huán)節(jié)——對電磁質(zhì)量記錄的真實性和完整性的審核。鑒于如上所述電磁質(zhì)量記錄具有系統(tǒng)依賴性和脆弱性的特點,如果所有的認證審核結(jié)論都是建立在不真實、不完整的質(zhì)量記錄上,那這樣的認證審核結(jié)論就不具有真實、準確、可靠性。筆者認為,在現(xiàn)場審核之前應(yīng)該進行電磁質(zhì)量記錄的真實性和完整性的審核,在現(xiàn)場審核內(nèi)容中也要貫穿電磁質(zhì)量記錄的真實性和完整性的審核。所以新的認證審核程序是:企業(yè)提交申請→企業(yè)與認證機構(gòu)簽定合同→認證機構(gòu)確定審核組進行文件審核→對電磁質(zhì)量記錄的真實性和完整性的審核→現(xiàn)場審核(包含電磁質(zhì)量記錄的真實性和完整性的審核)→企業(yè)實施糾正措施→認證機構(gòu)對糾正措施進行驗證→批準→注冊頒證。

3 對電磁質(zhì)量記錄的真實性和完整性的審核

對電磁質(zhì)量記錄真實性和完整性的威脅,來自企業(yè)內(nèi)部和外部兩個方面,且由于內(nèi)部威脅的主動性和明確的目的性,因此以內(nèi)部威脅為主。降低內(nèi)部威脅的有效辦法是企業(yè)自我管制機制的建立,故對電磁質(zhì)量記錄的真實性和完整性的審核首先要從審核 ERP環(huán)境下企業(yè)自我管制機制開始。ERP環(huán)境下企業(yè)自我管制機制審核應(yīng)包括但不僅限于以下方面。

3.1 ERP系統(tǒng)維護管制

ERP系統(tǒng)維護包括軟件修改、代碼結(jié)構(gòu)修改和計算機硬件與通訊設(shè)備的維修等,涉及到系統(tǒng)功能的調(diào)整、擴充和完善。對 ERP系統(tǒng)進行維護必須經(jīng)過周密計劃和嚴格記錄,維護過程的每一環(huán)節(jié)都應(yīng)設(shè)置必要的管制,維護的原因和性質(zhì)必須有書面形式的報告,經(jīng)批準后才能實施修改。軟件修改尤為重要,系統(tǒng)操作員不能參與軟件的修改,所有與系統(tǒng)維護有關(guān)的記錄都應(yīng)打印后存檔。

3.2 實體安全管制

實體安全涉及到計算機主機房的環(huán)境和各種技術(shù)安全要求、光和磁介質(zhì)等數(shù)據(jù)存貯體的存放和保護,是一種預(yù)防性管制。計算機機房應(yīng)該符合技術(shù)要求和安全要求,充分滿足防火、防水、防潮、防盜、恒溫等技術(shù)條件;機房應(yīng)配有空調(diào)和消防設(shè)施等;對用于數(shù)據(jù)備份的磁盤、光盤等存貯介質(zhì)應(yīng)注意防潮、防塵和防磁;對每天的業(yè)務(wù)數(shù)據(jù)雙備份,建立目錄清單異地存放;長期保存的磁介質(zhì)存貯媒體應(yīng)定期轉(zhuǎn)貯。計算機管理系統(tǒng)有關(guān)的資料應(yīng)及時存檔,企業(yè)應(yīng)建立起完善的檔案制度,加強檔案管理。除此之外,還應(yīng)定期對所有檔案進行備份并保管好這些備份。為防止檔案被破壞,企業(yè)應(yīng)制訂出檔案被破壞事件發(fā)生時的應(yīng)急措施和恢復(fù)手段。

3.3 ERP系統(tǒng)的人員職能管制

利用計算機舞弊的人大多是企業(yè)的程序員兼計算機操作員。ERP系統(tǒng)要求的完善的人員職能管制機制就是適當分工,明確規(guī)定每個崗位的職責,防止對處理過程的不適當干預(yù)。機構(gòu)調(diào)整必須同組織管制相結(jié)合,實現(xiàn)職權(quán)分離,有效地限制和及時發(fā)現(xiàn)錯誤或違法行為,如規(guī)定系統(tǒng)開發(fā)人員和維護人員不能兼任系統(tǒng)操作員和管理人員等,以減少利用計算機舞弊的可能性。

3.4 ERP系統(tǒng)的操作管制

企業(yè)用于 ERP系統(tǒng)的計算機應(yīng)盡可能專用,企業(yè)應(yīng)對計算機的使用建立一整套管理制度,保證每一個工作人員和每一臺計算機都只做其應(yīng)該做的事情。一般來講,企業(yè)對用于 ERP系統(tǒng)計算機的上機管理措施應(yīng)包括輪流值班制度、上機記錄制度、完善的操作手冊和上機時間安排等。操作管制包括業(yè)務(wù)發(fā)生管制、數(shù)據(jù)輸入管制、數(shù)據(jù)通訊管制、數(shù)據(jù)處理管制、數(shù)據(jù)輸出管制和數(shù)據(jù)儲存管制等。

如果經(jīng)過初步審核認為 ERP環(huán)境下企業(yè)自我管制機制充分、有效,就意味著 ERP系統(tǒng)提供不真實或不完整電磁質(zhì)量記錄的可能性較小,現(xiàn)場審核中用于審核 ERP系統(tǒng)所提供電磁質(zhì)量記錄真實性和完整性的強度可以適當降低。反之,要加大現(xiàn)場審核中用于審核 ERP系統(tǒng)所提供電磁質(zhì)量記錄真實性和完整性的強度。

4 用友 ERP環(huán)境下現(xiàn)場審核計劃環(huán)節(jié)的審核方法探索

4.1 審核人天數(shù)的確定 (表中含有辦公室人、監(jiān)督審核和復(fù)核)

用友 ERP環(huán)境下現(xiàn)場審核審核人天數(shù)的確定見表 1。

表 1 ISO9001審核人天數(shù)對應(yīng)表[3](ISO9001審核時間標準)

由表 1可見,審核人天數(shù)和企業(yè)的雇員數(shù)量直接相關(guān),和審核收費也是直接相關(guān),所以被審核企業(yè)往往希望通過低報雇員數(shù)量達到降低審核人天數(shù)從而降低審核收費。這樣一方面可以減少企業(yè)的費用,更重要的是可以減少不符合項的發(fā)現(xiàn)率,從而提高企業(yè)認證審核的通過率,因此準確、合理地確定企業(yè)的雇員數(shù)量顯得意義重大。用友 ERP提供了確定企業(yè)雇員數(shù)量的一條途徑,見圖 1。

圖 1 用友 ERP提供的企業(yè)人員列表

如果經(jīng)過初步審核認為 ERP環(huán)境下企業(yè)自我管制機制充分、有效,那就可以認為用友 ERP所提供的企業(yè)雇員數(shù)量可靠。反之,則還需要通過其他途徑核實,比如通過企業(yè)規(guī)模,后勤保障人員和設(shè)施等,這一過程就是對電磁質(zhì)量記錄真實性和完整性的現(xiàn)場審核。

4.2 審核范圍的確定

在現(xiàn)場審核的計劃階段,審核范圍的確定也是一個重要內(nèi)容。從被審核方 (企業(yè))的角度來講,審核范圍越小,其審核前的準備工作量越小,審核準備工作就能做得更充分,這樣不符合項的發(fā)現(xiàn)率就會大大降低,從而提高企業(yè)認證審核的通過率。因此,準確界定認證范圍可以降低審核方的審核風險,得出準確的審核結(jié)論,防止出現(xiàn)誤導公眾的結(jié)果出現(xiàn)。用友 ERP提供了確定審核范圍的一條途徑即企業(yè)的組織機構(gòu)圖,見表 2。

圖 2 用友 ERP提供的企業(yè)組織機構(gòu)圖

圖 2可以作為初步確定審核范圍的依據(jù)。如果經(jīng)過初步審核認為 ERP環(huán)境下企業(yè)自我管制機制充分、有效,那就可以認為用友 ERP所提供的組織機構(gòu)圖可靠。反之,則還需要通過其他途徑核實,比如通過政府相關(guān)法律文件、背景情況、人員流向等,這一過程同樣也是對電磁質(zhì)量記錄真實性和完整性的現(xiàn)場審核。

總之,在用友 ERP環(huán)境下,既提供了有效進行企業(yè) ISO9001質(zhì)量管理體系認證的手段,同時由于電子質(zhì)量記錄自身的特點,也會導致以此為基礎(chǔ)的正確審核結(jié)論的風險上升。除了利用上述針對性的審核方法來降低審核風險,提高審核有效性外,還有一個十分重要的因素——營造宏觀環(huán)境,即營造一個以企業(yè)提供真實、完整的電子質(zhì)量記錄為榮,以企業(yè)提供不真實、不完整的電子質(zhì)量記錄為恥甚至犯罪的宏觀環(huán)境。當然這個宏觀環(huán)境的形成,除了輿論、經(jīng)濟、行政、法律手段的綜合運用外,還要長期運用教育、宣傳乃至文化娛樂的手段來影響人們的觀念,這將有待于認證工作者的長期努力。

[1] ISO9001 AUDITI NG PRACTICES GROUP GU I DANCE ON:AUD ITI NG ELECTRONIC-BASED MANAGEMENT SYSTEMS(EBMS)

[2] CNAS-CC14:2008強制性文件——獲認可的管理體系認證對計算機輔助審核技術(shù)的使用[S].

[3] ISO/IEC導則 62質(zhì)量體系評價和認證/注冊機構(gòu)的基本要求及 I AF指南[S].