Pathlock

Pathlock chuyên vào một chỗ ít người nói tới nhưng lần kiểm toán nào cũng bị bắt: quyền truy cập trong hệ thống ERP. Ai có thể vừa tạo nhà cung cấp vừa duyệt thanh toán, quyền của ai vẫn còn sau khi nghỉ việc, giao dịch nhạy cảm nào bị sửa ngoài giờ làm việc - những câu hỏi này, trong các hệ thống như SAP, Oracle có tới hàng nghìn vai trò, dựa vào con người lật bảng quyền hạn thì căn bản xem không xuể.

Tính năng nổi bật và tình huống áp dụng

Cốt lõi của nó là ba việc. Thứ nhất là phân tích phân tách trách nhiệm (SoD): trải ma trận quyền hạn ra, tìm những tổ hợp vi phạm nguyên tắc SoD, và lượng hóa xem tổ hợp đó thực tế đã bị dùng làm gì, chứ không chỉ nói cho bạn biết "về lý thuyết có rủi ro". Thứ hai là tự động hóa rà soát truy cập của người dùng: biến quy trình rà soát mỗi quý một lần, sếp bấm đồng ý loạn xạ trên Excel, thành luồng công việc có căn cứ, có ghi chép. Thứ ba là giám sát giao dịch nhạy cảm, giám sát liên tục các hành động rủi ro cao như thay đổi dữ liệu chủ thanh toán, điều chỉnh giá.

Định vị của nó là lớp kiểm soát thống nhất xuyên ERP, ngoài SAP còn bao phủ Oracle, Workday, Salesforce và các ứng dụng khác. Với người từng triển khai ERP, điểm này quan trọng hơn tưởng tượng: quản trị quyền hạn của phần lớn doanh nghiệp là mỗi hệ thống tự lo, khi kiểm toán muốn ghép ra "người này rốt cuộc làm được gì trong toàn công ty" thì cực kỳ đau khổ.

Đối tượng phù hợp là doanh nghiệp cỡ vừa và lớn có ERP và có yêu cầu kiểm soát nội bộ - công ty niêm yết, ngành tài chính chịu quản lý, và công ty con của doanh nghiệp bị công ty mẹ yêu cầu làm SOX. Ngưỡng triển khai không thấp, thường cần IT, tài chính, kiểm toán nội bộ ba bên ngồi lại cùng định nghĩa thế nào là tổ hợp rủi ro, không phải mua về là dùng được.