SAPERP权限管理[1]

济南分公司SAP系统权限设置
和修改操作流程
1．概述
1.1目的
规范SAP用户权限设置和修改的操作流程，加强SAP用户权限的管理，保证SAP系统的安全、稳定运行。

1.2读者
SAP系统的最终用户和SAP系统的用户、权限管理员。

2.用户权限设置和修改操作流程
2.1用户权限的设置
权限管理员根据“中国石化济南分公司ERP最终用户申请表”相关栏目的内容，对用户管理员所创建的用户ID赋予相应的权限。

2.2用户权限的修改
ERP最终用户由于岗位或者业务范围的调整，需要对其权限进行修改（增加或者减少权限）时，必须填写“中国石化济南分公司ERP最终用户权限修改申请表”（请参见附表三），经所在单位的主要领导审核批准后，交信息中心。

经信息中心领导审核后，权限管理员在SAP系统中，手工对相应用户ID进行权限的修改，并通知用户本人。

附表三
中国石化济南分公司
2、“功能模块”指用户使用SAP中的功能模块，其中有：FI/CO—
财务/成本管理，PP—生产计划， SD—销售/分销，MRO—物料采
购管理，MM—物料管理，PM—设备维护，HR—人力资源。

单位（部门）负责人（签章）：
年月日
信息中心审核：
年月日
2。

ERP[ ]号XXX SAP系统用户授权管理规定XXX 从2002 年6 月1 日起全面实施应用了德国SAP 的ERP 系统，实施该系统后，公司几乎所有的与生产、销售、财务、物料、管理相关的数据资料全部集成在该系统中，所以系统数据的安全性和整个系统的稳定性关系到公司的重大利益。

为了使公司的所有SAP用户都能正确安全的使用SAP系统，保护公司资源，加强防范措施，维护公司利益，针对企业内部SAP系统的用户授权管理问题，特作如下规定：一、授权管理：1、ERP项目上线后，所有用户授权和角色变更，进行严密的审批控制方式进行管理。

分别经过：部门主管、部门经理、事业部分管副总、ERP项目组、ERP项目分管副总裁审批。

2、XXX所有事业部及其子公司中所有使用SAP系统的部门，均需要在部门内指定具体人员负责本部门关于SAP系统用户、权限和所有相关申请方面的管理（通常为部门文员负责）工作。

并依据本管理文件规定，负责落实本部门所有相关工作。

3、根据不同使用部门，对SAP用户数量进行限额管理。

严格限制用户无序增长。

事业部各部门每年12月份，需要根据部门来年的业务扩展计划，制定SAP用户需求计划。

经各事业部综合办统一汇总并经事业部分管副总裁批准后，交ERP项目组备案，作为来年SAP系统规划参考。

4、用户申请、更改、用户注销和权限变更，均要走本《XXX SAP系统用户授权管理规定》的申请流程。

5、所有需要申请新用户的人员，部门必须先安排在相应的岗位学习熟悉2个月（60天）以上，部门文员才可以给新用户申请用户和授权。

而且部门要指定专人进行相应岗位的SAP操作技能的交接，或指定导师来负责带其熟悉并撑握相关的业务及SAP操作技能。

否则，ERP项目组不给予批准授权，且因此而造成的所有不良后果，均由用户部门承担。

6、各事业部的部门对本部门SAP用户直接负责监控。

负责对用户岗位、权限范围和安全保密工作的监督。

各部门文员要做好各部门所有SAP用户的统计登记工作，整理《XXXSAP用户授权清单》，格式见附件。

sap权限设定完整版s a p权限设定完整版集团标准化工作小组[Q8QX9QT-X8QQB8Q8-NQ8QJ8-M8QMN]权限设定操作手册权限维护1.注意1.1.用户、角色、事务代码、授权对象的关系用户：由几个角色组成角色：由一系列事务代码搭建事务代码：需要系统规定的必要授权对象才能运行授权对象：由它的参数来定义1.2.权限设定须谨慎权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。

1.3.测试环境下修改除非特殊情况，权限设定不允许在正式环境直接更改。

一般都是在测试环境修改、测试成功后，再传到正式环境。

1.4.拒绝不合理权限要求Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。

所以，变更权限设定，务必要求用户提供经过领导签核的申请表。

对于用户不合理的权限要求，顾问有责任拒绝。

2.角色维护2.1.作业说明基本由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。

目的SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。

角色是指在业务中事先定义的执行特殊职能的工作。

可以为单个的用户的需求去创建角色，也可以通过事务代码创建角色，然后分配给各个需要这些角色的用户。

创建角色主要有三种方式：手工创建。

适合所有新建角色的需求，主要对应权限追加；继承。

主要对应设定派生角色；复制。

主要对应设定基本的角色。

继承与复制创建角色的区别：用继承的方式建立新角色，继承后，只需要填写，Object就全部标识为绿灯。

用复制的方式建立新角色，需要在Object里填入值，Object才能全部标识为绿灯。

以上是两者操作上最大的区别。

2.2.创建单一角色事务代码与菜单路径PFCG –工具 -> 管理 -> 用户维护 -> 角色管理 -> 角色菜单此为事务代码输入栏后续作业工具列图示/其它说明备注输入事务代码可于命令栏输入[ 事务代码 ]并按ENTER键，执行程序鼠标双击(或)将鼠标光标停在欲执行对象，并双击鼠标左键。

2017年第11期信息与电脑China Computer&Communication软件开发与应用SAP系统权限管理林黎颖（上海汽车变速器有限公司，上海 201800）摘　要：随着公司集中化管控的不断深入，下属企业也纳入SAP系统管理，SAP系统作为公司的核心关键系统，贯穿集团的整个业务链，按照财政部等五部委联合颁布的《企业内部控制基本规范》《企业内部控制应用指引》，结合国际国内实践，重构SAP系统权限架构，引入DESK系统，发现SAP授权管理相关的内部控制缺陷并进行整改，从设计层面与执行层面两个维度提出解决这些问题的管控手段和方法，从而帮助公司提升SAP ERP系统权限管控的效率和效果，建立健全的内部控制体系，提升权限管控的自动化管理水平。

关键词：根角色；派生角色；事务代码；不相容性中图分类号：TP309 文献标识码：A 文章编号：1003-9767（2017）11-111-02SAP System Privilege ManagementLin Liying(Shanghai Automobile Gear Works, Shanghai 201800, China)Abstract: With the deepening of the company's centralized management, subordinate enterprises are also included in SAP system management, SAP system as the company's core key system, throughout the Group's entire business chain, in accordance with the Ministry of Finance and other five ministries jointly promulgated the “Basic Norms of Internal Control”, “Guidelines for the Application of Enterprise Internal Control”, combined with the international and domestic leading practice, the SAP system authority structure is reconstructed, the DESK system is introduced, the internal control defects related to SAP authorization management are found and rectified, the means and methods are proposed to solve these problems from two dimensions of design level and implementation level, which helps company improve the efficiency and effectiveness of SAP ERP system control, establish a sound internal control system to enhance the authority of the level of automation management.Key words: root role; derived role; transaction code; incompatibility1 业务背景SAP系统是公司的核心业务系统，贯穿整个公司的财务、制造、销售、采购、物流等重要环节，特别是2016年，下属企业柳州和烟台变速器公司同步SAP上线，被上级集团公司纳入企业内控审计和外部审计工作的范畴。

ERP系统用户及其权限管理办法ERP系统用户及其权限管理办法第一章总则为了加强对全公司范围内ERP系统用户的管理，保证ERP系统的安全、稳定运行，提高系统的使用效率，规范ERP系统用户建立、变更和权限变更的操作流程，特制定本办法。

本办法适用范围为ERP系统所覆盖的业务部门及相关岗位以及最终用户和ERP系统的系统管理员。

名词解释：1.用户ID：用户Identify即SAP系统用来标识用户的名称，一般简称ID。

如某用户ID为GQ8888即表示该用户在SAP系统中的名称为GQ8888.2.最终用户：所有ERP系统的操作人员，或者说拥有SAP用户ID的人员都是系统的最终用户。

3.关键用户：关键用户是参与ERP系统建设、实施的各业务条线的骨干，熟悉系统中本业务范围内的业务流程和权限分配，熟悉权限角色的详细定义，能解决最终用户在系统应用中业务方面的问题。

4.系统管理员：信息中心负责ERP系统的日常维护、备份、用户权限变更管理以及保证系统正常运转的人员。

5.用户ID的分类：在SAP系统中，用户ID分为专用用户ID和临时用户ID。

专用用户ID就是由唯一的用户使用此ID，则此用户即为ID持有人必须对此ID在系统中的行为负责，并管理好密码；临时用户ID就是由一临时用户（一般是提供技术支持人员）使用此ID，应由开设此ID的部门人员（一般是同意开设此ID的审批人员）负责对系统中该用户行为的控制和密码的管理。

第二章职责1.系统管理员：对用户ID使用状态进行定期检查。

负责按用户的申请单进行用户建立、变更、权限变更和ID锁定、解锁以及密码重置工作。

2.关键用户：在建立新ID或用户发生权限变更时填写申请单中权限角色部分。

3.最终用户：妥善保管本人的密码，有变更权限等需求时如实详细填写相应的申请单。

4.使用部门：监管本部门最终用户的使用，根据使用情况与需求，组织填报相关申请。

第三章实施第十四条：最终用户的权限在建立用户时根据规则给定。

許可權設定操作手冊許可權維護1.注意1.1.使用者、角色、事務代碼、授權物件的關係-用戶：由幾個角色組成-角色：由一系列事務代碼搭建-事務代碼：需要系統規定的必要授權物件才能運行-授權對象：由它的參數來定義1.2.許可權設定須謹慎-許可權設定非常重要，並且許可權的排錯查詢非常繁瑣、耗時，因此在做許可權設定時一定要謹慎，每次更改都要記錄。

1.3.測試環境下修改-除非特殊情況，許可權設定不允許在正式環境直接更改。

-一般都是在測試環境修改、測試成功後，再傳到正式環境。

1.4.拒絕不合理許可權要求-Basis不是決定用戶許可權範圍的人，而是實際管理中大大小小業務流的管理者。

-所以，變更許可權設定，務必要求用戶提供經過領導簽核的申請表。

-對於用戶不合理的許可權要求，顧問有責任拒絕。

2.角色維護2.1.作業說明-基本由許可權的大架構有User ID（用戶），Role（角色），Profile（許可權參數檔）三層，可知許可權的設定也會有相應的三層。

-目的SAP中的許可權管理可以通過建立若干角色的方式進行，角色的定義為SAP中單個或者多個事務代碼（T-Code）組成的一個角色定位。

角色是指在業務中事先定義的執行特殊職能的工作。

可以為單個的用戶的需求去創建角色，也可以通過事務代碼創建角色，然後分配給各個需要這些角色的使用者。

-創建角色主要有三種方式：手工創建。

適合所有新建角色的需求，主要對應許可權追加；繼承。

主要對應設定派生角色；複製。

主要對應設定基本的角色。

-繼承與複製創建角色的區別：用繼承的方式建立新角色，繼承後，只需要填寫Org.level，Object就全部標識為綠燈。

用複製的方式建立新角色，需要在Object裡填入值，Object才能全部標識為綠燈。

以上是兩者操作上最大的區別。

2.2.創建單一角色-事務代碼與功能表路徑PFCG –工具 -> 管理 -> 用戶維護 -> 角色管理 -> 角色-菜單此为事务代码输入栏-後續作業工具列圖示/其它說明備註輸入事務代碼可於命令列輸入[ 事務代碼 ]並按ENTER鍵，執行程式滑鼠按兩下(或)將滑鼠游標停在欲執行物件，並按兩下滑鼠左鍵。

流程驱动的SAP权限管理解决方案简介_V1.0SAP 系统刚上线时，您关注较多的可能是系统能否顺畅运行、数据是否准确，财务帐是否能对得上等等，对于系统内的权限管理问题，可能您关注得并不多。

事实上，随着SAP这样大集成系统的上线运行，企业运营信息的储存、加工和传递效率被极大地提高了。

但是，任何事务都是有两面性的，实时性和集成性增加的同时也会加大企业运营的风险。

这种风险主要体现在两个方面，一是如果授权不当，员工获取企业运营信息的深度和广度可能会远远超过其工作所需的范围，这会大大增加泄密的可能性；二是一旦授权不当，让原本没有必要操作或加工这些信息的员工拥有了这些权力，就会大大增加管理失控的风险性。

因此，我们建议您关注一下SAP系统的权限管理问题，因为这绝对不是一个IT问题，而是一个跨部门、跨流程的重要的企业管理问题。

在认真分析了您企业的SAP权限管理体系后，如果您发现存在如下问题，那么您的企业可能就需要实施一套SAP权限管理的解决方案了。

- 没有一套清晰且明确的授权规则随着SAP系统运行越来越顺畅，使用者渐渐感受到了系统所带来的价值，于是大家便会要求给自已开通各种功能并增加相应的权限。

而对于IT部门的系统权限管理人员来说，面对大量的申请，似乎并不能找到一个清晰且明确的标准。

于是，请部门主管审批便成了一个最为有效的解决方案。

只要相关的部门主管认可，IT部门即予开通。

然而，这仅仅是从管理职责上解决了谁负责的问题，并未解决权限管理的本质问题。

即给某员工开通一个权限或不开通一个权限，是由某一个人来判断，还是由一套规则来决定。

无论是从规范化、科学化和精细化管理的角度来说，还是从风险控制的角度来说，授权体系的管理肯定是上述两者的结合，光有前者是远远不够的。

对于实施了SAP系统的企业来说，应先建立一套基于业务活动的SAP系统权限管理规则。

对于某一位员工来说，究竟应该拥有什么样的权限，首先应取决于其在企业业务流程中所承担的角色及从事的活动。