SAP GRC - Guía rápida

La solución SAP Governance, Risk and Compliance permite a las organizaciones gestionar las regulaciones y el cumplimiento y eliminar cualquier riesgo en la gestión de las operaciones clave de las organizaciones. Según la situación cambiante del mercado, las organizaciones están creciendo y cambiando rápidamente y los documentos inapropiados, las hojas de cálculo no son aceptables para los auditores y reguladores externos.

SAP GRC ayuda a la organización a administrar sus regulaciones y cumplimiento y a realizar las siguientes actividades:

  • Fácil integración de las actividades de GRC en procesos existentes y automatización de actividades clave de GRC.

  • Baja complejidad y gestión eficiente del riesgo.

  • Mejorar las actividades de gestión de riesgos.

  • Gestionar el fraude en el negocio procesado y la gestión de auditoría de forma eficaz.

  • Las organizaciones se desempeñan mejor y las empresas pueden proteger sus valores.

  • La solución SAP GRC consta de tres áreas principales: Analizar, administrar y monitorear.

Módulos en SAP GRC

Entendamos ahora los diferentes módulos en SAP GRC -

Control de acceso SAP GRC

Para mitigar el riesgo en una organización, se requiere realizar un control de riesgo como parte de la práctica de cumplimiento y regulación. Las responsabilidades deben estar claramente definidas, administrar el aprovisionamiento de roles y administrar el acceso para el superusuario es fundamental para administrar el riesgo en una organización.

Control de procesos y gestión de fraudes de SAP GRC

La solución de software SAP GRC Process Control se utiliza para gestionar el cumplimiento y la gestión de políticas. Las capacidades de gestión del cumplimiento permiten a las organizaciones gestionar y supervisar sus entornos de control interno. Las organizaciones pueden solucionar proactivamente cualquier problema identificado y certificar e informar sobre el estado general de las actividades de cumplimiento correspondientes.

El control de procesos de SAP respalda el ciclo de vida completo de la gestión de políticas, incluida la distribución y el cumplimiento de las políticas por parte de los grupos objetivo. Estas políticas ayudan a las organizaciones a reducir el costo del cumplimiento y mejorar la transparencia de la gestión y permiten que la organización desarrolle procesos y políticas de gestión del cumplimiento en el entorno empresarial.

Gestión de riesgos SAP GRC

SAP GRC Risk Management le permite gestionar las actividades de gestión de riesgos. Puede realizar una planificación anticipada para identificar el riesgo en el negocio e implementar medidas para gestionar el riesgo y permitirle tomar mejores decisiones que mejoren el rendimiento del negocio.

Los riesgos se presentan de muchas formas:

  • Riesgo operacional
  • Riesgo estratégico
  • Riesgo de cumplimiento
  • Riesgo financiero

Gestión de auditoría de SAP GRC

Esto se utiliza para mejorar el proceso de gestión de auditoría en una organización al documentar los artefactos, organizar los papeles de trabajo y crear informes de auditoría. Puede integrarse fácilmente con otras soluciones de gobernanza, riesgo y cumplimiento y permitir que las organizaciones alineen las políticas de gestión de auditoría con los objetivos comerciales.

La gestión de auditoría de SAP GRC ayuda al auditor a simplificar las cosas al proporcionar las siguientes capacidades:

  • Puede capturar instantáneamente los artefactos para la gestión de auditorías y otras evidencias utilizando la función de arrastrar y soltar de las capacidades móviles.

  • Puede crear, rastrear y administrar fácilmente problemas de auditoría con monitoreo y seguimiento global.

  • Puede realizar una búsqueda utilizando capacidades de búsqueda que le permiten obtener más información de documentos de trabajo y heredados.

  • Puede involucrar a los auditores con una interfaz fácil de usar y herramientas de colaboración.

  • Fácil integración de la gestión de auditoría con SAP Fraud Management, SAP Risk Management y SAP Process Control para alinear el proceso de auditoría con los objetivos comerciales.

  • Resolución rápida de problemas mediante la herramienta de seguimiento automatizada.

  • Mejore la utilización del personal y reduzca los costos de viaje como resultado de la planificación de la auditoría interna, la gestión de recursos y la programación.

  • Fácil integración con la herramienta de visualización de datos y generación de informes de SAP Business Objects para visualizar informes de auditoría utilizando Lumira y otros informes de BI.

  • Uso de plantillas preestablecidas para estandarizar los artefactos de auditoría y el proceso de generación de informes.

Gestión de fraudes SAP GRC

La herramienta de gestión de fraudes SAP GRC ayuda a las organizaciones a detectar y prevenir fraudes en una etapa temprana y, por lo tanto, reducir al mínimo las pérdidas comerciales. Los escaneos se pueden realizar en una gran cantidad de datos en tiempo real con más precisión y las actividades fraudulentas se pueden identificar fácilmente.

El software de gestión de fraudes de SAP puede ayudar a las organizaciones con las siguientes capacidades:

  • Fácil investigación y documentación de casos de fraude.

  • Aumente la alerta y la capacidad de respuesta del sistema para evitar que se produzcan actividades fraudulentas con mayor frecuencia en el futuro.

  • Escaneo sencillo de grandes volúmenes de transacciones y datos comerciales.

Servicios de comercio global SAP GRC

El software SAP GRC GTS ayuda a las organizaciones a mejorar el suministro transfronterizo dentro de los límites de la gestión del comercio internacional. Ayuda a reducir la penalización de los riesgos de las autoridades de regulación del comercio internacional.

Proporciona un proceso de gestión de comercio global centralizado con un único repositorio para todos los datos maestros de cumplimiento y el contenido, independientemente del tamaño de la organización.

Modelo de capacidad de SAP GRC

La solución SAP BusinessObjects GRC consta de tres capacidades principales: Analyze, Manage and Monitor.

En el siguiente diagrama, puede ver el modelo de capacidad de SAP GRC que cubre todas las características clave del software SAP GRC. Con GRC, las organizaciones pueden verificar todos los riesgos potenciales y los hallazgos de cumplimiento y pueden tomar la decisión correcta para mitigarlos.

En versiones anteriores de SAP GRC, para utilizar el control de acceso, el control de procesos y la gestión de riesgos, había una navegación separada para cada componente. Esto significa que los usuarios, para realizar tareas entre componentes, tenían que iniciar sesión en cada módulo por separado e iniciar sesión varias veces. Esto resultó en un proceso difícil para administrar múltiples ventanas y documentos para buscar también fue difícil.

SAP GRC 10.0 proporciona navegación directa a los componentes de control de acceso, control de procesos y gestión de riesgos para un solo usuario según la autorización y elimina la gestión de múltiples ventanas.

Step 1 - Para realizar actividades de personalización y mantener los ajustes de configuración para la solución GRC, vaya a T-code - SPRO → SAP Reference IMG

Step 2 - Ampliar el nodo de gobernanza, riesgo y cumplimiento

Step 3 - Inicie sesión en NetWeaver Business Client -

Ejecute la transacción para NWBC en SAP Easy Access.

Se abrirá la pantalla de NetWeaver Business Client y recibirá la siguiente URL: http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/

Centros de trabajo SAP GRC

Puede utilizar Work Centers para proporcionar un punto de acceso central para GRC 10.0. Pueden organizarse en función de la licencia para la que el cliente tenga licencia.

Step 1- Para acceder a los centros de trabajo, abra NetWeaver Business Client como se mencionó anteriormente. Ir/nwbc opción en la parte superior para abrir Centros de trabajo.

Step 2 - Una vez que haga clic, será dirigido a la pantalla de inicio del cliente SAP NetWeaver Business.

Dependiendo de los productos para los que tenga licencia, se muestran diferentes componentes de la solución GRC: Access Control, Process Control, or Risk Management.

El control de acceso de SAP GRC ayuda a las organizaciones a detectar, administrar y prevenir automáticamente las violaciones de los riesgos de acceso y reducir el acceso no autorizado a los datos y la información de la empresa. Los usuarios pueden utilizar el autoservicio automático para acceder al envío de solicitudes, solicitudes de acceso basadas en flujo de trabajo y aprobaciones de acceso. Las revisiones automáticas del acceso de los usuarios, la autorización de funciones y las infracciones de riesgos se pueden utilizar mediante SAP GRC Access Control.

SAP GRC Access Control maneja desafíos clave al permitir que las empresas administren el riesgo de acceso. Ayuda a las organizaciones a prevenir el acceso no autorizado definiendo la segregación de tareas SoD y acceso crítico y minimizando el tiempo y el costo de la gestión de riesgos de acceso.

Características clave

Las siguientes son las características clave de SAP GRC Access Control:

  • Realizar auditoría y cumplimiento de requisitos legales con diferentes estándares de auditoría como SOX, BSI e ISO.

  • Para detectar automáticamente violaciones de riesgos de acceso en sistemas SAP y no SAP en una organización.

  • Como se mencionó, habilita a los usuarios con el envío de acceso de autoservicio, las solicitudes de acceso basadas en el flujo de trabajo y las aprobaciones de la solicitud.

  • Automatizar las revisiones del acceso de los usuarios, las autorizaciones de funciones, las infracciones de riesgos y las asignaciones de control en una organización a pequeña y gran escala.

  • Gestionar eficientemente el acceso de superusuario y evitar violaciones de riesgo y acceso no autorizado a datos y aplicaciones en sistemas SAP y no SAP.

¿Cómo explorar el centro de trabajo de configuración de control de acceso?

Ejecute la transacción para NWBC en SAP Easy Access.

Se abrirá la pantalla de NetWeaver Business Client y recibirá la siguiente URL: http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/

Step 1- Para acceder a los centros de trabajo, abra NetWeaver Business Client como se mencionó anteriormente. Ir/nwbc opción en la parte superior para abrir Centros de trabajo.

Step 2 - Una vez que haga clic, será dirigido a la pantalla de inicio del cliente SAP NetWeaver Business.

Step 3- Vaya al centro de trabajo de configuración y explore el conjunto de trabajo. Haga clic en algunos de los enlaces debajo de cada uno y explore las distintas pantallas.

Step 4 - El centro de trabajo Configuración está disponible en Control de acceso y proporciona enlaces a las siguientes secciones:

  • Mantenimiento de reglas de acceso
  • Reglas de acceso de excepción
  • Reglas de acceso crítico
  • Reglas generadas
  • Organizations
  • Controles de mitigación
  • Asignación de superusuario
  • Mantenimiento de superusuario
  • Propietarios de acceso

Step 5 - Puede utilizar las funciones enumeradas anteriormente de las siguientes formas:

  • Con la sección Mantenimiento de reglas de acceso, puede administrar conjuntos de reglas de acceso, funciones y los riesgos de acceso utilizados para identificar violaciones de acceso.

  • Con las reglas de acceso de excepción, puede administrar reglas que complementan las reglas de acceso.

  • Utilizando la sección de reglas de acceso críticas, puede definir reglas adicionales que identifiquen el acceso a roles y perfiles críticos.

  • Usando la sección de reglas generadas, puede encontrar y ver las reglas de acceso generadas.

  • En Organizaciones, puede mantener la estructura organizativa de la empresa para el cumplimiento y la gestión de riesgos con asignaciones relacionadas.

  • La sección Controles de mitigación le permite administrar los controles para mitigar la segregación de funciones, acciones críticas y violaciones de acceso a permisos críticos.

  • Asignación de superusuario es donde asigna propietarios a ID de bombero y asigna ID de bombero a los usuarios.

  • El mantenimiento de superusuario es donde mantiene las asignaciones de código de motivo, controlador y bombero.

  • En Propietarios de acceso, administra los privilegios de propietario para las capacidades de administración de acceso.

Según la licencia del software GRC, puede navegar por Access Management Work Center. Tiene múltiples secciones para administrar las actividades de control de acceso.

Al hacer clic en Access Management Work Center, puede ver las siguientes secciones:

  • Asignaciones de roles de GRC
  • Análisis de riesgo de acceso
  • Acceso mitigado
  • Administración de solicitudes de acceso
  • Gestión de roles
  • Minería de roles
  • Mantenimiento masivo de roles
  • Asignación de superusuario
  • Mantenimiento de superusuario
  • Creación de solicitud de acceso
  • Revisiones de certificación de cumplimiento
  • Alerts
  • Scheduling

Las secciones anteriores le ayudarán de las siguientes formas:

  • Cuando vas a acceder risk analysissección, puede evaluar sus sistemas en busca de riesgos de acceso en usuarios, roles, objetos de recursos humanos y niveles de organización. Un riesgo de acceso son dos o más acciones o permisos que, cuando están disponibles para un solo usuario o un solo rol, perfil, nivel organizacional u Objeto de RRHH, crean la posibilidad de error o irregularidad.

  • Utilizando mitigated access sección, puede identificar los riesgos de acceso, evaluar el nivel de esos riesgos y asignar controles de mitigación a los usuarios, roles y perfiles para mitigar las violaciones de las reglas de acceso.

  • En access request administration sección, puede administrar las asignaciones de acceso, las cuentas y los procesos de revisión.

  • Utilizando role management, administra roles de múltiples sistemas en un solo repositorio unificado.

  • En role mining función de grupo, puede seleccionar roles de interés, analizarlos y tomar medidas.

  • Utilizando role mass maintenance, puede importar y cambiar autorizaciones y atributos para múltiples roles.

  • En Superuser Assignment sección, puede asignar identificaciones de bombero a los propietarios y asignar a los bomberos y controladores a las identificaciones de bombero.

  • En Superuser Maintenance sección, puede realizar actividades tales como investigar y mantener a los bomberos y controladores, y asignar códigos de motivo por sistema.

  • Utilizando access request creation, puede crear asignaciones de acceso y cuentas.

  • Compliance certification reviews admite revisiones del acceso de los usuarios, violaciones de riesgos y asignaciones de funciones.

  • Utilizando alerts, puede generar la aplicación para la ejecución de acciones críticas o conflictivas.

  • Utilizando Scheduling sección del Centro de trabajo de configuración de reglas, puede mantener horarios para el monitoreo de control continuo y las pruebas automatizadas, y para rastrear el progreso del trabajo relacionado.

En la solución SAP GRC, puede administrar objetos de autorización para limitar los elementos y datos a los que puede acceder un usuario. La autorización controla a qué puede acceder un usuario con respecto a los centros de trabajo y los informes en el sistema SAP.

Para acceder a la solución GRC, debe tener el siguiente acceso:

  • Autorización del portal
  • Roles de PFCG aplicables
  • Roles de PFCG para control de acceso, control de procesos y gestión de riesgos

Los tipos de autorización que se enumeran a continuación son necesarios según los componentes de GRC: AC, PC y RM.

Nombre de rol Typ Descripción Componente
SAP_GRC_FN_BASE PFCG Rol básico PC, RM
SAP_GRAC_BASE PFCG Rol básico (incluye SAP_GRC_FN_BASE) C.A.
SAP_GRC_NWBC PFCG Rol para ejecutar GRC 10.0 en NWBC AC, PC, RM
SAP_GRAC_NWBC PFCG Función para ejecutar centros de trabajo NWBC simplificados para CA C.A.
GRC_Suite Portal Rol del portal para ejecutar GRC en 10.0 en el portal AC, PC, RM
SAP_GRC_FN_BUSINESS_USER PFCG Rol de usuario común CA * , PC, RM
SAP_GRC_FN_ALL PFCG Rol de usuario avanzado; omite la autorización a nivel de entidad para PC y RM PC, RM
SAP_GRAC_ALL PFCG Rol de usuario avanzado C.A.
SAP_GRC_FN_DISPLAY PFCG Mostrar todos los roles de usuario PC, RM
SAP_GRAC_DISPLAY_ALL PFCG Mostrar todos los roles de usuario C.A.
SAP_GRAC_SETUP PFCG Rol de personalización (utilizado para mantener la configuración en IMG) C.A.
SAP_GRC_SPC_CUSTOMIZING PFCG Rol de personalización (utilizado para mantener la configuración en IMG) ordenador personal
SAP_GRC_RM_CUSTOMIZING PFCG Rol de personalización (utilizado para mantener la configuración en IMG) RM
SAP_GRAC_RISK_ANALYSIS PFCG El rol otorga la autoridad para ejecutar trabajos de SoD AC, PC, RM

Autorización en Portal Component y NWBC

En la solución SAP GRC 10.0, los centros de trabajo se definen en roles PCD para el componente Portal y en roles PFCG para NWBC (NetWeaver Business Client). Los centros de trabajo se fijan en cada rol base. Sin embargo, SAP cumple estos roles; Estos roles pueden ser modificados por el cliente según los requisitos.

Las ubicaciones de las carpetas de la aplicación y las aplicaciones subordinadas dentro del mapa de servicios están controladas por la aplicación SAP NetWeaver Launchpad. El mapa de servicio se controla mediante la autorización del usuario, por lo que si el usuario no tiene autorización para ver ninguna aplicación, se ocultará en el cliente NetWeaver Business.

¿Cómo revisar las asignaciones de roles en Access Management Work Center?

Siga estos pasos para revisar las asignaciones de roles:

Step 1 - Vaya al Centro de trabajo de gestión de acceso en NetWeaver Business Client.

Step 2- Seleccione el proceso de negocio en la asignación de roles de GRC y vaya al nivel de rol del subproceso. Haga clic en siguiente para continuar asignando secciones de roles.

¿Cómo revisar las asignaciones de roles en el Centro de trabajo de datos maestros?

Step 1 - Vaya al Centro de trabajo de datos maestros → Organizaciones

Step 2 - En la siguiente ventana, seleccione cualquier organización de la lista, luego haga clic en Abrir.

Step 3 - Note que el triángulo al lado de la organización significa que hay suborganizaciones y el punto al lado de la organización significa que es el nivel más bajo.

Step 4- Haga clic en la pestaña de subproceso → Asignar subproceso. Ahora seleccione uno o dos subprocesos y haga clic en Siguiente.

Step 5 - Sin realizar ningún cambio, haga clic en Finalizar en el paso Seleccionar controles.

Step 6- Elija el primer subproceso de la lista, luego haga clic en Abrir. Debería ver los detalles del subproceso.

Step 7- Haga clic en la pestaña Roles. Elija un rol de la lista y luego haga clic en Asignar.

SAP GRC Access Control utiliza roles UME para controlar la autorización del usuario en el sistema. Un administrador puede utilizar acciones que representen la entidad más pequeña del rol UME que un usuario puede utilizar para crear derechos de acceso.

Un rol de UME puede contener acciones de una o más aplicaciones. Tienes que asignar roles UME a los usuarios enUser Management Engine (UME).

Autorización en UME

Cuando un usuario no tiene acceso a una pestaña determinada, la pestaña no se mostrará cuando el usuario inicie sesión cuando el usuario intente acceder a esa pestaña. Cuando se asigna una acción UME para una pestaña a ese usuario en particular, solo entonces podrá acceder a esa función.

Todas las acciones UME estándar disponibles para las pestañas CC se pueden encontrar en la pestaña “Assigned Actions” del Admin User.

Roles UME

Debe crear un rol de administrador y este rol debe asignarse a Superusuario para realizar actividades relacionadas con el calibrador de cumplimiento de SAP. Hay varios roles CC que se pueden crear bajo el control de acceso SAP GRC en el momento de la implementación:

  • CC.ReportingView

    Description - Visualización e informes del calibrador de cumplimiento

  • CC.RuleMaintenance

    Description - Mantenimiento de la regla del calibrador de cumplimiento

  • CC.MitMaintenance

    Description - Mantenimiento de mitigación del calibrador de cumplimiento

  • CC.Administration

    Description - Administración del calibrador de cumplimiento y configuración básica

¿Cómo abrir User Maintenance Engine?

Con UME, puede realizar varias actividades clave en Control de acceso:

  • Puede realizar el mantenimiento de usuarios y roles
  • Se puede utilizar para la configuración de la fuente de datos del usuario.
  • Puede aplicar configuraciones de seguridad y reglas de contraseña

Para abrir UME, debe usar la siguiente URL:

http://<hostname>:<port>/useradmin

En SAP GRC 10.0, puede usar la plataforma de lanzamiento de control de acceso para mantener funcionalidades clave en el control de acceso de GRC. Es una única página web que se puede utilizar paraRisk Analysis and Remediation (RAR).

En GRC Access Control, puede utilizar la capacidad de Análisis y corrección de riesgos (RAR) para realizar auditorías de seguridad y análisis de segregación de funciones (SoD). Es una herramienta que se puede utilizar para identificar, analizar y resolver problemas de riesgo y auditoría relacionados con el siguiente cumplimiento normativo. Aquí, también puede definir coloaborativamente lo siguiente:

  • Gestión de roles empresariales (ERM)
  • Aprovisionamiento de usuarios compatible (CUP)
  • Gestión de privilegios de superusuario

Creación de una nueva plataforma de lanzamiento en NWBC

Siga estos pasos para crear un nuevo Launchpad en NWBC:

Step 1 - Vaya a los roles de PFCG y abra el rol SAP_GRAC_NWBC

Step 2 - Cuando hace clic con el botón derecho en el elemento Mi casa, puede ver que la aplicación que se está llamando es grfn_service_map?WDCONFIGURATIONID=GRAC_FPM_AC_LPD_HOME y el ID de configuración es GRAC_FPM_AC_LPD_HOME.

Step 3 - Seleccionar application config y puede ver la pantalla de configuración de la aplicación → botón de visualización.

Step 4 - Cuando hace clic en Pantalla, puede ver esta pantalla -

Step 5 - Ahora abre el Component Configuration botón.

Step 6 - Haga clic en Configure UIBBen esta pantalla. Se le dirigirá a la siguiente pantalla:

Step 7- Puede seleccionar el Launchpad al que desea mapear. Si desea crear un nuevo Launchpad, también puede asignarlo a un nuevo rol.

Step 8 - Para crear un nuevo Launchpad, defina lo siguiente -

  • Cree una nueva plataforma de lanzamiento con los elementos de menú que desee.

  • Crea una nueva configuración de la aplicación GRFN_SERVICE_MAP o puede copiar la identificación de configuración GRAC_FPM_AC_LPD_HOME y personalizarlo aún más.

  • En la nueva configuración, seleccione el Launchpad que desea asociar.

  • Cree un nuevo rol y agregue la aplicación webdynpro GRFN_SERVICE_MAP a él con el ID de configuración personalizado creado en el paso anterior.

En la solución SAP GRC 10.0, los datos maestros y la estructura de la organización se comparten entre el control de acceso, el control de procesos y la gestión de riesgos. Process Control también comparte ciertas capacidades con el proceso de gestión de riesgos.

Las siguientes son las características clave compartidas con Access Control:

  • El control de acceso y el control de procesos comparten la estructura de cumplimiento en las siguientes áreas:

    • En la solución de control de procesos, los controles se utilizan como control de mitigación en el control de acceso bajo la solución SAP GRC 10.0.

    • El control de acceso y el control de procesos comparten la misma organización.

    • En el control de procesos, los procesos se utilizan como procesos comerciales en el control de acceso.

    • El control de procesos y el control de acceso se integran con el análisis de riesgos de acceso para monitorear la segregación de funciones.

The menu areas common to both Process Control and Risk Management are −

  • Asignación de roles de GRC
  • Planificador de control de procesos
  • Planificador de gestión de riesgos
  • Delegación Central

Los siguientes son los puntos clave de integración entre el control de procesos y la gestión de riesgos:

  • Se pueden diseñar nuevos puntos de control para el control de procesos en la gestión de riesgos.

  • Cuando se propone un nuevo control, Control de Procesos necesita evaluar la solicitud de Gestión de Riesgos.

  • La Gestión de Riesgos utiliza los resultados del Control de Procesos para evaluar nuevos controles.

  • La Gestión de riesgos también puede utilizar los controles existentes de Control de procesos como respuestas en la Gestión de riesgos.

Internal Audit Managementle permite procesar la información de la gestión de riesgos y el control de procesos para utilizarla en la planificación de la auditoría. La propuesta de auditoría se puede transferir a la gestión de auditoría para su procesamiento cuando sea necesario y los elementos de auditoría se pueden utilizar para generar problemas para informar. IAM le proporciona un lugar donde puede realizar una planificación de auditoría completa, crear elementos de auditoría, definir el universo de auditoría y crear y ver informes de auditoría y problemas de auditoría.

Internal Audit Management Work Center proporciona una ubicación central para las siguientes actividades:

  • Defina el universo de auditoría para su organización
  • Calificación de riesgo de auditoría
  • Planificación de la auditoría para definir el procedimiento de cumplimiento de la auditoría
  • Problemas de auditoría de acciones de auditoría
  • Informes de auditoría para ver qué riesgos existen en las entidades auditables

Audit Universe contiene entidades de auditoría que pueden clasificarse como unidades de negocio, líneas de negocio o departamentos. Las entidades de auditoría definen la estrategia de planificación de la auditoría y estas se pueden vincular con el Control de Procesos y la Gestión de Riesgos para encontrar riesgos, controles, etc.

Crear una entidad auditable

Entendamos ahora cómo crear una enidad auditable.

Step 1 - Ir a /nwbc opción en la parte superior para abrir Centros de trabajo

Step 2 - En SAP NetWeaver Business Client, vaya al Centro de trabajo de IAM.

Step 3 - Vaya a Gestión de auditoría interna → Universo de auditoría

Step 4 - Haga clic en Create botón y vaya a General lengüeta.

Step 5 - Ingrese los siguientes detalles para la entidad auditable -

  • Name
  • Description
  • Type
  • Status
  • Notas para agregar cualquier información adicional

Step 6 - Ir a Audit Plan pestaña para ver propuestas de auditoría y propuestas de planes de auditoría con la fecha de transferencia.

Step 7 - Seleccione el attachments and links pestaña para agregar cualquier tipo de archivos o enlaces.

Step 8 - Cuando ingresa los detalles requeridos, puede seleccionar entre las siguientes opciones:

  • Seleccione Save para salvar la entidad.
  • Seleccione Close para salir sin guardar.

Control de procesos de SAP - Calificación de riesgo de auditoría

La calificación de riesgo de auditoría se utiliza para definir los criterios para que una organización encuentre la calificación de riesgo y establezca la clasificación para la calificación de riesgo. Cada entidad auditable se califica según la retroalimentación de la administración en ARR. Puede utilizar ARR para realizar las siguientes funciones:

  • Puede encontrar el conjunto de entidades auditables y factores de riesgo.

  • Definir y evaluar puntajes de riesgo por factor de riesgo en cada entidad auditable.

  • Según la puntuación de riesgo, puede calificar la entidad auditable.

  • También puede generar un plan de auditoría a partir de ARR comparando puntajes de riesgo para diferentes entidades auditables. Además de esto, puede seleccionar las entidades auditables de alta puntuación de riesgo y generar una propuesta de auditoría y una propuesta de plan de auditoría.

Crear una calificación de riesgo de auditoría

Entendamos ahora los pasos para crear una calificación de riesgo de auditoría

Step 1 - En SAP NetWeaver Business Client, vaya al Centro de trabajo de IAM.

Step 2 - Vaya a Gestión de auditoría interna → Calificación de riesgo de auditoría → Crear

Step 3 - En la pestaña General, ingrese los siguientes detalles -

  • Name
  • Description
  • Válida desde
  • Válido hasta
  • Persona responsable
  • Status

Step 4 - Vaya a Entidades auditables y haga clic en Add para elegir entre entidades auditables.

Step 5 - Ir a Risk Factor pestaña y seleccione ARRfactor de riesgo. SeleccioneAdd para agregar un factor de riesgo → OK.

Step 6 - Ir a Risk Scores, seleccione la entidad y las puntuaciones de riesgo de entrada en la tabla de factores de riesgo. Hacer clicCalculatepara ver la puntuación media. Vaya a la columna Nivel de riesgo y prioridad de riesgo para ingresar los detalles.

Ir Audit Plan Proposalpestaña, para asegurarse de que está creando una propuesta de plan de auditoría. Seleccione exportar para crear una hoja de cálculo de Excel para ver la información en forma de tabla para su ARR.

Seleccione Save botón para guardar la calificación de riesgo de auditoría para la entidad auditable.

Los centros de trabajo proporcionan un punto de acceso central para toda la funcionalidad de GRC. Están organizados para proporcionar un fácil acceso a las actividades de la aplicación y contienen grupos de menú y enlaces a otras actividades.

Los siguientes centros de trabajo son compartidos por Control de Acceso, Control de Procesos y Gestión de Riesgos:

  • Mi hogar
  • Datos maestros
  • Configuración de reglas
  • Assessments
  • Gestión de Acceso
  • Informes y análisis

Analicemos los principales centros de trabajo.

Mi hogar

My Home Work Center es compartido por Process Control, Risk management y Access Control. Esto proporciona una ubicación centralizada donde puede administrar las tareas asignadas y los objetos accesibles en la aplicación GRC. My Home viene con varias secciones. Entendamos ahora la sección Bandeja de entrada del trabajo:

Bandeja de entrada de trabajo

Con Work Inbox, puede ver las tareas que tiene que procesar en el software GRC.

Si desea procesar una tarea, haga clic en la tarea en la tabla.

Se abrirá la ventana de flujo de trabajo en la que puede procesar la tarea.

Datos maestros

Master Data Work Center es compartido por Control de Procesos, Gestión de Riesgos y Control de Acceso. El centro de trabajo de datos maestros de control de procesos contiene las siguientes secciones:

  • Organizations
  • Regulaciones y Políticas
  • Objectives
  • Actividades y procesos
  • Riesgos y respuestas
  • Accounts
  • Reports

Analicemos ahora los principales centros de trabajo en Master Data Work Center -

Organizations - Mantener la estructura organizativa de la empresa para el cumplimiento y la gestión de riesgos con asignaciones relacionadas

Mitigation Controls - Mantener controles para mitigar la segregación de funciones, acciones críticas y violaciones críticas de acceso a permisos

Para crear un control de mitigación, haga clic en el botón Crear.

Será dirigido a una nueva ventana, ingrese los detalles para el control de mitigación y haga clic en el botón Guardar.

Informes y análisis

El Centro de trabajo de informes y análisis es compartido por Control de procesos, Gestión de riesgos y Control de acceso. El Centro de trabajo de análisis e informes de control de procesos consta de la sección Cumplimiento en la aplicación GRC.

En la sección de cumplimiento, puede crear los siguientes informes en Control de procesos:

Panel de estado de evaluación

Muestra una imagen de alto nivel del estado general del cumplimiento corporativo en diferentes entidades comerciales y proporciona capacidades de análisis y desglose para ver datos en diferentes niveles y dimensiones.

Resultados de la encuesta

Muestra los resultados de las encuestas.

Ficha de datos

Proporciona información completa sobre datos maestros, evaluación y actividades de remediación para subprocesos y controles.

Los siguientes roles que utilizan la funcionalidad de hoja de datos:

  • Internal Auditors - Pueden usar hojas de datos para obtener una imagen de los controles y subprocesos en una organización bajo GRC.

  • Process Owners- En la aplicación GRC, los propietarios del proceso y los propietarios del control pueden solicitar hojas de datos para obtener una descripción general de sus subprocesos. La información de la hoja de datos proporciona la definición del subproceso, las evaluaciones completadas en el subproceso, los controles abarcados por el subproceso y las evaluaciones y pruebas realizadas en estos controles.

  • Control Owners- Los propietarios de controles pueden utilizar hojas de datos para comprobar el diseño de sus controles. El propietario del control puede evaluar los controles para comprobar los controles y su eficacia.

  • External Auditors- Las hojas de datos pueden ser utilizadas por auditores externos; esto se puede utilizar para solicitar la información para investigar controles o subprocesos.

Note - Otros centros de trabajo como la gestión de acceso, las evaluaciones y la configuración de reglas también se comparten mediante el control de procesos, el control de acceso y la gestión de riesgos.

El Centro de trabajo Gestión de acceso de control de procesos tiene la sección Asignaciones de roles de GRC.

En todas las empresas, se requiere realizar la gestión de riesgos de segregación de funciones (SoD), desde el reconocimiento de riesgos hasta la validación de la creación de reglas y varias otras actividades de gestión de riesgos para seguir el cumplimiento continuo.

Según los diferentes roles, existe la necesidad de realizar la segregación de funciones en el sistema GRC. SAP GRC define varios roles y responsabilidades bajo la gestión de riesgos de SoD:

Propietarios de procesos comerciales

Los propietarios de procesos de negocio realizan las siguientes tareas:

  • Identificar riesgos y aprobar riesgos para monitorear
  • Aprobar medidas correctivas que impliquen acceso de usuarios
  • Diseñar controles para mitigar conflictos
  • Comunicar asignaciones de acceso o cambios de roles
  • Realice un cumplimiento continuo proactivo

Oficiales superiores

Los oficiales superiores realizan las siguientes tareas:

  • Aprobar o rechazar riesgos entre áreas comerciales
  • Aprobar controles de mitigación para riesgos seleccionados

Administradores de seguridad

Los administradores de seguridad realizan las siguientes tareas:

  • Asumir la propiedad de las herramientas GRC y el proceso de seguridad
  • Diseñar y mantener reglas para identificar condiciones de riesgo.
  • Personalice los roles de GRC para hacer cumplir roles y responsabilidades
  • Analizar y remediar conflictos de SoD a nivel de rol

Auditores

Los auditores realizan las siguientes tareas:

  • Evaluación de riesgos de forma periódica
  • Proporcionar requisitos específicos para fines de auditoría.
  • Prueba periódica de reglas y controles de mitigación
  • Actuar como enlace entre auditores externos

Guardián de reglas de SoD

SoD Rule Keeper realiza las siguientes tareas:

  • Configuración y administración de la herramienta GRC
  • Mantiene controles sobre las reglas para garantizar la integridad
  • Actúa como enlace entre la base y el centro de soporte de GRC

SAP Risk Management en GRC se utiliza para gestionar la gestión ajustada al riesgo del rendimiento empresarial que permite a una organización optimizar la eficiencia, aumentar la eficacia y maximizar la visibilidad en todas las iniciativas de riesgo.

Los siguientes son los key functions bajo Gestión de riesgos -

  • La gestión de riesgos hace hincapié en la alineación organizacional hacia los principales riesgos, los umbrales asociados y la mitigación de riesgos.

  • El análisis de riesgos incluye la realización de análisis cualitativos y cuantitativos.

  • La gestión de riesgos implica la identificación de riesgos clave en una organización.

  • La gestión de riesgos también incluye estrategias de resolución / remediación de riesgos.

  • La gestión de riesgos realiza la alineación de los indicadores clave de riesgo y rendimiento en todas las funciones comerciales, lo que permite una identificación más temprana y una mitigación dinámica del riesgo.

La gestión de riesgos también implica un seguimiento proactivo de los procesos y estrategias comerciales existentes.

Fases de la gestión de riesgos

Analicemos ahora las distintas fases de la gestión de riesgos. Las siguientes son las distintas fases de la gestión de riesgos:

  • Reconocimiento de riesgos
  • Creación y validación de reglas
  • Analysis
  • Remediation
  • Mitigation
  • Cumplimiento continuo

Reconocimiento de riesgos

En un proceso de reconocimiento de riesgos bajo gestión de riesgos, se pueden realizar los siguientes pasos:

  • Identificar riesgos de autorización y aprobar excepciones
  • Aclarar y clasificar el riesgo como alto, medio o bajo
  • Identificar nuevos riesgos y condiciones para monitorear en el futuro.

Creación y validación de reglas

Realice las siguientes tareas en Creación y validación de reglas:

  • Consulte las reglas de mejores prácticas para el medio ambiente
  • Valida las reglas
  • Personaliza reglas y prueba
  • Verificar contra casos de roles y usuarios de prueba

Análisis

Realice las siguientes tareas en Análisis:

  • Ejecute los informes analíticos
  • Estimar los esfuerzos de limpieza
  • Analizar roles y usuarios
  • Modificar reglas basadas en análisis
  • Establecer alertas para distinguir los riesgos ejecutados

Desde el aspecto de la administración, puede ver una vista compacta de las infracciones de riesgo que están agrupadas por gravedad y tiempo.

Step 1 - Vaya a Virsa Compliance Calibrator → pestaña Informer

Step 2 - Para las infracciones de SoD, puede mostrar un gráfico circular y un gráfico de barras para representar las infracciones actuales y pasadas en el panorama del sistema.

Los siguientes son los dos puntos de vista diferentes sobre estas violaciones:

  • Infracciones por nivel de riesgo
  • Violaciones por proceso

Remediación

Realice las siguientes tareas en reparación:

  • Determinar alternativas para eliminar riesgos
  • Presentar análisis y seleccionar acciones correctivas
  • Documentar la aprobación de acciones correctivas
  • Modificar o crear roles o asignaciones de usuarios

Mitigación

Realice las siguientes tareas bajo mitigación:

  • Determinar controles alternativos para mitigar el riesgo.
  • Educar a la gerencia sobre la aprobación y el monitoreo de conflictos
  • Documentar un proceso para monitorear los controles de mitigación
  • Implementar controles

Cumplimiento continuo

Realice las siguientes tareas en Cumplimiento continuo:

  • Comunicar cambios en roles y asignaciones de usuarios
  • Simular cambios en roles y usuarios
  • Implementar alertas para monitorear riesgos seleccionados y mitigar las pruebas de control

Clasificación de riesgo

Los riesgos deben clasificarse según la política de la empresa. Las siguientes son las diversas clasificaciones de riesgo que puede definir según la prioridad de riesgo y la política de la empresa:

Crítico

La clasificación crítica se realiza para riesgos que contienen activos críticos de la empresa que muy probablemente se verán comprometidos por fraude o interrupciones del sistema.

Alto

Esto incluye pérdida física o monetaria o interrupción de todo el sistema que incluye fraude, pérdida de cualquier activo o falla de un sistema.

Medio

Esto incluye múltiples interrupciones del sistema, como sobrescribir datos maestros en el sistema.

Bajo

Esto incluye el riesgo donde las pérdidas de productividad o fallas del sistema comprometidas por fraude o interrupciones y pérdidas del sistema son mínimas.

En SAP GRC 10.0 Risk Management, la fase de corrección de riesgos determina el método para eliminar los riesgos en los roles. El propósito de la fase de remediación es determinar alternativas para eliminar problemas bajo la gestión de riesgos.

Se recomiendan los siguientes enfoques para resolver problemas en los roles:

Funciones individuales

  • Puede comenzar con roles individuales, ya que es la forma más fácil y sencilla de comenzar.

  • Puede comprobar que no se reintroduzca ninguna infracción de la Segregation of Duty SoD.

Roles compuestos

  • Puede realizar varios análisis para verificar la asignación de usuario en la asignación o eliminación de acciones de usuario.

  • Puede utilizar la vista de gestión o los informes de análisis de riesgos para el análisis, como se menciona en el tema anterior.

En la corrección de riesgos, los administradores de seguridad deben documentar el plan y los propietarios de procesos comerciales deben participar y aprobar el plan.

SAP GRC - Tipo de informe

Puede generar diferentes informes de análisis de riesgos según el análisis requerido:

  • Action Level - Puede usarlo para realizar análisis de SoD a nivel de acción.

  • Permission Level - Esto se puede utilizar para realizar análisis de SoD en los niveles de acción y permiso.

  • Critical Actions - Puede utilizarse para analizar los usuarios que tienen acceso a una de las funciones críticas.

  • Critical Permissions - Esto se puede utilizar para analizar a los usuarios que tienen acceso a una función crítica.

  • Critical Roles/Profiles - Esto se puede utilizar para analizar los usuarios que tienen acceso a roles o perfiles críticos.

En SAP GRC 10.0, puede utilizar controles de mitigación cuando no es posible separar la Segregación de funciones SoD del proceso empresarial.

Ejemplo

En una organización, considere un escenario en el que una persona se encarga de los roles dentro de los procesos comerciales que causan un conflicto de SoD faltante.

Hay diferentes ejemplos que son posibles para los controles de mitigación:

  • Estrategias de liberación y límites de autorización
  • Revisión de registros de usuarios
  • Revisión de informes de excepciones
  • Análisis de varianza detallado
  • Establecer un seguro para cubrir el impacto de un incidente de seguridad

Tipos de control de mitigación

Hay dos tipos de control de mitigación bajo SAP GRC Risk Management:

  • Preventive
  • Detective

Controles preventivos de mitigación

El control de mitigación preventivo se utiliza para reducir el impacto del riesgo antes de que realmente ocurra. Hay varias actividades que puede realizar bajo control de mitigación preventiva:

  • Configuration
  • Salidas de usuario
  • Security
  • Definición de flujo de trabajo
  • Objetos personalizados

Controles de mitigación de detectives

El control de mitigación de detectives se utiliza cuando se recibe una alerta y se produce un riesgo. En este caso, el responsable de iniciar la medida correctiva mitiga el riesgo.

Hay varias actividades que puede realizar bajo el control de mitigación de detectives:

  • Reportes de actividad
  • Comparación del plan con la revisión real
  • Revisión de presupuesto
  • Alerts

Configurar controles de migración

Siga estos pasos para configurar los controles de migración:

Step 1 - Inicie sesión en SAP GRC Access control.

Step 2- Realizar un análisis de riesgos a nivel de usuario. Ingrese los detalles a continuación:

  • Tipo de informe
  • Formato de informe

Step 3 - Haga clic en Ejecutar

Step 4 - Puede alternar entre diferentes tipos de informes como en la siguiente captura de pantalla -

Step 5 - Inicie sesión en SAP GRC Access Control y programe un trabajo de fondo de análisis de riesgos a nivel de rol.

Ingrese los siguientes detalles:

  • Tipo de informe: nivel de permiso
  • Formato de informe: resumen

Step 6 - Click Run in Background como se muestra en la siguiente captura de pantalla:

Step 7 - En la siguiente ventana, puede seleccionar Start Immediately. Luego, haga clic enOK.

En SAP GRC 10.0, la gestión de privilegios de superusuario debe implementarse en su organización para eliminar las autorizaciones excesivas y los riesgos que experimenta su empresa con el enfoque de usuario de emergencia actual.

Las siguientes son las características clave en el privilegio de superusuario:

  • Puede permitir que el superusuario realice actividades de emergencia en un entorno controlado y auditable

  • Con Superusuario, puede informar todas las actividades del usuario que acceden a privilegios de autorización superiores.

  • Puede generar una pista de auditoría, que se puede utilizar para documentar las razones por las que se utilizan privilegios de acceso superiores.

  • Esta pista de auditoría se puede utilizar para el cumplimiento de SOX.

  • El superusuario puede actuar como bombero y tener las siguientes capacidades adicionales:

    • Se puede utilizar para realizar tareas fuera de su rol o perfil normal en una situación de emergencia.

    • Solo determinadas personas (propietarios) pueden asignar identificaciones de bombero.

    • Proporciona una capacidad extendida a los usuarios mientras crea una capa de auditoría para monitorear y registrar el uso.

Roles estándar en la administración de privilegios de superusuario

Puede utilizar los siguientes roles estándar para la gestión de privilegios de superusuario:

/ VIRSA / Z_VFAT_ADMINISTRATOR

  • Esto tiene la capacidad de configurar Firefighter
  • Asignar propietarios y controladores de roles de bombero a las ID de bombero
  • Ejecutar informes

/ VIRSA / Z_VFAT_ID_OWNER

  • Asignar ID de bombero a usuarios de bombero
  • Cargar, descargar y ver el registro del historial de bomberos

VIRSA / Z_VFAT_FIREFIGHTER

  • Accede al programa de bombero

Ahora entendamos cómo implementar Superuser.

Puede implementar ID de bombero trabajando en los siguientes pasos:

Step 1 - Cree ID de bombero para cada área de proceso empresarial

Step 2 - Asignar roles y perfiles necesarios para realizar tareas de extinción de incendios.

No debes asignar el perfil SAP_ALL

Step 3 - Usar código T - SU01

Step 4 - Click Create botón para crear un nuevo usuario.

Step 5 - Asignar roles de bombero como se mencionó anteriormente a la identificación del usuario -

  • Asigne roles de bombero a las ID de usuario correspondientes.

  • Asigne el rol de administrador / VIRSA / Z_VFAT_ADMINISTRATOR al administrador de administración de privilegios de superusuario.

  • El usuario administrador no debe tener asignado ningún servicio de extinción de incendios.

  • Asigne el rol estándar / VIRSA / Z_VFAT_FIREFIGHTER a -

    • Firefighter ID - Usuario de servicio utilizado para iniciar sesión
    • Firefighter user - Usuario estándar que actúa como bombero en caso de

  • Asigne el rol de propietario de ID / VIRSA / Z_VFAT_ID_OWNER a -

    • Propietario: responsable de determinar a quién se le asignará

    • Controlador: recibe una notificación cuando la identificación de bombero es responsabilidad de las identificaciones de bombero de emergencia para su área comercial utilizada.

Step 6 - Ir a Roles pestaña y seleccione los roles mencionados según el requisito.

Step 7 - Crear destino RFC para el cambio interno a ID de bombero -

  • Nombre: ingrese el nombre de la conexión RFC

  • Tipo de conexión - 3

  • Ingrese una descripción

    (No se requieren nombre de usuario, contraseñas u otros datos de inicio de sesión)

  • Introduzca las contraseñas para cada ID de bombero en la tabla de seguridad: las contraseñas se almacenan como valores hash y no se pueden leer después de que el administrador guarda el valor.

Step 8 - Para crear un registro de bombero, puede programar un trabajo en segundo plano.

Nombra el trabajo /VIRSA/ZVFATBAK como en la siguiente captura de pantalla -

Registro de superusuario

Comprendamos estos pasos para el registro de superusuario.

Step 1 - Usar código T - Transacción - / n / VIRSA / ZVFAT_V01

Step 2 - Ahora puede encontrar los registros en el área de la caja de herramientas.

Step 3 - Puedes usar transaction code — SM37 para revisar los registros de un usuario individual.

También puede utilizar la GUI web para acceder a toda la información del bombero. Vaya a SAP GRC Access control → Superuser privilege management.

Por lo tanto, es posible acceder a los datos de diferentes instalaciones de Firefighter en diferentes sistemas backend de SAP. Yit is not necessary to log on to each system anymore.

Puede implementar un análisis de riesgos mejorado utilizando las reglas de la organización. En las unidades de negocio de servicios compartidos, puede utilizar las reglas de la organización para lograr procedimientos para el análisis de riesgos y la gestión de grupos de usuarios.

Considere un caso en el que un usuario ha creado un proveedor ficticio y se han generado facturas para obtener un beneficio financiero.

Puede crear una regla de organización con el código de la empresa habilitado para eliminar este escenario.

Se deben realizar los siguientes pasos para evitar esta situación:

  • Habilitar campos de nivel de organización en funciones
  • Crear reglas de organización
  • Actualizar la tabla de mapeo de usuarios de la organización
  • Configurar el servicio web de análisis de riesgos

Habilitar campos de nivel de organización en funciones

Siga estos pasos para habilitar campos de nivel de organización en funciones:

  • Descubra las funciones que se segregarán por nivel de organización en un entorno de servicio compartido.

  • Mantenga los permisos para las transacciones afectadas.

Crea reglas de organización

Siga estos pasos para crear reglas de organización:

Step 1 - Cree reglas de organización para cada valor posible del campo de la organización.

Step 2 - Vaya al arquitecto de reglas → Nivel de organización → Crear

Step 3 - Ingrese el campo ID de la regla de la organización.

Step 4 - Ingrese la tarea relacionada.

Step 5 - Definir campo de nivel de organización y combinarlos con operadores booleanos.

Step 6 - Click Save para guardar la regla de la organización.

Beneficios de usar reglas de organización

Entendamos ahora los beneficios de usar reglas de organización.

Puede utilizar reglas organizativas para que las empresas implementen las siguientes funciones:

  • Puede utilizar las reglas de la organización para implementar servicios compartidos. Separa los deberes con la ayuda de restricciones organizacionales.

  • Vaya a Análisis de riesgos → Nivel de organización

  • Realizar un análisis de riesgo de tipo de análisis Org Rule contra un usuario

  • Recibirá el siguiente resultado:

    • El análisis de riesgo solo mostrará un riesgo si el usuario tiene acceso al mismo código de empresa específico en cada una de las funciones en conflicto.

En una organización, tiene propietarios de control en diferentes niveles jerárquicos de la organización. El riesgo debe gestionarse y mitigarse según el nivel de acceso.

Los siguientes son los propietarios del control en una organización:

  • Un propietario de control para nivel global
  • Diferentes propietarios de control para niveles regionales
  • Múltiples propietarios de controles a nivel local

Debe asignar controles de mitigación a diferentes niveles de responsabilidad. Ahora bien, si hay una infracción de riesgo a nivel regional y local, debe realizar la mitigación de riesgos al más alto nivel.

Para utilizar el control de mitigación en la jerarquía de la organización, digamos que ha realizado un análisis de riesgos a nivel de la organización y el usuario viola todas las reglas de la organización secundaria y cumple la condición de la regla principal y solo aparece la regla principal; puede realizar la mitigación de riesgos de las siguientes maneras:

  • Mitigación a nivel de usuario
  • Mitigación a nivel de organización

En SAO GRC 10.0, se activa un flujo de trabajo en las siguientes situaciones:

  • Para crear o actualizar riesgos.
  • Crear o actualizar controles de mitigación.
  • Asignar controles de mitigación.

Activar el mantenimiento de control y riesgo basado en el flujo de trabajo

A medida que sigue el enfoque de gestión de cambios basado en el flujo de trabajo en el análisis de riesgos y la corrección, debe realizar los siguientes pasos:

  • Vaya a la pestaña Configuración → opciones de flujo de trabajo
  • Establezca los siguientes parámetros:
  • Establezca el parámetro Mantenimiento de riesgo en SÍ
  • Establezca el parámetro Mantenimiento de control de mitigación en YES
  • Establezca el parámetro Mitigación en YES
  • Configurar la URL del servicio web de flujo de trabajo -
http://<server>:<port>/AEWFRequestSubmissionService_5_2/Config1?wsdl&style=document
  • Personalice los flujos de trabajo que deben realizarse dentro del motor de flujo de trabajo.

Mantenimiento de control y riesgo basado en el flujo de trabajo

Cuando mantiene un riesgo o un control está en SAP GRC, realiza los siguientes pasos:

Step 1 - En Control de acceso, se activa un flujo de trabajo para realizar un riesgo o un flujo de trabajo de control.

Step 2 - Cuando obtiene las aprobaciones necesarias, los pasos de aprobación dependen de los requisitos del cliente.

Step 3 - Obtenga una pista de auditoría que documente el proceso de aprobación completo.

SAP GRC - Servicios comerciales globales

Con SAP GRC Global Trade Services, puede mejorar la cadena de suministro transfronteriza de bienes en una organización. Esta aplicación le permite automatizar los procesos comerciales y le ayuda a controlar el costo y reducir el riesgo de sanciones y también a administrar los procesos de entrada y salida.

Con GTS, puede crear centralize single repository que se utiliza para contener todos los datos maestros y el contenido de cumplimiento.

Las siguientes son las ventajas clave de utilizar Global Trade Services:

  • Ayuda a reducir el costo y el esfuerzo de administrar el cumplimiento para el comercio global.

  • Puede facilitar las tareas manuales que requieren mucho tiempo y ayuda a mejorar la productividad.

  • Reduce las sanciones por infracciones de cumplimiento comercial.

  • Le ayuda a crear y mejorar la marca y la imagen y evitar el comercio con partes sancionadas o denegadas.

  • Allana el camino para la satisfacción del cliente y mejora la calidad del servicio.

  • Acelera los procesos de entrada y salida al realizar el despacho de aduanas y también ayuda a eliminar retrasos innecesarios.

Integración entre SAP ERP y SAP Global Trade Services

La siguiente ilustración muestra el flujo de proceso de integración entre SAP ERP y SAP Global Trade Services:

Cuando instala SAP GRC, hay varias configuraciones y ajustes que debe realizar en GRC. Las actividades clave incluyen:

  • Creando conectores en GRC

  • Configuración de AMF para usar los conectores

  • Crear conectores de devolución de llamada

  • La creación de conexiones en GRC es un proceso estándar de creación de conexiones RFC utilizando T-Code - SM59

SAP GRC está disponible en SAP Easy Access → en la carpeta Governance Risk Compliance.

Step 1 - Abra el menú de fácil acceso de SAP y use T-Code - SPRO

Step 2 - Vaya a Gobierno, Riesgo y Cumplimiento en SAP Reference IMG → Configuración de componentes comunes → Marco de integración → Crear conectores

Step 3 - Crear conector es un atajo para crear una conexión SM59.

Step 4 - Para ver las conexiones existentes, vaya a Mantener conectores y tipos de conexión -

Puede ver los tipos de conectores como se muestra a continuación. Estos tipos de conectores se pueden utilizar para la configuración con diferentes propósitos:

  • Los conectores del sistema local se utilizan para integrarse con la aplicación SAP BusinessObjects Access Control para supervisar la segregación de las infracciones de funciones.

  • Los conectores de servicios web se utilizan para fuentes de datos de socios externos (consulte la sección)

  • Los conectores del sistema SAP se utilizan en todos los demás casos.

Step 5 - Ir a Connection Type Definition pestaña -

Step 6- Definir cuál de los conectores previamente definidos en SM59 se puede utilizar en la monitorización. Ir a definir conectores

Step 7- En la pantalla puede ver un nombre de conector: SMEA5_100. Este es un conector que muestra un conector a un sistema ECC.

La tercera columna que enumera el nombre de un conector que está definido en el sistema monitoreado, y que está configurado para apuntar al sistema GRC que se está configurando aquí.

SMEA5_100 es otro conector en el sistema GRC y apunta a un sistema ERP que debe ser monitoreado. SM2 es un conector en el sistema ECC y apunta al sistema GRC.

Step 8 - Definir pantalla de grupo de conectores en el lado izquierdo.

Step 9 - Aquí debe asegurarse de que todas las configuraciones de conectores para la monitorización automatizada pertenezcan al grupo de configuración denominado Automated Monitoring como se muestra arriba debajo define automated monitoring connector group.

Step 10 - Ir a assign connectors to connector group En el lado izquierdo.

Step 11 - Asigne el conector al grupo de conectores AM como se menciona en la captura de pantalla anterior.

Step 12 - Ir a Maintain Connection Settings en el menú principal como en la siguiente captura de pantalla.

Step 13 - Debe ingresar el escenario de integración que desea, ingrese AM como en la siguiente captura de pantalla -

Step 14- Haga clic en la marca de verificación verde como se muestra en la captura de pantalla anterior; se le dirigirá a la siguiente pantalla con nueve subescenarios.

El cuadro resaltado muestra nueve entradas denominadas subescenarios y representan los diferentes tipos de fuentes de datos y reglas comerciales compatibles con el Control de procesos 10.

Step 15 - Para que el sistema sea monitoreado, debe vincular el conector correspondiente a ese subescenario.

Step 16 - Seleccione el subescenario que desea configurar y luego elija Enlace de conector de escenario en el lado izquierdo como se muestra a continuación -

Step 17 - Serás dirigido a la siguiente pantalla -

Step 18 - Ahora el conector que desea usar para ese escenario no está ya en la lista para ese subescenario,

  • Puede hacer clic en el botón Nuevas entradas en la parte superior para agregarlo.
  • Puede seguir estas recomendaciones para agregar subescenarios:
    • Aplicaciones ABAP: informe ABAP, consulta SAP, programa configurable
    • SAP BW: consulta BW
    • Sistema no SAP - Socio externo
    • Integrador de procesos - PI
    • Sistema GRC - Integración SoD

En SAP GRC Process Control, puede crear fuentes de datos. Aquí, las interfaces de usuario de tiempo de diseño se encuentran en la opción Configuración de reglas en el cliente empresarial.

Vaya a la sección de monitoreo continuo donde puede encontrar Data Sources y Business Rules opción.

Para crear una nueva fuente de datos, haga clic en Fuentes de datos → Crear.

En el siguiente campo, puede ver tres pestañas diferentes para definir la fuente de datos.

  • Pestaña General
  • Campo de objeto
  • Enlace y archivo adjunto

En la pestaña General, ingrese los siguientes detalles:

  • Nombre de la fuente de datos
  • Fecha de inicio del período de validez
  • Fecha de finalización del período de validez
  • Status

Ir Object Field pestaña, seleccione los siguientes campos -

En SAP GRC 10.0, puede usar Reglas de negocio para filtrar el flujo de datos que proviene de las fuentes de datos y puede aplicar las condiciones / cálculos configurados por el usuario contra esos datos para determinar si hay un problema que requiere atención.

El tipo de regla de negocio depende únicamente del tipo de fuente de datos.

Vaya a Reglas comerciales en Configuración de reglas.

Para crear nuevas reglas comerciales, hay una lista de pasos que debe seguir con algunos de los tipos de fuentes de datos.

Necesita definir detalles en cada pestaña. Por ejemplo, en elGeneral pestaña, debe ingresar la información básica sobre la regla comercial. Business rule gives you data to filter the deficiencies.

En la pestaña Datos para análisis, verá una lista de campos disponibles.

Vaya al criterio de filtro para pasar la condición de filtro en los objetos disponibles. Puede seleccionar entre diferentes operadores.

Cuando define todos los pasos, tiene la opción de guardar la regla. Si desea aplicar la regla a Process Control, puede hacerlo haciendo clic enApply botón.

Para asignar una regla comercial a un control de proceso, vaya a Asignación de regla comercial en Supervisión continua en Configuración de reglas.

Seleccione el control y busque la regla de negocio para aplicar.

Ahora hemos entendido cómo crear fuentes de datos y reglas comerciales para aplicar filtros en las fuentes de datos y cómo asignar reglas comerciales a los controles de proceso.