Audyt systemu ERP — zakres i przebieg

Audyt ERP sprawdza, czy procesy obsługiwane przez system ERP odpowiadają temu, jak firma naprawdę pracuje.¹
W poradniku omawiamy zakres i przebieg kontroli oraz 5 sygnałów, że może być potrzebna. Są to: praca poza systemem, niespójne dane, kłopoty z aktualizacjami, spadek wydajności i brak integracji.²

Czym jest audyt systemu ERP i jakie ma cele?

Audyt systemu ERP jest częścią audytu IT, czyli kontroli systemów i zasad zarządzania nimi. Sprawdza, czy oprogramowanie wspiera cele firmy, gdzie pojawiają się ryzyka i które zmiany mają uzasadnienie biznesowe.
Punktem odniesienia może być COBIT 2019. Obejmuje on 40 celów nadzoru i zarządzania technologią, powiązanych z celami przedsiębiorstwa³.

Ocena dotyczy aplikacji, zasad korzystania z niej oraz odpowiedzialności za informacje. Wnioski powinny odróżniać niejasne reguły pracy od ograniczeń oprogramowania, bo każdy z tych problemów wymaga innych działań.
Zgodnie z art. 24 ust. 1 RODO administrator danych odpowiada za odpowiednie środki techniczne i organizacyjne, nie tylko za samo oprogramowanie⁴.

Czym jest audyt bezpieczeństwa ERP i jakie ryzyka bada?

Audyt bezpieczeństwa systemu ERP skupia się na ochronie informacji i ciągłości pracy. Sprawdza ryzyko nieuprawnionego dostępu, zmiany danych bez zgody oraz utraty dostępności systemu. Ocenia też, kto nadaje dostęp i jak firma reaguje na incydenty. Chodzi o zagrożenia dla danych i działalności, a nie o wygodę obsługi aplikacji.
Art. 32 ust. 1 lit. b RODO wskazuje na konieczność ciągłego zapewniania poufności, integralności, dostępności i odporności systemów przetwarzających dane osobowe⁴.

Na czym polega audyt systemów w firmie?

Audyt systemów w firmie obejmuje całe środowisko IT, nie tylko ERP. Sprawdza aplikacje, wymianę informacji i odpowiedzialność za ich działanie. Dzięki temu łatwiej ustalić, czy źródło problemu leży w ERP, czy we współpracy systemów.
Przy ocenie przepływu danych punktem odniesienia może być kontrola A.5.14 normy ISO/IEC 27001:2022, dotycząca zasad przekazywania informacji⁵.

Od czego zacząć wewnętrzny audyt systemów?

Wewnętrzny audyt systemów zaczyna się od określenia celu, zakresu i właścicieli badanych obszarów. Zespół ustala, jakie decyzje mają wynikać z kontroli i według jakich kryteriów oceni systemy. Bez tego łatwo pomylić stwierdzony problem z pomysłem na zmianę.
Punkt 5.5.2 normy ISO 19011:2018 wskazuje na potrzebę określenia celu, zakresu i kryteriów pojedynczego audytu⁶.

Kontrola ERP odpowiada na pytania o konkretny system i cele firmy. Audyt bezpieczeństwa oraz ocena całego środowiska IT mają odrębny zakres.

Na czym polega przygotowanie i przebieg audytu ERP?

Kontrola ERP zaczyna się od ustalenia zakresu i osób odpowiedzialnych za badane obszary. Następnie łączy analizę techniczną z oceną codziennej pracy użytkowników. Audyt Digital Advisors obejmuje wersję i konfigurację systemu, nakładki, infrastrukturę, procesy biznesowe, wydajność oraz koszty utrzymania.²
To przykład zakresu kontroli działającego ERP, a nie obowiązkowy plan każdego audytu.

Digital Advisors dzieli audyt ERP na 4 etapy, które zwykle trwają 2–4 tygodnie.²
Innemu celowi służy audyt przedwdrożeniowy. Według GSD może objąć analizę procesów, dobór funkcjonalności, wymagania sprzętowe, licencjonowanie i bezpieczeństwo infrastruktury IT.⁷ GSD określa czas takiej analizy na 2–5 dni.⁷

Tabela pokazuje czas przeglądu technicznego i mapowania procesów w audycie opisanym przez Digital Advisors.

Dane w tabeli: 2

Jak audyt obejmuje procesy, konfigurację, dane, integracje i uprawnienia?

Audytor porównuje rzeczywisty sposób pracy z ustawieniami ERP i przepływem danych między aplikacjami. Mapowanie procesów biznesowych zapisuje kolejność czynności i odpowiedzialność, dzięki czemu ujawnia pracę niewidoczną w systemie. Przegląd techniczny systemu obejmuje konfigurację, przetwarzanie danych, integracje i zasady dostępu.
Punkt 4.4.1 normy ISO 9001:2015 pozwala sprawdzać wejścia i wyjścia procesów oraz przypisane do nich odpowiedzialności⁸.

• Obieg dokumentu pokazuje, gdzie użytkownik zapisuje informacje i kiedy przekazuje je dalej. Porównanie opisu pracy z zapisami w ERP ujawnia czynności wykonywane poza aplikacją.
• Konfiguracja i dane wymagają sprawdzenia ustawień oraz pól używanych w danym procesie. Właściciel procesu i administrator mogą wtedy odróżnić błąd wprowadzania danych od skutków konfiguracji.
• Integracje i uprawnienia wymagają ustalenia źródła i miejsca docelowego danych oraz osób, które mogą je zmieniać. Administrator i właściciel procesu wskazują w ten sposób punkt kontroli przepływu.

Jakie błędy i ryzyka może ujawnić audyt?

Audyt może wykazać rozbieżności między obiegiem pracy a konfiguracją ERP, niejasne źródła danych i zbyt szerokie uprawnienia. Analiza wydajności pozwala powiązać zgłoszenia użytkowników z działaniem systemu. Każdy wniosek powinien opisywać obserwację, jej wpływ na proces i obszar do zmiany. Samo zgłoszenie trudności nie wskazuje jeszcze przyczyny.
Kontrola AC-6 w NIST SP 800-53 Rev. 5 określa zasadę najmniejszych uprawnień: dostęp ma wystarczać do wykonania przypisanych zadań⁹.

Jak przygotować zespół i dokumentację do audytu?

Zespół audytu ERP powinien połączyć wiedzę właścicieli procesów, administratorów i osób odpowiedzialnych za wymianę danych. Przygotowuje opisy obiegu dokumentów, wykaz zmian konfiguracji, schemat integracji i zasady nadawania dostępu. Właściciele procesów pokazują codzienną pracę, a administratorzy wyjaśniają ustawienia techniczne.
Kontrola A.5.18 normy ISO/IEC 27001:2022 dotyczy nadawania, przeglądu, zmiany i odbierania praw dostępu⁵.

• Opis procesu wskazuje wykonawcę czynności, potrzebne informacje i rezultat pracy. Pracownik może na tej podstawie pokazać, co dokumentuje poza ERP.
• Dokumentacja techniczna identyfikuje konfigurację, nakładki i połączenia z innymi aplikacjami. Pomaga administratorowi powiązać zgłoszoną trudność z miejscem jej wystąpienia.
• Lista ról łączy użytkowników z zadaniami i przyznanym dostępem. Właściciel procesu może dzięki niej ocenić, czy uprawnienia odpowiadają obowiązkom.

Zakres i dokumentacja pomagają audytorowi przypisać ustalenia do procesu, ustawienia lub przepływu danych¹⁰.

Od potrzeb firmy do wniosków: kryteria oceny systemu

Audyt ERP przynosi użyteczne wnioski, gdy firma ocenia system przez pryzmat swoich celów, a nie liczby funkcji. Porównuje założenia sprzed wdrożenia z osiągniętymi rezultatami.¹
Kryterium powinno opisywać oczekiwany efekt pracy, choćby sposób uzyskania informacji potrzebnej do decyzji. W opisanym przez Sente wdrożeniu dla Mardom integracja ERP z BaseLinkerem skróciła realizację zamówień z dwóch do jednego dnia roboczego¹¹.

DSR ocenia efektywność pozyskiwania danych z ERP w zestawieniu z pracą potrzebną do ich wprowadzenia.¹ Pozwala to porównać korzyść z informacji z wysiłkiem użytkowników.
W Showplace Wood Products automatyzacja wyeliminowała 20 godzin ręcznego wprowadzania danych tygodniowo i dała natychmiastowy dostęp do raportów z ERP¹².

Jakie systemy ERP można poddać audytowi?

Audyt może dotyczyć działającego ERP albo wymagań przygotowanych przed wdrożeniem. Zakres oceny da się określić dla produktów takich jak Comarch ERP XL, Comarch ERP Optima, SAP Business One, SAP S/4HANA, enova365, Sage Symfonia, Sage X3 i Odoo.
W przypadku Microsoft Dynamics 365 trzeba wskazać konkretny produkt z tej rodziny. Przy każdym rozwiązaniu liczą się także edycja i zakres wdrożenia².

Co wyniki audytu mówią o działaniu ERP?

Wyniki audytu ERP pokazują, które cele firma realizuje za pomocą systemu, a gdzie musi zmienić sposób pracy. Raport z rekomendacjami Digital Advisors zawiera proponowane działania, priorytety, szacunkowe koszty i harmonogram.²
Jego przygotowanie zajmuje 3–5 dni.²

Raport powinien oddzielać zmiany organizacji pracy od zmian w oprogramowaniu. Firma może wtedy podjąć decyzję na podstawie przyczyny problemu, nie tylko widocznego objawu.
Punkt 10.2 normy ISO 9001:2015 wymaga oceny przyczyn niezgodności i skuteczności działań korygujących, zamiast poprzestania na usunięciu objawów⁸.

Dla jakich firm audyt ERP jest przydatny?

Audyt ERP służy zarówno firmie oceniającej działający system, jak i tej, która przygotowuje wdrożenie. Przed wdrożeniem cele biznesowe powinny opisywać oczekiwaną zmianę w pracy, nie samą listę funkcji. Według Grzegorza Wikierskiego wynik takiego audytu powinien wskazywać zmiany organizacyjne potrzebne do osiągnięcia celów biznesowych¹³.
W raporcie Panorama Consulting z 2024 r. 32,8% badanych projektów przekroczyło budżet: 27,5% nieznacznie, a 5,3% znacznie¹⁴.

Kryteria oceny ERP łączą oczekiwany rezultat z nakładem pracy użytkowników. Powinny też prowadzić do konkretnych działań w raporcie.

Zakres i metody kontroli: własny zespół czy niezależny audytor?

Kontrolę ERP może przeprowadzić własny zespół albo niezależny audytor. Wybór zależy od wiedzy o procesach, potrzeby bezstronności i sposobu finansowania. Pracownicy znają codzienną pracę, lecz mogą oceniać decyzje, w których sami uczestniczyli.
Audytor zewnętrzny patrzy na nie z dystansu, ale potrzebuje współpracy osób odpowiedzialnych za system.

Jakie działania analityczne obejmuje audyt ERP?

Działania analityczne w audycie ERP łączą ustalenia o pracy użytkowników z dokumentacją systemu i analizą wydatków. Digital Advisors osobno bada licencje, utrzymanie, wsparcie dostawcy oraz koszty zmian.²
Ocena kosztów i licencji zajmuje w audycie opisanym przez tę firmę 2–3 dni.²

Koszt licencji lub subskrypcji nie jest kosztem wdrożenia, wykonania integracji ani późniejszego utrzymania. Oddzielne ujęcie tych wydatków pokazuje, czego dotyczy proponowana zmiana. Nie ukrywa jej pod ogólną pozycją „koszt ERP”.

Czy audyt ERP przeprowadzić wewnętrznie, czy zlecić niezależnemu audytorowi?

Wybór między audytem wewnętrznym a zewnętrznym audytem ERP wymaga porównania znajomości procesów, niezależności oceny, nakładu pracy i kosztu kontroli.

Dane w tabeli: 2

Niezależność audytora warto ocenić także przez jego związek ze sprzedażą i wdrażaniem ERP. Digital Advisors deklaruje, że nie sprzedaje licencji, nie wdraża ERP i nie uzależnia wynagrodzenia od wyniku kontroli.²
Własny zespół sprawdzi się, jeśli firma umie określić zakres i kryteria bez potrzeby bezstronnej oceny wcześniejszych decyzji. Gdy taka ocena jest konieczna, lepszy będzie niezależny audytor. Nadal będzie jednak potrzebował wyjaśnień pracowników, więc nie zastąpi kontroli prowadzonej wyłącznie własnymi zasobami.

Po audycie: optymalizacja czy wymiana systemu ERP?

Optymalizacja obecnego ERP ma sens, jeśli wymagane procesy da się obsłużyć po zmianie organizacji pracy lub konfiguracji. Wymiana systemu ERP wymaga wskazania ograniczeń, których te działania nie usuną. Audyt może też prowadzić do migracji do nowszej wersji tego samego produktu, a nie do zakupu innego rozwiązania.²
Audyt przedwdrożeniowy pomaga porównać finansowo modyfikację używanego ERP z wdrożeniem nowego systemu.⁷

Tabela zestawia możliwe decyzje po audycie z ich przesłankami i kategoriami kosztów wymagającymi oceny.

Digital Advisors podaje, że około 40% analizowanych przypadków kończy się rekomendacją optymalizacji, a około 30% – migracji do wyższej wersji.²
To udziały z przypadków tej firmy, nie prognoza wyniku audytu w dowolnym przedsiębiorstwie.

Kiedy wystarczy optymalizacja obecnego ERP?

Optymalizacja wystarczy, gdy źródłem trudności są ustawienia systemu lub sposób pracy, a nie ograniczenie produktu. Firma powinna przypisać proponowaną zmianę do konkretnego procesu. Musi też ocenić jej wpływ na pozostałe obszary. Sama optymalizacja nie usunie niespełnionego wymagania biznesowego.

Kiedy warto rozważyć wymianę systemu ERP?

Wymianę ERP warto rozważyć, gdy wymaganych procesów nie da się obsłużyć zmianą organizacyjną, konfiguracją ani migracją wersji. W decyzji trzeba osobno ująć licencję lub subskrypcję, wdrożenie, integracje i późniejsze utrzymanie.
Digital Advisors przywołuje 300–800 tys. zł jako koszt nieudanego wdrożenia nowego ERP. Nie jest to cena nowego systemu ani cena audytu.²

Jak ocenić powiązania ERP z CRM, WMS i MES?

Integracje ERP z CRM, czyli systemem obsługi relacji z klientami, WMS, czyli systemem zarządzania magazynem, i MES, czyli systemem nadzoru nad wykonaniem produkcji, wymagają oceny przepływu danych. To samo dotyczy połączenia z platformą B2B. Trzeba ustalić, kto odpowiada za poprawność przekazywanych informacji¹⁰.

• Źródło danych wskazuje system, w którym powstaje informacja o kliencie, towarze lub zleceniu. Właściciel procesu może dzięki temu rozpoznać sprzeczne zapisy.
• Kierunek wymiany pokazuje, jakie informacje trafiają do ERP, a jakie system przekazuje dalej. Administrator powinien też opisać sposób zgłaszania błędów przesyłania.
• Właściciel integracji odpowiada za wyjaśnienie błędu i zatwierdzenie zmiany. Przypisanie tej roli ułatwia ocenę skutków optymalizacji, migracji lub wymiany ERP.

O co zapytać dostawcę systemu ERP po audycie?

Dostawcę ERP warto zapytać, które rekomendacje dotyczą funkcji produktu, a które wymagają pracy partnera wdrożeniowego lub zmiany procesu w firmie. Pytania powinny obejmować wpływ działań na dane, integracje, uprawnienia i utrzymanie.
Osobne wyceny licencji lub subskrypcji, wdrożenia, integracji oraz utrzymania pozwalają porównać warianty na tych samych zasadach.

Decyzja po audycie powinna wynikać z przyczyny problemu i zakresu potrzebnych zmian. Sama propozycja zakupu nowego ERP nie wystarcza.

Co firma zyskuje dzięki audytowi procesów?

Audyt procesów wskazuje czynności, które firma może przenieść z ręcznych zestawień do ERP. Pomaga ustalić, czy przeszkodą jest korzystanie z systemu, czy sam przebieg pracy.
Kontrola może zakończyć się zmianą zasad działania zamiast zakupem nowego oprogramowania.

Firma Teleskop zleciła audyt systemu SAP 1,5 roku po zakończeniu wdrożenia.¹⁵ Później zmieniła procesy i sposób korzystania z systemu, rezygnując z ręcznie przygotowywanych planów oraz raportów poza ERP.¹⁵
Prace rozwojowe zakończyły się w czerwcu 2009 roku. To przykład historyczny, a nie termin realizacji obecnych audytów.^15,16

Korzyść z audytu procesów polega na powiązaniu zmian w codziennej pracy z konkretnym sposobem wykorzystania ERP.

ERP w różnych branżach: na co zwrócić uwagę?

Zakres audytu ERP powinien wynikać z procesów ważnych dla danej branży. W produkcji kontrola może objąć MRP, czyli planowanie zapotrzebowania materiałowego na podstawie planu produkcji.
Audytor ustala wtedy, czy dane o materiałach i zleceniach pozwalają pracownikom planować pracę w systemie.

W firmach B2B kontrola może prześledzić zamówienie od warunków uzgodnionych z klientem po realizację i rozliczenie. W usługach punktem odniesienia są zadania, wykorzystanie zasobów i przypisywanie kosztów do zleceń.
O wyborze obszarów audytu powinny decydować procesy, na których firma opiera swoje decyzje.

Najczęściej zadawane pytania

Czy audyt ERP musi opierać się na COBIT?

Nie. COBIT 2019 może być punktem odniesienia, ale artykuł nie wskazuje go jako obowiązkowego standardu.

Czy zgodność z RODO zależy wyłącznie od używanego systemu ERP?

Nie. Administrator danych odpowiada za odpowiednie środki techniczne i organizacyjne, a nie tylko za samo oprogramowanie.

Czy pojedyncza skarga użytkownika dowodzi, że ERP działa nieprawidłowo?

Nie. Zgłoszona trudność nie przesądza o przyczynie — problem może wynikać z procesu, konfiguracji lub sposobu pracy.

Czy audyt można ograniczyć do wybranego procesu w ERP?

Zakres audytu ustala się według jego celu i kryteriów. Można skupić kontrolę na konkretnym obszarze i przypisanych do niego odpowiedzialnościach.

Kto pomaga ustalić, czy niespójność danych wynika z błędu użytkownika czy konfiguracji?

Właściciel procesu i administrator analizują ustawienia oraz sposób wprowadzania danych, by odróżnić błąd wprowadzania od skutków konfiguracji.

Ceny i warunki sprawdzone u źródeł: październik 2026.