RPA（Robotic Process Automation）即機(jī)器人流程自動(dòng)化，這類工具可以通過模擬人類在軟件系統(tǒng)中的交互動(dòng)作，自動(dòng)執(zhí)行基于規(guī)則、重復(fù)的業(yè)務(wù)流程。在許多行業(yè)領(lǐng)域，企業(yè)都在尋求數(shù)字勞動(dòng)力來補(bǔ)充人類工作。從前臺(tái)到財(cái)務(wù)、人力資源和運(yùn)營(yíng)，RPA 正在幫助管理層提高效率并降低成本。如果使用得當(dāng)，這些工具甚至可以解決應(yīng)用程序面臨的許多問題。

然而，由于RPA缺乏人類的判斷力和靈活性，看似簡(jiǎn)單的流程中往往也暗含風(fēng)險(xiǎn)。例如：在機(jī)器人配置文件或程序中直接寫入可以登錄企業(yè)應(yīng)用程序的用戶名和密碼、機(jī)器人意外流出企業(yè)且可以在任意終端下運(yùn)行、機(jī)器人運(yùn)行時(shí)無法判別釣魚郵件或網(wǎng)站、機(jī)器人終端運(yùn)行而未退出應(yīng)用系統(tǒng)登錄從而造成會(huì)話劫持等。 

因此，在RPA的風(fēng)險(xiǎn)和控制方面管理層需要一種新的思維方式，而企業(yè)在急切地接受這些新工具時(shí)往往會(huì)忽略對(duì)風(fēng)險(xiǎn)的考慮。其實(shí)，在RPA項(xiàng)目開始時(shí)進(jìn)行一些簡(jiǎn)單的工作，企業(yè)就可以避免上述風(fēng)險(xiǎn)。

本文將介紹建立RPA控制環(huán)境的幾個(gè)關(guān)鍵步驟。當(dāng)然，就風(fēng)險(xiǎn)和控制計(jì)劃而言，沒有“一刀切”的選擇。盡管如此，如果沒有適當(dāng)?shù)闹卫?，?shù)字勞動(dòng)力的好處很快就會(huì)消失。從一開始就建立起有效的控制環(huán)境比以后拼湊政策和控制措施更有效和更具成本效益。

記錄良好的流程和控制措施直接影響組織應(yīng)對(duì)采用RPA的財(cái)務(wù)和運(yùn)營(yíng)風(fēng)險(xiǎn)的能力。

管理層需制定并記錄正式的政策和程序（例如，邏輯訪問、變更管理、計(jì)算機(jī)操作、受 RPA 影響的 IT 依賴性清單等），其中包含對(duì) RPA 技術(shù)使用的考慮。這些政策和程序由管理層定期審查，以確保它們符合企業(yè)戰(zhàn)略、監(jiān)管要求和控制預(yù)期。 

優(yōu)秀的RPA工具應(yīng)建立在優(yōu)秀的流程設(shè)計(jì)之上。管理層應(yīng)在公司內(nèi)部深化這一概念，確保各個(gè)業(yè)務(wù)部門在實(shí)施RPA前考慮現(xiàn)有的業(yè)務(wù)流程是否需要優(yōu)化，從而避免在不適合自動(dòng)化的流程上使用RPA工具。浪費(fèi)開發(fā)資源的同時(shí)，企業(yè)往往對(duì)這些強(qiáng)行開發(fā)出來的RPA工具疏于管理，未對(duì)其中的風(fēng)險(xiǎn)進(jìn)行識(shí)別和監(jiān)控。 

此外，管理層應(yīng)設(shè)計(jì)評(píng)估問卷，從而確保用戶需求部門或項(xiàng)目管理人員在RPA開發(fā)初期的設(shè)計(jì)階段就會(huì)將風(fēng)險(xiǎn)管理以及信息安全納入考量范圍。評(píng)估問卷中建議包含以下7個(gè)問題：

除了考慮該流程是否適合使用RPA技術(shù)進(jìn)行優(yōu)化外，還應(yīng)將該流程的各個(gè)步驟進(jìn)行拆分以識(shí)別關(guān)鍵的風(fēng)險(xiǎn)控制節(jié)點(diǎn)（例如：修改關(guān)鍵數(shù)據(jù)、復(fù)核、發(fā)送郵件等）。具有較高風(fēng)險(xiǎn)的節(jié)點(diǎn)應(yīng)考慮在程序開發(fā)時(shí)增加人機(jī)交互單元，確保對(duì)關(guān)鍵操作進(jìn)行復(fù)核。

管理層應(yīng)考慮制定規(guī)范的RPA工具共享的流程，在降低RPA開發(fā)成本的同時(shí)防止業(yè)務(wù)部門在未充分考慮業(yè)務(wù)峰值和第三方系統(tǒng)的承載能力的情況下使用RPA。

應(yīng)設(shè)計(jì)合理的UAT測(cè)試用例和回歸測(cè)試用例，確保充分考慮容錯(cuò)和閾值的情況，上線后能夠正常運(yùn)行。

應(yīng)為RPA設(shè)計(jì)類似于系統(tǒng)管理員的崗位，對(duì)其在生產(chǎn)環(huán)境的運(yùn)行情況進(jìn)行監(jiān)控并對(duì)發(fā)現(xiàn)的問題進(jìn)行修復(fù)。

應(yīng)對(duì)機(jī)器人的使用是否滿足日新月異的合規(guī)要求要建立流程制度。企業(yè)法務(wù)部門應(yīng)對(duì)相關(guān)法律和制度進(jìn)行定期跟蹤，對(duì)于其中可能牽涉到RPA的部分進(jìn)行摘錄并分享給RPA管理責(zé)任部門，確保合規(guī)。例如，RPA在第三方網(wǎng)站抓取數(shù)據(jù)時(shí)必須獲得授權(quán)同意。

國(guó)家2017年生效的《網(wǎng)絡(luò)安全法》以及最近出臺(tái)的《個(gè)人信息保護(hù)法》對(duì)網(wǎng)絡(luò)安全和數(shù)據(jù)隱私做出了明確的規(guī)定。管理層應(yīng)組織各業(yè)務(wù)部門識(shí)別處理個(gè)人信息的工作流程，并制定規(guī)章制度對(duì)于RPA如何處理和保護(hù)個(gè)人信息作出規(guī)定。此外，RPA往往具備企業(yè)信息系統(tǒng)的登錄權(quán)限，若在RPA開發(fā)過程中使用了供應(yīng)商，應(yīng)要求供應(yīng)商簽署保密協(xié)議等防止重要信息泄露。管理層也可以考慮禁止RPA程序儲(chǔ)存用戶信息和敏感商業(yè)信息、使用不明來源的宏以及登錄公司機(jī)密信息系統(tǒng)以確保企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)安全。

應(yīng)考慮制定相關(guān)計(jì)劃，以確保當(dāng)RPA出現(xiàn)問題無法繼續(xù)使用時(shí)業(yè)務(wù)不會(huì)中斷。由于RPA工具在一般情況下不會(huì)承擔(dān)數(shù)據(jù)儲(chǔ)存功能，因此對(duì)于這類工具來說流程的備份比數(shù)據(jù)備份更為重要。管理層應(yīng)考慮為使用RPA工具的流程設(shè)計(jì)人工流程作為備份措施，以防止RPA不可使用時(shí)業(yè)務(wù)流程中斷，為公司帶來損失。

隨著公司選擇其RPA平臺(tái)，應(yīng)保留有關(guān)自動(dòng)化的業(yè)務(wù)和解決方案設(shè)計(jì)要求的詳細(xì)信息，以避免在RPA開發(fā)過程中未保留適當(dāng)文檔可能會(huì)在內(nèi)部控制系統(tǒng)中造成空白。

由于機(jī)器人程序具有“低碼化”的特點(diǎn)，甚至某些RPA廠商提出了“人手一臺(tái)機(jī)器人”的愿景。參與開發(fā)的人員越多，RPA開發(fā)越需要建立標(biāo)準(zhǔn)的開發(fā)規(guī)范，以確保開發(fā)人員遵循統(tǒng)一的開發(fā)要求，降低不規(guī)范代碼的可能性，并確保在開發(fā)時(shí)就考慮了風(fēng)險(xiǎn)控制和信息安全保護(hù)措施。例如，在機(jī)器人登錄目標(biāo)系統(tǒng)的場(chǎng)景下，開發(fā)人員直接將登錄用戶名和密碼寫在代碼中，直接暴露一些敏感信息。

同時(shí)，留存有關(guān)自動(dòng)化的業(yè)務(wù)和解決方案設(shè)計(jì)要求的詳細(xì)信息對(duì)RPA工具的知識(shí)轉(zhuǎn)移具有正面意義。及時(shí)更新輸入，RPA邏輯處理以及輸出等信息，能夠確保后來的開發(fā)人員在對(duì)RPA進(jìn)行修復(fù)和更新時(shí)易于查找和更改，還可以避免其誤刪看起來沒必要但其實(shí)用于執(zhí)行風(fēng)險(xiǎn)控制的程序。

1、訪問權(quán)限控制 – 權(quán)限管理 

RPA訪問權(quán)限與一般信息系統(tǒng)不同，需要考慮兩方面的訪問安全：訪問RPA控制中心的權(quán)限、機(jī)器人的訪問目標(biāo)應(yīng)用程序的權(quán)限。 

（1）對(duì)于使用RPA控制中心的情況 (例如UiPath Orchestrator)，需要評(píng)估最終用戶訪問 RPA 控制中心的權(quán)限。因此，需要建立正式流程來配置和更改最終用戶對(duì) RPA 控制中心工具的訪問權(quán)限。 并且明確定義授權(quán)最終用戶訪問 RPA 控制中心工具的人員。 根據(jù)相關(guān)政策和程序，訪問RPA控制中心需要經(jīng)過恰當(dāng)?shù)膶徟?，并且記錄備案?nbsp;

（2）對(duì)于數(shù)字工作者（即機(jī)器人）訪問目標(biāo)應(yīng)用程序的權(quán)限，需要建立正式的流程來提供和更改對(duì)目標(biāo)應(yīng)用程序中數(shù)字勞動(dòng)力（即機(jī)器人）的訪問。 授予目標(biāo)應(yīng)用程序中數(shù)字工作者的訪問權(quán)限是根據(jù)最小權(quán)限原則提供的（例如，訪問權(quán)限僅限于數(shù)字工作者執(zhí)行分配的自動(dòng)化任務(wù)所需的功能）。企業(yè)應(yīng)定期對(duì)應(yīng)用程序中數(shù)字勞動(dòng)力（即機(jī)器人）的訪問進(jìn)行檢查，確保不再使用的數(shù)字工作者訪問權(quán)限被及時(shí)刪除。另外，不應(yīng)為數(shù)字勞動(dòng)力提供對(duì)目標(biāo)應(yīng)用程序的超級(jí)（例如，管理員）訪問權(quán)限。 

 

作者介紹

陳以昱，CISA，UiPath RPA Developer，在普華永道風(fēng)險(xiǎn)與控制服務(wù)部門擔(dān)任顧問職務(wù)，在信息安全審計(jì)、數(shù)據(jù)及隱私安全、內(nèi)部控制等方面積累了一定經(jīng)驗(yàn)。服務(wù)的客戶包含互聯(lián)網(wǎng)公司、車企及金融行業(yè)。通過UiPath RPA Developer認(rèn)證，并參與普華永道稅務(wù)部門多個(gè)RPA工具的項(xiàng)目管理和開發(fā)。

胡廷偉，CISA，CDPSE，是普華永道風(fēng)險(xiǎn)與控制服務(wù)部門高級(jí)經(jīng)理，在內(nèi)部控制、信息安全合規(guī)審計(jì)和數(shù)據(jù)及隱私安全方面擁有超過 8 年的經(jīng)驗(yàn)。為多家國(guó)內(nèi)及在華跨國(guó)公司提供信息系統(tǒng)審計(jì)、信息安全合規(guī)咨詢等服務(wù)，行業(yè)范圍廣泛，包括汽車制造、TMT、零售、醫(yī)療行業(yè)等。

繼續(xù)閱讀：

未經(jīng)允許不得轉(zhuǎn)載：RPA中國(guó) | RPA全球生態(tài) | 數(shù)字化勞動(dòng)力 | RPA新聞 | 推動(dòng)中國(guó)RPA生態(tài)發(fā)展 | 流 > 不讓bot有可乘之機(jī)—RPA控制環(huán)境內(nèi)部審計(jì)的關(guān)鍵步驟