价格表被谁悄悄改了？IT变更管理这样落地

陈老板在罗勇（Rayong）经营一家工业耗材贸易公司，客户大多是Amata、WHA工业区里的工厂。三年前上线云端进销存系统后，报价、开单、对账全部线上化，他一直很放心——直到今年结算年度毛利，发现毛利率比去年低了将近四个百分点，业绩却没少多少。

财务追查明细才发现，有一批老客户的成交价，比系统原定价低了一截，而且已经持续了快五个月。查系统操作记录——没有记录。问业务人员，对方说“客户说要转去别家买，我就手动改价留住他”，改完没跟任何人说，系统也没留下“谁、什么时候、改了什么”的痕迹。

陈老板这才意识到，公司从来没规定过“谁可以改价格表”“改了要不要有人审批”。系统再贵、功能再多，只要一个人能直接改主档数据又不留痕迹，账面数字就可能悄悄失真——这正是“变更管理”要管的事。

为什么

企业内控常讲“三道防线”——第一道是执行部门自己把关，第二道是财务/风控复核，第三道是审计抽查（COSO《内部控制整合框架》，1992年初版／2013年修订版）。变更管理出问题，通常是第一道防线就没设好：业务、仓管甚至老板本人都能直接改系统里的价格、折扣、主档数据，却没有人负责“审批”这一关。

国际上谈信息系统内控，这类议题属于“IT一般控制（ITGC）”中的变更管理领域（ISACA COBIT框架），核心原则是“职责分离”（Segregation of Duties）：申请、审批、执行、复核最好是不同人，至少要做到“经手人不能自己批准自己的改动”。小公司常常一人身兼多职，等于这道防线形同虚设，出错或舞弊很难第一时间发现。

怎么做

职责分离：谁能改，跟谁能批，不是同一人

先盘点系统里“动一下数字就影响营收”的字段——价格表、折扣率、信用额度、付款条件——列出目前谁有权限直接修改。不必大改组织架构，最低限度是：改价要有“申请”和“审批”两个步骤，审批人不能是申请人自己，哪怕只是主管口头确认、事后补签，也算是开始。

留痕：每次改动都查得到

系统如果有变更日志（log）功能务必打开，记下谁、什么时候、改了哪个字段、改动前后的值。没有这个功能的系统，就用最原始的方法补上：一张共用的“变更申请表”，改之前先填，审批通过才能改，改完归档。重点不是工具多先进，而是“事后查得到”。

先测试再上线，留一条退路

对整批客户生效的价格调整、系统升级、新增折扣规则，先在小范围或测试环境跑一遍，确认结果符合预期再全面上线，并保留“改错了怎么退回原状”的备份。东南亚不少中小企业上线云端财务系统时吃过亏：技术人员直接在正式环境改参数，算错一整批客户的税额或折扣，等结算才发现，善后成本远高于当初多花半小时测试。

🔧 AI 动手做：IT变更申请暨审批记录表生成器

把你公司的系统情况告诉AI，让它帮你生成一张可以马上用起来的“变更申请表”，不用等IT部门，今天就能贴到Excel或在线表单里。

你是我公司的内控顾问。我的公司是【行业，例：工业耗材贸易】，使用【系统名称，例：云端进销存/ERP系统】，目前任何人改价格表、折扣、客户信用额度都不需要审批也没有记录。

请帮我设计一张“系统变更申请暨审批记录表”，字段需包含：
1. 申请日期、申请人
2. 变更项目（价格/折扣/权限/其他，请列出常见选项）
3. 变更原因
4. 改动前的值／改动后的值
5. 审批人（需与申请人不同）、审批日期
6. 是否已测试／生效日期
7. 若出错，如何回退

请用表格输出，并补充3条“这张表在我这种规模的公司要怎么落地执行”的具体建议。

本周就能做的一步：列出公司系统里“谁现在能直接改价格表、折扣或客户资料”，这份名单本身，往往就是老板第一次看到就会吓一跳的真相。

📎 理论依据：COSO《内部控制整合框架》(COSO，1992年初版／2013年修订版) 三道防线与控制活动概念；ISACA COBIT框架中IT一般控制（ITGC）之变更管理领域；职责分离（Segregation of Duties）原则。

⚠ 本文为一般性知识整理，非税务/法律/会计专业意见，实际申报与合规请咨询执业会计师/律师或主管机关，并以官方最新规定为准。