Bạn có biết rằng một trong những nguyên nhân hàng đầu khiến dữ liệu doanh nghiệp bị rò rỉ không đến từ hacker bên ngoài, mà lại xuất phát từ nội bộ? Một nhân viên nghỉ việc nhưng vẫn giữ quyền truy cập, một sự nhầm lẫn trong phân quyền, thay đổi để trục lợi cá nhân,… tất cả đều có thể khiến thông tin nhạy cảm của doanh nghiệp rơi vào tay người không mong muốn.

1. Rủi ro từ việc nhân viên truy cập các dữ liệu quá quyền hạn ở công ty

Bất kỳ doanh nghiệp nào cũng đều có những thông tin quan trọng không thể để lộ ra bên ngoài. Theo báo cáo từ Win Security, hiện nay có hơn 73% tổ chức đang chia sẻ thông tin nội bộ nhạy cảm ra ngoài thông qua các ứng dụng SaaS. Những doanh nghiệp thường sử dụng Google Drive, Microsoft 365, Slack và Dropbox để lưu trữ và chia sẻ tài liệu. Thông qua đó, nhiều cá nhân lợi dụng quyền truy cập để thực hiện các hành vi thuộc ngoài phạm vi trách nhiệm của mình. Điều này gây ra khó khăn trong việc kiểm soát thông tin, dẫn đên những sai sót nghiêm trọng trong báo cáo tài chính hoặc quá trình kiểm toán. Hành vi này còn tạo ra môi trường làm việc thiếu minh bạch, làm giảm lòng tin và hiệu quả của đội ngũ nhân sự.

Một vấn đề khác thường gặp là khi xảy ra tranh chấp giữa nhân viên và doanh nghiệp, một số cá nhân cố tình xóa các thông tin giao dịch hoặc dữ liệu quan trọng để che giấu sai sót hoặc trốn tránh trách nhiệm. Những trường hợp này không chỉ gây gián đoạn trong quy trình xử lý công việc mà còn ảnh hưởng nghiêm trọng đến tính toàn vẹn của hệ thống. Khi các giao dịch hoặc dữ liệu bị xóa, doanh nghiệp có nguy cơ mất đi nguồn doanh thu tiềm năng, gặp khó khăn trong việc đối chiếu với khách hàng hoặc đối tác. Thậm chí, việc mất dữ liệu còn gây ra các tổn thất về pháp lý, làm suy giảm uy tín của doanh nghiệp trên thị trường.

Việc không thiết lập các cơ chế phân quyền rõ ràng trong hệ thống quản lý là một vấn đề lớn đối với nhiều doanh nghiệp. Khi quyền truy cập không được giới hạn, toàn bộ nhân viên có thể thao tác trên các module mà không phân biệt vai trò hay trách nhiệm cụ thể. Các nhân viên không được đào tạo kỹ càng có thể vô tình xóa hoặc chỉnh sửa nhầm dữ liệu quan trọng, làm gián đoạn quy trình vận hành. Bên cạnh đó, quyền truy cập không được kiểm soát còn làm tăng rủi ro bảo mật, khiến dữ liệu nhạy cảm của doanh nghiệp có nguy cơ bị lộ hoặc bị khai thác trái phép.

Nếu không có cơ chế phân quyền chặt chẽ và khả năng truy xuất lịch sử thay đổi, doanh nghiệp sẽ phải đối mặt với nhiều rủi ro. ERPNext với khả năng phân quyền chi tiết, truy xuất lịch sử hành động và khóa quyền từng tài khoản cụ thể, có thể giúp doanh nghiệp giải quyết triệt để những vấn đề này, đảm bảo hiệu quả quản trị và sự an toàn trong vận hành hệ thống.

2. ERPNext: Giải Quyết Triệt Để Vấn Đề Phân Quyền

ERPNext là giải pháp ERP mã nguồn mở hàng đầu hiện nay trên thế giới. ERPNext cung cấp một hệ thống phân quyền chi tiết và linh hoạt, cho phép doanh nghiệp kiểm soát toàn diện quyền truy cập của từng tài khoản nhân viên. Hệ thống phân quyền dựa trên Role Permission Manager với User Permission. Trong đó:

• Role Permission Manager là công cụ quản lý phân quyền cơ bản trong ERPNext, được dùng để xác định quyền của từng vai trò trong hệ thống. Mỗi vai trò có thể được gán các quyền truy cập khác nhau (Read, Write, Create, Delete, Submit, etc.) đối với từng loại tài liệu (DocType). 
• User Permission hoạt động như một lớp quyền bổ sung, giúp tùy chỉnh quyền truy cập dựa trên đặc điểm cụ thể của từng cá nhân. Người dùng có thể được cho phép xem dữ liệu liên quan không thuộc phạm trù công việc của mình. Khi kết hợp với Role Permission Manager, User Permission đảm bảo quyền của người dùng không chỉ phù hợp với vai trò chung mà còn đáp ứng chính xác các yêu cầu nghiệp vụ riêng biệt. 

Cụ thể:

• Phân quyền theo vai trò: ERPNext sử dụng mô hình phân quyền theo vai trò, trong đó mỗi tài khoản người dùng được gán một hoặc nhiều vai trò. Mỗi vai trò quy định rõ các quyền cơ bản như xem (Read), chỉnh sửa (Write), xóa (Delete), và tạo mới (Create). Ví dụ, một nhân viên kinh doanh chỉ được phép tạo báo giá và xem danh sách khách hàng nhưng không thể thay đổi dữ liệu kho hoặc báo cáo tài chính. Trong khi đó, một quản lý kho có thể cập nhật thông tin hàng tồn nhưng không được truy cập thông tin chi tiết về giá bán hoặc dữ liệu khách hàng. Điều này đảm bảo rằng mỗi người chỉ làm việc trong phạm vi được phép, hạn chế tối đa rủi ro thao tác nhầm hoặc lạm dụng quyền hạn.

• Phân quyền theo dữ liệu và trường thông tin: ERPNext cho phép thiết lập quyền truy cập chi tiết đến từng bản ghi hoặc trường dữ liệu. Hệ thống đảm bảo rằng mỗi người dùng chỉ truy cập được dữ liệu liên quan đến trách nhiệm của họ

• Phân quyền theo module và phòng ban: Hệ thống phân quyền của ERPNext cũng được thiết kế để giới hạn quyền truy cập vào các module cụ thể. Nhân viên chỉ được phép làm việc trên các module liên quan đến vai trò của mình. Điều này không chỉ giảm nguy cơ tiếp cận trái phép mà còn giúp nhân viên tập trung vào nhiệm vụ chính của mình. Hệ thống còn cho phép kết hợp các vai chồng chéo.
• Quyền truy cập theo nhóm và tổ chức: ERPNext hỗ trợ phân quyền dựa trên cấu trúc tổ chức hoặc nhóm làm việc. Tính năng này đảm bảo các thành viên trong cùng một nhóm có thể chia sẻ quyền truy cập vào dữ liệu cần thiết để hợp tác hiệu quả. Ngoài ra, quyền truy cập cũng có thể được phân cấp theo cấu trúc quản lý. Quản lý khu vực được phép xem toàn bộ dữ liệu của nhân viên cấp dưới, trong khi nhân viên chỉ được phép truy cập dữ liệu liên quan đến công việc cá nhân.

3. So sánh khả năng phân quyền của ERPNext với các giải pháp SaaS 

Mô hình SaaS (Software as a Service) là mô hình cung cấp phần mềm dưới dạng dịch vụ qua mạng internet. Trong mô hình này, các phần mềm được lưu trữ và quản lý trên máy chủ của nhà cung cấp. Khi đó, người dùng sẽ phải tốn một khoản phí định kỳ để có thể truy cập và sử dụng phần mềm thông qua nền tảng internet.

Phân quyền là quá trình thiết lập và quản lý quyền truy cập của người dùng vào dữ liệu, hệ thống và các tài nguyên trong doanh nghiệp. Đây là yếu tố cốt lõi trong việc đảm bảo tính bảo mật, hiệu quả vận hành và kiểm soát nội bộ. Đặc biệt, trong các hệ thống SaaS, phân quyền đóng vai trò quan trọng trong việc quản lý tài nguyên số, hạn chế rủi ro truy cập trái phép và bảo vệ thông tin nhạy cảm. 

Tính năng phân quyền trong SaaS thường được xây dựng dựa trên các cơ chế sau:

• Phân quyền dựa trên vai trò: Phân quyền dựa trên vai trò là cơ chế phổ biến nhất và được sử dụng nhiều nhất. Theo đó, mỗi người dùng được gán cho một hoặc nhiều vai trò cụ thể, từ đó xác định rõ những tài nguyên và chức năng mà người dùng được phép truy cập. Tuy nhiên, cơ chế này sẽ phù hợp với những tổ chức có cơ cấu rõ ràng, nơi vai trò và trách nhiệm của từng vị trí đã được định nghĩa một cách chi tiết.
• Phân quyền theo nhóm: Đây là cơ chế gán quyền truy cập theo nhóm thay vì từng cá nhân riêng lẻ. Cách tiếp cận này giúp đơn giản hóa quá trình quản lý, đặc biệt là khi doanh nghiệp có số lượng nhân viên lớn. Tuy nhiên tính năng này cũng tồn tại một số hạn chế như thiếu tính cá nhân hóa dẫn đến việc một số thành viên có quyền truy cập vào tài nguyên không thực sự cần thiết, làm tăng rủi ro về bảo mật thông tin. Ngoài ra, trong các tổ chức lớn, số lượng nhóm và thành viên tăng lên thì việc quản lý trở nên phức tạp và chồng chéo lên nhau, điều này gây ảnh hưởng đến việc truy vết nguồn gốc lỗi hoặc xử lý sự cố.  
• Phân quyền theo tài nguyên: Phương pháp này cho phép doanh nghiệp kiểm soát quyền truy cập, đảm bảo người dùng chỉ được phép truy cập vào các dữ liệu và chức năng liên quan trực tiếp đến vai trò hoặc nhiệm vụ mình. Cơ chế này sẽ đặc biệt phù hợp với tổ chức có nhiều phòng ban và yêu cầu bảo mật cao. Nó cũng giúp việc theo dõi và quản lý tài nguyên trở nên đơn giản hơn, đồng thời tăng cường tính minh bạch và trách nhiệm trong các hành động của người dùng.

Cả ERPNext và các giải pháp SaaS đều cung cấp các cơ chế phân quyền nhằm đảm bảo tính bảo mật và hiệu quả trong quản lý quyền truy cập. Tuy nhiên vẫn có nhiều sự khác biệt về thiết kế, mức độ linh hoạt và cách tiếp cận khiến hai hệ thống này phù hợp với những loại hình tổ chức khác nhau. Dưới đây là bảng so sánh chi tiết về ưu điểm và nhược điểm của hai giải pháp:

4. Case Study: Phân quyền của Công ty TNHH Rượu Thế Giới

Công ty TNHH Rượu Thế Giới (RTG) là công ty chuyên phân phối các dòng sản phẩm rượu vang từ Chile, Pháp và Ý. Ngoài ra, doanh nghiệp còn kinh doanh rượu Hàn Quốc, rượu mạnh và nước trái cây tại Việt Nam. Trong đó PASSION – Wine of Chile là thương hiệu rượu vang độc quyền đặt nền móng cho sự phát triển của RTG. 

Với quy mô hơn 100 nhân sự, doanh nghiệp đang đối mặt với nhiều thách thức trong việc quản lý các hoạt động kinh doanh bao gồm hoạt động quản trị nhân sự, kho hàng và tài chính, đặc biệt khi doanh nghiệp thuộc ngành thương mại hàng hóa với lĩnh vực bán buôn và phân phối. Phần lớn các quy trình quản lý doanh nghiệp vẫn được thực hiện thủ công và theo dõi qua Google Sheet, dẫn đến nhiều rủi ro và thiếu hiệu quả trong việc kiểm soát và quản lý dữ liệu. Qua quá trình tìm hiểu và tư vấn, công ty đã áp dụng phần mềm ERPNext trong việc quản lý doanh nghiệp.

| Đọc thêm: Tổng quan về dự án triển khai ERPNext tại công ty Rượu thế giới RTG

Do là một doanh nghiệp thuộc lĩnh vực phân phối nên việc áp dụng các chương trình khuyến mãi/ khuyến mại đóng vai trò quan trọng trong việc thúc đẩy doanh số và duy trì sự cạnh tranh trên thị trường. Tuy nhiên, việc triển khai các chính sách xúc tiến này đòi hỏi sự cân bằng giữa chi phí bỏ ra và lợi nhuận thu về. Sự thiếu hiệu quả trong quản lý các chương trình này, đặc biệt là trong việc giám sát quyền truy cập và thao tác của nhân viên có thể gây ra những rủi ro lớn. 

Trong trường hợp của RTG, mặc dù đã triển khai chức năng phân quyền, việc áp dụng chưa triệt để đã dẫn đến tình trạng lạm dụng quyền hạn. Một số nhân viên đã “cố ý” xóa sản phẩm bán đi và giữ lại sản phẩm khuyến mãi với mục đích trục lợi cá nhân. Điều này không chỉ gây thất thoát tài sản của doanh nghiệp mà còn ảnh hưởng đến hiệu quả và tính minh bạch trong các chương trình khuyến mãi.

Sau khi phát hiện ra các sai phạm, ban quản lý của RTG đã ngay lập tức khóa quyền truy cập của các nhân viên vi phạm. Đây là một biện pháp tức thời và cần thiết nhằm ngăn chặn các hành vi sai phạm tiếp tục xảy ra. Đồng thời, công ty đã liên hệ với đội ngũ kỹ thuật của MBW Digital – Đối tác triển khai ERPNext để nhờ hỗ trợ.

Cụ thể, hệ thống phân quyền người dùng của RTG được số hóa một cách chi tiết trên hệ thống ERPNext như sau: 

• Phân quyền theo khu vực địa lý: RTG có hệ thống kho bãi trải rộng khắp ba miền, cả trong và ngoài nước, khiến việc quản lý và phân quyền trở nên phức tạp. Quyền truy cập được phân định theo ba miền Bắc – Trung – Nam, đảm bảo nhân viên chỉ có thể làm việc với dữ liệu thuộc khu vực mà họ phụ trách. Tương tự, tại các chi nhánh quốc tế, nhân viên văn phòng nước ngoài chỉ có quyền truy cập thông tin liên quan đến chi nhánh của họ, trong khi dữ liệu nội địa được bảo mật riêng cho nhân sự trong nước.
• Phân quyền theo chức vụ: Với quy mô trên 100 nhân sự, RTG đặc biệt chú trọng đến cơ chế phân quyền theo chức vụ nhằm đảm bảo tính bảo mật và tránh rò rỉ thông tin. Hệ thống phân quyền này được thiết kế chi tiết, phân bổ quyền truy cập dựa trên vai trò và trách nhiệm của từng vị trí, đồng thời được kết hợp với phân quyền theo phòng ban để tối ưu hóa hiệu quả quản lý. Mỗi phòng ban được giám sát bởi quản lý cấp trung, người có quyền hạn lớn nhất trong việc truy cập và điều hành các dữ liệu và chức năng liên quan. Đối với nhân viên, quyền truy cập chỉ giới hạn trong các module cơ bản và được thực hiện các thao tác như create (tạo), delete (xóa), view (xem),…, đảm bảo họ chỉ làm việc trên dữ liệu phù hợp với nhiệm vụ được giao, từ đó giảm thiểu nguy cơ thao tác sai mục đích. Quản lý cấp cao được cấp quyền rộng hơn, cho phép họ giám sát và kiểm soát các module quan trọng như báo cáo kinh doanh, quản lý nhân sự, hoặc kiểm tra bảng lương, đáp ứng nhu cầu quản lý ở phạm vi lớn hơn. Đối với ban lãnh đạo, hệ thống cho phép truy cập toàn bộ dữ liệu của tổ chức, bao gồm thông tin tổng hợp từ tất cả các khu vực, phòng ban và chi nhánh. Quyền hạn này giúp ban lãnh đạo có cái nhìn toàn diện và sâu sắc về hoạt động của doanh nghiệp, hỗ trợ tối đa cho việc đưa ra các quyết định chiến lược và định hướng phát triển lâu dài.

Có thể thấy, việc quản lý quyền truy cập một cách chặt chẽ và minh bạch trong các doanh nghiệp phân phối đóng vai trò vô cùng quan trọng. Khi quyền hạn không được giới hạn hợp lý, lỗ hổng trong hệ thống dễ dàng bị lợi dụng, dẫn đến các hành vi sai phạm. Việc ứng dụng các giải pháp công nghệ hiện đại, như ERPNext, với các tính năng phân quyền chi tiết và ghi nhận lịch sử hoạt động, có thể giúp doanh nghiệp giải quyết triệt để các vấn đề này và bảo vệ tài sản của mình một cách hiệu quả

5. Kết luận

ERPNext là một giải pháp hoạch định nguồn lực doanh nghiệp mã nguồn mở, phần mềm được phát triển để giúp các doanh nghiệp tự động hóa và quản lý các quy trình kinh doanh cơ bản, bao gồm tài chính, nhân sự, bán hàng, mua hàng, kho hàng và sản xuất. Được xây dựng trên nền tảng web, ERPNext có khả năng tùy biến cao và phù hợp với nhiều ngành nghề khác nhau, giúp các doanh nghiệp tối ưu hóa hoạt động và tăng cường hiệu quả công việc.

ERPNext mang lại nhiều ưu điểm giúp doanh nghiệp tiết kiệm thời gian, giảm chi phí vận hành và nâng cao hiệu quả công việc. Các tính năng nổi bật của ERPNext bao gồm:

• Tính linh hoạt: ERPNext nổi bật nhờ tính năng tùy chỉnh linh hoạt, cho phép doanh nghiệp dễ dàng điều chỉnh quy trình và chức năng theo nhu cầu thực tế. Phần mềm cung cấp công cụ hỗ trợ bổ sung hoặc loại bỏ module, tối ưu hóa quy trình làm việc và tích hợp liền mạch với các hệ thống hiện có như kế toán, quản lý nhân sự, hoặc ghi nhận doanh thu thông qua API. Khả năng này không chỉ đảm bảo dữ liệu được đồng bộ mà còn xây dựng một hệ thống làm việc thống nhất, tăng hiệu quả vận hành. Với phạm vi ứng dụng rộng rãi, ERPNext phù hợp với nhiều ngành nghề, từ bán lẻ, sản xuất đến logistics và dịch vụ,….  Đặc biệt, nhờ khả năng mở rộng vượt trội, phần mềm đáp ứng tốt các quy trình cơ bản cho cả doanh nghiệp nhỏ và yêu cầu phức tạp của tổ chức lớn. 
• Quản lý toàn diện: ERPNext hỗ trợ quản trị doanh nghiệp qua bốn module chính, giúp tối ưu hóa quy trình và tăng cường khả năng kiểm soát hoạt động kinh doanh. Module kho hàng hỗ trợ theo dõi tồn kho chi tiết, quản lý hoạt động vào – ra của hàng hóa, cung cấp báo cáo thời gian thực, đảm bảo quản lý chặt chẽ vòng đời sản phẩm và tối ưu không gian lưu trữ. Module mua hàng tự động hóa quy trình từ quản lý đơn mua, lựa chọn nhà cung cấp đến thanh toán, giúp doanh nghiệp so sánh báo giá hiệu quả và tránh tình trạng thiếu hụt nguyên vật liệu. Đối với bán hàng, hệ thống hỗ trợ toàn diện từ tạo đơn hàng, quản lý giao hàng đến phân tích dữ liệu bán hàng theo nhiều tiêu chí, đồng thời tích hợp với các nền tảng thương mại điện tử để mở rộng kênh bán hàng. Module tài chính – kế toán cung cấp các công cụ tự động hạch toán, lập báo cáo tài chính như bảng cân đối kế toán, dòng tiền và theo dõi công nợ, giúp doanh nghiệp kiểm soát tài chính chặt chẽ và lập kế hoạch dài hạn. Với sự tích hợp liền mạch giữa các module này, ERPNext không chỉ giúp doanh nghiệp quản lý hiệu quả mọi khía cạnh hoạt động mà còn cung cấp một nền tảng đồng nhất, hỗ trợ doanh nghiệp lập kế hoạch chiến lược hiệu quả.
• Khả năng mở rộng và tùy chỉnh: ERPNext nổi trội với khả năng mở rộng và tùy chỉnh khi cho phép doanh nghiệp thiết kế và phát triển các module chuyên biệt phục vụ cho những yêu cầu đặc thù. Hệ thống không chỉ tích hợp liền mạch với các nền tảng hiện có thông qua API mà còn tương thích với các công nghệ tiên tiến như AI, giúp doanh nghiệp luôn đi đầu trong việc áp dụng đổi mới. Ngoài ra, ERPNext hỗ trợ cá nhân hóa trải nghiệm người dùng, điều chỉnh giao diện và chức năng phù hợp với từng phòng ban hoặc cá nhân, từ đó tối ưu hiệu suất và giảm thời gian đào tạo. Khả năng mở rộng quy mô linh hoạt cũng là một điểm mạnh, cho phép doanh nghiệp dễ dàng thêm người dùng, chi nhánh, hoặc loại hình dịch vụ mới mà không làm gián đoạn hệ thống. Hơn nữa, với nền tảng mã nguồn mở và sự hỗ trợ từ cộng đồng phát triển mạnh mẽ, ERPNext thường xuyên được cập nhật để đáp ứng các xu hướng công nghệ mới, đảm bảo hệ thống luôn đồng hành cùng sự phát triển dài hạn của doanh nghiệp.

Với những ưu điểm vượt trội như trên, ERPNext đã trở thành lựa chọn lý tưởng trong việc tối ưu hóa vận hành và nâng cao hiệu quả quản lý. Tuy nhiên, để triển khai thành công một hệ thống ERP, doanh nghiệp không chỉ cần hiểu biết sâu sắc về phần mềm mà còn cần kinh nghiệm triển khai thực tiễn. Đây chính là lý do dịch vụ tư vấn và triển khai ERPNext của MBW Digital ra đời, nhằm giúp doanh nghiệp khai thác tối đa tiềm năng của phần mềm và đảm bảo sự thành công trong mọi giai đoạn ứng dụng.

Tại MBW Digital, chúng tôi cung cấp dịch vụ tư vấn và triển khai ERPNext chuyên nghiệp, chúng tôi hiểu rằng mỗi doanh nghiệp có những yêu cầu và đặc thù riêng biệt, vì vậy dịch vụ của chúng tôi không chỉ dừng lại ở việc cài đặt phần mềm mà còn cung cấp các giải pháp tùy chỉnh để phù hợp với nhu cầu đặc thù của mỗi doanh nghiệp.

Dịch vụ của MBW Digital bao gồm:

• Khảo sát: Đánh giá chi tiết nhu cầu và hiện trạng hoạt động của doanh nghiệp.
• Tư vấn giải pháp: Phân tích quy trình hiện tại và đề xuất giải pháp ERPNext tối ưu nhất. 
• Phân tích thiết kế: Xây dựng kế hoạch và thiết kế hệ thống phù hợp với yêu cầu cụ thể
• Thực hiện cấu hình và nâng cấp: Thực hiện cấu hình, tùy chỉnh và cải tiến hệ thống để đảm bảo đáp ứng đầy đủ nhu cầu.
• Triển khai người dùng: Hỗ trợ doanh nghiệp đưa hệ thống vào sử dụng thực tế.
• Tùy chỉnh và phát triển: Phát triển các tính năng, module mở rộng phù hợp với đặc thù riêng của doanh nghiệp.
• Đào tạo và hỗ trợ: Đào tạo đội ngũ nhân viên và cung cấp hỗ trợ kỹ thuật liên tục trong suốt quá trình sử dụng hệ thống.

MBW Digital – Lựa chọn hoàn hảo cho mọi doanh nghiệp muốn bứt phá !

• Website: mbwdigital.vn
• Hotline: 094 789 1104
• Email: digital@mbw.vn