信息技術(shù)下的企業(yè)內(nèi)部控制

何 剛

摘要:企業(yè)如果能夠利用信息技術(shù)來(lái)完善內(nèi)部控制制度,建立起一個(gè)信息流和業(yè)務(wù)流相互協(xié)調(diào)和相互制約的流程,防范與控制經(jīng)營(yíng)風(fēng)險(xiǎn),也會(huì)使信息化環(huán)境下的企業(yè)內(nèi)部控制水平提高到一個(gè)新的層次。文章通過(guò)在企業(yè)中的實(shí)踐經(jīng)驗(yàn),就信息技術(shù)下企業(yè)內(nèi)部控制作一些初步的探討。

關(guān)鍵詞:信息技術(shù);企業(yè)內(nèi)部控制;經(jīng)營(yíng)風(fēng)險(xiǎn)

中圖分類號(hào):F270文獻(xiàn)標(biāo)識(shí)碼:A

文章編號(hào):1674-1145(2009)29-0023-03

隨著信息及網(wǎng)絡(luò)技術(shù)的快速發(fā)展和廣泛應(yīng)用,企業(yè)管理的環(huán)境和理念發(fā)生了巨大的變化,范圍和內(nèi)容得到了不斷拓展,如何在新的環(huán)境下做好企業(yè)的內(nèi)部控制工作,成為我們提高管理工作的重要課題。

信息技術(shù)的應(yīng)用增加了企業(yè)內(nèi)部控制潛在的風(fēng)險(xiǎn),但同時(shí),企業(yè)如果能夠利用信息技術(shù)來(lái)完善內(nèi)部控制制度,建立起一個(gè)信息流和業(yè)務(wù)流相互協(xié)調(diào)和相互制約的流程,防范與控制經(jīng)營(yíng)風(fēng)險(xiǎn),也會(huì)使信息化環(huán)境下的企業(yè)內(nèi)部控制水平提高到一個(gè)新的層次。筆者試圖通過(guò)在企業(yè)中的實(shí)踐經(jīng)驗(yàn),就信息技術(shù)下企業(yè)內(nèi)部控制作一些初步的探討。

一、信息技術(shù)下內(nèi)部控制風(fēng)險(xiǎn)的評(píng)估

信息及網(wǎng)絡(luò)技術(shù)在企業(yè)中的廣泛應(yīng)用,突破了空間和時(shí)間的限制,克服了遠(yuǎn)程及分散辦公帶來(lái)的交流障礙,提高了海量數(shù)據(jù)及信息的處理效率,企業(yè)的管理工作可以做得越來(lái)越扁平化、精細(xì)化。但是信息技術(shù)的應(yīng)用,同時(shí)也帶來(lái)了企業(yè)控制環(huán)境的變化,系統(tǒng)的復(fù)雜性、網(wǎng)絡(luò)的開放性、信息的分散性、數(shù)據(jù)的共享性以及存儲(chǔ)形式的無(wú)紙化,都需要我們?cè)谟袆e于傳統(tǒng)運(yùn)行環(huán)境下產(chǎn)生的控制風(fēng)險(xiǎn)進(jìn)行重新評(píng)估。

(一)人員職業(yè)素養(yǎng)帶來(lái)的內(nèi)部控制風(fēng)險(xiǎn)

現(xiàn)代企業(yè)對(duì)信息技術(shù)的依賴性,不但要求企業(yè)員工具備基本的職業(yè)道德和良好的專業(yè)素質(zhì),同時(shí)也要求員工能熟練地掌握并操作企業(yè)的信息系統(tǒng)。但往往由于企業(yè)員工職業(yè)素養(yǎng)的差異,技術(shù)水平的高低,認(rèn)知的局限性,對(duì)系統(tǒng)運(yùn)行過(guò)程中出現(xiàn)的故障不能及時(shí)排除,對(duì)舞弊違法行為不能及時(shí)發(fā)現(xiàn),從而導(dǎo)致控制風(fēng)險(xiǎn)。

(二)網(wǎng)絡(luò)的開放性帶來(lái)的內(nèi)部控制風(fēng)險(xiǎn)

現(xiàn)代企業(yè)的規(guī)模越來(lái)越大,很多企業(yè)的機(jī)構(gòu)設(shè)置越來(lái)越分散,各機(jī)構(gòu)間的溝通日益頻繁。信息系統(tǒng)在這樣一個(gè)運(yùn)行環(huán)境中,往往需要借助于專門網(wǎng)絡(luò)甚至于公共網(wǎng)絡(luò)來(lái)傳遞數(shù)據(jù)和信息,而網(wǎng)絡(luò)是最易受外部侵入,再加上信息系統(tǒng)本身在設(shè)計(jì)上可能也會(huì)存在一些漏洞,很容易受到外部的攻擊,帶來(lái)安全控制上的風(fēng)險(xiǎn)。

(三)制度和流程的缺陷帶來(lái)的內(nèi)部控制風(fēng)險(xiǎn)

信息技術(shù)環(huán)境下的企業(yè),需要建立與之相適應(yīng)的制度和流程,但制度和流程的建設(shè)往往落后于企業(yè)運(yùn)營(yíng)環(huán)境的變化,這不但會(huì)限制對(duì)新技術(shù)的使用,同時(shí)也帶來(lái)了內(nèi)部控制上的風(fēng)險(xiǎn)。企業(yè)要及時(shí)建立起與之相適應(yīng)的職責(zé)分離、授權(quán)批準(zhǔn)的內(nèi)部控制制度,對(duì)此加以約束,使企業(yè)的管理得到控制。

(四)系統(tǒng)的缺陷帶來(lái)的內(nèi)部控制風(fēng)險(xiǎn)

由于事前未進(jìn)行系統(tǒng)性的調(diào)研和準(zhǔn)備,或者由于設(shè)計(jì)者認(rèn)識(shí)上的局限性,經(jīng)常會(huì)產(chǎn)生系統(tǒng)設(shè)計(jì)上的缺陷和遺漏,導(dǎo)致信息系統(tǒng)生成的報(bào)表和結(jié)果的錯(cuò)誤;或由于新業(yè)務(wù)的上線暴露出系統(tǒng)原有設(shè)計(jì)程序的不完善,造成信息和數(shù)據(jù)的錯(cuò)誤,甚至引來(lái)外部的攻擊,帶來(lái)質(zhì)量控制上的風(fēng)險(xiǎn)。

(五)審計(jì)不力引起的內(nèi)部控制風(fēng)險(xiǎn)

企業(yè)沒(méi)能建立起一套信息條件下的審計(jì)方式或制度,不能適應(yīng)新的審計(jì)環(huán)境的變化,或者對(duì)信息系統(tǒng)不熟悉,發(fā)現(xiàn)不了問(wèn)題,使內(nèi)部控制工作中存在的隱患不能及時(shí)提出和解決,小問(wèn)題積成大麻煩,造成內(nèi)部控制上的風(fēng)險(xiǎn)。

二、信息技術(shù)條件下的內(nèi)部控制

信息化條件下的內(nèi)部控制風(fēng)險(xiǎn)雖然有別于傳統(tǒng)的控制風(fēng)險(xiǎn),但是需要實(shí)現(xiàn)的目標(biāo)是一致的,只要有針對(duì)性地采取正確的防范措施,建立相應(yīng)的內(nèi)部控制制度,把信息流程更好地融合進(jìn)企業(yè)的業(yè)務(wù)流程中,不但可以起到防患于未然的作用,同時(shí)也能提高控制水平和企業(yè)效率。

(一)加強(qiáng)信息化素質(zhì)要求的人才培養(yǎng)

最完善的內(nèi)部控制制度和流程也要靠人來(lái)執(zhí)行和保障,因此應(yīng)本著“以人為本”的理念,注重培養(yǎng)具有“專業(yè)—信息—管理”知識(shí)和職業(yè)道德的復(fù)合型人才,并進(jìn)行合理有效的管理,建立良好的績(jī)效評(píng)估機(jī)制、激勵(lì)機(jī)制以及約束機(jī)制,以促進(jìn)企業(yè)信息化的順利發(fā)展。

企業(yè)應(yīng)把職業(yè)培訓(xùn)和道德教育與員工績(jī)效考核結(jié)合起來(lái),定期進(jìn)行考評(píng),并將評(píng)估結(jié)果與員工激勵(lì)機(jī)制掛鉤,使員工能自覺(jué)提高職業(yè)素養(yǎng)和道德水平,約束自己的行為。

(二)加強(qiáng)網(wǎng)絡(luò)安全控制管理

現(xiàn)代企業(yè)使用軟件系統(tǒng)時(shí)大多都會(huì)用到網(wǎng)絡(luò),如何保障網(wǎng)絡(luò)抵御外部的惡意攻擊,是保證系統(tǒng)安全運(yùn)行的關(guān)鍵。在制定安全控制策略時(shí),應(yīng)根據(jù)系統(tǒng)的重要性、經(jīng)濟(jì)性及使用范圍等條件進(jìn)行綜合考慮,可以選擇專網(wǎng)、虛擬專網(wǎng)、公網(wǎng)進(jìn)行網(wǎng)絡(luò)規(guī)劃。其中專網(wǎng)最安全,但成本也最高;公網(wǎng)最容易受攻擊,但成本相對(duì)較低。企業(yè)應(yīng)評(píng)估實(shí)際需要,選擇適宜的網(wǎng)絡(luò)方案,并建立相應(yīng)的防火墻系統(tǒng)和登錄認(rèn)證系統(tǒng),以保障網(wǎng)絡(luò)使用安全。

(三)建立和完善內(nèi)部控制流程和制度

建立內(nèi)部控制制度,完善內(nèi)部控制流程,是內(nèi)部控制的基礎(chǔ)和核心。在信息技術(shù)條件下,把信息流和業(yè)務(wù)流有機(jī)地結(jié)合起來(lái),既互相協(xié)調(diào)配合,又相互制約印證,不但能提高企業(yè)的運(yùn)行效率,同時(shí)也能提高企業(yè)的內(nèi)部控制水平。

1.建立并完善崗位設(shè)置、職責(zé)分離、授權(quán)批準(zhǔn)等制度

加強(qiáng)系統(tǒng)安全控制,除保證網(wǎng)絡(luò)安全外,還應(yīng)從防止未經(jīng)授權(quán)的人員擅自動(dòng)用系統(tǒng)本身及各種資源入手,保護(hù)系統(tǒng)和數(shù)據(jù)的安全,減少因外界因素導(dǎo)致信息系統(tǒng)的故障和舞弊。建議從以下幾方面建立起相應(yīng)的控制制度:

(1)合理的分工及內(nèi)部牽制制度,系統(tǒng)維護(hù)人員、操作人員、稽核人員在工作中互相牽制、相互督促,從而防止工作差錯(cuò)或舞弊等現(xiàn)象的發(fā)生。

(2)訂立系統(tǒng)操作制度,禁止非相關(guān)人員操作系統(tǒng)。

(3)建立操作權(quán)限及人員登錄制度,規(guī)定相關(guān)崗位的登錄權(quán)限。

(4)建立操作人員個(gè)人的身份賬戶,規(guī)定交接班手續(xù)和登記運(yùn)行日志。

(5)嚴(yán)格控制系統(tǒng)軟件的安裝與修改,定期進(jìn)行巡檢,系統(tǒng)一旦被破壞時(shí),要求系統(tǒng)軟件具備緊急響應(yīng)、強(qiáng)制備份、快速重構(gòu)和快速恢復(fù)的功能。

(6)系統(tǒng)信息和數(shù)據(jù)的恢復(fù),應(yīng)規(guī)定只有專業(yè)的系統(tǒng)管理員才能進(jìn)行操作,操作前經(jīng)授權(quán)審批。

2.建立和完善相互協(xié)調(diào)的信息流程和業(yè)務(wù)流程體系

(1)建立與業(yè)務(wù)流程相適應(yīng)的信息流,通過(guò)信息流來(lái)控制業(yè)務(wù)流,通過(guò)業(yè)務(wù)流來(lái)保障信息流,促進(jìn)企業(yè)經(jīng)營(yíng)活動(dòng)的高效、有序進(jìn)行。以筆者所在公司的BOSS系統(tǒng)為例,通過(guò)對(duì)業(yè)務(wù)流和信息流的控制,建立起新用戶的業(yè)務(wù)開通流程:客戶到營(yíng)業(yè)廳開通新業(yè)務(wù),營(yíng)業(yè)員接受申請(qǐng)并收妥款項(xiàng)、開具發(fā)票后在BOSS系統(tǒng)中錄入相關(guān)信息和數(shù)據(jù),工程部門便能收到BOSS系統(tǒng)生成的一張工單,工程管理人員據(jù)此安排人員上門安裝,完工時(shí)經(jīng)客戶簽字后由安裝人員帶回工程部,再由管理人員錄入系統(tǒng)后開通業(yè)務(wù),系統(tǒng)開始自動(dòng)管理用戶。信息流帶動(dòng)了業(yè)務(wù)流程,業(yè)務(wù)流程又保證了信息流程,促進(jìn)了企業(yè)經(jīng)營(yíng)活動(dòng)的高效有序進(jìn)行。

(2)通過(guò)業(yè)務(wù)流和信息流的相互印證來(lái)保證業(yè)務(wù)信息和系統(tǒng)信息的正確、完整。數(shù)據(jù)庫(kù)的高度共享性,使任何一個(gè)數(shù)據(jù)錯(cuò)誤都會(huì)被放大,被反復(fù)使用。因此在業(yè)務(wù)活動(dòng)發(fā)生時(shí),在有關(guān)數(shù)據(jù)進(jìn)入數(shù)據(jù)庫(kù)前后,檢查這些數(shù)據(jù)的正確性、完整性和合法性是系統(tǒng)質(zhì)量控制的核心,企業(yè)應(yīng)建立起手工資料和信息資料的相互稽核流程,保證信息數(shù)據(jù)的正確、完整。仍以客戶開通新業(yè)務(wù)為例,錄入系統(tǒng)的信息都需經(jīng)過(guò)稽核流程。營(yíng)業(yè)廳辦理客戶開戶手續(xù)后,應(yīng)把業(yè)務(wù)聯(lián)、銀行進(jìn)賬單和開具后的發(fā)票存根都移交給稽核部門,由稽核人員根據(jù)這些書面資料核對(duì)系統(tǒng)錄入的信息,如有問(wèn)題及時(shí)反饋更正,以保證錄入的數(shù)據(jù)和信息的完整、正確,防止舞弊。

(3)利用信息流提高對(duì)業(yè)務(wù)流的內(nèi)部控制水平。信息系統(tǒng)具有數(shù)據(jù)傳遞快、共享高、信息實(shí)時(shí)等特點(diǎn),如果使用得當(dāng),能把企業(yè)內(nèi)部控制的水平提高到一個(gè)新的層次。再以筆者所在企業(yè)為例,公司有許多光纜施工工程需外包給施工隊(duì),施工隊(duì)接受工程后,填制領(lǐng)料單,經(jīng)公司工程管理部門審核并授權(quán)后,便可向倉(cāng)庫(kù)領(lǐng)取材料。由于領(lǐng)料單是手工填制,辦公地點(diǎn)相距較遠(yuǎn),一方面存在著舞弊的風(fēng)險(xiǎn);另一方面由于信息不對(duì)稱,工程部門不知道具體的庫(kù)存情況,領(lǐng)料頻繁時(shí),往往會(huì)出現(xiàn)一次性領(lǐng)不齊料的情況,給施工和存貨控制都帶來(lái)了不少的麻煩。為了解決這一問(wèn)題,公司在工程管理部門安裝了財(cái)務(wù)軟件中的存貨管理模塊,經(jīng)審核后的領(lǐng)料單需先錄入存貨管理模塊,系統(tǒng)會(huì)自動(dòng)出現(xiàn)存量警告,存量充足則打印領(lǐng)料單,并授權(quán)簽字,再向倉(cāng)庫(kù)領(lǐng)取材料,庫(kù)管員在發(fā)料前,可先與系統(tǒng)里的領(lǐng)料單核對(duì),然后再發(fā)料。通過(guò)信息系統(tǒng)和業(yè)務(wù)系統(tǒng)的配合,不但消除了領(lǐng)料過(guò)程中的舞弊風(fēng)險(xiǎn),效率也明顯提高。

3.加強(qiáng)信息資料的管理

信息資料管理是在信息化條件下工作連續(xù)進(jìn)行的保障,是保證系統(tǒng)內(nèi)信息和數(shù)據(jù)安全與完整的關(guān)鍵環(huán)節(jié),也是信息得以充分利用的保證。因此,應(yīng)重點(diǎn)建立起以下保管流程:

(1)企業(yè)應(yīng)根據(jù)自己的實(shí)際情況,建立定時(shí)進(jìn)行手工或自動(dòng)備份的流程,及時(shí)做好數(shù)據(jù)備份工作,從而保證信息和數(shù)據(jù)的安全性和可恢復(fù)性。

(2)做好異地備份工作,定期使用硬盤和光盤做好備份工作并單獨(dú)存放,以保證信息和數(shù)據(jù)的安全。

(3)重要資料應(yīng)定期打印,并作為檔案資料妥善保管。

(四)加強(qiáng)信息系統(tǒng)的開發(fā)和完善

系統(tǒng)軟件的取得主要有三種途徑:一是通過(guò)市場(chǎng)購(gòu)買成熟產(chǎn)品,比如財(cái)務(wù)管理軟件;二是市場(chǎng)上購(gòu)買后再根據(jù)企業(yè)的實(shí)際需要進(jìn)行二次開發(fā),比如OA系統(tǒng);三是根據(jù)企業(yè)的需要量身定做,比如BOSS系統(tǒng)。相對(duì)于市場(chǎng)上比較成熟的軟件,自主開發(fā)的系統(tǒng)運(yùn)營(yíng)風(fēng)險(xiǎn)會(huì)高得多,往往在運(yùn)營(yíng)過(guò)程中的一個(gè)小漏洞,或者因新業(yè)務(wù)上線暴露出來(lái)的系統(tǒng)設(shè)計(jì)缺陷,都會(huì)給系統(tǒng)運(yùn)行帶來(lái)質(zhì)量控制風(fēng)險(xiǎn),而這些問(wèn)題很多都需要通過(guò)實(shí)際應(yīng)用才能逐步發(fā)現(xiàn)。因此,在正式使用系統(tǒng)過(guò)程中,應(yīng)控制好三個(gè)步驟:系統(tǒng)開發(fā)設(shè)計(jì)前,應(yīng)做好調(diào)研工作,盡量把問(wèn)題想得全面一點(diǎn),周到一點(diǎn);在設(shè)計(jì)過(guò)程中,應(yīng)多征求操作及維護(hù)人員的意見,保證在系統(tǒng)開發(fā)過(guò)程中就能防止風(fēng)險(xiǎn)。系統(tǒng)使用前,應(yīng)先搭建與實(shí)際運(yùn)營(yíng)環(huán)境相似的虛擬環(huán)境進(jìn)行試用,在試用過(guò)程中發(fā)現(xiàn)問(wèn)題并及時(shí)進(jìn)行調(diào)整;在實(shí)際應(yīng)用過(guò)程中,建立起反饋機(jī)制,使系統(tǒng)管理和維護(hù)人員能盡快地了解并掌握使用過(guò)程中反映出來(lái)的系統(tǒng)缺陷,進(jìn)行系統(tǒng)的二次完善。

(五)加強(qiáng)內(nèi)部控制評(píng)估及審計(jì)監(jiān)督

信息化條件下的內(nèi)部控制系統(tǒng),應(yīng)定期做出評(píng)估,適時(shí)進(jìn)行調(diào)整。沒(méi)有哪一套規(guī)則在環(huán)境發(fā)生變化時(shí)還能很好地適應(yīng),所以,對(duì)專業(yè)人員來(lái)說(shuō),評(píng)估內(nèi)部控制的有效性是非常重要的,根據(jù)評(píng)估結(jié)果及時(shí)調(diào)整內(nèi)部控制體系,加強(qiáng)內(nèi)部控制是最有效、最經(jīng)濟(jì)的辦法。

建立符合信息化條件的內(nèi)部審計(jì)機(jī)構(gòu),做好內(nèi)部審計(jì)監(jiān)督工作。內(nèi)部審計(jì)是保障內(nèi)部控制的重要手段,這就要求企業(yè)內(nèi)部必須建立一個(gè)不依附任何職能部門的,受公司最高層直接領(lǐng)導(dǎo)的符合信息化條件的內(nèi)部審計(jì)機(jī)構(gòu),進(jìn)行定期的專項(xiàng)審計(jì)監(jiān)督。重點(diǎn)要做的是:一是建立內(nèi)部審計(jì)機(jī)構(gòu),加強(qiáng)對(duì)專業(yè)審計(jì)人員的培養(yǎng),內(nèi)部審計(jì)人員應(yīng)定期進(jìn)行專業(yè)素質(zhì)和信息化知識(shí)的培訓(xùn),了解企業(yè)使用的信息系統(tǒng),加快知識(shí)更新,加強(qiáng)對(duì)舞弊手法的甄別能力,以適應(yīng)信息化條件下審計(jì)的要求;二是建立健全內(nèi)部審計(jì)制度,明確信息化環(huán)境下審計(jì)監(jiān)督的目標(biāo),制定完成審計(jì)職能的權(quán)力、范圍和職責(zé),完善反饋和匯報(bào)機(jī)制;三是定期進(jìn)行信息化條件下內(nèi)控制度和流程的專項(xiàng)審計(jì)工作,包括對(duì)系統(tǒng)本身功能的審計(jì)評(píng)估,是否建立起了恰當(dāng)?shù)男畔⒘骱蜆I(yè)務(wù)流程,及時(shí)發(fā)現(xiàn)內(nèi)部控制上的缺陷,完善內(nèi)部控制制度;四是要加快對(duì)審計(jì)軟件的開發(fā)和應(yīng)用,以適應(yīng)信息化條件下的審計(jì)要求。

內(nèi)部審計(jì)機(jī)構(gòu)對(duì)監(jiān)督檢查中發(fā)現(xiàn)的內(nèi)部控制缺陷,應(yīng)當(dāng)按照企業(yè)內(nèi)部審計(jì)工作程序進(jìn)行報(bào)告;對(duì)監(jiān)督檢查中發(fā)現(xiàn)的內(nèi)部控制重大缺陷,有權(quán)直接向董事會(huì)及其審計(jì)委員會(huì)、監(jiān)事會(huì)報(bào)告。

三、結(jié)語(yǔ)

信息技術(shù)使企業(yè)的運(yùn)行環(huán)境發(fā)生了根本性的變化,它給企業(yè)帶來(lái)風(fēng)險(xiǎn)的同時(shí)也帶來(lái)了控制風(fēng)險(xiǎn)的機(jī)會(huì)與手段,在實(shí)際工作中我們應(yīng)把信息作為加強(qiáng)控制的資源,充分利用信息技術(shù)進(jìn)行內(nèi)部控制。同時(shí)我們也應(yīng)清醒地認(rèn)識(shí)到任何先進(jìn)手段都是由人來(lái)操作和管理的,通過(guò)信息技術(shù)進(jìn)行內(nèi)部控制時(shí),要結(jié)合傳統(tǒng)有效的內(nèi)部控制方式,構(gòu)建與完善內(nèi)部控制系統(tǒng)。

由財(cái)政部、證監(jiān)會(huì)、審計(jì)署、銀監(jiān)會(huì)和保監(jiān)會(huì)等五部委聯(lián)合發(fā)布的中國(guó)首部《企業(yè)內(nèi)部控制基本規(guī)范》將于2010年初在上市公司和其他大中型企業(yè)執(zhí)行,這也對(duì)現(xiàn)代企業(yè)健全內(nèi)部控制體系,提高經(jīng)營(yíng)效益提出了明確的要求。企業(yè)更應(yīng)借著這一契機(jī),充分利用現(xiàn)代信息技術(shù)和傳統(tǒng)有效的控制方式,開展內(nèi)部控制的創(chuàng)新工作,建立與時(shí)代相適應(yīng)的內(nèi)部控制制度,滿足企業(yè)管理的需要,實(shí)現(xiàn)企業(yè)更大的戰(zhàn)略發(fā)展目標(biāo)。

作者簡(jiǎn)介:何剛(1968- ),男,浙江諸暨人,華夏視聯(lián)控股有限公司(華數(shù)集團(tuán))財(cái)務(wù)經(jīng)理,會(huì)計(jì)師,研究方向:會(huì)計(jì)。