淺析信息化環(huán)境下的內(nèi)部控制體系建設(shè)

劉智勛 楊曉蘭

一、引言

財政部等五部委聯(lián)合出臺的《企業(yè)內(nèi)部控制基本規(guī)范》對企業(yè)內(nèi)部控制與信息系統(tǒng)的結(jié)合提出了要求：“企業(yè)應(yīng)當(dāng)運用信息技術(shù)加強內(nèi)部控制，建立與經(jīng)營管理相適應(yīng)的信息系統(tǒng)，促進內(nèi)部控制流程與信息系統(tǒng)的有機結(jié)合，實現(xiàn)對業(yè)務(wù)和事項的自動控制，減少或消除人為操縱因素”。內(nèi)部控制流程與信息系統(tǒng)的結(jié)合，首先需要企業(yè)建立統(tǒng)一的信息平臺，使收支、采購、資金、資產(chǎn)、合同、風(fēng)險管理等綜合在統(tǒng)一平臺之上，其次需要將內(nèi)部控制的各個環(huán)節(jié)嵌入到信息系統(tǒng)的相應(yīng)流程中，實現(xiàn)內(nèi)部控制的程序化和固態(tài)化，確保企業(yè)各項管理信息系統(tǒng)的安全、及時、可靠、完整。

二、企業(yè)信息化應(yīng)用對內(nèi)部控制體系的影響

隨著大數(shù)據(jù)、云服務(wù)、互聯(lián)網(wǎng)+、人工智能等信息技術(shù)的飛速發(fā)展，企業(yè)統(tǒng)一的信息平臺已經(jīng)成熟，企業(yè)的內(nèi)部控制的環(huán)境、方法、監(jiān)督與評價、風(fēng)險評估等方面都發(fā)生的較大變化，主要表現(xiàn)在以下幾個方面：

（一）內(nèi)部控制環(huán)節(jié)發(fā)生變化

信息化環(huán)境下，信息系統(tǒng)通過數(shù)據(jù)“聯(lián)動”保證了各系統(tǒng)數(shù)據(jù)的一致性；通過既定的運算規(guī)則，由計算機自動運算、匯總，保證了數(shù)據(jù)的準(zhǔn)確性。從內(nèi)控執(zhí)行的角度看，這些環(huán)節(jié)已排除了人為因素，不再具有傳統(tǒng)控制方式下通過計算調(diào)整形成虛報、錯報、漏報、舞弊的特征，也就不再成為內(nèi)部控制重點關(guān)注的環(huán)節(jié)。信息系統(tǒng)設(shè)計的可靠性、運行的穩(wěn)定性、操作的安全性成為內(nèi)部控制應(yīng)關(guān)注的重點環(huán)節(jié)。

（二）內(nèi)部控制方式發(fā)生變化

信息化環(huán)境下，信息技術(shù)為內(nèi)部控制提供了多個應(yīng)用方案，使得內(nèi)部控制方式更靈敏、高效，控制對象從主要對人的控制轉(zhuǎn)變?yōu)閷θ撕托畔⑾到y(tǒng)的控制，控制方式從單方面控制轉(zhuǎn)變?yōu)槎喾交邮娇刂?，控制范圍從事中事后控制轉(zhuǎn)變?yōu)槿鎸崟r控制?？刂品绞降淖兓瘜?nèi)控人員的專業(yè)勝任能力有更高的要求，包括豐富的業(yè)務(wù)經(jīng)驗，較強的分析能力等。

（三）監(jiān)督和評價發(fā)生變化

信息化環(huán)境下，監(jiān)督過程可以借助信息系統(tǒng)自動完成，并且能夠?qū)崿F(xiàn)實時和全流程監(jiān)督，從而提高了監(jiān)督的效率和效果。以往內(nèi)部控制監(jiān)督注重的是被監(jiān)督對象的本身，信息化環(huán)境下還應(yīng)當(dāng)注重對信息系統(tǒng)的開發(fā)、實施和維護過程所的監(jiān)督。同時，企業(yè)還應(yīng)當(dāng)堅持做好“控制自我評估（CSA，Control Self Appraisal）”，CSA對于企業(yè)加強管理、改進業(yè)務(wù)經(jīng)營流程和內(nèi)控程序、防范風(fēng)險等都有著積極的作用。

（四）信息技術(shù)潛在風(fēng)險增加

信息化環(huán)境下，數(shù)據(jù)的“聯(lián)動”和既定的運算規(guī)則，使得信息系統(tǒng)具有校驗和防范風(fēng)險的能力，降低了人為的錯誤和舞弊的風(fēng)險，內(nèi)控人員能夠及時了解信息系統(tǒng)運行各環(huán)節(jié)存在的問題，能夠?qū)υO(shè)定的控制點進行實時監(jiān)控。但是信息系統(tǒng)和數(shù)據(jù)的集中儲存，本身就存在一定的風(fēng)險，如：數(shù)據(jù)被非法篡改、刪除、非法授權(quán)、系統(tǒng)故障、網(wǎng)絡(luò)癱瘓等，同時內(nèi)控人員會逐漸依賴和習(xí)慣于通過信息平臺經(jīng)營和控制企業(yè)，如果外界環(huán)境、商業(yè)模式發(fā)生變化，內(nèi)部控制系統(tǒng)不及時調(diào)整，可能增加潛在風(fēng)險。

三、信息化環(huán)境下的企業(yè)內(nèi)部控制體系建設(shè)策略

當(dāng)前，通過企業(yè)信息化實現(xiàn)內(nèi)部控制的主要做法是通過專門的治理、風(fēng)險管理及合規(guī)控制系統(tǒng)（GRC），實現(xiàn)對企業(yè)管理系統(tǒng)（ERP、CRM）業(yè)務(wù)執(zhí)行過程的風(fēng)險控制。信息化環(huán)境下，企業(yè)內(nèi)部控制體系建設(shè)主要有以下策略：

（一）建立與信息化建設(shè)相適應(yīng)的內(nèi)部控制體系

1.建立相應(yīng)內(nèi)部控制制度

制度建設(shè)是做好內(nèi)控工作的基礎(chǔ)，企業(yè)應(yīng)當(dāng)結(jié)合自身實際情況，全面梳理現(xiàn)有管理制度和工作流程，按照內(nèi)部控制的要求，著眼于信息技術(shù)變革、著重于有效控制，明確部門分工和人員職責(zé)、權(quán)限，制訂相互牽制、相互制約、行之有效的內(nèi)控制度。

2.建設(shè)相應(yīng)的內(nèi)部控制流程

企業(yè)應(yīng)當(dāng)先梳理業(yè)務(wù)流程，建立管控類和專業(yè)類活動的業(yè)務(wù)流程體系，然后將制度相關(guān)條款（或規(guī)則）關(guān)聯(lián)到流程及其相應(yīng)的節(jié)點上，形成企業(yè)的內(nèi)部控制流程，再將內(nèi)部控制流程嵌入到信息系統(tǒng)，經(jīng)過反復(fù)測試，發(fā)現(xiàn)不足、分析原因并及時調(diào)整，然后進行優(yōu)化，最終形成信息化的內(nèi)部控制流程。

（二）積極推進標(biāo)準(zhǔn)化工作

信息化環(huán)境下的內(nèi)部控制建設(shè)，標(biāo)準(zhǔn)化是一項極為重要的工作，制訂符合法律法規(guī)要求，滿足企業(yè)發(fā)展的各項工作標(biāo)準(zhǔn)和業(yè)務(wù)流程，可以達到風(fēng)險防范的目標(biāo)。企業(yè)要從實際業(yè)務(wù)調(diào)研入手，做好業(yè)務(wù)流程和工作標(biāo)準(zhǔn)信息的收集、測試和評價，針對執(zhí)行情況制訂相應(yīng)的規(guī)范和標(biāo)準(zhǔn)。在具體操作中，需要做到信息系統(tǒng)、組織架構(gòu)、業(yè)務(wù)流程、風(fēng)險標(biāo)識、內(nèi)控體系的統(tǒng)一和標(biāo)準(zhǔn)化。

（三）建立內(nèi)部控制評價體系，不斷調(diào)整優(yōu)化

隨著控制環(huán)境的變化，企業(yè)應(yīng)當(dāng)對內(nèi)部控制進行適當(dāng)調(diào)整和優(yōu)化。信息化環(huán)境下，企業(yè)新建的信息化內(nèi)部控制體系是否有效，需要在對信息化的內(nèi)控流程進行反復(fù)測試后，才能做出全面客觀的評價。對于測試識別出來的薄弱環(huán)節(jié)應(yīng)當(dāng)，內(nèi)控風(fēng)險，企業(yè)應(yīng)當(dāng)深入研究、分析，提出完善和改進建議，及時調(diào)整或優(yōu)化內(nèi)部控制評價體系。

（四）加強培訓(xùn)，提高人員素質(zhì)

信息化對內(nèi)控人員的素質(zhì)提出了更高的要求，內(nèi)控人員不但要熟悉業(yè)務(wù)，還要掌握信息系統(tǒng)的操作。企業(yè)一方面要從業(yè)務(wù)一線挖掘既熟悉業(yè)務(wù)流程又具備一定管理能力的優(yōu)秀員工，對其進行有針對性的培訓(xùn)，聘請專業(yè)人士講授信息化、網(wǎng)絡(luò)及內(nèi)部控制方面的知識，使其的具備內(nèi)控和信息化思維，讓其充實到企業(yè)內(nèi)控人員退伍；另一方面企業(yè)要引入信息化方面的技術(shù)人才，作為內(nèi)部控制信息化建設(shè)的人才儲備，通過內(nèi)控知識和業(yè)務(wù)培訓(xùn)，使其具備管控思維和風(fēng)險意識。其次，企業(yè)應(yīng)當(dāng)注重內(nèi)控人員的自身素養(yǎng)的引導(dǎo)，包括人生觀、價值觀、世界觀等。此外，企業(yè)還應(yīng)當(dāng)制定良好的績效考評、激勵和約束機制，在保證內(nèi)控的人員勤懇敬業(yè)同時激發(fā)他們的學(xué)習(xí)和創(chuàng)新能力。

四、結(jié)束語

信息化是企業(yè)管理提升的重要抓手，內(nèi)部控制體系在信息化環(huán)境下面臨著新的挑戰(zhàn)，企業(yè)內(nèi)部控制體系的信息化建設(shè)應(yīng)從管理和業(yè)務(wù)流程的標(biāo)準(zhǔn)化，內(nèi)控制度完善、內(nèi)控流程信息化、內(nèi)控人員培養(yǎng)、風(fēng)險防控著手，完善企業(yè)內(nèi)部控制體系建設(shè)，評估新技術(shù)、新商業(yè)模式、新業(yè)態(tài)對內(nèi)部控制體系產(chǎn)生的影響，不斷調(diào)整和優(yōu)化內(nèi)部控制流程和方法，在企業(yè)管理信息系統(tǒng)中獨立開發(fā)或嵌入內(nèi)部控制模塊，同時關(guān)注信息系統(tǒng)的可靠性和適用性，保證內(nèi)部控制體系的前瞻性和有效性，提升企業(yè)管理水平。