基于《企业内部控制基本规范》的会计信息系统内部控制探析
来源:用户上传
作者: 文 勇
摘要:会计信息系统的推广,使得会计核算的准确性、可靠性和数据处理效率得到了极大的提高,但也为企业的内部控制带来了许多新问题。文章基于《企业内部控制基本规范》,借鉴COSO报告五要素框架理论,分析探讨了影响内部会计控制制度的控制环境、风险评估、控制活动、信息与沟通、监控等5个要素,并提出了与之相对应的完善会计信息系统内部控制制度的建议,以期对企业有一定的借鉴意义。
关键词:企业内部控制基本规范;内部控制;会计信息系统
2008年6月28日,财政部、证监会、审计署、银监会、保监会联合发布了我国首部《企业内部控制基本规范》(以下简称基本规范)。基本规范自2010年1月1日起首先在上市公司范围内实施,鼓励非上市的其他大中型企业执行。这意味着中国企业内部控制规范体系建设正在向国际标准靠拢。
这套适用于中国企业的内部控制体系,其基本规范借鉴了COSO(The Committee of Sponsoring Organization)报告五要素框架和风险管理八要素框架;具体范围以财务报告内部控制为主线,对与企业财务报表项目相关的、可能会对财务报告真实可靠性产生较大影响的经济业务事项以及与财务报表编报相关的业务活动提出具体的控制规范,并对为实现有效的财务报告内部控制的事前、事中和事后制度支持提出控制要求。本文从IT内部控制与IT风险管理的角度,阐述企业IT控制与会计信息系统内部控制之间的关系。
一、会计信息系统内部控制制度包含的五要素框架
美国COSO发布了关于内部控制的概念界定和评价内部控制系统的指导性框架的报告,这一报告被国际社会公认为可接受的内部控制的权威性报告,对我国会计信息系统的内部控制制度的建立具有重要的参考价值。COSO报告认为内部控制系统包括5个组成要素:控制环境、风险评估、控制活动、信息与沟通、监控。相应,会计信息系统内部控制框架也对应于企业内部控制的五要素框架。因此,对会计信息系统内部控制制度的探讨也应从这5个方面进行。
(一)内部环境
内部环境是影响、制约企业内部控制建立与执行的各种内部因素的总称,是实施内部控制的基础。内部环境在企业IT领域的体现是IT的内部控制环境,主要包括IT治理架构、IT组织与职责,IT决策机制,IT合规与IT审计等。在IT环境下,因为企业内部管理结构扁平化,使得内部控制的组织结构发生改变。这要求内部控制的方式与管理手段随之改变。IT经济引导着企业组织从机械式向有机式并最终向虚拟组织发展演变,要求企业的领导阶层学会在一个流动和动态的环境中发现内聚力和构造组织,既要有创新和发展,又能在不断磨合中加强内部控制和向心力。IT改变企业的架构、企业文化,并影响各成员控制意识,这要求管理层树立信息意识,更新控制观念。
(二)风险评估
风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不确定因素并采取应对策略的过程,是实施内部控制的重要环节,也是COSO内部控制整体框架的独特之处。IT手段的不断应用,给企业带来竞争优势的同时也带来了风险,在IT环境下,虽然企业的整体目标没有改变,但是经济、产业及管理的外部环境与内部因素都发生了变化。伴随业务流程的改变,系统的开发性、信息的分散性、数据的共享性,使系统从以往封闭集中状态走向开放,给会计信息系统带来了风险。这些风险构成了内部控制的新内容,扩大了会计信息系统内部控制的范围,必须有效利用IT作为控制风险的工具。应树立信息意识,更新控制观念,改变思维定式,有效利用IT为企业服务。把IT作为防范风险的工具,与业务活动有效结合起来,建立一个控制良好的电子数据处理系统,保证企业业务处理活动严格按商业规则进行。
(三)控制措施
控制措施是根据风险评估结果、结合风险应对策略所采取的确保企业内部控制目标得以实现的方法与手段,是实施内部控制的具体方式,主要包括职责分工控制、授权控制、绩效评估控制、财产保护控制、会计系统控制、内部报告控制、信息技术控制等。IT的广泛应用,增强了控制手段的灵活性、高效性,加强了内部控制的预防、检查与纠正的功能,经济有效地实现内部控制的目标。IT环境下的会计信息系统控制的重点由对人的控制为主转变为对人、机共同控制为主,控制程序与计算机处理相协调适应。随着计算机使用范围的扩大,利用计算机进行贪污、舞弊、诈骗等犯罪活动有所增加。因此,也增加了IT环境下内部控制的难度与复杂性。
(四)信息与沟通
信息与沟通是及时、准确、完整地收集与企业经营管理相关的各种信息,并使这些信息以适当的方式在企业有关层级之间进行及时传递、有效沟通和正确应用的过程,是实施内部控制的重要条件。IT衔接企业各职能部门实现了会计和业务的一体化处理,会计核算从事后的静态核算转变为事中的动态控制,信息需求者可以获取实时信息,使得工作在空间和时间上的接近不再是至关重要的问题。内部控制由顺序化向并行化发展,企业的设计、制造、销售、会计等人员并肩工作,共同控制企业的物流、资金流和信息流。
(五)监督检查
监督检查是企业对其内部控制的健全性、合理性和有效性进行监督检查与评估,形成书面报告并做出相应处理的过程,是实施内部控制的重要保证。在IT环境下,一些内部控制被计算机程序化并嵌入在计算机应用系统内,因此内部控制具有人工控制与程序控制相结合的特点。这些程序化的内部控制的有效性取决于应用程序,如果程序发生差错或计算机感染病毒,由于人们对计算机系统的依赖性、麻痹大意及程序运行的重复性,使得失效控制长期不被发现,甚至导致系统在特定方面发生错误或违规行为的可能性较大。所以,在IT环境下,注意对内部控制的监督,由适当的人员,在适当的时候,及时评估控制的设计和运作情况。
二、建立健全会计信息系统内部控制制度的建议
鉴于会计信息系统的特点,借助COSO框架,建立会计信息系统内部控制制度应考虑如下因素:
(一)完善企业内部控制环境
1、组织结构调整。信息技术的引入使管理幅度增大、层次减少,高耸型的组织结构逐渐趋于扁平。同时,网络使内、外部人员进行更多的沟通,内部控制由命令与控制向集中与协调转变。因此,必须进行组织结构调整才能更好地进行内部控制。企业应通过组织结构调整、建立恰当的组织机构和职责分工制度,并通过部门设置、人员分工、岗位职责的制定、权限的划分等形式进行控制,从而达到相互牵制、相互制约、防止或减少舞弊发生的目的。应设立会计岗位和系统管理岗位。会计岗位负责基本的核算及档案管理等工作;系统管理岗位负责会计信息系统的操作、管理、维护等工作。岗位的设置应遵循不相容职务分离的原则,使不同岗位之间相互监督,相互制约,以达到控制的目的。
2、培养管理人员的内部控制观念和信息观念。管理者的观念在很大程度上决定了企业的内部控制制度能否顺利实施,也大大影响着内部控制的效率和效果。在会计信息化条件下,应该注重培养管理人员的内控观念和信息观念,理解企业信息化建设、内部控制和企业发展的关系。随着企业流程重组和组织结构变革,管理人员必须更新观念,有效实施内部控制制度,注重管理实效,对企业进行现代化管理。
3、加强董事会的建设,发挥董事会的作用和职能。企业应当以董事会作为内部控制系统的核心,加强董事会建设,发挥董事会的作用和职能,完全履行其监控、引导和监督的责任,消除内部人控制现象,完善内部控制环境,保证内部控制的有效运行。
(二)正确地进行风险评估和风险分析
会计信息化后,由于会计信息系统自身的特点,增加了会计工作的风险。主要包括:第一,开发和设计中存在的风险。由于系统研发人员对会计工作的不了解或者考虑问题不全面,致使实际工作中的情况不能与系统相吻合,容易出现差错,从而导致的风险。第二,操作不规范和玩忽职守造成的风险。第三,计算机维护不当造成的风险。会计信息都储存在磁介质中,如果计算机维护不当,容易使会计信息丢失或被删改。第四,不可控制的风险。如突然断电、自然灾害、病毒攻击、黑客侵入等。这些都是会计信息化所带来的风险。管理者必须对这些风险进行正确的评估和分析,才能防患于未然,有效地进行内部控制。
1、系统操作控制。由于操作系统的用户较多,加上自身的缺陷,系统面临着来自各方面的潜在威胁。因此,必须对系统操作进行严格的控制。首先,要明确规定每个用户的安全级别和身份标识,并分别定义具体的访问对象。每个岗位的人员只能按照所授予的权限对系统进行操作,不能越权使用。其次,要对进出机房的人员进行登记,对运行系统的事件类型、用户身份、操作时间、系统参数和状态以及系统敏感资源进行实时监视和记录,并对日志文件定期进行安全检查和评估。由于企业实行会计信息化后内部控制重点的转变,企业必须对会计数据的输入、输出和处理过程进行严格的控制。在会计核算软件中,对输入过程的控制,首先是授权控制,输入的数据必须经过授权,没有经过授权的输入应当是无效的。其次要保证输入数据的正确性,通过各种手段对输入过程进行控制。一般的软件在研发时就对相应数据的输入格式和类型进行了规定,但是为了保证数据的正确性,需要采用重复输入校验的手段进行控制,可以是同一人多次输入,也可以是不同的人各自输入进行校验。输出控制的目的是保证结果的完整性和正确性。输出的数据同样也应有授权,如对用户进行访问范围控制等,并对发送对象已经发送的数量有明确的规定和记录。对于数据在传输过程中的控制可以采用顺序编码的方式,并对数据发送和接收的时间进行记录,便于日后查询。
2、系统维护控制。系统的维护是指日常为保障系统正常运行而对系统硬软件进行的安装、修正、更新、扩展、备份等方面的工作,包括硬件维护和软件维护。硬件维护主要包括定期进行检查并做好记录;在系统运行过程中出现硬件故障要及时进行故障分析并做好记录。而软件维护包括正确性维护、适应性维护和完善性维护。在软件修改、升级和硬件更换过程中,要保证实际会计数据的连续和安全,并由有关人员进行监督。
3、信息化会计档案管理的控制。会计档案管理的目标是要做到任何情况下数据都不丢失、不损毁、不泄露、不被非法侵入。通常采用的控制包括接触控制、丢失数据的恢复与重建等,而数据的备份则是数据恢复与重建的基础,是一种常见的数据控制手段,采用磁性介质保存会计档案要定期进行检查和定期复制,防止由于磁性介质损坏而使会计档案丢失。网络中利用两个服务器进行双机镜像映射备份是备份的先进形式。
(三)完善IT控制措施
针对风险评估的结果,在会计信息系统方面需要实施具体的IT控制措施,包括IT管理类控制措施,如开发管理、项目管理、变更管理、安全管理、运营管理、职责分离,授权审批等,以及IT技术类控制措施,如数据加密、访问控制、数字签名、隧道(VPN)、防病毒、入侵检测、身份管理、权限管理等。下面将以网络会计信息系统中较为先进的数据加密技术和数字签名技术为例进行介绍。
数据加密技术是保护信息通过公共网络传输和防止电子窃听的首选方法。现代加密技术分为对称加密(专用密钥,private key)和非对称加密(公开密钥,public key)两大类。对称加密法是最传统的方式,其特点是关联双方共享一把专用密钥进行加密和解密运算,专用密钥法面临的最大难题是密钥网上分发的安全性问题。非对称加密法1976年问世,它将密钥一分为二,即一把公钥和一把私钥,具有加密钥不同于解密钥、并且在计算上不能由加密钥推出解密钥的特点,有效解决了密钥分发的管理问题,特别适合计算机网络的应用环境。譬如总公司对下属企业公开其“密钥对”中的公钥,下属企业可以用公钥对上报的报表信息加密,安全地传送给总公司,然后由总公司用其保留的私钥进行解密。
数字签名是指在Internet环境下,电子符号代替了会计数据,磁介质代替了纸介质,财务数据流动过程中的签字盖章等传统手段将完全改变,为验证对方身份、保证数据真实性和完整性,在计算机通信中采用数字签名这一安全控制手段。基于数字签名还可建立不可否认机制,也就是说,只要用户或应用程序已执行某一动作,就不能否认其行动。数字签名是上述公开密钥密码技术的另一类应用。它的主要方式如:会计信息的披露方从信息文本中通过一种信息摘要算法产生一固定长度(如128位)的摘要值,用自己的私钥对摘要值加密,来形成披露方的数字签名,连同原文一起发出;关联方首先用同样的摘要算法对报文计算摘要值,接着再用披露方一同发来的公钥对数字签名解密,如果两个摘要值相同,证明信息在发送途中未被篡改,而且报文确定来自所称的披露方。财务系统中远程处理时可用数字签名技术代替签字盖章的传统确认手段,当然这得是在国家有相应的财务制度许可的条件下。
(四)建立信息与沟通机制
企业建立健全了规章制度和业务流程之后,如何贯彻落实?这就需要企业有相应的信息和沟通机制,它是整个内部控制系统的生命线,为管理层监督各项活动和在必要时采取纠正措施提供了保证,包括信息发布渠道和反馈机制。如:企业领导层的政策方针要通过信息发布渠道下达给企业员工,这是一个是自上而下逐步灌输的过程。还要有一个自下而上的反馈机制,企业员工发现风险,发现问题,要通过汇报机制逐层汇报给上级部门,这样就能避免很多问题的发生。作为内部控制的重要组成部分的会计信息系统内部控制也是如此,会计信息系统的主要目的是记录、处理、存储、归纳和交流信息,任何交易必须能够追踪其从发生到终止的过程,所有交易必须在系统中留下审计线索,为内部控制提供保证。
(五)建立健全监督检查机制
整个内部控制的过程必须施以恰当的监督检查,通过监督检查活动在必要时对其加以修正。这里所指的监督检查主要包括4个方面:职业道德的约束,公司应成立由董事长、财务总监、首席法律顾问等组成的“职业道德遵行委员会,负责调查违反行为准则的人员;通过外部审计,检查和确认财务报告的合法性、公允性和一贯性;通过内部审计,对内部各部门的财务、管理、效益进行审计;加强集团对分部的监控和分部的内部控制状况。
其中,内部审计是监督检查最常用的途径。企业应该设立内部审计部门,并定期或不定期地对企业的会计信息系统进行审计。内部审计应包括:对会计资料定期进行审计,会计信息化系统账务处理是否正确;审查机内数据与书面资料的一致性;监督数据保存方式的安全、合法性,防止发生非法修改历史数据的现象;对系统运行各环节进行审查,防止存在漏洞等。
三、结束语
《企业内部控制基本规范》的颁布实施将对我国企业的内部控制发展产生重大影响,实施会计信息化的单位应该结合信息化内部会计控制的目标和特点,提出更高的控制要求,扩大有效的控制范围,采取更好的控制方式,重新构建一套较为完善的内部会计控制体系,从而规范单位的会计行为,提高会计信息的可靠性、有用性,保证其对单位内部管理与外部信息服务的作用,以增强企业的竞争能力和生存能力,从而进一步发挥会计信息化的优势。
参考文献:
1、企业内部控制课题研究组.企业内部控制基本规范解读及应用指南[M].中国商业出版社,2009.
2、薛剑虹.基于信息技术的会计信息系统内部控制问题研究[J].中国管理信息化,2007(8).
(作者单位:东莞南博职业技术学院。作者为会计师)
转载注明来源:https://www.xzbu.com/2/view-428932.htm
