劉建軍

摘要：文章對EPP與內(nèi)部控制進(jìn)行了闡述，分析了內(nèi)部控制與ERP管理系統(tǒng)的關(guān)系。同時(shí)提出了內(nèi)部控制風(fēng)險(xiǎn)防范應(yīng)采取的措施。

關(guān)鍵詞：ERP企業(yè)內(nèi)部控制風(fēng)險(xiǎn)防范措施

中圖分類號：17270.7文獻(xiàn)標(biāo)識碼：A

文章編號：1004-4914(2009)05-248-01

隨著電子計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，以ERP為核心的企業(yè)管理信息化在中國取得了蓬勃的發(fā)展，使得企業(yè)內(nèi)部控制面臨新的機(jī)遇與挑戰(zhàn)。如何適應(yīng)ERP環(huán)境，建立與之相適應(yīng)的內(nèi)部控制制度，已經(jīng)成為社會各界關(guān)注的焦點(diǎn)。

一、ERP與內(nèi)部控制概述

1ERP概述。ERP即企業(yè)資源計(jì)劃(Enterprise Resource Plannin曲。是一個(gè)對企業(yè)資源進(jìn)行有效共享與利用的系統(tǒng)。ERP通過信息系統(tǒng)對信息進(jìn)行充分整理、有效傳遞，使企業(yè)的資源在購、存、產(chǎn)、銷、人、財(cái)、物等各個(gè)方面能夠得到合理的配置與利用，從而實(shí)現(xiàn)企業(yè)經(jīng)營效率的提高。從本質(zhì)上講，ERP是一套信息系統(tǒng)，是一種工具。ERP在系統(tǒng)設(shè)計(jì)中可集成某些管理思想與內(nèi)容，可幫助企業(yè)提升管理水平。ERP作為企業(yè)信息化建設(shè)的核心組成部分，它的優(yōu)勢不僅僅在于幫助企業(yè)建立一套信息化管理系統(tǒng)，更重要的是它是體現(xiàn)現(xiàn)代管理思想和方法的一種先進(jìn)工具。

2內(nèi)部控制概述。內(nèi)部控制，是指企業(yè)為實(shí)現(xiàn)經(jīng)營目標(biāo)，確保會計(jì)信息真實(shí)可靠，保護(hù)資產(chǎn)安全完整，遵循有關(guān)法律法規(guī)和規(guī)章制度，提高企業(yè)運(yùn)營的經(jīng)濟(jì)性、效率性和效果性，而制定和實(shí)施相關(guān)政策、程序和措施并予以合理保證的過程。內(nèi)部控制確定了四個(gè)目標(biāo)：資產(chǎn)的安全性、財(cái)務(wù)信息的可靠性和準(zhǔn)確性、經(jīng)營成果的效率性、法律法規(guī)的遵從性。從這四個(gè)目標(biāo)我們可以看出內(nèi)部控制不直接產(chǎn)生經(jīng)濟(jì)效益，而是通過控制風(fēng)險(xiǎn)、規(guī)避風(fēng)險(xiǎn)、提高運(yùn)行效率為提高經(jīng)濟(jì)效益作保障。

二、內(nèi)部控制與ERP管理系統(tǒng)的關(guān)系

1ERP是內(nèi)部控制的工具和手段之一。內(nèi)部控制的目標(biāo)基本涵蓋了企業(yè)經(jīng)營活動的全部內(nèi)容，而ERP作為信息系統(tǒng)，是為企業(yè)經(jīng)營目標(biāo)服務(wù)的。在COSO的內(nèi)部控制框架中，信息與溝通是貫穿整個(gè)內(nèi)部控制系統(tǒng)的要素。ERP作為信息集成系統(tǒng)，可以承擔(dān)量化信息的篩選、集輸、溝通。在ERP系統(tǒng)的設(shè)計(jì)、開發(fā)、實(shí)施、運(yùn)行、維護(hù)及管理中，可以把內(nèi)部控制體系中對信息的總體控制和應(yīng)用控制要求加以體現(xiàn)，比如，在ERP的設(shè)計(jì)階段就可以把信息安全、系統(tǒng)變更管理等思想和要求加以考慮，以致這些要求最終成為組織內(nèi)部所共同遵守的標(biāo)準(zhǔn)。內(nèi)部控制系統(tǒng)隨著時(shí)間、環(huán)境條件、所應(yīng)用的控制方法的變化而不斷變化，ERP就是在內(nèi)部控制系統(tǒng)發(fā)展的歷程中某個(gè)時(shí)點(diǎn)上的一種相對完美的控制工具和手段。內(nèi)部控制五要素中控制活動的手段可以分為人工控制和自動控制，通過ERP實(shí)施控制活動就是典型的自動控制。對于一些不能通過自動控制來實(shí)現(xiàn)的控制活動，還要應(yīng)用人工控制，比如，我們對于難以量化需要以職業(yè)判斷為主的控制手段“危險(xiǎn)信號”的控制；對于不在ERP線上的其他信息系統(tǒng)控制(如與員工上下班的IC卡控制)，等等。

2ERP本身是內(nèi)部控制的客體。ERP是由主觀意識的人設(shè)計(jì)和進(jìn)行具體操作的，其最前端輸入的數(shù)據(jù)決定其產(chǎn)出產(chǎn)品的質(zhì)量，“垃圾輸入決定了垃圾輸出”。若輸入錯(cuò)誤的數(shù)據(jù)，其影響也一樣會遍及企業(yè)整個(gè)范圍和相關(guān)角落，最終可能導(dǎo)致嚴(yán)重的管理決策錯(cuò)誤，而該數(shù)據(jù)源則由人為控制著，具有一定的主觀性；另外，ERP同其他信息系統(tǒng)一樣也面臨著諸如財(cái)產(chǎn)價(jià)值、法律責(zé)任、資產(chǎn)安全等風(fēng)險(xiǎn)，也需要對其進(jìn)行有效的控制。

3ERP具有一定的局限性。ERP作為信息技術(shù)，它是企業(yè)管理工具和手段的一種，如上文所述，它不能代替所有的管理工具和技術(shù)；ERP業(yè)務(wù)復(fù)雜，運(yùn)作和維護(hù)成本高，規(guī)模較小的企業(yè)不適合采用該技術(shù)；ERP各模塊是根據(jù)業(yè)務(wù)實(shí)際設(shè)置的，沒有標(biāo)準(zhǔn)化的模型，所以對于不同類型的企業(yè)，ERP的內(nèi)容也不盡相同，這對于經(jīng)營范圍廣的大型企業(yè)集團(tuán)來講就很難設(shè)置統(tǒng)一量化的考核評價(jià)標(biāo)準(zhǔn)等等。

從上面的分析可以看出，ERP就是一種管理和控制的工具和手段，它的優(yōu)勢在于最大化的信息集成，并把特定的管理要求固化，但是它本身并不創(chuàng)造控制體系；對內(nèi)部控制體系而言，它是自動控制和信息與溝通的—個(gè)重要組成部分；對企業(yè)所面臨的風(fēng)險(xiǎn)而言，企業(yè)仍需要通過建立內(nèi)部控制體系，提高風(fēng)險(xiǎn)管理水平，規(guī)避和弱化企業(yè)經(jīng)營管理過程中遇到的各類風(fēng)險(xiǎn)。

三、內(nèi)部控制風(fēng)險(xiǎn)防范的措施

1轉(zhuǎn)變管理觀念。ERP系統(tǒng)實(shí)施的重點(diǎn)是對傳統(tǒng)企業(yè)管理觀念的根本變革，其成功實(shí)施的先決條件是正確的指導(dǎo)思想、實(shí)用的軟件與有效的實(shí)施方法共同作用的結(jié)果。首先，企業(yè)最高決策層人員要深入了解ERP系統(tǒng)所包含的管理思想，充分認(rèn)識本企業(yè)存在的問題，明確管理轉(zhuǎn)變的思路，建立一支善于開拓思路、掌握計(jì)算機(jī)軟硬件知識且具有ERP系統(tǒng)實(shí)施經(jīng)驗(yàn)、了解系統(tǒng)實(shí)施規(guī)律的高素質(zhì)實(shí)施隊(duì)伍。其次，ERP系統(tǒng)的成功實(shí)施也離不開企業(yè)全體員工的大力支持和積極參與。這要求企業(yè)用先進(jìn)的組織方式改革原來傳統(tǒng)的管理結(jié)構(gòu)，促使企業(yè)向管理機(jī)構(gòu)高效化、管理人員專業(yè)化、管理方式民主化轉(zhuǎn)變，使得企業(yè)普通員工有機(jī)會參與整個(gè)實(shí)施過程；同時(shí)要加強(qiáng)員工培訓(xùn)，使企業(yè)所有員工在思想上對ERP系統(tǒng)有正確的認(rèn)識。只有深刻理解、全面消化吸收了新的管理思想，并結(jié)合企業(yè)實(shí)際情況加以運(yùn)用，才能真正做到降低內(nèi)部控制風(fēng)險(xiǎn)。

2系統(tǒng)工作環(huán)境控制。為保證系統(tǒng)安全，企業(yè)應(yīng)該實(shí)施一系列控制措施來保證網(wǎng)絡(luò)安全，比如運(yùn)行專用的網(wǎng)管軟件進(jìn)行網(wǎng)絡(luò)監(jiān)控，采用專用內(nèi)容過濾技術(shù)阻止各種惡意內(nèi)容的入侵，限制來路不明的軟件在系統(tǒng)主機(jī)上安裝等，最大程度地控制了網(wǎng)絡(luò)攻擊和惡意軟件帶來的風(fēng)險(xiǎn)。同時(shí)要加強(qiáng)員工的信息安全意識防止人為誤操作風(fēng)險(xiǎn)。培養(yǎng)員工的信息安全觀念，進(jìn)行信息安全控制的再教育，使員工在進(jìn)行業(yè)務(wù)處理時(shí)能依據(jù)企業(yè)集團(tuán)的信息安全方針進(jìn)行信息安全控制和風(fēng)險(xiǎn)防范。另外，要對硬件設(shè)備特別是關(guān)鍵設(shè)備進(jìn)行定期檢測，及時(shí)發(fā)現(xiàn)和解決問題。

3業(yè)務(wù)流程控制。應(yīng)用控制指的是對會計(jì)信息系統(tǒng)中具體數(shù)據(jù)處理功能的控制。不同的應(yīng)用系統(tǒng)對應(yīng)不同的方法。ERP系統(tǒng)中的應(yīng)用控制一般由輸入控制、處理控制、輸出控制三部分組成。由于具體數(shù)據(jù)的處理由事先設(shè)計(jì)的模塊自動核算，一般來說只要軟件運(yùn)行正常就不會出現(xiàn)差錯(cuò)，所以ERP系統(tǒng)的應(yīng)用控制重點(diǎn)是輸入和輸出的控制。輸入是會計(jì)系統(tǒng)的主要信息入口，也是出錯(cuò)的主要環(huán)節(jié)。輸入控制的重點(diǎn)在于對輸入過程的控制，最重要的是完整性控制。通常通過設(shè)置各種約束條件的檢驗(yàn)來加以控制，如試算平衡控制，對每筆分錄和借貸方進(jìn)行平衡校驗(yàn)，防止輸入金額出錯(cuò)。又如二次輸入法，將數(shù)據(jù)先后兩次輸入或同時(shí)由兩人分別輸入，經(jīng)對比后確定輸入是否正確等。輸出控制最重要的目標(biāo)是保證各種輸出結(jié)果的真實(shí)性、完整性和正確性，可以通過權(quán)限控制、記錄登記操作等實(shí)現(xiàn)。

另外，ERP系統(tǒng)的運(yùn)用會給業(yè)務(wù)流程帶來新的系統(tǒng)風(fēng)險(xiǎn)，鑒于此，企業(yè)需要從整體上采取更加充分有效的措施加以控制，如通過風(fēng)險(xiǎn)評估手段確定企業(yè)關(guān)鍵的業(yè)務(wù)流程，定期審核關(guān)鍵業(yè)務(wù)流程的內(nèi)部控制，確保整個(gè)流程中存在恰當(dāng)?shù)闹坪恻c(diǎn)，設(shè)立敏感業(yè)務(wù)交易訪問限制等。

4權(quán)限控制。權(quán)限控制的基本目的在于防止未經(jīng)授權(quán)的內(nèi)部人員擅自動用系統(tǒng)的各種資源。信息系統(tǒng)環(huán)境下的權(quán)限控制始于系統(tǒng)初始設(shè)置階段，即通過系統(tǒng)管理員(或系統(tǒng)維護(hù)員)對工作人員、工作范圍等進(jìn)行設(shè)置(輸入相關(guān)的數(shù)據(jù))；每個(gè)崗位人員采用口令或密碼按照所授予的權(quán)限對系統(tǒng)進(jìn)行操作，不得超越權(quán)限接觸系統(tǒng)。同時(shí)，由于系統(tǒng)維護(hù)人員能直接接觸會計(jì)數(shù)據(jù)庫、會計(jì)軟件和熟悉信息系統(tǒng)技術(shù)的關(guān)鍵人員，他們的有意作案或無意的誤操作所造成的影響很難估量，所以必須用嚴(yán)格的制度約束他們。

5內(nèi)部審計(jì)控制。內(nèi)部審計(jì)是內(nèi)部控制的一種特殊形式，它是了解內(nèi)部控制是否有效運(yùn)作并達(dá)到預(yù)期效果的手段之一。權(quán)威、獨(dú)立是內(nèi)部審計(jì)有效的前提，所以內(nèi)部審計(jì)機(jī)構(gòu)在形式和實(shí)質(zhì)上都應(yīng)保持其相對獨(dú)立性，最好直接由董事會或下屬的審計(jì)委員會領(lǐng)導(dǎo)。

(作者單位：中原油田分公司財(cái)務(wù)資產(chǎn)部河南濮陽457001)

(責(zé)編：若佳)