【摘 要】信息技術(shù)在企業(yè)管理中的作用日益凸顯，這就要求企業(yè)必須加快信息化建設(shè)。企業(yè)信息化管理作為控制環(huán)境的一部分，深刻影響著會(huì)計(jì)系統(tǒng)和控制程序等內(nèi)部控制要素。信息管理系統(tǒng)能帶來(lái)諸多效益，但在信息化管理下的內(nèi)部控制制度也存在一些問(wèn)題，比如信息錄入的關(guān)鍵控制缺失，網(wǎng)絡(luò)化深入應(yīng)用帶來(lái)的信息安全風(fēng)險(xiǎn)等。本文旨在分析在信息化管理的新企業(yè)環(huán)境下，信息管理系統(tǒng)對(duì)內(nèi)部控制的影響以及應(yīng)有措施。

【關(guān)鍵詞】信息化管理 信息管理系統(tǒng) 內(nèi)部控制 風(fēng)險(xiǎn) 措施

引言

近年來(lái)，電子信息技術(shù)在企業(yè)管理領(lǐng)域的廣泛運(yùn)用，徹底改變了企業(yè)傳統(tǒng)信息的儲(chǔ)存和處理方式，從而適應(yīng)了現(xiàn)代企業(yè)對(duì)信息的高標(biāo)準(zhǔn)和高要求。信息化管理是時(shí)代發(fā)展的需要，對(duì)企業(yè)的積極作用是毋庸置疑的，但同時(shí)它又是一把“雙刃劍”，另一面帶來(lái)的風(fēng)險(xiǎn)不可忽視。由于企業(yè)內(nèi)部控制體系的不完善和有效控制手段的缺失，借助企業(yè)信息管理系統(tǒng)舞弊的案件屢有發(fā)生，而且這種行為具有危害大，隱蔽性強(qiáng)的特點(diǎn)。因此，研究信息化管理環(huán)境下企業(yè)內(nèi)控及風(fēng)險(xiǎn)控制具有十分重要的意義。

一、信息化管理及內(nèi)部控制的關(guān)系

信息化管理就是通過(guò)對(duì)信息數(shù)據(jù)的合理控制，實(shí)現(xiàn)資源高效配置，進(jìn)而提高企業(yè)生產(chǎn)效率和決策水平，為企業(yè)獲得持續(xù)競(jìng)爭(zhēng)能力提供了有力保障。而內(nèi)部控制，是指企業(yè)為實(shí)現(xiàn)經(jīng)營(yíng)目標(biāo)，確保信息真實(shí)可靠，保護(hù)資產(chǎn)安全完整，遵循有關(guān)法律法規(guī)和規(guī)章制度，提高企業(yè)運(yùn)營(yíng)的經(jīng)濟(jì)性、效率性和效果性而制定和實(shí)施相關(guān)政策、程序和措施予以合理保證的過(guò)程。美國(guó)會(huì)計(jì)師協(xié)會(huì)對(duì)內(nèi)部控制作出的權(quán)威性的定義：“內(nèi)部控制是企業(yè)所制定的旨在保護(hù)資產(chǎn)、保證會(huì)計(jì)資料可靠性和準(zhǔn)確性、提高效率，推動(dòng)管理部門所制定的各項(xiàng)政策得以貫徹執(zhí)行的組織計(jì)劃和相互配套的各種方法及措施。”

在實(shí)際運(yùn)作中，企業(yè)內(nèi)部控制很大程度上依賴其信息化水平，信息化水平越高，內(nèi)部控制得到的信息資源就越充分，實(shí)施效果就越明顯。同時(shí)，企業(yè)的信息化管理也給企業(yè)內(nèi)部控制帶來(lái)新的風(fēng)險(xiǎn)。首先，風(fēng)險(xiǎn)評(píng)估范圍拓寬。企業(yè)將所有信息高度集中于數(shù)據(jù)處理系統(tǒng)，一旦有不法分子利用病毒來(lái)竊取企業(yè)信息，可能使企業(yè)蒙受損失。企業(yè)通過(guò)風(fēng)險(xiǎn)識(shí)別、評(píng)估與防范新風(fēng)險(xiǎn)，這就拓寬了評(píng)估范圍。其次，設(shè)備使用風(fēng)險(xiǎn)加大。信息管理系統(tǒng)由硬件和軟件構(gòu)成。硬件存在許多不可抗因素，如跳電、物理?yè)p失、人為誤操作等，這些問(wèn)題的出現(xiàn)增加了內(nèi)部控制的難度。而軟件主要指運(yùn)行風(fēng)險(xiǎn)，如設(shè)計(jì)缺陷、與企業(yè)切合度不高、穩(wěn)定性不夠等都會(huì)帶來(lái)新的風(fēng)險(xiǎn)。第三，增加了道德風(fēng)險(xiǎn)。信息化建設(shè)需要企業(yè)內(nèi)部系統(tǒng)與外部網(wǎng)絡(luò)連接，這會(huì)使信息使用者或操作人員通過(guò)公用通訊線路干預(yù)系統(tǒng)的機(jī)會(huì)變大，從而可能產(chǎn)生非授權(quán)的訪問(wèn)、篡改等隱蔽性較大的舞弊行為。

由此可見(jiàn)，企業(yè)好比是一艘輪船，信息化是推動(dòng)器，而內(nèi)部控制是舵輪，只有兩者相互配合才能使行駛暢通無(wú)阻。

二、企業(yè)信息化環(huán)境下內(nèi)部控制風(fēng)險(xiǎn)問(wèn)題

（一）信息管理系統(tǒng)的數(shù)據(jù)來(lái)源，對(duì)信息質(zhì)量產(chǎn)生影響

信息管理系統(tǒng)經(jīng)常直接從其他系統(tǒng)采集數(shù)據(jù)，不必重新錄入，減少了數(shù)據(jù)錄入錯(cuò)誤的機(jī)會(huì)，也保證了數(shù)據(jù)的完整性及時(shí)性。但是從其他系統(tǒng)直接采集的數(shù)據(jù)如果本身有錯(cuò)誤，則該錯(cuò)誤可能會(huì)帶到內(nèi)部管理系統(tǒng)，管理人員被動(dòng)地接受其他系統(tǒng)生成的數(shù)據(jù)進(jìn)行處理，審核功能被削弱。由于實(shí)現(xiàn)了數(shù)據(jù)的快速傳輸與數(shù)據(jù)共享，數(shù)據(jù)生成部門或客戶如果反復(fù)更改同一經(jīng)濟(jì)業(yè)務(wù)的數(shù)據(jù)，也會(huì)給數(shù)據(jù)處理帶來(lái)不便。

（二）信息流與單證傳遞相脫節(jié)，原始憑證形態(tài)發(fā)生變化

當(dāng)企業(yè)的信息系統(tǒng)大規(guī)模聯(lián)網(wǎng)時(shí)，數(shù)據(jù)可以跨部門、跨地區(qū)傳輸，且傳輸?shù)乃俣葮O為迅速，而紙質(zhì)原始憑證卻不可能以同樣的速度在需求部門之間進(jìn)行傳遞，有些電子交易甚至沒(méi)有產(chǎn)生紙質(zhì)原始憑證。在這種情況下，數(shù)據(jù)處理時(shí)難以取得數(shù)據(jù)發(fā)生時(shí)產(chǎn)生的紙質(zhì)原始憑證，而只能依賴原始數(shù)據(jù)管理部門的數(shù)據(jù)處理憑證，如業(yè)務(wù)部門的數(shù)據(jù)交換憑證或數(shù)據(jù)匯總憑證等。

（三）網(wǎng)絡(luò)開(kāi)發(fā)環(huán)境使內(nèi)部控制壁壘變得脆弱

信息網(wǎng)絡(luò)技術(shù)的發(fā)展使信息管理系統(tǒng)發(fā)生了質(zhì)的變化，克服了以前單機(jī)信息系統(tǒng)的不足，使信息化管理環(huán)境下的內(nèi)部控制更加完善。然而網(wǎng)絡(luò)的開(kāi)放性、共享性、分散性也給信息管理系統(tǒng)的內(nèi)部控制帶來(lái)新的問(wèn)題，如重要信息通過(guò)網(wǎng)絡(luò)傳輸可能被截獲，收到病毒和黑客攻擊的機(jī)率變大等。從理論上說(shuō)，置于服務(wù)器上的任何信息都是可以被訪問(wèn)的，除非切斷物理連接才能避免外來(lái)非授權(quán)訪問(wèn)者的侵?jǐn)_。因此，企業(yè)必須定期對(duì)系統(tǒng)的安全性及內(nèi)部控制能力進(jìn)行評(píng)估，時(shí)時(shí)保持系統(tǒng)更新以降低網(wǎng)絡(luò)環(huán)境帶來(lái)的風(fēng)險(xiǎn)。

（四）信息和數(shù)據(jù)便于偽造，舞弊行為具有較大隱蔽性

在傳統(tǒng)管理模式下，所有數(shù)據(jù)都是以單、證、帳、表的形式出現(xiàn)，其作為核對(duì)憑證，修改困難，修改后有明顯痕跡，所以不便于偽造。而信息管理系統(tǒng)則完全不同，磁介質(zhì)代替紙張作業(yè)，對(duì)信息和數(shù)據(jù)篡改后可以輕易抹去任何痕跡。而且篡改和偽造的操作具有很強(qiáng)的隱蔽性，很難被發(fā)現(xiàn)。另外電磁介質(zhì)容易受損，所以系統(tǒng)上的信息和數(shù)據(jù)也存在丟失和毀壞的危險(xiǎn)。因此信息化管理環(huán)境下的內(nèi)部控制不僅難度大、復(fù)雜，而且對(duì)計(jì)算機(jī)安全技術(shù)也有較高的要求。

三、內(nèi)部控制在信息化管理環(huán)境下應(yīng)有的措施

（一）建立完整全面的內(nèi)控記錄文檔，制定內(nèi)部控制目標(biāo)

企業(yè)應(yīng)采用流程圖或文字描述的方式建立全面的控制文檔記錄，并對(duì)現(xiàn)有文檔記錄進(jìn)行持續(xù)的維護(hù)和更新。公司管理層要制定內(nèi)部控制目標(biāo)，并根據(jù)文檔記錄的控制點(diǎn)和風(fēng)險(xiǎn)點(diǎn)每年至少進(jìn)行一次正式的風(fēng)險(xiǎn)評(píng)估。信息管理系統(tǒng)實(shí)施之后，內(nèi)部控制評(píng)估的目標(biāo)通常包括下面這些內(nèi)容：

①對(duì)整個(gè)流程和控制的設(shè)計(jì)進(jìn)行評(píng)估，確定這些控制是否很好地滿足和支持最終業(yè)務(wù)目標(biāo)的實(shí)現(xiàn)。

②對(duì)崗位職責(zé)分離的評(píng)估，確保在整個(gè)流程中存在正確的稽核點(diǎn)和平衡點(diǎn)，對(duì)敏感業(yè)務(wù)交易給出足夠的訪問(wèn)限制。

③評(píng)估控制方式是否合理，比如基于手工流程的控制和基于系統(tǒng)的自動(dòng)控制是否搭配合理。

（二）堅(jiān)持不相容職務(wù)分離原則

企業(yè)在信息化管理環(huán)境下更要堅(jiān)持不相容職務(wù)分離原則，也就是要進(jìn)行職務(wù)分隔。內(nèi)部控制制度能夠保證企業(yè)內(nèi)部關(guān)鍵機(jī)構(gòu)、崗位的合理設(shè)置及其職責(zé)、權(quán)限的合理劃分。堅(jiān)持不相容職務(wù)互相分離，確保不同的機(jī)構(gòu)和崗位之間權(quán)責(zé)分明，互相制約，相互監(jiān)督。調(diào)整不適應(yīng)信息管理系統(tǒng)環(huán)境的崗位設(shè)置，完善各崗位職責(zé)，特別是管理崗位和稽核崗位，在不同崗位上加強(qiáng)預(yù)測(cè)、分析等職責(zé)，加強(qiáng)稽核對(duì)業(yè)務(wù)的指導(dǎo)、監(jiān)督、檢查等職責(zé)。

（三）前期，中期和后期控制相結(jié)合

在信息化管理環(huán)境下，企業(yè)內(nèi)部控制可簡(jiǎn)單劃分為前期，中期和后期控制三個(gè)階段。前期控制包括預(yù)算控制和權(quán)限控制兩個(gè)方面，屬于預(yù)防性控制類型。預(yù)算控制使得在發(fā)生經(jīng)濟(jì)業(yè)務(wù)時(shí)，系統(tǒng)能自動(dòng)將實(shí)際情況與預(yù)算目標(biāo)進(jìn)行比較，對(duì)不符合目標(biāo)的業(yè)務(wù)操作進(jìn)行否決或提請(qǐng)授權(quán)機(jī)構(gòu)決策；權(quán)限控制則能根據(jù)企業(yè)的組織結(jié)構(gòu)及員工的崗位職責(zé)，設(shè)置每個(gè)員工對(duì)系統(tǒng)的操作權(quán)限以及對(duì)信息的查詢范圍，系統(tǒng)將保證企業(yè)的各項(xiàng)業(yè)務(wù)活動(dòng)均是由被批準(zhǔn)或被授權(quán)的員工執(zhí)行。中期控制主要是對(duì)操作程序進(jìn)行控制，主要包括業(yè)務(wù)操作控制和會(huì)計(jì)系統(tǒng)控制。而后期控制則可以確保檢查報(bào)告的客觀性、可靠性，提高檢查效率、降低檢查成本，有利于企業(yè)及時(shí)發(fā)現(xiàn)在目標(biāo)實(shí)現(xiàn)及制度執(zhí)行過(guò)程中的各項(xiàng)偏差，屬于發(fā)現(xiàn)型控制類型。

（四）信息管理系統(tǒng)與其他接口數(shù)據(jù)的控制

企業(yè)在實(shí)際應(yīng)用中會(huì)遇到信息管理系統(tǒng)與其他系統(tǒng)數(shù)據(jù)接口問(wèn)題，如在開(kāi)發(fā)票時(shí)與稅務(wù)系統(tǒng)的接口，產(chǎn)品出入庫(kù)時(shí)與檢斤計(jì)量系統(tǒng)的接口等，企業(yè)信息管理系統(tǒng)和其他系統(tǒng)之間的接口是實(shí)現(xiàn)不同系統(tǒng)間數(shù)據(jù)和信息互聯(lián)互通的必需。由于不同系統(tǒng)的數(shù)據(jù)格式可能完全不同，為了實(shí)現(xiàn)數(shù)據(jù)的傳遞，就需要進(jìn)行一系列的轉(zhuǎn)換，因此這些位于不同系統(tǒng)之間的接口是一個(gè)重要的風(fēng)險(xiǎn)區(qū)域，內(nèi)控流程應(yīng)在系統(tǒng)接口點(diǎn)設(shè)置控制點(diǎn)，如設(shè)置訪問(wèn)權(quán)限，加強(qiáng)稽核等方式，防范控制風(fēng)險(xiǎn)發(fā)生。

（五）創(chuàng)新風(fēng)險(xiǎn)管理措施，推行風(fēng)險(xiǎn)在線監(jiān)控

依托信息管理系統(tǒng)平臺(tái)，從控制風(fēng)險(xiǎn)出發(fā)，針對(duì)信息化環(huán)境下內(nèi)部控制風(fēng)險(xiǎn)的新特點(diǎn)，權(quán)衡風(fēng)險(xiǎn)與收益，制定相應(yīng)的風(fēng)險(xiǎn)防范策略，建立“業(yè)務(wù)有流程，流程有標(biāo)準(zhǔn)，風(fēng)險(xiǎn)有控制”的內(nèi)部控制操作體系，以保障信息系統(tǒng)數(shù)據(jù)和信息安全可靠，從而更好地實(shí)現(xiàn)內(nèi)部控制目標(biāo)。企業(yè)應(yīng)同時(shí)開(kāi)展在線稽核，增強(qiáng)風(fēng)險(xiǎn)管理的針對(duì)性和時(shí)效性，應(yīng)結(jié)合全面風(fēng)險(xiǎn)管理，開(kāi)展信息系統(tǒng)風(fēng)險(xiǎn)梳理，建立統(tǒng)一的信息管理系統(tǒng)規(guī)則庫(kù)和風(fēng)險(xiǎn)預(yù)警指標(biāo)體系，運(yùn)用不同的業(yè)務(wù)稽核規(guī)則，稽核方案，稽核專題，通過(guò)系統(tǒng)的智能運(yùn)算，尋找各類數(shù)據(jù)疑點(diǎn)，形成稽核結(jié)論，實(shí)施風(fēng)險(xiǎn)全過(guò)程監(jiān)控，從而達(dá)到風(fēng)險(xiǎn)可控在控的目的。

結(jié)言

信息管理系統(tǒng)作為企業(yè)管理信息化進(jìn)程中一項(xiàng)重要的內(nèi)容，正逐步在企業(yè)中得到廣泛應(yīng)用。但是，當(dāng)我們關(guān)注其為企業(yè)帶來(lái)巨大的管理提升和經(jīng)濟(jì)效益的同時(shí)，也必須充分認(rèn)識(shí)到由于信息管理系統(tǒng)自身的特點(diǎn)所帶來(lái)的風(fēng)險(xiǎn)。針對(duì)這些風(fēng)險(xiǎn)，研究和制定信息化管理環(huán)境下企業(yè)的內(nèi)部控制策略，是信息管理系統(tǒng)應(yīng)用中不容忽視的新課題。