- 相關推薦
企業信息化環境下內部控制的思考
在人類跨入21世紀之際，由信息技術所引發的全球信息化浪潮沖擊著傳統社會生活的每一個角落。信息技術的，開創了人類智力解放的新紀元，是現代革命的重要標志。信息技術的滲透到了國民和社會發展的各個領域和各個層次，對人類社會的、經濟和文化等方面都產生了巨大的沖擊，各行各業都面臨著信息化的挑戰。在我國，“大力推動全社會的信息化，以信息化帶動化”的戰略已經深入人心。信息技術在中的運用日益廣泛和深入，電算化、管理信息系統（MIS）、企業信息系統（EIS）、企業資源規劃（ERP）、客戶關系管理（CRM）、商務（EC）、虛擬企業等概念和應用層出不窮。企業信息化促使企業的組織形式、管理體制、控制要點等等發生重大的變化。企業組織結構趨向扁平，管理人員越來越依賴于信息系統經營和控制企業，電子商務將成為新世紀中全球貿易的發展方向。企業信息化給企業的內部控制提出了新的挑戰。信息技術對內部控制產生了哪些？內部控制應該如何改變才能適應變化？企業應該如何加強信息化環境下的內部控制？這些正是本文擬探討的。
一、內部控制及其構成要素
，對內部控制較為權威的定義是美國COSO委員會提出的內部控制整體框架概念。COSO委員會于1992年提出報告《內部控制-整體框架》，并于1994年進行了增補。COSO委員會認為，內部控制是由企業董事會、經理階層和其他員工實施的，為營運的效率效果、財務報告的可靠性、相關法令的遵循性等目標的達成而提供合理保證的過程。其構成要素應該來源于管理階層經營企業的方式，并與管理的過程相結合。具體包括五要素：（1）控制環境。控制環境是指對建立、加強或削弱特定政策、程序及其效率產生影響的各種因素�？刂骗h境塑造企業文化，影響企業內部各成員的控制意識、企業內部控制的貫徹和執行以及企業經營目標和整體戰略目標的實現�？刂骗h境的構成因素是多方面的。（2）風險評估。當今世界市場競爭日趨激烈，企業經營風險不斷增加，企業的內部控制必須從企業風險的入手，了解自身所面臨的風險，并適時加以處理。（3）控制活動�？刂苹顒邮谴_保管理階層的指令得以實現的政策和程序。傳統的控制活動主要包括：交易授權、職責分離、監管、業務記錄、接觸控制和獨立稽核。（4）信息和溝通。企業必須保證企業內部的員工能夠取得他們在執行、管理和控制企業經營過程中所需的信息，使員工順利履行其職責。（5）監督。整個內部控制的過程必須施以恰當的監督，通過監督活動在必要時對其加以修正。內部審計和對控制的自我評估是最重要的兩項監督。
二、企業信息化對內部控制的影響
�。ㄒ唬┢髽I信息化如何影響內部控制（how）？
為了分析企業信息化對內部控制造成了什么影響，我們必須先分析企業信息化改變了企業哪些方面，從而對內部控制產生影響，即企業信息化是如何影響內部控制的。
1.信息技術在企業中的應用提高了企業的業務流程的自動化程度，業務流程中的一些環節被省略或合并。而且隨著電子商務的發展，企業間交易的自動化程度也將得到提高。內部控制的具體實施是根據業務流程的各個環節以及交易方式來進行的，因此，業務流程的自動化不可避免地對內部控制的各個要素以及控制理念等產生不同程度的影響。
2.企業信息化改變了數據和信息的獲取方式。傳統方式下，原始數據的獲取靠的是企業員工肉眼觀察、手工計數或使用儀器測量。在信息化條件下，可以利用傳感設備全自動地獲取所需的數據或信息。例如：用裝有重量感應裝置的貨架自動測量存貨數量、用自動監控裝置代替值班人員等等。利用自動傳感設備具有高度自動化、準確性高、24小時不間斷、數據實時獲取、不受惡劣環境影響等優點，為企業實施更有效的內部控制提供了基礎。
3.企業信息化改變了信息存儲的方式，存儲介質由紙變為磁盤或光盤。與紙介質相比，磁介質或光介質具有存儲密度大、擦寫不留痕跡的特點，對內部控制的影響是雙方面的。存儲密度大使得企業可以集中保存數據和信息資源，便于對其加以保護，但一旦毀損或被盜將使企業遭受更大的損失。擦寫不留痕跡使得數據被篡改的可能性增大，需要加強內部控制。
4.企業信息化提高了信息處理的效率。在信息化環境下，借助機的高速處理能力，能夠使得信息處理的速度大為加快，效率大為提高。然而，這對內部控制的影響也是雙方面的。一方面，信息處理效率的提高有利于企業實施更復雜更有效的控制措施和控制，提高內部控制的效果和效率。另一方面，借助高速的信息處理能力，企業員工或管理當局造假的能力也能得到提高，例如：利用隨機數產生程序偽造應收款項或存貨的金額、利用報表編制程序快速編制多份虛假財務報表等等。這又要求企業加強內部控制。
5.企業信息化改變了信息的傳遞方式。信息化環境下的信息傳遞，改變了手工環境下的傳票、報告、電話等方式，利用電纜、光纜、無線電波等以光速傳遞信息，而且傳遞的信息量遠非傳統方式可比，為企業加強內部控制提供了基礎。但如果信息傳遞過程中受到了阻礙或破壞，也將給企業帶來更大的損失。
6.企業信息化提高了信息的集成性。在完善的企業信息系統的支持下，企業領導足不出戶，就能夠在電腦屏幕前對遍布世界的跨國公司了如指掌。輕點幾下鼠標就能成交生意、調動資金、指揮員工。企業信息系統為企業加強內部控制提供了基礎，同時也對企業的內部控制提出了更高的要求。
7.企業信息化提高了信息的價值。在信息，人們對信息資源的利用能力得到提高。人們已經認識到企業的數據和信息資源，是企業最寶貴的資產之一。而信息是無形的，與有形的資產相比，對信息的竊取更隱蔽，更不易被發現。這要求內部控制不但要保護有形資產，更要對企業的數據和信息資產加以保護。同時應當針對信息的特點，采用有效的保護措施。
8.企業信息化將對人造成一定的影響。在信息化環境下，人們可能越來越多地通過計算機進行聯系和溝通，人與人之間的直接接觸將有所減少。網絡世界的無形性和匿名性將對人的心理造成一定的影響，從而影響控制環境。
�。ǘ┢髽I信息化對內部控制造成了什么影響（what）？
1.企業信息化不影響內部控制的目標
設定目標是任何一個人造系統的首要環節。內部控制的目標決定了內部控制的要素、手段及其他組成部分。雖然它不是內部控制的組成要素，但卻是內部控制的先決條件，也是促成內部控制的要件。企業信息化雖然對企業產生了深遠的影響，但是并沒有改變企業經營管理的目標。因此，內部控制作為企業管理的一個組成部分，其總體目標也沒有改變，仍然是達到營運的效率和效果、財務報告的可靠性以及遵循相關法令。當然，各項具體的控制活動和控制措施中的子目標應該根據具體的情況有所變化。
2.企業信息化對內部控制五要素的影響
�。�1）對控制環境的影響
控制環境的構成因素是多方面的，主要包括：企業的治理機制、組織結構與權責分派體系、企業管理者的素質、品行與管理、企業文化、信息系統、人力資源政策及實務等等。企業信息化將影響企業的治理機制。通過完善的企業信息系統，董事會、監事會可以更及時更全面的了解企業的全面信息，因而可以更好地進行戰略制定、經理人員選擇和績效評價、企業運營情況監控等等，對企業進行更好的治理。小股東可以以較低的成本通過網絡在線參加股東大會，而不必因為路途遙遠等原因放棄自己的權利，可以更好地維護自身的利益。信息化將使企業組織結構趨向扁平化，管理層次減少。
信息化對企業管理者的素質提出了更高的要求。企業所面臨的商務環境競爭加劇、變化加速，管理者所能獲得的信息量倍增，信息技術和信息系統在企業中的作用日益重要，這些都要求管理者不但要有更強的把握信息、利用信息的能力，在運營管理企業中利用好信息資源，而且要有對信息、信息技術和信息系統重要性和風險的認識和理解，制定良好的IT戰略和IT規劃。
在網絡環境下，人與人之間的直接接觸將有所減少。網絡世界的無形性和匿名性將對人的心理造成一定的影響，使部分人誤以為借助網絡為非作歹不容易被抓住，從而可能降低犯罪的心理閥值。信息資產價值的提高可能誘使掌握它的管理人員將其買給競爭對手的犯罪行為，而由于信息的無形性、可拷貝性，信息的泄密不易被發現。再者網絡的遠程接入性也給犯罪分子提供了方便，他們只要獲得一個登錄密碼就可能通過網絡侵入系統，竊取企業重要的信息資產，或是使信息系統崩潰，而不必像盜竊有形資產那樣需要翻墻入室、避開警衛等麻煩之舉。這些均對管理人員的品行和道德水平提出了更高的要求。同時也需要企業加強對信息資產、信息技術和信息系統的內部控制，通過良好的管理手段和技術手段降低風險。
�。�2）對風險評估的影響
在企業信息化環境下，業務流程的自動化降低了業務處理過程中源于人員疏漏或舞弊的風險。但另一方面，企業的運營管理越來越依賴于信息系統，信息在企業中的作用日趨重要，信息化環境促使信息存儲高度集中、單位時間傳遞的信息量大為提高，這些都增加了與信息資產和信息系統相關的風險。信息化環境下，如果信息系統失靈或崩潰，重要信息被竊，都將給企業帶來不可估量的損失。因此，企業應當作好有關信息資產和信息系統方面的風險評估，建立良好的IT治理機制，減少災難的發生以及災難發生時的損失。
（3）對控制活動的
控制活動必須根據業務流程的情況和具體的控制點進行設置，因此，控制活動受到企業信息化的直接影響。信息化環境下的控制活動分為兩部分：自動化業務控制和信息系統控制。自動化業務控制的控制對象仍然是企業的生產經營過程，但其形式和控制手段發生了很大變化。它以機程序的形式嵌入于企業信息系統之中，對業務的控制由計算機自動完成。信息系統控制是企業為了保證信息系統正確性、完整性和安全性而采取的控制措施，其控制對象是企業信息系統，包括計算機軟硬件資源、系統、數據和相關人員等等信息系統的所有組成要素。隨著技術和商務的，信息系統控制還必須考慮網絡安全和電子商務控制的。自動化業務控制和信息系統控制對控制活動有著不同要求，使得傳統的六類控制活動都有一定的變化。
信息化環境下的交易授權可以由計算機程序自動完成，使得授權過程不明顯，控制的失效往往在發生損失后才被察覺。因此，管理者對交易授權的關注應該轉移到對相關計算機程序的正確性和完整性的檢查上。
在信息化環境下，計算機能夠避免人類通常會犯的錯誤或舞弊，手工環境下的一些不相容的職責可以由計算機來執行，所以職責分離和員工的相互檢查成為不必要的控制活動。同樣，也沒有必要針對自動業務流程進行監管和獨立稽核。然而，對于信息系統的開發、實施、維護和操作等活動，職責分離、監管以及獨立稽核仍然是重要的控制措施。
在信息化環境下，業務記錄不再是書面的簽章、編碼、交叉索引等，而是通過登錄密碼、操作日志等技術手段進行業務記錄，其有效性受信息系統的正確性、完整性和安全性的影響。
在信息化環境下，對計算機硬件設備的接觸控制與傳統方式下并無太大的區別，主要通過實物防護措施來進行。但對于信息資產的接觸控制，由于網絡的遠程接入性，應當通過防火墻、操作員權限設置、登錄密碼安全策略、信息系統審計等等技術手段和管理措施加以實現。
�。�4）對信息和溝通的影響
企業信息化對內部控制的信息和溝通這一要素產生了有利的影響。在完善的企業信息系統的支持下，企業員工能夠更好地取得他們在執行、管理和控制企業經營過程中所需的信息，使員工順利履行其職責。當然，也要警惕信息技術可能帶來的信息過量的問題，以及借助高速信息處理能力造假的問題。
（5）對監督的影響
借助信息技術，可以使一部分的監督過程自動完成，并且可能實現實時監督，從而提高監督的效果和效率。應當注意的是，對信息系統的開發、實施和維護過程所進行的監督應當成為監督的重點。同時，“控制自我評估（CSA，Control
【企業信息化環境下內部控制的思考】相關文章：
上市公司內部控制環境的探討06-04
從海爾的發展歷程看企業內部控制環境建設02-24
內部控制審計評價初探06-03
建立內部控制審計與組織效率06-03
企業內部控制失控的表現03-29
淺談內部審計風險控制（精選7篇）04-26
證券公司內部控制指引06-03
企業內部控制失控的原因分析08-09
內部控制規范與上市公司治理06-08
企業內部控制不可或缺06-02