信息技术与企业内部控制

    信息技术的应用增加了企业内部控制的潜在风险，但同时，信息流程和业务流程的结合给企业内部控制效率的增强也带来了机遇。

    传统的内部控制制度是为防止舞弊和差错而形成的以内部稽核和相互牵制为核心的工作制度。由于内部控制理论的发展和信息技术的广泛应用，赋予了其新的内涵，发展成为以系统安全保障和管理控制相结合的控制体系。随着信息时代的到来，内部控制系统可以分为系统控制与管理控制两大类。 

    一、系统控制 

    系统控制是指与程序设计、运行维护、数据处理过程、硬件设备等相关的可靠性控制制度。根据信息技术应用下的企业内部控制中新的控制风险，企业应加强在这几方面的控制力度。 

    它包括一般控制与应用控制。一般控制帮助管理阶层确保系统能持续、适当地运转，具体含有应用系统开发、建立和维护控制，系统软件与操作控制，数据和程序控制、存取安全控制、网络安全控制等。应用控制是对会计信息系统中具体的数据处理活动所进行的控制，包括应用软件中的电算化步骤及相关的人工程序，划分为输入控制、计算机处理与数据文件控制和输出控制。 

    二、管理控制 

    管理控制是运用现代管理学的组织规划、资源使用限制等原理，制定的诸如业务流程、工作程序、岗位设置、职责分工、授权批准等一系列内部管理制度。信息技术的引进以及现代社会经济环境的崭新变化，使我们要在以往内部控制形式上注入新的特色。 

    1.完善内部控制环境，培养企业整体的信息技术能力。 

    企业为了适应控制环境的变化，需要从一个新的角度来看待信息技术，要重视公司进行网络化管理的整体的IT能力，而不是简单的建立诸如储存系统、存货控制系统等几个孤立的IT系统。 

    (1)建立健全组织结构与权责分派体系。 

    一般而言，内部控制的建设体现在两个方面：一是健全的结构，这是内部控制机制产生作用的硬件要素；二是各个内部机构间、各经办人员间的科学分工与牵制，这是内部控制机制产生作用的软件要素。网络技术突破了信息传递和信息处理的瓶颈，管理的幅度增长，层次减少，高耸性的组织结构逐渐趋于扁平。隐藏在这一表征后面的实质是从根本上对组织的人员和职能之间的关系的重新界定。 

    (2)强调内部控制框架中的“软控制”与人的重要性。
 
    内部控制由人来进行并受人的因素影响，保证组织内所有成员具有一定水准的诚信、道德观和能力的人力资源方针与实践是内部控制有效的关键因素之一。实践表明，基于环境现状构建内部控制机制是一种被动性的做法，故此，我们应越来越重视将道德规范、行为准则、能力素质的建设直接纳入内部控制结构的内容，更加强调“软控制”的作用。在信息技术环境下，企业尤其应该注重培养组织中人员的信息观念，理解企业信息化建设和管理改革、内部控制创新之间的关系，并重视和实现这个改革。 

    信息时代同样是知识经济的时代，企业发展将主要依靠科技、知识与人才。“人本主义”作为构建内部控制机制的信条已经越来越多地被企业接受，企业管理者应当重视对人员的选择、使用和培养，这不再单纯只是内部控制的环境因素，它也日益成为内部控制结构的有机组成部分。 

    2.评估与现行的业务过程和信息过程有关的风险，采用现代信息技术设计特定的控制程序。 

    对于内部控制的研究不可能脱离其赖以存在的环境及企业内外部各种风险因素，而必须从环境及其风险的分析入手。在内部控制制度下，先识别内部控制的目标，然后提出一系列相适应的控制政策和程序，某些风险需要特定的控制程序来控制。在IT高速发展的今天，信息的传播、处理和反馈的速度都大大加快了，由此导致企业会常常同时改变业务和信息过程，在这个改变过程中，不能再盲目地采用传统的控制政策和程序，而必须重新评价它，以适应新业务发展的需要。我们应把注意力集中在评估特定业务环境下的风险，而不是拘泥于特定的控制程序。 

    例如，职责分离是内部控制的一个重要组成部分。传统上，控制程序将不同的责任分派给不同的人员以期达到互相牵制。但随着IT的发展，许多传统上由人来做的工作可以由计算机来代替，自动控制处理代替了分离的人的角色，从而消除了一个人执行两项不相容的工作的风险。当然，计算机环境下也要有职责分离，例如，一旦某种软件被安装并用于执行某项功能以后，它的编码、运行和维护职责就必须相分离。应当说，职责分离仍然是形成内部控制的重要程序，但在IT背景下，这个程序的适用方式发生了变化。 

    所以，信息技术环境下的企业需要分离新的职责，取消旧的职责，以反映用来设计和运行系统的手段的更新。由此可见，为了不断改善内部控制，使其保持高标准，应识别与更高过程相关的风险，并制定相应的控制程序以有效地降低风险。而不能让特定的控制程序限制了对技术的使用，使用技术将会使业务运行的效率和准确率更高。 

    3.控制手段中应充分引入信息技术，增强内部控制。 

    一个有效的内部控制制度需要预防性的、检查性的和纠正性的控制。企业一旦检查出了错误和舞弊，应该纠正其影响；同时制定预防性控制措施以确保错误和舞弊不再发生。如果能事先预防错误和舞弊而不是事后检查和纠正，这样的内部控制制度将给企业带来更大的价值。传统的内部控制制度通常是根据已输出的会计信息在年末检查财务错误舞弊，大部分的内部控制的预防功能被限制了，这也同时影响了企业的所有者和经营者对内部控制制度的理解和重视程度。在信息技术环境下，广泛地使用信息技术为支持决策和改善业务与信息过程提供了战略机会，也提供了预防、检查和纠正错误或舞弊的机会。我们今天的技术水平已能在计算机中加入芯片，随时监控你的工作和运行程序，在你犯错或程序出现问题时及时提示你该做什么，或与技术支持相联系，向他们报告问题。因此，会计与审计人员在建立内部控制制度时，应充分考虑技术的能力，打破传统上独产的、反映的和检查性的模式，而具备“实时”的控制思想：即利用信息技术将控制嵌入到会计信息系统中，在更广泛的IT环境中来看待企业内部控制，针对关键控制点制定相应的控制手段，强调预防、业务操作和对规章制度的遵守情况，从传统管理的发现问题事后补救的做法，发展为做到事前预防和事中控制。 

    4.加强对会计信息系统的控制。 

    随着计算机在会计工作中的普遍应用，管理部门对由计算机产生的各种数据、报表等会计信息的依赖越来越大，这些会计信息的产生只有在严格的控制下，才能保证其可靠性和准确性。同时也只有在严格的控制下，才能预防和减少计算机犯罪的可能性。 

    信息技术为达到记录、维护和产生精确、完整和及时的信息这一目标带来了机遇。但是，当企业在系统的开发与应用时，应更加强调：在业务活动发生时，在有关数据进入企业数据库之前，检查这些数据的精确性、完整性和合法性。如果不恰当的数据出现在记录和维护过程中，将会对公司造成某种程度的伤害。一句老生常谈的话：垃圾进，垃圾出。如果不精确、不完整、不合法的数据被记录和维护，结果会影响以后的所有处理，包括错误的报告和信息利用的质量。 

    5.定期评估，重新设计规则。 

    新的技术带来了新的大部分人还没有意识到的风险，内部控制系统必须经常评估和更新。 

    没有哪一套规则在环境发生变化时还能很好的适应，所以，对专业人员来说，评估内部控制的有效性是非常重要的。既然控制程序和企业具体环境相关，当新的业务和信息流程提出后，控制目标应当保持不变，但为达到该目标的具体控制措施必须改变以适应新的环境，不要让内部控制程序限制能使企业运行更加有效的技术的使用。 

    6.正确处理传统内部控制方式与新型内部控制方式的关系。 

    随着计算机、网络等信息技术在会计中的广泛应用，一些传统的核对、计算、存储等内部会计控制方式都被计算机这个新型内部控制方式轻而易举地替代。但任何先进手段都是被人所指挥、所掌握，一些传统的企业内部会计控制制度如职务分离控制、业务程序控制等仍有自身生存和发展的土壤，仍将有效地发挥自己的积极作用。在采用新型内部控制手段时，要结合坚持传统有效的内部控制方式。否则，已经出现多起的利用高新技术和电脑舞弊犯罪之类的活动还会继续在我们身边发生。 

    新经济，新技术使企业的运行环境发生了根本性的变化，它给企业带来风险的同时也带来了控制风险的机会与工具。会计职业界应在传统的控制观念基础上，充分利用信息技术，开展内部控制的创新工作，建立与时代相适应的内部控制制度，满足企业管理的需要，为企业带来更大的价值。刘志远　刘洁