会计信息系统视角看内部控制构建

摘 要：内部控制制度是现代企业在进行经济管理活动的一种管理手段,中国于2010 年4月发布了《企业内部控制基本规范》相关配套指引,指导企业规范内部控制制度,其中《企业内部控制应用指引》中的第18号指的就是《企业内部控制应用指引第18号——信息系统》.基于会计信息系统视角谈谈对企业内部控制的看法.

关 键 词 ：信息系统；会计；内部控制

中图分类号：F275.2 文献标志码：A 文章编号：1673-291X（2013）06-0093-02

前言

萨班斯—奥克斯利法案（简称SOX）的颁布引起了国内外理论界和实务界对内部控制的高度关注.随后在2006年,中国财政部与证监会、审计署、银监会、保监会等多部门合作,成立了内部控制标准委员会.2008年6月,财政部等五部委联合发布了《企业内部控制基本规范》,它被喻为中国版的萨班斯法案.

2010年4月,财政部等五部委制定了《企业内部控制规范配套指引》,包括《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制审计指引》.其中《企业内部控制应用指引》的第18号即“信息系统”指出为了促进企业有效实施内部控制,提高企业现代化管理水平,减少人为因素,根据有关法律法规和《企业内部控制基本规范》,制定了这条18号指引.

由此可见,企业内部控制已经成为涉及多方面的一项重要事,并且表明了政府对内部控制在信息系统方面的运用实施的重视.

一、基于会计信息系统的内部控制建设的理论研究

制度规范方面,1995年,财政部发布《会计法》,指出单位应该“加强内部会计监督”.2001年,财政部陆续发布《内部会计控制规范—基本规范》等七项内部会计控制规范.2002年,中国人民银行发布《商业银行内部控制指引》.2005年,银监会发布《商业银行内部控制评价试行办法》.2006年11月8日,企业内部控制标准委员会发布了《企业内部控制规范——基本规范》和17个具体规范的征求意见稿.2008年6月28日,五部委（没有国资委）联合发布了中国首部《企业内部控制基本规范》；2010年4月,财政部等五部委制定了《企业内部控制规范配套指引》.

学术研究方面,中国关于内部控制的研究主要集中于规范性研究.朱荣恩等（2003）、张宜霞（2007）、韩洪灵等（2009）对内部控制的产生原因、发展过程及其概念的界定进行了阐述.孟焰等（2010）则介绍了萨班斯法案404 条款执行效果,并分析可以借鉴的一些经验.而从会计信息系统角度出发对内部控制展开的研究文献显得更少,学术界对这一方向的研究文献很少,大多是实务界的人士的研究文献.李金华（2002）阐述了会计电算化与内部控制的关系.徐爱敏、范钦亮、衣兵（2010）研究了会计信息化与内部控制的关系,并对会计信息化环境下的内部控制设计提出了建议.庞艳敏（2010）、于学晶（2011）谈论了会计电算化环境下内部控制的建立与完善.

二、基于会计信息系统的内部控制建设实务情况

近年来,中国许多企业也在逐步推广内部控制的建设,但对于一个个情形不同的企业而言,其企业环境也存在着很多不同的地方,那么如何建立适用一个个不同企业的内部控制制度也成为了关键问题.

企业内部控制应用指引第18号指出,该信息系统,是指企业利用计算机和通信技术,对内部控制进行集成、转化和提升所形成的信息化管理平台.企业利用信息系统实施内部控制至少应当关注下列风险：（1）信息系统缺乏或规划不合理,可能造成信息孤岛或重复建设,导致企业经营管理效率低下.（2）系统开发不符合内部控制要求,授权管理不当,可能导致无法利用信息技术实施有效控制.（3）系统运行维护和安全措施不到位,可能导致信息泄漏或毁损,系统无法正常运行.

例如,手工会计系统中,内部控制的方式主要是人员和职位的内部牵制制度,另外,企业的经济业务都记录在纸张上,由手工录入各种证、 账、表.而在会计信息化后,由于会计账务的处理都是通过会计软件来实现的,会计部门传统的内部控制措施已经不起作用.这种情况下的会计信息的安全性大大降低,人们修改或删除数据变得很容易,并且可以做到不留痕迹.在实务中,各方面的研究不止于此,很多从计算机的数据安全性问题、操作人员的权限问题、维护人员的权限问题等方面对内部控制的建设进行了研究和探讨.同时,由于计算机具有强大的数据处理能力、稳定的运行状态,具有按规定的程序及逻辑判断严格执行的固有特点,使其具备满足企业内部控制涉及面广、控制节点多、控制程序与方法繁杂、控制信息量大等方面要求的性质.现将内部控制与会计信息系统结合以来研究,并求在企业推广适用以提升企业整体的效益是有现实意义的,且也是势在必行的.

借鉴实务界人士的研究发现,以实施内部控制的方式和对象为例,对会计信息系统环境下实施内部控制的方式和对象的变化作简单阐述.

1.会计信息化使企业内部控制的方式发生改变.内部控制制度建立的基本原则是职权以及不相容职务相分离的原则.在这一原则的基础上,人们在手工会计业务处理程序的各个关键环节,设立了相应的稽核制度.而在会计信息化环境下,会计业务集中化处理,依会计程序制定计算机内部控制措施.随着互联网环境的形成,会计业务处理范围变大使实时处理成为可能,原来应由几个部门按预定步骤完成的业务事项可集中在一个部门甚至由一个人完成.实行信息化后,许多业务处理程序被大大简化,大部分处理由计算机完成,一些内部牵制措施无法执行,会计人员无法直接参与和控制,控制效率低,其审查、稽核机制被削弱.

2.会计电算化使企业内部控制的对象发生改变.在传统会计环境下,人是控制实施的主体.在会计业务处理过程中,企业的经济业务发生都记录在纸张上,而且按会计数据处理的不同过程分为原始凭证、记账凭证、会计账簿和会计报表,这些纸质原件的数据若被修改,很容易辨别痕迹.而且每个环节都必须经过某些具有相应权限人员的签章,层层复核、道道把关.在会计信息化环境下,会计人员面对的是会计信息系统；经济业务各环节处理的成败和效率不仅取决于“人”的因素,还取决于“机”的因素.因此,在会计电算化环境下内部控制的对象重点由对人的控制为主转变为对人、计算机和互联网的控制. 总结

信息系统的内部控制是计算机应用于信息系统所产生的特殊控制,用来预防、发现和纠正系统中的错误、舞弊和故障,使系统正常运行并提供及时、可靠的财务和业务信息.

从会计信息系统视角看内部控制建设的问题,提出以下看法：

1.内部控制是一种企业文化,是促进企业良好发展的一种手段.在实行会计信息化的企业里,认识到内部控制的重要性是前提,不论是信息系统的开发人员、操作人员、或是维护人员,都需要在执行上进行内部控制.

2.企业信息系统的开发与建立要考虑企业内部控制与企业管理的基础,要符合企业的管理现状,符合企业内部环节与企业文化,考虑企业所处行业的状况及自身经营状况以及对信息化有利于企业改善内部控制和其他管理作用的认识程度.同时,应当将生产经营管理业务流程、关键控制点和处理规则嵌入系统程序,实现手工环境下难以实现的控制功能.企业实施信息化不能脱离企业的实际情况,否则就会成为空中楼阁毫无用途,甚至对企业的内部控制起到相反作用.

3.从信息系统上看,还必须要先解决计算机层面的问题,例如系统的操作安全性,程序的操作控制等,输入、输出控制,数据处理控制等,存储介质及设备的安全性等.同时对于必需的后台操作,应当加强管理,建立规范的流程制度,对操作情况进行监控或者审计.此外还需要结合内部控制,在信息系统中设置操作日志功能,确保操作的可审计性.对异常的或者违背内部控制要求的交易和数据,应当设计由系统自动报告并设置跟踪处理机制,以体现内部控制在信息系统中的作用.

4.从会计管理层面上看,还要符合财务制度、企业规章上的规定,例如通过岗位的设置和权责的划分,形成一种相互监督、相互牵制的机制等.内部稽核和内部审计既是内部控制系统的重要组成部分,也是强化会计内部监督的制度安排.在会计信息化系统中,是“人”和“机”相互协同、共同执行的形态,这对内部稽核和内部审计提出了更高、更严格的要求.

5.企业的会计信息系统需要建立成一个循环的过程,在运行过程中某一环节出现问题进行循环判断,或者进行授权处理等.例如按照职责设置计算机会计主管、软件操作、审核记账、电算维护、电算审查、数据分析等岗位,保证组织结构设置的精简、合理.如果某一环节出现错误或故障应需要相应的岗位及授权对这一错误或故障做处理,并将信息反馈给内审部门,再有内审部门对这类事件进行审核.

6.在会计信息系统中实行内部控制,是“人机”结合,为此,对内部控制制度实施情况进行监控的同时还需要一定的激励机制.