在推進(jìn)會計系統(tǒng)計算機(jī)化和網(wǎng)絡(luò)化過程中,企業(yè)的傳統(tǒng)內(nèi)部控制安全受到了巨大沖擊和挑戰(zhàn),信息技術(shù)的廣泛應(yīng)用使得原來基于權(quán)力制約和崗位分置的內(nèi)部控制逐步發(fā)展成為以信息流為基礎(chǔ)的信息技術(shù)內(nèi)部控制[1],內(nèi)部控制方式在信息技術(shù)的影響下也發(fā)生了根本性的變革。
一、會計信息系統(tǒng)內(nèi)部控制的理論框架
在信息化過程中,有關(guān)國家政府和國際性組織已考慮到了信息技術(shù)對內(nèi)部控制的巨大影響,并發(fā)布了內(nèi)部控制規(guī)范或模型。這些規(guī)范或模型,可為構(gòu)建我國會計信息系統(tǒng)的內(nèi)部控制框架提供借鑒和參考。
(一)內(nèi)部控制的理論框架
1. COSO的《內(nèi)部控制——整合框架》
美國COSO委員會于1992年、1994年先后發(fā)布修訂了《內(nèi)部控制——整合框架》,該報告是迄今為止對內(nèi)部控制最為全面的描述。報告中指出,內(nèi)部控制是由控制環(huán)境、風(fēng)險評價、控制活動、信息與溝通、監(jiān)控等5個相互關(guān)聯(lián)的要素構(gòu)成的。內(nèi)部控制目標(biāo)、內(nèi)部控制要素及內(nèi)部控制主體三者之間存在直接的關(guān)系,共同構(gòu)成一個理想的內(nèi)部控制整體框架[2]。COSO框架關(guān)于信息技術(shù)對內(nèi)部控制的影響的規(guī)范集中體現(xiàn)在對信息系統(tǒng)本身的控制,COSO框架在“控制活動”要素部分規(guī)范了對信息系統(tǒng)的控制,并把信息系統(tǒng)的控制分為一般控制和應(yīng)用控制兩大類。一般控制也稱為總體控制,包括數(shù)據(jù)中心操作控制、系統(tǒng)軟件控制、接觸安全控制和應(yīng)用信息系統(tǒng)開發(fā)和維護(hù)的控制;應(yīng)用控制是指嵌入于各業(yè)務(wù)流程之中的借助于信息系統(tǒng)來實(shí)現(xiàn)的控制,應(yīng)用控制有助于保證交易處理及授權(quán)的完整性、準(zhǔn)確性和有效性。COSO框架包含了對信息系統(tǒng)更多的關(guān)注,但這個框架的建立仍基于傳統(tǒng)的內(nèi)部控制理論,比如仍依賴于崗位分置和監(jiān)控等活動[1]。
2. 英國《Turnbull報告》
《Turnbull報告》提出了“四要素”論,即控制環(huán)境、控制活動、信息與溝通、監(jiān)督檢查。Turnbull報告是以風(fēng)險控制為主導(dǎo),并以原則導(dǎo)向制定的,這些內(nèi)控規(guī)定更利于企業(yè)結(jié)合實(shí)際情況后貫徹執(zhí)行,并可降低建立和執(zhí)行內(nèi)部控制的成本。而傳統(tǒng)規(guī)則導(dǎo)向的內(nèi)部控制規(guī)定很容易增加公司上市和維持上市的成本。Turnbull報告強(qiáng)調(diào)董事會必須對公司內(nèi)部控制系統(tǒng)的建設(shè)負(fù)總責(zé),尤其應(yīng)關(guān)注風(fēng)險管理的核心問題,如公司面臨風(fēng)險的性質(zhì)和程度、公司承受風(fēng)險的能力、風(fēng)險發(fā)生的可能性、實(shí)行風(fēng)險控制的成本以及從風(fēng)險管理中獲得的收益。
(二)信息技術(shù)環(huán)境下的信息系統(tǒng)風(fēng)險與控制框架
1. 國際組織的信息系統(tǒng)內(nèi)控COBIT框架
20世紀(jì)90年代開始,隨著互聯(lián)網(wǎng)在世界范圍的應(yīng)用,各種各樣的信息系統(tǒng)成為各種業(yè)務(wù)處理的核心。然而,互聯(lián)網(wǎng)使信息資源在發(fā)揮巨大作用的同時,也產(chǎn)生了眾多不安全因素,給企業(yè)帶來了巨大的風(fēng)險。人們越來越清楚地意識到有效管理和控制信息及相關(guān)信息技術(shù)是進(jìn)入信息化社會的可靠保障,信息技術(shù)對內(nèi)部控制的影響已經(jīng)得到社會各方的重視[3]。在這個背景下,信息系統(tǒng)審計與控制基金會(ISACF)開發(fā)了信息及相關(guān)技術(shù)管理控制框架(COBIT),這個框架是信息技術(shù)管理的通用標(biāo)準(zhǔn)。它吸收了世界上信息控制領(lǐng)域和其他多個領(lǐng)域已被接受的標(biāo)準(zhǔn),以幫助人們了解并管理與信息技術(shù)相關(guān)的風(fēng)險。COBIT框架吸收了ITSEC、TCSEC、 ISO 9000、SPICE、TicklT、Common Criteria等認(rèn)證標(biāo)準(zhǔn),形成一套專供企業(yè)經(jīng)營者、信息技術(shù)專家、MIS審計員強(qiáng)化和評估信息技術(shù)管理和控制的規(guī)范。COBIT框架由信息系統(tǒng)管理和控制的6個相互關(guān)聯(lián)的部分——管理者摘要、框架、應(yīng)用工具、管理指導(dǎo)、控制目標(biāo)、審計指南組成[4]。在COBIT的高級控制指標(biāo)中,包括信息技術(shù)評價指標(biāo)、信息技術(shù)資源及信息技術(shù)過程。其中,信息技術(shù)評價指標(biāo)主要從質(zhì)量、成本、時間、資源利用率、系統(tǒng)效率、保密性、完整性、可用性等方面來保證信息的安全性、可靠性、有效性;信息技術(shù)資源主要包括人、應(yīng)用系統(tǒng)、技術(shù)、設(shè)施及數(shù)據(jù)等與信息相關(guān)的資源,這是信息技術(shù)處理過程的主要對象;信息技術(shù)過程則從信息技術(shù)的規(guī)劃與組織、采集與實(shí)施、交付與支持、監(jiān)控等4個方面確定了34個信息技術(shù)處理過程,每一個處理過程是一系列關(guān)聯(lián)的信息技術(shù)活動或任務(wù)。由此可以看出,與COSO框架不同的是,COBIT框架的重點(diǎn)集中于利用信息技術(shù)來達(dá)到企業(yè)的目標(biāo)和實(shí)施內(nèi)部控制,這是對COSO等傳統(tǒng)的內(nèi)部控制框架的補(bǔ)充和發(fā)展。這個框架通過應(yīng)用中強(qiáng)調(diào)信息技術(shù)和企業(yè)目標(biāo)一致、信息技術(shù)幫助企業(yè)運(yùn)營和最大化收益、信息技術(shù)資源被負(fù)責(zé)地運(yùn)用以及信息技術(shù)風(fēng)險被適當(dāng)?shù)毓芾韥韺?shí)現(xiàn)信息技術(shù)治理。COBIT將企業(yè)的內(nèi)部控制和信息技術(shù)的應(yīng)用融為一體,對于我們建設(shè)有關(guān)信息技術(shù)條件下的內(nèi)部控制規(guī)范極具參考價值[5]。因此,COBIT從體系化、標(biāo)準(zhǔn)化的高度,構(gòu)建了關(guān)于信息系統(tǒng)投資、建設(shè)、評估、風(fēng)險控制的知識框架,超越了傳統(tǒng)的產(chǎn)品與服務(wù)的概念,是會計信息化事業(yè)與內(nèi)部控制新的發(fā)展思路。
2 . OECD的信息系統(tǒng)安全指導(dǎo)方針
過去有關(guān)信息安全的研究,大多側(cè)重于確保信息安全技術(shù)的應(yīng)用,然而信息安全的維護(hù)不能僅靠應(yīng)用信息安全技術(shù),建立相應(yīng)的管理政策、健全信息系統(tǒng)的內(nèi)部控制將更為有效。信息安全管理系統(tǒng)(ISMS)就是在信息安全的強(qiáng)烈需求下應(yīng)運(yùn)而生的。1992年11月OECD的24個會員國決議采用信息、計算機(jī)與通訊政策組織(ICCP)訂立的“信息系統(tǒng)安全指導(dǎo)方針”。進(jìn)而在2002年第1 037次理事會會議上發(fā)布了新的信息系統(tǒng)安全指導(dǎo)方針,將信息安全提升到了文化高度,涵蓋了從安全認(rèn)知到安全職責(zé)等9個方面的內(nèi)容,其中包括意識、責(zé)任、響應(yīng)、道德、民主、風(fēng)險評估、安全設(shè)計和實(shí)施、安全管理以及再評估等[4]。
3. 《電子系統(tǒng)保證與控制》(eSAC)
針對企業(yè)信息系統(tǒng)內(nèi)部控制問題,在1994年的《系統(tǒng)可審計性與控制》所建立的第一個與信息技術(shù)業(yè)有關(guān)的SAC內(nèi)部控制框架的基礎(chǔ)上,美國內(nèi)部審計協(xié)會(IIA)于2001年根據(jù)信息系統(tǒng)領(lǐng)域發(fā)生的新變化構(gòu)建了一個更為現(xiàn)代化的信息系統(tǒng)控制框架——電子系統(tǒng)保證與控制框架(eSAC),整個框架包括控制環(huán)境、人工控制系統(tǒng)和自動控制系統(tǒng)、把控制融入系統(tǒng)的控制程序等三部分[4]。eSAC為有效的技術(shù)風(fēng)險管理設(shè)置了一個平臺,為評估電子商務(wù)控制環(huán)境提供了一個框架;也有助于對客戶、管制者、管理當(dāng)局和董事會理解和管理信息技術(shù)風(fēng)險提供保證,為管理層和審計師理解、評估與減輕技術(shù)風(fēng)險提供了新的框架。
eSAC報告提出,傳統(tǒng)的控制觀點(diǎn)在現(xiàn)行的電子信息系統(tǒng)和網(wǎng)絡(luò)的環(huán)境下已經(jīng)不再適用了,因?yàn)楝F(xiàn)在需要將基礎(chǔ)設(shè)施和商業(yè)應(yīng)用過程聯(lián)系起來考慮,在這樣的環(huán)境下對于控制過程可以分為一般控制及應(yīng)用控制,一般控制包括保護(hù)數(shù)據(jù)的安全性和保密性、項(xiàng)目和記錄的安全性以及物理安全性;應(yīng)用控制包括授權(quán)的交易被完整的記錄、所有的交易只被系統(tǒng)處理一次、交易處理和記錄的準(zhǔn)確性等。雖然eSAC模型的出發(fā)點(diǎn)是針對電子系統(tǒng)的控制,但為我們發(fā)展信息技術(shù)條件下內(nèi)部控制模型,將重點(diǎn)放在控制環(huán)境、一般控制和應(yīng)用控制上提供了參考[1]。
4. TrustServices框架
TrustServices是AICPA和CICA在2003年4月發(fā)布的評價網(wǎng)絡(luò)信任服務(wù)和系統(tǒng)信任服務(wù)的原則框架。它將信息系統(tǒng)控制的標(biāo)準(zhǔn)分為5個:安全性、可獲得性、過程完整性、隱私安全性和保密性,并將其標(biāo)準(zhǔn)和原則歸入了4個方面進(jìn)行評價:政策、溝通、程序和監(jiān)督。TrustServices框架是用來識別信息技術(shù)給企業(yè)帶來的風(fēng)險和機(jī)會,并且可以評價企業(yè)信息系統(tǒng)控制有效性的,它可以定義一個在特定的時間和環(huán)境條件下無實(shí)質(zhì)性錯誤進(jìn)行運(yùn)營的比較可靠的系統(tǒng),所以用它的標(biāo)準(zhǔn)來設(shè)立信息技術(shù)條件下的內(nèi)部控制關(guān)鍵點(diǎn),從而發(fā)展相應(yīng)的信息技術(shù)內(nèi)部控制模型很有價值[1]。TrustServices框架比COBIT框架相對狹義,但它將基礎(chǔ)設(shè)施和商業(yè)應(yīng)用過程聯(lián)系起來考慮,在這樣的環(huán)境下對于控制過程可以分為一般控制及應(yīng)用控制,一般控制包括保護(hù)數(shù)據(jù)的安全性和保密性、項(xiàng)目和記錄的安全性以及物理安全性,應(yīng)用控制包括授權(quán)的交易被完整地記錄、所有的交易只被系統(tǒng)處理一次、交易處理和記錄的準(zhǔn)確性等。
5. 日本的《財務(wù)報告內(nèi)部控制的評價和監(jiān)督準(zhǔn)則》
日本也高度重視信息技術(shù)對內(nèi)部控制的影響,其特色是直接將“對信息技術(shù)的應(yīng)用”作為內(nèi)部控制的一個基本組成部分。在日本的《財務(wù)報告內(nèi)部控制的評價和監(jiān)督準(zhǔn)則》中指出,內(nèi)部控制由6個基本部分組成:控制環(huán)境、風(fēng)險評估與應(yīng)對、 控制活動、 信息與溝通, 監(jiān)控和對信息技術(shù)的應(yīng)用[1]。這個框架很類似COSO框架,但將對信息技術(shù)的應(yīng)用單獨(dú)作為內(nèi)控框架的一部分,在控制環(huán)境、監(jiān)控等方面也強(qiáng)調(diào)了信息技術(shù)的影響。
根據(jù)以上初步探討,會計信息系統(tǒng)內(nèi)部控制的理論分析框架如圖1所示。
二、構(gòu)建中國會計信息系統(tǒng)內(nèi)部控制框架的理論與規(guī)范
我國理論界也密切注意著信息技術(shù)環(huán)境下企業(yè)內(nèi)部控制制度的變化,有的學(xué)者進(jìn)一步探討了信息系統(tǒng)環(huán)境下企業(yè)內(nèi)部控制制度的構(gòu)建,試圖建立一種“數(shù)據(jù)—系統(tǒng)—網(wǎng)絡(luò)”的內(nèi)部控制體系,以適應(yīng)信息技術(shù)應(yīng)用的特點(diǎn)[2];有的學(xué)者研究利用信息技術(shù)改善控制程序、增強(qiáng)控制手段,將信息技術(shù)有效地集成到業(yè)務(wù)和信息過程中,借助于信息技術(shù)來防范與控制經(jīng)營風(fēng)險[3,6,7] ;許永斌(2000)在對互聯(lián)網(wǎng)會計信息系統(tǒng)的風(fēng)險進(jìn)行分析的基礎(chǔ)上,提出相應(yīng)的解決措施:在企業(yè)內(nèi)部實(shí)現(xiàn)操作系統(tǒng)控制、會計數(shù)據(jù)資源控制、系統(tǒng)維護(hù)控制、應(yīng)用控制、計算中心控制、組織控制和工作站點(diǎn)控制;在企業(yè)外部實(shí)現(xiàn)周界控制、大眾訪問控制、電子商務(wù)控制、遠(yuǎn)程處理控制等[8]。這些研究推動了我國新經(jīng)濟(jì)下內(nèi)部控制制度的發(fā)展與創(chuàng)新。由于信息技術(shù)控制存在的技術(shù)風(fēng)險會影響所有(或大部分)財務(wù)報表的可靠性,甚至影響企業(yè)的生存[9]。因此,多數(shù)學(xué)者的研究仍然是以技術(shù)層面為主,尚未深入探討過信息時代內(nèi)部控制框架發(fā)生怎樣的深刻變化。 2007年3月,財政部內(nèi)部控制標(biāo)準(zhǔn)委員會頒布了《企業(yè)內(nèi)部控制規(guī)范》(征求意見稿),使我國企業(yè)內(nèi)部控制規(guī)范上了一個臺階。此次的內(nèi)控規(guī)范,增加了基于信息技術(shù)系統(tǒng)的內(nèi)部控制政策與程序,強(qiáng)調(diào)了信息系統(tǒng)安全性。我國新的內(nèi)部控制規(guī)范明確且有條理地將內(nèi)部控制呈現(xiàn)在企業(yè)面前,這一標(biāo)準(zhǔn)將為企業(yè)會計信息系統(tǒng)內(nèi)部控制提供一個很好的引導(dǎo)。2009年1月,國家財政部關(guān)于推進(jìn)我國會計信息化工作的指導(dǎo)意見(征求意見稿)中提出,要積極推動會計信息系統(tǒng)與管理信息系統(tǒng)的有效集成,著力將會計準(zhǔn)則和內(nèi)部控制標(biāo)準(zhǔn)固化在信息系統(tǒng)中,力爭將會計師事務(wù)所內(nèi)部控制制度固化在管理信息系統(tǒng)中。在2009年1月1日起施行的《中國內(nèi)部審計具體準(zhǔn)則第28號——信息系統(tǒng)審計》中指出:信息技術(shù)內(nèi)部控制的各個層面都包括人工控制、自動控制和人工、自動相結(jié)合的控制形式,審計人員應(yīng)根據(jù)不同的控制形式采取恰當(dāng)?shù)膶徲嫵绦?。該?zhǔn)則基于COSO框架的評價方法,從被審計單位的控制環(huán)境、風(fēng)險評估過程、信息系統(tǒng)和溝通、控制活動、對控制活動的監(jiān)督等5個方面評價內(nèi)部控制系統(tǒng),但是諸多內(nèi)容基本上是原則性的。監(jiān)控活動可以分為3類:領(lǐng)導(dǎo)型監(jiān)控、職能型監(jiān)控和獨(dú)立型監(jiān)控。前兩者應(yīng)該完全嵌入管理信息系統(tǒng),后者則可相對獨(dú)立,即要建立相對獨(dú)立的信息化的審計系統(tǒng),包括審計管理系統(tǒng)和審計實(shí)施系統(tǒng)。對于大型組織而言,可能也需要向集成化、聯(lián)網(wǎng)化方向發(fā)展。
三、會計信息系統(tǒng)內(nèi)部控制的發(fā)展策略
1. 關(guān)注信息集成環(huán)境下的內(nèi)部控制。近些年來,一些管理信息系統(tǒng)正在向集成化、聯(lián)網(wǎng)化方向發(fā)展,目前,比較流行的管理信息系統(tǒng)有企業(yè)資源計劃系統(tǒng)(ERP )、供應(yīng)鏈管理系統(tǒng)(SCM)等。例如ERP系統(tǒng)集成了大量的子系統(tǒng),具有財務(wù)、銷售、生產(chǎn)、人力資源、質(zhì)量、決策支持等管理控制功能。因此,未來需要著重研究的是信息集成環(huán)境下的內(nèi)部控制框架如何構(gòu)建,比如信息集成對內(nèi)部控制具體的影響和沖擊,利用信息技術(shù)進(jìn)行控制與對信息技術(shù)的控制的關(guān)系等,這些問題將會影響到信息集成環(huán)境下的內(nèi)部控制規(guī)范,是值得我們著力突破的研究方向[1]。
2. 加強(qiáng)系統(tǒng)控制管理。系統(tǒng)控制是指與程序設(shè)計、運(yùn)行維護(hù)、數(shù)據(jù)處理過程、硬件設(shè)備等相關(guān)的可靠性控制制度。根據(jù)信息技術(shù)應(yīng)用下的企業(yè)內(nèi)部控制中新的控制風(fēng)險,企業(yè)應(yīng)加強(qiáng)在這幾方面的控制力度。它包括一般控制與應(yīng)用控制。一般控制幫助管理層確保系統(tǒng)能持續(xù)、適當(dāng)?shù)剡\(yùn)轉(zhuǎn),具體含有應(yīng)用系統(tǒng)開發(fā)、建立和維護(hù)控制、系統(tǒng)軟件與操作控制、數(shù)據(jù)和程序控制、存取安全控制、網(wǎng)絡(luò)安全控制等;應(yīng)用控制是對會計信息系統(tǒng)中具體的數(shù)據(jù)處理活動所進(jìn)行的控制,包括應(yīng)用軟件中的電算化步驟及相關(guān)的人工程序,劃分為輸入控制、計算機(jī)處理與數(shù)據(jù)文件控制和輸出控制[2]。
3. 遵循五要素原則。五要素原則的內(nèi)容在各個框架中都能融合,具有廣泛的適用性?？刂骗h(huán)境、風(fēng)險評估、控制活動、信息與溝通、監(jiān)督五要素是一個相互聯(lián)系、綜合作用的有機(jī)控制整體,使單純的控制活動與企業(yè)環(huán)境、管理目標(biāo)及控制風(fēng)險相結(jié)合,形成一套不斷改進(jìn)、自我完善的內(nèi)部控制機(jī)制[10]。更有利于企業(yè)董事會、經(jīng)理層和其他員工共同實(shí)施,為營運(yùn)的效率效果、財務(wù)報告的可靠性及相關(guān)法令的遵循性等目標(biāo)的達(dá)成提供合理保證。
4. 企業(yè)的內(nèi)控環(huán)境應(yīng)包括企業(yè)價值觀,企業(yè)文化、理念和使命,企業(yè)道德與誠信等,應(yīng)先行建設(shè)公司信息系統(tǒng)控制的制度與文化環(huán)境。如董事會的一些政策,比如商業(yè)行為的政策、關(guān)于欺詐行為的政策,還有關(guān)于公司內(nèi)部組織結(jié)構(gòu)安排的政策。另一方面是高層人員的道德情況表現(xiàn),以及他們對各種各樣錯誤所作出反應(yīng)的一致性。
5. 循序漸進(jìn),分步實(shí)施,設(shè)計一定的過渡期。會計信息內(nèi)部控制是一個系統(tǒng)工程,涉及企業(yè)信息技術(shù)應(yīng)用與安全、業(yè)務(wù)流程再造、機(jī)構(gòu)與人員的重整,需要投入大量的人、財、物,僅靠外部力量推動是不能達(dá)到效果的。
6. 建議按信息活動流程來確定信息系統(tǒng)內(nèi)部控制規(guī)范。在復(fù)雜的系統(tǒng)和發(fā)展的信息技術(shù)的條件下,準(zhǔn)則可能會滯后于實(shí)務(wù)的發(fā)展,按信息活動流程來實(shí)施管理,可避免內(nèi)部控制人員在面臨新問題、新情況時無所適從、無法可依。
主要參考文獻(xiàn)
[1] 章鐵生. 信息技術(shù)條件下的內(nèi)部控制規(guī)范 [J].會計研究,2007(7).
[2] 劉志遠(yuǎn),劉潔.信息技術(shù)條件下的企業(yè)內(nèi)部控制[J].會計研究,2001(12).
[3] 駱良彬,張白.企業(yè)信息化過程中內(nèi)部控制問題研究[J].會計研究,2008(5).
[4] 陳志斌.信息化生態(tài)環(huán)境下企業(yè)內(nèi)部控制框架研究[J].會計研究,2007(1).
[5] 陳志斌,何忠蓮.內(nèi)部控制執(zhí)行機(jī)制分析框架構(gòu)建[J].會計研究,2007(10).
[6] 歐陽電平,陳彥.信息技術(shù)環(huán)境下企業(yè)會計信息系統(tǒng)發(fā)展中的關(guān)系研究[J]. 財會通訊:學(xué)術(shù)版,2008(10).
[7] 鄭海英. 上市公司內(nèi)部控制環(huán)境研究[J].會計研究,2004(12).
[8] 許永斌. 基于互聯(lián)網(wǎng)的會計信息系統(tǒng)控制[J]. 會計研究,2000(8). [9] 唐志豪,計春陽,胡克瑾. 信息技術(shù)治理研究述評[J].會計研究,2008(5).
[10] 財政部會計司考察團(tuán).英國和法國企業(yè)內(nèi)部控制考察報告[J]. 會計研究,2007(9).
