隨著會計信息化的發(fā)展,傳統(tǒng)的內(nèi)部控制方式已不能適應時代發(fā)展的要求,取而代之的應該是信息化的控制技術,即采用計算機技術、網(wǎng)絡通訊技術等將內(nèi)部控制的流程、關鍵控制點等固化在信息系統(tǒng)中,使企業(yè)內(nèi)部控制規(guī)范制度的設計與運行更加有效。
計算機和網(wǎng)絡通訊技術的引入使企業(yè)內(nèi)部控制系統(tǒng)變得相對復雜,不但增加了會計工作的內(nèi)容,同時也相應地增加了內(nèi)部控制的內(nèi)容。如信息化集成、流程控制、網(wǎng)絡系統(tǒng)安全的控制、軟硬件的維護與管理、系統(tǒng)管理人員與維護人員的崗位責任制度及其相互的牽制制度等都成為信息化條件下內(nèi)部控制的內(nèi)容。
目前學術界對內(nèi)部控制信息化的研究主要還停留在理論的層面上,尚未對信息化的物理層面和具體技術實施方案作進一步的研究。本文將在分析和總結(jié)內(nèi)部控制信息化所需解決的主要問題的基礎上,結(jié)合計算機和網(wǎng)絡安全技術對內(nèi)部控制信息化存在的問題提出相應的解決方案,為企業(yè)的內(nèi)部控制信息化提供一個可行的實施方案,促進內(nèi)部控制信息化的發(fā)展。
一、內(nèi)部控制信息化需要解決的主要問題
信息化環(huán)境下,企業(yè)實施了各自的信息化系統(tǒng),信息流、物資流和資金流高度集成,業(yè)務處理程序被簡化,大部分處理由計算機完成,但卻帶來一些內(nèi)部牽制措施無法執(zhí)行的問題,包括會計人員無法直接參與和控制,控制效率低,其審查、稽核機制被削弱等。此外,計算機技術和網(wǎng)絡通訊技術本身存在的可靠性、安全性等問題,也給企業(yè)內(nèi)部控制風險防范帶來了相應的難題。
1. 將內(nèi)部控制流程和關鍵控制點固化在信息系統(tǒng)中
會計信息是對企業(yè)經(jīng)濟活動情況的真實反映,其數(shù)據(jù)主要源自業(yè)務部門。信息化環(huán)境下,數(shù)據(jù)通過網(wǎng)絡由企業(yè)各個管理子系統(tǒng)直接采集,并通過公共接口與供銷商、稅務等外部系統(tǒng)相連接。相應的,內(nèi)部控制設計,要按照一定的方法,合理歸集、構建適應企業(yè)經(jīng)營管理狀況和內(nèi)部控制要求的相關子系統(tǒng),并通過控制流程圖發(fā)現(xiàn)可能發(fā)生錯誤或舞弊而需要控制的業(yè)務環(huán)節(jié),即控制點?？刂屏鞒?主要由控制點組成,是指依次貫穿于某項業(yè)務活動始終的基本控制步驟及其相應環(huán)節(jié)。此外,目前會計信息系統(tǒng)很難在不同生產(chǎn)商的會計系統(tǒng)和其他管理系統(tǒng)上實現(xiàn)完全的數(shù)據(jù)共享,但隨著虛擬企業(yè)的出現(xiàn),企業(yè)可以通過不同的協(xié)議獲取其他企業(yè)的資源,在與其他企業(yè)進行信息共享的同時,必須通過網(wǎng)絡在不同主題之間進行傳遞和復核,以實現(xiàn)內(nèi)部的實時控制和網(wǎng)絡控制。
因此,內(nèi)部控制信息化首先面臨的問題就是信息化集成的問題,即如何在已有的業(yè)務信息化系統(tǒng)之上有效地加入控制流程,同時加強信息系統(tǒng)之間的信息共享。
2.保證數(shù)據(jù)的可靠性和安全性
在信息化環(huán)境中,財務數(shù)據(jù)通過互聯(lián)網(wǎng)傳輸,憑證的填寫、審核通過人操作計算機完成,傳統(tǒng)的筆跡識別等辨別技術不復存在;會計記錄被存儲在磁介質(zhì)上,不便于實施簽字或蓋章等措施,而且容易被改動。另外,網(wǎng)絡環(huán)境的開放性使得數(shù)據(jù)存在被截取、篡改、泄露機密等安全風險,很難保證其真實性與完整性。于是,數(shù)據(jù)的安全性和可靠性,如何防止數(shù)據(jù)被非法修改及如何盡可能避免利用計算機進行犯罪是內(nèi)部控制信息化必須解決的問題。
3.合理控制會計信息系統(tǒng)的操作員權限,防止內(nèi)部失控
在會計信息化工作中,有兩類角色。一類是會計電算化工作的參與人員,包括基本的會計崗位人員和電算化會計崗位人員,這兩種崗位人員下面又可再細分,各自負責不同的工作,擁有不同的操作權限和數(shù)據(jù)訪問域,形成一個龐大的權限關系網(wǎng)。
另外一類是系統(tǒng)管理員,這個角色不參與會計工作,但起到維護和管理系統(tǒng)的重要作用。多數(shù)企業(yè)對于系統(tǒng)管理員與數(shù)據(jù)管理員、網(wǎng)絡管理員職權不分,往往賦予系統(tǒng)管理員過大的權力,諸如能夠調(diào)用系統(tǒng)的所有功能等,有時甚至完全超過了會計主管的權限,成為“超級管理員”。
因此必須對會計信息系統(tǒng)操作員的權限進行明確、合理的分配,對操作進行記錄和實時監(jiān)控,不能越權操作,更要控制不同權限操作員對不同安全級別的數(shù)據(jù)的可訪問性,防止內(nèi)部控制的失控。
4.保證會計系統(tǒng)的安全性和健壯性,加強風險防范
會計信息化使會計系統(tǒng)處于開放的互聯(lián)網(wǎng)世界中,給財務系統(tǒng)的安全提出了嚴重的挑戰(zhàn)?；ヂ?lián)網(wǎng)的開放特性使一些惡意訪問者有機可乘,網(wǎng)絡的遠程接入性也給犯罪分子提供了方便,黑客有可能通過網(wǎng)絡侵入系統(tǒng),竊取企業(yè)重要的信息資產(chǎn),甚至使信息系統(tǒng)崩潰。目前黑客肆虐,世界上的各類網(wǎng)站每天都受到成千上萬次攻擊,網(wǎng)絡財務系統(tǒng)無疑也面臨巨大的安全風險。另外,計算機病毒的猖獗也為會計信息化系統(tǒng)帶來更大的風險,有效地防治計算機病毒對保障網(wǎng)絡財務系統(tǒng)的安全性至關重要。
二、 內(nèi)部控制信息化的實施方案
針對以上問題,本部分分別提出相應的解決方案,從技術的角度為內(nèi)部控制信息化提供一個整體的實施方案。
1 . 基于企業(yè)服務總線實現(xiàn)信息化集成
在會計信息化環(huán)境下,需要將內(nèi)部控制的控制流程、關鍵控制點等固化在現(xiàn)存信息系統(tǒng)中。首先,要先對關鍵控制點進行識別,對容易發(fā)生偏差的業(yè)務環(huán)節(jié)進行控制。關鍵控制點一般指在業(yè)務處理過程中發(fā)揮作用大,影響范圍最廣,甚至決定全局成效的控制點。另外,需要對各相關子系統(tǒng)進行認真研究和梳理,確定各子系統(tǒng)運行過程中的主要風險、關鍵環(huán)節(jié)和關鍵控制點,針對每一個關鍵環(huán)節(jié)和關鍵控制點制定有效的控制措施,形成控制流程并反映在信息系統(tǒng)當中。
關鍵控制點可能運行于各部門的信息系統(tǒng)中,也有可能是由與之相關聯(lián)的企業(yè)所提供的外部接口,要實施控制,必須解決接口之間的消息傳遞協(xié)議、消息格式不一致等問題。企業(yè)服務總線(ESB)可以有效解決這些問題。
企業(yè)服務總線架構如圖1所示,不同協(xié)議的接口注冊到ESB中,即插即用,服務請求者不需要知道接口的具體位置和具體的實現(xiàn)技術便可調(diào)用接口,實現(xiàn)傳輸協(xié)議的解耦。
ESB的4個基本功能——消息路由、傳輸協(xié)議的轉(zhuǎn)換、消息格式的轉(zhuǎn)換、處理不同來源的業(yè)務事件可適應內(nèi)部控制信息化系統(tǒng)需要通過接口獲取外部數(shù)據(jù)、在不同系統(tǒng)提供的不同協(xié)議的接口之間傳輸數(shù)據(jù)的集成需求。通過結(jié)合以上技術和框架,內(nèi)部控制系統(tǒng)的信息化集成實施方案的流程如圖2所示。
數(shù)據(jù)中心為企業(yè)服務總線提供數(shù)據(jù)服務,而企業(yè)服務總線為BPEL流程引擎提供運行時環(huán)境。此外,BPEL流程引擎提供流程執(zhí)行狀況的監(jiān)控功能,在企業(yè)實施內(nèi)部控制的過程中,執(zhí)行者可以審核各關鍵控制點上的控制措施的執(zhí)行狀況,根據(jù)執(zhí)行的效果作適當?shù)恼{(diào)整或糾正。
2.實施網(wǎng)絡信息控制,保證數(shù)據(jù)可靠性和安全性
為了防止會計信息數(shù)據(jù)被攻擊者截取,必須對發(fā)送的信息進行加密,而為了保證數(shù)據(jù)的完整性,不被篡改,則可以采用數(shù)字簽名的方法對消息進行散列和校驗。將加密和數(shù)字簽名結(jié)合起來,可達到保證財務數(shù)據(jù)完整性和安全性的目的。
現(xiàn)代密碼學體系引入了混沌序列加密的理論,利用混沌系統(tǒng)在迭代過程中造成信息損失的特點加強加密的效果。密鑰空間的大小直接關系到加密的效果,在傳統(tǒng)的對稱加密和公鑰加密體系中,密鑰容易受到窮舉密碼的攻擊。而在混沌密碼體系中,由于混沌具有隨機性、敏感性、多維性等特點,密鑰空間非常大,例如可以使用非線性方程、混沌系統(tǒng)的初態(tài)、超混沌系統(tǒng)的多個指數(shù)級別參數(shù)作為密鑰,加上計算機系統(tǒng)的多種編碼方式,可以形成更為廣闊的密鑰空間。因此利用混沌理論進行數(shù)據(jù)加密可以達到很好的加密效果。
文獻[10]提出了基于Logistic動力系統(tǒng)的混沌加密和解密模型,該模型使用Logistic混沌映射xn 1 = μ×xn×(1 - xn), xn是從0到1之間的實數(shù),當μ取3.569 945 6…到4之間的實數(shù)時呈現(xiàn)混沌狀態(tài)。該算法隨機取序列{xn｝中的實數(shù)小數(shù)點后n位有效數(shù)字組成的整數(shù)作為加密密鑰,并且舍棄前面的2 000個數(shù),從而加強密鑰的隨機性并且能有效抵御選擇明文攻擊,其加密和解密的流程如圖3所示。
與現(xiàn)有的56位標準數(shù)據(jù)加密(DES,Data Encryption Standard)加密算法作比較,在一臺浮點數(shù)有效位數(shù)為16位的計算機上,該算法的密鑰空間大概是DES算法的1013倍,可有效地防御密鑰窮舉攻擊。另外,將非線性方程F(xn)通過變換F(F(xn))得到新的一元二次方程可以使xn和μ的解更難得到,可以有效抵御明文攻擊。實驗證明,該算法的加密和解密的效率是RSA(Rivest Shamir Adleman)算法的近50倍。
使用基于混沌序列的加密算法可以更加有效地保證數(shù)據(jù)的保密性和安全性,其效率也比公鑰加密體系高,非常適用于會計信息化環(huán)境下的內(nèi)部控制。
在混沌序列加密體系的基礎上,也有人提出了一種基于離散超混沌同步的數(shù)字簽名技術。該技術使用混沌掩蓋和混沌調(diào)制技術,由于混沌掩蓋引入了掩蓋信號,在信息摘要中間攜帶了掩蓋信號自身的信息,因此對比傳統(tǒng)的數(shù)字簽名方法,其信息摘要更加難以破解和恢復,簽名者在簽名后無法抵賴其簽名,即保證了數(shù)據(jù)的不可抵賴性。
基于混沌理論的數(shù)據(jù)加密和數(shù)字簽名方法可運用于文字信息、多媒體信息等,是內(nèi)部控制信息化的有效手段。例如,可以在電子文檔中添加數(shù)字水印或數(shù)字印章,在傳輸過程中采用混沌加密和數(shù)字簽名技術,則仍然可以保證這些電子文檔數(shù)據(jù)的可靠性和安全性,達到良好的內(nèi)部控制效果。
3.基于角色的權限控制方案
在會計信息化系統(tǒng)環(huán)境下,信息化系統(tǒng)中應該實施相應的措施適應會計崗位的變化,嚴格控制各崗位、各人員在信息系統(tǒng)當中的權限,以達到控制的目的。
基于角色訪問控制模型是國際上流行的先進安全訪問控制方法。它通過分配和取消角色來完成用戶權限的授予和取消,并且提供角色分配規(guī)則。管理人員根據(jù)需要定義各種角色,設置合適的訪問權限,而用戶根據(jù)其權、責、利再被指派為不同的角色,整個訪問控制過程分成兩個部分,即訪問權限與角色相關聯(lián),角色再與用戶關聯(lián),從而實現(xiàn)了用戶與訪問權限的邏輯分離。
用戶與訪問權限的邏輯分離使得權限分配和管理更加方便和有效。例如,如果一個用戶的職位發(fā)生變化,只要將用戶當前的角色去掉,加入代表新職務的角色即可。為用戶分派角色技術難度不高,可以由行政管理人員來執(zhí)行,而配置權限到角色的工作較復雜,需要一定技術基礎,可以由專門的技術人員來承擔,但不給他們分配具體的業(yè)務操作權限。因此該方法可避免類似于“超級管理員”這樣權限集中的情況,做到職權分離,系統(tǒng)管理員不具備會計相關的工作權限。
4. 加強安全保護措施,提供安全的網(wǎng)絡環(huán)境
網(wǎng)絡安全是內(nèi)部控制信息化要重點解決的問題,必須加強軟硬件的安全保護措施,為企業(yè)提供一個安全的網(wǎng)絡環(huán)境。
首先,可建立虛擬專用網(wǎng)(VPN,Virtual Private Network)將企業(yè)內(nèi)部網(wǎng)絡和外部訪問區(qū)域嚴格區(qū)分,內(nèi)部數(shù)據(jù)通過VPN傳輸,通過防火墻技術將外部網(wǎng)和內(nèi)部網(wǎng)分隔開,防止黑客進入企業(yè)內(nèi)部網(wǎng)絡進行破壞活動,記錄和跟蹤可疑事件。
其次,必須加強對計算機病毒的防護工作,對企業(yè)內(nèi)部的每一臺計算機進行有針對性的病毒防御和查殺工作,對出現(xiàn)問題的計算機進行實時監(jiān)控,防止病毒的產(chǎn)生和擴散?；诜掌鞯牟《痉烙w系,可針對每個區(qū)域設置特定的防毒中心,例如針對局域網(wǎng)中各部門的個人計算機,企業(yè)內(nèi)部服務器、對外服務器等分別配置防毒中心,為郵件服務器群配置郵件監(jiān)控系統(tǒng),為敏感部門設置專用的內(nèi)部防火墻,跟蹤病毒狀況,及時上報可疑情況。另外,在數(shù)據(jù)包進入內(nèi)部路由器前,探測是否存在外網(wǎng)攻擊,財務軟件本身也可掛接殺毒軟件,以減少軟件自身受到病毒干擾的可能性。
三、結(jié)束語
本文首先分析會計信息化環(huán)境下的內(nèi)部控制需要解決的4個主要問題——信息化集成、數(shù)據(jù)可靠性和安全性、權限分配、網(wǎng)絡安全,然后從技術的角度分別對這4個問題提出了相應的實施和解決方案,其中基于企業(yè)服務總線的架構可以解決信息化集成的問題,基于混沌理論的加密和數(shù)字簽名技術可有效保證數(shù)據(jù)的可靠性和安全性,基于角色的權限控制方案可以解決權限分配、職權分離的問題,而最后提出的基于網(wǎng)絡服務器的企業(yè)防病毒安全架構則可為企業(yè)提供一個安全的網(wǎng)絡環(huán)境,減少由網(wǎng)絡產(chǎn)生的風險。結(jié)合這4個解決方案,在信息化環(huán)境下的內(nèi)部控制可以有效地進行實施,有效控制和防范信息化環(huán)境下企業(yè)所面臨的風險。
除了本文主要討論的4個問題以外,會計信息化環(huán)境下的內(nèi)部控制實施還存在一些其他的問題,例如企業(yè)內(nèi)部治理制度管理需要根據(jù)會計信息化進行相應的改變,從制度上進行有效控制;合理分配人力資源,提高企業(yè)內(nèi)部人員的自身素質(zhì),進行自我控制等。另外,在實施過程中可能會產(chǎn)生其他問題,例如在選取具體的實現(xiàn)技術的時候要考慮技術的穩(wěn)定性和成熟性,系統(tǒng)可維護性和靈活性等;在規(guī)劃信息化項目的時候應嚴格控制實施成本,把控項目進度,控制IT項目本身存在的風險等,而這些問題都需要在實施過程當中不斷摸索,不斷改進,從而在會計信息化環(huán)境下進行有效的內(nèi)部控制。
主要參考文獻
[1]財政部.財政部關于全面推進我國會計信息化工作指導意見(財會[2009]6號)[Z].2009.
[2]王棣華,杜晉賢.淺析會計信息化與企業(yè)內(nèi)部控制[J].會計之友,2008(34):51-52.
[3]苗壯.會計信息化對內(nèi)部控制的要求[J].華北電力大學學報:社會科學版,2006(3):40-42.
[4]郭冰.全面信息化下內(nèi)部控制構建研究[D].長沙:長沙理工大學,2008.
[5]蔡志婉. 會計電算化環(huán)境下企業(yè)內(nèi)控的分析與研究[J].財會經(jīng)濟,2005(3):72-73.
[6]劉潔.網(wǎng)絡環(huán)境下的企業(yè)內(nèi)部會計控制研究[D].武漢:武漢大學,2005.
[7]林懷恭,聶瑞華,羅輝瓊,等.基于SOA架構的服務集成技術的研究[J].計算機技術與發(fā)展,2009,19(7):141-144.
[8]李瑞軒.異構信息集成中的查詢處理與優(yōu)化研究[D].武漢:華中科技大學,2004.
[9]齊德昱,胡鏡林,張鵬.多數(shù)據(jù)庫中間件的模型研究[J].計算機工程與設計,2005,26(10):2602-2605.
[10]孫克輝,張?zhí)┥?基于混沌序列的數(shù)據(jù)加密算法設計與實現(xiàn)[J].小型微型計算機系統(tǒng),2004,25(7):1368-1371.
[11]盧輝斌,劉龍,張瑞芳.基于離散超混沌同步的數(shù)字簽名技術[J].電子測量技術,2007,30(1):10-13.
[12]李孟珂,余祥宣.基于角色的訪問控制技術及應用[J].計算機應用研究,2000,17(7):44-47.
