中國計算機報
天氣再熱也熱不過熱火朝天的中國證券市場。2007年，股票成為我國全民關(guān)注的焦點。股市火爆的背后，誰在冷靜思考？
2007年5月25日，企業(yè)內(nèi)部控制標準委員會第三次全體會議在北京友誼賓館低調(diào)舉行。會議對企業(yè)內(nèi)部控制規(guī)范征求意見稿和若干項具體規(guī)范討論稿進行了深入討論。可見，作為現(xiàn)代企業(yè)內(nèi)控的重要手段和考量目標之一，IT內(nèi)審重新引起了企業(yè)的廣泛關(guān)注。
本期專題，就IT內(nèi)審的目的與現(xiàn)狀、中國企業(yè)IT內(nèi)審的特點和難點、以及如何形成中國IT內(nèi)審規(guī)范，展開了深入的探討和調(diào)查分析。
“中國薩班斯”進行時
證監(jiān)會紀委書記、企業(yè)內(nèi)部控制標準委員會副主席李小雪在企業(yè)內(nèi)部控制標準委員會第三次全體會議上表示，建設(shè)企業(yè)內(nèi)部控制標準體系是資本市場的一件大事——健全有效的內(nèi)部控制可以提高上市公司財務(wù)報告的有效性；可以保障公司資產(chǎn)安全，減少舞弊事件發(fā)生，堵塞漏洞，有效提高風(fēng)險防范能力，降低公司風(fēng)險；可以提高公司經(jīng)營效益及效率，提升上市公司質(zhì)量。
我國對企業(yè)內(nèi)部控制評價的關(guān)注始于上個世紀80年代末，但當時的評價大都流于形式。“銀廣夏”等上市公司財務(wù)舞弊事件、“中航油事件”等等因內(nèi)部控制失效造成財產(chǎn)重大損失的案件，在一定程度上要歸咎于企業(yè)內(nèi)控機制的不健全。
此后，我國政府開始重視內(nèi)控評價的規(guī)范化建設(shè)。審計署、財政部、證監(jiān)會、銀監(jiān)會等組織均出臺了關(guān)于內(nèi)部控制評價方面的規(guī)范，而2006年則是關(guān)于上市公司企業(yè)內(nèi)控規(guī)范討論最為熱鬧的一年。
2006年6月5日，上海證券交易所出臺了《上海證券交易所上市公司內(nèi)部控制指引》，對上市公司內(nèi)控制度和風(fēng)險管理制度出臺了重要規(guī)定，引起了業(yè)界的強烈反響。
在信息技術(shù)無處不在的今天，IT既是企業(yè)內(nèi)控的一個有效手段，同時IT本身又充滿了風(fēng)險，成為內(nèi)控的重要目標之一。因此， IT內(nèi)審引起了廣泛關(guān)注?？扑髀纷稍児具€專門對此發(fā)布了《IT內(nèi)審調(diào)研報告》。
2006年7月15日，財政部聯(lián)合國資委、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會發(fā)起成立了“企業(yè)內(nèi)部控制標準委員會”，旨在“基本建立一套以防范風(fēng)險和控制舞弊為中心、以控制標準和評價標準為主體，結(jié)構(gòu)合理、內(nèi)容完整、方法科學(xué)的內(nèi)部控制標準體系，推動企業(yè)完善治理結(jié)構(gòu)和內(nèi)部約束機制”。委員會的成立被視為中國版“薩班斯法案”即將出臺的前兆，中國內(nèi)部審計協(xié)會會長王道成當時曾向媒體表示，3年之內(nèi)中國就會有自己的“薩班斯法案”。
2006年9月28日，深圳證券交易所《上市公司內(nèi)部控制指引》發(fā)布，規(guī)定深市主板上市公司要建立完備的內(nèi)部控制制度。在2007年7月1日文件正式生效后，上市公司均需按要求披露內(nèi)控制度制訂和實施情況。
很多人都相信，具有強制效力的中國上市公司內(nèi)控法規(guī)就要形成，甚至有很多企業(yè)或個人認為隨著企業(yè)內(nèi)控法規(guī)的形成，與IT內(nèi)審相關(guān)的咨詢或者軟件將是一個很好的市場機會，并雄心壯志地投身到這一領(lǐng)域。
但是到了2007年，在股市熱潮背后，關(guān)于企業(yè)內(nèi)控和IT內(nèi)審規(guī)范工作似乎處于停滯狀態(tài)。有些曾經(jīng)看好IT內(nèi)審市場機會的公司開始后悔自己當初的決定。這不禁讓人懷疑，難道牛市的今天企業(yè)內(nèi)控就不那么重要了？IT內(nèi)審的熱潮從此告一段落？
審迫在眉睫
事實遠非如此。
2007年3月，企業(yè)內(nèi)部控制標準委員會公布了《企業(yè)內(nèi)部控制規(guī)范——基本規(guī)范》和17項具體規(guī)范(征求意見稿)，并開始向有關(guān)單位和專家征求意見。
2007年5月25日，由企業(yè)內(nèi)部控制標準委員會主席、財政部副部長王軍親自參加的企業(yè)內(nèi)部控制標準委員會第三次全體會議在北京友誼賓館低調(diào)舉行，會議對企業(yè)內(nèi)部控制規(guī)范征求意見稿和若干項具體規(guī)范討論稿進行了深入討論。
財政部還表示，將根據(jù)本次會議討論的情況盡快修訂企業(yè)內(nèi)部控制規(guī)范征求意見稿和討論稿，抓緊建立中國企業(yè)內(nèi)部控制標準體系。所有這一切都證明，盡管沒有聲勢浩大的活動進入人們的視野，但“中國的薩班斯法案”依舊在緊鑼密鼓地醞釀中。
業(yè)內(nèi)人士分析，盡管今天企業(yè)內(nèi)部控制規(guī)范征求意見稿依舊在討論中，但是一旦被確定，肯定會和薩班斯法案一樣對上市企業(yè)具有強制性的約束。毫無疑問，盡管還有上市公司對IT內(nèi)審沒有足夠重視，但IT內(nèi)審是否規(guī)范必將成為上市公司存在的必要條件之一。
現(xiàn)代企業(yè)的經(jīng)營越來越依賴于信息系統(tǒng)，除了傳統(tǒng)意義上的經(jīng)營風(fēng)險、控制風(fēng)險和財務(wù)風(fēng)險，企業(yè)信息系統(tǒng)的安全性導(dǎo)致的信息風(fēng)險日益增長。同時對大部分企業(yè)來說，信息技術(shù)已經(jīng)融入到企業(yè)各項業(yè)務(wù)中。IT內(nèi)審作為企業(yè)內(nèi)部控制的一個重要手段和對象，已經(jīng)得到政府相關(guān)機構(gòu)、企業(yè)和咨詢機構(gòu)普遍認可。
目前的《企業(yè)內(nèi)部控制具體規(guī)范(征求意見稿)》中，專門提出了計算機信息系統(tǒng)的征求意見稿，就總則，崗位分工與授權(quán)審批，信息系統(tǒng)開發(fā)、變更與維護控制，信息系統(tǒng)訪問安全，硬件管理和會計電算化及其控制等六個方面提出了43條詳細征求意見。
企業(yè)表現(xiàn)各不相同
“招聘資深內(nèi)審員，要求具有5年以上跨國公司會計與財務(wù)方面工作經(jīng)驗，并有IT系統(tǒng)審計方面的工作經(jīng)驗”。最近，“IT內(nèi)審員”的新鮮職位已經(jīng)開始出現(xiàn)在各大招聘網(wǎng)站。
很多被訪企業(yè)表示，他們已經(jīng)或者正在考慮采用新的技術(shù)手段來輔助企業(yè)內(nèi)部控制工作，比如說中信集團公司早已經(jīng)在2005年就開始采用加拿大審計軟件ACL、易通審計軟件開展審計。
承接企業(yè)內(nèi)控咨詢業(yè)務(wù)的會計師事務(wù)所或咨詢公司表示，他們所接觸的IT內(nèi)審業(yè)務(wù)在明顯增加。
……
種種跡象表明，IT內(nèi)審規(guī)范的推動并沒有停滯不前，之所以讓人感覺“停滯”，主要是因為以下幾方面的原因：
首先，很多企業(yè)對于內(nèi)部控制仍然采取比較被動的態(tài)度。對于那些早在國內(nèi)上市的企業(yè)，由于上交所和深交所出臺的《指引》對他們沒有強制性的約束，沒有對內(nèi)控的緊迫感。而那些在海外上市或者新上市的企業(yè)，大都是為了滿足上市條件或者相關(guān)法規(guī)而被迫進行內(nèi)部控制和IT內(nèi)審。在香港上市的某公司的CIO告訴記者，對他們來說，IT內(nèi)審就是每隔一段時間按照會計師事務(wù)所提供的一張單子中對IT的要求落實就可以了。
其次，目前大部分企業(yè)的IT內(nèi)審工作主要是交給第三方機構(gòu)來辦理的。很多在海外上市或者被外資公司控股，特別是在美國上市的企業(yè)，早已經(jīng)通過第三方機構(gòu)在IT審計方面走在了前面。第三方機構(gòu)對這塊業(yè)務(wù)駕輕就熟，更多的企業(yè)選擇IT內(nèi)審對他們來說只是業(yè)務(wù)量的增加，因而沒有引起大范圍的討論。
第三，很多企業(yè)雖然已經(jīng)意識到IT內(nèi)審的重要性，但是苦于IT基礎(chǔ)太差、缺乏相關(guān)經(jīng)驗而暫時擱置。亞新科工業(yè)技術(shù)有限公司是一家總部設(shè)在北京的外資企業(yè)。為了讓企業(yè)健康穩(wěn)定地發(fā)展，公司從1999年就已經(jīng)建立了完整的內(nèi)部制度，并且還專門成立了內(nèi)控部。但是，公司內(nèi)控部總監(jiān)麻蔚冰告訴記者，目前他們還沒有實現(xiàn)IT內(nèi)審。他認同隨著信息技術(shù)在企業(yè)廣泛應(yīng)用，IT內(nèi)審是企業(yè)內(nèi)部控制的必然趨勢。亞新科從去年就開始關(guān)注這一趨勢，但由于公司內(nèi)部的IT建設(shè)還不夠完善，再加上IT內(nèi)審所牽涉的東西非常復(fù)雜，暫時也沒有好的經(jīng)驗可以借鑒，所以目前尚處在探索中。
規(guī)范形成尚待時日
那么，適合中國的IT內(nèi)審到底該怎么做？如何形成適合中國國情的IT內(nèi)審？
很多企業(yè)都希望 《企業(yè)內(nèi)部控制具體規(guī)范(征求意見稿)》能夠給他們未來的IT內(nèi)審提供有用的參考。
王軍在企業(yè)內(nèi)部控制標準委員會第三次全體作會議上也強調(diào)，內(nèi)部控制標準體系建設(shè)要著力處理好借鑒國際和順應(yīng)國情的關(guān)系。目前，在尚未形成自己的規(guī)范并且沒有更好的辦法之前，業(yè)界已經(jīng)認識到“西學(xué)中用”是最好的選擇。
德勤咨詢公司企業(yè)風(fēng)險管理服務(wù)高級經(jīng)理周梓滔告訴記者，目前的征求意見稿中不僅參照了薩班斯法案，還參照了很多地方的相關(guān)法規(guī)。
但是業(yè)內(nèi)人士分析，畢竟中國企業(yè)有很強的特色，必須在參照這些經(jīng)驗的同時充分考慮中國企業(yè)自身的特色。
記者就IT內(nèi)審規(guī)范這個問題撥通財務(wù)部會計司企業(yè)內(nèi)部控制標準委員會某一負責(zé)人的電話時，得到回答是，征求意見稿中“計算機信息系統(tǒng)”部分還只是“征求意見稿”，希望有經(jīng)驗的咨詢公司和專業(yè)人員能夠積極參與，提供有用的建議。
在訪談了一些內(nèi)控咨詢專家、企業(yè)內(nèi)控工作者后，記者認為以下幾個方面是在建立IT內(nèi)審規(guī)范過程中最不能忽視的：首先，企業(yè)對IT內(nèi)審的重視不夠；其次，企業(yè)的IT建設(shè)不夠完善，建立像美國上市公司那樣的IT內(nèi)審難度較大；第三，企業(yè)IT內(nèi)審部門的歸屬問題不明確：目前國內(nèi)企業(yè)審計部門獨立的就比較少，而IT內(nèi)審既涉及審計又涉及IT，歸屬問題就更加不好確定；第四，IT內(nèi)審的投入成本大，美國的大型公司僅在第一年建立內(nèi)部控制系統(tǒng)的平均成本就高達430萬美元，這對規(guī)模偏小的中國上市企業(yè)來說是不現(xiàn)實的……
由此可見，我國要建立完善的IT內(nèi)審規(guī)范還需時日，但對于企業(yè)來講，未雨綢繆卻必不可少。否則具有法律約束力的規(guī)范一旦執(zhí)行，臨時抱佛腳幾乎是不可行的——因為企業(yè)的IT建設(shè)本身就不是一蹴而就的事情。
鏈接:關(guān)于薩班斯法案
2002年7月25日，美國國會通過了《2002年薩班斯—奧克斯利法案》(也稱《2002年公眾公司會計改革和投資者保護法案》，簡稱《薩班斯法案》)。該法案由美國總統(tǒng)布什在2002年7月30日簽署成為美國正式法律?！端_班斯法案》不僅對《證券法》(1933)和《證券交易法》(1934)這兩部證券監(jiān)管的重要法律做了修改和補充，而且還對會計行業(yè)的監(jiān)督、審計獨立性、財務(wù)信息披露、公司責(zé)任、證券分析師行為、證券交易委員會的權(quán)利和責(zé)任等諸多方面做了新的規(guī)定。
