摘要：會計信息系統的推廣，使得會計核算的準確性、可靠性和數據處理效率得到了極大的提高，但也為企業的內部控制帶來了許多新問題。文章基于《企業內部控制基本規范》，借鑒COSO報告五要素框架理論，分析探討了影響內部會計控制制度的控制環境、風險評估、控制活動、信息與溝通、監控等5個要素，并提出了與之相對應的完善會計信息系統內部控制制度的建議，以期對企業有一定的借鑒意義。
關鍵詞：企業內部控制基本規范；內部控制；會計信息系統
2008年6月28日，財政部、證監會、審計署、銀監會、保監會聯合發布了我國首部《企業內部控制基本規范》（以下簡稱基本規范）?；疽幏蹲?010年1月1日起首先在上市公司范圍內實施，鼓勵非上市的其他大中型企業執行。這意味著中國企業內部控制規范體系建設正在向國際標準靠攏。
這套適用于中國企業的內部控制體系，其基本規范借鑒了COSO（The Committee of Sponsoring Organization）報告五要素框架和風險管理八要素框架；具體范圍以財務報告內部控制為主線，對與企業財務報表項目相關的、可能會對財務報告真實可靠性產生較大影響的經濟業務事項以及與財務報表編報相關的業務活動提出具體的控制規范，并對為實現有效的財務報告內部控制的事前、事中和事后制度支持提出控制要求。本文從IT內部控制與IT風險管理的角度，闡述企業IT控制與會計信息系統內部控制之間的關系。
一、會計信息系統內部控制制度包含的五要素框架
美國COSO發布了關于內部控制的概念界定和評價內部控制系統的指導性框架的報告，這一報告被國際社會公認為可接受的內部控制的權威性報告，對我國會計信息系統的內部控制制度的建立具有重要的參考價值。COSO報告認為內部控制系統包括5個組成要素：控制環境、風險評估、控制活動、信息與溝通、監控。相應，會計信息系統內部控制框架也對應于企業內部控制的五要素框架。因此，對會計信息系統內部控制制度的探討也應從這5個方面進行。
（一）內部環境
內部環境是影響、制約企業內部控制建立與執行的各種內部因素的總稱，是實施內部控制的基礎。內部環境在企業IT領域的體現是IT的內部控制環境，主要包括IT治理架構、IT組織與職責，IT決策機制，IT合規與IT審計等。在IT環境下，因為企業內部管理結構扁平化，使得內部控制的組織結構發生改變。這要求內部控制的方式與管理手段隨之改變。IT經濟引導著企業組織從機械式向有機式并最終向虛擬組織發展演變，要求企業的領導階層學會在一個流動和動態的環境中發現內聚力和構造組織，既要有創新和發展，又能在不斷磨合中加強內部控制和向心力。IT改變企業的架構、企業文化，并影響各成員控制意識，這要求管理層樹立信息意識，更新控制觀念。
（二）風險評估
風險評估是及時識別、科學分析和評價影響企業內部控制目標實現的各種不確定因素并采取應對策略的過程，是實施內部控制的重要環節，也是COSO內部控制整體框架的獨特之處。IT手段的不斷應用，給企業帶來競爭優勢的同時也帶來了風險，在IT環境下，雖然企業的整體目標沒有改變，但是經濟、產業及管理的外部環境與內部因素都發生了變化。伴隨業務流程的改變，系統的開發性、信息的分散性、數據的共享性，使系統從以往封閉集中狀態走向開放，給會計信息系統帶來了風險。這些風險構成了內部控制的新內容，擴大了會計信息系統內部控制的范圍，必須有效利用IT作為控制風險的工具。應樹立信息意識，更新控制觀念，改變思維定式，有效利用IT為企業服務。把IT作為防范風險的工具，與業務活動有效結合起來，建立一個控制良好的電子數據處理系統，保證企業業務處理活動嚴格按商業規則進行。
（三）控制措施
控制措施是根據風險評估結果、結合風險應對策略所采取的確保企業內部控制目標得以實現的方法與手段，是實施內部控制的具體方式，主要包括職責分工控制、授權控制、績效評估控制、財產保護控制、會計系統控制、內部報告控制、信息技術控制等。IT的廣泛應用，增強了控制手段的靈活性、高效性，加強了內部控制的預防、檢查與糾正的功能，經濟有效地實現內部控制的目標。IT環境下的會計信息系統控制的重點由對人的控制為主轉變為對人、機共同控制為主，控制程序與計算機處理相協調適應。隨著計算機使用范圍的擴大，利用計算機進行貪污、舞弊、詐騙等犯罪活動有所增加。因此，也增加了IT環境下內部控制的難度與復雜性。
（四）信息與溝通
信息與溝通是及時、準確、完整地收集與企業經營管理相關的各種信息，并使這些信息以適當的方式在企業有關層級之間進行及時傳遞、有效溝通和正確應用的過程，是實施內部控制的重要條件。IT銜接企業各職能部門實現了會計和業務的一體化處理，會計核算從事后的靜態核算轉變為事中的動態控制，信息需求者可以獲取實時信息，使得工作在空間和時間上的接近不再是至關重要的問題。內部控制由順序化向并行化發展，企業的設計、制造、銷售、會計等人員并肩工作，共同控制企業的物流、資金流和信息流。
（五）監督檢查
監督檢查是企業對其內部控制的健全性、合理性和有效性進行監督檢查與評估，形成書面報告并做出相應處理的過程，是實施內部控制的重要保證。在IT環境下，一些內部控制被計算機程序化并嵌入在計算機應用系統內，因此內部控制具有人工控制與程序控制相結合的特點。這些程序化的內部控制的有效性取決于應用程序，如果程序發生差錯或計算機感染病毒，由于人們對計算機系統的依賴性、麻痹大意及程序運行的重復性，使得失效控制長期不被發現，甚至導致系統在特定方面發生錯誤或違規行為的可能性較大。所以，在IT環境下，注意對內部控制的監督，由適當的人員，在適當的時候，及時評估控制的設計和運作情況。
二、建立健全會計信息系統內部控制制度的建議
鑒于會計信息系統的特點，借助COSO框架，建立會計信息系統內部控制制度應考慮如下因素：
（一）完善企業內部控制環境
1、組織結構調整。信息技術的引入使管理幅度增大、層次減少，高聳型的組織結構逐漸趨于扁平。同時，網絡使內、外部人員進行更多的溝通，內部控制由命令與控制向集中與協調轉變。因此，必須進行組織結構調整才能更好地進行內部控制。企業應通過組織結構調整、建立恰當的組織機構和職責分工制度，并通過部門設置、人員分工、崗位職責的制定、權限的劃分等形式進行控制，從而達到相互牽制、相互制約、防止或減少舞弊發生的目的。應設立會計崗位和系統管理崗位。會計崗位負責基本的核算及檔案管理等工作；系統管理崗位負責會計信息系統的操作、管理、維護等工作。崗位的設置應遵循不相容職務分離的原則，使不同崗位之間相互監督，相互制約，以達到控制的目的。
2、培養管理人員的內部控制觀念和信息觀念。管理者的觀念在很大程度上決定了企業的內部控制制度能否順利實施，也大大影響著內部控制的效率和效果。在會計信息化條件下，應該注重培養管理人員的內控觀念和信息觀念，理解企業信息化建設、內部控制和企業發展的關系。隨著企業流程重組和組織結構變革，管理人員必須更新觀念，有效實施內部控制制度，注重管理實效，對企業進行現代化管理。
3、加強董事會的建設，發揮董事會的作用和職能。企業應當以董事會作為內部控制系統的核心，加強董事會建設，發揮董事會的作用和職能，完全履行其監控、引導和監督的責任，消除內部人控制現象，完善內部控制環境，保證內部控制的有效運行。
（二）正確地進行風險評估和風險分析
會計信息化后，由于會計信息系統自身的特點，增加了會計工作的風險。主要包括：第一，開發和設計中存在的風險。由于系統研發人員對會計工作的不了解或者考慮問題不全面，致使實際工作中的情況不能與系統相吻合，容易出現差錯，從而導致的風險。第二，操作不規范和玩忽職守造成的風險。第三，計算機維護不當造成的風險。會計信息都儲存在磁介質中，如果計算機維護不當，容易使會計信息丟失或被刪改。第四，不可控制的風險。如突然斷電、自然災害、病毒攻擊、黑客侵入等。這些都是會計信息化所帶來的風險。管理者必須對這些風險進行正確的評估和分析，才能防患于未然，有效地進行內部控制。
1、系統操作控制。由于操作系統的用戶較多，加上自身的缺陷，系統面臨著來自各方面的潛在威脅。因此，必須對系統操作進行嚴格的控制。首先，要明確規定每個用戶的安全級別和身份標識，并分別定義具體的訪問對象。每個崗位的人員只能按照所授予的權限對系統進行操作，不能越權使用。其次，要對進出機房的人員進行登記，對運行系統的事件類型、用戶身份、操作時間、系統參數和狀態以及系統敏感資源進行實時監視和記錄，并對日志文件定期進行安全檢查和評估。由于企業實行會計信息化后內部控制重點的轉變，企業必須對會計數據的輸入、輸出和處理過程進行嚴格的控制。在會計核算軟件中，對輸入過程的控制，首先是授權控制，輸入的數據必須經過授權，沒有經過授權的輸入應當是無效的。其次要保證輸入數據的正確性，通過各種手段對輸入過程進行控制。一般的軟件在研發時就對相應數據的輸入格式和類型進行了規定，但是為了保證數據的正確性，需要采用重復輸入校驗的手段進行控制，可以是同一人多次輸入，也可以是不同的人各自輸入進行校驗。輸出控制的目的是保證結果的完整性和正確性。輸出的數據同樣也應有授權，如對用戶進行訪問范圍控制等，并對發送對象已經發送的數量有明確的規定和記錄。對于數據在傳輸過程中的控制可以采用順序編碼的方式，并對數據發送和接收的時間進行記錄，便于日后查詢。
2、系統維護控制。系統的維護是指日常為保障系統正常運行而對系統硬軟件進行的安裝、修正、更新、擴展、備份等方面的工作，包括硬件維護和軟件維護。硬件維護主要包括定期進行檢查并做好記錄；在系統運行過程中出現硬件故障要及時進行故障分析并做好記錄。而軟件維護包括正確性維護、適應性維護和完善性維護。在軟件修改、升級和硬件更換過程中，要保證實際會計數據的連續和安全，并由有關人員進行監督。
3、信息化會計檔案管理的控制。會計檔案管理的目標是要做到任何情況下數據都不丟失、不損毀、不泄露、不被非法侵入。通常采用的控制包括接觸控制、丟失數據的恢復與重建等，而數據的備份則是數據恢復與重建的基礎，是一種常見的數據控制手段，采用磁性介質保存會計檔案要定期進行檢查和定期復制，防止由于磁性介質損壞而使會計檔案丟失。網絡中利用兩個服務器進行雙機鏡像映射備份是備份的先進形式。
（三）完善IT控制措施
針對風險評估的結果，在會計信息系統方面需要實施具體的IT控制措施，包括IT管理類控制措施，如開發管理、項目管理、變更管理、安全管理、運營管理、職責分離，授權審批等，以及IT技術類控制措施，如數據加密、訪問控制、數字簽名、隧道（VPN）、防病毒、入侵檢測、身份管理、權限管理等。下面將以網絡會計信息系統中較為先進的數據加密技術和數字簽名技術為例進行介紹。
數據加密技術是保護信息通過公共網絡傳輸和防止電子竊聽的首選方法?，F代加密技術分為對稱加密（專用密鑰，private key）和非對稱加密（公開密鑰，public key）兩大類。對稱加密法是最傳統的方式，其特點是關聯雙方共享一把專用密鑰進行加密和解密運算，專用密鑰法面臨的最大難題是密鑰網上分發的安全性問題。非對稱加密法1976年問世，它將密鑰一分為二，即一把公鑰和一把私鑰，具有加密鑰不同于解密鑰、并且在計算上不能由加密鑰推出解密鑰的特點，有效解決了密鑰分發的管理問題，特別適合計算機網絡的應用環境。譬如總公司對下屬企業公開其“密鑰對”中的公鑰，下屬企業可以用公鑰對上報的報表信息加密，安全地傳送給總公司，然后由總公司用其保留的私鑰進行解密。
數字簽名是指在Internet環境下，電子符號代替了會計數據，磁介質代替了紙介質，財務數據流動過程中的簽字蓋章等傳統手段將完全改變，為驗證對方身份、保證數據真實性和完整性，在計算機通信中采用數字簽名這一安全控制手段。基于數字簽名還可建立不可否認機制，也就是說，只要用戶或應用程序已執行某一動作，就不能否認其行動。數字簽名是上述公開密鑰密碼技術的另一類應用。它的主要方式如：會計信息的披露方從信息文本中通過一種信息摘要算法產生一固定長度（如128位）的摘要值，用自己的私鑰對摘要值加密，來形成披露方的數字簽名，連同原文一起發出；關聯方首先用同樣的摘要算法對報文計算摘要值，接著再用披露方一同發來的公鑰對數字簽名解密，如果兩個摘要值相同，證明信息在發送途中未被篡改，而且報文確定來自所稱的披露方。財務系統中遠程處理時可用數字簽名技術代替簽字蓋章的傳統確認手段，當然這得是在國家有相應的財務制度許可的條件下。
（四）建立信息與溝通機制
企業建立健全了規章制度和業務流程之后，如何貫徹落實？這就需要企業有相應的信息和溝通機制，它是整個內部控制系統的生命線，為管理層監督各項活動和在必要時采取糾正措施提供了保證，包括信息發布渠道和反饋機制。如：企業領導層的政策方針要通過信息發布渠道下達給企業員工，這是一個是自上而下逐步灌輸的過程。還要有一個自下而上的反饋機制，企業員工發現風險，發現問題，要通過匯報機制逐層匯報給上級部門，這樣就能避免很多問題的發生。作為內部控制的重要組成部分的會計信息系統內部控制也是如此，會計信息系統的主要目的是記錄、處理、存儲、歸納和交流信息，任何交易必須能夠追蹤其從發生到終止的過程，所有交易必須在系統中留下審計線索，為內部控制提供保證。
（五）建立健全監督檢查機制
整個內部控制的過程必須施以恰當的監督檢查，通過監督檢查活動在必要時對其加以修正。這里所指的監督檢查主要包括4個方面：職業道德的約束，公司應成立由董事長、財務總監、首席法律顧問等組成的“職業道德遵行委員會，負責調查違反行為準則的人員；通過外部審計，檢查和確認財務報告的合法性、公允性和一貫性；通過內部審計，對內部各部門的財務、管理、效益進行審計；加強集團對分部的監控和分部的內部控制狀況。
其中，內部審計是監督檢查最常用的途徑。企業應該設立內部審計部門，并定期或不定期地對企業的會計信息系統進行審計。內部審計應包括：對會計資料定期進行審計，會計信息化系統賬務處理是否正確；審查機內數據與書面資料的一致性；監督數據保存方式的安全、合法性，防止發生非法修改歷史數據的現象；對系統運行各環節進行審查，防止存在漏洞等。
三、結束語
《企業內部控制基本規范》的頒布實施將對我國企業的內部控制發展產生重大影響，實施會計信息化的單位應該結合信息化內部會計控制的目標和特點，提出更高的控制要求，擴大有效的控制范圍，采取更好的控制方式，重新構建一套較為完善的內部會計控制體系，從而規范單位的會計行為，提高會計信息的可靠性、有用性，保證其對單位內部管理與外部信息服務的作用，以增強企業的競爭能力和生存能力，從而進一步發揮會計信息化的優勢。
參考文獻：
1、企業內部控制課題研究組.企業內部控制基本規范解讀及應用指南[M].中國商業出版社,2009.
2、薛劍虹.基于信息技術的會計信息系統內部控制問題研究[J].中國管理信息化,2007(8).
