2008年5月22日,財政部、證監會、審計署、銀監會、保監會聯合發布了我國第一部《企業內部控制基本規范》,這套規范從2009年7月1日起在上市公司范圍內實施,鼓勵非上市的其他大中型企業執行。
2010年4月15日,財政部又再次會同證監會、審計署、國資委、銀監會、保監會等部門發布了《企業內部控制配套指引》,該配套指引由《企業內部控制應用指引》、《企業內部控制評價指引》和《企業內部控制審計指引》3部分組成,從2011年1月1日起首先在境內外同時上市的公司施行,2012年1月1日起擴大到在上海證券交易所、深圳證券交易所主板上市的公司施行,在此基礎之上,擇機在中小板和創業板上市公司施行,鼓勵非上市大中型企業提前執行。至此,一套基本規范加一套指引共同構建了我國企業內部控制的規范體系。
本文基于《企業內部控制應用指引》中《企業內部控制應用指引第18號——信息系統》,從會計信息系統的概述、開發、運行與維護3個方面論述會計信息系統內部控制制度的構建。
一、會計信息系統的界定
信息系統是信息內部傳遞和信息對外報告的技術手段,企業利用計算機和通信技術,對內部控制進行集成、轉化和提升所形成的信息化管理平臺。
會計信息系統是一個對會計數據進行采集、存儲、加工、傳輸并輸出大量會計信息的系統,可以利用傳統的手工業務處理程序,也可以利用會計電算化處理程序完成。本文主要界定的是利用會計電算化處理程序下內部控制制度的構建問題。
二、會計信息系統的開發階段內部控制制度構建
(一)建立、完善內部控制環境,消除內部人控制現象
內控環境的建立是從上至下的思想變革,是全員參與,責任層層傳遞和落實的過程。管理者的觀念起到決定性作用,影響到企業的內部控制制度能否順利實施,也影響著內部控制的效率和效果。企業可以將董事會作為內部控制系統的核心,發揮董事會的監控、引導和監督的作用與職能。在會計信息系統開發階段,要重視培養管理層的內控觀念和信息觀念,使其理解企業信息化建設、內部控制和企業發展三者之間的辯證統一的關系,轉變思想,消除人為控制因素。
(二)建立目標明確、重點突出的規劃方案
在會計信息系統開發階段,企業要根據整體的管理信息系統建設規劃方案,明確會計信息系統的建設目標、財務人員配備與職責分工、人員權限與審批流程、建設進度安排、建設經費等相關內容。并且,會計信息系統作為管理信息系統的核心,要重點突出關鍵的控制點和處理規則,如費用審批權限與流程,數據查詢的權限設置等,實現手工環境下難以實現的控制功能。
(三)強化開發過程的溝通與協調,防患于未然
開發全過程的跟蹤管理是不可或缺的重要環節,它是保證信息系統開發能否按時按質完成的重要手段,但也往往被忽視。會計信息系統開發過程中財務部門要與負責開發的單位保持溝通順暢,并且與企業內部各單位進行協調,特別是在關鍵控制點的開發過程,務必達到開發方案所預期的效果。另外要對配備的硬件設備和系統軟件進行階段性的檢查驗收,組織相關人員進行系統試運行,及時反饋試運行中發現的問題,及時修正。
三、會計信息系統的運行與維護階段內部控制制度構建
(一)做好硬件、軟件與人員操作控制,維護系統正常運轉
硬件設備作為會計信息系統運行的物質基礎,要由專人按照不同硬件的屬性進行維護與保養,按時更換配件,定期檢修。
軟件控制除了要注意日常的規范操作之外,更要注意不得對軟件進行隨意修改,要建立修改軟件的審批與監督制度,所有軟件修改的記錄均需備案。
人員操作控制方面要根據企業的實際情況及會計信息系統的核算功能,設立相應的崗位,可以一人多崗,一崗多人,但必須分離不相容的職務。建立健全各崗位之間的內控制度,使不同崗位、不同職務互相監督、互相制約。
(二)加強數據輸入、處理、輸出和安全控制,確保會計信息真實可靠
會計信息系統輸出的會計信息是否真實可靠,主要取決于輸入系統的數據是否真實、準確和完整,因此必須嚴把入口關,以計算機程序控制為主,嚴格審核各類原始憑證,企業內部相關單位在進行采購、銷售等單據輸入時務必認真、審慎。
數據處理控制是利用計算機程序自動進行的,主要對數據處理流程、數據修改、數據有效性檢驗和程序化處理有效性檢驗進行控制,嚴格按照規定流程進行,不得隨意變更、修改與中斷。
數據輸出控制主要是控制所輸出的數據是否正確以及輸出權限控制,按照人員操作權限由專人進行各種會計報表、日記賬、明細賬、總賬等的存盤、打印和保管工作,按時、按需進行。
數據安全控制主要包括網絡安全控制和病毒防范控制,網絡安全控制主要涉及數據保密性控制、訪問權限控制、身份識別控制等,可以采用在內外網之間建立防火墻、在系統中設置多重口令、對網絡進行實時監視等防范措施。在系統的運行與維護過程中還應高度重視病毒防范,可以采取如下措施:在系統服務器上安裝網絡殺毒軟件,在網絡服務器上使用防病毒卡或芯片等硬件設備,對于外來軟件、硬件和傳輸的數據必須經過病毒檢查,及時更新病毒庫等。
