摘要：本文對我國中小企業ERP實施中內部控制建設存在的問題進行了分析，在此基礎上從加強企業信息文化建設、動態評估ERP系統風險、識別關鍵控制點、進行業務流程重組、實施持續監控等方面提出了對策建議。
關鍵詞：中小企業ERP 內部控制 信息系統
一、中小企業ERP實施中內部控制建設存在的問題
我國企業開始實施ERP系統起步于1981年沈陽第一機床廠所引進的MRPⅡ軟件，經過30多年的發展，我國企業的ERP普及率越來越高，許多大型企業都使用了世界上先進的SAP軟件來支持企業的運營。不過，我國企業還是以中小企業為主，許多企業雖然實施了ERP系統，但在實施中，對內部控制建設認識存在諸多問題，具體可從內部控制的五個要素進行分析。
（一）控制環境方面存在的問題
內部控制環境包括了公司治理結構，組織結構，治理哲學與經營風格，董事會、經營者素質和職業道德，權責分配體系，企業文化與信息系統等因素，它是內部控制其他要素發揮作用的基礎，并直接決定了內部控制其他要素是否有效。但是，我國中小企業在實施ERP的時候，內部控制環境普遍難以與ERP本身的要求相匹配。具體表現為：
第一，公司治理結構不完善。許多公司為了滿足外部法規的要求，在形式上根據現代企業制度的要求建立起了企業的各項規章制度，但是，企業原有的管理思想還是普遍存在，導致這些規章制度流于形式。與之相對應的是，ERP系統內化的是現代化的企業管理思想，這種思想借助ERP系統得以剛性執行，這必然與傳統的管理思維相沖突，在公司治理結構不完善的情況下，導致許多企業大規模資金構建的ERP系統難以發揮應有的效用，相應的，與之相關的內部控制也流于形式。
第二，管理層和員工整體素質不高。ERP系統是通過信息技術所固化的先進管理思想，其作用的發揮還依賴于高素質的管理人員和操作人員，但我國中小企業面臨的人才瓶頸，導致ERP系統僅僅是作為一種事務處理系統，管理層對ERP系統雖然在口頭上重視，但是由于對ERP了解并不深刻，導致這種“高層基調”往往難以對執行層面產生影響。而且，許多ERP系統的內部控制系統在具體執行時，主觀隨意性太大。例如，由于人員的限制，一些企業甚至將出納崗位和會計崗位由同一人擔任，并給他在ERP系統中建立了兩個賬號，在這種情況下，必然會使內部控制的執行流于形式。
（二）風險評估方面存在的問題
風險評估本意是根據企業經營環境的變化，對內部控制系統的控制標準進行動態調整而制定的，但是，許多企業在實施ERP系統的時候，只關注ERP系統在項目實施時，由軟件廠商或者顧問團隊所進行的風險評估的結果，具體的風險評估結果也是由他們內化到ERP系統中。一旦軟件廠商或顧問團隊撤離企業，ERP系統中的內部控制往往是多年一成不變，導致企業經營所面臨的風險要素在ERP系統中沒能得到體現，相應的ERP系統的內部控制效用就難以發揮，甚至完全失效。
（三）控制活動方面存在的問題
與風險評估一樣，企業在控制活動方面也依賴于軟件廠商或顧問團隊，控制活動往往是由廠家在ERP系統設計時即嵌入其中，在針對具體企業進行二次開發時，會根據企業的具體環境進行調整。我國中小企業在實施ERP系統的時候，往往是購買現成的ERP系統，不太重視二次開發，因為他們所關心的只是ERP系統中的財務會計模塊，因而導致了沒有必要進行二次開發的觀念，這導致了ERP系統的其他子系統的內部控制流于形式，許多控制還是依賴于手工控制來完成，ERP系統控制活動的優勢難以發揮。而且，在控制活動的具體執行過程中，由于人員的限制，執行人員的職責分離不明確、管理人員濫用職權，導致內部控制難以正確、合理的執行，從而不能達到控制的目的。
（四）信息與溝通方面存在的問題
企業引入ERP系統本意是要加強企業內部的信息與溝通，但在我國中小企業的實際運行中，由于ERP系統實施時，沒能夠對企業的業務流程進行重組，導致ERP系統并不能充分發揮其作為信息與溝通主渠道的作用。而且，由于管理層對ERP認識存在的問題，企業內部的信息還是依靠傳統的紙質載體傳遞的方式，ERP系統的相應功能就被閑置。還有一些企業情況則相反，企業的組織結構龐大，結果復雜，層次太多，ERP系統沒能合理地根據組織結構建立起相應的信息溝通渠道，從而影響了信息傳遞的及時性與準確性。一些企業雖然實施的是ERP系統，但該系統發揮的是財務會計軟件的功能，導致企業的財務部門與其他部門之間信息脫節，其他業務部門還是通過紙質的方式向企業傳遞單據，這就導致企業內部的“信息孤島”持續存在，難以消除信息與溝通方面存在的頑疾。
（五）內部監督方面存在的問題
在過去手工條件下，由于內部監督的缺位或者薄弱，導致內部控制的執行力不足，許多內部控制停留在紙面的文件上，在實踐中未能得到貫徹。雖然ERP系統能夠將大部分的內部控制固化其中，但許多ERP系統重內部控制活動，輕內部控制監督，導致許多人認為ERP系統就是一個內部控制的“黑箱”，內部控制執行情況如何難以明了。目前還只有SAP等大型ERP軟件推出了針對其ERP產品的持續監控軟件，大部分中小ERP軟件廠家還未能實現對ERP系統的持續監控。而且，由于對ERP系統技術系統的認知能力，企業的內部監督部門沒能對ERP系統本身進行審計，導致ERP系統的內部控制是否持續有效，難以形成具體結論和意見，許多內部控制漏洞長期存在，給企業經營管理活動帶來隱患。
二、對策建議
在我國會計信息化發展的大背景下，中小企業無法回避ERP系統實施給內部控制帶來的挑戰，針對我國中小企業ERP實施中內部控制建設普遍存在的問題，以及ERP對內部控制帶來的影響、ERP環境下的企業內部控制設計思路，筆者認為，中小企業ERP實施中，要加強內部控制建設的效果，可以考慮從如下幾個方面進行著手。
（一）加強企業信息文化建設
隨著內部控制理念的發展，企業內部控制更加強調控制環境的重要性，而控制環境中最為重要的因素就是“人”。ERP畢竟是人設計出來的一套管理思想，最終是為人服務，對ERP系統進行控制其實就是對人的行為進行控制，ERP系統中的控制又反過來對人的行為產生影響。人是內部控制中最不穩定的因素，強制性的制度控制難以達到所需的效果，這時候就需要采用“軟控制”的方法。軟控制指的是那些屬于精神層面的事物，例如，管理層的管理風格、管理哲學、企業文化、內部控制意識等。在ERP環境下，最為重要的就是進行企業信息文化建設，通過信息文化建設來增加企業員工的信息化意識，增強員工對ERP系統的認同感，以更好地實現人機結合。加強企業信息文化建設，對企業的管理層來說，要提高對ERP系統的認識，組建有效的體系化的組織結構，選擇優良服務的廠商提供的ERP軟件，完善企業的基礎管理工作。《企業內部控制應用指引第18號——信息系統》規定，企業負責人對信息系統建設工作負責。 只有企業負責人站在戰略和全局的高度親自組織領導信息系統建設工作，才能統一思想、提高認識、加強協調配合，從而推動信息系統建設在整合資源的前提下高效、協調推進。對人力資源部門來說，應選擇與ERP環境相適應的員工，對于現有員工，也應加強繼續教育，以適應企業ERP系統運行的需要，最終服務于一個高效和有效的內部控制系統。
（二）動態評估ERP系統風險
內部控制系統是一個動態過程，只要企業的經營活動不停止，內部控制的風險評估也不會停止，企業內部控制不能只是一項制度，或者是一個機械的規定，企業經營管理環境的變化會帶來新的風險，ERP系統本身也要進行動態調整，這就必須動態評估ERP系統的風險。目前，用于評估ERP系統的風險的框架有ISACA的《風險IT框架》，該框架將IT風險分為風險治理、風險評估與風險響應三個領域，并針對各領域制定了相應的評估流程。當然，國外先進的風險評估框架，只是給企業提供一種通用的流程參考，企業在具體運用中，需要根據自身的環境，及時將風險因素進行收集，并按照風險等級進行排序，進而將風險因素細化，制定評估標準。在組織結構設置上，還需要建立健全IT部門的風險管理機構，有條件的企業還可以成立風險評估委員會，用于建立起覆蓋企業各層級、各業務流程環節的各種風險控制崗位，并對這些崗位進行監督與控制，以有效防范各種風險。在ERP系統中，應建立和完善風險預警機制，以充分發揮ERP系統中數據倉庫的作用，從歷史數據預測未來，通過智能化的手段來挖掘風險線索，實現對風險的智能化評估。
（三）對ERP系統的關鍵控制點進行全面控制
對一個ERP系統來說，內部控制當然是越完備，效果越佳，但企業不得不考慮成本效益原則，需要權衡實施成本與預期效益，以適當的成本實現有效控制。在這種背景下，就應該充分發揮ERP系統的自動處理能力。在構建ERP系統時，應在業務流程重組過程中，考慮將業務流程的控制環節盡可能固化到系統之中，這時就要通過風險評估來選擇關鍵控制點，并對這些關鍵控制點進行全面控制。這么做的好處在于，能夠以極低的成本擴大內部控制的覆蓋面，并提高內部控制執行的客觀性和強制性。
（四）ERP建設過程中要消除“信息孤島”，保持企業內部信息與溝通的暢通
ERP系統要將整個企業用網絡連為一體，前提就是需要消除部門之間的“信息孤島”，實現財務與業務一體化，用企業統一的數據倉庫來實現系統集成，整個企業的“人、財、物、供、產、銷”信息都可以通過明確的權責分配進行共享。要消除信息孤島，就需要根據ERP系統的特點對傳統的業務流程進行再造，包括業務流程自身的優化，企業內部管理體系，特別是內部控制體系質量的優化調整。這樣，企業內部信息與溝通就實現了通暢，豐富的信息源，給靈活的內部控制提供了可能，內部控制就能夠超越手工局限，更好地適應ERP環境。
（五）利用信息化手段對ERP系統中的內部控制系統進行持續監控
企業在實施ERP系統時，應選用那些產品系列中有持續監控相配套的軟件廠商，這樣，企業在ERP運行時，就可以通過類似于飛機駕駛艙的面板來實時觀察內部控制的運行，及時發現內部控制的薄弱環節。這個過程中，可以充分運用各種數據式的審計方法。在企業內部審計部門，應有專職人員來對內部控制系統進行監控，并建立起相應的制度文件，來明確該崗位人員的職責權限，內部控制點的責任人，問題的處理機制及責任追究制度。為了保持內部控制系統及持續監控系統的有效性，還應定期進行專項評價，這中間的主要內容就是對信息系統進行審計，這種審計在不同階段有不同的著眼點。例如，在初次審計的時候，應對整個系統的生命周期進行審計，后續的定期審計中，則只需對ERP系統的運行進行審計。Z
（注：本文系福建省教育廳社科研究項目“信息技術引發的企業重大錯報風險研究”階段性研究成果，項目編號：JA11051S；福建省軟科學研究科技項目“福建省科技型企業內部控制質量問題研究”階段性研究成果，項目編號：2012R0052）
