【摘要】實時經(jīng)濟要求盡可能消除經(jīng)濟活動中的時滯，這就使得“持續(xù)”這一概念在內(nèi)部控制和審計領(lǐng)域得以產(chǎn)生。我國會計信息化要求企業(yè)實現(xiàn)內(nèi)部控制信息化，國際上的權(quán)威規(guī)范制定機構(gòu)也提出要對內(nèi)部控制進行監(jiān)督，并特別針對IT背景強調(diào)了持續(xù)監(jiān)控的必要性。這使得內(nèi)部控制持續(xù)監(jiān)控成為實時經(jīng)濟時代的必然。
【關(guān)鍵詞】實時經(jīng)濟 內(nèi)部控制 持續(xù)審計 持續(xù)監(jiān)控
一、實時經(jīng)濟催生“持續(xù)監(jiān)控”
2002年2月2日，英國的《經(jīng)濟學家》周刊提出了“實時經(jīng)濟”的概念，其描述了通用電氣借助“數(shù)字儀表板”來對公司運作進行實時監(jiān)控?！皵?shù)字儀表板”上會用不同顏色的顯示燈來表示業(yè)務運行的狀態(tài)，一旦發(fā)現(xiàn)問題，系統(tǒng)就可以將問題通過電子郵件的方式發(fā)送給相關(guān)的管理人員，讓他們及時采取行動。專家們預測，許多公司不久將會利用信息技術(shù)使他們的公司變成“實時企業(yè)”，這是一種能夠?qū)I(yè)務中的變化作出同步反應的組織。隨著企業(yè)自身連成一體，并同其他業(yè)務伙伴加強了聯(lián)系，它們使整個經(jīng)濟日益呈現(xiàn)出一種“實時”的性質(zhì)。
“理想的實時企業(yè)的情形就是公司的信息流動沒有障礙，業(yè)務流程被持續(xù)地進行監(jiān)控，而且能夠觸發(fā)快速的響應，通常會根據(jù)內(nèi)嵌的業(yè)務規(guī)則來自動化地進行。自動化的流程能夠很容易地跨越公司邊界、時區(qū)、媒體和系統(tǒng)。現(xiàn)時經(jīng)濟是一種經(jīng)濟學家理想中的瞬時的、無摩擦的經(jīng)濟?，F(xiàn)時經(jīng)濟是由實時企業(yè)所構(gòu)成的一個網(wǎng)絡(luò)，他們之間形成了一個虛擬供需鏈”（Fingar & Bellini，2004）。
的確，以電子計算機和通信技術(shù)為代表的信息技術(shù)（IT）已經(jīng)發(fā)展了60余年，現(xiàn)在正處于加速發(fā)展期。IT日新月異，它們沖擊著社會中各個組織的各個角落，影響著企業(yè)的商業(yè)模式、組織結(jié)構(gòu)和治理方式。Davenport（1998）形象地將這種現(xiàn)象稱為“將企業(yè)放入企業(yè)系統(tǒng)之中”。IT的發(fā)展，進一步催生出了敏捷信息系統(tǒng)，它能夠讓企業(yè)針對不斷的變化和不可預測的市場環(huán)境中的顧客需求，及時地通過復雜的通訊基礎(chǔ)設(shè)施來組裝其技術(shù)、員工和管理，從而作出從容、有效和協(xié)調(diào)的響應。敏捷信息系統(tǒng)的出現(xiàn)，使得企業(yè)具備了環(huán)境變化的適應能力和創(chuàng)新能力，這也是未來企業(yè)需要具備的核心能力之一。
物聯(lián)網(wǎng)正在掀起一場新的IT革命。關(guān)于“物聯(lián)網(wǎng)”概念，公認的是源于美國麻省理工學院（MIT）在1999年建立的自動識別中心（Auto-ID Labs）提出的網(wǎng)絡(luò)無線射頻識別（RFID）系統(tǒng)。對于“物聯(lián)網(wǎng)”概念的界定，國內(nèi)學者提出了明晰的框架：“狹義的物聯(lián)網(wǎng)是指連接物品到物品的網(wǎng)絡(luò)，實現(xiàn)物品的智能轉(zhuǎn)化識別和管理；廣義的物聯(lián)網(wǎng)則是可以看做是信息空間與物理空間的融合，將一切事物數(shù)字化、網(wǎng)絡(luò)化，物品之間、物品與人之間、人與現(xiàn)實環(huán)境之間實現(xiàn)高效信息交互方式，并通過新的服務模式，使各種信息技術(shù)融入社會行為，是信息化在人類社會綜合應用達到更高境界”。物聯(lián)網(wǎng)通過智能標識、RFID、紅外感應器、全球定位系統(tǒng)、激光掃描器等信息傳感設(shè)備，可以把任何物品與互聯(lián)網(wǎng)連接起來，進行信息交換和通訊，以實現(xiàn)智能化識別、定位、跟蹤、監(jiān)控和管理，將世界“一網(wǎng)打盡”。2010年3月5日，溫家寶總理在《政府工作報告》中就提出了要加快物聯(lián)網(wǎng)的研發(fā)應用，這將物聯(lián)網(wǎng)技術(shù)發(fā)展上升到國家戰(zhàn)略高度。
綜上可見，我們正在向“實時經(jīng)濟”時代邁進。著名會計信息系統(tǒng)研究專家Vasarhelyi于2010年給澳大利亞特許會計師協(xié)會撰寫的《現(xiàn)時經(jīng)濟中的連續(xù)認證》研究報告中，將“實時經(jīng)濟”稱為“現(xiàn)時經(jīng)濟”?，F(xiàn)時經(jīng)濟的本質(zhì)在于減少“時滯”。
Vasarhelyi等（2010）認為，隨著IT的應用，有四種時滯可以得到改善：①流程內(nèi)的時滯，這是一個流程執(zhí)行（例如應收賬款處理）所需要的時間，這種延遲已經(jīng)由越來越自動化的流程步驟來應對。②流程間的時滯，指的是在流程中傳遞數(shù)據(jù)所需的時間。這種時滯可由越來越多的采納在不同流程中傳遞信息的標準（例如XML、XBRL、XBRL GL）來應對。③決策時滯，指的是作出一個決策所需要的時間，當決策能夠用自動化和剛性的方法來執(zhí)行的時候，該延遲可以縮減到毫微秒，不過絕大多數(shù)的決策都是非結(jié)構(gòu)化的，或者說是柔性的，因此計算機還不能夠完全替代人工作出決策。例如，在審計中，我們可以開發(fā)出一些控制規(guī)則來自動化地檢測出一些例外事件，但這些例外事件的處理還是需要人工的介入。不過，自動化規(guī)則的應用，相比人工抽樣而言，顯著地減少了決策時滯。④決策實施的時滯，指的是需要基于流程的性質(zhì)，以及相互關(guān)聯(lián)的流程的類型來作出某個決策所需的時間。例如，審計師對計算機自動檢測出來的例外事件進行處理時，需要對業(yè)務時間的前因后果關(guān)系進行分析，其可以通過計算機查詢、統(tǒng)計和其他自動化的分析手段來加速分析進程，進而減少決策實施的時滯。
在會計領(lǐng)域，實時報告、實時控制、實時審計等切合實時經(jīng)濟潮流的新名詞已經(jīng)被學者們“熱炒”。然而，在當前的IT應用背景下，要真正實現(xiàn)“實時”還存在一定的困難。所以，與當前IT處理節(jié)奏更契合的“持續(xù)”的概念更加讓研究者們感興趣?！俺掷m(xù)”是相對于“周期”而言的，它的頻率可以由企業(yè)根據(jù)經(jīng)營業(yè)務調(diào)整、經(jīng)營環(huán)境變化、業(yè)務發(fā)展狀況、實際風險水平等自行確定，既可以與業(yè)務事件發(fā)生的頻率保持一致，也可以每天、每周或者每月進行一次。
當前對持續(xù)審計和持續(xù)監(jiān)控的研究成為一股新的熱潮，這些概念已經(jīng)逐漸從理論走向?qū)嵺`。
2006年普華永道（PWC）的一次調(diào)查發(fā)現(xiàn)：“在所調(diào)查的392家企業(yè)中，81%的企業(yè)指出，他們要么已經(jīng)具有一個持續(xù)審計或者監(jiān)控流程，要么計劃開發(fā)相關(guān)的流程。”世界頂尖的審計與風險管理軟件公司ACL公司和國際內(nèi)部審計師協(xié)會（IIA）于2006年進行的一個聯(lián)合調(diào)查也表明，公司對持續(xù)審計的興趣快速增長，36%的被調(diào)查單位指出，在他們所有的業(yè)務流程或者選擇的領(lǐng)域中，已經(jīng)采納了連續(xù)認證方法，另外的39%也指出，在最近也計劃這么做。該調(diào)查指出：“無論什么原因，組織可能在過去已經(jīng)忽視了持續(xù)審計，法規(guī)方面的需求、對實時財務報告方面的壓力，以及自動化資源的驅(qū)動，使得手工審計現(xiàn)在不得不對它們進行采納”。安永（EY）2008年的全球內(nèi)部審計調(diào)查顯示，42%的被調(diào)查者已經(jīng)實施了一個持續(xù)審計計劃，多數(shù)已經(jīng)采用這種方式來識別控制缺陷，監(jiān)控風險和識別潛在的舞弊活動。根據(jù)高能公司（Gartner）旗下的高級市場研究機構(gòu)（AMR）于2009年進行的調(diào)查，60%的公司已經(jīng)采用或者即將采用持續(xù)監(jiān)控，在這些已經(jīng)采用持續(xù)監(jiān)控的公司中，有60%表示他們已經(jīng)在某種程度上實現(xiàn)了對持續(xù)監(jiān)控的自動化，這些被調(diào)查者認為，持續(xù)監(jiān)控的價值在于實現(xiàn)成本的節(jié)約、舞弊的減少、流程的改善和政策的執(zhí)行。
采用持續(xù)審計和持續(xù)監(jiān)控的意義，在理論上（如信息經(jīng)濟學、代理理論和交易費用經(jīng)濟學）也得到了很好的支持（Cohen et al. ，2003）。
二、我國對內(nèi)部控制信息化的關(guān)注
我國非常重視信息化工作，并且已經(jīng)將信息化視為一項國家戰(zhàn)略。《2006 ~ 2020年國家信息化發(fā)展戰(zhàn)略》（中辦發(fā)[2006]11號）明確指出，信息化是充分利用信息技術(shù)，開發(fā)利用信息資源，促進信息交流和知識共享，提高經(jīng)濟增長質(zhì)量，推動經(jīng)濟社會發(fā)展轉(zhuǎn)型的歷史進程。國家信息化發(fā)展的戰(zhàn)略重點包括：推進國民經(jīng)濟和社會信息化、加強信息資源開發(fā)利用、推行電子政務、完善綜合信息基礎(chǔ)設(shè)施、提高國民經(jīng)濟信息應用能力等。
在這個背景下，為了貫徹國家信息化發(fā)展戰(zhàn)略，全面推進我國會計信息化工作，促進會計事業(yè)實現(xiàn)更好的發(fā)展，財政部于2009年4月發(fā)布了《關(guān)于全面推進我國會計信息化工作的指導意見》，明確了推進會計信息化的意義、目標、任務、措施和要求等。當中明確指出：“未來5 ~ 10年要實現(xiàn)大型企事業(yè)單位會計信息化與經(jīng)營管理信息化融合，同時要根據(jù)企事業(yè)單位內(nèi)部控制規(guī)范的要求，將內(nèi)部控制流程、關(guān)鍵控制點等固化在信息系統(tǒng)中，促進各單位內(nèi)部控制規(guī)范制度的設(shè)計和運行更加有效，形成自我評價報告”。
作為我國內(nèi)部控制的綱領(lǐng)性文件，《企業(yè)內(nèi)部控制基本規(guī)范》要求：“企業(yè)應當運用信息技術(shù)加強內(nèi)部控制，建立與經(jīng)營管理相適應的信息系統(tǒng)，促進內(nèi)部控制流程與信息系統(tǒng)的有機結(jié)合，實現(xiàn)對業(yè)務和事項的自動控制，減少或消除人為操縱因素”（第7條）?！捌髽I(yè)應當結(jié)合風險評估結(jié)果，通過手工控制與自動控制、預防性控制與發(fā)現(xiàn)性控制相結(jié)合的方法，運用相應的控制措施，將風險控制在可承受度之內(nèi)”（第21條）。“企業(yè)應當利用信息技術(shù)促進信息的集成與共享，充分發(fā)揮信息技術(shù)在信息與溝通中的作用。企業(yè)應當加強對信息系統(tǒng)開發(fā)與維護、訪問與變更、數(shù)據(jù)輸入與輸出、文件儲存與保管、網(wǎng)絡(luò)安全等方面的控制，保證信息系統(tǒng)安全穩(wěn)定運行”（第41條）。
配套的《企業(yè)內(nèi)部控制應用指引第18號——信息系統(tǒng)》要求：“企業(yè)開發(fā)信息系統(tǒng)，應當將生產(chǎn)經(jīng)營管理業(yè)務流程、關(guān)鍵控制點和處理規(guī)則嵌入系統(tǒng)程序，實現(xiàn)手工環(huán)境下難以實現(xiàn)的控制功能”（第6條）。
從這些規(guī)定可以看出，借助信息技術(shù)加強內(nèi)部控制，并實現(xiàn)兩者的有機結(jié)合，同時保障信息系統(tǒng)整個生命周期的控制，從而促進內(nèi)部控制規(guī)范制度的設(shè)計和運行更加有效，已經(jīng)是我國會計信息化工作必不可少的重要內(nèi)容。同時，《企業(yè)內(nèi)部控制基本規(guī)范》還要求：“企業(yè)應當加強對內(nèi)部控制及其實施情況的監(jiān)督檢查。監(jiān)督檢查的方式主要包括持續(xù)性監(jiān)督檢查和專項監(jiān)督檢查等。持續(xù)性監(jiān)督檢查和專項監(jiān)督檢查應當有機結(jié)合”（第62條），“企業(yè)應當結(jié)合內(nèi)部監(jiān)督情況，定期對內(nèi)部控制的有效性進行自我評價，出具內(nèi)部控制自我評價報告”（第46條）。至于如何對信息系統(tǒng)中的內(nèi)部控制進行監(jiān)督檢查，或者進行自我評價，我國目前尚未出臺相關(guān)的指南，這正是我國會計信息化發(fā)展的方向之一。
三、持續(xù)監(jiān)控概念的正式提出
1992年9月，COSO（美國虛假財務報告委員會下屬的發(fā)起人委員會）出臺的《內(nèi)部控制整合框架》，充分運用了控制論、信息論和系統(tǒng)論的思想，將內(nèi)部控制視為一個開放的系統(tǒng)，并強調(diào)內(nèi)部控制是一個“動態(tài)過程”。內(nèi)部控制是對企業(yè)的整個經(jīng)營管理活動進行監(jiān)督與控制的過程，企業(yè)的經(jīng)營活動是永不停止的，企業(yè)的內(nèi)部控制過程也因此不會停止。企業(yè)內(nèi)部控制不是一項制度或一個機械的規(guī)定，企業(yè)經(jīng)營管理環(huán)境的變化必然要求企業(yè)內(nèi)部控制越來越趨于完善，內(nèi)部控制是一個發(fā)現(xiàn)問題、解決問題、發(fā)現(xiàn)新問題、解決新問題的循環(huán)往復的過程。
在COSO內(nèi)部控制框架的五個要素（控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)控）中，監(jiān)控是內(nèi)部控制系統(tǒng)中的一種反饋機制，它通過與其他要素的交互作用，保證內(nèi)部控制持續(xù)有效運行。正是有了監(jiān)控要素，內(nèi)部控制系統(tǒng)中的各個組成要素才能夠根據(jù)企業(yè)內(nèi)外部環(huán)境的變化進行適時調(diào)整，共同保持有效性，通過協(xié)同作用來支持內(nèi)部控制目標，進而為具體的組織目標實現(xiàn)提供保證。這樣，內(nèi)部控制方能成為一個“動態(tài)過程”。
監(jiān)控要素雖然在理論上的地位非常重要，但在實踐中卻并沒有得到充分重視和利用。COSO在2009年2月專門發(fā)布了《內(nèi)部控制系統(tǒng)監(jiān)控指南》，因為其發(fā)現(xiàn)：“一些組織已經(jīng)在某些領(lǐng)域進行了事實上的監(jiān)控，但是沒有將監(jiān)控的結(jié)果進行優(yōu)化，以支持他們關(guān)于內(nèi)部控制有效性的結(jié)論。相反，他們增加了冗余的、通常是不必要的測試控制的內(nèi)部控制評價程序，因為管理層所實施的監(jiān)控工作，已經(jīng)能夠充分支持內(nèi)部控制評價了。在其他一些情況下，組織沒有充分使用持續(xù)監(jiān)控程序，或者總體上缺乏必要的監(jiān)控程序，這促使他們在年底實施并不充分的評價，來支持他們的結(jié)論”。
該指南主要通過對兩個相互聯(lián)系的原則進行闡述，以提升人們對監(jiān)控的理解：①持續(xù)監(jiān)控（Ongoing Monitoring）和單獨評價（Separate Evaluations），能夠讓管理者決定內(nèi)部控制的其他要素是否在持續(xù)地起作用；②內(nèi)部控制缺陷能夠采用一種及時的方式進行識別，并且讓信息與相關(guān)責任方進行溝通，使之能夠采取糾正行動，在必要的時候，將信息報送給管理層和董事會。COSO發(fā)布監(jiān)控指南的目的在于幫助組織設(shè)計、實施和評價監(jiān)控程序，以使監(jiān)控的兩大原則能夠有效實現(xiàn)。其目的在于強化和闡明，而不是增加或者改變，因為該指南中的相關(guān)概念，例如持續(xù)監(jiān)控和單獨評價，都已經(jīng)在1992年的COSO框架中進行了說明。
COSO建議組織考慮，在可用的信息特點滿足持續(xù)監(jiān)控要求的時候，應該優(yōu)先采用持續(xù)監(jiān)控的方式。因為根據(jù)COSO的監(jiān)控指南，最優(yōu)的方案在于內(nèi)部控制運行的直接信息，通過對最為相關(guān)、可靠和及時的直接信息進行監(jiān)控，所得到的信息是最具說服力的。所以，實時的、動態(tài)的持續(xù)監(jiān)控更加有效和客觀，監(jiān)控了最有說服力的信息，這可能消除后續(xù)的對于某個具體控制來決定它是否運行的單獨評價的總的需求。從運行的效率來看，實時的持續(xù)監(jiān)控使其能夠及早地在流程中識別錯誤和糾正錯誤，而且糾正起來更為簡單、成本更低。
COSO在該指南中，特別重視利用IT來進行監(jiān)控，其指出：“組織可以利用IT（如控制監(jiān)控工具和流程管理工具）來加強監(jiān)控。隨著IT的發(fā)展，原來有多的稱為組織運營的一部分，對評估這些信息系統(tǒng)內(nèi)部控制所需的監(jiān)控工具的需求也隨之增加。自動化的控制監(jiān)控工具用于執(zhí)行日常測試，這能夠提高監(jiān)控特定控制的效率、效果和及時性。一些控制監(jiān)控工具被用來執(zhí)行所謂的‘持續(xù)監(jiān)控’。這些工具通過檢查出現(xiàn)某些特定異常情況的每筆交易或選定的交易，作為正常的交易流程作補充。這些工具的大部分更多的時候是應用在高效率的控制活動中。不管怎樣，如果它們具備足夠的精確度，在錯誤變得重要之前將其阻止或識別，它們就能提高整個內(nèi)部控制系統(tǒng)或是接受監(jiān)控的關(guān)鍵控制的效率和效果”。不過，COSO的監(jiān)控指南著眼于普遍性的企業(yè)內(nèi)部控制，而非專門針對信息系統(tǒng)內(nèi)部控制，所以，該指南并未對信息系統(tǒng)內(nèi)部控制的監(jiān)控，特別是持續(xù)監(jiān)控做進一步的深入討論。
作為專業(yè)的信息系統(tǒng)內(nèi)部控制的研究機構(gòu)，信息系統(tǒng)審計與控制協(xié)會（ISACA）在推動信息系統(tǒng)內(nèi)部控制、信息系統(tǒng)審計和IT治理方面一直不遺余力。2010年10月，ISACA基于COSO的《內(nèi)部控制系統(tǒng)監(jiān)控指南》，專門發(fā)布了《內(nèi)部控制系統(tǒng)和信息技術(shù)監(jiān)控指南》。ISACA認為，控制的有效性是隨著時間的推移而不斷降低的，這導致了控制經(jīng)常失敗。某些企業(yè)的內(nèi)部控制并沒有根據(jù)設(shè)計來運行，其沒能夠跟上業(yè)務的變化，以及它們與戰(zhàn)略目標或者經(jīng)營約束的變化，這可能是由于關(guān)鍵的控制遺漏，或者企業(yè)缺乏一個對這些控制進行設(shè)計、實施、執(zhí)行、溝通或者修訂的流程。ISACA指出，盡管實現(xiàn)自動化的控制監(jiān)控可以帶來明顯的效益，但企業(yè)依然面臨復雜的IT環(huán)境、難以識別的關(guān)鍵控制，以及難以對數(shù)據(jù)進行提取等問題，該指南就是提供幫助企業(yè)應對這些挑戰(zhàn)的途徑。
綜上所述，無論是基于實時經(jīng)濟時代，還是基于我國會計信息化背景，信息系統(tǒng)內(nèi)部控制研究已成為必然，而COSO和ISACA發(fā)布的兩個內(nèi)部控制監(jiān)控指南，使得對信息系統(tǒng)內(nèi)部控制監(jiān)控成為學界關(guān)注的焦點。同時，實時經(jīng)濟的大環(huán)境，要求我們盡可能利用IT來實現(xiàn)監(jiān)控的自動化，也就是持續(xù)監(jiān)控。由于這是一個新興的研究領(lǐng)域，在具體的理論基礎(chǔ)和配套實施策略方面還有著極大的研究空間。
【注】本文系浙江省自然科學基金項目“上市公司IT 控制信息披露質(zhì)量研究：量化評價、影響因素與價值效應”（編號：LQ13G020011）的階段性成果。
主要參考文獻
1. Fingar， P.，J. Bellini. The Real Time Enterprise. Tampa，2004， Florida：Meghan Kiffer Press
2. Davenport， T.H. Putting the enterprise into the enterprise system. Harvard Business Review，1998；76
3. Vasarhelyi M. A.， Alles M.， Williams K.T. Continuous Assurance for the Now Economy. Sydney：The Institute of Chartered Accountants in Australia，2010
4. COSO.Guidance on Monitoring Internal Control Systems. Durham， NC：COSO，2009
5. ISACA.Monitoring Internal Control Systems and IT.Rolling Meadows，IL：Information Systems Assurance and Control Association（ISACA），2010
【作 者】
應里孟
【作者單位】
（溫州大學城市學院 浙江溫州 325035）
