“我們?cè)谘芯恐邪l(fā)現(xiàn)，不少企業(yè)正嘗試將內(nèi)部控制嵌入企業(yè)信息系統(tǒng)，從而實(shí)現(xiàn)內(nèi)部控制落地。

    但這一過(guò)程是十分復(fù)雜的。”中國(guó)會(huì)計(jì)學(xué)會(huì)會(huì)計(jì)信息化專(zhuān)業(yè)委員會(huì)委員、安徽工業(yè)大學(xué)會(huì)計(jì)系教授汪家常提醒說(shuō)。

    那么，內(nèi)控與信息化怎樣才能很好地結(jié)合起來(lái)呢？

    內(nèi)控落地離不開(kāi)信息化

    據(jù)了解，中國(guó)企業(yè)現(xiàn)有信息系統(tǒng)總體運(yùn)行呈不均衡狀態(tài)，部分大企業(yè)如中石油、中石化等，其內(nèi)部經(jīng)營(yíng)活動(dòng)已反映到信息系統(tǒng)，并實(shí)現(xiàn)了聯(lián)網(wǎng)運(yùn)行。這些企業(yè)主要是在美國(guó)上市的公司，它們?cè)?006年6月30日之前就完成了按內(nèi)控要求升級(jí)改造的工作，執(zhí)行的是科索（COSO）“內(nèi)部控制一體化框架”。

    “但大部分企業(yè)卻僅僅實(shí)現(xiàn)了部分業(yè)務(wù)的電算化，如會(huì)計(jì)核算與財(cái)務(wù)管理等，沒(méi)有建立起針對(duì)所有業(yè)務(wù)的信息系統(tǒng)。”南京審計(jì)學(xué)院副院長(zhǎng)時(shí)現(xiàn)一針見(jiàn)血地指出。

    “即便是已經(jīng)執(zhí)行過(guò)內(nèi)控的在美上市公司，也需要結(jié)合企業(yè)內(nèi)控基本規(guī)范及相關(guān)配套指引的要求，對(duì)內(nèi)控及信息化系統(tǒng)進(jìn)行本地化。”立信大華會(huì)計(jì)師事務(wù)所信息部經(jīng)理馬強(qiáng)對(duì)記者表示。

    財(cái)政部會(huì)計(jì)司司長(zhǎng)劉玉廷日前就曾在中國(guó)會(huì)計(jì)學(xué)會(huì)資深會(huì)員論壇上指出，信息化是手段，要對(duì)現(xiàn)有信息系統(tǒng)進(jìn)行改造和升級(jí)，使它符合企業(yè)內(nèi)控基本規(guī)范及相關(guān)配套指引的要求，使它能夠形成自我評(píng)價(jià)報(bào)告，而這項(xiàng)工程還是比較大的。

    在互動(dòng)中“升級(jí)換代”

    “如果企業(yè)的信息系統(tǒng)要升級(jí)換代的話(huà)，那么，我建議先梳理或修訂內(nèi)部控制流程，并設(shè)計(jì)內(nèi)部控制框架。要按照這樣的框架，改造現(xiàn)有的信息系統(tǒng)，并關(guān)注信息系統(tǒng)內(nèi)部控制和安全保障問(wèn)題。”時(shí)現(xiàn)簡(jiǎn)明扼要地亮出了自己的觀點(diǎn)。

    這樣的改造，還要一步一步來(lái)。

    “首先必須弄清楚企業(yè)目前的管理水平和信息系統(tǒng)水平以及通過(guò)信息化實(shí)現(xiàn)內(nèi)部控制的基本過(guò)程，要搞清楚哪些內(nèi)部控制目標(biāo)通過(guò)信息化是可以達(dá)成的、哪些是不能達(dá)成的、哪些是隨著IT技術(shù)的不斷進(jìn)步在將來(lái)可以達(dá)成的。”汪家常曾參與過(guò)一家大型鋼鐵企業(yè)的信息系統(tǒng)設(shè)計(jì)，對(duì)此顯然有著切身的感受，“從目前IT技術(shù)和企業(yè)信息化水平來(lái)看，其對(duì)業(yè)務(wù)流程層面的風(fēng)險(xiǎn)控制最為有效，而對(duì)企業(yè)決策層面的風(fēng)險(xiǎn)控制能力較弱。”汪家常介紹說(shuō)，目前，通過(guò)企業(yè)信息化實(shí)現(xiàn)有效內(nèi)部控制的主流做法，是通過(guò)專(zhuān)門(mén)的治理、風(fēng)險(xiǎn)管理及合規(guī)控制系統(tǒng)（GRC），實(shí)現(xiàn)對(duì)企業(yè)管理系統(tǒng)（ERP、CRM）等的業(yè)務(wù)執(zhí)行過(guò)程的風(fēng)險(xiǎn)控制。如通過(guò)專(zhuān)門(mén)的流程控制系統(tǒng)，建立相應(yīng)的流程控制環(huán)境，識(shí)別和監(jiān)控各個(gè)流程的關(guān)鍵風(fēng)險(xiǎn)控制點(diǎn)，并且通過(guò)流程控制系統(tǒng)，實(shí)現(xiàn)文檔記錄、流程測(cè)試、修復(fù)和監(jiān)控，產(chǎn)生自評(píng)估報(bào)告。再如，通過(guò)專(zhuān)門(mén)的風(fēng)險(xiǎn)控制系統(tǒng)，將不同層面的風(fēng)險(xiǎn)，采用關(guān)鍵風(fēng)險(xiǎn)標(biāo)識(shí)（KRI），進(jìn)行企業(yè)風(fēng)險(xiǎn)識(shí) 別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)預(yù)測(cè)、風(fēng)險(xiǎn)監(jiān)控和風(fēng)險(xiǎn)報(bào)告，形成風(fēng)險(xiǎn)視圖，實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的有效監(jiān)控。

    反過(guò)來(lái)，信息系統(tǒng)的升級(jí)改造對(duì)內(nèi)控體系建設(shè)也會(huì)產(chǎn)生一定的影響。“第一，影響業(yè)務(wù)流程；第二，影響關(guān)鍵控制點(diǎn)，如從流程環(huán)節(jié)的控制轉(zhuǎn)向原始數(shù)據(jù)控制等；第三，影響內(nèi)部控制測(cè)試與評(píng)價(jià)標(biāo)準(zhǔn)，這更多地涉及信息系統(tǒng)技術(shù)性?xún)?nèi)容的測(cè)試與評(píng)價(jià)；第四，對(duì)內(nèi)部控制執(zhí)行者的專(zhuān)業(yè)勝任能力有更高的要求。”時(shí)現(xiàn)指出，企業(yè)要把握這一“互動(dòng)”，在“升級(jí)換代”中更好地完善內(nèi)控體系。

    繞不開(kāi)的成本問(wèn)題

    信息系統(tǒng)的升級(jí)改造肯定會(huì)有成本，那么，該如何權(quán)衡其成本與效益？時(shí)現(xiàn)認(rèn)為，升級(jí)改造的一次性投入成本會(huì)比較大，它涉及三個(gè)主要部分：第一，內(nèi)部控制制度設(shè)計(jì)、測(cè)試和評(píng)價(jià)的成本與費(fèi)用（一般外包完成，主要指外包費(fèi)用）；第二，信息系統(tǒng)改造與研發(fā)的成本和費(fèi)用（一般外包完成，主要指外包費(fèi)用）；第三，對(duì)企業(yè)各層人員的培訓(xùn)、管理及相關(guān)軟硬條件的改造成本和費(fèi)用。

    “對(duì)于大型企業(yè)來(lái)說(shuō)，由于其業(yè)務(wù)活動(dòng)復(fù)雜，企業(yè)規(guī)模比較大，這種一次性成本投入還是有必要的，它會(huì)幫助企業(yè)提高效率，帶來(lái)可持續(xù)收益，具有一勞永逸的效果。”時(shí)現(xiàn)表示，而對(duì)于小企業(yè)來(lái)說(shuō)，暫時(shí)沒(méi)有必要全面升級(jí)換代，選擇主要業(yè)務(wù)和內(nèi)容進(jìn)行局部完善即可。

    對(duì)此，汪家常表示認(rèn)可：“成本效益原則還是必須要堅(jiān)持的，如果徹底推翻現(xiàn)行的信息系統(tǒng)，企業(yè)將付出巨大的代價(jià)。”有些企業(yè)可能會(huì)選擇自建內(nèi)控信息系統(tǒng)，汪家常表示：“一般來(lái)說(shuō)，企業(yè)自行開(kāi)發(fā)GRC產(chǎn)品從效益上來(lái)看也是不現(xiàn)實(shí)的，但特別有條件或有自身需求的企業(yè)可選擇自建。”

    IT技術(shù)不是靈丹妙藥

    “為了減少內(nèi)控實(shí)施成本，很多企業(yè)求助于IT技術(shù)，但I(xiàn)T技術(shù)對(duì)于企業(yè)實(shí)施內(nèi)部控制來(lái)說(shuō)并不是靈丹妙藥。”汪家常告誡當(dāng)前的一些企業(yè)。

    在汪家?？磥?lái)，“如果企業(yè)目前的管理水平和信息化水平較低，那么，提高企業(yè)現(xiàn)行的管理水平、優(yōu)化業(yè)務(wù)流程并逐步使管理系統(tǒng)對(duì)業(yè)務(wù)流程有一定的控制能力，才是當(dāng)務(wù)之急。此后再利用信息系統(tǒng)，內(nèi)部控制方才有實(shí)施基礎(chǔ)，否則將會(huì)事倍功半。”對(duì)于大型集團(tuán)企業(yè)來(lái)說(shuō)，還要高度關(guān)注內(nèi)部控制的標(biāo)準(zhǔn)化。汪家常解釋說(shuō)，由于大型集團(tuán)企業(yè)地域、組織、系統(tǒng)分散，甚至出現(xiàn)企業(yè)文化和價(jià)值的不統(tǒng)一，在利用IT技術(shù)解決內(nèi)部控制問(wèn)題時(shí)，必須使集團(tuán)的管理系統(tǒng)、內(nèi)部控制流程、關(guān)鍵風(fēng)險(xiǎn)標(biāo)識(shí)、系統(tǒng)權(quán)限控制、內(nèi)部控制評(píng)價(jià)和報(bào)告盡可能統(tǒng)一和標(biāo)準(zhǔn)化，“否則，建立統(tǒng)一的集團(tuán)內(nèi)部控制平臺(tái)將是不可能的。”“還有一點(diǎn)很重要。利用IT技術(shù)實(shí)施內(nèi)部控制，應(yīng)由易到難，分步進(jìn)行。一般認(rèn)為，提供基本合規(guī)性和風(fēng)險(xiǎn)控制及報(bào)告功能是必需的，只有在該部分系統(tǒng)運(yùn)行正常后，再考慮其他功能產(chǎn)品。”汪家常最后說(shuō)。