会计信息化环境下的内部控制探讨
2022-06-09
随着信息技术的深入应用，会计信息化改变了企业原有的业务流程和运行方式，为内部控制带来了新的工作内容和控制措施，传统的内部控制已无法适应新环境的变化。因此，强化内控管理、完善内控制度、降低内控风险是信息化环境和现代企业制度的必然要求。
一、会计信息化与内部控制概述
（一）会计信息化与内部控制的基本内涵
会计信息化是在20世纪90年代末，随着会计界对ERP（EnterpriseResourcePlanning）以及会计电算化认识的不断深入而提出的概念，它是信息技术与会计学科高度融合的现代会计信息系统。企业利用计算机技术对会计信息资源进行获取、处理、传输和存储，实现了信息的高度共享和业务的自动处理，为企业经营管理决策提供了准确、充分、及时的会计信息。会计信息化不仅仅是信息技术运用于会计学科上的变革，它更代表一种与现代信息技术环境相适应的新会计思想。
内部控制最为权威的定义是COSO委员会于1992年提出并于1994年补充的《内部控制一体化框架》。在这份文件中，COSO将内部控制分为五个要素：控制环境、风险评估、控制活动、信息与沟通、监督。2004年9月，COSO再次颁布了关于内部控制的研究报告《企业风险治理框架》（EnterpriseRiskManagementFramework，简称ERM），将内部控制的研究重点转向了风险及其治理，在内部控制五要素的基础上拓展为八要素：内部环境、目标设定、事件识别、风险评估、风险回应、控制活动、信息与沟通、监督。
（二）中国石油会计信息化与内部控制现状
1.中国石油会计信息化的现状
自重组上市以来，中国石油的会计信息化工作取得了显著的成绩，其会计一级集中核算系统的理念和应用已达到了世界先进水平。目前，中国石油已实现了财务管理与业务管理的深度融合，搭建了以ERP为集成平台，以FMIS（FinanceManagementInformationSystem）为工作平台的ERP-FMIS融合信息平台。中国石油的会计信息化主动将FMIS系统融入ERP系统，实现了油品购销存核心业务的实时在线操作和数据自动传输，增强了公司的全过程管控和全方位信息共享能力，使企业经营活动与财务工作有机结合，减少了重复劳动，降低了劳动强度，提高了工作效率，进一步发挥了财务和业务的一体化协同运作优势。
2.中国石油对内控体系的探索
为满足法律监管要求，防范公司各类风险，中国石油按照美国《萨班斯-奥克斯利法案》（Sarbanes-OxleyAct）要求，立足中国石油管理实际，于2003年8月率先启动内控体系建设，历经项目启动、体系建立、实施改进、测试审计、维护改进五个阶段，创造性地建立了中国石油内部控制体系框架，编制发布了国内企业第一部《内部控制管理手册》。经过2006-2008年内部控制体系的平稳运行，中国石油又启动了内部控制评价考核体系建设工作，并于2009年颁布实施了《内部控制运行评价管理办法》，保障了内控体系的长期有效运行。
二、会计信息化对内部控制的影响
会计信息化环境下的内部控制是内部控制的特殊形式。良好的内部控制有助于防止会计信息失真，对会计信息化起保障作用；反过来，会计信息化对内部控制有支持作用，良好的会计信息化有助于部门、员工之间的信息沟通，及时发现问题，对企业的各种风险进行适时控制。随着IT技术特别是以Internet为代表的网络技术的发展和运用，会计信息化进一步向深层次发展，这些变革无疑给企业带来了巨大的效益，但同时也给内部控制带来了新的问题和挑战，增加了内部控制的难度与复杂性。
（一）内部控制主体的转变
传统的内部控制主要是围绕人的因素展开的，公司通过在各个关键环节建立稽查和审核制度，由不同的人来完成一项经济业务，很容易通过会计记录分清执行主体与责任主体，可以追溯到任何一个环节或者任何一个人，由此形成了企业的内部控制牵制网。而在会计信息化环境下，企业实现了信息储存的无纸化和系统操作的自动化，很多内部控制措施和勾稽关系核对都由计算机自动完成，内部控制的主体逐渐从人的控制向人机控制转变。
（二）内部控制内容的扩大
会计信息化环境下，信息披露与经营决策的数据支持主要来源于信息系统，与系统相关的硬件设备、软件开发、病毒防治、网络安全等因素相应地被纳入到内部控制活动中。另外，由于企业与外部信息的传递更加频繁，内部控制的内容不再局限于企业内部的人和制度，而是逐步扩大到企业外部和宏观环境，成为一个涵盖客户、供应商和销售商、竞争者和合作者的多维网络控制系统。
（三）内部控制范围的延伸
会计信息化实现了业务数据与财务数据的全面集成，使企业内部控制的范围逐渐从财务活动控制延伸到业务流程控制及企业资源控制。中国石油ERP-FMIS系统上线后，与油品有关的采购、入库、调拨、销售等业务由基层库站或业务部门直接在ERP系统中操作，通过融合系统传输到FMIS系统生成会计凭证和财务报表。也就是说，业务部门和基层库站都有可能影响到财务系统中的数据，会计信息化打破了原有会计核算中的岗位设置和工作模式，内部控制的范围向业务部门和基层员工延伸。
（四）内部控制风险的增加
会计信息化控制技术的复杂性大大降低了会计信息的安全性，加大了系统的控制风险。一方面，由于信息系统会计处理的"无痕化"，增加了企业内部稽核的难度；另一方面，会计信息在传递过程中有可能被截取、篡改或泄漏，会计信息的真实性和完整性受到威胁，面临着病毒感染、黑客入侵、违规操作的安全风险。
三、会计信息化环境下内部控制的完善思路
为进一步适应会计信息化环境的变化，降低经营风险，完善企业内部控制的思路分五步骤进行：第一，以COSO整体框架为指导，分析企业内部控制的现状；第二，发掘企业经营活动中存在的薄弱环节，查找内控新风险产生的根源；第三，将会计信息化融入企业目标制定和风险管理，设定风险控制目标；第四，对会计信息化应用的范围和深度进行细化，完善内控制度和控制措施；最后，根据企业内部控制的执行效果，建立相应的反馈改进机制。
（一）分析控制环境
控制环境是影响企业内部控制各种要素的总称，是实施内部控制的基础，一般包括机构设置、权责分配、内部审计、人事政策、企业文化等。中国石油ERP-FMIS融合系统上线后，会计信息化渗透到公司经营管理的每一个环节，公司组织结构和权责分配也随之调整，员工不再是被动地接受操作指令，而是成为自我控制、协同控制的单元。会计信息化促使员工成为企业决策网络上的节点，任何一个与ERP系统操作有关的库站员工，都有可能影响FMIS系统中的数据，最终影响到财务报表输出及经营管理决策。会计信息化改变了中国石油原有的管理模式、职责权限、员工能力等一系列要素，形成了一种网络化、开放化、自主化和现代化的企业环境。
（二）评估控制风险
风险评估是分析企业内部控制风险并合理确定风险应对策略的过程，是内部控制体系的关键要素。会计信息化在提高企业经营管理效率的同时，也产生了新的企业风险。由于企业的经营管理越来越依赖于会计信息系统，如果信息系统失灵将导致重要信息的遗失或泄漏，会对企业造成不可估量的损失。另外，会计信息化使得企业经营活动处在一种开放性、信息分散和数据共享的环境中，极大地改变了以往封闭集中状态下的运行模式，扩大了风险控制内容，导致公司管理控制方式、风险评估机制等情况发生变化，增加了信息化环境下内部控制执行的难度。
（三）设定控制目标
控制目标是企业内部控制所要达到的目的。会计信息化要求公司在设定内部控制目标时就要考虑信息技术部分，需要从信息化战略、信息资源管理、信息资源利用和信息资源使用等不同层次设定它的控制目标，并充分考虑信息系统形成的各种财务报告的可靠性和有效性等因素，使控制目标对中国石油的战略目标和经营管理目标起到更好的促进和保证作用。
（四）确定控制活动
控制活动是企业为了保证指令能够有效执行而制定实施的控制政策与程序。会计信息化环境下，公司内部控制的对象仍然是企业的生产经营过程，但由于信息化环境极大影响了企业的业务流程和具体控制点，会计信息化将业务部门和基层库站的操作直接嵌入到会计信息系统，使内部控制的形式和控制手段发生了很大变化。结合中国石油的实际情况，可以将会计信息化环境下的控制活动分为传统系统控制和集成业务控制，以保证会计信息系统正确性、完整性和安全性。
（五）内控自我评估
由于会计信息化环境下内部控制的部分监督可以自动完成，往往导致公司在发生损失后才发现控制失效，因此，必须加强内部控制的自我评估，提高公司内部控制的自我意识，定期或不定期地评估企业内控流程的有效性，以达到加强经营管理、提高劳动效率、改进内审程序、优化业务流程、控制经营风险的目的。
四、会计信息化环境下加强内部控制的措施
（一）实施业务流程重组，优化企业内部控制
为最大限度地适应内外部环境变化，降低企业经营风险，必须从根本上考虑重塑公司的业务流程。中国石油的会计信息化蕴含了先进的企业管理思想，但如果其业务流程一直保持不变，必然会造成信息系统与业务流程的脱节，从而形成内部控制的弱点和漏洞。因此，将流程管理嵌入信息系统，狠抓制度流程落实，实施业务流程重组对企业内部控制具有十分重要的意义。
一、会计信息化与内部控制概述
（一）会计信息化与内部控制的基本内涵
会计信息化是在20世纪90年代末，随着会计界对ERP（EnterpriseResourcePlanning）以及会计电算化认识的不断深入而提出的概念，它是信息技术与会计学科高度融合的现代会计信息系统。企业利用计算机技术对会计信息资源进行获取、处理、传输和存储，实现了信息的高度共享和业务的自动处理，为企业经营管理决策提供了准确、充分、及时的会计信息。会计信息化不仅仅是信息技术运用于会计学科上的变革，它更代表一种与现代信息技术环境相适应的新会计思想。
内部控制最为权威的定义是COSO委员会于1992年提出并于1994年补充的《内部控制一体化框架》。在这份文件中，COSO将内部控制分为五个要素：控制环境、风险评估、控制活动、信息与沟通、监督。2004年9月，COSO再次颁布了关于内部控制的研究报告《企业风险治理框架》（EnterpriseRiskManagementFramework，简称ERM），将内部控制的研究重点转向了风险及其治理，在内部控制五要素的基础上拓展为八要素：内部环境、目标设定、事件识别、风险评估、风险回应、控制活动、信息与沟通、监督。
（二）中国石油会计信息化与内部控制现状
1.中国石油会计信息化的现状
自重组上市以来，中国石油的会计信息化工作取得了显著的成绩，其会计一级集中核算系统的理念和应用已达到了世界先进水平。目前，中国石油已实现了财务管理与业务管理的深度融合，搭建了以ERP为集成平台，以FMIS（FinanceManagementInformationSystem）为工作平台的ERP-FMIS融合信息平台。中国石油的会计信息化主动将FMIS系统融入ERP系统，实现了油品购销存核心业务的实时在线操作和数据自动传输，增强了公司的全过程管控和全方位信息共享能力，使企业经营活动与财务工作有机结合，减少了重复劳动，降低了劳动强度，提高了工作效率，进一步发挥了财务和业务的一体化协同运作优势。
2.中国石油对内控体系的探索
为满足法律监管要求，防范公司各类风险，中国石油按照美国《萨班斯-奥克斯利法案》（Sarbanes-OxleyAct）要求，立足中国石油管理实际，于2003年8月率先启动内控体系建设，历经项目启动、体系建立、实施改进、测试审计、维护改进五个阶段，创造性地建立了中国石油内部控制体系框架，编制发布了国内企业第一部《内部控制管理手册》。经过2006-2008年内部控制体系的平稳运行，中国石油又启动了内部控制评价考核体系建设工作，并于2009年颁布实施了《内部控制运行评价管理办法》，保障了内控体系的长期有效运行。
二、会计信息化对内部控制的影响
会计信息化环境下的内部控制是内部控制的特殊形式。良好的内部控制有助于防止会计信息失真，对会计信息化起保障作用；反过来，会计信息化对内部控制有支持作用，良好的会计信息化有助于部门、员工之间的信息沟通，及时发现问题，对企业的各种风险进行适时控制。随着IT技术特别是以Internet为代表的网络技术的发展和运用，会计信息化进一步向深层次发展，这些变革无疑给企业带来了巨大的效益，但同时也给内部控制带来了新的问题和挑战，增加了内部控制的难度与复杂性。
（一）内部控制主体的转变
传统的内部控制主要是围绕人的因素展开的，公司通过在各个关键环节建立稽查和审核制度，由不同的人来完成一项经济业务，很容易通过会计记录分清执行主体与责任主体，可以追溯到任何一个环节或者任何一个人，由此形成了企业的内部控制牵制网。而在会计信息化环境下，企业实现了信息储存的无纸化和系统操作的自动化，很多内部控制措施和勾稽关系核对都由计算机自动完成，内部控制的主体逐渐从人的控制向人机控制转变。
（二）内部控制内容的扩大
会计信息化环境下，信息披露与经营决策的数据支持主要来源于信息系统，与系统相关的硬件设备、软件开发、病毒防治、网络安全等因素相应地被纳入到内部控制活动中。另外，由于企业与外部信息的传递更加频繁，内部控制的内容不再局限于企业内部的人和制度，而是逐步扩大到企业外部和宏观环境，成为一个涵盖客户、供应商和销售商、竞争者和合作者的多维网络控制系统。
（三）内部控制范围的延伸
会计信息化实现了业务数据与财务数据的全面集成，使企业内部控制的范围逐渐从财务活动控制延伸到业务流程控制及企业资源控制。中国石油ERP-FMIS系统上线后，与油品有关的采购、入库、调拨、销售等业务由基层库站或业务部门直接在ERP系统中操作，通过融合系统传输到FMIS系统生成会计凭证和财务报表。也就是说，业务部门和基层库站都有可能影响到财务系统中的数据，会计信息化打破了原有会计核算中的岗位设置和工作模式，内部控制的范围向业务部门和基层员工延伸。
（四）内部控制风险的增加
会计信息化控制技术的复杂性大大降低了会计信息的安全性，加大了系统的控制风险。一方面，由于信息系统会计处理的"无痕化"，增加了企业内部稽核的难度；另一方面，会计信息在传递过程中有可能被截取、篡改或泄漏，会计信息的真实性和完整性受到威胁，面临着病毒感染、黑客入侵、违规操作的安全风险。
三、会计信息化环境下内部控制的完善思路
为进一步适应会计信息化环境的变化，降低经营风险，完善企业内部控制的思路分五步骤进行：第一，以COSO整体框架为指导，分析企业内部控制的现状；第二，发掘企业经营活动中存在的薄弱环节，查找内控新风险产生的根源；第三，将会计信息化融入企业目标制定和风险管理，设定风险控制目标；第四，对会计信息化应用的范围和深度进行细化，完善内控制度和控制措施；最后，根据企业内部控制的执行效果，建立相应的反馈改进机制。
（一）分析控制环境
控制环境是影响企业内部控制各种要素的总称，是实施内部控制的基础，一般包括机构设置、权责分配、内部审计、人事政策、企业文化等。中国石油ERP-FMIS融合系统上线后，会计信息化渗透到公司经营管理的每一个环节，公司组织结构和权责分配也随之调整，员工不再是被动地接受操作指令，而是成为自我控制、协同控制的单元。会计信息化促使员工成为企业决策网络上的节点，任何一个与ERP系统操作有关的库站员工，都有可能影响FMIS系统中的数据，最终影响到财务报表输出及经营管理决策。会计信息化改变了中国石油原有的管理模式、职责权限、员工能力等一系列要素，形成了一种网络化、开放化、自主化和现代化的企业环境。
（二）评估控制风险
风险评估是分析企业内部控制风险并合理确定风险应对策略的过程，是内部控制体系的关键要素。会计信息化在提高企业经营管理效率的同时，也产生了新的企业风险。由于企业的经营管理越来越依赖于会计信息系统，如果信息系统失灵将导致重要信息的遗失或泄漏，会对企业造成不可估量的损失。另外，会计信息化使得企业经营活动处在一种开放性、信息分散和数据共享的环境中，极大地改变了以往封闭集中状态下的运行模式，扩大了风险控制内容，导致公司管理控制方式、风险评估机制等情况发生变化，增加了信息化环境下内部控制执行的难度。
（三）设定控制目标
控制目标是企业内部控制所要达到的目的。会计信息化要求公司在设定内部控制目标时就要考虑信息技术部分，需要从信息化战略、信息资源管理、信息资源利用和信息资源使用等不同层次设定它的控制目标，并充分考虑信息系统形成的各种财务报告的可靠性和有效性等因素，使控制目标对中国石油的战略目标和经营管理目标起到更好的促进和保证作用。
（四）确定控制活动
控制活动是企业为了保证指令能够有效执行而制定实施的控制政策与程序。会计信息化环境下，公司内部控制的对象仍然是企业的生产经营过程，但由于信息化环境极大影响了企业的业务流程和具体控制点，会计信息化将业务部门和基层库站的操作直接嵌入到会计信息系统，使内部控制的形式和控制手段发生了很大变化。结合中国石油的实际情况，可以将会计信息化环境下的控制活动分为传统系统控制和集成业务控制，以保证会计信息系统正确性、完整性和安全性。
（五）内控自我评估
由于会计信息化环境下内部控制的部分监督可以自动完成，往往导致公司在发生损失后才发现控制失效，因此，必须加强内部控制的自我评估，提高公司内部控制的自我意识，定期或不定期地评估企业内控流程的有效性，以达到加强经营管理、提高劳动效率、改进内审程序、优化业务流程、控制经营风险的目的。
四、会计信息化环境下加强内部控制的措施
（一）实施业务流程重组，优化企业内部控制
为最大限度地适应内外部环境变化，降低企业经营风险，必须从根本上考虑重塑公司的业务流程。中国石油的会计信息化蕴含了先进的企业管理思想，但如果其业务流程一直保持不变，必然会造成信息系统与业务流程的脱节，从而形成内部控制的弱点和漏洞。因此，将流程管理嵌入信息系统，狠抓制度流程落实，实施业务流程重组对企业内部控制具有十分重要的意义。