ＥＲＰ環境下內部控制系統建立與實施要點分析

[摘 要] ERP環境下的內部控制系統與非ERP環境下的內部控制系統有明顯的差異，如何將內部控制體系融入ERP系統并將由信息技術帶來的風險納入新的內部控制之中是ERP項目建設中需要解決的重要問題之一#65377;本文依照ERP項目建設過程的順序，針對建立ERP內部控制體系的幾個要點進行分析并提出相應的實施建議#65377;

[關鍵詞] ERP;企業內部控制體系;建立實施

[中圖分類號]F232[文獻標識碼]A[文章編號]1673-0194(2008)14-0005-03

ERP雖然在技術上依托于現代信息技術，但本質上是個管理工程，其目的是要把根據企業實際情況提煉出來的先進管理流程#65380;管理方法#65380;管理技術及管理理念，用現代IT技術固化成型，從而提升企業的工作效率#65377;而內部控制作為一種先進的組織管理制度在現代企業管理中有著重要的地位，它對于確保企業經營目標的實現#65380;國家法規制度的貫徹#65380;財會信息質量的保證#65380;以及財產物資的安全與審計工作的開展等諸多方面都有著非常重要的作用，因而，在ERP 環境下建立內部控制系統是ERP項目實施中不可缺少的一部分#65377;ERP的引入，一方面可以幫助企業節省內部控制的人力成本，提高內部控制的效率，但是另一方面也會給企業內控體系帶來很多具有IT技術特點的新問題#65377;因而在ERP系統開發與的實施過程中，應當全面考慮，將完善的內部控制體系有步驟地融入ERP環境當中，并將由信息技術帶來的風險納入新的內部控制之中，以便在內部控制方面盡量揚ERP之長，避ERP 之短，為企業引入ERP帶來最大的收益#65377;

1. 明確差異，確立ERP系統內部控制體系建立所需要的內部控制框架

為了在ERP環境中建立完善有效的內部控制體系，首先需要認識到ERP內部控制與傳統內部控制存在差異，并需要從理論上選定適用于企業ERP環境的內部控制框架，并依據該框架建立企業自己的內部控制制度，設計內部控制流程#65380;內部控制點#65380;內部控制檢測點等內容#65377;傳統的企業內部控制主要包括:管理控制和會計控制，而在我國則特別強調了會計控制;引入ERP之后，內部控制則除了上述兩個控制內容外又增加了IT控制，由于ERP中IT技術滲透到整個管理系統中，因而IT控制并非一個與管理控制#65380;會計控制相剝離的獨立部分，而是與它們緊密結合#65380;相互作用的部分，需要共同考慮;同時還應當認識到，引進ERP的企業未必能夠建立起一個比非ERP環境下更完善有效的內部控制系統，除非它成功地規避了IT技術本身帶來的風險#65377;為了建立ERP環境下的內部控制系統，企業應當首先確立一個ERP內部控制的總體框架，企業內部控制框架可供選擇與參考的標準很多，目前受到廣泛認可的內部控制框架是美國COSO 1992年提出的內部控制框架， 該框架中內部控制有3個目標(運營效果效率#65380;財務報告的可靠性#65380;相關法律的遵守)以及5個要素(控制環境#65380;風險評估#65380;控制活動#65380;信息溝通#65380;監督)#65377;雖然依據COSO的內部控制框架可以幫助企業建立一個較為完整科學的內控體系，但是COSO并非一個針對IT 環境的內控體系，并沒有將IT 技術納入考量的范圍之內#65377;因而在選擇ERP內部控制框架的時候，還應當借鑒一些偏重于IT環境下的內部控制框架，比如信息系統和技術控制目標(Control Objectives for Information and related Technology，COBIT)它由覆蓋信息化生命周期的4個域#65380;34個IT控制目標#65380;318個詳細控制目標組成#65377;雖然COBIT也涉及企業經營#65380;合法合規等方面的控制，但是偏重信息技術控制，因而應當與COSO共同參考使用#65377;當然還有其他著重IT 內部控制的控制框架，例如英國的BS7799-2以及ISO 20000#65380;ISO 17799等可供參考#65377;依據可供參考的內部控制框架并結合企業的具體實際情況，企業最終確立自己的內部控制框架，并設計出內控藍圖和目標#65377;企業自身對于內部控制目標的精準認識對于企業后續與ERP開發商技術人員之間的溝通會起到關鍵的作用#65377;

2. 在已確定的內部控制框架內對具體的內部控制方案進行細化設計

在基本確立了企業將采用的內部控制框架后，還需要依據此框架建立內部控制制度并對單項內部控制方案進行設計，使確定的內控方案更加細化#65377;一般單項內部控制方案設計思路有3種:按部門設計#65380;按項目設計#65380;按流程設計#65377;由于ERP本身的設計是面向流程的，采用按流程來設計內部控制方案會比較切合實際，關于按照ERP業務循環流程來設計ERP內部控制方案的可行性也有學者提出過論證并予以了肯定#65377;但是需要特別強調的是，按流程設計必須要建立在企業業務流程本身比較合理的基礎上，所以引進ERP時企業對于業務流程的梳理與提煉是至關重要的#65377;圍繞業務流程，企業會計#65380;審計人員與業務人員密切協作，共同分析信息技術環境下的企業訂單#65380;采購#65380;庫存#65380;計劃#65380;生產制造#65380;質量控制#65380;運輸#65380;分銷#65380;人事管理等環節的作業過程#65380;管理過程和信息過程的新特點，制定對應控制規則#65377;在進行設計時，首先，應當明確業務流程中各個作業前后的銜接，明確這些作業相互之間的關系;其次，制定每一項作業相應的作業標準和考核指標;再次，明確每項作業中的任務組合，對每項任務制定出相應的標準，即完成任務的指標，其中包括量化和非量化指標;最后，將每一項任務落實到執行任務的個人或者功能模塊，用上述制定的量化和非量化指標作為考核業績指標#65377;同時由于任務最終落實到組織，涉及授權和責任的劃分，這樣流程的設計和組織的設計就達到了有效的結合;而在一項業務流程的執行過程中，也可能涉及不同的內部控制項目，那么組織#65380;項目#65380;流程就可以完成三維的組合#65377;

3. 在ERP項目引入的需求分析階段與開發階段必須重視與開發商充分溝通

企業在通過前面的兩個步驟明確了自身的內部控制的架構與方案后，在正式啟動ERP項目時企業還必須清晰準確地將自己的內部控制設計意圖與方案向ERP供應商的IT人員進行精準的描述#65377;對于不同的企業來說，其管理流程與業務循環各有不同，因而幾乎沒有企業能夠使用ERP 提供商提供的不加任何變動的ERP 系統，在企業引進ERP之初，都需要與ERP 提供商進行需求分析與溝通，將本企業的特定需求融入到ERP系統中去，企業既定的內部控制方案也需要在這一過程中融入ERP系統#65377;因而，在實施ERP 項目之初，企業必須根據自己制定的內控藍圖與提供方作充分的交流溝通，對戰略理念的控制范圍#65380;控制程序及實現控制的方法都進行清晰的界定#65377;而ERP提供商也必須充分重視和用戶的溝通聯系，分領導決策層#65380;管理執行層和操作實現層3個層次分別進行溝通和培訓，以最終達到理念認識上的統一#65377;即便如此，在ERP系統當中將內部控制具體化的過程也需要努力做很多的工作，除了需要對提供商的IT人員進行詳細的流程業務描述使其能夠將一些內控手段固化到系統當中去之外，還必須聽取IT人員的意見，明確哪些內控功能不能完全依賴于計算機信息系統而仍然需要傳統的方式來進行， 即仍需要明確ERP系統中的內部控制系統是一個人機共同作用的系統，只有通過供需雙方的充分溝通和努力，才能建立起完善有效的ERP內部控制體系#65377;

4. 建立ERP內部控制系統應當從重點模塊入手，逐步擴展完成整個ERP內部控制系統的融入

ERP 實施階段的工作很繁雜，應當重點從財務模塊入手，逐步地實施內部控制體系的融入#65377;ERP系統中影響面最廣的模塊是財務模塊，可以說ERP是一個以財務為導向的系統，因而考慮最先從財務模塊入手最有利于內部控制重點內容的實施#65377;在ERP系統當中，財務與各項業務關系密切，在每一筆業務發生的同時，財務也能獲得其業務信息，因而內部控制從財務入手就容易對業務的成本費用進行有效監控和管理;財務管理和其他業務模塊的集成使得企業的所有業務環節#65380;所有部門都能被有效地制約和監控，做到事前預算#65380;事中控制#65380;事后準確核算;財務與業務的一體化集成，也使得任何地方發生的業務開支如果不進入財務系統也就無法實現，而一進入系統就可被公司總部的財務內部控制功能跟蹤，能夠實現財務的集中控制#65377;此外，從財政部要求實施全面預算管理模式的政府強制性要求來看，財務部門內部控制的觀念和程序相比其他部門更為牢固和自然，因此，也是ERP這樣一個注重內部控制的項目最易于實現的部分#65377;在財務模塊的內部控制融入完成后，再在銷售#65380;供應#65380;生產等環節的業務循環中的逐步進行擴展#65380;融入和實施，重點應放在強化貫徹遵從內部控制的規范性上#65377;當所有預定的控制程序和控制參數被固化到計算機信息系統內部后，就初步完成了面向流程的人機內部控制系統的雛形#65377;

5. 內部控制系統隨著ERP項目的推進建立起來之后，還要經歷一個不斷完善和發展的過程

一個企業建立ERP系統不是一蹴而就的，其中的內部控制系統也必然要隨著ERP系統本身的使用不斷修改而趨于完善#65377;為此，首先企業應當針對已經建成的內部控制系統，在ERP系統運行的過程中不斷進行ERP內部控制效果自測與自評，并最終以報告書的形式對外呈現，這有助于企業監控完善企業內部控制，也有助于管理者對內部控制有效性做出一個明確的評定，用以表明ERP中控制系統總體的可靠性及完整性#65377; 其次，企業的發展階段#65380;管理狀況以及外部環境的變化都是決定企業內控體系建立和有效運行的前提，在企業ERP系統的整個生命周期中，會由于各種原因導致需求發生變化，相應地必須進行系統功能的修改和擴充，而依附于ERP之上的內部控制系統也必須隨著ERP系統的使用與修改不斷進行變動完善#65377;ERP系統中的內部控制系統的成熟完善是一個漸進的過程#65377;

另外，在ERP環境下的內控系統建立及運行，還需要非常重視相關人才的培養#65377;企業在實施ERP系統時會普遍遇到人才缺乏的問題#65377;因為企業此時所需的人才必須精通本企業的各項業務流程，特別是財務方面的各項業務，最好掌握一定的計算機專業技術，還應當具有系統分析員的某些素質，能關注諸如數據環境#65380;數據處理和最新的信息技術等問題，具備了這些專業條件的人才比較容易與ERP系統開發人員溝通，能夠精確地表述企業的意圖和需要#65377;不僅如此，在組織和溝通方面，參與ERP項目的企業員工，除自身能提出較高層次的信息需求外，還應當能夠了解高層領導和基層干部的信息需求，并能利用自己的影響力和號召力，爭取高層領導對系統開發的支持力度，調動和組織相關業務人員參與系統開發，提高開發效率#65377;在一個系統的建設過程中， 如果能夠具有跨計算機專業#65380;財會專業#65380;管理專業及企業相關專業的復合型人才，那么系統成功的把握應相當大，這應是企業引入ERP過程中特別值得關注的問題#65377;

總之，ERP中內部控制系統的建立應當與ERP 項目的建設與實施同步聯動進行，充分考慮IT環境的影響，采取自頂向下的開發思路，兼顧整體與細節，循序漸進地不斷完善#65377;

主要參考文獻

[1] George H Bodnar，William S Hopwood.會計信息系統[M]. 第8版. 北京:清華大學出版社，2001.

[2] 李榮梅，陳良民. 企業內部控制與審計[M]. 北京:經濟科學出版社，2004.

[3] IT Governance Institute. COBIT[M]. 3rd Edition. Information Systems Audit and Control Foundation，September，2000.