COBIT框架下的會計信息系統內部控制初探

○李 強 （西安航天動力研究所 陜西 西安 710100）

近年來，財務軟件已經逐漸代替傳統的算盤成為會計工作的主要工具，大部分企業通過財務軟件的使用，極大的提高了日常會計核算工作的效率，隨著信息化技術的快速發展，財務軟件的功能逐漸得以擴展，和企業資源管理系統集成的趨勢日益明顯，會計業務流程和信息化技術的這種融合使得會計信息系統的不確定增加，而對信息化技術浪潮下的內部控制研究卻鮮有成果出現，COBIT（信息及相關技術控制目標）框架在全世界范圍得到了推廣，研究COBIT框架的主要內容，探討在此框架下的會計信息系統內部控制具有積極的現實意義。

一、COBIT框架概述

COBIT全稱為：Control Objectives for Information&related Technology，中文暫譯為：信息及相關技術控制目標。它是一系列關于IT管理最佳實踐（框架）的集合，由美國信息系統審計與控制協會（ISACA）下屬的IT治理委員會（ITGL，Information Technology Governance Institute）于1992年創建。COBIT為管理人員、審計人員和IT用戶提供了一套通用的測量、顯示和處理的方法以及最佳的實踐，幫助其通過在公司中使用信息技術和適當的IT治理與控制，使公司的利益最大化。2007年5月ITGL發布了COBIT4.1，主要由四部分組成：框架、控制目標、管理指南和成熟度模型。其主要內容及關系見圖1。

從圖1可以看出，COBIT框架將業務目標和IT過程緊密的結合了起來，在IT流程支撐下的業務流程首要的IT控制目標，根據其將IT活動通過分解、度量過程、審計和控制有效的結合起來。分解主要是對關鍵活動的分解，具體執行過程中則要加以職責和可操作性；度量過程則使用了業績、結果和成熟度模型；通過審計和控制活動，對內部控制的結果和目標進行測試，獲得最佳的控制實踐。

圖1 COBIT主要內容及關系

COBIT的IT過程就是在IT總體控制目標的導向下，對組織的信息化歸納為34個IT處理流程，在控制目標的確定上，COBIT將管理活動分為4個領域：計劃與組織、獲取與實施、交付與支持、檢測和評價，針對34個IT處理流程進一步進行分解，確定了210個具體的控制目標，在梳理控制目標的基礎上，對每一控制目標的實現建立詳細的管理策略等，在對業務目標分解和控制具體目標確定的基礎上，COBIT又形成了管理指南，使得COBIT的可操作性大大提高。利用成熟度模型，可以對組織目前所處的IT環境進行判斷，同時，在管理指南中詳細地敘述了每個過程的成熟度模型——從渾沌狀態的0級到優化的5級、KGI、KPI以及要達到KGI的“重要成功因素”CSF。同時，還給出了與這個過程密切相關的IT資源，以及信息判據中哪些特征最為重要和比較重要。在文件“詳細控制目標”中，則按照34個IT處理流程逐一給出“詳細控制目標”。最后，COBIT還包括“信息系統審計指南”，構成比較復雜，包含了“審計道德要求”、“信息系統審計標準”、“信息系統審計指南”、“信息系統審計過程”等子文件。

目前，COBIT已經在100多個國家的超過10000家企業獲得應用，全球有160余個機構在推廣COBIT的知識體系和方法論。COBIT從體系化、標準化的高度，構建關于信息系統投資、建設、評估、風險控制的知識框架，超越了傳統的產品與服務的概念，是IT行業乃至信息化事業的新的發展思路。COBIT模型實現了企業戰略和IT戰略的互動，形成了持續改進的良性循環機制，為企業提供了具有一定參考價值的解決方案，對推動信息技術的發展和應用具有十分重要的現實意義。

二、會計信息系統風險現狀

會計信息系統使得傳統的手工會計核算轉化為計算機程序控制的會計管理活動，一方面原來大量的會計數據輸入得以簡化，在會計憑證記賬階段，輸入關于經濟業務的相關信息，按照會計準則規定選擇會計科目，在憑證生成保存后，會計明細賬、總賬、會計報表等都可以通過初始化設置提取會計記賬憑證數據而產生，會計工作效率得以大大提高。另一方面，會計信息系統的廣泛使用，使得會計人員過多的依賴于計算機，在滿足“借方金額=貸方金額”的輸入條件后會計信息系統不會對業務發生的合理性進行判斷，會計信息的質量有可能受到影響，而過多的依賴于計算機所產生的軟硬件錯誤可能會給會計信息系統帶來災難性的后果，會計信息系統面臨以下風險。

1、計劃與組織風險

信息技術的快速發展推動了企業的信息化進程。傳統的財務軟件在初始階段主要是滿足如何把手工信息變為計算機信息，隨著企業規模的擴展和競爭的加劇，會計數據在企業經營管理中的作用日益重要，會計數據向綜合數據轉化，企業利益相關者對會計數據“背后的故事”的需求增加，財務軟件的各種輔助管理模塊應運而生，發展到今天，財務軟件已經和企業其他管理軟件融合，會計人員提供的數據更多是幫助企業進行決策支持等。

企業在財務軟件的實施過程要考慮多方面的因素，除了成本要進行控制外，軟件的合規性以及可操作性等也非常重要，但是，很多企業都忽略了財務軟件和其他管理軟件的融合問題，比如企業物資管理采用的Oracle數據庫，人力資源采用了Sybase數據庫，而財務軟件又采用了DB2數據庫，數據庫的多樣性導致了企業業務數據和會計數據匹配上存在一定的困難，進而使得會計數據的及時性和可靠性都受到影響。

在組織結構及制度的建立上，企業往往是各個部門都設有自己的“系統維護員”，而系統之間的數據對接及信息變化等缺乏相應的組織結構進行協調，造成了企業的信息化投入成本很大，但結果卻是“信息孤島”越來越多，各種信息最終在企業的經營管理過程中的有效性大大降低，信息判斷的偏差很可能會導致企業經營決策判斷失誤，加大企業經營風險。

2、維護與支持風險

財務軟件往往都由專門的軟件公司提供，一般在項目實施階段，財務軟件公司會成立專門的項目組負責軟件的初始化及培訓工作，在項目實施結束后很少有軟件公司留下專門的人員負責財務軟件的后續支持工作，這在很大程度上要求企業財務人員除了具備專業的財務知識外，具備基本的計算機操作能力就成為必須，甚至有專門的系統管理人員。而在現實的企業經營中，由于會計人員專業知識結構等差異，很難有人對財務軟件的后續問題提供及時的支持，大部分“系統管理員”從事于添加會計科目、增加往來單位等事項，很少對現有軟件的運行風險進行綜合考慮。這導致了在實際的運行過程中財務軟件的使用效率大大降低，同時，沒有充分的利用財務軟件進行綜合數據的收集與分析也降低了會計數據的有效性。

3、審計與評估風險

2006年以來，我國政府陸續頒布了多項內部控制規范，向社會公開征求意見，內部控制已經成為理論和實踐關注的熱點問題，但是，在IT環境下的內部控制卻還沒有專門的規范，目前僅有的《企業內部控制規范XX號——計算機信息系統》（征求意見稿）、中國注冊會計師準則1633號和1231號等分別對被審單位在電子商務環境的審計風險進行了描述，對于會計信息系統在審計中應關注的風險點和具體審計程序、目標等尚未有相應的規范出臺。注冊會計師在執行審計的過程中一般是要求被審單位將會計賬薄打印出來，按照傳統的審計方法進行審計，但對于計算機與網絡技術的運用有什么風險、怎樣才能控制并降低這些風險缺乏相應的指導，另一方面，如何利用計算機技術對財務軟件數據進行收集和分析也缺乏相關的知識和工具，IT環境下注冊會計師審計面臨新的挑戰。

三、COBIT框架下加強會計信息系統內部控制的建議

1、從戰略層面考慮企業會計信息系統設置，建立IT管理部門

COBIT是基于企業業務流程的IT治理、安全與控制的框架，根據COBIT框架，會計信息系統業已成為企業整體信息系統的一個重要構成部分。企業應在戰略層面考慮會計信息系統的設置，重視軟件的數據采集、編碼統一、人員集中等，避免出現同一材料在不同部門之間的數據傳遞缺乏統一的編碼規范，造成數據匯總的困難。同時，隨著企業經營規模的擴張，基于IT流程的計算機數據會快速膨脹，成立專門的IT數據管理部門已成為現實的需要，IT管理部門可以完成企業各種軟件的標準統一、數據采集、數據分析等大量工作，提高會計信息系統數據的有效性和及時性。

2、梳理企業業務流程，建立會計信息系統風險控制機制

COBIT框架中的34個業務流程和210個控制目標為企業實施COBIT提供了具體的指導，企業可以根據具體經營情況，梳理業務流程節點，根據各節點建立相應的內部控制目標，在此基礎上，建立企業會計信息系統風險控制機制，包括業務流程預警體系、計算機信息系統數據采集與存儲制度、網絡安全管理制度、管理員權限與人員授權管理等。充分保障會計信息系統在IT環境下運行的安全、穩定，將風險降低到可接受范圍內。

3、加大培訓，提高專業人員素質

會計信息系統的廣泛使用使得會計人員的技能必須得以提高，持續的培訓是提高人才能力有效途徑。在人才培訓上，不僅包括專業的會計人員，還應包括審計人員、企業技術人員等，可以考慮對低層次人員培訓與高層次人員培訓、在職人員培訓和未來人才培養、集中培訓和自主學習等多方式多層次的培訓模式。應該看到，掌握更多的IT技能已經成為未來信息技術環境下人才必備的技能之一，會計人員應主動和技術人員溝通，參與到項目的實施過程中，更好地推動企業經營管理水平的提高。

[1]胡曉明、林娟：COBIT4.0：解讀與啟示[J].科技管理研究，2007（11）.

[2]陽杰、莊明來、陶黎娟：基于COBIT的會計業務流程控制[J].審計與經濟研究，2009（2）.

[3]董榆梅、夏建光：基于COBIT的ERP實施績效評價研究[J].云南財經大學學報，2007（S1）.

[4]陳婉玲、袁若賓：COBIT及其在信息系統控制與審計中的應用[J].審計研究，2006（S1）.

[5]羅小琴：淺談會計電算化與內部控制[J].財會研究，2006（12）.

[6]丘朝才：中小型單位會計信息系統的風險分析與防范[J].中國管理信息化（會計版），2006（12）.

[7]陳婉玲、袁若賓：COBIT及其啟示[J].會計之友（上旬刊），2006（1）.