淺談會計電算化信息系統內部控制

吉林財經大學 王金剛 海南醫學院 續 鳴

淺談會計電算化信息系統內部控制

吉林財經大學 王金剛 海南醫學院 續 鳴

一、會計電算化信息系統對內部控制新要求

（一）內部控制范圍與程序改變 隨著網絡技術與電子商務不僅改變了企業傳統的交易模式，而且使企業內部的經營管理發生了質的變化，企業的運作由計算機信息系統（如ERP系統）按先進的管理模式控制與管理。原先應由會計人員處理的有關業務事項，可能由其他業務人員在終端機上一次完成；原先應由幾個部門按預定的步驟完成的業務事項，現在可能集中在一個部門甚至一個人完成。因此，要保證企業財產物資的安全完整、保證會計系統對企業經濟活動反映的正確和可達到企業管理的目標，企業內部控制制度的建立和完善就顯得更為重要，內部控制制度的范圍較手工會計系統更加廣泛，內部控制程序也由主要的制度控制變為計算機程序空中和管理控制相組合。

（二）內部控制組織功能改變 在手工會計系統中，每一步都有文字記錄，都有經手人簽字，會計處理流程和軌跡十分清楚。在電子商務和網絡經營條件下，傳統的會計線索可能完全消失。在電子商務系統中，客戶的訂單、企業的發貨單、發票、支票、電子貨幣或收付憑證等都以電磁信息的形式在網上傳遞并存儲于磁性介質中。網上交易被稱為無紙交易。除外部交易的原始憑證無紙化外，在網絡經營條件下，企業內部業務的會計線索也發生了質的變化。會計的確認、計量、記錄和報告都集中由計算機按程序指令執行，各項處理沒有直接責任人。網絡數據處理的集中性使傳統的組織控制功能減弱，網絡的應用大大減少了人工輸入環節，數據訪問和數據交換都通過應用服務器進行。網絡計算機集成化處理促使傳統手工會計中制單、復核、記賬等不相容崗位相互牽制制度的效力削弱，傳統的組織控制功能弱化。

（三）內部控制風險改變 隨著計算機使用范圍的擴大，利用計算機進行的貪污、舞弊、詐騙等犯罪活動也有所增加，由于儲存在計算機磁性媒介上的數據，有時甚至能不留痕跡地篡改，數據庫技術的提高使數據高度集中，未經授權的人員有可能通過計算機和網絡瀏覽全部數據文件，復制、偽造、銷毀企業重要數據。計算機舞弊和犯罪造成的危害和損失可能比手工會計系統更大，因此，網絡財務系統的內部控制不僅難度大、復雜、而且還要有各種控制的計算機技術手段。

由此可見，網絡財務系統的內部控制制度與手工會計系統的內部控制制度相比較，內部控制范圍更大，控制程序更復雜，控制的重點為職能部門和計算機數據處理部門并重的全面控制，是人工控制和計算機自動控制相結合的多方位控制。

二、會計電算化信息系統內部控制探討

（一）管理控制 管理控制主要指企業針對網絡環境下的財務系統而設置的以保護資產安全性與信息真實性為目的的控制措施，它屬于組織方面的內容。管理控制要求在網絡財務環境下著重關注以下方面：

（1）組織機構重新設置。傳統會計系統的內部控制機制與手段已不適應網絡環境，網絡環境下會計信息系統必須針對網絡的特點，建立適應網絡系統的控制體系及組織機構和崗位責任制度。控制范圍應由原來單一的財務部門轉變為財務部門和計算機管理部門共同控制。控制方式應由單純的手工控制轉化為組織控制、手工控制和程序控制相結合的全面內部控制。

（2）職責重新劃分。內部控制的關鍵之點就在于不相容職務的分離，計算機會計系統與手工會計系統一樣，對每一項可能引起舞弊或欺詐的經濟業務，都不能由一個人或一個部門經手到底，必須分別由幾個人或幾個部門承擔。在網絡財務系統中，不相容的職務主要有系統開發、發展的職務與系統操作的職務，數據維護管理職務與電算審核職務，數據錄入職務與審核記賬職務，系統操作的職務與系統檔案管理職務等。企業為防止舞弊或欺詐，應建立一整套符合職責劃分原則的內部控制制度，同時，還應建立起職務輪換制度。

（3）日常操作控制管理。一般而言，企業對用于計算機會計系統的計算機的上機管理措施應包括：

制定上機操作規程。主要包括軟硬件操作規程、作業運行規程和用機時間記錄規程等。

加強系統人員的操作管理。人作為系統主體是網絡發展的基本動力和信息安全的最終防線，人員操作管理的重點是權限控制。系統管理員被賦予超級用戶管理權限，主要負責系統軟、硬件的管理維護和網絡資源分配，操作人員應按照被賦予內權限嚴格作業，不得越權接觸系統，系統程序員不得進行業務操作，以避免人為因素或操作不當給操作系統帶來不必要的損失和風險。

建立計算機資源訪問授權和身份認證制度。即明確每個用戶的安全級別和身份標識，并分別定義具體的訪問對象。

建立安全稽核機制。對系統操作的事件類型、用戶身份、操作時間、系統參數和狀態以及系統敏感資源進行實時監控和記錄，進行必要的權限設置，以便能夠對各種不同的權限進行用戶識別和遠程請求識別。

設置安全檢測預警系統。即實時尋找具有網絡攻擊特征和違反網絡安全策略的數據流，實時響應和報警，阻斷非法的網絡連接，對事件涉及的主機實施進一步跟蹤，創造一種漏洞檢測與實時監控相結合的可持續改進的安全模式。

（4）加強內部審計監督。內部審計的本質是一種特殊的組織控制。通過內部審計部門對網絡會計系統信息的質量和完整性進行獨立和公正地監督與評價，有利于系統內部自我約束、自我激勵機制的建立與健全。

（二）技術控制 技術控制是針對網絡系統正常運行進行評價、檢測及管理工作，是從系統可靠性、安全性、效率性等（簡稱系統性能）來確認內部控制的執行和有效性。主要有以下方面：

（1）系統開發控制。系統開發控制是為保障網絡會計系統開發過程中各項活動的合法性和有效性而設計的控制措施，它應貫穿于系統規劃、系統分析、系統設計、系統實施和系統運行測試與維護的各個階段。主要包括：明確開發目標，制定項目管理計劃，進行項目的可行性研究與分析；控制開發進度，監督開發質量，檢查各功能模塊設置的合理性及程序設計的可靠性，提高系統可審性。

（2）重點測試。利用網絡在線測試的功能，檢驗整個系統的完整性，對系統應對非法數據的容錯能力、系統抗干擾能力和發生突發事件的應變能力以及系統遭遇破壞后的恢復能力進行重點測試；做好人員和設備等資源的整合配置以及初始數據的安全導入，保證新舊系統的轉換有序進行。

（3）保證安全。一旦發現網絡系統各類軟件可能存在安全漏洞，應立即進行在線修補與升級，并將所有與軟件修改有關的記錄報告及時存儲歸檔。

（三）網絡系統安全控制 主要包括：

（1）硬件設備安全控制。硬件設備安全主要涉及計算機機房環境和設備的技術安全要求。應制定網絡計算機機房和設備的管理制度、崗位職責和操作規程，嚴格禁止無關人員接觸系統，專機專用；計算機機房應充分滿足防火、防潮、防塵、防磁和防腐涉及恒溫等技術要求，關鍵性硬件設備可采用雙系統備份。

（2）系統軟件安全控制。嚴格控制系統軟件的安裝與修改，對系統軟件進行定期的預防性檢查，系統被破壞時，要求系統軟件具備緊急響應、強制備份、快速重構和快速恢復的功能。

（3）會計信息安全控制。會計信息安全的基礎是密碼學。按加密和解密算法所用的密碼是否相同，將密碼分為對稱密碼體制和非對稱密碼體制。后者在信息安全管理方面得到了廣泛的應用。如通訊線路上的數據流加密，數據庫中的數據文件加密，訪問者的身份認證，數字簽名等。除密碼學之外，模式識別的方法也在網絡信息安全方面得到應用。如指紋識別、面容識別在身份認證中具有很好的作用。

（4）系統入侵防范控制。為了防止非法用戶對網絡會計系統的入侵，應采取設置防火墻，身份認證和授權管理等安全技術，用以限制外界對主機操作系統的訪問；用以隔離開局應用系統與外界訪問區域之間的聯系，限制外界穿過訪問區域對網絡應用系統服務器尤其是對會計數據庫系統的非法訪問；加強原有的基于賬戶和口令的控制，提供授權訪問控制和用戶身份識別。

（5）交易安全控制。為了保證交易者的交易信息不被他人竊取或破譯，主要應采取數字加密、數字認證等核心技術。

（四）應用控制 應用控制是指在網絡快捷系統的數據輸入、通訊、處理和輸出環節所采用的控制程序和措施。

（1）輸入控制。輸入控制的重點在于建立適當的授權和審批機制，并對輸入數據的準確性進行校驗，如總數控制校驗、平衡校驗、科目代碼校驗和邏輯關系測試等。

（2）通訊控制。通訊控制的重點在于批量控制，業務時序控制、數據編碼控制與發放和接收的標識控制等。

（3）處理控制。處理控制的重點在于處理過程的現場控制、數據有效性檢測、預留神經線索控制和錯誤糾正控制等。

（4）數據輸出控制。數據輸出控制的重點在于數據稽核、授權輸出和打印程序控制等。

［1］鮮軍：《基于Internet電子商務的信息安全技術》，《金融電子化》1999年第期。

（編輯 向玉章）