廣東聯(lián)通信息系統(tǒng)內(nèi)部控制建設(shè)及其啟示

[摘要]在財政部頒布《上市公司內(nèi)部控制基本規(guī)范》，及其《內(nèi)部控制應(yīng)用指引》的背景下，本文以廣東聯(lián)通公司為研究對象，介紹其信息系統(tǒng)內(nèi)部控制建設(shè)經(jīng)驗，并在此基礎(chǔ)上，得到一些信息系統(tǒng)內(nèi)部控制研究體會，以期對其他準(zhǔn)備建立信息系統(tǒng)內(nèi)部控制的公司一些啟示。

[關(guān)鍵詞]信息系統(tǒng)；內(nèi)部控制；內(nèi)部審計；

近年來，國內(nèi)外一系列公司財務(wù)舞弊事件中所暴露出的企業(yè)會計信息系統(tǒng)方面存在的缺陷，被認為的一個重要原因是因為企業(yè)內(nèi)部控制的不健全。因此，對于如何建立有效的內(nèi)部控制制度受到了各國監(jiān)管機構(gòu)的高度重視。2002年，美國頒布了SOX法案，2008年6月28日，我國財政部等五部門也發(fā)布《企業(yè)內(nèi)部控制基本規(guī)范》，以促進上市公司內(nèi)部控制的建設(shè)與完善。同時對于建立了信息管理系統(tǒng)的企業(yè)也要做好信息系統(tǒng)的內(nèi)部控制制度，以提高信息系統(tǒng)安全性、可靠性、合理性。本文以廣東聯(lián)通為研究對象，在介紹其信息系統(tǒng)內(nèi)部控制建設(shè)的基礎(chǔ)上，談?wù)剬π畔⑾到y(tǒng)內(nèi)部控制研究的一些體會。

一、廣東聯(lián)通信息系統(tǒng)內(nèi)部控制的建設(shè)

1.成立信息化管理部門

廣東聯(lián)通屬于電信行業(yè)，其生產(chǎn)經(jīng)營與IT有著密切的聯(lián)系。為此，公司設(shè)立了信息化管理部門，包括業(yè)務(wù)支撐系統(tǒng)部和管理信息系統(tǒng)部。其中業(yè)務(wù)支撐系統(tǒng)部共有員工63人，下設(shè)8個科室：計費結(jié)算室、營業(yè)管理室、報表管理室、系統(tǒng)支持室、產(chǎn)品服務(wù)室、渠道銷售室、IT研發(fā)室、綜合規(guī)劃室。主要負責(zé)公司的與信息化有關(guān)的具體業(yè)務(wù)；管理信息系統(tǒng)部下設(shè)兩個科室，規(guī)劃建設(shè)室和運行維護室。主要負責(zé)公司管理信息系統(tǒng)的戰(zhàn)略規(guī)劃和日常運行維護等工作。

2.信息化管理部主要負責(zé)信息系統(tǒng)內(nèi)部控制的建設(shè)

廣東聯(lián)通的信息系統(tǒng)內(nèi)部控制建設(shè)工作由信息化管理部門（業(yè)務(wù)支撐系統(tǒng)部和管理信息系統(tǒng)部統(tǒng)稱為信息化管理部門）組織實施。信息系統(tǒng)內(nèi)部控制包括信息系統(tǒng)一般控制（或總體控制）和信息系統(tǒng)應(yīng)用控制。信息系統(tǒng)的一般控制是指對信息系統(tǒng)的開發(fā)和應(yīng)用環(huán)境進行的控制。信息系統(tǒng)的應(yīng)用控制是指利用信息系統(tǒng)對業(yè)務(wù)處理實施的控制。

3.信息系統(tǒng)內(nèi)部控制的主要手段

(1)基于BSS的內(nèi)部控制手段

廣東聯(lián)通不斷完善和優(yōu)化業(yè)務(wù)支撐系統(tǒng)域(BSS)，重點加強分析型BSS系統(tǒng)的建設(shè)，利用其為客戶提供方便、迅速和高品質(zhì)的個性化與多元化服務(wù)，以達到對具體業(yè)務(wù)的控制。

(2)基于ERP的內(nèi)部控制手段

ERP系統(tǒng)是廣東聯(lián)通信息系統(tǒng)的重要組織部分，也是中國聯(lián)通建設(shè)的第一個全公司、跨專業(yè)、跨部門、跨地區(qū)高度統(tǒng)一的管理信息平臺。其主要致力于業(yè)務(wù)數(shù)據(jù)與財務(wù)數(shù)據(jù)的集成與共享，完善財務(wù)風(fēng)險、資產(chǎn)管理等方面的控制。

(3)基于MSS的內(nèi)部控制手段

廣東聯(lián)通通過管理支撐系統(tǒng)域（MSS）的建設(shè)，致力于辦公自動化、企業(yè)管理規(guī)范、數(shù)據(jù)在線分析等方面的控制。

二、廣東聯(lián)通信息系統(tǒng)內(nèi)部控制建設(shè)的總結(jié)

1. 提高了企業(yè)的管理效率，減少了企業(yè)經(jīng)營風(fēng)險

(1)有助于提升企業(yè)的管理效率

公司建立了基于UNI-IT信息系統(tǒng)的管理控制方法，使公司的管理效率得到很大提高，特別是中國聯(lián)通這種對于信息系統(tǒng)依賴性較高的企業(yè)。信息技術(shù)改變了信息的傳輸途徑，增加了信息的傳遞速度，從而縮短了決策時間。同時賦予各相關(guān)人員相應(yīng)的責(zé)權(quán)，減少人為的干預(yù)和差錯，大大提高了公司的管理效率。

(2)規(guī)范了企業(yè)的管理

通過公司信息系統(tǒng)的建設(shè)，將公司的具體業(yè)務(wù)流程嵌入信息系統(tǒng)中，固化了相應(yīng)的流程，使得公司的各項管理工作制度化，規(guī)范了員工和管理者的行為，從而促進了企業(yè)基礎(chǔ)管理水平的提升，為業(yè)務(wù)的發(fā)展奠定了堅實的基礎(chǔ)。

(3)員工風(fēng)險防范意識增強

通過信息系統(tǒng)內(nèi)部控制制度的建立與落實，使公司員工初步掌握了識別風(fēng)險、防范風(fēng)險的能力，改變了以往日常管理活動中粗放隨意的習(xí)慣，自覺地遵守內(nèi)部控制制度。同時，也明確了各部門、各環(huán)節(jié)、各崗位防范控制風(fēng)險的責(zé)任，構(gòu)建了經(jīng)營活動中的責(zé)任體系，每個員工每個崗位都可以順利按照流程開展工作，大大減少過去工作中存在的相互推諉、相互扯皮的情況。

(4)確保財務(wù)數(shù)據(jù)的準(zhǔn)確性與及時性

為了確保業(yè)務(wù)信息能準(zhǔn)確、及時從業(yè)務(wù)管理系統(tǒng)傳遞到財務(wù)系統(tǒng)，提高一線員工的工作效率，公司業(yè)務(wù)支撐系統(tǒng)部組織完成代理商傭金系統(tǒng)、卡資源管理系統(tǒng)與ERP系統(tǒng)的接口建設(shè)和推廣工作，實現(xiàn)代理商傭金系統(tǒng)、卡資源管理系統(tǒng)與ERP系統(tǒng)的數(shù)據(jù)交互和流程對接，解決了“一套數(shù)據(jù)，重復(fù)錄入”的問題，確保業(yè)務(wù)系統(tǒng)與財務(wù)系統(tǒng)數(shù)據(jù)一致。

2. 存在的局限性

(1)需要較大的投入

建立企業(yè)信息系統(tǒng)管理控制模式，不但需要大量的硬件設(shè)備投入，相關(guān)適宜的設(shè)備存放空間，還需要不斷更新投入各種軟件。這筆費用對于一般的企業(yè)是很大的投入，也將直接制約著企業(yè)信息系統(tǒng)和內(nèi)部控制水平的建設(shè)。

(2)信息系統(tǒng)的自動化程度不高

由于公司業(yè)務(wù)流程的不斷更新，市場環(huán)境、市場需求以及公司管理控制環(huán)境的變化，所帶來公司內(nèi)部控制環(huán)境的優(yōu)化，最終將促使公司信息系統(tǒng)的變更、升級，從而產(chǎn)生的一系列問題，需要投入巨大的工作量才能使得信息系統(tǒng)適應(yīng)具體經(jīng)營管理活動。而這對于本來就有大量日常運營和維護工作要做的業(yè)務(wù)支撐系統(tǒng)部來說，是很難維持系統(tǒng)的及時變更和升級的。

(3)公司的一般信息管理系統(tǒng)與應(yīng)用信息系統(tǒng)之間的有效銜接

廣東聯(lián)通的UNI-IT 信息系統(tǒng)主要包括三個子系統(tǒng)：負責(zé)電信業(yè)務(wù)支撐和客戶支持服務(wù)的UNI-CRM 系統(tǒng)、負責(zé)企業(yè)資源管理和計劃財務(wù)管理的UNI-ERP 系統(tǒng)和作為ERP 和CRM的承載體，為各級管理人員直接提供決策支持與日常管理服務(wù)的UNI-MSS 系統(tǒng)。由于這三者涉及到企業(yè)內(nèi)部各種人員，為不同部門服務(wù)，會造成部門之間的各自為政而影響到信息系統(tǒng)的運行效率，特別是信息系統(tǒng)的各子系統(tǒng)之間存在“信息孤島”時更為嚴重。因此應(yīng)加強各子系統(tǒng)之間的銜接，盡可能地消除各系統(tǒng)之間的切換壁壘。

(4)信息技術(shù)對內(nèi)部控制的影響

在普華永道對廣東聯(lián)通進行信息系統(tǒng)內(nèi)部控制評價時，按照COBIT要求，在系統(tǒng)上線前需要進行加固，以防止信息的泄漏和系統(tǒng)的被入侵。但加固后又會限制系統(tǒng)運行速度和系統(tǒng)功能，因此就只能是有條件的加固。這就違背了信息系統(tǒng)內(nèi)部控制的相應(yīng)條款。所以在進行信息技術(shù)下的內(nèi)部控制評價時，還要考慮到信息技術(shù)本身的特點。

(5)勝任的內(nèi)部控制評審人員不足

每年的內(nèi)部控制評審涉及到的風(fēng)險點多，時間緊迫，要確保評審工作能按時保質(zhì)完成，對測評人員的任職要求較高，既要熟悉各類經(jīng)濟業(yè)務(wù)和信息系統(tǒng)各子系統(tǒng)之間的數(shù)據(jù)構(gòu)成，了解抽樣方法和手段，又要掌握底稿和報告編制的程序和規(guī)則，并且具備良好的分析和溝通能力。但在全省范圍內(nèi)，專職的內(nèi)審人員不多，且其他符合上述任職要求的人員也不多，因而在評審過程中，各分公司存在的例外問題未能全部被發(fā)現(xiàn)，底稿和報告的質(zhì)量未能得到有效的保障。

三、得到的啟示

1.企業(yè)方面

(1)高層管理者的高度重視是做好內(nèi)部控制建設(shè)工作的前提

企業(yè)高層管理者的高度重視是內(nèi)部控制工作取得階段性成果的前提條件。因為內(nèi)部控制的建設(shè)規(guī)范了企業(yè)的管理行為和員工的工作行為，但增加了相應(yīng)的工作程序和工作量，會遭到一部分執(zhí)行者的抵觸，因此，高層管理者的態(tài)度就很重要。廣東聯(lián)通公司充分認識到內(nèi)部控制建設(shè)的重要性和緊迫性，將企業(yè)經(jīng)營管理的指導(dǎo)方針確定為“增產(chǎn)節(jié)支、精細管理、內(nèi)強素質(zhì)”，將內(nèi)部控制工作提到公司戰(zhàn)略的高度上加以重視。公司高層不定期組織內(nèi)部控制工作會議，主持參與流程的審定，直接組織各部門各分公司的問題整改工作，大大推動了廣東聯(lián)通公司的內(nèi)部控制建設(shè)。

(2)信息系統(tǒng)相關(guān)部門的積極參與是做好信息系統(tǒng)內(nèi)部控制工作的基礎(chǔ)

信息系統(tǒng)內(nèi)部控制建設(shè)不僅僅是公司信息化管理部門的工作職責(zé)，而且需要信息系統(tǒng)應(yīng)用部門的積極參與和配合。信息系統(tǒng)內(nèi)部控制建設(shè)工作涉及到與信息系統(tǒng)有關(guān)的每個崗位、每個人員，信息系統(tǒng)內(nèi)部控制制度的有效執(zhí)行，離不開企業(yè)的各級管理者和員工的積極參與。廣東聯(lián)通經(jīng)過大力宣傳與貫徹，使內(nèi)部控制管理理念深入人心，通過編制流程崗位對應(yīng)表和崗位流程對應(yīng)表，將每個流程落實到在崗的員工。每位在崗的員工通過切實執(zhí)行內(nèi)部控制制度，逐步加強基礎(chǔ)管理工作，有力推動了公司的內(nèi)部控制建設(shè)工作。

(3)信息系統(tǒng)內(nèi)部控制工作要與生產(chǎn)經(jīng)營活動緊密結(jié)合

信息系統(tǒng)內(nèi)部控制工作是在各業(yè)務(wù)流程的基礎(chǔ)上開展的，因此業(yè)務(wù)流程的推廣質(zhì)量直接影響到信息系統(tǒng)內(nèi)部控制工作，信息系統(tǒng)內(nèi)部控制工作是否有效將取決于流程和制度是否得到了有效的執(zhí)行，而內(nèi)部控制制度規(guī)范是否被有效執(zhí)行，又取決于流程和制度是否符合生產(chǎn)經(jīng)營活動的實際情況。因此，只有結(jié)合實際工作制定具體風(fēng)險問題的防范措施，將信息系統(tǒng)內(nèi)部控制工作從流程設(shè)計、制度制定、措施貫徹等各個環(huán)節(jié)與生產(chǎn)經(jīng)營緊密結(jié)合，才能讓企業(yè)員工易于理解和接受，才能更好地發(fā)揮其作用。同時需要確定相應(yīng)流程的重要會計科目，以便確定影響重要會計科目的關(guān)鍵系統(tǒng)，若重要會計科目的范圍太寬泛，就會導(dǎo)致關(guān)鍵系統(tǒng)和關(guān)鍵控制點難以明確。

(4)從公司戰(zhàn)略角度構(gòu)建信息系統(tǒng)內(nèi)部控制框架

針對信息系統(tǒng)的開發(fā)和變更，以及各子系統(tǒng)之間的整合問題，應(yīng)該站在戰(zhàn)略的角度建立公司的信息系統(tǒng)。根據(jù)公司戰(zhàn)略發(fā)展的需要，構(gòu)建信息系統(tǒng)大平臺，建立相應(yīng)的信息系統(tǒng)模塊與流程，確定關(guān)鍵風(fēng)險點和關(guān)鍵控制點，從而可以及時更新系統(tǒng)以適應(yīng)公司業(yè)務(wù)流程的變化和各子系統(tǒng)之間的整合。

(5)加強員工的培訓(xùn)和內(nèi)部控制建設(shè)的同步進行

在確定好公司戰(zhàn)略基礎(chǔ)上的信息系統(tǒng)內(nèi)部控制框架后，確定各業(yè)務(wù)流程的關(guān)鍵風(fēng)險點和關(guān)鍵控制點既需要投入大量的工作量又需要相關(guān)人員的專業(yè)判斷，同時要對公司整個信息系統(tǒng)內(nèi)部控制框架非常熟悉。所以就需要對相關(guān)技術(shù)人員進行內(nèi)部控制建設(shè)方面知識的培訓(xùn)，內(nèi)部控制人員的信息系統(tǒng)技術(shù)知識的培訓(xùn)。并且要做好信息系統(tǒng)內(nèi)部控制建設(shè)的計劃步驟，嚴格完成各環(huán)節(jié)。

(6)大力培養(yǎng)既懂審計業(yè)務(wù)又熟悉信息技術(shù)的內(nèi)部控制管理人員

信息系統(tǒng)內(nèi)部控制建成后，其有效性就取決于相關(guān)工作人員的執(zhí)行力度，所以應(yīng)加強內(nèi)部控制的監(jiān)督和內(nèi)部審計。因此，內(nèi)部審計人員除了應(yīng)具備審計專業(yè)知識外，還要掌握各業(yè)務(wù)系統(tǒng)之間的數(shù)據(jù)生成流程和相應(yīng)的信息技術(shù)知識。只有這樣才能發(fā)現(xiàn)整個信息系統(tǒng)的風(fēng)險所在和內(nèi)部控制的執(zhí)行效果，以便提出切實可行的防范措施。

(7)信息系統(tǒng)內(nèi)部控制工作要建立長效機制、長抓不懈

內(nèi)部控制工作是一項長期的任務(wù)，復(fù)雜而艱巨。信息系統(tǒng)的開發(fā)和變更、業(yè)務(wù)處理流程的變化等都會改變風(fēng)險問題，因此，必須適時修正控制流程和控制措施，完善內(nèi)部控制制度規(guī)范，保證制度規(guī)范的健全性。通過建立檢查督導(dǎo)制度，鞏固已經(jīng)整改的成果，防止死灰復(fù)燃，建立健全長效機制，長抓不懈，避免出現(xiàn)前清后亂、工作反復(fù)的弊病。

(8)提倡系統(tǒng)控制，減少人工控制

信息系統(tǒng)是廣東聯(lián)通經(jīng)營和管理的基礎(chǔ)，廣東聯(lián)通認識到通過信息系統(tǒng)控制效率高、風(fēng)險小，而人工控制成本高、風(fēng)險大。因此，廣東聯(lián)通在信息系統(tǒng)開發(fā)過程中，充分利用信息技術(shù)優(yōu)勢，優(yōu)化流程，完善控制點，將處理規(guī)則嵌入到系統(tǒng)程序中，減少人工控制，增加系統(tǒng)控制，并實現(xiàn)手工處理環(huán)境下難以實現(xiàn)的控制功能，這樣可以更加高效地預(yù)防、發(fā)現(xiàn)和糾正錯誤和舞弊。

2.監(jiān)管方面

(1)制定信息系統(tǒng)內(nèi)部控制應(yīng)用指引時，應(yīng)注意企業(yè)信息系統(tǒng)建設(shè)的差異

信息系統(tǒng)的內(nèi)部控制指引是為引導(dǎo)企業(yè)充分利用信息系統(tǒng)達到企業(yè)的戰(zhàn)略目標(biāo)和業(yè)務(wù)目標(biāo)，提高信息系統(tǒng)的效率與效益，增強信息系統(tǒng)的安全性、可靠性和合理性及信息的保密性、完整性和可用性而制定的，它的作用對象具有普遍性。而不同類型的企業(yè)其信息系統(tǒng)的完善程度是有差異的，比如像聯(lián)通公司的信息系統(tǒng)作用與一般企業(yè)的信息系統(tǒng)是不一樣的，因為聯(lián)通公司的業(yè)務(wù)支撐與運營支撐都完全建立在信息系統(tǒng)的基礎(chǔ)上，這種差異將決定著企業(yè)對信息系統(tǒng)的投入，從而也影響到信息系統(tǒng)的內(nèi)部控制狀況。所以，在制定具體指引時，要考慮企業(yè)信息系統(tǒng)的差異，抓住一般性。

(2)注重信息系統(tǒng)內(nèi)部控制環(huán)境的建設(shè)

在分析廣東聯(lián)通的信息系統(tǒng)內(nèi)部控制建設(shè)與執(zhí)行過程中，感覺到內(nèi)部控制環(huán)境的建設(shè)對整個信息系統(tǒng)內(nèi)部控制的建立起著較大作用。信息系統(tǒng)建設(shè)的戰(zhàn)略性與長期規(guī)劃、信息系統(tǒng)管理的組織架構(gòu)與人力資源管理政策、高層管理者的理念與支持等對信息系統(tǒng)內(nèi)部控制起著決定性地影響。因此，在制定信息系統(tǒng)內(nèi)部控制指引時，應(yīng)加強信息系統(tǒng)內(nèi)部控制環(huán)境方面的內(nèi)容。

(3)加強信息系統(tǒng)的數(shù)據(jù)生成源頭的監(jiān)控

企業(yè)引入信息系統(tǒng)以及具體的應(yīng)用信息系統(tǒng)體系，將大大提高企業(yè)的管理效率，減少數(shù)據(jù)在傳遞過程中的失誤，主要是因為信息系統(tǒng)將一些日常重復(fù)性工作流程予以固化，同時具有數(shù)據(jù)自動生成機制。因此，要保證信息的準(zhǔn)確性和可用性的主要環(huán)節(jié)在于如何保證源頭信息的準(zhǔn)確性。所以，在制定信息系統(tǒng)內(nèi)部控制指引時，應(yīng)加強信息生成源頭的控制內(nèi)容。

參考文獻：

[1]Ashbaugh-Skaife， H.， Collins， D.， Kinney， W.， 2007. The discovery and reporting of internal control deficiencies prior to SOX-mandated audits. Journal of Accounting and Economics， 44:166-192

[2]Doyle， J.， Ge， W.and McVay， S.， 2007b. Accruals quality and internal control over financial reporting. The Accounting Review， 5:1141-1170

[3]IT Governanece Institute．COBIT4.1[EB/OL]．http://www.isaca.org

[4]羅文東，李剛.電信運營企業(yè)信息系統(tǒng)審計實踐.中國內(nèi)部審計協(xié)會“信息化環(huán)境下的內(nèi)部審計”論文集，2007

[5]中國聯(lián)通.中國聯(lián)通企業(yè)信息化系統(tǒng)運行維護規(guī)程.內(nèi)部資料

[6]中國聯(lián)通.中國聯(lián)通信息系統(tǒng)開發(fā)管理細則.內(nèi)部資料

[7]中國聯(lián)通.中國聯(lián)通信息系統(tǒng)變更管理細則.內(nèi)部資料

[8]中國聯(lián)通.中國聯(lián)通數(shù)據(jù)備份管理細則.內(nèi)部資料

[9]中國聯(lián)通.中國聯(lián)通信息安全管理規(guī)程.內(nèi)部資料

[10]中國聯(lián)通.中國聯(lián)通信息系統(tǒng)管理職責(zé)分工標(biāo)準(zhǔn).內(nèi)部資料

[11]中國聯(lián)通.廣東聯(lián)通企業(yè)信息化系統(tǒng)(UNI-IT)運行維護規(guī)程-基礎(chǔ)篇(試行版).內(nèi)部資料

[12]中國聯(lián)通.廣東聯(lián)通企業(yè)信息化系統(tǒng)(UNI-IT)運行維護規(guī)程-運維篇(試行版).內(nèi)部資料