ERP系統環境下內部會計控制風險及防范研究

武漢大學經濟與管理學院 徐晟

ERP系統是指建立在信息技術基礎上，以系統化的管理思想，為企業決策層及員工提供決策運行手段的管理平臺。ERP系統主要是對企業所擁有的人、財、物、信息、時間和空間等綜合資源進行綜合平衡和優化管理，協調企業各管理部門，圍繞市場導向開展業務活動，提高企業的核心競爭力，從而取得最好的經濟效益。ERP系統集信息技術與先進管理思想于一身，成為現代企業良好的運行模式，反映了時代對企業合理調配資源，最大化地創造社會財富的要求，成為企業在信息時代生存、發展的基石。近年來，企業會計信息化日益成為企業管理變革的一項重要內容，給企業帶來的不僅僅是管理手段上的革新，更是管理理念和管理方式上的變革。為了更好的迎接這種變革，我國政府十分重視對內部控制的研究，并發布了一系列規范和指導意見，促進了企事業單位內部控制制度的建立和完善。然而，在企業信息化過程中，會計工作不可避免地受到影響。為了保證會計記錄真實可靠、企業資產安全完整、相關法律法規得到遵循，會計信息系統內部控制受到高度重視，隨著網絡技術全方位地滲透到企業經營過程，會計信息系統內部控制也必然面臨著重新組織。傳統內部會計控制手段基本是由人來控制，通過制度的制定以及事后檢查來實現管理目標。在執行過程中，個體素質的差異將影響管理控制的質量，存在一定的主觀性，尤其對關鍵環節的控制影響較大，導致管理效率低，控制成本高。隨著企業信息化進程的深入和ERP在企業管理中的廣泛應用，傳統的控制手段已明顯不適應日益復雜的控制環境和控制程序，極大地阻礙了內部會計控制目標的實現。本文擬從ERP的內涵和特征出發，探討ERP環境給內部會計控制帶來的優勢和風險，并針對其風險提出了相應的防范措施。

一、ERP系統環境下內部會計控制優勢

（一）改變了企業原有的組織結構 在信息技術的大環境下，企業所處的內部環境發生了變化，在傳統崗位基礎上還要求對原有的業務流程進行優化和重新設計，針對ERP系統設置工作崗位并授予一定的權限。如：系統管理員、賬套主管、銷售主管、采購主管等職務。

（二）改變了內部會計控制的方式 數據處理的集中性使內部控制程序化。在手工會計環境下，內部控制主要采用結構控制法，包括設置相互牽制的會計崗位。通過會計業務的相互稽核進行控制，會計工作通常被分成幾個步驟，按一定的程序完成。任何一個步驟都是對前面工作的審查與復核，前一個步驟中出現的錯誤往往可以在后一步驟中發現而得以修改。例如，憑證的錯誤可以在記賬中發現，記賬的錯誤可以在對賬中發現，對賬中未發現的錯誤又可以在編制報表中發現。然而使用計算機后，大部分的會計處理工作都由計算機自動完成。這種數據處理的集中性使得傳統的組織控制功能減弱，原有的內部控制措施逐步由相應的程序功能代替。如：操作權限控制功能、數據輸入、輸出控制功能等。

（三）擴大了內部會計控制的范圍 ERP系統運行的復雜性使內部控制的范圍擴大。由于ERP系統的實施，會計核算環境發生了很大變化，會計部門的組成人員也由原來單一的財務會計人員變成會計人員和系統操作人員（包括業務人員）兩部分。ERP系統的數據處理方式復雜多樣，這不僅給會計工作增加了新的內容，也使內部控制的范圍相應擴大。例如，不但要注意對業務操作人員的制約管理，更要強調會計人員與計算機維護人員之間的內部牽制；不僅要對輸出的紙質資料進行歸檔管理，更要加強對計算機機內數據的維護與安全管理。

（四）改變了內部會計控制的重點 在手工會計環境下，內部控制的重點在人員之間的相互牽制，即“一般控制”。而采用ERP系統后，會計工作的執行涉及到人與系統軟件兩個因素，并且系統軟件還是主要的影響因素。這使得內部控制的重點由對人控制轉變為對人、機的控制，即“一般控制+應用程序控制”。如：對原始數據輸入計算機的控制、人機交互處理的控制、會計信息的輸出控制，崗位分離及授權控制等。

（五）提高了內部會計控制的時效性 ERP環境下經營信息的高度共享，使企業的決策者能隨時了解經營情況并及時做出應有的反應。各部門管理人員也可以隨時監控系統運行情況，收到ERP系統自動發出的錯誤報告或異常情況信息快速做出處理，從而達到及時控制風險和損失的目的。

二、ERP系統環境下內部會計控制的風險因素

一個完整的ERP系統是人力資源、財務、銷售、制造、分銷以及供應鏈管理等的集成能使企業實現對競爭壓力和市場機會的迅速反應，采用靈活的產品裝配，減少庫存以及更加有效的供應鏈管理。但ERP系統中單一的數據庫使過去跨部門的審批流程得到簡化和壓縮，從而用于企業內部控制的許多審計線索在ERP系統的引入后消失了；企業過去基于文件審批的內部控制機制，也無法適應ERP基于流程的管理需要，更重要的是由于企業的業務運作更加依賴于ERP系統，導致了企業新的業務風險。

（一）內部會計控制管理制度不健全 信息化在處理方式和內部結構上與原來的手工會計系統存在著較大的差別，原有手工會計環境下的管理制度已不能適應信息化管理的需要。要保證信息化安全、有效運行，就必須建立健全一套新的管理制度。否則不但不能很好地發揮會計信息化的作用，還會造成單位工作的混亂，給非法行為以可乘之機，從而給企業造成無法挽回的損失。目前我國有些企業雖然建立了內部控制制度，但總體上仍缺乏科學性、前瞻性。具體表現在：內部控制制度在內容上片面、零散，不具有科學性和系統性；偏重事后控制；企業對外部環境和經濟業務的變化缺乏前瞻性，導致其管理滯后；內部控制手段相對落后。

（二）身份識別與權限控制風險 在手工會計系統中，一項經濟業務從發生到形成相對應的會計信息，所經歷的每個環節都要求具有相應管理權限的人員簽字或蓋章，簽名或印章的仿造具有一定的難度。這種傳統管理方式的效率雖不高，但可以有效地防止作弊。會計信息化后，原來人與人之間的關系部分轉化為人與計算機之間的聯系，簽名或蓋章轉化為授權文件和口令，許多手工方式下的數據處理流程都匯集到了信息化程序中。口令對于精通計算機知識的人來說算不上什么秘密。同時，業務人員可以利用特殊的文件或口令，獲得某種權利或運行特定程序進行業務處理，從而造成經濟損失。這就要求企業會計人員嚴格身份認證、加強授權控制。如果不能很好地解決以上問題，就很難保證會計信息的真實性和準確性。

（三）專業人才匱乏 從會計人員的素質角度看，盡管經過多年的努力，企業會計人員的業務素質有了較大的提高，但在信息技術環境下，對既掌握會計專業知識，又懂相應的管理知識及計算機應用技術的復合型人才還很少。而且長期以來，企業會計人員養成了按照會計制度的有關規定，采用固定的模式來進行會計處理的習慣，缺乏職業判斷能力。而信息技術環境下的會計處理是一種計算機與會計相結合的方法，不僅需要現代化手段的技術支持，先進的生產制度作保障，更需要高素質的會計人員，否則，就很難保證實施的效果。

（四）網絡安全 網絡環境具有開放性的特點，給會計信息系統的內部控制帶來了許多新問題。具體表現在：（1）會計信息失真。在網絡環境下，電子符號代替了會計數據，磁介質代替了紙介質，會計信息面臨安全風險，網絡系統面臨安全風險，企業內部控制面臨失效風險。由于財務數據流動過程中簽字蓋章等傳統確認手段不再存在，不能排除電子憑證、電子賬簿可能被隨意修改，從而使網上信息的真實性受到質疑。一旦會計信息系統的安全受到侵害，最直接的影響就是會計數據錯誤、數據丟失或被篡改，從而使會計信息失真，不同程度地影響到會計信息使用者進行有關決策。網絡系統的開放性和動態性加大了審計取證難度，加劇了會計信息失真的風險。（2）企業資產損失。利用非法手段侵吞企業資產是會計信息系統安全風險的主要形式之一。其手段主要有：未經許可非法侵入他人計算機設施、通過網絡散布病毒等有害程序、非法轉移電子資金及盜竊銀行存款等。隨著犯罪技術的日趨多樣化、復雜化，信息系統犯罪更加隱蔽，更加難以被發現，涉及的金額也從最初的幾千元發展到幾萬元，甚至幾百萬元，由此造成的安全風險損失越來越大，后果越來越嚴重。（3）信息泄露與篡改。企業的財務數據屬重大商業機密，在網絡傳遞過程中，大量信息通過網絡通訊線路傳輸，有可能遭受非法攔截、竊取和篡改，從而造成企業重要信息泄露。信息技術高速發展的今天，信息在企業的經營管理中變得尤為重要，成為企業的一項重要資本，甚至決定了企業在激烈的市場競爭中的成敗。利用高技術手段竊取企業機密是當今計算機犯罪的主要目的之一，也是構成系統安全風險的重要形式，常常會對企業造成無法估量的損失。（4）系統安全控制難度大。無論是無法避免的自然災害，還是出于非法目的而輸入的破壞性程序、操作者操作失誤造成硬件設施的損害、計算機病毒的破壞、網絡黑客的攻擊，都有可能使會計信息系統的軟硬件無法正常工作，甚至系統癱瘓，造成巨大損失。

三、ERP系統環境下風險防范措施

在網絡環境下，廣泛地使用網絡信息技術為支持決策和改善業務與信息轉化過程提供了戰略機會，也提供了預防、檢查和糾正錯誤或防止程序舞弊的機會。因此，在網絡環境下建立會計信息系統的內部控制時，應充分考慮技術的能力，打破傳統上獨立的、反映的和檢查性的模式，而具備“實時”的控制思想。即利用網絡信息技術，將控制嵌入到會計信息系統中，在更廣泛的網絡環境下，設置會計信息系統的關鍵控制點，制定相應的控制手段。

（一）完善內部會計控制規范 對于完善內部會計控制規范，企業應建立內部審計機制。健全內部審計機構、加強內部審計監督是營造守法、公平、正直的內部環境的重要保證。企業應當加強內部審計工作，在企業內部形成有權必有責、用權受監督的良好氛圍。第一，在董事會下設立審計委員會的企業，應當保證審計委員會成員具備良好的職業操守和專業勝任能力，審計委員會及其成員應當具有相應的獨立性。審計委員會應當直接對董事會負責。第二，企業應當賦予審計委員會監督企業內部控制建立和實施情況的相應職權。第三，設立專門的內部審計機構的企業，應當保證內部審計機構具有相應的獨立性，并配備與履行內部審計職能相適應的人員和工作條件。

（二）合理進行人員崗位設置 合理進行人員崗位設置，對保證會計數據的及時、準確、安全具有重要作用。這就要求人們建立信息化系統使用登記制度，要在電腦里自動生成文件，用來記錄上機操作人員使用會計軟件的時間、身份、姓名、操作內容和故障情況等，并制定相應的組織和管理機制，明確崗位職責分工范圍，采用相應的管理規章與之配套，設立一種相互稽核、相互監督和相互制約的機制來減少發生錯誤和舞弊的可能性，結合本單位組織的實際情況，進行科學、合理的人員分工。由于集成的會計信息系統將相對獨立的、不同的會計職責集中化為一個信息系統，所有會計處理程序和財務數據存儲在同一個計算機系統中。所有操作員的操作權限均由信息系統進行自動化管理，操作的合法性只能通過操作員姓名和密碼來確認，信息系統本身不能通過字跡驗證操作員的真實身份，處理操作和證、賬、表上簽章也由會計信息系統依據登錄操作員的注冊資料自動完成。因此，操作員身份合法性檢驗和操作權限管理就變得非常重要，操作人員必須嚴格保護自己的操作密碼，防止自己的操作權限被他人侵犯。

（三）加大培養復合型會計人才的力度 企業應加大復合型會計人才的培訓力度，將職業道德素養和專業勝任能力作為選拔和聘用員工的重要標準，并適當關注應聘者的價值取向和行為特征是否與本企業的企業文化和內部控制的有關要求相適應。制定科學、合理的培訓計劃，提高培訓的針對性和實效性，不斷提升員工的道德素養和業務素質。此外，企業應當建立和完善針對各層級員工的激勵約束機制，通過制定合理的目標、建立明確的標準、執行嚴格的考核和落實配套的獎懲，促進員工責、權、利的有機統一和企業內部控制的有效執行。

（四）加強網絡安全管理 自從1986年以來，我國相繼制定并頒布了《中華人民共和國信息系統安全保護條例》、《計算機系統安全規范》、《計算機病毒控制條例》等系列相關的安全方面的條文，有利的打擊了計算機犯罪、病毒的猖獗傳播等，保護了計算機信息的安全。但是，有關會計信息系統安全保護等方面的法律相對甚少，并且很不規范，因此，我國會計信息系統安全立法勢在必行。并且應堅持在立足于我國基本國情的前提下參照國際有關示范的原則，制定出一套規范的、符合我國國情的網絡環境下會計信息系統方面的法律、法規，使我國的會計信息系統真正走上健康發展的軌道。加緊網絡有關法規立法，制定相關法律，把網絡下會計信息系統安全控制納入法制化軌道，并嚴格組織實施網絡安全法律。對于猖獗的計算機罪犯，國家應在全社會范圍內加強宏觀控制，實施網絡安全法律，加強全民網絡安全教育，提高全民防范網絡風險的自覺性和能力，這也是穩定社會、發展經濟的有力保障。首先，在評審網絡型財會軟件時，要進行嚴格的檢查與測試，查看該軟件是否具有容錯和糾錯的能力，確定軟件是否合格、合規。其次，由于會計制度、核算方法不斷變化和更新，要求軟件開發商和企業用戶對網絡環境下的財會軟件不斷進行版本升級，以滿足網絡信息下加強內部控制等各方面的要求。再次，應大力鼓勵和扶持財務軟件的研制和開發。

［1］財政部：《企業內部控制規范——企業內部控制應用指引第18號信息系統》（2010）。

［2］韋永峰：《企業信息化與內部會計控制》，《財經界》（學術版）2008年第11期。

［3］王又花：《基于ERP的內部會計控制分析》，《中國管理信息化》2007年第1期。

［4］劉燕：《會計信息化對企業內部控制的影響》，《財會通訊》（綜合）2006年第6期。

［5］Editorial，The research on internal control［J］.International Journal of Accounting Information Systems6:1-4.

［6］Attaran，Mohsen .Exploring the Relationship between Information Technology and Business Process Reengineering［J］.Information&Management，2004（41）:110-114.