中國聯通信息化環境下的內部控制體系建設

作者 | 馮寧 胡穎峰

所謂內部控制，是指各級管理部門在本單位、本部門內部因分工而產生的相互制約、相互聯系的基礎上，采取一系列具有控制作用的方法、措施和程序，并即時以規范化、系統化、制度化，由此所形成的一整套嚴密的控制機制，也稱為內部控制體系。

中國聯通作為國內首批通過美國《薩班斯法案》404條款的企業，在一系列重組、融合中不斷進行業務的整合、流程的再造及系統的建設，在內控體系搭建過程中積累了很多的經驗與教訓。

以信息系統建設為契機重建內部控制體系

中國聯通在多年來的內控控制體系建設中取得了許多經驗，也遇到了很多問題。究其原因，在于內控制度與業務運營結合不夠緊密，這也是絕大多數實施了信息化管理企業的通病，包括缺少事前、事中的監控手段，較多地依靠事后的抽樣核查；缺少IT管理系統的有效支撐，更多地依賴個人主觀意識；內部控制體系沒有很好的融入在現有IT管理系統中；業務的運營由信息系統承載，分散化的系統難以高效承載業務管理，內部控制體系建設與業務系統的規劃相對獨立，內控制度很難與信息系統緊密融合等。

由于內控規則無法通過系統固化，導致業務處理不連貫、信息質量不穩定，這種情況不止影響了內控的效果，也影響了公司運營的效率。

同時，在搭建內控控制體系中，內控管控范圍、管控精細度的問題非常關鍵，“管全、管細”公司業務會死，“管不全、管不細”公司業務會亂。

中國聯通以集團信息化系統建設為契機，重新搭建定位內部控制體系，明確了內控體系搭建的各類原則，全面梳理業務流程，將內部控制體系的建設完全融入了信息化的整體框架之中。

將內控要求固化于業務模型

COSO是美國上市公司內部控制框架的參照性標準，也是當前最完善與嚴格的控制標準，它設定了內部控制的五項要素。中國聯通從COSO出發，對自身業務進行重新梳理，進而制定出符合COSO標準的業務模型，包括制度、流程、規則與數據，并通過系統固化于業務處理之中。

其中，制度，即從集團層面統一各環節中的職責分工、崗位說明、行動準則、操作規范，最終形成企業制度并將其固化在系統各操作環節中；流程，即基于公司運營模式與業務藍圖，由集團制定標準化業務處理流程，統一設計流程必經環節及控制點；規則，即主要針對流程和操作的控制性規則，對業務執行的效率與效果進行實時監控；數據，即對于各個流程環節產生業務信息，由集團層面整體掌控，通過必選項設置、列表值方式等在系統中固化，各下級公司則有一定調整權限。

圍繞三大目標搭建內控模型

中國聯通以集團一級架構平臺為基礎，串聯承載業務管理的眾多專業系統，圍繞內部控制三大目標，搭建起中國聯通的內部控制方法。

目標一：財務核算一條線，確保財務報告的真實可信。

確保財務核算與報告真實可信是內控核心目標之一，中國聯通借助業務財務一體化管理平臺，使財務得以還原業務面貌。首先，財務部門不再是信息孤島，可利用財務系統與前端業務系統的全面集成，實時獲得第一手信息，徹底打破了部門間的隔閡。同時，通過系統內固化的“財務管理規則引擎”統一業務語言與財務語言，為內控規則的落實奠定基礎。在此基礎之上，內控規則得以內嵌于業務過程中，財務結果可依據業務信息同時自動“翻譯”生成，避免了人為干預。

中國聯通的“業務財務一體化”已經不僅是從業務到財務的單向翻譯，而是業務財務的雙向閉環。一方面，將業務過程實時、自動的翻譯為財務結果，避免了人為干預，同時實現會計核算的自動化，提高核算效率；另一方面，通過將財務規則內嵌在前端業務流程中，使業務與財務的溝通更加順暢，“翻譯”得更加高效。

目標二：合同管理一條線，防范企業經營風險的核心所在。

合同貫穿于企業經營活動全過程，企業的經營活動過程實質是合同履約過程，因此實現對合同全生命周期的管控，是防范企業經營風險的核心所在。中國聯通的業務流程以合同履約過程為主線，從三個維度對經營過程的風險進行防范控制。

履約監控，即通過利用合同履約主線貫穿公司各專業業務處理環節，整體布局風險監控點，實現防范業務執行中潛在風險的發生。在進行頂層設計階段，中國聯通讓內控專業人員參與到“流程”設計中，識別內控風險點，通過將控制點固化到系統中，變“被動防范”為“主動防范”，實現業務事項管理和風險控制的集成。同時，通過橫向貫穿、事務之間相互檢查和校驗，使得每一個專業應用系統在建設中都具備專業領域內的風險控制能力，包括風險控制規則的定義、風險的識別、風險的事前、事中和事后控制等。

資金控制，即強化資金管理的控制力度，建立收款控制、付款控制以及資金核算，全面監控資金風險。“資金管理”是集團型企業管理公司的重要手段，也是企業控制財務風險的最后一關。借助一級架構的IT系統，中國聯通將資金控制風險規則和公司資金管理思想融入業務流程中，通過統一付款控制和統一收款管理降低資金風險。

權限控制，即從組織制度層面進行崗位職責的權限互斥，建立授權審批等制度，利用系統實現不同維度的自動授權與層級審批制度，最大程度上降低人為風險。同時，加強對個人行為的控制，一方面，在組織制度層面建立流程崗位間權限互斥，基于對角色（崗位）與權限對應關系，進行權限不兼容、依賴關系的梳理，通過建立申請系統與各子系統接口，實現自動配置子系統權限；另一方面，梳理授權體系，使各系統在統一工作流規范的基礎上實現按金額、業務類型等不同維度的自動授權功能，并固化至信息化系統中。

目標三：經營目標一條線，對業務經營實現全面監控。

中國聯通運用了全面預算管理方法，貫穿業務處理流程，監控業務經營效率。傳統的預算控制手段由于受系統和管理條件所限，往往控制滯后，中國聯通的信息化系統，通過構建“合同管理一條線”、“財務管理一條線”，將整個企業端到端的經營過程進行了整合，“預算管理”貫穿于中國聯通整個端到端業務處理流程之中，真正實現了預算的事前、事中、事后的全過程控制。

內控體系促進管理轉型

中國聯通依據“頂層設計”的制度、流程、數據，決定建立以資金流、物流和風險為軸心，兼顧管全與管細的信息化系統架構。

中國聯通規劃建設以資金流為核心的ERP系統和以風險控制為核心的合同管理系統，其中，核心ERP完成資金流、物流的管理，合同完成企業風險控制；同時，圍繞這兩個軸心，中國聯通還規劃建設承擔專業管理能力的各類系統。其最終目標是實現管全管細分開、管全不管細、管細不管全、專業系統更專業、管全系統更輕量的支撐系統格局。

目前，在一級信息平臺上建立的內部控制體系包含了四大類要素：宏觀層面的人為要素和信息化要素、微觀層面的人為要素和信息化要素。對這些要素的把控促進了內部控制工作的轉型。

轉變一：控制對象可分為“個人行為風險”與“IT風險”。

這種轉變主要是由于企業大部分風險可通過信息化系統實現固化，因此針對這類風險的控制，就轉變為對信息化系統配置風險的控制；另外，也是因為個人行為風險無法固化，仍需加以防范，如決策失誤、操作錯誤、聯合欺詐等。

轉變二：控制重點由微觀層面向宏觀層面轉變。

正是因為大部分風險已由信息化系統自動實現控制與防范，因此管理層的工作重點可轉移至內控規則優化、運營效率提升以及內控環境的改善等。