淺談信息系統(tǒng)內(nèi)部控制體系的風(fēng)險(xiǎn)點(diǎn)

陳曉紅，韓一民，楊立發(fā)

（中國(guó)船舶重工集團(tuán)公司第七○三研究所，哈爾濱 150078）

一、風(fēng)險(xiǎn)管理的目的

通過(guò)具有前瞻性的、充分地考慮各類風(fēng)險(xiǎn)的不確定性及其對(duì)目標(biāo)的影響，制定行之有效的應(yīng)對(duì)措施，為組織在運(yùn)營(yíng)和決策中有效應(yīng)對(duì)各類突發(fā)事件和風(fēng)險(xiǎn)提供支持和保障，可使組織能有效的配置資源、優(yōu)化過(guò)程，及時(shí)、恰當(dāng)、有效地應(yīng)對(duì)風(fēng)險(xiǎn)，提高風(fēng)險(xiǎn)應(yīng)對(duì)的效率和效果，更好地實(shí)現(xiàn)組織的目標(biāo)。

二、風(fēng)險(xiǎn)管理原則

（一）風(fēng)險(xiǎn)管理創(chuàng)造并保護(hù)價(jià)值

以控制損失、創(chuàng)造價(jià)值為目標(biāo)的風(fēng)險(xiǎn)管理，，有助于組織實(shí)現(xiàn)目標(biāo)、取得具體可見的成績(jī)和改善各方面的業(yè)績(jī)。風(fēng)險(xiǎn)是客觀存在的，任何組織都面臨風(fēng)險(xiǎn)，組織的所有活動(dòng)都涉及風(fēng)險(xiǎn)，風(fēng)險(xiǎn)會(huì)影響組織目標(biāo)的實(shí)現(xiàn)。在組織的運(yùn)營(yíng)活動(dòng)中，機(jī)遇和威脅并存，風(fēng)險(xiǎn)管理就是趨利避害，創(chuàng)造價(jià)值。因此風(fēng)險(xiǎn)管理過(guò)程越來(lái)越多地被認(rèn)為是既要關(guān)注不確定因素帶來(lái)的消極影響，又要關(guān)注這些不確定因素的積極影響。

（二）風(fēng)險(xiǎn)管理嵌入組織的管理過(guò)程

風(fēng)險(xiǎn)管理不是獨(dú)立于組織活動(dòng)和各項(xiàng)管理過(guò)程的單獨(dú)活動(dòng)，而是組織管理過(guò)程不可缺少的重要組織部分。

（三）風(fēng)險(xiǎn)管理支持決策過(guò)程

組織的所有決策都應(yīng)考慮風(fēng)險(xiǎn)和風(fēng)險(xiǎn)管理。風(fēng)險(xiǎn)管理旨在將風(fēng)險(xiǎn)控制在組織可接受的范圍內(nèi)，有助于判斷風(fēng)險(xiǎn)應(yīng)當(dāng)是否充分、有效、有助于決定行動(dòng)的優(yōu)先順序并選擇可行的行動(dòng)方案，從而幫助決策者做出合理的決策。

（四）明確風(fēng)險(xiǎn)管理涉及的不確定性

風(fēng)險(xiǎn)管理的不確定性指：1.發(fā)生與否不確定；2.發(fā)生的時(shí)間不確定；3.發(fā)生的狀況不確定；4.發(fā)生的后果嚴(yán)重性程度不確定。

風(fēng)險(xiǎn)管理就是要確定這些不確定性，做出對(duì)策，降低風(fēng)險(xiǎn)的影響，確保目標(biāo)的實(shí)現(xiàn)。

（五）風(fēng)險(xiǎn)管理是基于最可用的信息

風(fēng)險(xiǎn)管理過(guò)程是以信息為基礎(chǔ)的。風(fēng)險(xiǎn)的各個(gè)過(guò)程要收集大量的信息，確保風(fēng)險(xiǎn)識(shí)別的充分性和風(fēng)險(xiǎn)決策的有效性。組織應(yīng)該建立獲取風(fēng)險(xiǎn)有效信息的渠道，可以通過(guò)各種渠道，包括經(jīng)驗(yàn)、反饋、觀察、預(yù)測(cè)、專家判斷等獲取有效、有用的信息，確保風(fēng)險(xiǎn)管理過(guò)程的充分性和有效性。在利用收集到的各種信息時(shí)，要考慮各種信息來(lái)源的局限性，確保信息對(duì)策的有效支持。

（六）風(fēng)險(xiǎn)管理考慮人文因素

組織應(yīng)該在內(nèi)部營(yíng)造一種具有風(fēng)險(xiǎn)意識(shí)的企業(yè)文化，培育風(fēng)險(xiǎn)管理文化，樹立正確的風(fēng)險(xiǎn)管理理念，增強(qiáng)員工風(fēng)險(xiǎn)管理意識(shí)，將風(fēng)險(xiǎn)管理意識(shí)轉(zhuǎn)化為員工的共同認(rèn)識(shí)和自覺行動(dòng)，促進(jìn)企業(yè)建立系統(tǒng)、規(guī)范、高效的風(fēng)險(xiǎn)管理機(jī)制。全體員工尤其是各級(jí)管理人員和業(yè)務(wù)操作人員應(yīng)通過(guò)多種形式，努力傳播企業(yè)風(fēng)險(xiǎn)管理文化，牢固樹立風(fēng)險(xiǎn)無(wú)處不在、風(fēng)險(xiǎn)無(wú)時(shí)不在的意識(shí)。

（七）風(fēng)險(xiǎn)管理是透明的和包容的

在組織的風(fēng)險(xiǎn)管理過(guò)程中，風(fēng)險(xiǎn)管理的決策者要參與風(fēng)險(xiǎn)管理過(guò)程，要和風(fēng)險(xiǎn)管理過(guò)程的人員充分的溝通，要在風(fēng)險(xiǎn)管理的各個(gè)環(huán)節(jié)明確要求和準(zhǔn)則，及時(shí)掌握風(fēng)險(xiǎn)動(dòng)態(tài)，做出準(zhǔn)確的決策。風(fēng)險(xiǎn)管理過(guò)程要進(jìn)行充分的協(xié)商和溝通，確保各方的觀點(diǎn)能采納，確保各方的利益能保證。當(dāng)組織在重大風(fēng)險(xiǎn)事件的風(fēng)險(xiǎn)決策過(guò)程中，各方尤其要充分溝通，確保決策的有限性和針對(duì)性。

（八）風(fēng)險(xiǎn)管理是動(dòng)態(tài)的，迭代的和適應(yīng)變化的

由于內(nèi)部和外部事件的發(fā)生、環(huán)境和知識(shí)的改變，以及監(jiān)視和評(píng)審的實(shí)施，有的風(fēng)險(xiǎn)會(huì)發(fā)生變化，一些新的風(fēng)險(xiǎn)可能會(huì)出現(xiàn)，另一些風(fēng)險(xiǎn)可能會(huì)消失。組織應(yīng)持續(xù)不斷地對(duì)各種變化保持敏感并做出適當(dāng)反應(yīng)。

（九）風(fēng)險(xiǎn)管理有利于組織持續(xù)改進(jìn)

風(fēng)險(xiǎn)管理要能夠提高組織的風(fēng)險(xiǎn)管理意識(shí)，改進(jìn)對(duì)機(jī)會(huì)和威脅的識(shí)別，有效配置資源，改善運(yùn)營(yíng)效果和效率，增強(qiáng)組織的生存和持續(xù)發(fā)展的能力。

三、信息系統(tǒng)主要風(fēng)險(xiǎn)點(diǎn)

（一）信息系統(tǒng)開發(fā)的主要風(fēng)險(xiǎn)點(diǎn)

一是缺乏信息系統(tǒng)規(guī)劃與方案，或規(guī)劃與方案不合理；二是信息系統(tǒng)投資決策及預(yù)算管理失誤；三是信息系統(tǒng)開發(fā)工作組織定位不合理、職責(zé)設(shè)置不明確、流程與政策不明晰；四是缺乏有勝任能力和工作熱情的信息系統(tǒng)人員；五是缺乏有效的信息系統(tǒng)質(zhì)量管理、風(fēng)險(xiǎn)管理、績(jī)效測(cè)評(píng)等體系；六是業(yè)務(wù)功能和需求調(diào)研不充分；七是信息系統(tǒng)設(shè)計(jì)流程或方法不當(dāng)；八是信息系統(tǒng)基礎(chǔ)設(shè)施不完整或達(dá)不到標(biāo)準(zhǔn)要求；九是信息系統(tǒng)測(cè)試不充分或不科學(xué)，或缺乏有效的驗(yàn)收工作；十是操作手冊(cè)不詳細(xì)、用戶培訓(xùn)等知識(shí)轉(zhuǎn)移和數(shù)據(jù)工作不到位。

（二）信息系統(tǒng)運(yùn)營(yíng)維護(hù)的主要風(fēng)險(xiǎn)點(diǎn)

1.信息系統(tǒng)響應(yīng)時(shí)間和停機(jī)時(shí)間過(guò)長(zhǎng)，其性能和容量無(wú)法滿足業(yè)務(wù)需求，可能影響工作效率。

2.信息從災(zāi)難中恢復(fù)時(shí)間過(guò)長(zhǎng)，或者無(wú)法恢復(fù)，是信息系統(tǒng)服務(wù)中斷，可能影響工作的正常運(yùn)行。

3.信息系統(tǒng)安全管理技術(shù)與制度不健全，可能將信息資產(chǎn)的脆弱性暴露在危險(xiǎn)境地，給單位帶來(lái)無(wú)法挽回的損失。

4.運(yùn)行維護(hù)遇到的事件、問(wèn)題無(wú)法在規(guī)定時(shí)間內(nèi)得到有效解決，影響信息系統(tǒng)的有效運(yùn)行，使相關(guān)業(yè)務(wù)無(wú)法正常開展。

5.缺乏一個(gè)準(zhǔn)確而全面的配置庫(kù)，無(wú)法確保硬件和軟件配置信息的完整性，可能導(dǎo)致信息系統(tǒng)維護(hù)工作無(wú)序、低效。

（三）信息系統(tǒng)崗位職責(zé)的主要風(fēng)險(xiǎn)點(diǎn)

1.信息系統(tǒng)部門的組織模式不合理，如權(quán)利集中度與分散度不平衡，可能無(wú)法有效調(diào)動(dòng)各方面積極性，及時(shí)響應(yīng)信息系統(tǒng)運(yùn)行需求。

2.信息系統(tǒng)組織層級(jí)過(guò)多，匯報(bào)關(guān)系過(guò)于復(fù)雜，可能導(dǎo)致各層管理者之間溝通不暢，影響信息系統(tǒng)建設(shè)與維護(hù)效率。

3.信息系統(tǒng)組織內(nèi)部角色和職責(zé)定義不清，存在重疊或空白，可能造成推諉扯皮現(xiàn)象，影響信息系統(tǒng)團(tuán)隊(duì)的合作

4.信息系統(tǒng)部門和最終部門未實(shí)現(xiàn)充分的職責(zé)分離，可能無(wú)法及時(shí)發(fā)現(xiàn)工作中的錯(cuò)誤與舞弊問(wèn)題。

四、信息系統(tǒng)相關(guān)資產(chǎn)管理風(fēng)險(xiǎn)

（一）采購(gòu)與驗(yàn)收環(huán)節(jié)的主要風(fēng)險(xiǎn)點(diǎn)

1.采購(gòu)申請(qǐng)不符合實(shí)際需要，采購(gòu)申請(qǐng)不當(dāng)，資產(chǎn)采購(gòu)決策失誤，可能造成資產(chǎn)損失或資源浪費(fèi)。

2.供應(yīng)商選擇的風(fēng)險(xiǎn)。定期對(duì)一般供應(yīng)商和定點(diǎn)供應(yīng)商進(jìn)行評(píng)定，可能未明確參與評(píng)價(jià)的部門，從而對(duì)供應(yīng)商的評(píng)價(jià)不夠全面，對(duì)于供應(yīng)商的評(píng)價(jià)結(jié)果及采取的措施沒有在一定范圍內(nèi)進(jìn)行公示，因而缺乏有效的監(jiān)督，會(huì)使評(píng)價(jià)工作沒有起到應(yīng)有的效果。

3.驗(yàn)收小組驗(yàn)收過(guò)程不規(guī)范，可能導(dǎo)致資產(chǎn)損失或資源浪費(fèi)。

4.資產(chǎn)建賬不及時(shí)、不準(zhǔn)確、不完整可能導(dǎo)致資產(chǎn)流失、信息失真、帳物不符。

（二）資產(chǎn)核對(duì)環(huán)節(jié)的主要風(fēng)險(xiǎn)點(diǎn)

1.未按規(guī)定組織資產(chǎn)核對(duì)，資產(chǎn)核對(duì)不及時(shí)、不準(zhǔn)確、不完整可能造成資產(chǎn)流失。

2.資產(chǎn)核對(duì)差異報(bào)批與處理不及時(shí)或不規(guī)范，可能造成資產(chǎn)帳物不符。

（三）資產(chǎn)處置環(huán)節(jié)的主要風(fēng)險(xiǎn)點(diǎn)

1.資產(chǎn)處置業(yè)務(wù)流程管理混亂，職責(zé)分工不明確、流程不清晰，對(duì)處置業(yè)務(wù)沒有引起足夠重視而任意處置資產(chǎn)，易于產(chǎn)生資產(chǎn)流失。

2.員工為謀取私利，未履行崗位職責(zé)，未經(jīng)過(guò)適當(dāng)?shù)纳暾?qǐng)、審批、鑒定等程序，擅自處置資產(chǎn)，可能導(dǎo)致出售價(jià)格過(guò)低、資產(chǎn)損失。

3.資產(chǎn)處置的相關(guān)憑證未提交財(cái)務(wù)部門，導(dǎo)致帳物不符。