基于云計算環境下的企業內部控制應對策略探討

摘要:信息時代，云計算在企業中的應用逐步擴大。企業使用云計算，可以通過先進的計算機網絡技術，以低廉的成本獲得高效、便捷、動態的虛擬化IT資源及相關服務。但與此同時，數據信息的安全、隱私保護也面臨著新的風險，企業內部控制也發生了新的變化。本文就云計算的概念、對企業內部控制的影響、以及在云計算環境中如何實現內部控制進行探討。

隨著信息化社會的到來，企業數據處理量與日俱增，云計算作為一種全新的信息管理模式，以其高效、便捷、動態、低成本的特點，正得到越來越廣泛的應用與普及。但在這樣的環境和模式下，企業傳統的內部控制、風險管理也相應出現變化，我們需要尋找到新的辦法加以應對，以保障企業的信息安全和運營效率。基于這樣的背景，本文提出了云計算環境下，實現企業內部控制新的辦法和策略。

一、“云計算”的概念

“云計算”是基于互聯網的相關服務的增加、使用和交付模式，通常涉及通過互聯網來提供動態易擴展且經常是虛擬化的資源。現階段通常將其看作一種按使用量付費的模式，該模式中“云服務供應商”提供高效便捷的網絡訪問服務，以及可動態配置的IT資源如網絡、服務器、存儲設備、軟件系統等，企業則根據自身所需，通過向云服務供應商支付適當費用以獲得相應的服務與資源。

這種模式，使“云計算”具備了超大規模、超強計算能力、虛擬化、動態彈性、成本低廉等特點。云服務供應商往往能夠集中數十萬臺甚至更多的服務器，其規模遠超單一個體企業，計算能力大為提升。同時所提供的相關服務、資源來自“云”，對用戶而言僅是虛擬化的存在，沒有固定的物理位置、形態，企業可在任意位置、用任意終端獲取服務、資源，并根據自身需求調整購買數量，具備很強的動態靈活性，在成本控制及工作效率上都更為有效。

二、云計算對企業內部控制的影響及帶來的問題

云計算從根本上改變了企業信息處理的方式和習慣，進而對企業整個內部控制產生影響并帶來新的問題，下面進行相應闡述。

(一)改變了企業內部控制的范圍和要求，帶來內控難度增加

傳統的企業內部控制要素主要包括管理錢物、財務系統、計算機硬件設施及相應的審批、復核流程、制度等。而企業采用云計算后，其內部控制范圍還將擴大到云資源的安全與隱私、云服務供應商資信、外部網絡安全等方面。同時，對內部控制的要求上，也將從傳統的靜態控制、局部控制、事后評價轉變為動態控制、整體控制、實時多線程控制，需要通過多方位、綜合性管控，來確保信息資源的完整、真實、安全、有效。在這樣的情況下，原有的內控體系難以滿足和適應新的需求和變化，內控工作難度也相應增加。

(二)改變了數據處理、存儲的模式，引起數據安全與隱私保護的風險和隱患

傳統模式下，企業數據通過內部軟件系統處理并保存在自有存儲設備中，數據安全與隱私保護工作相對單一。而云計算模式下，相關數據信息通過開放網絡，利用云應用加以處理并被集中存儲在云端，這一過程中可能因為黑客攻擊而導致信息泄露。此外，云服務供應商自身的安全防護水平、所在國家、地區對云計算管理的法律法規設計等因素，都將對企業信息安全造成影響。云數據從生命周期的開始到銷毀，隨時可能會出現各種風險。因此對于一些傳統用戶而言，云計算所額外產生的數據安全與隱私保護的風險，以及與傳統的隱私保障機制之間的矛盾沖突，是他們不愿選擇該應用模式的最主要原因。

(三)改變了傳統的工作習慣，造成企業內部溝通和協同障礙

云計算環境下，企業員工需要學習和掌握云計算的相關特點、要求，熟悉和適應網絡化的軟硬件應用操作，同時企業自身也需要對原有的信息傳遞、處理、存儲的流程、方式、權限等加以重新設計，并相應調整對應的內部控制體系，這對原有的工作習慣是巨大的改變和顛覆。而企業內部不同層級、不同部門對這一改變理解、適應上的差異，容易引起內部溝通、協同上的障礙。

三、在云計算環境中，企業內部控制的方法和策略

綜上所述，云計算的應用在提升企業信息處理效率，降低處理成本的同時，也對企業內部控制產生了深刻影響并帶來新的問題。企業可重點從完善內部控制體系，提升安全防護能力，強化員工培訓和信息溝通三個方面入手加以應對和解決。

(一)完善內部控制體系

企業應與時俱進，根據內部控制范圍的變化對其進行相應調整和完善。首先需重新設計企業組織架構和業務流程使其符合云計算環境的特點及要求。其次，針對新的架構與流程，重新界定內部控制的要點和關鍵環節，健全內部控制制度建設，擴大內部控制覆蓋范圍。再次，要強化監督力度，完善監督機制。對內部控制的執行要從事后評價前移到事前預防、事中監督，對員工操作的考核要提高頻率，定期檢查與不定期檢查相結合，全面檢查與局部抽查相結合，尤其應通過進一步強化企業內部審計職能，來確保內部控制執行的有效性。

(二)提升安全防護能力

云計算環境下，企業首先要充分認識和評估數據信息從產生、傳遞、處理、存儲、銷毀等全過程可能存在的風險，有針對性的對相關設備、軟件及操作流程加以保護防范。包括硬件設備的防火、防塵、防潮，軟件漏洞的修復，病毒的查殺，網絡系統中用戶登錄采用雙重認證，使用反間諜軟件，及時進行數據備份等。

其次，要加強對云服務供應商資質、信譽、服務保障能力等相關情況的調查評估。在合作協議中對企業數據安全和隱私保護加以專項約定，明確雙方權利義務及違約責任，避免事故發生后責權不清的風險，保障企業應有利益。

再次，要建立有效的風險管理機制。一方面確立風險管理責任體系，將企業最高決策層、中層管理者及一線員工全部納入其中，明確各自風險管理崗位職責。另一方面，建立風險預警體系，不斷強化風險防范意識，提升風險評估和識別能力，防患于未然。最后，要制定風險應急預案，明確風險發生后的處置流程和相應負責人，并對處理結果進行全面的追蹤反饋，以此全面提升企業數據安全與隱私防護能力。

(三)加強員工培訓和信息溝通

企業應設計有效的全員培訓計劃，針對不同層級、不同部門，就云計算、云安全、內部控制、風險管理等相關領域，進行專項的教育指導并在實踐中追蹤考核。同時保持與先進企業、同行的緊密聯系，創造交流學習的機會，開拓員工視野，借鑒先進經驗。通過強化培訓，一方面從思想認識上提升全員的風險防控意識，營造良好的內控文化氛圍。另一方面從業務能力上提升全員的實際操作水平和風險識別能力，加快熟悉和適應云計算環境下的工作模式和內部控制要求，明確自身新的崗位職責和風險管理責任。

與此同時，還應打通企業信息傳導通道，建立全方位的信息溝通機制，加強不同層級、不同部門員工間的信息傳遞和交流，促進新環境下

彼此間的了解、認知和行為同步，逐步化解內部溝通、協同上的障礙，

四、結束語

云計算的推廣應用，在為企業帶來高效、便捷、廉價的信息處理服務同時，也隨之增加了企業信息安全的風險，加大了內部控制的難度。本文提出了云計算環境下有效規避風險，提高企業內部控制的應對策略，如完善內部控制體系、提升安全防護能力、強化人員培訓和信息溝通等，希望能起到參考作用。