信息化環境下企業內部控制的問題與對策

程菲　周常蘭

摘要：全球信息化的環境下，信息系統引入作用于企業的各個方面，企業的業務與管理流程、內部控制的模式都發生了很大的變化。不同于傳統環境下的內部控制，信息化環境下的內部控制環節更為復雜，因此對內控滿意度的要求更高。信息技術在優化了控制方式的同時，也給內部控制帶來了不小的風險和威脅。現在分析了企業在當前信息化環境下的內部控制情況后，給出了一些改進的對策和建議。

關鍵詞：信息化；內部控制；問題；對策

中圖分類號：F230 文獻標識碼：A

文章編號：1005-913X（2016）04-0112-02

一、引言

隨著科學技術的發展，信息化逐漸進入到企業的生產和經營活動中，相比傳統環境，信息化環境帶來了科學技術的新發展，將先進的科學技術和管理模式注入到企業的經營管理活動中去，給企業帶來的不僅是技術手段的更新，更是先進管理理念的更新，使內部控制的各要素都具有了新的特征，從一定程度上提高了內部控制的效果；但是信息技術同時又是一把雙刃劍，在給企業帶來新機遇的同時，也給內部控制帶來了新風險。傳統環境下的內控各要素因為不適應新的信息化環境，產生了新的問題。針對信息化環境的新特征，需要對傳統環境下的內部控制問題進行分析，研究信息化環境下的內部控制應對辦法。因此，有必要在了解當前信息化環境下我國企業的內部控制情況的基礎上，分析總結其中存在的主要問題，并提出改進措施，以期給目前廣大處于新的信息化環境下的企業提供參考。

二、信息化環境下企業內部控制的主要問題分析

（一）對信息化環境下內部控制認識不足

企業的高層管理人員對信息化環境下的內部控制沒有完整的認識，認為信息化環境下的內控只是風險管理部門的工作。事實上，業務發展是一定會與IT聯系起來的。業務發展不可能沒有IT的支持，IT也不可能脫離業務需求而去獨立工作。隨著企業業務大集中、數據大集中的趨勢，信息系統已經在整個公司的運營過程中建立了一個完整的網絡，信息系統下的風險管理也變得特別重要。因此，當IT內控缺乏規劃時，企業各部門的業務發展就會很容易受到IT風險的影響而失控，從而使得企業業務運營脫離企業復蘇戰略的正確軌道。

（二）控制活動未根據信息化環境而改變

經調查表明，很多企業在進行信息化建設之前，并沒有對企業內各部門進行調查分析了解其需求，根據信息化環境對控制流程進行更新，也沒有對部門進行流程重構，而由于在信息化環境下，企業的許多流程發生了變化。比如在傳統的環境下，企業的各種數據是在多個部門的監督下，數名人員用手動的方式輸入的，雖然數據輸入的工作較繁瑣，工作量也非常大，但是因為工作方式傳統，即使輸入的數據發生錯誤或漏輸，也是十分容易發現的，而且改正工作簡便。但在信息化環境下，數據的輸入方式發生了很大的變化，應用了程序控制模式，即企業的所有財務信息和數據的輸入是由應用程序決定的，一旦應用程序或者代碼發生錯誤，在一個程序上的所有數據都有可能發生錯誤，會給企業帶來很大的影響。

（三）信息化環境下數據安全性存在隱患

信息化環境下，企業的絕大部分數據信息都是存儲于信息系統的數據庫中的，存儲介質為磁性材料，企業中的數據信息是存儲在磁性介質中的。如果磁性介質被損傷，比如說被利器劃傷，磁性材料變化無法使用，進而導致存放在材料中的數據也隨之遺失。如果是重要的數據信息，其遺失將會給企業帶來很嚴重的后果。雖然企業使用了高級的信息系統，但是人為因素也會導致數據的錯誤問題。企業外部的人員可以通過企業內部的人員的信息訪問公司的內部數據，如果公司內部的重要數據信息被外部非法人員竊取，則給公司帶來的后果是極其重大的。外部非法人員有可能通過各種渠道竊取內部信息。所以要求內部工作人員要對內部重要的會計信息加密保護，同時還應定期或不定期地對企業的內部數據庫進行檢查，發現數據被修改或竊取的情況應該及時更新數據庫。但是，如果內部人員主動泄露密碼和重要數據信息，帶來的后果也是極其嚴重的。

（四）內部監督體系不完善

企業內部監督不完善，首先表現為沒有做好政府監督和社會監督的措施，監督部門監督辦法過于簡單，執法不嚴，違法不究現象嚴重。從微觀方面來說，公司的會計監督意識還是相對薄弱，監督職責履行不夠到位。內部機構各自為政，缺乏內在的動力機制，監督效果不是很明顯。監事會的任務是對公司的經營情況和內部控制活動進行有效的監督，但是企業由于員工人數多、業務繁瑣，一般監事會和其他高層管理人員之間沒有直接的利益沖突，無法相互制衡。公司有些監事都是由董事、經理人員兼任，產生了自己監督自己的局面。監事的工資都是由公司管理層支付，使監事會置于董事會及經理人員的控制之下，使監事會的監督作用沒有得到充分發揮。

（五）缺乏內部控制和信息化的符合人才，專業人員水平有限

在信息化環境下，人力資源仍是至關重要的問題。管理應以人為本。經調查后發現，企業缺乏符合性人才，高層管理人員表示很多人招來之后才發現并不適合，他們對技術知識的掌握不夠，也缺乏發現和解決問題的能力。在信息化環境下更加沒法應變，還缺乏虛心請教的工作態度。如果既懂業務，又懂技術，又懂管理，這種復合型的人才在這個行業里面會更具有競爭力。公司里有的員工甚至缺乏基本的控制活動基礎知識，不知道如何將內控的理論指導運用到公司的具體實踐中，影響了公司內控活動的進行。

（六）信息化戰略投資的風險控制尚未引起足夠的重視

在國家鼓勵創新、調整產業結構、轉變經濟增長方式、“互聯網+”的大環境下，信息化戰略投資是當前許多企業包括上市公司的新選擇，對于企業而言，信息化戰略投資是一把“雙刃劍”，一方面它會給企業帶來新的機遇或利益，這樣，信息化戰略投資具有商業價值。但是，另一方面是信息化本身給企業帶來風險，信息化戰略投資帶來的風險和機會是一枚硬幣的兩面，企業信息化戰略投資活動包含了風險和機會，風險與機遇同行，為了給企業的利益相關者增加企業價值，企業必須在經營中抓住各種機會，而所有機會都伴隨著不確定性。因此，在當前的大環境下，信息化戰略投資的風險和機會已經成為企業要獲取成功必須考慮的一項戰略活動。但是，需要注意的是，對信息化的戰略投資活動不能跟隨大流，盲目投資，要重視風險控制。

三、信息化環境下企業內部控制的對策探討

（一）加強公司治理

公司治理作為內部控制環境的一部分，它形成了一個環境氣場，可謂意義重大。根據企業內部控制報告表明的具體情況，雖然公司在治理方面的措施已經相對完善，但是跟國際先進水平還是有很大的差距。由此給出加強和改進公司治理的建議：在對內部控制和公司治理進行改革和完善時應將兩者聯系起來考慮，才能促進兩者的協調發展。董事會在內部控制中要用科學且合適的手段面對管理層并對其進行監督，清晰地了解組織的最大風險承受力，確定了風險管理的恰當范圍后，首先解決最具有破壞力最重要的風險，以做到靈活地運用內部控制體系。

（二）完善人力資源

為了更好的實施和落實內控，良好的人力資源能保證具有競爭力和特色的企業人事政策和程序的執行情況。內部控制系統的效果取決于執行它和設計它的高素質人才的水平。工作人員的綜合質量也是在控制內的一個重要因素。公司在生產經營過程中，重視員工的道德修養，把道德水平看得和專業技能一樣重要，在組織運作過程中不斷提高員工的素質。培訓是保證和提高員工素質和專業能力的重要途徑，在信息化環境下，要注重加強對員工的信息化水平。完成培訓后，培訓評估是一個重要組成部分，將科學的評價方法適用于評估培訓效果，企業才可以知道訓練是否達到了滿意效果。在信息化環境下，企業目前缺乏精通信息化技術的專業人員，因此在進行人員選拔時，更應注意挑選具有信息化專業知識的綜合性人才。

（三）重視信息化戰略投資的風險控制

信息化戰略投資包括各種各樣能抓住機遇、實現商業價值的投資活動，但機會與價值的另一面卻是風險與損失，因此，對于信息化戰略投資要進行充分論證。而該公司尚未設置獨立的信息技術部門，建議在設立獨立的信息技術部門、配備CIO和專職的信息技術人員隊伍的前提下，由董事會下設的戰略委員會，或指定相關機構負責公司的信息化戰略投資管理工作，并與審計委員會共同履行信息化戰略投資相應的風險控制職責。除了論證該發展戰略是否符合國家行業發展規劃和產業政策，是否符合國家經濟結構戰略性調整方向之外，還應充分論證該發展戰略是否突出主業，有助于提升企業核心競爭力；是否具有可操作性；是否客觀全面地對未來商業機會和風險進行分析預測；是否有相應的充足的人力、財務、信息等資源保障等。

（四）提高員工的網絡安全意識

網絡是信息化建設的基礎。隨著計算機技術的發展，企業的信息系統會面臨更多的威脅，企業各種重要的數據或多或少的掌握在管理人員和基層員工手中。應該給全體員工足夠的安全性教育，只有通過安全性教育，才能使網絡安全意識遍布整個企業。員工有了網絡安全意識，才會在信息系統的環境下工作更加小心謹慎，防止數據的遺失和被偷竊。公司里的基層員工、中層領導和高層管理人員都必須進一步提高信息系統安全意識，保證企業的各項活動在安全無誤的環境下進行。不同于傳統的管理環境，信息化環境下，所有的數據資料和文件不是以紙質的形式而是全部存放在數據庫和云端的，因此數據存儲存在安全隱患，這些數據一旦丟失或損毀，公司都會面臨重大損失。由此可見，提高全體員工的網絡安全意識是至關重要的。

（五）構建網絡安全防護體系

建立和完善制度是企業網絡安全體系的重要保障。能否加強企業網絡安全人員的數量，網絡安全管護責任是否明確，有沒及時更新網絡基礎設置，決定了企業能否提高網絡的實施水平。公司還應該聘請專業的IT人員，為其提供學習和培訓的機會，按時召開網絡安全會議適時給員工灌輸網絡安全思想，定期進行培訓，使員工能夠自覺地維護企業信息系統的網絡安全，減少企業網絡安全危機的出現。配置有效的防火墻。防火墻主要是按照一定的網絡安全規則，對信息網絡的運行轉臺進行檢查，包括安全性檢查，使某些含有危險信息的終端無法訪問企業的信息系統，避免了信息系統的重要數據泄露，維護了信息網絡的安全。

（六）做好技術支持工作

對于計算機網絡的安全性和薄弱環節的保密性，應進行相應的技術支持工作。首先，應該有專門負責管理Web服務器和網絡安全的員工；然后，公司在每個辦公室都設置一臺電腦，這臺電腦專門用于上網瀏覽信息，并且這臺電腦只能由專門的工作人員來管理，其他人員無權使用，這就在行動上保證了企業的數據和資料信息的安全保密工作，一旦這臺電腦上的信息泄露，馬上停止使用網絡，進一步保證信息的安全性；最后，企業應統一購買介質來存放數據資料，將內容存儲進介質之后再進行編號，這些介質應有專門的管理人員進行保管，注意不能通過互聯網泄露介質上的任何信息，一旦介質到達期限停止使用，應請專業人員做好介質的銷毀工作。

（七）加強內部審計

審計部門能否獨立地展開工作非常重要，確立內部審計部門在組織中的地位，成立審計委員會。信息化環境下，委員會成員包括內控總監和CIO。應該通過企業風險管理觀念和文化的灌輸，使企業各個層面的管理人員理解內部審計的重要性。企業可以完善內部審計機構，分派專門人員從事信息系統的審計工作。在設計內部審計機構時，要給予其充分的權利，以保證其在行使權力時不受其他方的影響。內部審計制度是強化內部控制制度的重要措施，其職責包括審計會計賬目、檢查評價、內部控制制度是否完善，企業的各項組織制度是否能更完整地實現組織目標，并向公司的管理層提出報告。而信息化環境下的監督和審計，與信息化環境和內部控制都有很大的關系，需要借助于信息技術，所以審計人員尤其是信息系統審計人員應具備專業技術知識，才可以圓滿地完成審計工作。

內部審計人員的素質也是影響內部審計質量的關鍵因素，除了要掌握內部審計的方法、技能工具之外，內部審計人員還需要具備以下關鍵素質：良好的人際溝通技能、敏銳的風險意識、良好的自我學習能力、整合能力，提高審計人員素質的重點是要做好人員的篩選、培訓和績效考核工作。因此，要做好內部審計人員的信息技能提高工作。充分的溝通對保證和提高審計質量至關重要，在內部審計工作中應做好溝通工作。

四、結語

本文在分析了在當前信息化環境下企業內部控制存在的主要問題后，給出了一些改進的意見和建議。在研究的過程中，理解到一個企業的經營狀況是否良好，戰略目標能否實現，內部控制工作是否完善，不僅需要正確理論的指導，更需要的是全體員工的共同努力，并在執行過程中做好各部門和上下級員工之間的溝通工作，做好信息的反饋。

參考文獻：

[1] 章鐵生，信息技術條件下的內部控制規范：國際事件與啟示[J].會計研究，2007（7）.

[2] 劉梅玲.從信息化視角看我國上市公司內部控制建設川[J].財務與會計，2012（6）.

[3] 魏 星，崔 旭，錢 超.中國企業信息化問題與對策研究——基于 39 家企業的調查分析[J].科技管理研究，2012（3）.

[4] 黎 娜.ERP環境下中小企業內部控制問題研究[J].銅陵學院學報，2011（2）.

[責任編輯：紀姿含]