基于ERP系統環境下的企業內部控制研究

香馳控股有限公 司 劉展展

1 ERP系統環境下企業內部控制的相關理論

1.1 ERP的概念及優勢

ERP是企業資源計劃（Enterprise Resource Planning）的簡稱，是在對企業的各種資源進行規劃和整合的基礎上，借助于先進的信息化技術，以財務為中心，集生產、質檢、倉儲、銷售和信息流管理為一體，支撐企業精細化管理和規范化運作的信息管理系統，同時也是一種企業實現資源最優配置的管理理念，特別是應用在企業內部控制方面具有巨大的優勢。通過ERP的應用，企業能有效的對所擁有的人、財、物、信息、時間和空間等綜合資源進行綜合平衡和優化管理，對企業內部供應鏈各環節有效調控，協調企業各管理部門業務流程，圍繞市場導向開展業務活動，提高企業的核心競爭力，從而取得最好的經濟效益。

1.2 內部控制的概念及特點

內部控制是指企業為了實現其經營目標，保護資產的安全完整，保證會計信息安全合規，確保經營方針的貫徹執行，保證經營活動的經濟性、效率性和效果性而在單位內部采取的自我調整、約束、規劃、評價和控制的一系列方法、手段與措施的總稱。內部控制具有全面性、全員性、全過程性、制衡性、成本效益最佳等特點，是企業發展到一定階段的必然，也是科學管理的要求。內部控制建設的機制主要在假定管理流程中設置兩個及兩個以上人員或者部門互相牽制犯錯誤的概率遠低于一個人或者部門犯相同錯誤概率的基礎上。

1.3 企業內部控制的關鍵因素

1.3.1 企業內部環境

企業的內部環境是內部控制的基礎，主要包含企業管理架構、組織設置及權責分配、內審、人力及企業文化等諸多方面。

1.3.2 風險評估

風險評估要求能夠在企業運行過程中識別和分析實現目標存在的風險，提出合理的應對策略。

1.3.3 風險控制

風險控制要求根據風險評估結果，采用合理的控制策略，將風險控制在可承受度之內，保證目標可以實現。

1.3.4 信息與溝通

要求企業及時、準確地收集、發布內控信息并在各主管部門及員工間進行有效的溝通轉達，確保內控信息高效運行。

1.3.5 內部監督

內部監督即為內控執行的日常或專項監督檢查，評價有效性，發現問題并督促改善。

內部控制在企業經營管理中的重要性越來越突出，已經逐步成為企業防范風險、抵抗風險的有效屏障，保障企業健康、持續發展的強有力的后盾。盡管企業規模大小不同，管理風格各異，各企業也逐步認識到內控的價值，積極借力信息化系統及內控機制提升企業管理水平和風險防御能力。

2 ERP系統環境下企業內部控制中存在的問題

2.1 企業內部控制的制度和流程設計存在缺陷

ERP系統的實施和運行，一定需要管理制度和系統流程的緊密配合，才能發揮最大價值。但目前企業內部系統運行過程中，往往只注重傳統業務流程在系統內的簡單復制，很少會結合內控管理目標進行流程再造，更小針對業務及系統的特點進行優化改造。系統要真正發揮價值需要從上線初期就建立起配套的系統管理制度，來支撐內控管理目標的達成，而這往往是現行企業通常忽視的問題，這給系統的運行和內部控制的執行帶來了諸多困難。

2.2 傳統業務流程系統化之后內控管理及審計人員能力達不到要求

ERP系統運行之后，對內控管理人員以及審計人員的素質水平提出了更高的要求。ERP系統環境下，管理人員往往無法識別系統內的風險點，無法將傳統內控管理機制和方法運用到系統管控上。

2.3 企業缺乏系統級別風險管控體系

在ERP系統普及的初級階段，企業內部普遍尚未建立起完善的系統級別的風險管控體系。相較于傳統業務流程的風險點，信息化系統級的風險點則完全不同，系統業務流轉時往往會遇到數據錯誤、業務流程錯誤、操作人員失誤或是系統故障等諸多問題，這對系統操作人員以及系統管理員都是巨大的挑戰。但現行各企業基本沒有建立起一套系統級別的風險管控體系，導致系統風險管控，僅停留在操作、業務運行等表面，真正的價值管控的風險隱藏在底層，往往被忽視。

2.4 企業內部系統及數據安全面臨挑戰

ERP系統的運行依托于底層硬件技術的支持，服務器穩定性、數據存儲、容災機制等各方面因素影響著系統的安全穩定運行。信息化實施后，企業生產經營的各項數據都會以電子化的形式儲存在服務器存儲設備內，如何保障存儲設備穩定運行，建立有效的備份機制和安全保密機制，將會對企業核心數據的安全性帶來重大影響。

3 ERP系統環境下企業內部控制存在問題的原因

3.1 企業內部自上而下普遍缺乏信息化內控思維

ERP系統的運用給傳統企業帶來了轉型升級的契機，也逐步意識到ERP系統建設的必要性，但是傳統企業往往會忽視信息化理念的培養。企業從上到下的管理者雖然覺得ERP系統建設很重要，但是如何用系統的思維去考慮管理目標的達成確是非常難落地的事情，所以往往很多企業都是別人有ERP，我們也有ERP，上系統只是形式，自上而下的管理者用什么樣的思維模式去上系統才是最重要的。大多數企業管理者往往會簡單的將信息化系統的內部控制簡單的看作是對人的行為的控制，從而忽視系統內特有的風險點和管控方法的應用。也就是沒有用信息化思維去思考系統建設的價值，系統對內控管理提升起不到很好的作用。

3.2 企業內部管理者缺乏信息化應用管理能力

ERP系統的實施和普及，意味著要將企業生產經營中的傳統線下流程轉移到信息系統中去執行。從采購、生產到銷售、財務核算，各個環節中的單據流轉、數據填報、報表提交都通過信息系統來執行，這大大提高了流程運轉的效率，減少了人為因素的干預。對于管理者來說，首先要有變革的能力，變革的工具是思維的創新及管理工具的運用，然而現在很多管理者缺乏管理工具靈活應變的能力，ERP系統就是一種技術工具，是管理思維落實到企業管理各個環節的支撐，也是內控體系精準落地的必備條件。目前各企業管理者對信息化工具能夠帶來的價值理解不夠透徹，引進缺乏積極性，實施缺乏參與度，應用缺乏掌控力。

3.3 內控管理方法不匹配當前企業ERP環境下運行環境

現在各企業內控管理主要是檢查制度、流程是否執行到位。內控管理者不掌握系統的管理辦法和管理思路，內控管理體系不健全，無法真正發揮內控管理的價值。很多企業內控管理局限于制度的檢查，只提出督導意見，沒有評估分析出幫助業務提升的辦法。還有些企業為了管控風險，設置層層審批環節，導致效率極度降低，無法快速響應市場的變化，最終導致企業瀕臨破產或倒閉。

3.4 信息技術不斷創新，信息安全設施保證建設不足

技術不斷在進步，信息系統的安全防控尤為重要，中小企業在安全性投資上謹小慎微，導致安全設施配備不到位。正常無風險的時候不舍得投資，當遇到安全事故時來不及投資，隨著信息化在企業管理中的應用，相應的安全保障機制很多中小企業沒有提升日程，很多公司連機房都沒有，更別談機房數據安全標準化管理。

4 ERP系統環境下企業內部控制問題的改善對策

4.1 針對ERP系統特點進行內控流程設計

企業要根據ERP系統的特點，對傳統流程進行再造，建立起規范化的系統業務流程管理機制，根據系統業務特點，對崗位和員工的工作范圍和責權進行重新梳理和劃分。對核心業務環節和流程節點進行重點監控，在保證流程運轉效率的同時將風險降到最低。

4.2 加強內控管理人員和審計人員的培訓工作

面對管理人員知識方法的傳統化和系統級流程管控的沖突，企業應重視對相關人員教育培訓，加大培訓和能力提升的支持力度。面對企業內控管理信息化的大趨勢，在管理和審計角度，都加快職能轉型。要掌握信息化的系統思維，具備基本的系統操作能力以及識別系統及風險的能力。

4.3 建立完善的風險管控體系

ERP系統的普及和應用，將企業生產經營的業務流程轉移至系統內之后，隨之而來的是，風險也將會從線下轉移至系統內，企業亟待建立起系統級的風險管控體系來應對風險的發生。首先要結合業務場景和業務流程，準確識別風險點和風險要素。其次要針對風險點建立起有效的應急處置預案，力爭將風險發生后的損失降到最低。最后要完善流程審批機制，對于核心業務和敏感業務要建立多級審批和知會機制，對于操作人員要嚴格控制系統權限，做好權限劃分。

4.4 強化系統數據安全的管控

企業信息化系統的數據安全是一項綜合性的工作，要在硬件安全、軟件安全和權限管理等三個方面進行全面的保障，以保證系統的安全可靠。首先要進行標準化的機房建設，保證硬件系統的標準化和安全性，保障硬件系統的穩定運行。其次在數據庫層面，實施過程中要對數據庫的訪問策略進行合理配置，要建立有效的數據備份機制，定期進行全部備份和增量備份，同時建立起嚴格的數據恢復機制，保證風險發生時，可以及時有效地進行數據恢復。最后要健全系統數據管控機制，嚴格控制系統操作人員的操作權限，將人為泄露的風險降到最低。

5 結語

綜上所述，在時代飛速發展，信息化技術不斷更新迭代的今天，ERP系統的應用為企業的生產經營活動注入了新的動力，為企業不斷尋求利潤最大化提供了有力的支撐。與此同時，ERP系統的應用對企業內部控制帶來的新的挑戰。為了應對挑戰，實現新的可持續發展，企業必須在生產經營中結合ERP系統環境的特點做好內控管理，識別具體風險點和管控點，并根據其特點制定行之有效的措施和規章制度，建立有效的配套內控管理體系，并不斷推進職業化人才體系建設，不斷提高企業運行效率，最終才能有效規避風險，最終在ERP系統環境下實現可持續發展。