会计信息系统内部控制的理论框架和发展策略

/CHINA MANAGEMENT INFORMATIONIZATION会计信息系统内部控制的理论框架和发展策略任家华（浙江工商大学财务与会计学院，杭州310018）［摘要］为构建会计信息系统的内部控制框架，本文首先分析了一些发达国家和国际性组织的信息系统内部控制理论框架或规范，然后结合我国的信息系统理论研究和规范，提出了一些发展策略和建议。

［关键词］会计信息系统；内部控制；理论框架doi:10.3969/j.issn.1673-0194.2010.01.002［中图分类号］F232；F233［文献标识码］A［文章编号］1673-0194（2010）01-0006-03［收稿日期］2009－02－22［作者简介］任家华（1971-），男，重庆人，浙江工商大学财务与会计学院讲师,博士，主要研究方向：公司治理、财务战略和全球价值链。

随着信息技术的深入应用，信息系统成为了管理层编制财务报告和披露相关信息的工具。

然而，在推进会计系统计算机化和网络化过程中，企业的传统内部控制安全受到了巨大冲击和挑战，信息技术的广泛应用使得原来基于权力制约和岗位分置的内部控制逐步发展成为以信息流为基础的信息技术内部控制［1］，内部控制方式在信息技术的影响下也发生了根本性的变革。

一、会计信息系统内部控制的理论框架在信息化过程中，有关国家政府和国际性组织已考虑到了信息技术对内部控制的巨大影响，并发布了内部控制规范或模型。

这些规范或模型，可为构建我国会计信息系统的内部控制框架提供借鉴和参考。

（一）内部控制的理论框架1.COSO 的《内部控制———整合框架》美国COSO 委员会于1992年、1994年先后发布修订了《内部控制———整合框架》，该报告是迄今为止对内部控制最为全面的描述。

报告中指出，内部控制是由控制环境、风险评价、控制活动、信息与沟通、监控等5个相互关联的要素构成的。

内部控制目标、内部控制要素及内部控制主体三者之间存在直接的关系，共同构成一个理想的内部控制整体框架［2］。

COSO 框架关于信息技术对内部控制的影响的规范集中体现在对信息系统本身的控制，COSO 框架在“控制活动”要素部分规范了对信息系统的控制，并把信息系统的控制分为一般控制和应用控制两大类。

一般控制也称为总体控制，包括数据中心操作控制、系统软件控制、接触安全控制和应用信息系统开发和维护的控制；应用控制是指嵌入于各业务流程之中的借助于信息系统来实现的控制，应用控制有助于保证交易处理及授权的完整性、准确性和有效性。

COSO 框架包含了对信息系统更多的关注，但这个框架的建立仍基于传统的内部控制理论，比如仍依赖于岗位分置和监控等活动［1］。

2.英国《Turnbull 报告》《Turnbull 报告》提出了“四要素”论，即控制环境、控制活动、信息与沟通、监督检查。

Turnbull 报告是以风险控制为主导，并以原则导向制定的，这些内控规定更利于企业结合实际情况后贯彻执行，并可降低建立和执行内部控制的成本。

而传统规则导向的内部控制规定很容易增加公司上市和维持上市的成本。

Turnbull 报告强调董事会必须对公司内部控制系统的建设负总责，尤其应关注风险管理的核心问题，如公司面临风险的性质和程度、公司承受风险的能力、风险发生的可能性、实行风险控制的成本以及从风险管理中获得的收益。

（二）信息技术环境下的信息系统风险与控制框架1.国际组织的信息系统内控COBIT 框架20世纪90年代开始，随着互联网在世界范围的应用，各种各样的信息系统成为各种业务处理的核心。

然而，互联网使信息资源在发挥巨大作用的同时，也产生了众多不安全因素，给企业带来了巨大的风险。

人们越来越清楚地意识到有效管理和控制信息及相关信息技术是进入信息化社会的可靠保障，信息技术对内部控制的影响已经得到社会各方的重视［3］。

在这个背景下，信息系统审计与控制基金会（ISACF ）开发了信息及相关技术管理控制框架（COBIT ），这个框架是信息技术管理的通用标准。

它吸收了世界上信息控制领域和其他多个领域已被接受的标准，以帮助人们了解并管理与信息技术相关的风险。

COBIT 框架吸收了ITSEC 、TCSEC 、ISO 9000、SPICE 、TicklT 、Common Criteria 等认证标准，形成一套专供企业经营者、信息技术专家、MIS 审计员强化和评估信息技术管理和控制的规范。

COBIT 框架由信息系统管理和控制的6个相互关联的部分———管理者摘要、框架、应用工具、管理指导、控制目标、审计指南组成［4］。

在COBIT 的高级控制指标中，包括信息技术评价指标、信息技术资源及信息技术过程。

其中，信息技术评价指标主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全中国管理信息化C hina Management Informationization2010年1月第13卷第1期Jan.，2010Vol ．13，No ．16CHINA MANAGEMENT INFORMATIONIZATION/会计信息化性、可靠性、有效性；信息技术资源主要包括人、应用系统、技术、设施及数据等与信息相关的资源，这是信息技术处理过程的主要对象；信息技术过程则从信息技术的规划与组织、采集与实施、交付与支持、监控等4个方面确定了34个信息技术处理过程，每一个处理过程是一系列关联的信息技术活动或任务。

由此可以看出，与COSO 框架不同的是，COBIT 框架的重点集中于利用信息技术来达到企业的目标和实施内部控制，这是对COSO 等传统的内部控制框架的补充和发展。

这个框架通过应用中强调信息技术和企业目标一致、信息技术帮助企业运营和最大化收益、信息技术资源被负责地运用以及信息技术风险被适当地管理来实现信息技术治理。

COBIT 将企业的内部控制和信息技术的应用融为一体，对于我们建设有关信息技术条件下的内部控制规范极具参考价值［5］。

因此，COBIT 从体系化、标准化的高度，构建了关于信息系统投资、建设、评估、风险控制的知识框架，超越了传统的产品与服务的概念，是会计信息化事业与内部控制新的发展思路。

2．OECD 的信息系统安全指导方针过去有关信息安全的研究，大多侧重于确保信息安全技术的应用，然而信息安全的维护不能仅靠应用信息安全技术，建立相应的管理政策、健全信息系统的内部控制将更为有效。

信息安全管理系统（ISMS ）就是在信息安全的强烈需求下应运而生的。

1992年11月OECD 的24个会员国决议采用信息、计算机与通讯政策组织（ICCP ）订立的“信息系统安全指导方针”。

进而在2002年第1037次理事会会议上发布了新的信息系统安全指导方针，将信息安全提升到了文化高度，涵盖了从安全认知到安全职责等9个方面的内容，其中包括意识、责任、响应、道德、民主、风险评估、安全设计和实施、安全管理以及再评估等［4］。

3.《电子系统保证与控制》（eSAC ）针对企业信息系统内部控制问题，在1994年的《系统可审计性与控制》所建立的第一个与信息技术业有关的SAC 内部控制框架的基础上，美国内部审计协会（IIA ）于2001年根据信息系统领域发生的新变化构建了一个更为现代化的信息系统控制框架———电子系统保证与控制框架（eSAC ），整个框架包括控制环境、人工控制系统和自动控制系统、把控制融入系统的控制程序等三部分［4］。

eSAC 为有效的技术风险管理设置了一个平台，为评估电子商务控制环境提供了一个框架；也有助于对客户、管制者、管理当局和董事会理解和管理信息技术风险提供保证，为管理层和审计师理解、评估与减轻技术风险提供了新的框架。

eSAC 报告提出，传统的控制观点在现行的电子信息系统和网络的环境下已经不再适用了，因为现在需要将基础设施和商业应用过程联系起来考虑，在这样的环境下对于控制过程可以分为一般控制及应用控制，一般控制包括保护数据的安全性和保密性、项目和记录的安全性以及物理安全性；应用控制包括授权的交易被完整的记录、所有的交易只被系统处理一次、交易处理和记录的准确性等。

虽然eSAC 模型的出发点是针对电子系统的控制，但为我们发展信息技术条件下内部控制模型，将重点放在控制环境、一般控制和应用控制上提供了参考［1］。

4.TrustServices 框架TrustServices 是AICPA 和CICA 在2003年4月发布的评价网络信任服务和系统信任服务的原则框架。

它将信息系统控制的标准分为5个：安全性、可获得性、过程完整性、隐私安全性和保密性，并将其标准和原则归入了4个方面进行评价：政策、沟通、程序和监督。

TrustServices 框架是用来识别信息技术给企业带来的风险和机会，并且可以评价企业信息系统控制有效性的，它可以定义一个在特定的时间和环境条件下无实质性错误进行运营的比较可靠的系统，所以用它的标准来设立信息技术条件下的内部控制关键点，从而发展相应的信息技术内部控制模型很有价值［1］。

TrustServices 框架比COBIT 框架相对狭义，但它将基础设施和商业应用过程联系起来考虑，在这样的环境下对于控制过程可以分为一般控制及应用控制，一般控制包括保护数据的安全性和保密性、项目和记录的安全性以及物理安全性，应用控制包括授权的交易被完整地记录、所有的交易只被系统处理一次、交易处理和记录的准确性等。

5.日本的《财务报告内部控制的评价和监督准则》日本也高度重视信息技术对内部控制的影响，其特色是直接将“对信息技术的应用”作为内部控制的一个基本组成部分。

在日本的《财务报告内部控制的评价和监督准则》中指出，内部控制由6个基本部分组成：控制环境、风险评估与应对、控制活动、信息与沟通，监控和对信息技术的应用［1］。

这个框架很类似COSO 框架，但将对信息技术的应用单独作为内控框架的一部分，在控制环境、监控等方面也强调了信息技术的影响。

根据以上初步探讨，会计信息系统内部控制的理论分析框架如图1所示。

图1会计信息系统内部控制的理论分析框架COSO ，Turnbull 框架日本的准则COBIT 框架eSAC 框架TrustServices 框架会计信息系统内部控制控制目标、控制要素、控制主体（信息技术应用）摘要、框架、应用工具、管理指导、目标、审计指南控制环境、人工控制系统和自动控制系统、控制程序一般控制应用控制7会计信息化二、构建中国会计信息系统内部控制框架的理论与规范我国理论界也密切注意着信息技术环境下企业内部控制制度的变化，有的学者进一步探讨了信息系统环境下企业内部控制制度的构建，试图建立一种“数据—系统—网络”的内部控制体系，以适应信息技术应用的特点［2］；有的学者研究利用信息技术改善控制程序、增强控制手段，将信息技术有效地集成到业务和信息过程中，借助于信息技术来防范与控制经营风险［3，6，7］；许永斌（2000）在对互联网会计信息系统的风险进行分析的基础上，提出相应的解决措施：在企业内部实现操作系统控制、会计数据资源控制、系统维护控制、应用控制、计算中心控制、组织控制和工作站点控制；在企业外部实现周界控制、大众访问控制、电子商务控制、远程处理控制等［8］。