企业内部控制应用指引第十八号——信息系统(解读)

企业内部控制应用指引第18号——信息系统【案例导入】忽略了安全需求的ERPA企业是国内一家从事制造建筑工程施工车辆的公司。

该企业从九十年代就开始准备ERP项目，并在二十世纪九十年代后期选定了软件，开始实施包括财务、分销和制造在内的整合的ERP系统。

为此，A公司专门成立了ERP实施小组，在专业咨询公司的协助下，经过一段时间的需求分析、流程设计、用户培训，实施工作进入了紧张的上线前数据准备的关键阶段。

这时候，采购部门对敏感的采购信息在系统中的安全性提出了质疑，包括对相关采购数据的输入、修改、批准、查询、报告、打印等，提出了一系列要求。

整个采购部门有几十个从事采购相关业务的工作人员，分管几十个大类、数以万计的不同物品的相关采购工作。

根据内控的要求，不同大类物品的采购价格和数量,以及到货时间等诸如此类的定单信息和供应商信息，对其他无关部门，甚至同部门的其他采购人员，都是保密的。

在这样的内控要求下，ERP用户权限的设定，不是仅在功能模块的菜单上设定权限，就能符合岗位隔离的要求的。

不少安全要求，具体到需要对数据库内的数据表的字段做出相应的权限设定。

岗位隔离的要求，形成了一个极其复杂的安全需求矩阵。

在系统实施工作的后期阶段，提出这样的安全要求，对ERP实施小组无疑是个难题。

由于事先准备不足，ERP系统的功能、需求分析、流程设计、项目实施的资源，都没有充分考虑公司内控和信息安全的要求。

上述信息安全和岗位隔离的要求，对采购模块的实施，形成了难以逾越的障碍，并且直接导致：1.采购模块没有和其他模块一起集成上线。

2.应付账款模块、库存管理模块、成本计算功能的应用，都受到了很大的制约。

3.该ERP系统的实施，没能达到产供销财务一体化的目标。

其实，该公司内其他部门也有类似的信息安全的考虑和内控的要求，只不过没有采购部门反应强烈而已。

这些问题深深困扰着A企业……1.在系统分析阶段，开发人员和A企业在哪方面存在重大的失误？2.如果你是A企业的CIO，面对上述问题，你会做出什么样的决策？3.在信息系统的建设过程中，要经历哪些阶段?公司的领导和各部门都起什么作用?一、本指引的现实和长远意义优化信息系统提升管理水平——财政部会计司解读《企业内部控制应用指引第18号——信息系统》《企业内部控制应用指引第18号———信息系统》中所指信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。

信息系统内部控制的目标是促进企业有效实施内部控制，提高企业现代化管理水平，减少人为操纵因素；同时，增强信息系统的安全性、可靠性和合理性以及相关信息的保密性、完整性和可用性，为建立有效的信息与沟通机制提供支持保障。

信息系统内部控制的主要对象是信息系统，由计算机硬件、软件、人员、信息流和运行规程等要素组成。

现代企业的运营越来越依赖于信息系统。

比如航空公司的网上订票系统、银行的资金实时结算系统、携程旅行网的客户服务系统等，没有信息系统的支撑，业务开展就举步维艰、难以为继，企业经营就很可能陷入瘫痪状态。

还有一些新兴产业和新兴企业，其商业模式完全依赖信息系统，比如各种网络公司（新浪、网易、百度）、各种电子商务公司（比如阿里巴巴、卓越公司），没有信息系统，这些企业可能失去生存之基。

同时应当看到，企业信息系统内部控制以及利用信息系统实施内部控制也面临诸多风险，至少应当关注下列方面：一是信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下；二是系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制；三是系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。

鉴于信息系统在实施内部控制和现代化管理中具有十分独特而重要的作用，加之信息系统本身的复杂性和高风险特征，《企业内部控制应当指引第18号——信息系统》规定，企业负责人对信息系统建设工作负责。

换言之，信息系统建设是“一把手”工程。

只有企业负责人站在战略和全局的高度亲自组织领导信息系统建设工作，才能统一思想、提高认识、加强协调配合，从而推动信息系统建设在整合资源的前提下高效、协调推进。

企业应当重视信息系统在内部控制中的作用，根据内部控制要求，结合组织架构、业务范围、地域分布、技术能力等因素，制定信息系统建设总体规划，加大投入力度，有序组织信息系统开发、运行与维护，优化管理流程，防范经营风险，全面提升企业现代化管理水平。

二、本指引的框架结构该指引分为3章，共15条，主要说明对信息系统实施内部控制，重视在内部控制中的作用；根据信息系统建设整体规划提出项目建设方案，开发信息系统；企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范；具体框架结构如下表：三、本指引主要内容解读【解读】随着社会信息化进程的迅速推进，信息系统成为不少企业内部管理与控制的关键工具。

因此，信息系统的可靠性、安全性已经直接影响着审计工作效率和质量。

在此背景下，《审计署2006至2010年审计工作发展规划》提出“逐步开展对关系国计民生的重大行业、部门的联网审计和信息系统审计，全面提高计算机应用水平”。

信息系统开发、运行与维护过程中的主要风险企业应当关注与信息系统有关的下列风险：1.信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。

2.系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。

3.系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。

第二章信息系统的开发第五条企业应当根据信息系统建设整体规划提出项目建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施。

企业信息系统归口管理部门应当组织内部各单位提出开发需求和关键控制点，规范开发流程，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求，严格按照建设方案、开发流程和相关要求组织开发工作。

企业开发信息系统，可以采取自行开发、外购调试、业务外包等方式。

选定外购调试或业务外包方式的，应当采用公开招标等形式择优确定供应商或开发单位。

第六条企业开发信息系统，应当将生产经营管理业务流程、关控制点和处理规则嵌入系统程序，实现手工环境下难以实现的控制功能。

企业在系统开发过程中，应当按照不同业务的控制要求，通过信息系统中的权限管理功能控制用户的操作权限，避免将不相容职责的处理权限授予同一用户企业应当针对不同数据的输入方式，考虑对进入系统数据的检查和校验功能。

对于必需的后台操作，应当加强管理，建立规范的流程制度，对操作情况进行监控或者审计。

企业应当在信息系统中设置操作日志功能，确保操作的可审计性。

对异常的或者违背内部控制要求的交易和数据，应当设计由系统自动报告并设置跟踪处理机制。

第七条企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理，组织开发单位与内部各单位的日常沟通和协调，督促开发单位按照建设方案、计划进度和质量要求完成编程工作，对配备的硬件设备和系统软件进行检查验收，组织系统上线运行等。

第八条企业应当组织独立于开发单位的专业机构对开发完成的信息系统进行验收测试，确保在功能、性能、控制要求和安全性等方面符合开发需求。

第九条企业应当切实做好信息系统上线的各项准备工作，培训业务操作和系统管理人员，制定科学的上线计划和新旧系统转换方案，考虑应急预案，确保新旧系统顺利切换和平稳衔接。

系统上线涉及数据迁移的，还应制定详细的数据迁移计划。

【解读】企业根据发展战略和业务需要进行信息系统建设，首先要确立系统建设目标，根据目标进行系统建设战略规划，再将规划细化为项目建设方案。

企业开展信息系统建设，可以根据实际情况，采取自行开发、外购调试或业务外包等方式。

选择外购调试或业务外包方式的，应当采用公开招标等形式择优选择供应商或开发单位。

选择自行开发信息系统的，信息系统归口管理部门应当组织企业内部相关业务部门进行需求分析，合理配置人员，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求。

企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理，增进开发单位与企业内部业务部门的日常沟通和协调，组织独立于开发单位的专业机构对开发完成的信息系统进行检查验收，并组织系统上线运行。

（一）制定信息系统开发的战略规划信息系统开发的战略规划是信息化建设的起点，战略规划是以企业发展战略为依据制定的企业信息化建设的全局性、长期性规划。

制定信息系统战略规划的主要风险是：第一，缺乏战略规划或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。

第二，没有将信息化与企业业务需求结合，降低了信息系统的应用价值。

信息孤岛现象是不少企业信息系统建设中存在的普遍问题，根源在于这些企业往往忽视战略规划的重要性，缺乏整体观念和整合意识，常常陷于头痛医头，脚痛医脚，这就导致有的企业财务管理信息系统、销售管理信息系统、生产管理信息系统、人力资源管理系统、办公自动化系统等各自为政、孤立存在的现象，削弱了信息系统的协同效用，甚至引发系统冲突。

主要控制措施：第一，企业必须制定信息系统开发的战略规划和中长期发展计划，并在每年制定经营计划的同时制定年度信息系统建设计划，促进经营管理活动与信息系统的协调统一。

第二，企业在制定信息化战略过程中，要充分调动和发挥信息系统归口管理部门与业务部门的积极性，使各部门广泛参与，充分沟通，提高战略规划的科学性、前瞻性和适应性。

第三，信息系统战略规划要与企业的组织架构、业务范围、地域分布、技术能力等相匹配，避免相互脱节。

（二）选择适当的信息系统开发方式信息系统的开发建设是信息系统生命周期中技术难度最大的环节。

在开发建设环节，要将企业的业务流程、内控措施、权限配置、预警指标、核算方法等固化到信息系统中，因此开发建设的好坏直接影响信息系统的成败。

开发建设主要有自行开发、外购调试、业务外包等方式。

各种开发方式有各自的优缺点和适用条件，企业应根据自身实际情况合理选择。

1.自行开发自行开发是企业依托自身力量完成整个开发过程。

其优点是开发人员熟悉企业情况，可以较好地满足本企业的需求，尤其是具有特殊性的业务需求。

通过自行开发，还可以培养锻炼自己的开发队伍，便于后期的运行和维护。

其缺点是开发周期较长、技术水平和规范程度较难保证，成功率相对较低。

因此，自行开发方式的适用条件通常是企业自身技术力量雄厚，而且市场上没有能够满足企业需求的成熟的商品化软件和解决方案。

比如百度的搜索引擎系统就偏重于自行开发。

2.外购调试外购调式的基本做法是企业购买成熟的商品化软件，通过参数配置和二次开发满足企业需求。

其优点是开发建设周期短；成功率较高；成熟的商品化软件质量稳定，可靠性高；专业的软件提供商实施经验丰富。