内部控制_信息技术环境下企业内部控制(PPT 66页)

7
信息技术是双刃剑，有正面的价值，也有负面 的影响。我们的任务就是千方百计发挥和利用信 息技术的正面效用而减少或避免其负面影响，这 就为内部控制提出了新的挑战，我们必须认识这 一点。好在信息技术在内部控制工作中也可以大 有作为，甚至可以帮助完成人工不可能实现的控 制任务，这完全取决于我们的研究与探索。企业 信息化完全改变了原来业务处理的模式、秩序、 稳定性和安全性，需要我们建立一个全新的信息 技术环境下的以信息技术为工具的内部控制体系， 也就是要建立一个基于信息技术的具有稳定性、 安全性的新的业务处理模式。
9
1. 内部控制是一个流程，受公司董事会、管 理层和员工行为的影响。内部控制流程中 一切活动的设计，都必须始终围绕实现下 列三个目标提供合理的保证：
• 经营的效果与效率； • 财务报告的真实与可靠； • 经营活动的合法与合规。
10
2. 内部控制的实施基于两个前提： • 第一个前提是责任， 管理层和董事会有责任建立
11
3. 内部控制还要受到外部法制环境和企业经 济环境的影响
• 任何企业都受制于国家发布的相关而具体的法律法 规。一个企业必须保证它的所有生产经营活动符合 国家颁布并已生效了的相关法律法规。否则，违规 违法都会遭受处罚，形成经济损失。内部控制就是 保证企业活动符合相关的法律法规的活动。
• 企业的内部控制流程将会随着某些情况的不同而改 变，这些情况包括企业的规模，组织结构，所有者 特征，传送、处理、保存和评价信息的方法、法律 法规的要求，经营的多样性和复杂程度等。比如， 小型企业中就可能没有足够的雇员来做到和大企业 同样程度的职责分离。
24
董事会及委员会的职能
一个组织的董事会是连接组织的所有者—股东 和组织的经营管理层的纽带。股东们通过董事会 及其下设的委员会对管理层进行控制。董事会通 常将专有的职能售给各种各样的委员会，其中最 为重要的就是审计委员会。审计委员会应独立于 组织的管理层，主要由董事会以外的人员组成， 其职能是对组织的财务报告负责，包括遵守现行 的法律法规。审计委员会任命执业会计师，与他 们讨论审计的范围和性质，并评价该组织的编制 的财务报告。为保持内部审计的独立性，内部审 计应直接向董事会下属的审计委员会报告。见图 9-5
27
人力资源政策和实施
公司的正式职员应该是称职的，并且进行 过大量有关职责方面的培训。大量实践和 分析表明，职员在任何一个控制系统中都 是最为关键的因素。公司为每一个工作职 位建立的用人条款都应该反映与这个职位 相关的责任和具体要求，如：经验、才能 品质、奉献精神和领导能力。在用人政策 的实施中常采用以下控制措施：
20
敬业精神
任何内部控制过程要想发挥作用，员工 的能力都是必不可少的。员工的品质、能 力和敬业精神保证了控制过程的执行。若 没有具有足够能力和起码觉悟的员工，任 何控制过程都不能发挥作用。
21
管理哲学
一个组织中的有效控制基于并且依赖于 组织的管理风格。如果管理层相信控制是 重要的，那么他就应该实行监督使得控制 措施得到有效执行。如果管理层只把控制 的重要性停留在口头上，久而久之其下属 会觉察到管理层的真实态度—说说而已， 从而使控制的目标得不到实现。
计时 开单 应收账款 应付帐款 成本会计 薪酬 费用分类账 总分类账
23
图中开单人对会计经理负责，会计经理对 会计主管负责，会计主管则对总裁负责。 一个企业需要建立科学而有效的组织结构， 使得权责分明，沟通渠道规范。如图中所 示，开账单的人不应该把行动的结果向生 产副总裁报告，否则就是非正常的组织结 构。
3
一、企业在运营过程中面临的传统风险 过高的成本；不足的收入；资产的流失； 会计的失误；经营的中断；违规的处罚； 竞争的弱势；舞弊与盗用；白领犯罪；法 人犯罪。见图9-1
4
过高的成本
不足的收入
资产流失
经营的中断 会计的失误
常见常的见风的险 传统风险
舞弊与窃取
白领犯罪
违规被处罚 竞争的弱势 法人犯罪
6
二、信息化后企业面临的新风险
1. 计算机系统消除了手工的大部分交易处理痕迹 2. 计算机系统中交易的授权和执行与手工系统有
很大不同 3. 重新安排职责分离 4. 对信息系统内控的依赖性，增加了差错多次发
生的可能性 5. 更严峻的风险
①数据集中存储和管理，一但出现硬件故障，比如主机系统 损坏，可能导致数据丢失甚至造成毁灭性的灾难。②业务数据和财 务数据集成以后，内部管理上权限控制是重新分配的，新的控制措 施跟不上，就有可能造成控制的漏洞。③在信息技术环境下，对技 术人员尤其是系统管理人员的控制问题变得异常突出。这些人员在 极端情况下，可能会造成机器毁坏或整个系统瘫痪。④信息在互联 网上传输，产生了易泄露的风险，还有各级权限密码保存、改动不 当甚或丢失都可能造成重大损失。
17
构成控制环境的主要因素：
• 道德准则 • 企业文化 • 敬业精神 • 管理哲学 • 组织结构 • 董事会及下属委员会的职能 • 权责分配方式 • 人力资源政策与实施
18
道德准则
潜在的道德违规对企业意味着重大的损失 风险。这些风险可能是缴纳巨额罚金，也 可能是企业行政官员被起诉。比如，美国 一家利用氰化物从胶卷中提取银的公司， 曾导致一名员工死亡。该公司被指控蓄意 营造危险工作环境，三位行政官员被判谋 杀罪定刑25年监禁。
信息技术环境下企业内部控制
1
任何企业在其经营活动中都会面临各种 各样的风险，企业的发展过程就是不断与 各种风险打交道并降低和避免各种风险的 过程。而信息技术的广泛应用，使企业的 生产、经营与管理模式产生了巨大的变化， 一方面信息技术应用为企业增强了竞争力 的同时带来了新的风险，另一方面信息技 术也能为控制风险提供新的手段。作为企 业管理重要组成部分的内部控制必须进行 改革，以适应新的情况，本章就来讨论这 些问题。
ffff
22
组织结构
一个组织的结构是由这个组织中的授权和责任类型决定的。如下图。
总裁
管理副总裁
人事 效益 经营
办公室 收发室
财务主管
信贷 出纳 保险
生产副总裁
生产控制 采购 装运 收获 存储 生产 成品 存货控制
销售副总裁
促销 顾客服务 销售订单
图9-4 组织结构图
主计长
内部审计长
预算 纳税筹划 会计经理
19
企业文化
每个企业都有自己的企业文化，企业文化与全 体员工的一般信念、追求、价值取向、行为和态 度有关。企业文化可能促进也可能阻碍企业的道 德行为，进而影响内控的效果。如果企业文化存 在严重问题，内控效果就会大打折扣，一个健康 的企业文化会使内控事半功倍。
塑造一种具有高尚道德行为的企业文化十分困 难，它需要员工有较高的受教育程度，有较高的 觉悟和组织纪律性；需要管理者具有莫大的人文 关怀和公平、公正而又艺术的执政风格。
12
二、信息技术环境下的企业内部控制的目标
确定内部控制的目标是管理过程的一个重要组 成部分，是搞好内部控制的先决条件。内部控制 的目标决定了内部控制的要素、手段和具体实施 办法。控制是为了减少风险，在对企业的风险分 析中，常常结合经营活动的四个一般循环来进行， 每个交易循环都可能存在风险，那么管理层就应 该明确每个交易循环的具体控制目标，这些控制 目标为分析风险提供了一个基础，便于找到风险 并评估其大小，从而有针对性地设计控制措施。 图9-2 列出了每个交易循环的典型控制目标。
并维持一个有效的内部控制流程。虽然具体的控 制活动的责任由某些下属承担，但最终的责任仍 属于最高管理层和董事会。尽管内部审计师最熟 系内部控制的知识，但内部控制并不是由审计师 负责，而是由管理层负责。审计师负责为管理层 提供有关内部控制如何运行的信息。 • 第二个前提是合理合的保证，这与控制的成本和 收益有关，精明的管理层不会让花在控制上的钱 超过从控制上所能得到的收益。即控制的合算性。
25
董事会下属的 审计委员会
内部审计
董事会 总裁 主计长
其他人员
图9-5 审计委员会
26
权责分配方式
一个组织的权责分配方式取决于组织内 部的管理风格和经营模式。如果只有口头 上的或非正式的权责分配形式，控制可能 会弱化或形同虚设。一张正式的组织结构 图或一份书面文件经常用来表明组织总体 的权责分配情况，组织结构图往往与正式 的职责描述和职责分配的陈述联合使用。 书面备忘录、政策手册和程序手册也是一 些组织常用的权责分配手段。
8
第二节 信息技术环境下 企业内部控制的一般概念
一、内部控制的基本概念 美国COSO委员会在《内部控制——整
体框架》中将内部控制定义为：内部控制 是由企业董事会、经理层和其他员工实施 的，为营运的效率效果、财务报告的可靠 性、相关法令的遵循性等目标的达成而提 供合理保证的过程。对此定义我们可作如 下理解：
图9-2 交易循环中典型的控制目标
14
三、内部控制的五大要素
一个企业的内部控制过程包括五个要素： 控制环境，风险评估，控制活动，信息与 沟通，监督。COSO将内部控制要素以一个 金字塔结构提出，其中控制环境作为金字 塔的最底部，风险评估和控制活动位于上 一层次，信息和沟通接近顶部，监督处于 最顶端。如图9-3所示。
13
收入循环
支出循环 生产循环 财务循环
典型的控制目标
顾客应该是按管理层的标准认可的 所提供的货物和服务是按管理层的标准认可的 所提供的货物的装运应以给顾客的账单为结束 给顾客的通知单应被准确分类、总结和报告 供货商应该是按管理层的标准认可的 雇员应该是按管理层的标准录取的 员工工资、费用记录应该是按管理层的标准批准的 报酬率和工资扣减应该是按管理层的标准认可的 付供应商的货款应该被批准、适当的分类、总结并报告 生产计划应该是按管理层的标准认可的 产品的生产成本应该被批准、适当的分类、总结并报告 债务记录的金额及时间应该是按管理层的标准认可的 接近现金及证券的行为应该是按管理层的标准批准的
15
监督
内
信息与沟通
部
控
控制活动
制
风险评估
控制环境
图9-3 内部控制五要素
16
（一） 控制环境
一个组织的控制环境是控制系统中其他要素的 基础。控制环境是各种因素共同作用的结果，这 些因素可以增强或弱化内控措施的实施效果。因 此， 控制环境决定着组织的整体风格，左右着员 工的控制意识，直接影响控制效果。控制环境包 括企业文化；包括企业的经营重点和经营目标； 包括管理层的管理哲学和经营风格；包括企业实 施的权责分配方法和执行的人事政策；还包括员 工的职业道德、敬业精神和个人才能等。
图9-1 企业面临的传统风险
5
• 白领犯罪 是指管理层犯罪，这类犯罪有别于其他非法活
动，它发生在犯罪人的工作中，当管理人员通过 某些欺骗手段将资产转移用途或隐瞒时，白领犯 罪就发生了。如会计作假账就是白领犯罪行为。 • 法人犯罪。
是指表面上看只是对企业或组织有利，不是对 犯罪者个人有利的白领犯罪，而实际上犯罪者个 人是间接受益Leabharlann Baidu。法人犯罪给组织带来的风险可 能更大。
28
• 忠诚保险 为职员的忠诚买保险，以便得到可靠的雇员。
• 职责分配 明确每一个员工职务和责任，界定职责范围。
• 监督 被授权的人对员工直接督察，确保职责按分配执行。
• 轮流工作和强制休假 令员工在某段时间内执行其他员工的任务，以检查和 校验其他人的业务。
• 双重控制 两个执行同一任务的员工必须经常相互检查同伴的工 作，建立责任共同体。
29
（二） 风险评估
风险评估是提高内部控制效率和效果的 关键。任何组织都会面临来自其内部和外 部的风险，各个组织都必须进行风险评估， 以识别、分析、管理风险。一般而言，风 险会随以下因素而产生或变化：经营环境 变化、改造和更换新的信息系统、新的员 工、新技术应用等。不健全或无效的内部 控制措施就是风险存在的信号。
30
（三） 控制活动
控制活动是指管理者为了确保管理指令能够得以 有效实施而制定并实行的各种政策和步骤。旨在为 组织中每个特定的控制目标的实现提供合理的保证， 这些特定的控制目标包括：
2
第一节 现代企业面临的风险 与内部控制的重要性
控制是针对风险而设立的，风险是导致 一个组织或机构发生损失的可能性，而控 制则是降低或减少风险的活动。风险损失 的大小是该风险事件发生的概率与该事件 可能造成的损失的乘积。风险不仅仅是由 于缺少控制而产生的，它是任何组织的经 营活动中固有的，其原因多种多样。控制 可以减少风险，但不能消除其起因。