會計信息系統的內部控制

在現代信息技術出現的早期，已有許多人意識到信息技術將對會計行業產生深刻的影響。畢馬威會計公司的合伙人鮑勃埃利奧特的論著，開篇就是“IT正在改變一切”。在信息技術環境下，會計的內部控制發生了很大的變化。

一、計算機應用對內部控制的影響

1.內部控制重點發生變化。在傳統的手工會計系統中，企業會計內部控制的對象是處理會計業務的財務人員，內部控制的重點就在人員之間的相互牽制上。計算機應用后，會計數據一般都集中由計算機數據處理部門進行處理，而財務部門人員往往只負責原始數據的收集、審核和編碼，并對計算機輸出的各種會計報表進行分析。這使得內部控制的重點由對人的控制轉變為對人和計算機的控制。

2.內部控制的方式發生變化。如原來手工下的編制科目匯總表、憑證匯總表等試算平衡的檢查，總賬、明細賬的核對，在應用計算機后就不會發生失誤，就沒有了存在的必要性。而憑證的借貸關系校驗、余額、發生額平衡的檢查等相應地轉移到計算機系統內，由財務軟件來實現。內部控制由手工會計系統下的單一人工控制轉變為人工控制和程序控制。

3.存儲介質的變化。在手工會計環境下，原始憑證、記賬憑證、會計賬簿和會計報表，其法律效用是被廣泛承認的，一旦出現錯誤進行修改時，都會留有修改的痕跡。但計算機應用以后，原來紙質的會計數據被直接記錄到磁盤或光盤等磁介質上，不易實現簽字、蓋章，而且很容易被刪除或篡改。另外，電磁介質易受損壞，會計信息也存在丟失或毀壞的危險。

4.交易授權的變化。手工環境下，在內部控制制度中明確規定某項交易的授權；而信息技術環境下，對交易的授權在系統設計或初始化時就已完成，管理者難以適時評價授權是否符合當前目標，控制的失效只能在較大的失誤發生后才能被察覺，所以管理者對交易授權的關注應轉移到對相關計算機程序的正確性和可靠性測試上來。

5.財務網絡化帶來新的問題。網絡技術無疑是目前IT發展的方向，會計信息系統也不可避免受到其深遠的影響，特別是Internet在財務軟件中的應用對會計信息系統的影響將是革命性的。目前財務軟件的網絡功能主要包括遠程報賬、遠程報表、遠程審計、網上支付、網上催賬、網上報稅、網上采購、網上銷售、網上銀行等，實現這些功能就必須有相應的控制，從而為會計信息系統內部控制帶來新問題。

二、加強會計信息系統的內部控制方法

會計信息系統的內部控制是指企業為了保證會計信息系統的效率、安全性和完整一致性而采取的控制措施，包括一系列控制制度和控制技術。

1．加強環境控制。（1）加強組織控制。組織控制的目的主要是減少信息部門的錯誤及舞弊行為發生的可能性。企業應當建立會計信息系統崗位責任制。計算機信息系統崗位一般應包括系統分析、編程、計算機操作、數據庫管理、信息系統庫管理、數據控制和終端等。而且所有由會計信息系統處理的業務都應經過授權管理，不是由會計信息系統生成的業務，都要在計算機處理之前通過審核與批準。重大事項必須經由董事會或類似的決策、治理機構審批通過后，方可實施。

（2）加強信息系統開發、變更與維護控制。企業應當成立項目管理小組，負責信息系統的開發，對項目整個過程實施監控。制定詳細的信息系統上線計劃，應在系統轉換之際做好各項轉換的準備工作，如舊系統的結算、匯總；人員的重新配置；新系統初始數據的安全導入等。而且還應明確系統回退計劃，保證新系統一旦失效，能夠順利回退到原來的系統狀態。系統在運行過程中，企業應及時對信息系統進行維護，使得信息系統隨時能滿足其發展要求。

（3）加強信息系統訪問安全控制。會計信息系統是一個開放的系統，系統內部和系統外部都可能存在威脅。企業應當對信息系統操作人員的上機、密碼和使用權限進行嚴格規范，建立相應的操作管理制度。未經上機培訓的人員不得作為操作人員。而信息系統操作人員不得擅自進行系統軟件的刪除、拷貝、修改等操作，不得擅自升級、改變系統軟件版本或更換系統軟件，不得擅自改變軟件系統環境配置，應當在權限范圍內進行操作，不得利用他人的口令和密碼進入軟件系統。操作員口令和操作日志應采用密碼的形式存儲，并只能允許系統管理員隨時和定期打印輸出。操作人員如果離開工作現場，必須在離開前鎖定或退出已經運行的程序，防止其他人員越權操作或散發不當信息。如果企業更換操作人員或密碼泄密后，必須及時更改密碼。企業應當建立數據信息定期備份制度和數據批處理或實時處理的處理前自動備份制度（交易日志），在遠離計算機設備和操作的地方至少應當保存一套備份和交易日志，以備丟失或損壞時重建。

在IT環境下，要有效地實現企業內部控制的目標，必須對企業內聯網以外的系統空間進行控制。企業可以建立網絡防火墻；設置外部訪問區域，防止“黑客”及非法入侵；建立周邊監控系統。針對大眾訪問（如文件傳遞、電子郵件、網上會計信息查詢等），企業主要是在系統的外部訪問區域內采取防護控制措施。例如在網絡會計系統中設置多重口令，對用戶的登錄名和口令的合法性進行檢查；對網絡進行實時監視、跟蹤與審計，找出并解決威脅網絡安全的問題。在系統的運行與維護過程中尤其要重視計算機病毒的防范及相應的技術手段與措施。企業應當定期檢測信息系統運行情況，及時進行計算機病毒的預防、檢查工作，禁止用戶私自安裝非法軟件和卸載企業要求安裝的防病毒軟件。一經發現潛在危險，應當及時通知操作人員隔離受病毒侵襲的系統部分，盡快處理。如有必要，可以暫時終止系統運行。

（4）加強硬件控制。會計信息系統投入使用后，應加強硬件的控制。企業應當將計算機硬件設備放置在合適的物理環境中，由專人負責管理和檢查，其他任何人未經授權不得接觸計算機信息系統硬件設備。

2．加強應用控制。應用控制和具體的應用系統有關，是為確保數據處理完整、正確而實施的控制，涉及到各種類型的業務。

（1）加強輸入控制。美國學者阿蘭的一項研究表明，在156項計算機犯罪案例中，有108項案例涉及罪犯對輸入業務的非法改動。由此可見，輸入控制是應用控制中最為關鍵的環節。

輸入控制就是要保證輸入會計信息系統數據的有效可靠。常用的控制方法包括：建立科目名稱與代碼對照文件，以防止會計科目輸錯；設計科目代碼校驗，以保證會計科目代碼輸入的正確性；設立對應關系參照文件，用來判斷對應賬戶是否發生錯誤；試算平衡控制，對每筆分錄和借貸方進行平衡校驗，防止輸入金額出錯；順序檢查法，防止憑證編號重復；二次輸入法，將數據先后兩次輸入或同時由兩個人分別輸入，由程序將兩次輸入進行一一核對，凡不一致的則拒絕接受并強制修改等。

（2）加強處理控制。處理控制的主要目的是保證數據計算的準確性、數據傳輸的合法性以及保證會計處理流程的正確性和有效性。這種控制往往是通過預先編好的計算機程序實現的。最常見的數據處理控制有勾稽關系控制、文件標簽控制、數據合理性控制、修改權限與修改痕跡控制以及防錯、糾錯控制等。

（3）加強輸出控制。輸出數據控制一般應設立專人（審核員）審核所有輸出資料，檢查輸出數據是否與輸入數據相一致，輸出數據是否完整，輸出結果是否正確；應設置輸出權限，信息系統的輸出可以用寫入存儲器輸出、屏幕顯示輸出或打印輸出，任何一種輸出方式都要設立相應的權限控制，任何人未經批準授權，不得執行輸出指令或接觸相關機密文件；另外，文件傳輸應安全正確，對數據的發送對象、份數應有明確的規定，以確保輸出結果能送發到合法的輸出對象；由專人負責收集、登記、分發、核對和保管輸出的紙介質的會計資料，檢查其完整性、正確性、打印的賬簿和報表號是否連續、有無缺漏或重疊現象，采用各種技術手段保證數據在傳輸過程中的準確、安全、可靠。

（作者單位：安徽財經大學會計學院）