關(guān)于信息系統(tǒng)內(nèi)部控制體系建設(shè)的探索

［摘要］ 中國(guó)石油從2006年起開(kāi)始全面建設(shè)內(nèi)控體系，本文通過(guò)對(duì)中國(guó)石油信息系統(tǒng)內(nèi)控體系建設(shè)的探索，闡述了信息系統(tǒng)內(nèi)控體系建設(shè)的內(nèi)容及實(shí)施的意義，對(duì)其他單位信息系統(tǒng)內(nèi)控體建設(shè)有較好的借鑒意義。

［關(guān)鍵詞］ 信息系統(tǒng)；內(nèi)控體系；五要素；意義

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2011 . 22. 027

［中圖分類號(hào)］F270.7 ［文獻(xiàn)標(biāo)識(shí)碼］A ［文章編號(hào)］1673 - 0194（2011）22- 0049- 02

1 引言

美國(guó)安然與世通事件引發(fā)社會(huì)對(duì)保護(hù)投資者利益的關(guān)注，２００２年美國(guó)國(guó)會(huì)出臺(tái)了《薩班斯－奧克斯利》法案， 該法案目的在于提升民眾對(duì)美國(guó)金融市場(chǎng)及上市公司財(cái)務(wù)報(bào)告的信心。法案提出必須使用一個(gè)內(nèi)部控制框架作為內(nèi)控有效性評(píng)估的基礎(chǔ)，同時(shí)明確了內(nèi)部控制的整體框架構(gòu)成。

中國(guó)石油集團(tuán)內(nèi)控體系建設(shè)項(xiàng)目源于《薩班斯－奧克斯利》法案。２００６年，中國(guó)石油以ＣＯＳＯ（Ｔｈｅ Ｃｏｍｍｉｔｔｅｅ ｏｆ Ｓｐｏｎｓｏｒｉｎｇ Ｏｒｇａｎｉｚａｔｉｏｎｓ ｏｆ Ｔｈｅ Ｎａｔｉｏｎａｌ Ｃｏｍｍｉｓｓｉｏｎ ｏｆ Ｆｒａｕｄｕｌｅｎｔ Ｆｉｎａｎｃｉａｌ Ｒｅｐｏｒｔｉｎｇ， 全國(guó)虛假財(cái)務(wù)報(bào)告委員會(huì)下屬的發(fā)起人委員會(huì)）內(nèi)部控制整體框架為基礎(chǔ)，融合ＣＯＳＯ企業(yè)風(fēng)險(xiǎn)管理整體框架的主要內(nèi)容，結(jié)合國(guó)家監(jiān)管部門的基本要求，全面開(kāi)展了內(nèi)部控制體系建設(shè)。

2內(nèi)部控制體系概述

中國(guó)石油內(nèi)控體系建設(shè)覆蓋全部業(yè)務(wù)和部門。建立了包括控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通、監(jiān)督五要素的內(nèi)部控制體系。其中：①控制環(huán)境（ｃｏｎｔｒｏｌ ｅｎｖｉｒｏｎｍｅｎｔ）是指企業(yè)的基調(diào)、氛圍，直接影響企業(yè)員工的控制意識(shí)，是內(nèi)部控制的基礎(chǔ)。②風(fēng)險(xiǎn)評(píng)估（ｒｉｓｋ ａｐｐｒａｉｓａｌ）就是識(shí)別、分析相關(guān)風(fēng)險(xiǎn)以實(shí)現(xiàn)既定目標(biāo)，是風(fēng)險(xiǎn)管理的基礎(chǔ)。③控制活動(dòng)（ｃｏｎｔｒｏｌ ａｃｔｉｖｉｔｙ）指那些有助于管理層決策順利實(shí)施的政策和程序，是針對(duì)風(fēng)險(xiǎn)采取的控制措施。包括批準(zhǔn)、授權(quán)、查證、核對(duì)、復(fù)核經(jīng)營(yíng)業(yè)績(jī)、資產(chǎn)保護(hù)和職責(zé)分工等活動(dòng)。④信息與溝通（ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ）是指企業(yè)經(jīng)營(yíng)管理所需信息必須被識(shí)別、獲得并以一定形式及時(shí)傳遞，以便員工履行職責(zé)。⑤監(jiān)督（ｍｏｎｉｔｏｒｉｎｇ）是對(duì)內(nèi)部控制系統(tǒng)有效性進(jìn)行評(píng)估的過(guò)程，它實(shí)際上是內(nèi)部控制的一種再控制，包括持續(xù)監(jiān)督、獨(dú)立評(píng)估和缺陷報(bào)告等，通過(guò)監(jiān)督活動(dòng)的實(shí)施，可以使內(nèi)部控制系統(tǒng)保持其有效性。內(nèi)部控制五要素共同配合和相互聯(lián)系，共同對(duì)企業(yè)的各經(jīng)營(yíng)部門和業(yè)務(wù)活動(dòng)發(fā)揮作用。

3信息系統(tǒng)內(nèi)部控制簡(jiǎn)介

信息系統(tǒng)內(nèi)部控制五要素具體為：①控制環(huán)境：提高員工的組織影響控制意識(shí)，主要因素包括數(shù)據(jù)的保密性、真實(shí)性、政策、程序和責(zé)任。②風(fēng)險(xiǎn)評(píng)估：ＩＴ風(fēng)險(xiǎn)評(píng)估指ＩＴ管理、數(shù)據(jù)安全、程序變更和開(kāi)發(fā)以及計(jì)算機(jī)運(yùn)行ＩＴ內(nèi)部控制戰(zhàn)略計(jì)劃。③控制活動(dòng)：必要的政策和程序用來(lái)確定管理的指示正在被執(zhí)行，主要包括信息系統(tǒng)總體控制和應(yīng)用層面的控制。④信息和溝通：對(duì)于相關(guān)信息及時(shí)的鑒別，獲取和傳達(dá)以及訪問(wèn)內(nèi)部和外部信息的權(quán)限控制。⑤監(jiān)督：評(píng)估信息系統(tǒng)的穩(wěn)定性，管理和監(jiān)督活動(dòng)。其中控制活動(dòng)是信息系統(tǒng)內(nèi)部控制的主要環(huán)節(jié)。本文針對(duì)信息系統(tǒng)總體控制與應(yīng)用控制，主要做了以下探索：

3.1 信息系統(tǒng)總體控制（Ｇｅｎｅｒａｌ Ｃｏｍｐｕｔｅｒ Ｃｏｎｔｒｏｌ，ＧＣＣ）

中國(guó)石油集團(tuán)公司制定了信息系統(tǒng)總體控制實(shí)施規(guī)范，適用于在信息技術(shù)的開(kāi)發(fā)、實(shí)施、運(yùn)行、維護(hù)及管理等方面的控制，主要包括6個(gè)方面：①信息系統(tǒng)控制環(huán)境。其包括總體控制環(huán)境、信息與溝通、風(fēng)險(xiǎn)評(píng)估和監(jiān)控。②信息安全。由信息安全管理組織、邏輯安全、物理安全、網(wǎng)絡(luò)安全、計(jì)算機(jī)病毒防護(hù)和第三方安全管理組成。③信息系統(tǒng)項(xiàng)目建設(shè)管理。涵蓋了項(xiàng)目立項(xiàng)審批、項(xiàng)目建設(shè)方法、項(xiàng)目管理3項(xiàng)內(nèi)容。④信息系統(tǒng)變更管理。內(nèi)容涉及變更管理、日常變更流程、緊急變更流程。⑤信息系統(tǒng)日常運(yùn)維。范圍包括機(jī)房環(huán)境控制、系統(tǒng)日常運(yùn)作監(jiān)控、批處理作業(yè)調(diào)度管理、備份與恢復(fù)和問(wèn)題管理。⑥最終用戶操作。包括最終用戶計(jì)算機(jī)操作安全制度和電子表格管理兩項(xiàng)主要內(nèi)容（詳見(jiàn)表1）。

3.2 應(yīng)用控制（Ａｐｐｌｉｃａｔｉｏｎ Ｃｏｎｔｒｏｌ，ＡＣ）

信息系統(tǒng)應(yīng)用控制包括應(yīng)用軟件中的電算化步驟以及用以控制不同種類交易處理的相關(guān)手工操作程序。這些控制結(jié)合在一起，可以保證系統(tǒng)中的安全性。主要包括：①完整性。包括所有的交易都經(jīng)過(guò)處理，且只處理一次；不允許數(shù)據(jù)的重復(fù)錄入與處理以及例外情況的發(fā)現(xiàn)與解決。②準(zhǔn)確性。包括所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的；例外情況被及時(shí)發(fā)現(xiàn)以保證交易被記錄在正確的會(huì)計(jì)期間。③有效性。包括交易被適當(dāng)授權(quán)；系統(tǒng)不接受虛假交易；例外情況被發(fā)現(xiàn)和處理。④接觸控制。包括未經(jīng)授權(quán)，不得對(duì)數(shù)據(jù)進(jìn)行修改；數(shù)據(jù)的保密性；物理設(shè)備的保護(hù)等。

信息系統(tǒng)總體控制和應(yīng)用控制是相互關(guān)聯(lián)的。 信息系統(tǒng)總體控制是應(yīng)用系統(tǒng)控制的基礎(chǔ)， 應(yīng)用系統(tǒng)控制依賴于信息系統(tǒng)總體控制， 信息系統(tǒng)總體控制和應(yīng)用控制共同保證信息處理的完整性和準(zhǔn)確性。

4信息系統(tǒng)內(nèi)部控制的意義

信息系統(tǒng)內(nèi)部控制的實(shí)施，加強(qiáng)了企業(yè)在應(yīng)用信息技術(shù)方面的科學(xué)性與規(guī)范性，提高了企業(yè)在信息技術(shù)的開(kāi)發(fā)、實(shí)施及運(yùn)維管理等方面的控制能力，增強(qiáng)企業(yè)信息系統(tǒng)的運(yùn)行效力。主要體現(xiàn)在以下幾個(gè)方面：

（１）從單一的制度建設(shè)向綜合性的管理體系轉(zhuǎn)變。通過(guò)完善控制環(huán)境，開(kāi)展風(fēng)險(xiǎn)辨識(shí)，明確控制主體及措施，建立暢通的溝通渠道和嚴(yán)格監(jiān)督機(jī)制，全面明確信息管理體系的具體要求和評(píng)價(jià)標(biāo)準(zhǔn)，為建立有效運(yùn)行的信息管理體系提供依據(jù)，代表了信息的管理目標(biāo)水平。

（２）從傳統(tǒng)管理向風(fēng)險(xiǎn)管理轉(zhuǎn)變。建立了信息風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)、程序、方法和運(yùn)行機(jī)制，開(kāi)展了風(fēng)險(xiǎn)辨識(shí)、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)，完成了風(fēng)險(xiǎn)評(píng)估，建立了業(yè)務(wù)層面風(fēng)險(xiǎn)數(shù)據(jù)庫(kù)，引領(lǐng)信息管理從傳統(tǒng)管理向以風(fēng)險(xiǎn)管理為核心的轉(zhuǎn)變，更加突出了管理的重點(diǎn)，為提高信息風(fēng)險(xiǎn)管理水平奠定了基礎(chǔ)。

（３）從職能管理向流程管理轉(zhuǎn)變。引入流程管理的理念，以風(fēng)險(xiǎn)管理為導(dǎo)向，以流程為載體，體現(xiàn)業(yè)務(wù)管理活動(dòng)端到端的工作流程，實(shí)現(xiàn)管理界面、崗位職責(zé)、管理權(quán)限、控制措施的有機(jī)結(jié)合。通過(guò)流程梳理，補(bǔ)充了缺失的管理程序，完善了相關(guān)制度，使公司對(duì)信息相關(guān)業(yè)務(wù)的管控措施更加完善和具有操作性，管控能力得到進(jìn)一步提高。

（４）從事后監(jiān)督向過(guò)程監(jiān)督轉(zhuǎn)變。內(nèi)部控制內(nèi)控監(jiān)督的方式與傳統(tǒng)監(jiān)督方式不同，通過(guò)對(duì)過(guò)程的控制確保管理目標(biāo)的實(shí)現(xiàn)，緊緊圍繞重要風(fēng)險(xiǎn)、重要流程、關(guān)鍵控制、重點(diǎn)監(jiān)控這一主線開(kāi)展，關(guān)注的是在信息管理過(guò)程中崗位人員是否實(shí)施了有效的控制。通過(guò)內(nèi)控，改變了過(guò)去不按程序?qū)嵤┑墓芾砹?xí)慣，強(qiáng)化了程序控制理念，確保了信息管理目標(biāo)的實(shí)現(xiàn)。