企業內部控制信息化環境與實施方法探究

武漢大學經濟與管理學院 陳瀟怡

2009年4月財政部發布《關于全面推進我國會計信息化工作的指導意見》，文中指明推進企事業單位會計信息化建設的任務包括：會計基礎工作信息化，會計準則制度有效實施信息化，內部控制流程信息化等。即運用信息技術手段將會計準則制度、內部控制規范制度嵌入到企業管理信息系統中，通過信息系統執行。然而，內部控制是為保證企業經營的效率和效果、財務報告的真實可靠、法律法規的遵循，以及保護資產安全等目標的達成而提供的合理保證過程，也是治理者通過對內外環境、控制成本、可接受的風險水平等要素進行比較權衡后對制度的選擇。因此，內部控制規范制度不可能做成一套標準的計算機程序，需要依據每個企業的控制環境、經營風險、控制目標、組織架構、業務流程等量身定制，其實施過程是一個非常復雜、涉及眾多因素的龐大的系統工程，僅靠“手工作坊式”的實施方式很難保證質量。本文針對我國企業內部控制信息化實施的環境特征，從內控信息化實施方法和技術創新的視角，討論基于IT的企業內部控制系統的設計與實施，以降低內部控制系統低效或失效的風險，為企業內部控制信息化探尋一種新的實施思路與規范的方法和技術。

一、企業內部控制信息化實施環境主要特征分析

（一）內部控制制度規范建立歷程較短，尚處于起步階段 自2001年財政部頒布《內部會計控制規范》后，我國企業才結束了沒有內部控制標準的歷史。此前，僅有《中華人民共和國會計法》（1999年修訂）、《中華人民共和國公司法》（1993年）、《中華人民共和國證券法》（1998年）中涉及了很少的與企業內部控制相關的條文。隨后，證監會于2002年1月頒布了《上市公司治理準則》，2006年6月上海證券交易所頒布了《上市公司內部控制指引》，以及國資委發布了《中央企業全面風險管理指引》等。2008年，財政部、證監會、審計署、銀監會、保監會聯合發布了《企業內部控制基本規范》和17項具體規范，并且在2010年4月發布了《企業內部控制配套指引》，至此，適合我國企業的內部控制制度規范體系才基本建立。而內部控制作為企業防范風險、實現企業戰略目標的一套制度體系在西方發達國家已經歷了近一個世紀的發展歷程，與國外發達國家內部控制發展的理論和實踐相比，我國企業的內部控制建設和實施都處在起步階段，至今還有不少企業的管理者和員工還不知道什么是內部控制規范。在企業的內部控制和風險防范體系不健全的現狀下，要使企業內部控制規范發揮作用，必須采用強有力的實施機制，以及科學規范的實施方法和技術幫助企業實施。

（二）企業文化處于多元化狀態 在我國傳統文化中，孔子的儒家思想一直在官方的意識形態領域占據著正統地位，對我國企業文化產生著深刻的影響。孔子思想體系的核心主要體現在“禮”、“仁”、“和”、“義”等方面，注重人本的思想，也推行“上尊下卑”、“中庸之道”。除了傳統文化的影響外，我國企業文化還受我國社會思潮的變遷和經濟體制改革的影響，由此有了“現代企業文化”、“國有企業文化”、“家族式企業文化”、“領導者文化”，以及“嫁接的西方企業文化”等等。不同的企業文化具有鮮明的個性和差異性，是由企業的性質、成長經歷、企業管理者的文化素質、性格特征以及處理事情的能力等因素決定的。由此，企業員工在西方思想的沖撞下會出現雙重標準的行事方式。例如，在人之下時積極倡導自由平等的思想，在人之上時又遵循上尊下卑的儒家思想；自己人脈缺乏時要求別人公平競爭，自己人脈豐富時又信奉關系哲學；有的員工要求企業管理者治理企業要“法治”，等到自己管理企業時又極力推行儒家的“人治”，等等。至今，不少企業的企業文化仍然處于一種混沌朦朧的狀態沒有沉淀成自身特色。而企業內部控制制度的設計和實施與企業文化是緊密聯系的，在我國企業文化傳統與現代、中西方結合的多元化狀態下，運用科學規范的實施方法和技術進行企業內部控制制度的設計與實施，可以排除不同文化氛圍導致的控制偏差和人為因素的干擾，保證企業內部控制系統實施的有效性。

（三）企業管理基礎薄弱，復合型人才缺乏 我國企業信息化建設起步發展于20世紀90年代末。2006年，中共中央辦公廳和國務院辦公廳發布了《2006-2020年國家信息化發展戰略》文件；2007年10月黨的十七大報告明確提出“信息化是我國加快實現工業化和現代化的必然選擇，要將信息化與工業化相互融合發展”；2009年4月財政部發布了《關于全面推進我國會計信息化工作的指導意見》文件等等。此間，我國IT基礎設施建設快速發展并不斷完善，企業信息化進程不斷加快，政府積極鼓勵企業上線ERP（企業資源規劃）系統，對國有企業上線ERP系統給出了貸款優惠政策，對擬上市發行股票的公司要求上線ERP系統等等。然而，政府對企業信息化的積極推進政策沒有達到預期效果，企業ERP系統應用失敗的案例比比皆是。因為從發達國家引入的ERP系統不僅僅是一種管理軟件，更重要的是體現了一種先進的企業管理思想和管理模式的應用，要求企業的業務流程、會計流程、控制流程、工作流程按ERP軟件的管理模式進行改造或重構；ERP系統將企業的業務系統與財務系統融為一體，使企業經營管理和內部控制的方式發生了根本性的改變。而我國企業信息化發展歷程不長，企業管理基礎工作還很薄弱（如標準化管理、統一信息編碼、規范制度流程等），不少企業的管理者和員工還不知道ERP系統的核心作用是什么，也不知道什么是IT治理，更不知道如何將企業內部控制需求融入到企業管理信息系統中。而科學規范的實施方法和技術可以幫助企業提高基于IT的內部控制系統的實施效果。

二、企業內部控制信息化對實施方式和技術創新的需求

（一）改變人工控制的思維慣性和手工作坊式的實施方式 通過上文分析發現，盡管我國企業內部控制規范體系建設歷程較短，但不同類型的企業為防范經營風險都有各自不同的制度設計和方式。例如，國有企業要按國資委頒布的文件設置監控、內審、紀檢等風險防范崗位；家族企業或中小民營企業則更多的是依賴親朋好友組織成企業內的裙帶關系網，將親友安排在重要的崗位；等等。無論是國有企業還是家族企業在實施內部控制時，主要是從組織結構、崗位設置、控制流程、監督和檢查方式等方面進行，并通過這些工作實現控制目標，采用的是一種基于權力制約和崗位分設的傳統的人工控制方式。這種人工控制方式主要是從社會科學的角度進行研究，長期以來形成了一定的思維慣性：即如何設計組織架構、崗位的權責利和相互牽制關系、控制流程和方法等。企業內控體系設計的好壞主要依靠設計與實施者個人的經驗和技巧，內控制度的設計和執行都存在太多的人為操縱因素，也存在效率低下、質量缺乏保障等諸多弊端，是一種“手工作坊式”實施方式。而企業內部控制信息化是要通過信息技術手段將基于權力制約和崗位分置的傳統的人工控制方式，轉化成以信息流為基礎的人工控制與IT控制相結合的控制方式；要針對不同企業的風險特征和控制目標設計不同的規范的控制制度和流程、關鍵控制點和控制措施，并且固化到信息系統中，依賴于企業信息系統施行控制，以實現內部控制制度執行的標準化、自動化、常態化。這是社會科學與計算機應用科學深度交叉結合的課題，傳統的手工作坊式的思維模式和實施方式并不適應企業內控信息化發展。

（二）建立基于IT的內部控制執行機制 企業內部控制是一個全員共同參與的管理和控制的過程，它涉及到企業經營管理的各項業務活動的各個環節，控制方式最終直接體現的是“人控制人”的制度體系。而企業內部控制信息化可以通過IT技術手段，在建立企業信息系統時，將“人控制人”的規則，如業務控制規則、會計控制規則等置入計算機程序，代替人工在業務執行過程中自動對業務和會計事項進行控制，減少或消除人為操縱因素。這種基于IT的內控執行機制，將“人控制人”的問題轉化成員工如何在集成了企業內控制度的信息化管理平臺上按規范的制度、流程開展業務，并對經營過程中可能遇到的風險進行有效的管控，有利于降低內部控制成本，提高信息溝通的效率和效果；有利于排除不同企業文化產生的控制偏差。顯然，如何將“人控制人”的制度條例轉化成信息系統中規范的控制執行流程需要社會科學方法與計算機應用科學方法和技術的融合。信息化已將社會科學與計算機應用科學的研究融為一體，信息技術和管理創新相互交叉、相互促進，相互推動社會的進步。

（三）需要科學規范的實施方法和技術保障 企業要運用IT技術手段實施內部控制，首先要將企業信息系統轉化和提升成一個集成了企業內部控制需求的信息化管理平臺，再運用這個平臺實施控制。這個平臺的質量是否滿足企業內部控制的需求直接影響企業內部控制施行的有效性。那么，如何構建這個信息化管理平臺？涉及到哪些要素？用什么方法保證平臺的質量呢？企業內控系統本質上說還是一個社會系統，平臺的構建涉及到企業文化、員工素質、管理基礎、IT應用基礎等諸多因素，需要將社會科學和計算機軟件工程的實施方法綜合運用。例如，需要對不同企業的管理現狀進行分析診斷，以便設計一套完整的適應企業需求的內部控制制度體系，這就要用到社會科學的調查分析等方法；而要將企業會計準則政策、企業內部控制規范制度等要求融入企業信息系統中則需要用計算機軟件工程中的方法，具體來說，就是將滿足企業內控需求的規范制度條例融入管理軟件的功能模塊中并進行系統初始設置。這是一個復雜龐大的系統工程，要保證平臺的質量，除了人和制度體制因素外，需要科學規范的實施方法和技術構建、檢測與評價信息化管理平臺。

三、企業內部控制信息化實施的科學規范化方法

由于計算機應用的廣泛深入發展，軟件的概念也在不斷擴展，計算機軟件工程已發展成一門交叉性學科。它應用計算機科學、數學、管理科學的原理，目標是提高軟件質量，降低開發成本，并且軟件開發方法和工具不斷推陳出新。例如，目前管理信息系統開發中比較流行的開發工具UML（統一建模語言），運用系統分析方法及半形式化方法部分解決了開發方法的理性統一化，以及用戶、系統分析、系統設計和編程人員之間對系統需求的澄清與表達問題，為反復修改、采用迭代式系統開發過程和實現業務流程優化創造了條件，提高系統的適應性和可維護性。然而使用UML對領域建模后，系統設計是否滿足了風險控制需求的證明以及系統設計與實施的嚴密映射證明卻沒有相關方法進行支撐。而領域分析和形式化方法則能彌補UML不能機器自動驗證的缺陷，適合于對基于IT的企業內部控制這樣復雜的系統進行分析建模，并且領域分析所建的企業內控系統描述模型便于轉化成形式化規范模型，以便對所建模型的內控性質進行機器自動驗證，以提高系統實施的可靠性和有效性。

（一）領域分析（Domain Analysis）領域分析是指運用領域分析方法和工具對IT環境下企業的內部控制體系和執行機制進行分析，確定企業內部控制系統的總目標；在此基礎上對企業管理的各個層面、各類業務流程的各個內部控制子系統進行子領域分析和建模，得出能被各個利益相關者接受理解的領域描述模型；同時提煉出該領域中與內控風險防范緊密聯系的實體（Entity，指在該領域中，本質靜止不變的對象，在實體上可以定義若干關于實體的屬性）、函數（Function，指建立在實體之上，實體輸入后能按一定規律改變實體的某些屬性產生輸出）、事件（Event，指可以觸發一系列行動序列的函數）、動作序列（Behavior，指事件的活動序列），提取出領域描述模型中共性特征并區別其中的可變特征、相關性質的核心部分，以便進行形式化規范描述和形式化驗證。領域分析方法很多，本研究使用的是EFEB方法（BjornerD.，2006）。

（二）形式化方法（Formal Methods）形式化方法也是多種多樣的，依據不同的數理邏輯基礎，有不同的形式化語言（工具），常用的描述和分析工具主要分為代數規約描述（定理證明）和模型檢測兩類。形式化方法具有精確無二義性、簡潔且機器可證明等優點，是一種對計算機軟硬件系統進行規范、建模、開發和驗證的方法。它目前主要應用于要求高安全性的系統開發中。由于基于IT的企業內控系統本質上說是一個社會系統，而社會系統具有的不確定性，可能存在“狀態空間爆炸”的問題。因此本人依據企業內部控制系統分析設計的特點以及對工具的熟練程度，選擇了基于代數公理方法為主，同時兼顧了狀態空間轉換描述的OTS/CafeOBJ方法來開展研究。具體有以下兩個內容：（1）在領域分析的基礎之上，給出內部控制系統的狀態觀測系統（OTS：Observational Transaction System）模型；（2）在內部控制系統的OTS模型基礎上，使用CafeOBJ對其進行形式化描述，再通過CafeOBJ的自動證明系統實現機器自動推導證明，以便在企業內控系統設計初期找出與設計目標不符的設計，從而盡早盡快的發現系統缺陷和漏洞，找出修正方法。

（三）領域分析與形式化方法的主要作用

（1）用數理邏輯的方法檢驗ERP系統上線時企業內控措施嵌入正確與否。基于I T的內部控制執行機制是通過集成的企業信息系統來實現的，即企業業務與財務系統的集成；業務流程、會計工作流程、內部控制流程的集成；物流、資金流、信息流、控制流的集成。目前廣泛使用的ERP系統就是集成的企業信息系統的代名詞。企業上線ERP系統主要有二個途徑：一是購買商品化的ERP軟件系統，這類軟件更多的考慮通用性功能，企業需要通過二次開發的過程將符合企業需求的內部控制制度流程、措施嵌入其中，即在各個業務板塊或子系統初始化時正確設置IT內部控制功能，以便企業的內部控制制度和措施通過信息系統自動執行；二是自行開發或合作開發或委托開發滿足企業需求的ERP軟件系統。由于ERP系統是一個復雜龐大的管理系統，無論企業采用何種實施途徑，對實施者的要求都非常高。他們不僅要熟悉整個ERP軟件的內控功能，同時也要熟悉企業的內部控制制度體系、業務流程的主要風險和關鍵控制環節、控制措施等諸多業務知識，要他們不出錯誤是很困難的。而領域分析和形式化方法能幫助實施者理清頭緒，按照企業內部控制的需求正確啟用ERP系統中的內控功能模塊和控制措施，并檢驗出企業內控制度設計或ERP軟件中內控功能設計的缺陷漏洞。

（2）機器自動驗證管理軟件系統的設計中是否存在內控功能缺陷和漏洞。從技術層面來看，內控信息化實施首先是要開發一套整合業務處理流程和控制流程為一體的管理軟件。領域分析和形式化方法運用的是基于數理邏輯的分析推理工具和技術，可以在管理軟件開發階段發現軟件設計中是否存在內部控制功能的缺陷和漏洞，防止系統投入使用后的風險，尤其適用于有資金管控、成本管控等高可信管理軟件開發需求的企業。

由于在先發貨后開票的賒銷模式的OTS/CafeOBJ模型中，沒有對客戶（customer）信用的描述，因此使用CafeOBJ定理證明器對上述性質進行推導證明時，定理證明器無法對customer找到確定狀態，從而無法返回證明結果值。通過分步證明，并分析CafeOBJ定理證明器各步的返回信息后，可發現如果軟件中增加監控標準文件（這里為客戶信用檔案的描述及判斷），有助于對該風險的防范。因此在模型描述中增加了監控標準文件的類型描述，同時設定客戶信用檔案中信用評級規則。CafeOBJ定理證明器在加入引理（lemma）后可返回“真”值，說明該性質在有條件的情況下可證。進而說明現有內控系統模型按照引理提示進行修正后，發貨初始流程所描述的風險，是可以通過基于I T的內控系統實施得到控制和規避的。當然，這種信用銷售模式下，還需要配合動態信用管理方式等方法予以彌補，所以在給出模型修改建議的同時，應該詳細說明引理成立的條件及存在的風險。

（3）將自然語言表達的內控模型轉化成符號語言表達的計算機模型，便于移植與評價。基于I T的內部控制機制是一種內控制度設計與管理軟件的內控功能設計和設置緊密聯系的協同控制體系。內控系統既包含了對人、交易循環、資金、數據庫、信息系統設備等人財物的控制，又包含了利用人、制度、規程、數據庫文件、計算機程序等技術手段實施控制。領域分析和形式化方法能將設計者用自然語言表達的復雜龐大的內控系統需求，分離出哪些可以由計算機程序進行自動控制，哪些還必須由人工控制，哪些可以通過信息化手段在線完成內控工作，并將自然語言表達的內控模型逐步轉化成用規范的符號語言表達的計算機能實施的模型，并對該模型的性質進行自動的機器推導，保證所設計實施的基于I T的內部控制系統有效運行和維護。可以針對各行業中同類企業的業務流程建立相應的內控需求的分析和驗證模型，以提高內控信息化實施的規范性；驗證過的內控模型便于移植，同時也可以作為內外審計部門對企業內控系統的有效性進行評價的依據。

（四）領域分析與形式化方法的應用框架 領域分析與形式化方法的應用可分為6個步驟：（1）根據企業內控環境、經營風險、控制目標與成本等設計內控制度與實施方案；（2）運用領域分析方法和工具建立內控領域描述模型；（3）運用形式化方法和工具將內控領域描述模型進行形式化建模；（4）運用形式化推導工具對內控領域形式化模型的性質進行機器自動驗證；（5）對驗證結果進行分析并給出風險防范措施；（6）將檢驗和修正后的模型應于實踐。應用框架如圖1所示。

圖1 領域分析與形式化方法應用框架

［1］陳瀟怡、歐陽電平：《企業內控信息化實施的規范化方法研究》，《會計研究》2013年第3期。

［2］楊雄勝：《內部控制理論面臨的困境及其出路》，《會計研究》2006年第2期。

［3］楊周南、吳鑫：《內部控制工程學研究》，《會計研究》2007年第3期。

［4］財政部：《企業內部控制規范講解》，經濟科學出版社2010年版。

［5］D.B jorner，Software Engineering 1-Abstraction and Modelling，Springer 2006

［6］Kokichi Futatsugi et al. ，2005， Proof Scores in the OTS/CafeO B J Method，In Proceeding of the 6th IFIP WG6.1 International Conference on Formal Methods for Open Object-B ased Distributed Systems，L NCS 2884，Springer，p170-184