高校經濟業務信息化建設的內部控制研究

（南京醫科大學，江蘇 南京 211166）

高校經濟業務信息化建設的內部控制研究

曹越

（南京醫科大學，江蘇 南京 211166）

現代信息技術的普及給高校經濟發展帶來了前所未有的機遇與挑戰，推動了高校信息化建設的進程。近年來，財政資金投入、科研收入的不斷增加，高校經濟業務趨于多元化與多樣化，高校經濟活動管理面臨著諸多困難，經濟業務信息化建設成為高校亟需努力的方向。本文是從內控視角對高校經濟業務信息化建設進行研究，通過梳理高校經濟業務信息化流程，發現其存在的主要內控風險，確立重點監控點，從總體方向和具體環節兩方面著手提出改進措施，將控制制度、控制方法等要素通過信息技術固化到信息系統中，實現內部控制程序化運行，保證高校各項經濟業務合法合規，提高高校管理服務效率和效果。

高校；經濟業務；內部控制；信息化

一、引言

2012年財政部《行政事業單位內部控制規范（試行）》實施，旨在進一步提升行政事業單位內部管理水平，提高風險防范能力，完善內部控制建設。該規范提出“單位應當充分運用現代科學技術手段加強內部控制，對信息系統建設實施歸口管理，將經濟活動及其內部控制流程嵌入單位信息系統中”，可見信息化對內部控制建設的重要作用。2016年教育部辦公廳制定《教育部直屬高校經濟活動內部控制指南（試行）》，旨在推動高校加強對經濟活動的風險防范與管控，重視內部控制建設。同年，財政部印發《會計改革與發展“十三五”規劃綱要》，提出加強會計信息化建設，完善內部控制規范體系，強調全面開展內部控制的重要性。隨著現代技術的普及，高校內部管理逐漸信息化，如何利用信息化手段輔助高校內部控制建設至關重要。為了規范和優化高校信息系統的建設開發、防控信息化建設和運行風險，降低信息化建設和運行成本，更好地發揮經濟業務信息系統的功能作用，信息化與內控的有機并行是高校需要努力追求的目標。

二、定義

本文所稱信息系統，是指利用計算機和通信技術，對經濟活動內部控制進行集成、轉化和提升所形成的信息化管理平臺。經濟業務信息系統內部控制的主要對象是經濟業務信息系統，由計算機硬件、軟件、數據、組織結構、網絡通信和經濟活動流程等要素組成。

三、高校經濟業務信息化建設存在的主要內部控制風險

1、規劃環節風險

經濟業務信息化建設缺乏統一管理或戰略規劃不合理，造成重復建設或真空區域，導致管理效率低下。經濟業務信息系統規劃與建設未引用先進技術，導致投入產出未達最優。沒有將信息化與高校業務需求相結合，導致經濟業務信息系統應用價值降低。

2、開發環節風險

經濟業務信息系統開發與內部控制流程結合不緊密，權限設置與授權管理不當，降低信息技術控制的有效性。

3、系統運行過程風險

經濟業務信息系統建設未能有效控制開發成本，造成建設進度緩慢或系統質量低下。經濟業務信息系統間協同程度低，造成數據無法共享，影響數據分析的準確性，易導致決策失誤、相關管理措施難以落實。

4、系統維護環節風險

經濟業務信息系統運行維護、變更和安全措施不規范，產生信息出錯、泄露或毀損的風險，影響正常運作。

5、其他風險

經濟業務信息系統外部服務未能恰當履行或對其監控不當，導致高校遭受違約損失。各部門與工作人員信息安全意識薄弱，導致監管信息系統安全職責被弱化。

四、高校經濟業務信息化建設總體內部控制

1、落實高校經濟業務信息化建設風險的應對措施

（1）合理規劃經濟業務信息系統建設開發、運行、維護等環節的管理流程，提高信息技術對經濟活動內部控制的有效性，減少人為操作因素，防范信息系統建設與運行中的風險點。

（2）建立相互獨立與制衡的權限分配制度，分散管理員權限，嚴格規范系統測試工作，防控越權訪問或權限濫用的風險。

（3）優化校內共享數據庫平臺，保證各業務系統數據的統一性和一致性，并積極推進各系統的應用和整合工作。

（4）系統管理員定期進行數據庫巡檢，以降低系統運行中的安全風險。

（5）組織獨立于開發單位的專業機構對開發完成的信息系統進行驗收測試，確保在功能、性能、控制要求和安全性等方面符合開發需求。

（6）加強學習與研究先進信息技術，提高管理水平，為建立有效的信息與溝通機制提供支持保障。

2、明確高校經濟業務信息化建設的職責分工

（1）信息與網絡部門：是高校信息系統管理的歸口管理部門，其主要職責有：

一是負責制定信息化建設規劃，并與高校戰略發展規劃相協調；二是負責制定信息化建設管理辦法、技術規范和標準；三是負責組織制定經濟業務信息系統的信息化建設方案；四是負責匯總各部門提出的開發需求與關鍵控制點，規范經濟業務信息系統開發流程，明確系統設計、編程、安裝調試、驗收、上線等全過程的管理要求，嚴格按照經審批的建設方案組織實施工作；五是負責加強經濟業務信息系統開發全過程的跟蹤管理，組織開發單位與相關部門的溝通和協調，確保信息系統的質量要求與開發進度；六是負責組織對開發完成的信息系統驗收工作與上線運行；七是負責全校人員的信息化培訓工作，組織指導職工正確使用信息設備；八是負責全校設備的維護和升級更新工作；九是負責信息化建設相關的安全及保密工作。

（2）使用單位：其主要職責有：

一是負責協助信息與網絡部門制定和落實信息化建設規劃和具體建設方案；二是負責本部門的專業性信息系統的開發、運行、維護和數據收集利用工作；三是負責配合信息與網絡部門對原始數據的保存和整合工作，并確保錄入數據的準確、完整和有效；四是負責將系統使用過程中存在的問題及時報告信息與網絡部門，以便及時處理；五是負責在使用過程中提出新的需求，以符合業務發展的要求。

3、實現高校經濟業務信息化建設的不相容崗位分離和審批權限制

（1）經濟業務信息系統管理的不相容崗位

經濟業務信息系統管理的不相容崗位應該包括：信息系統規劃論證與審批；信息系統開發與驗收；信息系統的管理與使用；信息系統運行維護與監控。

（2）經濟業務信息系統管理審批權限

校務會負責采用“三重一大”決策制度，對信息化建設規劃、經濟業務信息系統建設方案進行審批。分管校領導負責對經濟業務信息系統開發及變更方案進行審批。信息與網絡部門分管領導負責對經濟業務信息系統上線計劃進行審批。

圖1 經濟信息化規劃流程圖

五、高校經濟業務信息化建設具體環節控制

1、經濟信息化規劃與計劃環節控制

信息與網絡部門應根據經濟業務需要制定信息建設的戰略規劃草案，明確建設目標、人員配備、職責分工、經費保障和進度安排等相關內容，避免與實際情況脫節。分管校領導應對信息建設戰略規劃草案的合理性與可行性進行審查，并上報校務會審批。使用單位提出明確的信息系統建設申請后，信息與網絡部門應組織專家小組對建設項目可行性進行分析，并根據專家小組出具的分析報告編制經濟業務信息系統建設草案，經審批后組織信息系統開發工作。分管校領導應對經濟業務信息系統建設草案的必要性與可行性進行審查，并上報校務會審批。

2、經濟業務信息系統開發環節控制

（1）經濟業務信息系統開發應遵循的原則

因地制宜原則：根據高校組織結構、管理理念、業務流程、核算方法等因素設計適合高校的信息系統。成本控制原則：經濟業務信息系統的開發應起到降低成本、糾正偏差的作用，可選擇對重要領域中關鍵因素進行信息系統改造。理念與技術并重原則：應將信息系統技術與經濟業務信息系統管理理念整合，倡導全體員工積極參與經濟業務信息系統建設開發，正確理解和使用信息系統，提高信息系統運作效率。

（2）經濟業務信息系統開發應實現的目標和內容

經濟業務信息系統的開發工作應確保將經濟活動的目標、風險、控制措施體現在信息系統中，實現高校內部控制的目的；財務部門應將經濟業務信息系統開發項目納入高校預算控制管理，以管理該項目的財務收支情況，并根據“項目預算”進行控制。信息系統應包括預算管理、收支管理、合同管理、資產管理等業務功能模塊，決策分析、系統配置管理和安全管理等系統功能模塊。

（3）經濟業務信息系統開發的方式和控制事項

圖2 經濟業務信息系統開發流程圖

信息與網絡部門可采取自行開發、外購調試、業務外包等方式進行系統開發工作；選定外購調試或業務外包方式的，應按照招標管理制度擇優確定供應商，并加強對外包第三方的監控。信息與網絡部門/供應商應根據部門需求設計系統開發方案，經分管校領導審議批準后，組織開發項目的實施，并跟進落實。信息與網絡部門/供應商應在系統開發的每一階段得到用戶確認或通過相應的評審后，才可進行下一階段的工作。在系統開發過程中，信息與網絡部門/供應商應合理設置用戶操作處理權限，避免將不相容職責的處理權限授予同一用戶。

3、經濟業務信息系統運行與維護環節控制

（1）經濟業務信息系統運行控制

信息與網絡部門應制定經濟業務信息系統使用操作程序、信息管理制度以及各模塊子系統的具體操作規范，做好系統運行記錄，尤其是對系統運行不正常或無法運行的情況，將異常現象、發生時間和可能的原因作出詳細記錄，并定期收集使用單位反饋意見。用戶提出賬號申請后，信息與網絡部門應根據申請人的職級與權限編發賬號；在數據輸入的過程中，使用單位應對輸入的數據進行嚴格控制，采取建立科目名稱與代碼對照文件、設計科目代碼校驗、試算平衡控制等方法防止輸入錯誤。在數據輸出的過程中，使用單位應檢查輸出數據是否與輸入數據相一致，輸出數據是否完整，輸出數據是否能滿足使用單位的需要；如輸出數據存在差異，應通知信息與網絡部門的系統管理員查找原因。

（2）經濟業務信息系統維護控制

信息與網絡部門應根據高校實際經濟活動與相關部門業務變更等要求，對信息系統進行升級改造；升級改造工作需注重實用性和兼容性，控制升級改造成本。信息與網絡部門應對后臺操作情況進行監控，及時跟蹤并報告系統內異常的或者違背內部控制要求的交易和數據。信息與網絡部門應配備專職系統管理員，負責系統日常維護及主機房的管理工作，處理運行中的突發事件，并向分管領導報告執行結果；應急處理結束后，應盡快恢復系統運行環境，總結經驗教訓并提出整改措施。信息與網絡部門應制定報修服務流程，對一般故障及時處理，對需要到現場的，應在故障登記24小時內進行現場處理。信息與網絡部門應制定帶班值班負責制，組織信息與網絡部門工作人員輪流值班，確保信息系統全天不間斷安全運行。

4、安全保障環節控制

（1）制度安全保障

信息與網絡部門應按照國家相關法律法規以及信息安全技術標準，制定經濟業務信息系統安全實施細則；根據業務性質、重要性程度、涉密情況等確定信息系統安全等級，建立不同等級信息的授權使用制度，采用相應技術手段保證經濟業務信息系統運行安全有序。信息與網絡部門應建立經濟業務信息系統安全保密和泄密責任追究制度，開展網絡安全教育培訓，并組織相關員工的安全保密協議的簽署工作；委托專業機構進行系統運行與維護管理的，應審查該機構的資質，并簽訂服務合同和保密協議。信息與網絡部門應按照“誰主管誰負責、誰運維誰負責、誰使用誰負責”的原則，建立健全經濟業務信息系統安全責任制和問責機制。

（2）設備軟件安全保障

信息與網絡部門應對機房進行統一管理和維護，經濟活動相關的各部門應當對本部門的客戶端機器及相關設備進行維護，確保相關物理環境符合規定。信息與網絡部門應當加強數據共享接口的安全管理，定期進行病毒檢測。信息與網絡部門應加強病毒控制，在所有電腦終端上部署防病毒軟件，及時更新病毒庫，查殺病毒和木馬。信息與網絡部門應對硬件配置調整、軟件參數修改嚴加控制，信息系統操作人員不得擅自進行系統軟件的刪除、修改等操作，不得擅自升級、改變系統軟件版本，不得擅自改變軟件系統環境配置。

（3）網絡安全保障

信息系統操作人員必須嚴格遵守計算機及其他相關設備的操作規范，禁止從事與系統操作無關的工作。所有軟盤、光盤、U盤等存貯介質必須經過系統管理員同意并查毒，未經查毒的存貯介質禁止使用。其他部門或校外單位人員若需進入機房，應進行登記，并有信息與網絡部門工作人員陪同。信息與網絡部門應建立系統數據定期備份制度，明確備份范圍、責任人、存放地點、有效性檢查等內容。使用單位應嚴格遵守備份制度的要求，實行雙備份異地存放，并定期進行檢查、復制，備份數據的周期最長不得超過一個月。

四、結語

本文是從內部控制的視角對高校經濟業務信息化建設進行的研究。其研究成果以及內部控制的實效性還有待于進一步檢驗。所以，高校的審計與法務部門還應當定期對高校經濟業務信息系統內控制度的制定及其執行情況，采用詢問、文件檢查、重新履行、問卷調查等方式進行檢查和評價。及時發現經濟業務信息系統存在的內控缺陷，保障經濟業務信息系統的順暢規范，防止有關部門和管理人員隱瞞風險信息的行為。進一步有效防范高校經濟業務信息化建設的風險，為高校的信息化建設保駕護航，推進高校的健康可持續發展。

[1] 喬春華：高校內部控制研究[M]．蘇州：蘇州大學出版社，2014．

[2] 財政部：行政事業單位內部控制規范（試行）[Z]．2012．

[3] 教育部：教育部直屬高校經濟活動內部控制指南（試行）[Z]．2016．

[4] 財政部會計司：《企業內部控制應用指引第18號—信息系統》解讀[J]．財務與會計，2011（6）．

[5] 王春暉、曹越：內部控制視角下對高校經濟合同管理的思考[J]．會計之友，2016（19）．

[6] 廖云：新時期高校參與經濟活動的風險探究[J]．經濟觀察，2013（31）．

[7] 陳姍姍：網絡會計內控安全評價體系的構建與研究[J]．會計之友，2014（16）

[8] 劉延平，等：構建我國高校內部控制精細化管理體系[J]．中國高等教育，2015（10）．

（責任編輯：楊再新）

南京醫科大學科技發展基金面上項目“高校內部控制信息化建設的研究”（項目編號：2016 NJMU010）階段研究成果。