COBIT2019模型在企業信息化內部控制中的應用

摘" "要：信息化時代的到來對企業的管理提出了更高的要求。企業要想提高市場占有率和企業競爭力，就必須注重大數據和人工智能在企業管理中的應用。內部控制作為企業管理的核心，是企業在信息化環境的影響下應考慮的首要問題，即亟須重視加強內部控制建設。為此，以F藥業作為研究對象，在分析現有的內控缺陷的基礎上，探索運用COBIT2019模型優化升級企業內部控制體系，以期在大數據轉型的關鍵時期，為提高以F藥業為代表的企業對信息化內部控制建設的重視程度、促進行業內部控制水平的整體提升提供一定的借鑒。

關鍵詞：信息化；內部控制；COBIT2019模型

中圖分類號：F426" " " " 文獻標志碼：A" " " 文章編號：1673-291X（2023）20-0095-03

引言

財政部會計司對《企業內部控制應用指引》第18號準則進行了解讀，指出運用信息系統對內部控制的集成、轉化和提升所形成的信息化管理平臺能促進企業有效實施內部控制，提高企業現代化的管理水平，減少人為因素的操縱。這無疑對我國企業信息化內部控制的發展注入了一針強心劑。在對F藥業內部控制暴露的缺陷進行分析的基礎上，針對問題提出相應的優化升級方案，確保在功能、控制要求和安全性等方面符合開發需求，最終使企業信息化內部控制得以有效運行，從而提高競爭力，實現企業戰略目標。

一、理論基礎與模型

（一）內部控制信息化的演進

Pelikan[1]提出，企業既可能發生技術驅動型的制度創新，也可能發生成本驅動型的技術創新。因此，Bonnie K. Klamm[2]強調，在信息技術迅速發展的時代，每個企業都應該重視內部控制的建設，否則會影響企業管理的正常運行。She-I Chang，et al[3]研究指出，信息化的內控框架可以指導企業規范經營管理活動，保證對IT控制評價的準確性，間接促進企業內部控制執行效果的提升。我國學者也從多角度對信息化內控進行了研究。曹國法和樊英[4]認為，信息化下的內部控制可以提高信息溝通與傳達的效率，促進企業扁平化發展。程艷、張杰[5]提出，信息化內控的實施有利于企業針對業務活動中高頻發生的關鍵風險點進行追蹤，并建立風險預警及評估機制。張潔純[6]認為，將信息化運用到企業內部控制管理之中，就能夠促進企業的良好發展。

（二）COBIT框架

COBIT是信息及相關技術的控制目標的縮寫，現在已經更新至COBIT2019版。該標準體系運用范圍已涉及到世界100多個國家，是目前國際上公認的、權威的IT控制框架。國外學者Marten Simonsson和Pontus Johnson[7]也進一步肯定了COBIT在IT治理中的重要作用，并預測企業未來順利開展IT業務離不開COBIT框架。國內學者中，陳婉玲、袁若賓[8]最早對COBIT框架進行了研究，提出COBIT框架在信息化內部控制中有較高的應用價值。在內控體系構建方面，劉霞、任意佳[9]指出，使用COBIT5框架構建的財務共享平臺內控機制，能夠幫助企業有效識別風險，并能夠監督和完善內部控制流程。

（三）COBIT2019核心模型

COBIT2019核心模型在COBIT5以及其他權威標準和框架的基礎上，歸納出40個核心治理和管理目標，依據COBIT框架，企業能否通過維持實現利潤、優化風險水平和資源使用三者之間的平衡，從中獲得最高的價值，關鍵在于IT目標的實現。因此，在信息化內部控制過程中要重視各個IT流程的執行情況，確保信息系統的安全性、可靠性與經濟性。

二、F藥業內部控制暴露的缺陷

（一）F藥業公司簡介

F藥業股份有限公司是一家綜合性集團，作為國內知名的制藥企業，其主營業務范圍廣泛，對于大多數的投資者來說，稱F藥業為A股中的“白馬股”也不為過。但自2019年以來，該公司卻深陷ST風險警示、股票停牌調查、債務逾期等負面泥潭，因失信被納入執行人名單的事件就發生了4起。

該事件的導火索還要從公司發放現金紅利說起。F藥業發布公告，表示經過停牌以來3天時間的資金歸集和籌措，公司仍無法按原定計劃發放現金紅利。但是F藥業賬上明明有貨幣資金18億元，卻拿不出6 200余萬元的分紅。這一事件很快引起了證監會的注意，并于2019年7月26日展開調查。至此，F藥業公司的違規行為才浮現在公眾眼前。經查，F藥業公司存在諸多重大虛報、漏報和隱瞞的違法事實。消息一出，曾經的藥業帝國瞬間坍塌。F藥業淪落到如今的境地，根本原因還是在于其內部控制出現了重大缺陷。接下來從COBIT2019模型五個領域對F藥業內部控制缺陷進行分析。①

（二）基于COBIT2019模型分析F藥業內部控制缺陷

1.評估、指導和監控（EDM）方面的問題

F藥業在2018—2020年的資產負債率持續上升，但風險識別及評估的重要性未引起F藥業的重視，因此，2021年其資產負債率甚至超過了90%。公司的管理層、治理層和基層員工都沒有對企業日常經營活動和投資籌資活動中的風險進行有效識別和控制，因此，因為缺乏針對信息化環境的風險管理部門導致風險識別機制失效。②

2.調整、計劃和組織（APO）方面的問題

F藥業將組織機構劃分成多個分支部門，分別進行單獨管理。但是，過于細分的組織機構不僅會增加企業的經營成本、分散企業的管理能力，而且不利于組織內部的交流和溝通，不利于資源共享。同時，公司原有的組織結構已落后于信息化需求，因此，必須重新規劃公司的職能部門及其功能職責。

3.構建、購置和實施（BAI）方面的問題

F藥業由于公司層級缺乏科學決策程序，在選擇系統方案時沒有根據實際情況選擇可行性方案，而是用主觀判斷和過往經驗來進行選擇。由于科學決策程序的缺失，出現了母公司與子公司所使用軟件不一致的情況，最后只好在浪費了大量的人力、物力和財力的情況下還重新統一使用新的軟件。

4.交付、服務和支持（DSS）方面的問題

F藥業未能確保與內部業務流程相關的信息滿足相關信息控制要求，其還存在兩處業務不規范的問題。第一是通過供應商和其他往來單位支付資金給F集團以及F控股。這表明F藥業并沒有嚴格按照《貨幣資金管理辦法》《供應商管理制度》等相關規定執行。第二是以F藥業的名義對外進行借款并提供擔保，不僅沒有按照規定進行賬務處理，相關披露也沒有做到及時準確。

5.監控、評價和評估（MEA）方面的問題

F藥業的審計部門對公司存在的資金活動控制失效及關聯方違規交易等諸多問題沒有做到有效監督。F藥業連續多年存在財務報告虛假記載和控股股東非經營性占用資金等問題，監事會也未對董事和高管的違法違規行為進行有效監督。F藥業雖設有董事會審計委員會，但未對F藥業存在的重大內部控制缺陷進行披露，在公司存在財務風險和公司財務報告存在重大缺陷時沒有及時發現和糾正。

三、運用COBIT2019模型優化F藥業信息化內部控制體系

針對F藥業在信息化內部控制中暴露的諸多缺陷，為確保其對信息系統的充分運用，借助COBIT2019模型對F藥業內部控制五個流程中的活動進行優化，以實現F藥業內部控制的目標。

（一）評估、指導和監控（EDM）方面的控制：確保風險優化

F藥業應建立信息化環境下的風險管理部門，對潛在的或已發生的風險及時進行識別，對已經存在的高風險區域持續監控。同時，管理層及員工也要提高企業日常經營活動和投資籌資活動中的風險識別和控制能力，提高風險管理的能力。最后，要針對風險找出解決辦法，對未發生的風險降低其發生的可能性，對已發生的風險進行風險轉嫁。

（二）調整、計劃和組織（APO）方面的控制：確定企業信息系統組織結構

F藥業的組織結構要想滿足信息化的需求，首先要減少科層層級結構，制定合理有效的組織結構，使其朝扁平化發展。其次，隨著信息化環境的發展，F藥業需要設立符合戰略規劃的信息中心，以完成企業各項數據的收集與分析。應用管理部要積極解決各部門信息化方面的需求，并跟蹤落實。綜合管理部負責網絡運行和技術數據的安全監控以及相關設備的管理和維護。系統研發部要根據公司整體的信息化建設規劃，開發相關信息系統，并在后續過程中不斷進行完善和優化。

（三）構建、購置和實施（BAI）方面的控制：識別和構建妥當的解決方案

首先，公司應結合實際情況制訂一個確定新方案是否可行的流程。應用管理部要對各部門的需求進行全面的分析，制訂解決方案并提交到財務部；財務部對其經濟可行性進行分析，如果滿足要求，則將該項方案轉交到系統研發部，由系統研發部對該項方案進行技術和操作可行性分析，如果系統研發部判定該方案可行，撰寫可行性研究報告后交由風險管理部進行風險評估；風險評估通過后進行成本效益分析，最終確定解決方案。

（四）交付、服務和支持（DSS）方面的控制：優化業務流程控制

F藥業在業務流程的控制上，不僅要對現有工作流程進行梳理、完善和改進，還要確保流程處理的信息滿足相關信息控制的要求，并和業務需求量保持一致。要不定期地進行突擊盤點，嚴格規范執行現金清查制度。要規范審批程序，嚴格執行出納與會計崗位互相分離。

（五）監控、評價和評估（MEA）方面的控制：加強監控與評估的有效性

企業內部的審計機構在整個內部控制過程中要監督企業政策是否得到貫徹及執行，并保證控制效果，幫助企業更有效地提高整體控制水平。對于超出監控流程范圍外的情況，則需要邀請第三方機構對結果進行評估和鑒定，最后根據評估報告，制訂和實施整改方案。

四、結論與展望

隨著我國相關法規的頒布，政府和企業對信息化內控及其評價的重視度也越來越高，逐步認識到信息化內部控制及評價對于企業有著重要意義。通過對信息化內部控制相關理論和COBIT2019模型的學習以及實踐結果的分析，筆者得到以下結論：COBIT2019模型對于信息化內部控制的建設具有直接的指導意義，其核心模型中的內容涵蓋了信息系統與內部控制的內容，并且能對企業信息化內部控制的程度進行有效評估，從而發現企業的不足之處，這為國內企業內部控制制度的進一步規范和完善提供了一定的理論支持。

參考文獻：

[1]" "Pelikan P.Bringing Institutions into Evolutionary E-conomics：Another View with Links to Changes in Physical and SocialTechnologies[J].Journal of Evolutionary Economics，2003（13）：237-258.

[2]" "Bonnie K Klamm，Kevin W Kobelsky，Marcia Weidenmier Watson. Determinants of the Persistence of Internal Control Weaknesses[J].Accounting Horizons，2012（2）.

[3]" "She-I Chang，David C Yen，I-Cheng Chang，et al. Internal Control Framework for a Compliant ERP System[J].Information amp; Management，

2013，51（2）：187-205.

[4]" "曹國法，樊英.中小企業信息化問題研究[M].鄭州：鄭州大學出版社，2003：5-6.

[5]" "程艷，張杰.信息化條件下“隨需管控”財務模式的實施與建議：以中國船舶工業集團為例[J].財會通訊，2019（5）：83-88.

[6]" "張潔純.數字時代對企業內部控制質量的影響[J].會計師，2021（1）：84-85.

[7]" "Marten Simonsson，Pontus Johnson. Assessment of IT Governance：A Prioritization of COBIT[D].KTH Royal Institute of Technology，2007.

[8]" "陳婉玲，袁若賓.COBIT及其在信息系統與審計中的應用[J].審計研究，2006（3）：12-14.

[9]" "劉霞，任意佳.基于COBIT5建立財務共享服務中心風險管理機制[J].財會月刊，2018（19）：99-113.

Research on Application of COBIT 2019 Model in Internal Control of Enterprise Informatization

— A Case Study on F Pharmaceutical

Peng Shiqi

（Evergrande Management School， Wuhan University of Science and Technology， Wuhan 430065， China）

Abstract： The arrival of the information age puts forward higher requirements for enterprise management. If enterprises want to improve their market share and competitiveness， they must pay attention to the application of big data and artificial intelligence in enterprise management. As the core of enterprise management， internal control is the first issue that enterprises should consider under the influence of information environment， namely， the urgent need to strengthen the construction of internal control. Therefore， F Pharmaceutical is taken as the research object， and based on the analysis of existing internal control defects， COBIT2019 model is explored to optimize and upgrade. It is expected to provide some reference and guidance for enterprises represented by F Pharmaceutical to pay more attention to the construction of internal control informatization and promote the overall improvement of the industry’s internal control level during the critical period of big data transformation.

Key words： informatization; internal control; COBIT2019 model

[責任編輯" "妤" "文]