內(nèi)控體系作為一種先進的管理模式在現(xiàn)代企業(yè)管理中有著重要的作用。ERP在系統(tǒng)運行過程中存在的數(shù)據(jù)安. . .
引言
內(nèi)控體系作為一種先進的管理模式在現(xiàn)代企業(yè)管理中有著重要的作用。ERP在系統(tǒng)運行過程中存在的數(shù)據(jù)安全等方面的風險，帶來的諸如內(nèi)部控制的技術、內(nèi)部控制關注的內(nèi)容、重點等方面的變化。因此，在ERP環(huán)境下，如果搞好內(nèi)控工作是企業(yè)內(nèi)控工作人員面臨的一個新課題。
1 ERP的使用對企業(yè)內(nèi)控體系的影響
1.1 控制環(huán)節(jié)的變化在ERP環(huán)境下，數(shù)據(jù)的傳遞通過數(shù)據(jù)共享保證了數(shù)據(jù)的一致性;通過網(wǎng)絡技術保證其同步性;數(shù)據(jù)計算、匯總由計算機根據(jù)程序公式自動完成，確保其正確性。從內(nèi)控執(zhí)行角度看，這些環(huán)節(jié)都排除了人為因素，不再具有手工控制方式下錯報、漏報、舞弊易發(fā)、高發(fā)的特征，也就不成為內(nèi)控體系重點關注的環(huán)節(jié)。但這些環(huán)節(jié)的正常運行又依賴于ERP系統(tǒng)設計的正確性、系統(tǒng)運行的穩(wěn)定性。如何保證這些條件，成為內(nèi)部控制應關注的重點。
1.2 控制方式的變化ERP環(huán)境下，數(shù)據(jù)的傳遞、處理是由計算機根據(jù)程序設定的公式自動完成的，其數(shù)據(jù)的準確性、完整性及傳遞的及時性取決于程序設定的正確與否，諸如核對、復查等手工控制方式不能完成基于計算機技術的控制要求，因此系統(tǒng)自動控制以及在關鍵環(huán)節(jié)采用手工記錄并行的方式成為ERP環(huán)境下主要的控制手段。這種控制方式的變化對企業(yè)內(nèi)控工作人員提出了更高的要求。
1.3 數(shù)據(jù)安全環(huán)境的變化ERP環(huán)境下，數(shù)據(jù)的存儲、傳遞、處理等方面與傳統(tǒng)工作環(huán)境相比都發(fā)生的很大變化。數(shù)據(jù)處理、訪問權限由手工方式下的物理控制變?yōu)橐杂嬎銠C技術為基礎的自動控制。這種轉(zhuǎn)變使數(shù)據(jù)安全性控制需要考慮的因素發(fā)生變化。數(shù)據(jù)安全性控制應主要以數(shù)據(jù)自身安全性保障為重點，而數(shù)據(jù)自身安全性主要取決于系統(tǒng)運行的穩(wěn)定性及數(shù)據(jù)保管環(huán)境。
2 ERP環(huán)境下如何搞好企業(yè)內(nèi)控工作
2.1 ERP環(huán)境下，系統(tǒng)自動對收集到的數(shù)據(jù)進行存儲和處理。因此，控制環(huán)節(jié)的變化應把控制重點放在系統(tǒng)的配置和數(shù)據(jù)采集環(huán)節(jié)。系統(tǒng)自動采集的數(shù)據(jù)應重點對自動采集過程的系統(tǒng)配置正確與否進行檢查，并保留系統(tǒng)配置清單和檢查記錄，系統(tǒng)配置過程應由擁有系統(tǒng)全部管理權限的管理者來進行或者由專業(yè)技術人員在管理者嚴格監(jiān)控下進行，應避免系統(tǒng)使用人員的深入?yún)⑴c，避免系統(tǒng)使用人員全面了解系統(tǒng)并發(fā)現(xiàn)和利用系統(tǒng)漏洞。系統(tǒng)的修改和二次開發(fā)必須由經(jīng)過授權的專業(yè)人員進行。
需要工作人員處理才能錄入系統(tǒng)的數(shù)據(jù)，要保管好數(shù)據(jù)的來源，要強調(diào)保留原始憑證及經(jīng)辦人員和復核人員的記錄。便于為內(nèi)控測試和內(nèi)部審計提供線索。
定期進行內(nèi)控體系測試或?qū)徲媽ο到y(tǒng)輸入的基礎數(shù)據(jù)的完整性和正確性抽查核對。
2.2 控制環(huán)節(jié)的變化應重點抓好業(yè)務流程的建設和重組ERP環(huán)境下，必然使傳統(tǒng)的人工控制的業(yè)務處理過程發(fā)生變化。因此，應根據(jù)ERP系統(tǒng)的自動控制、數(shù)據(jù)管理信息化的特點，對企業(yè)的現(xiàn)有運作模式、業(yè)務流程進行重組，以便更好的發(fā)揮企業(yè)內(nèi)控體系的作用。
2.3 在數(shù)據(jù)安全方面應重點抓好以下幾方面：
2.3.1 組織機構設置①系統(tǒng)維護部門和系統(tǒng)使用部門相分離，系統(tǒng)維護部門不接觸實際業(yè)務操作，系統(tǒng)使用部門無權維護系統(tǒng);②系統(tǒng)維護部門內(nèi)部各個崗位應分離;③業(yè)務部門內(nèi)部應按照不相容崗位要分離的原則設置崗位。
2.3.2 信息系統(tǒng)安全①未經(jīng)授權的用戶，不可接觸ERP系統(tǒng)：②配備專用機房、安裝空調(diào)、UPS不間斷電源等措施保證ERP系統(tǒng)核心硬件系統(tǒng)的環(huán)境安全：③設定可靠的安全加密和殺毒軟件保證系統(tǒng)應用軟件的安全;④設置專人保管系統(tǒng)產(chǎn)生的文檔，包括電子文件和紙質(zhì)文件。
2.3.3 系統(tǒng)操作方面①系統(tǒng)用戶應根據(jù)其崗位職責和內(nèi)控體系要求分別設定不同的使用權限，授予相應的用戶代碼和口令，用戶口令應不定期更換;②系統(tǒng)內(nèi)的所有業(yè)務操作活動均需經(jīng)過授權;③錯誤的輸入需經(jīng)授權才可更改：④定期對系統(tǒng)進行數(shù)據(jù)備份，明確數(shù)據(jù)保管的人員、地點和方式。
2.3.4 系統(tǒng)監(jiān)控方面①設定系統(tǒng)自我保護體系，建立完整的日志，對于日志文件的管理應列入重點控制的內(nèi)容。②系統(tǒng)在使用過程中發(fā)生錯誤，應實時通知相關管理人員并進行及時處理。
2.4 制度建設是搞好內(nèi)控工作的基石規(guī)章制度是企業(yè)實現(xiàn)目標，開展業(yè)務依據(jù)，也是內(nèi)控體系建設和執(zhí)行過程中，針對風險制定控制措施的的依據(jù)。例如，在ERP環(huán)境下，為保證系統(tǒng)數(shù)據(jù)的安全，應該制定相應的制度，規(guī)定系統(tǒng)備份的數(shù)量和時間，系統(tǒng)被破壞時，數(shù)據(jù)恢復的條件：數(shù)據(jù)保管的人員、數(shù)據(jù)接觸人員、數(shù)據(jù)存儲地點、數(shù)據(jù)存儲的條件等內(nèi)容?？刂拼胧攪栏駡?zhí)行，各崗位一視同仁。當然，這些制度也不是一成不變的，應根據(jù)實際情況及時加以修改、完善。
2.5 培訓宣傳，提高人員寨質(zhì)是搞好企業(yè)內(nèi)控工作的關鍵ERP系統(tǒng)的使用對傳統(tǒng)工作環(huán)境下企業(yè)人員來講。并不意味著內(nèi)控工作越來越輕松。而是對企業(yè)員工提出了更高的要求。只有加強對內(nèi)控、ERP及崗位專業(yè)知識等內(nèi)容的培訓，不斷提高企業(yè)員工素質(zhì)才能更好的發(fā)揮企業(yè)員工的主觀能動性，更好的適應ERP環(huán)境下的內(nèi)控工作。
2.6 建立健全內(nèi)部控制評價體系搞好內(nèi)控工作的保障內(nèi)部控制體系評價是發(fā)現(xiàn)內(nèi)控體系中存在的不足，進行動態(tài)調(diào)整和校正的過程。在ERP環(huán)境下，除了關注重要風險的關鍵控制設計合理性和執(zhí)行的有效性外，還應把測試的重點放在ERP系統(tǒng)的權限設置、數(shù)據(jù)采集和安全控制方面，有針對性的了解因ERP系統(tǒng)的使用，給企業(yè)帶來的新風險的管控情況，為內(nèi)控體系的健全和完善提供保障。總之，ERP環(huán)境下，內(nèi)控工作在內(nèi)控體系建設上要遵循與ERP相結舍的原則：在執(zhí)行上要做到“執(zhí)行主體有授權，關鍵操作有依據(jù)、執(zhí)行過程有審核、執(zhí)行結果有痕跡(留下實施證據(jù))”。
（來源：萬方數(shù)據(jù) 作者：曹正林）
