電算化會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制_答辯問題

  答辯問題 

問題一、1.如何定義內(nèi)部控制？

答：內(nèi)部控制是指公司為防范和化解風(fēng)險(xiǎn)，保證經(jīng)營運(yùn)作符合公司的發(fā)展規(guī)劃，在充分考慮內(nèi)、外部環(huán)境的基礎(chǔ)上，通過建立組織機(jī)制、運(yùn)用管理方法、實(shí)施操作程序與控制措施而形成的系統(tǒng)。內(nèi)部控制包括廣義和狹義。

（一）廣義內(nèi)部控制 

人們普遍認(rèn)為，內(nèi)部控制概念最早是由審計(jì)師提出來的。我國閻金得、陳關(guān)亭（1998 ）認(rèn)為“內(nèi)部控制’第一次作為一個(gè)專業(yè)術(shù)語使用，是在1936年美國會(huì)計(jì)師協(xié)會(huì)文告中出現(xiàn)的。20世紀(jì)90年代，由美國“發(fā)起組織委員會(huì) (COSO)”對內(nèi)部控制作了如下描述：內(nèi)部控制是由企業(yè)董事會(huì)、經(jīng)理階層和其他員工實(shí)施的，為營運(yùn)的效率效果、財(cái)務(wù)報(bào)告的可靠性、相關(guān)法令的遵循性等目標(biāo)的實(shí)現(xiàn)而提供合理保證的過程，應(yīng)由控制環(huán)境、風(fēng)險(xiǎn)評估、控制活動(dòng)、信息溝通、監(jiān)督五個(gè)方面的內(nèi)容構(gòu)成。這應(yīng)該是目前為止最為權(quán)威的廣義內(nèi)部控制的定義，即包括財(cái)務(wù)、經(jīng)營、遵循風(fēng)險(xiǎn)及其他風(fēng)險(xiǎn)管理的控制。可見基本采用了美國COSO中內(nèi)部控制定義，我們認(rèn)為這應(yīng)是廣義的內(nèi)部控制，為我國內(nèi)部控制制度建設(shè)提供了基本標(biāo)準(zhǔn)。

（二）狹義內(nèi)部控制 

　　狹義企業(yè)內(nèi)部控制定義是由企業(yè)董事會(huì)、監(jiān)事會(huì)、經(jīng)理層和全體員工實(shí)施的，旨在實(shí)現(xiàn)與財(cái)務(wù)報(bào)告有關(guān)的內(nèi)部控制目標(biāo)的過程。其目標(biāo)主要是合理保證企業(yè)財(cái)務(wù)報(bào)告及其相關(guān)信息的真實(shí)完整。與財(cái)務(wù)報(bào)告相關(guān)的內(nèi)部控制包括下列方面的政策和程序：一是保存足夠詳細(xì)的記錄，準(zhǔn)確、公允地反映企業(yè)的交易和資產(chǎn)處置情況。二是合理保證按照企業(yè)會(huì)計(jì)準(zhǔn)則和相關(guān)會(huì)計(jì)制度編制財(cái)務(wù)報(bào)表的要求記錄交易，發(fā)生的收入和支出已經(jīng)過企業(yè)管理層和董事會(huì)的授權(quán)。三是合理保證及時(shí)防止或發(fā)現(xiàn)未經(jīng)授權(quán)的、對財(cái)務(wù)報(bào)表有重大影響的取得、使用或處置的企業(yè)資產(chǎn)。這一狹義內(nèi)部控制概念的提出主要是為了在注冊會(huì)計(jì)師對企業(yè)內(nèi)部控制進(jìn)行審計(jì)時(shí)專門針對財(cái)務(wù)報(bào)告領(lǐng)域的內(nèi)部控制有效性發(fā)表審計(jì)意見。 

（三）二者關(guān)系 

　　狹義內(nèi)部控制與廣義內(nèi)部控制的定義相比， 前者僅包含了與財(cái)務(wù)報(bào)告可靠性目標(biāo)相關(guān)的部分， 而省略了經(jīng)營活動(dòng)的效率效果的目標(biāo)， 遵循相關(guān)法律法規(guī)目標(biāo)中也僅保留了按照會(huì)計(jì)準(zhǔn)則和相關(guān)會(huì)計(jì)制度對財(cái)務(wù)報(bào)告的要求這類與財(cái)務(wù)報(bào)表編制直接相關(guān)的法律法規(guī)。廣義內(nèi)部控制是對狹義內(nèi)部控制概念的擴(kuò)展，明確內(nèi)部控制不應(yīng)僅局限于公司治理的財(cái)務(wù)方面。可以這樣理解，廣義的內(nèi)部控制上升到了公司治理的高度，而狹義的內(nèi)部控制可以和美國PCAOB所提出的“財(cái)務(wù)報(bào)告內(nèi)部控制”具有相同的涵義，主要用于注冊會(huì)計(jì)師在對企業(yè)內(nèi)部控制進(jìn)行審計(jì)時(shí)定義其所涵蓋的范圍。

2.內(nèi)部控制的目標(biāo)和程序？

答：內(nèi)部控制的目標(biāo)是合理保證企業(yè)經(jīng)營管理合法合規(guī)、資產(chǎn)安全、財(cái)務(wù)報(bào)告及相關(guān)信息真實(shí)完整，提高經(jīng)營效率和效果，促進(jìn)企業(yè)實(shí)現(xiàn)發(fā)展戰(zhàn)略。內(nèi)部控制的目標(biāo)主要有三個(gè)方面：遵循性目標(biāo)，即確保外部法令、內(nèi)部規(guī)章得到遵循；營運(yùn)性目標(biāo)，即保證經(jīng)營方針及目標(biāo)的實(shí)現(xiàn)；可靠性目標(biāo)，即信息真實(shí)、完整與及時(shí)。我把這三個(gè)目標(biāo)歸結(jié)為一個(gè)目標(biāo)：防范和控制風(fēng)險(xiǎn)。什么是風(fēng)險(xiǎn)？風(fēng)險(xiǎn)是資產(chǎn)、資金遭受損失的可能性。這就是說，內(nèi)部控制是與企業(yè)的資產(chǎn)、資金相聯(lián)系的，其具體目標(biāo)是保障資產(chǎn)、資金（包括表內(nèi)外資產(chǎn)、資金）的安全，免受損失。

內(nèi)部控制程序可以分為兩個(gè)層次：一是將客戶分解為不同的內(nèi)部控制主體，主要是公司本部、子公司、分公司等不同層級。這個(gè)層次的劃分比較簡單，根據(jù)納入項(xiàng)目工作范圍內(nèi)組織結(jié)構(gòu)的范圍和級次就可以確定。二是將每一個(gè)內(nèi)部控制主體分解為可以記錄、評價(jià)、完善的內(nèi)部控制程序。對于一般企業(yè)，應(yīng)該按照以下三個(gè)層次劃分內(nèi)部控制程序： 

　　1. 業(yè)務(wù)模塊。即將一個(gè)內(nèi)部控制主體的全部程序根據(jù)不同的業(yè)務(wù)模塊進(jìn)行分解。模塊劃分的結(jié)果，不同的企業(yè)會(huì)有差異。但一般來說，一個(gè)制造業(yè)企業(yè)的全部內(nèi)部控制程序，可以分解為采購與應(yīng)付、生產(chǎn)與存貨、銷售與應(yīng)收、資金與風(fēng)險(xiǎn)、資本性支出、總賬與報(bào)表、稅項(xiàng)、工資與福利、長期資產(chǎn)管理、期間費(fèi)用、所有者權(quán)益等模塊。 

　　2. 主程序。即將一個(gè)模塊根據(jù)不同業(yè)務(wù)模式下內(nèi)部控制程序的差異，劃分為不同的主程序。如采購與應(yīng)付模塊在同一個(gè)企業(yè)內(nèi)部，采購大宗原材料、輔助用料和辦公用品，其內(nèi)部控制程序通常是有區(qū)別的，所以應(yīng)該劃分為不同的主程序，以便程序的描述和評價(jià)。 

　　3. 子程序。即將一個(gè)主程序根據(jù)不同的內(nèi)部控制階段劃分為不同的子程序。如大宗原材料的采購主程序，可以分解為供應(yīng)商選擇、合同簽訂、到貨、計(jì)量、結(jié)算、付款、對賬等子程序。 

3.如何完善電算化會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制？ 

  答： (一)建立、健全有關(guān)的管理制度      這是通過組織形式加強(qiáng)內(nèi)部控制的一項(xiàng)重要措施。內(nèi)容包括建立機(jī)房管理、操作管理、系統(tǒng)文檔管理和數(shù)據(jù)管理等項(xiàng)制度,以保證計(jì)算機(jī)有一個(gè)正常的運(yùn)行環(huán)境,保護(hù)計(jì)算機(jī)硬件、軟件、文檔資料和數(shù)據(jù)不受侵害和損失。這些制度的建立要作為系統(tǒng)設(shè)計(jì)的一項(xiàng)重要內(nèi)容并在系統(tǒng)設(shè)計(jì)過程中完成。系統(tǒng)投入運(yùn)行以后,要嚴(yán)格按照制度規(guī)定貫徹執(zhí)行。     建立會(huì)計(jì)信息系統(tǒng),必須選擇一批政治素質(zhì)好、業(yè)務(wù)上能勝任,并且具有會(huì)計(jì)和計(jì)算機(jī)應(yīng)用技術(shù)復(fù)合知識的人才,組成承擔(dān)系統(tǒng)運(yùn)行的組織機(jī)構(gòu)。其中包括程序設(shè)計(jì)、維護(hù)和管理人員,會(huì)計(jì)數(shù)據(jù)的采集整理、審核和保管人員,以及運(yùn)行操作人員。在他們之間要按照內(nèi)部牽制原則合理分工,在日常工作中能夠互相制約,互相監(jiān)督,防止無意差錯(cuò)和有意舞弊事件的發(fā)生。    (二)   系統(tǒng)開發(fā)和維護(hù)控制 1.系統(tǒng)開發(fā)控制     系統(tǒng)開發(fā)控制是一種預(yù)防性控制,目的是確保財(cái)務(wù)系統(tǒng)開發(fā)過程及內(nèi)容符合內(nèi)部控制的要求。財(cái)務(wù)軟件的開發(fā)必須遵循國家有關(guān)機(jī)關(guān)和部門制訂的標(biāo)準(zhǔn)和規(guī)范。在財(cái)務(wù)系統(tǒng)開發(fā)之初,要進(jìn)行詳細(xì)的可行性研究;在系統(tǒng)開發(fā)過程中,內(nèi)審和風(fēng)險(xiǎn)管理人員要參與系統(tǒng)控制功能的研究與設(shè)計(jì),制訂有效的內(nèi)部控制方案并在系統(tǒng)中實(shí)施;在系統(tǒng)測試運(yùn)行階段,要加強(qiáng)管理與監(jiān)督,嚴(yán)格按照《商品化會(huì)計(jì)核算軟件評審規(guī)則》等標(biāo)準(zhǔn)進(jìn)行;在系統(tǒng)運(yùn)行前要對有關(guān)人員進(jìn)行培訓(xùn),不僅培訓(xùn)系統(tǒng)的操作,還要使受訓(xùn)人員了解系統(tǒng)投入運(yùn)行后新的內(nèi)部控制制度和對財(cái)務(wù)提供的高質(zhì)量會(huì)計(jì)信息的進(jìn)一步分析與利用等;此外,應(yīng)及時(shí)做好新舊系統(tǒng)轉(zhuǎn)換。企業(yè)應(yīng)在系統(tǒng)轉(zhuǎn)換之際采取有效的控制手段,做好各項(xiàng)轉(zhuǎn)換的準(zhǔn)備工作,如舊系統(tǒng)的結(jié)算、匯總,人員的重新配置,新系統(tǒng)初始數(shù)據(jù)的安全導(dǎo)入等。 2.系統(tǒng)維護(hù)控制      系統(tǒng)維護(hù)包括軟件修改、代碼結(jié)構(gòu)修改和計(jì)算機(jī)硬件與通訊設(shè)備的維修等,涉及到系統(tǒng)功能的調(diào)整、擴(kuò)充和完善[3]。對財(cái)務(wù)系統(tǒng)進(jìn)行維護(hù)必須經(jīng)過周密計(jì)劃和嚴(yán)格記錄,維護(hù)過程的每一環(huán)節(jié)都應(yīng)設(shè)置必要的控制,維護(hù)的原因和性質(zhì)必須有書面形式的報(bào)告,經(jīng)批準(zhǔn)后才能實(shí)施修改。軟件修改尤為重要,系統(tǒng)操作員不能參與軟件的修改,所有與系統(tǒng)維護(hù)有關(guān)的記錄都應(yīng)打印后存檔。 (三)電算化會(huì)計(jì)信息系統(tǒng)的安全控制     電算化會(huì)計(jì)信息系統(tǒng)的安全控制,是指采用各種方法保護(hù)數(shù)據(jù)和計(jì)算機(jī)程序,以防止數(shù)據(jù)泄密、被更改或破壞,主要包括實(shí)體安全控制、硬件安全控制、軟件安全控制、網(wǎng)絡(luò)安全控制和病毒的防范與控制等。 1.實(shí)體安全控制     實(shí)體安全涉及到計(jì)算機(jī)主機(jī)房的環(huán)境和各種技術(shù)安全要求、光和磁介質(zhì)等數(shù)據(jù)存貯體的存放和保護(hù),是一種預(yù)防性控制。計(jì)算機(jī)機(jī)房應(yīng)該符合技術(shù)要求和安全要求,充分滿足防火、防水、防潮、防盜、恒溫等技術(shù)條件;機(jī)房應(yīng)配有空調(diào)和消防設(shè)置等;對用于數(shù)據(jù)備份的磁盤、光盤等存貯介質(zhì)應(yīng)注意防潮、防塵和防磁;對每天的業(yè)務(wù)數(shù)據(jù)雙備份,建立目錄清單異地存放;長期保存的磁介質(zhì)存貯媒體應(yīng)定期轉(zhuǎn)貯。計(jì)算機(jī)會(huì)計(jì)系統(tǒng)有關(guān)的資料應(yīng)及時(shí)存檔,企業(yè)應(yīng)建立起完善的檔案制度,加強(qiáng)檔案管理。一個(gè)合理完善的檔案管理制度一般有合格的檔案管理人員、完善的資料借用和歸還手續(xù)、完善的標(biāo)簽和索引方法、安全可靠的檔案保管設(shè)備等。除此之外,還應(yīng)定期對所有檔案進(jìn)行備份并保管好這些備份。為防止檔案被破壞,企業(yè)應(yīng)制訂出檔案被破壞的事件發(fā)生時(shí)的應(yīng)急措施和恢復(fù)手段,企業(yè)使用的會(huì)計(jì)軟件也應(yīng)具有強(qiáng)制備份的功能和一旦系統(tǒng)崩潰及時(shí)恢復(fù)到最近狀態(tài)的功能,網(wǎng)絡(luò)中利用兩人服務(wù)器進(jìn)行雙機(jī)鏡像映射備份是備份的先進(jìn)形式。 2.硬件安全控制     計(jì)算機(jī)會(huì)計(jì)信息系統(tǒng)的可靠運(yùn)行主要依賴硬件設(shè)備,因此硬件設(shè)備的質(zhì)量必須有充分保證。為防萬一,關(guān)鍵性的硬件設(shè)備可采用雙系統(tǒng)備份。此外,機(jī)房內(nèi)用于動(dòng)力、照明的供電線路應(yīng)與計(jì)算機(jī)系統(tǒng)的供電線路分開,配置ＵＰＳ(不間斷電源)、防輻射和防電磁波干擾設(shè)備等。 3.軟件安全控制     首先,應(yīng)分析研究各應(yīng)用軟件的兼容性、統(tǒng)一性,使各業(yè)務(wù)系統(tǒng)成為基于同一種操作系統(tǒng)平臺(tái)的大系統(tǒng),各種業(yè)務(wù)之間能相互銜接,相關(guān)數(shù)據(jù)能夠自動(dòng)核對、校驗(yàn),數(shù)據(jù)備份應(yīng)統(tǒng)一完成。其次,系統(tǒng)軟件應(yīng)盡量減少人機(jī)對話窗口,必要的窗口如憑證輸入窗口應(yīng)力求界面友好、防錯(cuò)能力強(qiáng),做到非正確輸入不接受。再次,要增強(qiáng)系統(tǒng)軟件的現(xiàn)場保護(hù)和自動(dòng)跟蹤能力,可以對一切非正常操作進(jìn)行記錄。

4.安全控制    隨著網(wǎng)絡(luò)技術(shù)的快速,公司應(yīng)加強(qiáng)網(wǎng)絡(luò)安全的控制,設(shè)置網(wǎng)絡(luò)安全性指標(biāo),包括數(shù)據(jù)保密、訪問控制、身份識別等,并且針對公司的特定狀況,開發(fā)相應(yīng)的技術(shù)來保護(hù)系統(tǒng)[4]。網(wǎng)絡(luò)對信息系統(tǒng)的安全性提出了比單機(jī)系統(tǒng)更高的要求,需加強(qiáng)以下兩個(gè)方面的控制:一是用戶權(quán)限設(shè)置,應(yīng)從業(yè)務(wù)范圍出發(fā),將整個(gè)網(wǎng)絡(luò)系統(tǒng)分級管理,設(shè)置系統(tǒng)管理員、數(shù)據(jù)錄入員、數(shù)據(jù)管理員和專職會(huì)計(jì)員等崗位,層層負(fù)責(zé),對各種數(shù)據(jù)的讀、寫、修改權(quán)限進(jìn)行嚴(yán)格限制,把各項(xiàng)業(yè)務(wù)的授權(quán)、執(zhí)行、記錄以及資產(chǎn)保管等職能授予不同崗位的用戶,并賦予不同的操作權(quán)限,拒絕其他用戶的訪問;二是密碼設(shè)置,用戶應(yīng)按照自己的用戶身份和密碼進(jìn)入系統(tǒng),對密碼進(jìn)行分組管理,對存儲(chǔ)在網(wǎng)絡(luò)上的重要數(shù)據(jù)進(jìn)行有效加密,在網(wǎng)絡(luò)中傳播數(shù)據(jù)前對相關(guān)數(shù)據(jù)進(jìn)行加密,接收到數(shù)據(jù)后再進(jìn)行相應(yīng)的解密處理,并定期更新加密密碼5.病毒的防范和控制    防范病毒最為有效的措施是加強(qiáng)安全,健全并嚴(yán)格執(zhí)行防范病毒管理制度[3]。對不需要本地硬盤和軟盤的工作站,盡量采用無盤工作。要采用基于服務(wù)器的網(wǎng)絡(luò)殺毒軟件進(jìn)行實(shí)時(shí)監(jiān)控、追蹤病毒;在網(wǎng)絡(luò)服務(wù)上采用防病毒卡或芯片等硬件,以有效防治病毒。財(cái)務(wù)軟件可掛接或捆綁第三方反病毒軟件,加強(qiáng)軟件自身的防病毒能力。對外來軟件和傳輸來的數(shù)據(jù)必須經(jīng)過病毒檢查,在業(yè)務(wù)系統(tǒng)中嚴(yán)禁使用游戲軟件。此外,應(yīng)及時(shí)升級系統(tǒng)的防病毒產(chǎn)品。