it治理机制下的企业内部控制问题

《it治理机制下的企业内部控制问题》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、IT治理机制下的企业内部控制问题一、lT治理机制下企业内部控制的特点从内部控制建设和实施以来，内部控制起初主要是由一些企业组织文件及简单的调查和监控表构成企业内部控制的主要内容，而现在的内部控制是一个完整的体系。以COSO内部控制整体框架为基础，融合COSO企业风险管理整体框架的主要内容，结合国家监管部门的基本要求，建立了包括体系框架、控制环境、风险评估、控制活动、信息与沟通和监督六大部分在内的内部控制体系，是公司开展内部控制体系评价的依据。同时，与公司内部控制相关的其他管理规章，也是公司开展内部控制体系评价的依据。内部控制的评价也由起初的手工测试评价到现在的系统测

2、试，测试方法更加丰富，内容更加广泛，效率也更高。因而，lT治理机制下企业内控通常有以下几个特点。(一)内部控制实施的低纸化现在X络的发展，不论企业的采购订单和销售发货，还是企业的资金活动和资产管理，基本上实现了X上交易和结算，以及在系统里进行审核签章，很少生成纸质文件。因而，企业内控建设的重点工作就是加强这些流程的关键环节监督，严格控制权限的分配。加强对电子文件的保存和查阅。例如，某些电子表格的保存和监督。电子表格存放在文件服务器受到保护的路径目录下，并对电子表格存放目录权限进行控制；重要和一般电子表格的变更应严格遵循申请、授权、测试和批准的完整过程，实现无纸化文件

3、和纸质文件一样的控制效果。(二)内部控制测试的高效率传统的内部控制测试，在内容上单一，范围上狭小，现在的内部控制测试内容全面，包括对已经建立的内控体系评价其设计的有效性和公司层面涵盖COSO框架的五个要素及反舞弊六个方面的测试，以及主体业务层面(包括跟单测试和关键控制点测试)和lT治理机制下特有的信息层面控制测试(包括总体、应用控制和电子表格的权限设置)。这样，测试的内容更为丰富，测试范围更加广泛。在内部控制框架的指导下，测试范围的确定是以风险为导向。根据不同板块的业务类型同时考虑各地区公司的业务差异，对地区公司及其所属单位公司层面、业务活动层面、信息系统总体控制的

4、测试内容和测试单位进行确定的过程。在测试时间不变的情况下，同时采取询问、观察、检查和再执行等多种方法，内部控制的测试效率是相当高的。(三)内部控制评价的高频率内部控制测试阶段的高效率，内容全面、范围广泛、方法多样等，并不能代表内部控制的效果就很好。然而更多层面以及更高效率的测试方案被制定，只有在IT治理机制下，结合lT治理的许多方法才能实现，因此现阶段的内部控制评价是高频率的。目前，在企业的内部控制实施过程中，比较成熟的测试方案主要有三种：(1)地区公司的自我测试。它是由地区公司总经理授权相关部门组织实施的、针对本单位内部控制设计和运行的有效性实施的检查过程。自我测

5、试应坚持以风险为导向，兼顾覆盖面，重点关注高风险领域和业务薄弱环节。地区公司应在每年年初将自我测试计划报送内控部备案，年底将年度自我测试报告报送内控部审核；地区公司的自我测试应按照股份公司统一的标准和规范进行，测试计划、测试底稿和测试报告须纳入内控测试系统(AAM)。(2)管理层测试。它是针对股份公司业务单位内部控制设计和运行的有效性，由管理层授权审计部和内控与风险管理部具体实施的检查过程。根据管理层测试及其缺陷评估的结果出具管理层自我评估报告并对外披露。管理层测试分两个阶段进行，第一阶段管理层测试由审计部负责，第二阶段管理层测试由内控与风险管理部负责，具体包括改进

6、测试、补充测试、更新测试以及年度财务报告控制测试。(3)外部审计师测试。外部审计师测试是审计师根据PCAQB的审计准则，为对公司-的内控控制有效性发表意见而进行的独立测试。二、lT治理机制对企业内部控制影响IT治理机制下，企业内部控制是通过控制系统与财务系统(F－MIS系统)及其他管理信息系统的对接来实施的。这些对企业活动进行的控制都是在信息系统层面上操作的，因此，没有更为成熟的lT技术的支持是很难完成的。IT治理机制对企业内控的影响，主要就是控制信息系统设计的完善程度。在利用信息系统控制风险时，应当关注以下几个方面：(1)缺乏系统整体规划，造成信息沟通不顺畅，只能

7、局部有效，不能对整体进行决策。例如，由于整体规划的缺乏，企业各部门间就存在业务处理上的不及时和割裂，导致业务活动的受阻。如，采购物资审批迟迟不下，生产部门无原料，销售缺货，严重影响企业的正常经营活动。(2)系统的逻辑设计不符合内部控制要求，不能达到控制的目标。逻辑设计的不合格，直接导致业务信息对接不上，无法汇总信息，不能总体决策业务活动和评价业务的质量，内部控制也不能取证。(3)系统设计的可信性研究。建立健全的IT治理结构，引入财务可信性审计机制，实现信息系统可信性和信息质量的共同提高，增强了企业的内部控制能力。(4)系统的权限设置不恰当，不能对信息实施有效的控