持续监控相关概念辨析

《持续监控相关概念辨析》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、持续监控相关概念辨析【摘要】本文对信息系统内部控制与IT治理，持续监控、持续审计和持续认证这两组意思接近的概念进行了辨析，并对信息系统内部控制的持续监控进行了重新定义。【关键词】IT治理持续审计持续监控信息系统内部控制持续认证在针对持续监控的研究中，信息系统内部控制与IT治理、持续监控、持续审计和持续认证是两组意思接近的概念，在许多研究中并未对它们进行严格的概念区分，以致混用。为此，本文在对西方权威文献进行梳理的基础上，对这几个概念进行初步的辨析。一、信息系统内部控制与IT治理我国《企业内部控制应用指引第18号——信息系统》将信息系统定义为：企业利用计算机和通信技

2、术，对内部控制进行集成、转化和提升所形成的信息化管理平台。而内部控制是由企业董事会成员、经理层和其他人员设计用来对经营的效果和效率、财务报告的可靠性、法律和条规的遵守情况等三个目标的实现提供合理保证的一个流程。信息系统的基本功能就是进行信息采集、加工、报告和管理。在信息化环境下，企业将具有既定控制目标的内部控制与信息系统相融合，实现内部控制的集成、转化和提升，使信息系统具有目的性。当前西方准则制定机构普遍使用IT控制来替代信息系统内部控制，并由此衍生出了IT审计和IT治理等概念。这里的IT并非我们通常所指的信息技术，而是“信息及相关技术”。IT控制的概念最初是由I

3、T治理协会（ITGI）在其信息及相关技术控制目标（COBIT）框架中提出来的，该框架中的IT是由“Information”中的“I”和“relatedTechnology”中的“T”组合成的，它首先强调的是信息，然后才是技术。这里的IT其实就是信息系统。因此可以说，ITGI提出的IT控制、IT治理和国际信息系统审计与控制协会（ISACA）提出的IT审计概念，其实都是针对信息系统的。本文采用的是信息系统内部控制概念，它等同于ITGI提出的IT控制。IT治理是企业治理的组成部分，也是控制环境的构成要素。企业治理是指导和控制企业的系统，主要由董事会和经理层为履行职责所采

4、取的一系列举措而构成，其目标是为企业运作提供战略指导，控制企业风险，合理使用企业资源，确保企业战略目标的实现（ITGI，2003）。一致性和绩效是企业治理的两个主要的维度。一致性指的是与企业的控制和认证安排相符合，绩效是驱动企业前进的价值创造（IFAC，2004）。一致性和绩效之间的平衡形成了良好的企业治理。IT治理关注的是企业治理中与IT相关的问题，它侧重的是制度的构建，通过合理配置IT决策权来激励和约束IT管理者来做出使IT投资价值最大化、风险最小化的决策。战略融合、价值交付、资源管理、风险管理和绩效测评是IT治理的五个领域，其最终目标是保持IT与业务的一致性

5、，IT支持业务运行并实现收益最大化和IT资源的有效使用及IT风险管理（ISACA，2007）。IT治理定位于高层指导和控制，关注的是“做什么”和“由谁做”，它是内部控制环境的重要组成部分。而信息系统内部控制是企业范围内全体人员的责任，它关注的是“做什么”，它是支撑、促进和加强IT治理的必要手段。信息系统内部控制一旦失效，信息系统所产生的信息质量就难以保证，IT治理决策也只能是“垃圾进，垃圾出”。二、持续监控、持续审计和持续认证1992年的COSO在《内部控制整合框架》中首次引入了监控要素。在该框架中，监控是作为整个内部控制系统的一种反馈机制，目的在于确保内部控制能

6、够根据环境的变化及时进行自身调整，以保证它持续有效。监控包括持续监控和专项评价（又称专项监督）两种互补方式。在COSO和PCAOB制定的规范中，通常使用的是“ongoingmonitoring”的概念，IIA的《持续审计：对认证、监控和风险评估的意义》和ISACA的第42号信息系统审计指南《持续认证》中都是使用“continuousmonitoring”的概念，不过，ISACA在《内部控制系统和IT监控指南》中也使用的是“ongoingmonitoring”的概念，但它对“ongoingmonitoring”和“continuousmonitoring”作了区分，

7、并认为，后者是前者的一个子集，是一种自动化的监控形式，也就是说，两者的区别主要在于是否依靠IT来自动运行，依靠IT自动运行的，则属于“continuousmonitoring”。我们认为两者运行手段的差异，并没有改变其自身的特征，所以本文对此不作区分。持续监控是“嵌入”企业日常性的、反复发生的活动之中的，对内部控制系统进行连续的、全面的、系统的、动态的检查，以评估内部控制的充分性和有效性。它包括一般性的管理和监督活动、同行比较和利用内外部数据进行趋势分析，也可能包括利用自动化工具评估控制、交易和流程。专项评价指企业对内部控制建立与实施的某一方面（包括持续监控）或者

8、某些方面的