论内部控制持续监控系统的功能结构

《论内部控制持续监控系统的功能结构》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、论内部控制持续监控系统的功能结构【摘要】基于系统论的观点，本文将持续监控系统视为信息系统条件下内部控制系统的一个子系统，分为持续监控环境、持续监控标准设定、持续监控活动、信息与沟通和对持续监控的专项评价等五要素，并对各要素的内涵进行了分析。【关键词】持续监控内部控制会计信息系统持续监控（简称CM，下同）是一种与企业经营管理有机结合的内部控制程序，其目标是为了确保内部的持续有效运行。CM因其能获取内部控制运行最及时、相关与可靠的直接信息，可以实现对内部控制的实时、动态调整，使之成为内部控制监督的主要形式。信息系统应用环境为CM

2、提供了理想的运行环境，其优势得以充分发挥。系统论认为，任何系统是由若干要素组成的，这些要素以合理的结构安排来实现系统的耦合，协同运作实现系统的目标。基于此，我们认为CM也是一个系统，而且是信息系统环境下，内部控制系统的一个子系统。类似于内部控制系统的五要素划分，我们也将CM系统划分为CM环境、CM标准设定、CM活动、信息与沟通、专项评价等五要素,这五要素之间的关系如下图所示：上图并没有单独标识出“信息与沟通”要素，是因为该要素在整个系统中是普遍存在的，而且信息系统本身就可视为一个信息与沟通系统，难以将它作为一个独立的组成部分

3、标识出来。一、CM环境CM环境是CM系统各个要素存在和效用发挥的基础。在整个内部控制系统中，它是属于控制环境的有机组成部分。不过，由于CM效用的充分发挥需依赖信息系统环境，因此，CM环境又有其新内容。具体而言，适合CM需求的高层基调和组织结构是CM环境的两个必要组成部分。1.高层基调。企业要顺利实施CM，需要借助强有力的高层基调来跨越两个主要障碍。①董事会和管理层在推行CM时，需要向相关人员阐释CM价值，并清晰地表明高层支持CM的坚定立场，以获取员工的支持。②CM系统不是通用信息系统，它需要根据特定信息系统进行定制。这种系统

4、的成本高昂，在具体实施过程中需要在专业人员方面有新的投入，加之企业实施这类系统，投资回报难以立竿见影，因而企业投资此类项目，更加需要有一个富有远见的高层团队的支持。2.组织结构。CM系统的运行，需要有相应的组织结构予以支持。具体而言，管理层负责CM系统的实施，董事会对管理层进行监督，并对CM负有最终责任。管理层在设计组织结构时，需要对CM相关岗位的角色进行定位，对岗位职责进行划分。在岗位的人员配备上，要确保负责CM的评价人员的胜任能力和客观性。其中，胜任能力要求评价人员具备内部控制和业务流程方面的知识；客观性要求评价人员在C

5、M时，能够做到不偏不倚。从这两个方面的要求来看，内部审计部门的信息系统审计师是CM的首要人选。二、CM标准设定根据ISACA的《内部控制系统和IT监控指南》，监控的设计首先是了解影响企业目标实现的相关风险及其特征，之后确定这些风险的轻重缓急，进而确定监控的类型、时间和范围。目前，ISACA的《风险IT框架》及COBIT框架的信息标准可以帮助识别相关风险。CM作为内部控制系统的组成部分，它的标准设定工作需要和内部控制的风险评估相结合。因为风险评估是根据信息系统内部控制目标所面临的来自内部和外部的风险，持续地对这些风险进行确认和

6、处理的机制，风险评估的结果提供了控制活动的输入，同时也形成了CM标准。风险评估的目的就是为CM活动的执行提供一个衡量标准，即CM标准。CM标准有关键目标指标（KGI）和关键绩效指标（KPI）两类。CM标准设定可分为事前标准设定和事后标准设定。企业在设定CM标准的时候，可以考虑采用成熟度模型，来判定自己的内部控制成熟度水平、IT治理成熟度水平，对自己的现状进行定位（初始级、可重复级、已定义级、已管理级、优化级），明确需要达到的成熟度水平，进而指明内部控制的改进空间。标准设定要适度，既要着眼于内部控制有效运行的需要，也要给内部控

7、制留有持续改进的空间。无论是事前标准设定，还是事后标准设定，所设定的标准都是静态的，其有效性会随着时间的推移逐渐降低。这是因为企业的运营环境是持续变化的，相应的风险也是动态的，企业的管理流程、业务流程和内部控制流程也会随之发生变化。同时，管理层对内部控制及CM的认知也是逐步深入的，这必然产生对CM标准进行调整的需求。因而在CM软件中，都会设计参数调整窗口，以满足这种动态需求。三、CM活动CM活动就是以CM标准为依据，以适当的频率对信息系统中的各类信息进行统计分析，借以发现某些关键控制偏离CM标准的例外情况，并通过“警报”的方

8、式将监控结果发送给评价人员。CM活动与内部控制的控制活动要素功能也有重合之处：在控制活动缺失的环节，CM活动就可以视为一种弥补控制缺失的控制活动；在控制活动存在的地方，则是对现有控制活动的再控制。从技术能力限制和成本效益原则出发，CM的对象是关键控制。COSO定义了关键控制的两个特征：它们