內(nèi)控流程設(shè)計是企業(yè)內(nèi)控體系建設(shè)中的難點。在企業(yè)信息化環(huán)境下，如何設(shè)計企業(yè)信息化內(nèi)部控制流程將是一個值得探討的問題。
做好計算機系統(tǒng)總體控制
內(nèi)控流程最終要嵌入計算機系統(tǒng)，第一要務(wù)就是搭建計算機系統(tǒng)總體控制平臺。
天職國際會計師事務(wù)所管理咨詢部高級項目經(jīng)理朱耿斌告訴《中國會計報》記者，在搭建計算機總體控制平臺時，可以分如下步驟來開展。
在充分地了解企業(yè)計算機整體環(huán)境，包括信息化規(guī)劃、組織架構(gòu)、各類信息化管理制度、職責(zé)分工、人力資源等基礎(chǔ)上，首先分析企業(yè)所處的風(fēng)險，特別是IT風(fēng)險，然后結(jié)合當(dāng)前IT風(fēng)險管理的標(biāo)準(zhǔn)，制定企業(yè)的IT風(fēng)險管理框架及詳細(xì)建設(shè)方案。
結(jié)合識別的IT風(fēng)險，建立一系列控制措施?？梢詮囊韵聨讉€方面考慮：從信息化的基礎(chǔ)環(huán)境著手，包括企業(yè)是否制定了完善的信息化規(guī)范和制度、是否有合理、清晰的組織架構(gòu)以及是否對相關(guān)人員的職責(zé)進(jìn)行明確定位。在考察和分析的過程中，要求企業(yè)建立信息化管理制度、系統(tǒng)運行維護(hù)制度、信息化安全制度等。
信息系統(tǒng)升級對企業(yè)來說或許是家常便飯，部分企業(yè)習(xí)慣到網(wǎng)上下載程序或補丁，這可能給企業(yè)帶來風(fēng)險。朱耿斌強調(diào)，內(nèi)控就是要防范風(fēng)險，因此，企業(yè)信息化部門要做好系統(tǒng)變更的準(zhǔn)備，確認(rèn)變更需求是否由相關(guān)需求部門提出，是否得到用戶部門的認(rèn)可和測試。
很多時候企業(yè)將面臨新的業(yè)務(wù)規(guī)劃，要重新進(jìn)行業(yè)務(wù)層面的規(guī)劃，這時需要信息系統(tǒng)支持，信息化部門就要致力于分析項目流程和信息化控制是否匹配，根據(jù)成本效益原則判斷投資預(yù)算是否合理。在整個項目建設(shè)過程中，要符合內(nèi)控的要求，做一份UAT報告（用戶接受測試報告）就顯得非常必要。
另外，確保計算機系統(tǒng)正常、不間斷的運行是信息化部門的首要職責(zé)。建立一套合適的運維規(guī)程很有必要，比如對相關(guān)數(shù)據(jù)的備份、故障處理應(yīng)急預(yù)案，以及災(zāi)難恢復(fù)計劃等。
當(dāng)整個企業(yè)的內(nèi)控都交給計算機系統(tǒng)，安全問題就成了計算機系統(tǒng)總體控制的核心。
“企業(yè)在推進(jìn)內(nèi)控的信息化建設(shè)時，應(yīng)確保整體環(huán)境的安全，特別是應(yīng)用系統(tǒng)、操作系統(tǒng)、網(wǎng)絡(luò)和數(shù)據(jù)庫這四個層面的安全可靠。”朱耿斌說。
朱耿斌反復(fù)強調(diào)，信息安全控制是重中之重。當(dāng)系統(tǒng)更新或者項目更新后，需要進(jìn)行上線測試。在體系運行過程中，與具體控制實施人員進(jìn)行溝通，結(jié)合眾多的反饋意見，對信息化系統(tǒng)進(jìn)行不斷地優(yōu)化，以更加適應(yīng)內(nèi)控乃至管理的需要。
兩部門合力打造內(nèi)控流程
內(nèi)控信息化需要把內(nèi)控要求和控制方法轉(zhuǎn)移到信息系統(tǒng)中去，信息化部門和內(nèi)控部門這兩個部門必須一起合作，才能打造適合企業(yè)需要的內(nèi)控流程。
在實際工作中，經(jīng)常出現(xiàn)兩條線：內(nèi)控部門關(guān)注如何建立企業(yè)的內(nèi)控體系，在不同的業(yè)務(wù)流程中增加控制措施；而信息化部門執(zhí)著于如何將計算機系統(tǒng)建設(shè)得更加完善、業(yè)務(wù)功能更加豐富，很少關(guān)注內(nèi)控方面的要求。
一位業(yè)內(nèi)人士認(rèn)為，信息化部門不能盲目根據(jù)軟件的標(biāo)準(zhǔn)管理系統(tǒng)設(shè)計控制流程了事，要有可操作性、讓信息化管理人性化，就需要內(nèi)控部門對內(nèi)控流程的梳理越細(xì)越好。
在梳理內(nèi)控流程時，由內(nèi)控牽頭部門組織可以走兩條路徑：一條路徑是自上而下地梳理。內(nèi)控是為了企業(yè)管理服務(wù)，企業(yè)管理層從管理視角梳理風(fēng)險控制點；另一條路徑是自下而上地梳理。根據(jù)內(nèi)控自評機制，企業(yè)可以激勵員工充分暴露業(yè)務(wù)流程中的問題，并對業(yè)務(wù)流程的風(fēng)險控制點提出修改意見或者對流程再設(shè)計。
在對業(yè)務(wù)流程進(jìn)行梳理時，內(nèi)控部門和信息化部門都應(yīng)明確內(nèi)控的目標(biāo)，并結(jié)合實際需求對業(yè)務(wù)流程進(jìn)行細(xì)化。
如對采購業(yè)務(wù)的價格管理，如果企業(yè)采取比價采購，保持2家-3家的供應(yīng)商，那么，內(nèi)控部門應(yīng)該向信息化部門清楚地表達(dá)內(nèi)控要求，如給價格管理機構(gòu)授權(quán)，控制采購量，在采購付款方面要求比例付款的話，要設(shè)置在上旬、中旬、下旬付款時的不同付款比例，將相關(guān)的制度和流程通過信息化系統(tǒng)來進(jìn)行控制和體現(xiàn)。
