浅谈会计电算化信息系统内部控制

吉林财经大学 王金刚 海南医学院 续 鸣

浅谈会计电算化信息系统内部控制

吉林财经大学 王金刚 海南医学院 续 鸣

一、会计电算化信息系统对内部控制新要求

（一）内部控制范围与程序改变 随着网络技术与电子商务不仅改变了企业传统的交易模式，而且使企业内部的经营管理发生了质的变化，企业的运作由计算机信息系统（如ERP系统）按先进的管理模式控制与管理。原先应由会计人员处理的有关业务事项，可能由其他业务人员在终端机上一次完成；原先应由几个部门按预定的步骤完成的业务事项，现在可能集中在一个部门甚至一个人完成。因此，要保证企业财产物资的安全完整、保证会计系统对企业经济活动反映的正确和可达到企业管理的目标，企业内部控制制度的建立和完善就显得更为重要，内部控制制度的范围较手工会计系统更加广泛，内部控制程序也由主要的制度控制变为计算机程序空中和管理控制相组合。

（二）内部控制组织功能改变 在手工会计系统中，每一步都有文字记录，都有经手人签字，会计处理流程和轨迹十分清楚。在电子商务和网络经营条件下，传统的会计线索可能完全消失。在电子商务系统中，客户的订单、企业的发货单、发票、支票、电子货币或收付凭证等都以电磁信息的形式在网上传递并存储于磁性介质中。网上交易被称为无纸交易。除外部交易的原始凭证无纸化外，在网络经营条件下，企业内部业务的会计线索也发生了质的变化。会计的确认、计量、记录和报告都集中由计算机按程序指令执行，各项处理没有直接责任人。网络数据处理的集中性使传统的组织控制功能减弱，网络的应用大大减少了人工输入环节，数据访问和数据交换都通过应用服务器进行。网络计算机集成化处理促使传统手工会计中制单、复核、记账等不相容岗位相互牵制制度的效力削弱，传统的组织控制功能弱化。

（三）内部控制风险改变 随着计算机使用范围的扩大，利用计算机进行的贪污、舞弊、诈骗等犯罪活动也有所增加，由于储存在计算机磁性媒介上的数据，有时甚至能不留痕迹地篡改，数据库技术的提高使数据高度集中，未经授权的人员有可能通过计算机和网络浏览全部数据文件，复制、伪造、销毁企业重要数据。计算机舞弊和犯罪造成的危害和损失可能比手工会计系统更大，因此，网络财务系统的内部控制不仅难度大、复杂、而且还要有各种控制的计算机技术手段。

由此可见，网络财务系统的内部控制制度与手工会计系统的内部控制制度相比较，内部控制范围更大，控制程序更复杂，控制的重点为职能部门和计算机数据处理部门并重的全面控制，是人工控制和计算机自动控制相结合的多方位控制。

二、会计电算化信息系统内部控制探讨

（一）管理控制 管理控制主要指企业针对网络环境下的财务系统而设置的以保护资产安全性与信息真实性为目的的控制措施，它属于组织方面的内容。管理控制要求在网络财务环境下着重关注以下方面：

（1）组织机构重新设置。传统会计系统的内部控制机制与手段已不适应网络环境，网络环境下会计信息系统必须针对网络的特点，建立适应网络系统的控制体系及组织机构和岗位责任制度。控制范围应由原来单一的财务部门转变为财务部门和计算机管理部门共同控制。控制方式应由单纯的手工控制转化为组织控制、手工控制和程序控制相结合的全面内部控制。

（2）职责重新划分。内部控制的关键之点就在于不相容职务的分离，计算机会计系统与手工会计系统一样，对每一项可能引起舞弊或欺诈的经济业务，都不能由一个人或一个部门经手到底，必须分别由几个人或几个部门承担。在网络财务系统中，不相容的职务主要有系统开发、发展的职务与系统操作的职务，数据维护管理职务与电算审核职务，数据录入职务与审核记账职务，系统操作的职务与系统档案管理职务等。企业为防止舞弊或欺诈，应建立一整套符合职责划分原则的内部控制制度，同时，还应建立起职务轮换制度。

（3）日常操作控制管理。一般而言，企业对用于计算机会计系统的计算机的上机管理措施应包括：

制定上机操作规程。主要包括软硬件操作规程、作业运行规程和用机时间记录规程等。

加强系统人员的操作管理。人作为系统主体是网络发展的基本动力和信息安全的最终防线，人员操作管理的重点是权限控制。系统管理员被赋予超级用户管理权限，主要负责系统软、硬件的管理维护和网络资源分配，操作人员应按照被赋予内权限严格作业，不得越权接触系统，系统程序员不得进行业务操作，以避免人为因素或操作不当给操作系统带来不必要的损失和风险。

建立计算机资源访问授权和身份认证制度。即明确每个用户的安全级别和身份标识，并分别定义具体的访问对象。

建立安全稽核机制。对系统操作的事件类型、用户身份、操作时间、系统参数和状态以及系统敏感资源进行实时监控和记录，进行必要的权限设置，以便能够对各种不同的权限进行用户识别和远程请求识别。

设置安全检测预警系统。即实时寻找具有网络攻击特征和违反网络安全策略的数据流，实时响应和报警，阻断非法的网络连接，对事件涉及的主机实施进一步跟踪，创造一种漏洞检测与实时监控相结合的可持续改进的安全模式。

（4）加强内部审计监督。内部审计的本质是一种特殊的组织控制。通过内部审计部门对网络会计系统信息的质量和完整性进行独立和公正地监督与评价，有利于系统内部自我约束、自我激励机制的建立与健全。

（二）技术控制 技术控制是针对网络系统正常运行进行评价、检测及管理工作，是从系统可靠性、安全性、效率性等（简称系统性能）来确认内部控制的执行和有效性。主要有以下方面：

（1）系统开发控制。系统开发控制是为保障网络会计系统开发过程中各项活动的合法性和有效性而设计的控制措施，它应贯穿于系统规划、系统分析、系统设计、系统实施和系统运行测试与维护的各个阶段。主要包括：明确开发目标，制定项目管理计划，进行项目的可行性研究与分析；控制开发进度，监督开发质量，检查各功能模块设置的合理性及程序设计的可靠性，提高系统可审性。

（2）重点测试。利用网络在线测试的功能，检验整个系统的完整性，对系统应对非法数据的容错能力、系统抗干扰能力和发生突发事件的应变能力以及系统遭遇破坏后的恢复能力进行重点测试；做好人员和设备等资源的整合配置以及初始数据的安全导入，保证新旧系统的转换有序进行。

（3）保证安全。一旦发现网络系统各类软件可能存在安全漏洞，应立即进行在线修补与升级，并将所有与软件修改有关的记录报告及时存储归档。

（三）网络系统安全控制 主要包括：

（1）硬件设备安全控制。硬件设备安全主要涉及计算机机房环境和设备的技术安全要求。应制定网络计算机机房和设备的管理制度、岗位职责和操作规程，严格禁止无关人员接触系统，专机专用；计算机机房应充分满足防火、防潮、防尘、防磁和防腐涉及恒温等技术要求，关键性硬件设备可采用双系统备份。

（2）系统软件安全控制。严格控制系统软件的安装与修改，对系统软件进行定期的预防性检查，系统被破坏时，要求系统软件具备紧急响应、强制备份、快速重构和快速恢复的功能。

（3）会计信息安全控制。会计信息安全的基础是密码学。按加密和解密算法所用的密码是否相同，将密码分为对称密码体制和非对称密码体制。后者在信息安全管理方面得到了广泛的应用。如通讯线路上的数据流加密，数据库中的数据文件加密，访问者的身份认证，数字签名等。除密码学之外，模式识别的方法也在网络信息安全方面得到应用。如指纹识别、面容识别在身份认证中具有很好的作用。

（4）系统入侵防范控制。为了防止非法用户对网络会计系统的入侵，应采取设置防火墙，身份认证和授权管理等安全技术，用以限制外界对主机操作系统的访问；用以隔离开局应用系统与外界访问区域之间的联系，限制外界穿过访问区域对网络应用系统服务器尤其是对会计数据库系统的非法访问；加强原有的基于账户和口令的控制，提供授权访问控制和用户身份识别。

（5）交易安全控制。为了保证交易者的交易信息不被他人窃取或破译，主要应采取数字加密、数字认证等核心技术。

（四）应用控制 应用控制是指在网络快捷系统的数据输入、通讯、处理和输出环节所采用的控制程序和措施。

（1）输入控制。输入控制的重点在于建立适当的授权和审批机制，并对输入数据的准确性进行校验，如总数控制校验、平衡校验、科目代码校验和逻辑关系测试等。

（2）通讯控制。通讯控制的重点在于批量控制，业务时序控制、数据编码控制与发放和接收的标识控制等。

（3）处理控制。处理控制的重点在于处理过程的现场控制、数据有效性检测、预留神经线索控制和错误纠正控制等。

（4）数据输出控制。数据输出控制的重点在于数据稽核、授权输出和打印程序控制等。

［1］鲜军：《基于Internet电子商务的信息安全技术》，《金融电子化》1999年第期。

（编辑 向玉章）