中国移动内控IT固化

2016-08-28刘爱洁中国移动通信集团设计院有限公司网络所教授级高工李岳梦中国移动通信集团设计院有限公司网络所工程师胡中国移动通信集团设计院有限公司网络所工程师

信息通信技术与政策 2016年7期

刘爱洁　中国移动通信集团设计院有限公司网络所教授级高工李岳梦　中国移动通信集团设计院有限公司网络所工程师胡　泊　中国移动通信集团设计院有限公司网络所工程师

中国移动内控IT固化

刘爱洁中国移动通信集团设计院有限公司网络所教授级高工
李岳梦中国移动通信集团设计院有限公司网络所工程师
胡泊中国移动通信集团设计院有限公司网络所工程师

近年来为了顺应国家及各级监管机构对于企业内部控制工作的要求，内控IT固化实施成为中国移动落实内控执行落地和常态化工作的必要手段。本文结合中国移动运营现状对内控IT固化的概念、意义、实施原则、实现模式、方案建议和未来发展思路进行详述和分析，以中国移动内控内审管理平台系统实现内控IT固化作为实例以期为其他系统实现固化提供有效的参考。

内部控制；内部控制手册；内控固化；内控IT固化

1　引言

近年来，国家及各省监管机构高度重视内控工作，要求各企业从制度上明确企业内部控制工作的具体要求。包含中国移动在内的很多企业均已制定了《内部控制手册》和《内部控制矩阵》，并陆续建设了企业内控管理系统。目前，中国移动内控工作信息化、规范化建设已经初具成效，但在具体执行层面，人工操作和手工记录的比例仍然较高，人为差错率较高且不能避免人为舞弊行为发生。

2012年国资委下发了《关于加快构建中央企业内部控制体系有关事项的通知》，要求中央企业“推进内部控制体系建设同信息化建设的融合对接，结合企业信息化建设进程，将业务流程和控制措施逐步固化到信息系统，实现在线运行”。为进一步落实内控执行落地和常态化工作，将内控要求固化嵌入至IT系统，并在系统中标准化运行，有必要尽快开展企业内控IT固化的研究和落地实施。

内控IT固化目标是通过IT信息化的手段，强化关键控制点的落地执行，减少人为判断因素，减少人为差错或舞弊，并能够以IT信息化的方式保留关键控制点的执行痕迹，强化内控工作的智能化和标准化，进一步提高内控工作的常态化管理水平。

2　内控IT固化概念

内控固化是指通过一定的方式将控制要求固化在日常的制度、工作流程或IT系统中，以减少人为差错或舞弊，是内控风险管理工作常态化中的一项重要内容，从整体上来看，内控固化包括制度固化、流程固化和IT系统固化三类。其中，制度和流程固化主要是通过出台一系列管理办法，梳理内控流程，编制内控矩阵手册等方式实现。

内控IT固化是指通过IT技术，将内控手册和矩阵的控制要求，在相关业务系统和管理系统中予以固化和预警提醒，以规范内控的执行和落实。

3　内控IT固化技术演进

内控制度与信息系统的结合不断推进的过程中，使控制点固化成为IT系统建设的基础需求和必备功能，从而进一步提升了企业风险管控的水平。建议从以下3个方面推进：

（1）由操作层面固化向监控层面固化深入

在实现控制点的内控IT固化后，内控IT固化的重心转移到对固化后相关控制措施的监控上。通过在相关系统中植入某些监控模型的方式，在持续监控内控执行结果数据的基础上，同时监控和记录内控执行的过程，实现对相关风险的实时监控和提前预警。

（2）由阶段性检查向持续性报告提升

随着内控IT固化程度的提高，内控检查将不再以中期和年度检查为重点，而是向日常性、持续性的监督检查过渡，并对不同流程、领域进行对比和量化分析，促进内控和风险管理工作的整体提升。

（3）由系统改造实现向系统规划驱动演进

随着信息系统对内控IT固化支撑的不断完善，未来应在相关系统的建设规划中充分考虑内控IT固化的要求，以确保内控IT固化工作的持续推进。

4　内控IT固化实施方案

4.1内控IT固化实施必要性

内控IT固化既有助于加强控制点的落地执行，提升控制的效率和效果，也有助于配合内控工作的开展，减轻内控测试工作量。在内控流程设计日益完善，内控工作日趋成熟的基础上，将内控工作以IT信息化的方式进行固化，能够更加有效地推动内控工作的顺利开展，提高内控管理工作的效率。同时，随着IT系统固化工作的深入开展，各业务流程和管理流程与信息系统的结合更加密切，从而进一步推动了内控管理工作的优化和更新。

随着IT系统固化工作的不断开展，控制点将逐步地通过系统方式得以执行，内控的如此固化方式能够更好地配合内控工作的开展。一方面，通过功能自动化方式实现固化的控制点，在内控过程中可以主要通过现场观察系统功能的方法进行测试，而不需要再进行样本的抽取；另一方面，针对通过流程电子化和任务提请化实现固化的控制点，相关系统能够自动记录控制点执行的过程和结果，更有助于我们在日常工作中以系统的方式保留控制点的执行痕迹，大大减轻了配合内控工作中的准备样本的工作量。

4.2内控IT固化的原则

内控IT固化实施的基本原则是注重实效、循序渐进。针对已建立完善内控管理制度的上市公司范围内的单位，均应开展内控IT固化工作，在基本完成可固化控制点的固化工作之后，再将内控IT固化工作的范围逐步扩展到其他所属单位。

内控IT固化工作宜与新建IT系统或现有IT系统的升级改造统筹开展。企业在新建IT系统或系统改造时，可将有关内控IT固化要求一并纳入新建系统或升级改造系统的规划设计和功能需求中。

在内控IT固化启动初期，应主要选取内控矩阵中发生频率较高、通过改造单系统可实现的控制点入手，采取系统自动控制与人工操作相结合的方式实现固化。随着固化工作的推进和系统的优化，逐步采用系统自动控制的方式，并通过多系统的联动，覆盖所有可固化的控制点。

4.3内控IT固化实现模式

针对当前内控矩阵中关键控制点的控制类型（包括授权及审批、核对、管理层审阅、系统控制、系统访问权限、职责分工和例外情况报告7类），同时考虑不同控制类型的控制点在实际操作中的业务属性以及系统功能和人工操作的结合方式，可将内控固化归纳成功能自动化（机器人模式）、流程电子化（流水线模式）、任务提请化（闹钟模式）3种实现模式。对这3种实现模式的详细说明如下：

（1）功能自动化（机器人模式）主要指将某些关键控制点交由BOSS、ERP等IT系统的功能强制自动执行，通过IT系统本身自有的系统功能或配置自动实现某些控制。具体可分为主动实现方式和被动干预方式，其中，主动实现方式是指IT系统通过系统配置、批处理等方式自动执行的系统作业；被动干预方式是指当某些业务行为/方式不符合内控管理要求时，IT系统通过系统方式干预/阻止交易/行为的完成。

该固化模式主要侧重于减少人为操作的差错或舞弊，提高控制点执行效率。在技术上，通常可采用参数配置实现和底层脚本实现两种手段。

例如，关于密码政策的控制点（编号XXX：根据各主管部门对系统制定的密码政策，在系统中设置密码规则，用户密码由数字和字母组成、长度不得低于8位，密码应至少每90天进行更换）。该控制点可通过被动干预方式进行固化。在相关IT系统中采用参数配置的方式配置密码规则，当用户的密码不符合密码政策或密码过期时，由IT系统自动强制用户设置符合密码政策的新密码，否则不能登录。关于COA设置的控制点（编号HQ11H.4.12：根据在ERP系统中通过会计科目一览表（COA）设置的会计科目子父值关系，ERP系统自动生成明细账和总分类账）。该控制点通过主动实现方式进行固化。在ERP系统中采用参数配置方式配置COA中的子父值关系，ERP系统根据相关配置自动分级生成科目汇总发生额和余额。

（2）流程电子化（流水线模式）

流程电子化主要指当终端用户需要执行某项业务操作任务时，只能从IT系统中固化的唯一入口开始操作，遵循预先设定的流转流程，通过强制性的固化操作流程，来确保实务操作的授权合规、审批完整。

该固化模式主要侧重于审批的合规性。在技术上，通常需要各相关IT系统的前后台协同配合，建立完善的系统接口响应和数据交互机制。

例如，关于渠道酬金比例设置的控制点（控制点编号XXX：促销活动管理部门在预算额度内提出实物赠送及优惠促销等促销方案，根据实物赠送及优惠审批的不同权限，提交至市场经营部门负责人、财务部门负责人和/或公司管理层进行审批）。该控制点的固化，可根据促销方案的类型、优惠力度、申请部门等不同属性，在相关系统中固化不同的审批流程，实现申请的自动流转，而不需要人为判断审批人和审批层级。当审批通过后，相关系统自动将申请流转至系统维护人员处进行设置，实现操作的闭环管理。同时，相关固化系统自动记录审批的过程和结果。

（3）任务提请化（闹钟模式）

任务提请化是指通过相关业务系统自动生成控制点的执行任务或任务提醒，并定期以待办任务的形式派发给执行人员。控制点执行人员可以通过触发该待办任务或根据任务提醒，启动控制点对应的业务流程，并通过系统记录控制执行的过程、结果和报告。

该固化模式主要侧重于执行的及时性。在技术上，通常是在IT系统中设置任务或派发定时提醒，通过代办任务或邮件提醒的方式提醒控制点负责人员及时完成执行任务。

例如，关于银行预留印鉴管理的控制点（控制点编号XXX：每季度，独立于印鉴保管的人员对预留印鉴与授权使用情况进行检查和核对，以确保对银行预留印鉴的有效管理）。该控制点的固化，可在相关系统中配置定期提醒任务，相关系统定期以发送邮件/短信的方式自动提醒控制点负责人检查预留印鉴。

内控矩阵中关键控制点可以在上述3种固化模式中进行选择。针对每一种控制类型，根据其控制活动的特点和属性，可以对应到一种或多种固化模式上，具体建议见表1。

在对每一个控制点选择合理的固化模式时，由于一个控制点可能描述了多个控制活动，因此应分别针对每一个控制活动选择合理的固化模式进行固化。例如，关于某电信企业错单回收的控制点（控制点编号XXX：批价过程中，计费系统自动把计费资源信息、用户资料等无法匹配的服务使用记录存入单独的错单文件中，以供回收和分析处理。业务支撑部门相关人员定期对服务使用记录错误回收处理情况进行监控和分析）涉及两个控制活动：对于“批价过程中，计费系统自动把计费资源信息、用户资料等无法匹配的服务使用记录存入单独的错单文件中，以供回收和分析处理”的控制活动，属于系统甄别，应采用功能自动化的模式固化；而对于“业务支撑部门相关人员定期对服务使用记录错误回收处理情况进行监控和分析”的控制活动，属于人工操作，应采用任务提请化的固化模式。

表1　各种控制类型的IT固化模式建议

4.4内控IT固化实施方案建议

如表2所示，根据控制点的要求和控制活动的本质，针对企业标准化内控手册和矩阵进行分析，可将企业内控控制点划分为已固化控制点、预期可固化控制点、不可固化控制点3类。其中，已固化控制点表示现有的内控要求已经在相关IT系统中实现了IT固化；可固化控制点表示预期可以通过IT系统改造和内控优化，逐步实现内控IT固化；不可固化控制点为无法通过系统等方式实现内控IT固化的控制点。

在此基础上，对于可固化的控制点，从控制点的要求、IT系统参与程度、发生频率、IT固化可实现程度等方面分析后，可进一步将其分阶段进行规划实现。在第一阶段，主要针对发生频率较高、通过改造单系统可实现的控制活动进行固化，主要包括例外情况报告、核对、系统控制、系统访问权限等IT系统参与程度较高的关键控制点。其余部分的可固化控制点可在后续的滚动更新中完成固化。

表2　内控IT固化方案建议（示例）

5　中国移动内控IT固化方案

5.1中国移动IT固化范围

中国移动内控IT固化主要涉及总部及31个省份管理信息系统领域“生产运维管理流程”、“信息技术整体控制”的相关内容；涉及IT系统包括内控与内审管理平台、ERP系统、预算系统、合同管理系统、资产管理系统、计划建设管理系统；同时，涉及管理信息系统IT固化的所有任务提请化实现等。

根据控制点的要求和控制活动的本质，可将控制点划分为已固化控制点、预期可固化控制点、不可固化控制点3类。其中，已固化控制点表示现有的内控要求已经在相关IT系统中实现了IT固化；可固化控制点表示预期可以通过IT系统改造和内控优化，逐步实现内控IT固化；不可固化控制点为无法通过系统等方式实现内控IT固化的控制点。针对标准化内控手册和矩阵进行了整理汇总：在14个流程的493个控制点中，目前已实现固化的有114个；目前未固化，但可通过系统改造实现IT固化的控制点为229个，占所有控制点比例近50％，另有150个控制点为不可固化的控制点。

5.2中国移动IT固化功能需求

根据中国移动内控IT固化需求，内控IT固化与中国移动内控内审管理平台有直接的联系。中国移动内控内审管理平台是管理信息系统管控平台的重要组成部分，一方面承载着对具体业务应用层面工作的监督、指导和评价的工作，同时又对公司层面的业务工作进行统一的汇总和数据的统计，为公司管理决策平台提供支持。

内控风险控制矩阵的IT固化工作是为强化公司内部控制管理工作中的一项基础工作，是内控工作的一部分内容，与内控内审管理平台定位一致，主要体现在：

●风险控制矩阵作为企业内部控制管理核心业务流程的管控载体，是内控工作的核心内容，实现内部控制矩阵的IT固化工作，实现公司各个业务层面减少人为判断因素，减少人为的差错或舞弊，并以IT信息化的方式保留关键控制点的执行痕迹，规避相关风险、提升公司管理水平。

●IT固化工作对强化内控工作的智能化和标准化，进一步提升内控工作的常态化管理水平起着重要的作用。

中国移动内控IT化主要实现管理信息系统领域生产运维管理流程和信息技术整体控制方面的IT固化工作，可作为中国移动内控内审管理平台中内控管理子系统的一个模块进行扩展。另外，统一实现运维和信息技术管理方面的IT固化，也可避免多个系统对此项工作的重复建设和投资，保证系统实现的快速、高效、低成本。中国移动内控IT固化技术架构如图1所示。

图1　中国移动内控IT固化技术架构图

内控系统作为管理信息系统内控IT固化应用的基础，利用已有内控系统的技术框架及基础能力（包括软硬件设施、数据库、身份认证、与统一信息平台待办待阅集成及安全管理等能力，同时利用内控平台的工作引擎、控制点任务提醒机制等），结合IT固化需求，采用主的SOA架构，进行应用开发，固化相关业务系统的内控要求，形成符合公司需求的IT固化系统。

5.3能力需求分析

在管理过程中，班主任与家长之间造成误会，大部分是因为沟通不畅，信息不对等造成的。在与家长沟通时，尽可能创造机会让家长来说，认真聆听他们的想法，同时真诚地提出自己的建议，但一定要注意沟通的态度，要把尊重家长放在首位。

5.3.1系统规模

内控IT固化覆盖总部和31个省公司管理信息系统领域“生产运维管理流程”、“信息技术整体控制”的相关控制要求内容；活跃用户3200人（每省100人），并发访问32人。

5.3.2服务器能力需求分析

对于服务器的处理能力的综合计算，采用以下的TPCC标准计算公式进行计算：TPC-C=M×M0/T/M1，其中：

M为日交易量，包括对数据库更新、查询、增加、删除等操作。计算TPC-C的目的是为了确定机器的处理能力，由于在每天的业务处理过程中，业务发生的频度不尽相同，一般情况下是按照8/2原则，具体来说，在20％的工作时间内业务人员要处理80％的业务。本工程中，取定M为系统高峰并发用户数。

M0为一个应用交易所对应的标准交易个数，推荐值为8-20，由于系统体系结构的不同、应用服务器的结构不同，各个厂商的推荐值也不同。根据系统前期建设经验，本系统应用取定M0值为16。

根据要求在系统高峰情况下，系统各项性能指标应达要求如表3所示。