基于ERP系统环境下的企业内部控制研究

谢明

（垒知控股集团股份有限公司，福建 厦门 361000）

ERP系统作为现代企业管理的重要手段，其实施使原有手工业务实现了信息化，改变了传统的风险环境，相应的内部控制措施也需要重新梳理和设计，以适应ERP系统，确保企业的资产安全；同时，ERP系统的使用，也给内部控制带来了很多的便利，实现了内部控制的实时监控要求。因此有必要对其进行研究，以期更好地实施内部控制。

一、ERP系统和企业内部控制的关系

ERP系统通过信息化的手段，将企业的资源整合在一起，对企业的业务流程做合理规划，以达到提高经营效率的目标。其主要特点是通过对数据的自动计算及汇总，极大提高了工作效率，并能实时对业务全过程做监控。同时，技术手段的使用，也大大提高了数据的准确性。

企业内部控制是企业为了保证日常经营活动正常、有序、合法运行，对各部门、各项业务进行监管的一系列活动。企业内部控制的要求是要保证资产的安全性，财务数据的真实性、准确性、完整性；保证对员工、业务流程的有效管控。

ERP系统与企业内部控制的目的一致，都是为了优化企业资源配置，保证企业的可持续发展，最终实现企业的经营目标。ERP系统改变了内部控制的传统模式，使内部控制由原来的事后发现问题，实现了事前的预防和事中的动态控制，能更好地促进内部控制的执行，实现内部控制的目标。同时，严谨的内部控制制度能保障ERP系统数据的真实性和安全性。ERP系统的开发和使用要根据内部控制的要求来进行，不能脱离内部控制的监管，这样才能更好地提高企业经营效率，确保企业资产安全。

二、ERP系统环境下实施内部控制的优势及弊端

（一）ERP系统环境下实施内部控制的优势

1.能够降低工作的繁琐性

ERP系统运用自动化的手段解决了手工整理档案的繁琐工作，给各个部门人员节约了大量精力和时间，大大提高了工作效率，降低了数据查询的难度。同时，ERP系统可以对同类数据做批量处理，例如，对报告数量很大金额又很小的工程材料检测业务，可以通过一个客户建立一个客户账号的办法，由ERP系统根据账号下的收款自动核销到每笔报告，减少手工业务状态下，每笔报告需人工核销的繁琐工作。

2.可以实现预警功能

ERP系统可以通过对原始数据的采集，设置关键预警条件。例如，对超过付款时限还未回款的客户自动生成预警报告，对即将超过诉讼时效还未回款也未起诉的客户生成预警报告，对使用频率很低的客户账号生成预警报告，提示要及时催款。这些预警条件的设置，在降低坏账损失的同时，也大大提高了内部控制的效率，从而使企业能够规避风险，提前做好风险应对措施，减轻风险对企业的损害。

3.能够自动识别输入错误

ERP系统通过设置相关条件，可以自动拒绝数据输入的人为错误，并做出提示，操作人员根据系统提示，修改错误输入的数据。例如，导入ERP系统的银行收款数据，如果交易流水号相同，则系统拒绝生成收款数据。通过这种设置，可以大大减少人为录入的差错性，确保了数据的准确性。

4.可以实现关键环节自动控制

ERP系统通过设置关键字段为必输项，可以加强对关键信息的管控。例如，在输入环节要求必输开工时间、竣工时间、合同总额等，在业务受理时间超过竣工时间的则系统不允许操作，超过合同总额的业务系统也不允许受理操作等，实现ERP系统自动控制业务过程的目的。

5.可以实现全方位的内部控制

ERP系统可以给企业的内部控制提供全方位的便利，对事前、事中、事后的控制都提供相应的技术手段。

事前控制上，例如，在客户信息建立时，ERP系统对于公司类客户采用引入企查查数据的方式，保证客户信息的准确性和唯一性。

事中控制上，例如，在合同签订环节，有的时候业务受理比较紧急，会早于合同审批时间，ERP系统可设置为允许先受理后补审批合同，但必须在一定时限内走完合同审批流程，如超出系统设置的时限，该未经审批的合同则自动无法受理新的业务，以达到控制业务受理的目的。

事后控制上，ERP系统通过有效整合业务数据，生成各类报表，例如应收账款分析表，方便财务人员和管理人员查看目前的应收账款情况，以便及时督促业务人员进行账款催收工作。

（二）ERP系统环境下实施内部控制的弊端

1.系统开发阶段的问题

由于ERP系统开发涉及公司的各个部门，部门之间的需求沟通存在一定难度。常常因为IT人员不熟悉业务流程和企业管理，对公司整体架构理解不到位，而业务人员对信息系统不熟悉，也不了解IT程序开发的逻辑规则，往往需求提出和最后系统实现的效果之间有很大的差异，造成系统开发的错误或不全面，一旦开发的结构设置定调，后期的调整难度就非常大。

最经常出现的情况就是发现一个问题，打一个补丁，长此以往，系统的模块越来越多，越做越复杂，则操作人员操作更容易出错，且系统出错的时候，往往很难查找错误所在。

2.个性化开发的问题

每个企业都存在一些个性化业务，ERP系统也需顺应个性化要求而设计开发相关模块，这种个性化设计，有可能会因为业务人员考虑的疏漏造成设计开发模块的漏洞。这种情况也会带来一些不确定的内部风险，例如，有可能因为某个系统逻辑错误造成了数据差错，需要花费大量的人工时间去查找、修正错误原因。

3.权限上的问题

ERP系统的使用，在权限设置上也依赖技术手段，如果权限设置上存在不合理或漏洞，可能会造成操作或审批上的混乱，失去内部控制的有效性。同时，若技术人员非法查看业务数据，修改甚至盗取数据，也可能给企业造成巨大的风险。

4.原始数据录入的问题

ERP系统原始数据的录入绝大部分依赖于信息录入人员的工作细致程度，如果录入的数据与实际情况不符，或录入的信息非常随意、混乱，则ERP系统的数据很难达到内部控制的要求。

5.数据修改的问题

手工处理业务数据模式下，每一项修改痕迹很容易查看到，而在系统处理模式下，某些数据修改不留痕迹，造成的错误不易察觉，不便于及时更正。

6.特殊业务的问题

企业的某些业务存在一些特殊的需求，但ERP系统是一个逻辑严密的信息系统，有时候无法根据个别业务的特殊性做出改变，或者现阶段的开发水平无法达到特殊业务的要求，造成业务真实性与系统表现出来的数据可能存在差异，这对内部控制也提出了挑战，要善于发现系统以外可能存在的风险。

三、ERP系统和企业内部控制有机融合的建议

（一）系统开发过程的控制

财务部门作为内部控制实施的主要部门，在开发初期就要积极加强与IT人员、业务人员的沟通，梳理公司所有业务模式，对各个环节反复推敲，结合各项业务要求提出关键控制的规则，重点是要针对一些关键的业务流程，重点进行风险控制。系统的开发要兼顾业务模式、内部控制的需求，以IT人员能理解的语言逐条、逐步骤做详细说明，积极测试并及时提出开发的偏差性。

（二）开发后的升级控制

财务部门要熟悉企业使用的ERP系统，对业务人员提出的问题积极查找原因，跟IT做沟通改进。如果企业出现新的业务模式，也要根据使用过程中出现的问题和漏洞，积极做好系统的更新和维护，正确处理好系统使用中出现的各种问题，更好地满足业务目标的实现。

（三）内审部门的参与

企业内部审计部门要定期对ERP系统财务模块数据的真实性和完整性做独立的评估和监督，以保证ERP系统的健全和完善。例如，每一年度，内审部门除关注整体的流程是否符合内部控制要求之外，还应重点抽查几个业务部门、几种业务模式，做具体的测试，以评估业务部门是否正确使用ERP系统，以及ERP系统的数据计算是否准确无误。

（四）数据修改的控制

ERP系统需设置审批人员，不允许操作人员任意修改，尤其对关键数据的修改，如修改受理数量、修改应收应付价格、发票作废等操作，至少需设置部门负责人为审核人，以便审核人员及时察觉并确认是否予以修改。

（五）系统权限的控制

ERP系统权限的开通要走权限审批流程，要根据不相容职责相分离的原则明确规定各岗位人员的访问权限和操作权限，定期对权限设置做评估和检查，重点审查对企业的重要业务是否做出了足够的访问限制。对不同业务部门之间的数据要分别设置查看权限，每个部门的人员只能查看本部门的数据，防止数据泄露。

IT要通过技术手段对每个人员的登录时间、操作日志进行实时记录，以便及时发现非法操作，且方便日后内审工作的开展。对IT人员的系统操作权限要做严格规定，IT人员不得进行业务操作，对IT人员未经审批做的系统数据非法修改予以处罚，谨防IT人员篡改业务数据给企业造成损失。

（六）人员的培训

企业要加强对ERP系统使用人员的培训和宣贯，例如，系统开发新手操作指引、定期开展讲座、线上线下交流等，提升相关操作人员的操作能力，督促业务人员加强数据录入的准确性，部门负责人核实信息的真实性。同时要提高员工对信息安全的认识，增强风险意识，不轻易泄露登录信息。

（七）绩效考核

人资部门应基于ERP系统提供的数据作为绩效考核的基础，制定奖惩制度，使各操作人员认真对待系统操作，这样系统的数据才能更为准确，才能更好地为内部控制提供帮助。例如，对一个月内数据录入错误超过规定条数的人员予以处罚；对长期不将款项认领到报告的人员予以处罚等。

四、结束语

ERP系统正逐步在各个企业广泛应用，企业在享受ERP系统带来的益处时，一定也要考虑其相应的风险。针对ERP系统的新风险，内部控制也要不断改进和调整，促进ERP系统和内部控制相互融合，使ERP系统能更好地服务企业，也使企业能通过ERP系统更好地做内部管理，共同适应企业更长远的发展。