网络环境下会计信息系统内控风险及防范

网络环境下会计信息系统内控风险及防范2013年01月10日13:46来源：《当代经济》2012年第8期上作者：李晓宏字号打印纠错分享推荐浏览量摘要：由于网络环境下会计信息系统存在着数据安全、身份识别和权限控制等风险，因此会计系统内部控制较之手工系统乃至一般的会计电算化系统更为复杂。只有强化安全意识，着力人才建设，加强审计监督，贯彻执行切合企业实际的内控制度，才能保证网络环境下会计信息的真实性、完整性和可靠性。关键词：内控风险，会计信息化，网络一、概述随着电子信息技术的飞速发展，派生于20世纪80年初的会计电算化发展速度不断加快，特别是互联网乃至物联网技术在经济领域的广泛应用，企业利用网络进行管理、交易、核算越来越普遍，网络环境下的会计核算和管理也应运而生。在网络环境下，会计信息系统具有许多不同于手工会计系统的特点，如数据处理集中化、快速化，数据结果产生的无形化、自动化等等。新一代的财务软件也大打网络牌，采用最新的、商业领域流行的技术方案，以ERP系统为代表的信息系统集成实现了企业一体化管理，会计信息化系统从管理的角度进行设计，具有业务核算、信息管理和决策分析等功能。网络环境下会计信息的传递借助于互联网完成，电子符号代替了会计数据，磁性介质代替了纸张，财务数据流动过程中签字盖章等传统交易授权手段不复存在，肉眼可见的审计线索减少，企业会计系统内控比一般的会计电算化内控范围更广泛，方式更多样，程序更复杂。正因为如此，建立健全信息化会计系统内部控制，保持其系统的稳定性较之手工系统乃至一般的会计电算化系统就更为重要。二现状及问题无论是中小企业初级电算化会计信息系统，还是网络级的企业财务会计信息系统，甚至是大范围、集中式的支持电子商务和企业ERP系统这种高级别的会计信息系统，在会计内部控制上，基本都是按照内部会计控制的目标、原则和要求，利用电子技术、加密技术来实现内部会计控制的简单功能的，难以适应目前网络环境下会计信息系统内控的要求。与此同时，网络环境下企业内部的经营决策者和外部的信息使用者对会计信息的依赖性越来越大，会计信息的质量很大程度上取决于会计信息系统内控的状况。概括而言，会计信息系统内部控制存在的风险和问题主要有以下几个方面。1、系统开发和设计中的风险随着会计核算和管理水平的逐步提高，越来越多的企业将更多的资源投入到会计信息化建设之中，由多种软硬件结合而成的会计信息化系统资源本身即构成企业的一项重要资产。信息化建设规划不合理，可能造成信息孤岛或重复建设，如集团内分、子公司中业态不一出现的"存异而不求同”导致的过度个性化开发；系统开发不符合内控要求导致无法利用会计信息化系统实施有效管控，开发过程中未留下审计线索难以保证日后审计工作的开展；沟通缺失、信息不畅导致系统升级减速，阻碍会计信息化建设随企业发展而不断完善和升级。在通用的会计信息软件二次开发过程中，由于会计人员与软件开发人员出发点的不同，或者会计人员习惯于甚至过分强调对手工处理方式的模拟，不考虑电脑和网络系统对信息处理的特点，客观上导致系统内部控制存在一定的混乱。而且商品化的软件为了增加市场占有份额，大多是功能众多、覆盖面广的标准化模式，软件本身有可能百密一疏，存在微小漏洞和安全隐患。2、网络环境开放性导致的风险网络会计信息化依托的是Internet/Intranet系统，实现了企业事务的联网处理，消除了物理性距离和时间性差异，使经济业务通过各种终端在网上实时处理成为可能，传统的内部控制手段被计算机内部控制取而代之。包括与金融机构、工商税务、政府部门以及自身业务有关部门的数据交换和传递都是依托网络瞬间完成，大量会计信息通过网络传输，有可能被非法拦截、窃取甚至篡改。因此网络环境开放性导致的潜在风险有：原始会计信息虚假、会计信息被篡改、信息保密性差、网络系统遭到破坏等，具体如硬件故障、软件故障、非法操作、计算机病毒、量受到影响。黑客入侵都有可能导致整个网络系统陷入瘫痪，使会计信息的质3、身份识别和权限控制的风险网络会计信息系统使用的是开放式的TCP/IP协议，它采用广播形式进行传播，有利于口令字试，未经授权的计算机专业人员可以利用计算机技术和网络技术轻易地浏览各种数据文件，造成会计机密数据被泄漏，而且不留任何痕迹。同时，网络会计信息系统全面支持电子商务，涉及到许多电子货币、电子单据等，很容易受到不法攻击。在会计信息化系统中每个操作员都有自己的口令和不同的工作权限，但是在实际工作中，一部分单位虽然设置有不同的财务分工，却往往是一个操作员身兼数职，有的是以用不同的身份进入系统进行如凭证输入和复核两项不兼容的工作，有的是系统开发人员顶替会计人员操作，还有的是口令设置简单或不更改初始登录密码，会计信息化要求的组织控制和系统安全控制名存实亡。4、数据备份和安全隐患网络会计信息化系统的数据处理与存储呈现出高度集中的特点，而系统分点式的操作又使会计信息化系统可能在多个地点受到攻击，给数据的安全性带来一定的威胁。同时，数据处理集中性的特点也要求在执行部门和人员不相容的职责时，需要采取一些额外的补偿性控制手段来降低这一风险。数据存储集中于磁性载体，对环境的湿度、温度均有一定的要求，一旦发生火灾、水灾、盗窃之类的事件，就可能使全部数据丢失和毁损，给企业带来毁灭性的打击。信息化系统的网络服务器无论是本单位自己管理或是委托第三方管理，都存在这个"万一”的小概率风险。5、人才缺乏的问题网络环境下的会计从业人员应当熟悉计算机及网络信息，掌握网络会计常见的故障排除方法及相应的维护措施，了解有关电子商务知识和国际电子交易的法律法规，精通会计知识。这就要求网络会计人员既是一名出色的计算机操作人员，同时又是一名高水准的会计师，还能熟练掌握各种网络财务软件的操作。目前，大多数企业会计人员只有中级及中级以下会计专业水平，年纪较大的会计人员知识更新慢，对计算机应用技术所知甚少，每年例行的再教育培训车十对性不强、实际效果差强人意，复合型的会计人才更是非常缺乏，这些都给网络环境下的会计信息化内控带来了严峻的挑战。三、措施及建议1、增强内控风险防范意识强化系统的内部控制，既是预防电脑犯罪的重要措施，也是减少差错的有效保障。网络会计信息化无疑是会计发展的必然趋势，置身于全球开放性、竞争激烈的"地球村”，会计内部控制的风险只会更复杂，特别是会计信息安全更易受到威胁。社会上一再出现的计算机和互联网犯罪行为，使我们清醒地认识到加强和完善会计信息系统内部控制的重要性。各级领导和财会部门、信息部门不能简单地认为使用了信息化管理软件，就一定能保证会计信息的真实、准确、有效，务必绷紧会计信息内部控制这根弦，形成防范风险从我做起的意识，从而建立起网络控制、软件控制、输入控制、操作控制、保密控制、监督控制等多种内部控制措施。2、制定切实可行的信息化系统内控制度健全的会计信息化系统内控制度是会计活动必备的基本条件，如《会计法》关于内部会计控制制度的描述是：职责明确、相互制约、严格程序、如实记录、定期检查。《会计电算化管理办法》中明确规定：要有严格的操作管理制度，有严格的硬件、软件管理制度，有严格的会计档案管理制度。规范性的会计信息化法规还有财政部等五部委联合发布的《企业内部控制配套指引》，财政部和国家标准化委员会基于企业会计准则提出可扩展商业报告语言(XBRL)通用分类标准、XBRL技术规范系列国家标准等建议。2012年4月，财政部副部长王军在全国会计管理工作会议上谈到健全完善会计信息化标准体系时，提出一要建立健全以企业会计准则统一分类标准为核心、门类齐全、功能完善、国际领先的会计信息化标准体系，二要建成全国统一、操作便捷的会计信息管理平台，三要利用"云计算”等先进信息技术建立健全网络环境下会计信息编制、使用、监督和评价体系。以上列举的只是财政等部门的总体规划、规定和要求，因为每个企业实际情况千差万别，企业经营管理状况及对会计信息的要求、财务管理操作程序、配置的信息化软件和系统环境、人员素质以及自身对内控目标的要求等各方面不尽相同，因此具体的信息化系统管理措施还得各自量身定做。例如在会计机构设置和会计人员职能控制中，人员岗位是否分成基本会计岗位和信息化会计岗位，又如对容易出现操作风险的岗位是实行双重身份认证还是电子签名制度，这些都需要结合企业自身特点去制定，而不能照搬现成的或其他单位的内控制度，否则在具体实施过程中，会因为制度本身太过理想化或不合适而难以执行，甚至无法执行。3、制度和执行双管齐下纯粹的制度建设，如果没有有效的执行，也就形同虚设。信息化系统运行和维护环节的重点控制有：及时跟踪、发现和解决运行中存在的问题，确保按规定的程序、制度持续稳定运行；遵守操作流程，不擅自进行系统软件的删除、修改等操作，不擅自改变软件系统环境配置；例行进行安全检测、网络安全监控、链路加密、网页恢复的维护；综合利用防火墙、路由器等网路设备，防范来自网路的攻击和非法侵入；经常做备份和定期检查关键信息设备，指定专人定期更改操作密码；实行网上监督和实地监督相结合的方式强化会计信息披露，保证会计信息和数据安全。以上关键点必须按本企业制定的信息化系统内控制度不折不扣地贯彻执行，因为再好的制度如果没有执行力也不过是"一纸空文”。4、强化审计监督会计信息化虽然在内部控制方面实际执行了一部分审计工作，但是借助于网络和计算机系统的运作往往是"人机”对话的特殊形态，因此强调内部审计的监督作用不仅因为它是内部控制系统的重要组成部分，而且也是会计在网络信息化环境下实施内部监督的一种有效手段。审计的内容包括：信息系统数据的合法性、真实性、安全性；业务流程和操作程序是否安全可靠；财务组织管理体系和人员职能控制是否健全，会计信息系统内控措施是否恰当和完善等等。对网络环境下的会计信息审核必须运用更复杂的核查技术，只有精通计算机网络知识、熟悉审计业务程序的人员才能胜任此项工作，这无疑给内部审计加大了难度。具备专门内部审计机构和审计人员的企业要独立行使"啄木鸟”的权利，一般企业在审计人员数量和能力有限的情况下，可以外聘相关专家协助审计。5、着力人才培养建设信息化使会计业务层面的操作人员大大减少，但同时又需要大量高素质的财务信息分析人才。正因为如此，网络环境下会计信息化运行是否成功，内部控制执行的效果到底如何，关键因素还是人才。《会计人员资格管理办法》中明确规定，会计信息化是财会人员的必修课，要制定实事求是的培训计划，将培训结果与会计人员绩效考核挂钩，定期评价有关人员的工作能力和业务技能，营造和谐向上的企业文化氛围。会计人员职业道德建设和信息技术的技能培训只是人才建设的基本层面，人才培养的更高层面是适应新技术发展的要求，引进熟练运用信息技术的新型财会人才，致力培养复合型人才。网络管理时代一般的会计人员必须具备财会知识和计算机知识，业务主管则应当熟悉整个会计信息化处理流程，可以对信息系统全程进行监控和指导。同样，审计人才的培养和素质提高也要与时俱进。四、结语综上所述，会计因经济发展而产生，因技术更新而进步。随着网络电子技术和物联网技术等高新技术的飞速发展，会计信息化的普及程度也越来越高，网络环境下企业内部会计控制的新问题和新课题将不断涌现。只有强化风险防范意识，着力人才培养，提高会计和管理人员的素质，加强审计监督，不断完善和切实执行会计信