ERP系统对企业内部控制的影响和对策研究

企业内部控制是现代企业管理的重要手段，拥有一套完善有效的内部控制体系，直接关系到一个企业能否良好持续的运转和抵御风险能力的高低。根据《企业内部控制基本规范》要求可知，企业应当加强对信息系统的开发与维护、数据输入与输出、网络安全等多方面的控制，切实发挥信息技术的控制作用。ERP系统是伴随着信息技术的高速发展应运而生，通过从供应链范围去优化企业的资源，与企业的业务流程相互融合和改善，从而提高企业的内部控制。关注企业在引入ERP前后对内部控制管理的具体影响以及如何解决两者之间的摩擦，是目前亟须解决的问题。一、ERP系统环境的企业内部控制概述（一）ERP系统的概念ERP系统是企业资源计划的简称，源于对生产环节及生产管理问题的思考，其核心理念是计划和平衡，主要是将企业的资源综合考虑并加以计划，可以灵活的调整这些计划，主要表现为对物资资源管理（物流）、人力资源管理（人流）、财务资源管理（财流）、信息资源管理（信息流）进行优化和整合，提高企业的经营效率和效果。本质上讲，ERP既是一套信息整合系统，也是一种管理工具，它利用计算机技术对企业的资金、货物、人员和信息等资源进行自动化管理，对相关数据进行查询、统计和分析，后续通过数据分析产品的市场前景，从而真正实现数据化管理。（二）内部控制的概念内部控制是因加强企业管理的需要而产生的，是提高运营效率、保障依法经营和会计信息真实可靠，促进实现战略目标的活动，是现代企业制度的根本要求，是各项管理工作的基础，也是提高管理水平和防范风险的一种有效机制。总之，良好的内部控制可以有效地防止各项资源的浪费和错弊的发生，提高生产、经营和管理效率，降低企业成本费用，提高企业经济效益。（三）ERP系统与内部控制的关系1.两者共同点（1）目标一致。内部控制的目标基本涵盖了企业经营活动的全部内容，ERP作为信息系统，是为企业经营目标服务的。流程再造过程中，两者也会相互参考，最终形成企业内部共同遵守的标准，由此可见，两者目标殊途同归。（2）依赖流程设计的完善性。每个企业都有其独特性，ERP系统则需要根据其经营特点和管理要求设计出一套有效流程，这是其发挥作用的前提与保证。根据每个企业的状况，公司领导必须对改造原有流程的给予全力的支持与配合，保证流程的效率型和合理性。内部控制的设计同样也需要对其进行大量的梳理和调研工作，将企业的内部环境和外部结构规范，确定关键环节和风险控制点，同时制定有效的方法和操作规范。由此看来，二者可以相互借鉴和沟通。（3）实施持续评价和改进。ERP实施的效果如何，需要进行最终评价。评价结果直接反映出实施过程中可能出现的问题，而企业要根据这些问题对ERP系统进行适时的调整和改进，以满足不断地变化和需求，达到为企业服务的最终目的。评价制度是内部控制的一项日常性的工作，找出内部控制的缺陷和漏洞，两者相互促进，共同进步，提出一些建议和改进措施，以提高管理水平。2.两者不同点本质来讲，ERP系统是内部控制的对象和客体，它是一种先进的管理理念，通过信息技术手段与工具，对业务流程和控制节点进行合理设计并固化在系统中，对内部控制的信息处理方式找到更便捷的方向。（四）ERP系统建设的必要性随着企业规模的不断壮大，大部分会形成集团公司，经营管理会越来越复杂，面临的各种风险也增多，为了保障企业健康有序的运行，引入ERP系统也势在必行。1.有助于企业管理的协同效应ERP系统在企业管理中，使部门与部门之间的联系更加紧密，将销售、采购、库房、生产、财务的数据建设更为一致，均能在系统中实时反映出来，自身的协同功能可使整个公司或集团实现真正的一体化和透明化，比如对内部交易的处理更加高效便捷。2.有助于提高企业的决策效率由于传统的企业管理没有把企业的各类资源进行整合，导致运营、业务、财务和分析之间的信息断层，比如查询一个信息可能需要大量时间和人工去筛选，不能即时取得有效数据。而ERP系统则可以打破传统企业信息被分割、不对称、滞后的情况，对内部各类资源实现共享，减少基础操作层面的人工成本和时间成本，提升管理层决策效率，保证预测的合理性和及时性。3.有助于规避企业经营风险ERP系统还有监控和预警功能，比如根据BOM表监控发货数量，防止多发货。还可以及时警报出“超过信用限额的客户清单”“安全库存”“应收账款账龄”等数据，将此类信息通过邮箱或短信向相关负责人预警，真正做到风险提示的功能，及时为企业规避不必要的风险。除内部管理之外，ERP系统还是外部审计关注的重点，审计执行穿行测试程序时需要采购、质检、生产、销售等各个环节的流程痕迹，如果缺失则可能会被判定为内控缺陷，这对于一个即将上市或者已经上市的企业来说是个很大的风险漏洞。二、ERP系统环境下企业内部控制存在的主要问题（一）管理层重视程度不够大多数企业的管理者没有意识到ERP系统其实是一种先进的管理理念，这是需要全员参与的一项系统工程，更需要考虑投入成本、相应制度、技术和人才配套等一系列问题。而在解决这些问题的时候，必定会与原有的传统管理思想或者权限利益产生冲突，如果管理层推动和执行的决心不坚定，则无法调动全员参与到流程再造的过程中去，员工甚至会产生抵触心理，造成一系列关键控制点的悬空、断层，进而放大企业的缺点引发矛盾，实施效果不理想。（二）业务流程和管理制度缺失每个企业都有自己的业务特点，而ERP系统就是将业务流程再造之后和内部控制相结合的成果，如此才能更好地适应企业。原有的许多工作流程发生变化，比如很多手工进行的流程转变为在系统内进行，可能会导致很多部门不太配合。另外，企业出于成本考虑，可能也不会真正组建实施团队对现有的业务流程进行认真分析，更谈不上优化和改造，造成后期极容易出现系统与流程不匹配，应有的控制点没有被关注，出现不规范操作致使数据传递和读取错误。同时，企业要根据自身的业务特点制定出相应的管理制度，进行后续监督和考评，但是实际中企业考虑到成本效益和时间问题，对这些都浮于表面。很多时候由于人为或者其他因素，导致企业产生经营风险，等风险演变为真正的问题之后又不知道该如何处理，其实这些风险本可以避免的。（三）信息安全性亟待提高一方面，表现为系统安全管理不规范。在ERP环境下，所有部门的业务活动都要由计算机网络系统进行处理，虽然弥补了人工控制缺陷，但却加大了数据丢失或被盗风险、病毒感染致系统瘫痪、网络安全等。企业对系统安全风险防控意识淡薄，专业信息人才没有跟上步伐，没有建立完备的软硬件配套等，都会造成系统安全风险。另一方面，表现为数据处理和维护风险。在ERP实施时，首先需要整理大量的期初基础数据，在整理这些繁杂的数据过程中容易出现错误和遗漏；其次系统数据基本都是由人工录入，后期维护很容易出现操作失误，比如选项错误、规格型号、项目号勾选失误等；最后是对权限设定不合理，多人可以对一个权限进行操作访问且没有留痕，以上几点都会导致数据安全性降低。（四）企业员工业务素质有待提升ERP系统对企业来讲是一个崭新的事务，高度的信息化和系统化也使后期运转比较复杂，需要专业性较强的人员才能使系统顺利运行。实务中，大多数企业人员的业务素质并不高，专业知识和计算机操作都不流畅，不愿意改变现有的固有工作模式甚至还会产生抵触情绪，从而不利于企业的系统实施工作。（五）部门之间信息沟通不畅企业的各个部门分别负责ERP系统中不同的模块，比如市场部负责合同和销售模块，计划采购部负责采购模块，生产部负责生产模块，质量管理部负责质量模块，物资部负责存货模块等，不同模块之间也有一定的勾稽关系。在ERP上线前期各部门数据整理阶段是尤其重要的，每个部门都必须要有专门的人员对本部门数据整理的完整性、准确性和时间节点有明确的规划，才能在规定时间内顺利完成上线准备的工作。在后续工作中各个部门需要按照规定模板提供哪些数据，怎么在ERP中操作，都需要专人来维护。这都关系到整个系统能否顺利运行，是否能达到预期的效果。三、ERP系统环境下企业完善内部控制的对策（一）管理层要转变思想管理层要充分意识到ERP系统是一种先进的管理理念，是需要全员参与的一项系统工程，更要做好投入成本、制定制度、提升技术和配备人才等的准备。管理层就是企业的车头，要主动打破原有的管理模式和习惯，比如打破家族企业的管理模式，只有车头把握好了方向，车身才会朝着预定的方向驶去。同时，管理层要通过不断完善内部控制环境来规范企业的纪律和架构，重塑文化氛围，从根本上提升全员的风险管理意识。比如可以定期开展培训指导和考核，让员工相互监督相互制约，逐步转变员工的思想，自上而下的充分意识到内部控制和ERP系统之间的关联性和必要性。（二）通过业务流程再造优化管理制度ERP系统需要流程组织变革（BPR）的支持，不进行BPR，就无法体现ERP本身的管理思想，因此，在引入ERP系统初期首先要对原有的业务流程运行的合理性进行判断，明显冗杂失控的要进行全面清理；其次企业根据实际经营情况对每一个流程都要进行多方面的风险评估和分析；再次明确每个流程的关键控制点，并配套相关职责的岗位人员，确保每个控制点风险都在可控之内；最后随着企业经营环境和规模的不断变化，流程可能会发生变化，是动态的过程，需要进行持续优化并在ERP系统中同步实施。流程变革很大程度上决定ERP引入的成败，因此企业要组建专业化的团队来实施，如果内部人力不足或能力有限，可以考虑聘请外部专业的管理咨询公司来进行设计。此外，还应充分评估业务流程将对企业带来的组织变化以及工作变化等，建立完善的沟通管理机制，保证各个部门之间沟通问题流畅，从而顺利完成业务流程的再造。当流程设计完毕之后，运行能否顺畅则需要相关制度来约束，需要明确规定每个岗位的职责和权限，确保原始录入数据的准确性。建立考核制度，奖罚分明，提高员工的积极性，比如某一个重要流程节点是否需要监督和审核，审核细节是什么；再如生产环节出现问题该承担什么后果，责任如何划分，最好将ERP输入数据的准确性作为员工的考核指标之一。（三）提高信息安全性管理一方面，要加强系统安全管理。企业应配备精通信息技术的专业人员，配套好相应的硬件和软件系统，比如建立自己的局域网，在局域网和终端安装防火墙，安装高级防病毒软件和入侵检测、预警等功能。做好全员的信息安全教育工作，定期组织员工进行网络安全的相关培训。对ERP系统定期维护与更新，清理不必要的垃圾数据，及时对数据进行备份，确保系统的顺畅稳定运行。另一方面，要降低数据处理和维护风险。前期引入时，期初数据的整理尤其重要，这是系统运行的支撑和前提，甚至关系到以后各类数据和报表的准确性，因此，必须要由各部门细心沉稳的同事负责，反复进行校验和核对，保证数据的质量。后期日常业务数据的维护也需要由专人负责，其他任何人不得随意更改，防止发生混乱，比如物料编码由物资部专人负责编号，其他人应无此权限。企业应预防内部数据篡改风险，可以设置权限和人员复核降低风险，不相容职务相对独立，一岗一人，重视复核层面的流程，最好让操作留痕，出现问题也便于追溯。另外，企业员工应该重视本人账号密码的管理，定期修改密码。（四）通过员工培训提升风险意识ERP系统作为一个集信息化和系统化为一体并能为各个部门提供数据信息的平台，针对其信息共享广泛、使用者众多的特点，则对员工的素质提出更高的要求，因此，企业应根据实际情况，将各模块、各部门岗位等的具体职责分配给合适的员工。所有部门的相关人员必须通过培训，考评合格才能上岗，尤其在上线前，员工需要反复地对系统操作进行熟悉和强化，防止出现由于不清楚流程、发生操作错误后不知如何处理的情况。此外，还要不定期开展安全网络培训，加强网络安全的防范知识。企业还应加大对于高层次、复合型人才的培养力度，提升一批善于分析数据、发现潜在风险的人才，比如聘请内外部专家开展一些风险培训等。（五）打破部门隔阂实现高效沟通在ERP实施过程中，要想取得良好的效果，需要各个部门之间的沟通与配合，打破各自为政的局面。业务流程再造本质也是建立起跨部门的流程，引导公司的所有员工不是以部门利益为主，而以公司整体利益为主，各个部门按规定执行ERP系统操作，提高工作的效率，若发现实际管控和流程有偏差时，要及时上报异常，等待上级领导来处理。另外各部门之间可以经常开会讨论遇到的问题并提出解决方案，若有需要调整的