信息系统与内部控制.pptVIP

信息系统应用控制（续） 信息系统应用控制需要考虑的因素 应用系统的复杂程度 复杂的计算需求或业务规则 跨国或复杂的信息系统架构 应用技术的采用 信息系统所提供的功能 信息系统在企业应用的广泛程度 信息系统在企业的应用 所支持的业务交易 业务对系统的依赖程度 系统之间的链接 信息系统应用控制（续） 每个应用系统的控制都有所区别： 企业的业务性质 企业的组织和人员 企业的管理需求 所采用的技术 其他的考虑，如监管要求等 应用控制要持续有效，必需有相关的配套支持： 政策、制度 人员（业务和信息技术） 检查和维护机制（包括信息系统一般性控制） 应用系统规划图 流程编号 系统名称 金蝶K/3系统 SAP系统 … … 是否为关键系统 是 是 流程名称 1 财务报表关账 √ 　 2 生成与存货流程 √ 3 销售流程 √ 　 　 应用系统规划图的主要目的是为了匹配业务财务流程与系统的对应关系，以确定评估范围内的系统，样例如下： 信息系统应用控制（续） 通过信息技术提高内控水平 手工流程 手工流程是指由某个特定的人员手工所执行的步骤或程序，例如：当存在补提折旧的情况时，资产管理岗必须编制当月补提折旧的总额及明细汇总表交稽核岗进行审查，只有符合公司财务会计政策的补提折旧才能进行账务处理。 由于人为操作处理错误可能性的存在，手工流程往往比自动流程更容易出错。 人工业务流程与自动业务流程 流程是指为了实现特定的业务目标和经营成果所实施的一系列工作、任务或活动的集合。流程从执行方式上可以分为以下三种： 手工 手工依赖系统 自动 自动流程 自动流程是完全依赖信息系统架构所支持的流程 (例如：固定资产折旧额是由系统按照各项固定资产的原值、预计可使用年限、残值率及折旧方法自动计算生成的)。 自动流程的一大优点在于，如果自动流程得到合理的保障，将大幅度地降低人为操作处理错误的风险。 手工 手工依赖系统 自动 通过信息技术提高内控水平（续） 人工业务流程与自动业务流程（续） 手工依赖系统的流程 一个手工依赖系统的流程是指虽然某个活动是由特定人员手工执行的，但在一定程度上必须依赖于信息系统才能完成。例如，稽核岗每季度将系统中进行补提折旧操作的日志记录与经过审批的补提折旧总额及明细汇总表进行一一核对，检查该季度是否存在未经稽核却进行补提折旧操作的情况。 尽管这个活动由稽核岗手工核对执行，但核对是必须基于系统自动生成的日志记录来完成的。 手工 手工依赖系统 自动 通过信息技术提高内控水平（续） 人工业务流程与自动业务流程（续） 手工流程存在多方面的限制，如： 判断失误 执行偏差 适当利用信息技术可以提升对业务的管理，如： 减少人为判断 增加执行的一致性 固化业务规则 加强对数据的分析能力 加强对业务情况的掌握 加快对信息的掌握及分析 通过信息技术提高内控水平（续） 但业务流程的信息化仍然存在一定的限制： 人员越权 合伙同谋 通过信息技术提高内控水平（续） 需要注意的是： 并非每个业务流程都能做到自动化，而有些业务流程也不需要做到自动化 对整个企业实施技术提升的最终目的是为了促进企业经营目标的实现，并不仅仅是为了内控 并不意味需要实施一个全新的系统，可能通过现有系统和管理平台的接合来实现 技术的应用不一定意味着内部控制一定得到落实而不会出现缺陷 信息技术的应用比会带来新的风险，需要相应的内部控制手段去进行管理 系统自动控制 人工控制 成本效率综合效果 控制 成本 人工 控制 效率 系统 控制 通过信息技术提高内控水平（续） 企业在建立内部控制时，控制类型的选择直接影响到企业的成本和控制效率的综合效果： 人工控制：需要企业投入较多的人力成本，控制实施的效率较低，并且易出错 系统自动控制：可以帮助企业节约更多人力成本，并提高控制的效率和可依赖程度 因此，企业在内控建设过程中，必须根据自身情况，平衡成本效率和风险控制要求，选择合理的控制组合。 总结 两家公司不会以完全相同的方式通过实施信息系统控制来强化内部控制，必须结合企业的实际情况，不存在标准的控制 信息系统一般控制与保持数据完整性和财务报告内部控制中的关键应用控制是相关联的 参考国际上的先进框架（如COBIT）来完善企业的信息系统一般控制 由于企业往往使用多个信息系统，加上系统之间存在很多链接，因此建设和评价信息技术控制有效性时需要考虑不同控制组件之间的相互影响，而不是仅仅评价个别控制活动的有效性 在确定信息系统一般控制测试的性质、时间和范围时，应考虑这些信息系统层面程序或控制的质量和有效性（结合其他因素，如固有风险和关键自动控制的范围等） 第 * 页 附件：COBIT 简介 信息技术治理：COBIT框架 商业目标及IT治理目标 效率 应用系统 信息 基础架构 人力 交付与支持 监控与评估 获得与实施 信息 IT资源