完善我国企业IT控制思考.docVIP

完善我国企业IT控制思考 　　开展IT环境下的内部控制研究需要剖析我国企业信息化建设发展历程及IT控制缺陷，本文探讨建立IT控制相关法规，构建适用的、协同的中国IT标准，以促进IT与业务的集成，支持实现IT价值。 　　信息技术在企业中的应用，催生了企业信息化群落。我国企业信息化建设可以追溯到20世纪60年代，由于当时计算机价格高昂以及技术水平普遍落后于国外发达国家（或地区），只有国防、气象等极其有限的领域涉及数据处理技术，计算机在企业中的应用仅限于生产控制和大型复杂计算。直到80年代伊始，计算机价格大幅度下降，才促使企业计算技术的应用逐渐推广开来。所以，中国的IT发展主要是从计算机时代开始的，并未完整经历数据处理时代（麦可法兰等，2003）。一般认为，投入越多，说明信息化程度越高。IDC（国际数据资讯）公司公布的统计数字显示，2005年全球在IT方面的总投资额超过了1万亿美元，在近20年的时间里，美国企业每投入1美元就有一半以上花在IT支出上（杰普·布勒姆等，2008）。改革开放30年来，我国企业IT投资额总体上呈逐年增长的趋势，体现了“全民参与”的格局，企业信息化建设完成了从计算机时代向信息时代的转型，部分企业已经或即将进入从投资中获得实际收益的优化阶段（胡晓明，2009），信息化建设更加注重各系统间、各应用间的集成、协调发展，IT投资的增长内涵与速度将更趋理性。 　　一、现代企业的竞争手段：有效的IT治理系统 　　现代企业的竞争是制度优劣的竞争，制度是决定发展速度最根本的因素，中国企业必须补制度管理的课。从模仿经济学的角度看，次发达国家往往模仿发达国家的技术，而不模仿发达国家的制度，结果必然导致“后发劣势”。如何使IT治理在企业内部控制环境中发挥作用，已成为信息时代理论界与实务界需要解决的新问题。 　　（一）传统内部控制面临信息时代的挑战 　　在IT环境下，内部控制对信息系统依赖性大大增强。信息化发展使人与人的关系部分转化为人机关系，信息以电磁信号形式存储于磁性介质，身份识别与授权审批方式与程序发生了根本性的改变。信息系统的复杂性使得内部控制范围相应扩大，除了包括手工系统下的组织控制、职责分离等内容外，还包括信息系统安全的控制、系统权限的控制、系统开发与维护的控制、修改程序的控制等。信息化强调数据共享，然而，也正是数据共享凸现了信息安全问题。据资料介绍，在西方国家信息化建设之初，因计算机舞弊，美国每年损失几十亿美元、英国每年损失25亿美元、德国损失50亿美元。一项来自英国的调查结果显示，员工无效使用IT资源可致企业每天损失17亿英镑。一家咨询集团曾对美国24家大型企业开发的客户/服务器系统进行了调查，结果表明，其中68%的项目超过了预定的开发周期，55%的项目其费用超过预算，88%的项目必须进行系统再设计；另有一家美国著名的调查公司SPR对美英两国的企业信息系统工程进行了类似的调查，报告显示，有30%～50%的客户/服务器项目中途放弃开发。 　　（二）IT治理是正确决策的行为 　　如果发现企业的制度、规则等存在缺陷，毫无疑问，那是治理没有奏效；反之，如果存在一种东西能使事情做得更好，那么，这种东西就是治理。IT治理是有关IT决策的权责利安排，它从企业整体利益出发构建IT系统，力求实现业务与信息的集成（唐志豪等，2008）；IT治理是一种行为，任何战略的实施都要落实到具体的行为上。Weill和Ross将IT治理定义为“指定决策权和责任框架，鼓励正确运营IT的行为”（Weill Ross，2004）。IT治理将合理的制度安排、控制程序嵌入到IT系统中，对IT资源进行有效管理和利用，使得IT系统具备内在的控制机制。麻省理工学院信息研究中心在对来自23个国家的250家企业进行了系统研究后指出，面对同样的战略目标，IT治理水平较高的企业，其获利能力比治理水平低的企业高出20%；美国堪萨斯州把COBIT标准作为虚拟政府策略的一部分，为客户和委托人提供可靠、安全的信息，大大降低了运营成本；宝洁公司在采用ITIL标准的四年里，节省了超过5亿美元的预算。实践证明，善治的、标准的治理结构有助于监督、控制企业关键的IT活动，从而增加企业价值、降低业务风险及提供合规的控制信息。 　　（三）IT控制是IT治理的制度安排及技术性支持手段 　　传统的“人管人”为主的控制手段已经不适应信息时代及企业发展的需要。面对信息时代，企业财务报告及相关信息的产生与传递越来越依赖于IT控制的有效性。信息系统现已成为管理层编制财务报告和披露相关信息的工具，基于权力制约和岗位分工的内部控制发展成为以信息流为基础的IT控制（章铁生，2007）。IT控制是由期望达到的（IT控制目标）和达到这些目标的方法（控制程序）构成，是IT治理的制度安排及技术性支持手段。IT控制目