关于利用信息技术建立内部控制审计体系思考.docVIP

关于利用信息技术建立内部控制审计体系思考 　　摘要：推进审计信息化建设是信息化环境下提升内部审计工作效率的必然选择。设计、执行和维护有效的内部控制，并评价其有效性是公司董事会等高级管理层的责任。文章以企业内部审计信息化、内部控制自我评价和报告工作为背景，阐述内部控制审计与内部控制、内部控制审计与信息系统审计的区别与联系，并结合作者所在单位在内部控制审计信息化建设中的实践经验，提出建立信息技术内部控制审计体系的建议。 　　关键词：信息技术；内部控制；内部控制审计；信息系统审计 　　一、背景 　　信息技术的快速发展及广泛使用，在促进企业经济效益增长和技术进步的同时，也给企业和广大投资者带来了更大的风险，安然、世通、施乐等公司重大财务舞弊案件的曝光，使得内部控制审计越来越多地受到国内外学者和内部控制审计工作者的重视。虽然自1991年开始，美国反舞弊性财务报告委员会发起组织（简单COSO委员会）就进行了关于内部控制的研究，但直到2002年，由参议院银行委员会主席萨班斯和众议院金融服务委员会主席奥克斯利联合提出的以“遵守证券法律以提高公司披露的准确性和可靠性，从而保护投资者及其他目的”为宗旨的《萨班斯-奥克斯利法案》的出台才推动了内部控制审计工作的发展，SOX法案中指出“公司管理层要对本企业的内部控制进行评价，注册会计师要对被审计单位内部控制的有效性进行审计并发表意见。”SOX法案的颁布与实施在一定程度上提高了大股东及广大中小投资者的信心，与此同时，欧盟、英国等国家也对各自的资本市场监管法规进行了修订。在国内，1999年修订的《会计法》第一次从立法的角度对企业建立内部控制进行了要求。随后，为了提高会计信息质量、保护资产的安全完整、确保有关法律法规和规章制度的贯彻执行等，财政部规定从2001年6月起所有公司均应建立健全和有效实施本单位的内部会计控制体系，并制定了《内部会计控制规范》基本规范及货币资金等7项内部会计控制规范。2006年在全球内部控制审计大热潮的推动下，由财政部等5部委联合发起成立的“企业内部控制标准委员会”先后出台了《企业内部控制基本规范》、《企业内部控制配套指引》等文件，上海和深圳证券交易所也分别颁布了《上市公司内部控制指引》，根据相关文件和制度要求，上市公司要对本企业的内部控制进行评价，形成的内部控制自我评价报告与公司年度财务报表一同对外披露。同时，要求自2011年1月1日起我国境内外同时上市的公司开始实施企业内部控制审计指引，2012年1月1日起施行范围扩大至沪深交易所的主板上市公司。由此可见，在理论与实务方面，美欧等国家要早于我国，对我国企业内部控制审计的实践具有一定的指导借鉴作用，但由于国内企业大多对内部控制审计认识不到位，因而在实务中仍存在很多问题，如内部控制审计机构不独立、审计人员专业胜任能力不足等。同时，伴随信息技术在企业各领域的广泛使用，“触手可见”的审计资料越来越少，因此，如何利用信息技术开展内部控制审计工作意义重大。 　　本文以企业内部控制审计管理工作实践为视角，对笔者所在企业在利用信息技术建立内部控制审计体系中的做法和困难进行分析，并对如何更好的建立信息技术内部控制审计体系提出建议。 　　二、内部控制审计及相关理论辨析 　　（一）内部控制审计与内部控制的涵义与区别 　　对于内部控制的涵义，1949年美国会计师协会（AICPA）曾将其界定为“企业为保护资产完整、会计信息准确、提高经营效率及制度执行而制定的方法与措施”。1992年COSO委员会在《内部控制-整体框架》（Internal Control-Integrated Framework）中指出“内部控制是指由企业董事会、经理层和员工设计并执行，旨为特定目标实现提供合理保证的过程。目标具体包括财务报告真实可靠、企业合法合规经营、经营的效率和效果。”综上，内部控制是企业自我监督的重要手段，是企业各个业务流程的操作规范，目的在于提高经营管理水平。 　　内部控制审计是对内部控制的再控制，是评价、监督被审计单位内部控制设计及执行有效性的过程，实践中又分为注册会计师视角下的内部控制审计和企业内部管理视角下的内部控制审计。其中，注册会计师视角下的内部控制审计是指注册会计师接受被审计单位董事会委托对被审计单位内部控制的设计与运行有效性进行审计并发表审计意见的过程，目前我国的上市公司均需按照《企业内部控制审计指引》的要求聘请注册会计师进行内部控制审计；基于企业内部管理视角下的内部控制审计，其实质是属于企业的一种自我评价活动，由企业内部人员（内部审计人员及业务流程负责人）进行的自我测试、审计，目的在于发现并整改内控执行缺陷，促进公司内部管控水平提升。 　　可见，内部控制与内部控制审计两者在职能和目标上是不同的。 　　（二）内部控制审计与信息系统