摘要：風(fēng)險(xiǎn)同時(shí)伴隨著潛在的機(jī)遇。公司財(cái)務(wù)信息系統(tǒng)分析與設(shè)計(jì)人員需權(quán)衡風(fēng)險(xiǎn)和機(jī)遇，只控制那些符合成本收益原則的重大風(fēng)險(xiǎn)。概率和損失額越大，風(fēng)險(xiǎn)的危害性就越大。公司財(cái)務(wù)信息系統(tǒng)風(fēng)險(xiǎn)及其內(nèi)控措施可以發(fā)生在不同級別上：宏觀經(jīng)濟(jì)級別、行業(yè)級別、公司整體級別、公司內(nèi)業(yè)務(wù)流程級別以及信息處理級別。本文針對不同風(fēng)險(xiǎn)級別，提出相應(yīng)的措施，重點(diǎn)提出在信息處理級別風(fēng)險(xiǎn)中，對應(yīng)于COSO提出的5大控制要素展開監(jiān)控與績效評價(jià)環(huán)節(jié)。
關(guān)鍵詞：AIS 風(fēng)險(xiǎn) 內(nèi)部控制 業(yè)務(wù)流程 信息處理
一、引言
風(fēng)險(xiǎn)是指發(fā)現(xiàn)的任何使公司受到傷害或損失的可能性。目前主流觀點(diǎn)認(rèn)為，AIS（Accounting Information System，會計(jì)信息系統(tǒng)）是公司財(cái)務(wù)信息系統(tǒng)的一個(gè)組成部分，而公司財(cái)務(wù)信息系統(tǒng)又是公司整體集成管理信息系統(tǒng)中一個(gè)基于財(cái)務(wù)視角的剖面。有鑒于此，公司財(cái)務(wù)信息系統(tǒng)分析與設(shè)計(jì)人員需要識別和控制風(fēng)險(xiǎn)，但又要權(quán)衡風(fēng)險(xiǎn)和機(jī)遇、控制目的和控制成本。公司必須權(quán)衡經(jīng)營效率和經(jīng)營效果，使公司財(cái)務(wù)信息系統(tǒng)可以做到同時(shí)控制效率和效果。當(dāng)今經(jīng)濟(jì)環(huán)境下，公司財(cái)務(wù)信息系統(tǒng)中內(nèi)控功能的重要性越來越凸顯。公司財(cái)務(wù)信息系統(tǒng)中控制的兩個(gè)重要考慮因素是執(zhí)行時(shí)間和成本。通常每種控制都能緩減某一特定風(fēng)險(xiǎn)，但各種控制措施的成本和效率不同。因此很多潛在的風(fēng)險(xiǎn)確實(shí)存在，但是要控制所有風(fēng)險(xiǎn)的代價(jià)如果超過了控制帶來的收益，就會不符合成本效益原則，故不允許公司控制所有的潛在風(fēng)險(xiǎn)，只應(yīng)控制那些重大風(fēng)險(xiǎn)。
風(fēng)險(xiǎn)的重大性取決于風(fēng)險(xiǎn)對公司的影響，以及風(fēng)險(xiǎn)實(shí)際發(fā)生的可能性阻止公司實(shí)現(xiàn)其目標(biāo)風(fēng)險(xiǎn)的代價(jià)是巨大的，而且可能對公司的持續(xù)經(jīng)營產(chǎn)生災(zāi)難性影響。風(fēng)險(xiǎn)的危害性是指：潛在損失的大小及其對實(shí)現(xiàn)公司目標(biāo)的影響，以及損失發(fā)生的可能性。概率和損失額越大，風(fēng)險(xiǎn)的危害性就越大，公司管理風(fēng)險(xiǎn)的需求就越大。
二、風(fēng)險(xiǎn)的級別及內(nèi)控措施
風(fēng)險(xiǎn)可以發(fā)生在不同級別或?qū)用嫔希汉暧^經(jīng)濟(jì)級別、行業(yè)級別、公司整體級別、公司內(nèi)業(yè)務(wù)流程級別以及信息處理級別。
?。ㄒ唬┖暧^經(jīng)濟(jì)和行業(yè)風(fēng)險(xiǎn)
公司不是在真空中經(jīng)營，而是在某個(gè)行業(yè)中開展經(jīng)營，行業(yè)是當(dāng)?shù)亟?jīng)濟(jì)的一個(gè)組成部分，同時(shí)也是全球經(jīng)濟(jì)的一個(gè)組成部分。不考慮當(dāng)?shù)睾腿蚪?jīng)濟(jì)風(fēng)險(xiǎn)以及行業(yè)風(fēng)險(xiǎn)，即使再充分應(yīng)對其他風(fēng)險(xiǎn)，對公司而言往往也是徒勞無益的。經(jīng)濟(jì)風(fēng)險(xiǎn)包括來自戰(zhàn)爭、瘟疫、金融市場變革、恐怖襲擊和諸如洪水、臺風(fēng)以及干旱等自然災(zāi)害。這些因素中很多都能導(dǎo)致全球性的經(jīng)濟(jì)蕭條。有時(shí)經(jīng)濟(jì)風(fēng)險(xiǎn)能夠給某些行業(yè)帶來致命的打擊，因此演變?yōu)樾袠I(yè)風(fēng)險(xiǎn)。另一種類型的行業(yè)風(fēng)險(xiǎn)是成本的普遍上漲影響了某一特定行業(yè)。例如，某一行業(yè)普遍使用的原材料成本劇烈上漲，整個(gè)行業(yè)都會受到負(fù)面影響。降低的產(chǎn)品需求就是一種行業(yè)風(fēng)險(xiǎn)，它有時(shí)獨(dú)立于價(jià)格增長。產(chǎn)品需求的減少可能只是源于使用趨勢的轉(zhuǎn)變或其他行業(yè)中更高級替代產(chǎn)品。
?。ǘ┕撅L(fēng)險(xiǎn)
公司風(fēng)險(xiǎn)反映了公司由于自身或外部商務(wù)伙伴的行為或狀況這些內(nèi)、外部因素造成的潛在損失威脅。公司內(nèi)部風(fēng)險(xiǎn)因素包括諸如員工道德低下，缺乏職業(yè)操守，員工不勝任工作。內(nèi)部因素在很大程度上由公司的管理哲學(xué)及經(jīng)營風(fēng)格決定。如果管理哲學(xué)和經(jīng)營風(fēng)格鼓勵(lì)高風(fēng)險(xiǎn)環(huán)境，那么在業(yè)務(wù)流程層面和信息處理層面也存在更高的風(fēng)險(xiǎn)。公司財(cái)務(wù)信息系統(tǒng)分析與設(shè)計(jì)人員確定公司風(fēng)險(xiǎn)時(shí)，可以向管理人員詢問的問題如：公司是否承諾雇傭具備崗位工作所需知識和技能的勝任員工；管理層是否采用保守或理性的方法接受并列報(bào)經(jīng)營成果中的業(yè)務(wù)風(fēng)險(xiǎn)；如果存在董事會，董事會中是否有公司外部代表；如果會計(jì)主體的年度財(cái)務(wù)報(bào)告需要審計(jì)，公司是否存在審計(jì)委員會來管理審計(jì)事務(wù)；公司是否存在定義良好的組織架構(gòu)、合理的職責(zé)分離以及明確的報(bào)告關(guān)系，以確保重要活動得到及時(shí)計(jì)劃、執(zhí)行、控制和監(jiān)督；員工是否理解公司的政策和實(shí)務(wù)，自己的職責(zé)以及向誰匯報(bào)；管理層是否營造強(qiáng)調(diào)正直和職業(yè)操守的公司文化；公司是否具備揭發(fā)渠道，以鼓勵(lì)員工在工作過程中向管理層或董事會告發(fā)舞弊行為；如果公司對以上問題的回答相當(dāng)肯定，該公司的控制環(huán)境可能較好。而那些沒有采取以上或類似措施來鼓勵(lì)正直和勝任能力的公司會面臨較高程度的公司內(nèi)部風(fēng)險(xiǎn)。
公司風(fēng)險(xiǎn)也來源于諸如行業(yè)內(nèi)其他公司競爭加劇、公司聲譽(yù)及品牌質(zhì)量損失、導(dǎo)致業(yè)務(wù)中斷的意外事項(xiàng)、涉及一家或多家公司外部商務(wù)伙伴的危機(jī)，以及公司兼并之類的外部因素。公司間競爭的加劇會降低公司的市場份額，導(dǎo)致品牌質(zhì)量或公司聲譽(yù)降低的事項(xiàng)會給公司帶來長期的負(fù)面影響；公司會面臨一些由于諸如火災(zāi)、洪水、龍卷風(fēng)、斷電或技術(shù)失敗等意外事項(xiàng)，導(dǎo)致業(yè)務(wù)中斷的風(fēng)險(xiǎn)；公司會面臨一家或多家外部商務(wù)伙伴公司的業(yè)務(wù)中斷事故，從而對本公司造成威脅。
（三）業(yè)務(wù)流程風(fēng)險(xiǎn)
本文將業(yè)務(wù)流程風(fēng)險(xiǎn)定義為與實(shí)際業(yè)務(wù)流程目標(biāo)（包括資源、事項(xiàng)、參與者以及這三者之間關(guān)系）相關(guān)的風(fēng)險(xiǎn)。公司常見的資源包括存貨、產(chǎn)品、營運(yùn)資產(chǎn)和資金，包括與失竊、過時(shí)、浪費(fèi)、故意或非故意損毀而造成損失的威脅都可稱為業(yè)務(wù)流程風(fēng)險(xiǎn)。事項(xiàng)可以分為宣傳事項(xiàng)、相互承諾事項(xiàng)和經(jīng)濟(jì)交換事項(xiàng)。與這些類型事項(xiàng)相關(guān)的風(fēng)險(xiǎn)包括該發(fā)生卻沒發(fā)生的事項(xiàng)、事項(xiàng)執(zhí)行得過早或過晚等。
大多數(shù)風(fēng)險(xiǎn)不涉及單獨(dú)的資源或事項(xiàng)，但卻涉及資源、事項(xiàng)或參與者的結(jié)合體。連接資源和事項(xiàng)的關(guān)系可分成提議、預(yù)留、資源流關(guān)系。與“資源——事項(xiàng)”關(guān)系相關(guān)的風(fēng)險(xiǎn)包括事項(xiàng)執(zhí)行了錯(cuò)誤的資源類型或資源項(xiàng)目、錯(cuò)誤的資源數(shù)量，或資源的成本或售價(jià)錯(cuò)誤。
資源與資源之間的鏈接關(guān)系是BOM（Bill Of Materials，物料清單）的一種表達(dá)方式。與“資源——資源”關(guān)系相關(guān)的風(fēng)險(xiǎn)包括一種資源與另一種資源之間的關(guān)系確定錯(cuò)誤。例如，完工產(chǎn)品存貨類型的BOM中描述了原材料種類或數(shù)量上的錯(cuò)誤。
與“事項(xiàng)——事項(xiàng)”關(guān)系相關(guān)的風(fēng)險(xiǎn)是事項(xiàng)間關(guān)系確立的錯(cuò)誤。例如，業(yè)務(wù)流程政策要求所有銷售的現(xiàn)金折扣最多可達(dá)到售價(jià)的50%。一種風(fēng)險(xiǎn)是沒有按折扣政策收款。同樣，在沒有確認(rèn)存貨實(shí)際驗(yàn)收的情況下支付了貨款。
“事項(xiàng)——參與者”之間的關(guān)系表現(xiàn)為連接公司內(nèi)外部參與者與事項(xiàng)的參與關(guān)系?！笆马?xiàng)——參與者”關(guān)系相關(guān)的風(fēng)險(xiǎn)包括未經(jīng)授權(quán)的公司外部參與者（如不存在的客戶）或未經(jīng)授權(quán)的內(nèi)部參與者執(zhí)行了事項(xiàng)（如倉管員執(zhí)行付款）。“資源——參與者”關(guān)系反映了諸如內(nèi)部參與者管理存貨類型職責(zé)的托管設(shè)置。與“資源——參與者”關(guān)系相關(guān)的風(fēng)險(xiǎn)包括未經(jīng)授權(quán)的參與者托管了資源。檢查單一關(guān)系有助于識別風(fēng)險(xiǎn)，完整的風(fēng)險(xiǎn)分析卻要求同時(shí)檢查多種關(guān)系。例如，查詢可以被定義為評估相關(guān)的采購訂單、采購事項(xiàng)和付款事項(xiàng)是否都連接到同一家供應(yīng)商。如果沒有連接到同一家供應(yīng)商，就說明可能存在需要進(jìn)一步調(diào)查的數(shù)據(jù)錄入錯(cuò)誤或不規(guī)范。
（四）信息處理風(fēng)險(xiǎn)
首先，公司財(cái)務(wù)信息系統(tǒng)也是一種資源，其接觸應(yīng)當(dāng)受到嚴(yán)格控制。諸如文件服務(wù)器之類的關(guān)鍵系統(tǒng)硬件應(yīng)當(dāng)鎖放在限制區(qū)域。其他網(wǎng)絡(luò)信息系統(tǒng)的組成部分需要由經(jīng)過授權(quán)的人員進(jìn)入并完成業(yè)務(wù)和信息的處理。未經(jīng)授權(quán)的進(jìn)入系統(tǒng)對公司而言是重大風(fēng)險(xiǎn)，因此防止未經(jīng)授權(quán)進(jìn)入系統(tǒng)很重要。進(jìn)入控制在系統(tǒng)具備聯(lián)網(wǎng)、實(shí)時(shí)交易處理能力時(shí)特別重要。任何一臺連接到因特網(wǎng)的計(jì)算機(jī)都很容易受到攻擊。系統(tǒng)接觸控制涉及密碼和登錄控制矩陣的使用。密碼是一種較弱的保護(hù)形式。登錄控制矩陣表明了可以登錄系統(tǒng)的各個(gè)用戶，以及每個(gè)用戶登錄后可以接觸的數(shù)據(jù)和程序。一些用戶只允許讀數(shù)據(jù)，另一些用戶則可讀、可更新數(shù)據(jù)。
其次，信息處理風(fēng)險(xiǎn)與記錄、維護(hù)和報(bào)告與資源、事項(xiàng)、參與者以及三者之間關(guān)系的信息相關(guān)。表面上，這類風(fēng)險(xiǎn)與業(yè)務(wù)流程風(fēng)險(xiǎn)十分類似，但實(shí)際上，業(yè)務(wù)流程風(fēng)險(xiǎn)必須與事項(xiàng)的實(shí)際執(zhí)行、實(shí)際存在的資源和參與者有關(guān)。信息處理風(fēng)險(xiǎn)必須與進(jìn)行記錄、維護(hù)和報(bào)告以上對象的信息相關(guān)。例如，如果向不存在的客戶銷售產(chǎn)品是一個(gè)業(yè)務(wù)流程錯(cuò)誤，但如果是向公司認(rèn)可的客戶銷售產(chǎn)品，但數(shù)據(jù)錄入錯(cuò)誤導(dǎo)致這筆銷售看起來像是向不存在的客戶銷售了產(chǎn)品，這就是一個(gè)信息處理錯(cuò)誤。
信息處理風(fēng)險(xiǎn)包括記錄、維護(hù)或報(bào)告的信息不完整、不準(zhǔn)確或不合法。不完整的信息反映了對于資源、事項(xiàng)、參與者或關(guān)系信息在記錄、維護(hù)和報(bào)告中存在錯(cuò)誤。不準(zhǔn)確的信息反映了數(shù)據(jù)的記錄、維護(hù)和報(bào)告不正確地表達(dá)了客觀事實(shí)。不合法的信息反映了記錄、維護(hù)和報(bào)告了不存在的資源、事項(xiàng)、參與者或關(guān)系。這些類型的信息處理風(fēng)險(xiǎn)都需要得到控制。
COSO的內(nèi)部控制集成框架討論了內(nèi)部控制系統(tǒng)的五大組成要素：控制環(huán)境、風(fēng)險(xiǎn)評估、控制活動、信息和溝通、監(jiān)控。COSO報(bào)告中推薦對公司內(nèi)部控制的評價(jià)首先從風(fēng)險(xiǎn)識別開始。接著確定應(yīng)對風(fēng)險(xiǎn)的控制活動，最終進(jìn)行內(nèi)部控制測試，以確?？刂剖欠裼行н\(yùn)行。COSO推薦的、薩班斯法案要求的、越來越多的監(jiān)控和關(guān)于內(nèi)部控制的鑒定通過業(yè)務(wù)流程和AIS設(shè)計(jì)來實(shí)現(xiàn)。業(yè)務(wù)流程和支持業(yè)務(wù)流程的公司財(cái)務(wù)信息系統(tǒng)同樣關(guān)注風(fēng)險(xiǎn)識別、開發(fā)符合成本效益原則的緩減控制措施，他們可以設(shè)計(jì)并實(shí)施控制。
財(cái)務(wù)信息系統(tǒng)的控制活動通常包括記錄、維護(hù)和報(bào)告會計(jì)主體事項(xiàng)，同時(shí)維護(hù)相關(guān)資產(chǎn)、負(fù)債和權(quán)益問責(zé)性的方法和記錄。其信息質(zhì)量影響著公司管理層在管理和控制會計(jì)主體經(jīng)營活動以及準(zhǔn)備財(cái)務(wù)報(bào)告方面進(jìn)行正確決策的能力。系統(tǒng)必須做到以下每一條，以便在信息系統(tǒng)中提供準(zhǔn)確完整的信息來正確報(bào)告公司經(jīng)營成果：1.及時(shí)確認(rèn)和記錄所有的業(yè)務(wù)事項(xiàng)；2.對每項(xiàng)業(yè)務(wù)事項(xiàng)的描述足夠詳盡；3.正確計(jì)量每筆業(yè)務(wù)的金額；4.在財(cái)務(wù)報(bào)告中正確描述和披露業(yè)務(wù)。溝通要素是針對現(xiàn)有崗位分工及對應(yīng)內(nèi)控職責(zé)的理解。員工應(yīng)當(dāng)理解他們的工作如何與其他員工的工作相連接，并且例外情況如何向高層管理人員報(bào)告。開放溝通渠道有助于例外情況的報(bào)告和采取行動。溝通也包括制度手冊、會計(jì)手冊和財(cái)務(wù)報(bào)告守則等。
監(jiān)控是隨時(shí)評價(jià)內(nèi)部控制完成情況的過程。由于多數(shù)公司經(jīng)常改變其經(jīng)營活動以適應(yīng)新的市場需求以及投資機(jī)遇，于是監(jiān)控變得尤為重要。監(jiān)控涉及以時(shí)間為基礎(chǔ)的控制機(jī)制設(shè)計(jì)和運(yùn)行的評價(jià)，以及所需的修正行動。管理層一旦發(fā)現(xiàn)報(bào)告明顯偏離他們對公司經(jīng)營的了解時(shí)，就可采取持續(xù)的質(zhì)詢活動。內(nèi)部審計(jì)人員或系統(tǒng)評價(jià)者也可以通過定期的檢查內(nèi)控活動、評價(jià)其效果、匯報(bào)結(jié)果，以及提供改進(jìn)建議來完成監(jiān)控。來自外部會計(jì)主體的信息同樣對內(nèi)部控制的監(jiān)控很有價(jià)值?？蛻艋蚬?yīng)商關(guān)于運(yùn)輸或付款的投訴，各政府機(jī)構(gòu)的檢查，以及外部審計(jì)報(bào)告都提供了內(nèi)部控制充分性及其改進(jìn)的信息。
績效檢查是對提供某種方式監(jiān)控的公司績效的任何檢查，比較常見的檢查有：事先計(jì)劃數(shù)據(jù)與實(shí)際數(shù)據(jù)，經(jīng)營數(shù)據(jù)和財(cái)務(wù)數(shù)據(jù)，甚至包括隸屬關(guān)系或公司職能領(lǐng)域間的對比等。績效檢查的實(shí)例還可以比較實(shí)際發(fā)生的生產(chǎn)成本和上一會計(jì)期間生產(chǎn)成本，以發(fā)現(xiàn)差異。任何明顯偏離去年的成本項(xiàng)目都應(yīng)追蹤調(diào)查，明確原因。另一個(gè)績效檢查的例子是比較同一區(qū)域內(nèi)的銷售利潤率及運(yùn)往該地區(qū)的存貨數(shù)量，以確定各地區(qū)間的銷售利潤率是否大體相等。如果某一地區(qū)的銷售利潤率明顯低于其他地區(qū)，就必須調(diào)查原因，諸如存貨有可能存在偷竊、毀損、過時(shí)或其他原因。Z
參考文獻(xiàn)：
1.C.L.Dunn，J.O.Cherrington and A.S.Hollander.Enterprise Information Systems.3rd edition. New York，NY：McGraw-Hill Irwin，2005.
2. 周梅，會計(jì)信息系統(tǒng)中銷售流程的應(yīng)用控制［J］.商業(yè)會計(jì)，2011，（31）.
