COBIT：加強(qiáng)會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制與審計(jì)不可.doc

1、COBIT：加強(qiáng)會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制與審計(jì)不可【摘要】本文基于ITGI剛剛發(fā)布的COBIT4.1，對(duì)IT環(huán)境下會(huì)計(jì)信息系統(tǒng)發(fā)展的最新狀況進(jìn)行分析，探討了跨國公司執(zhí)行COBIT的經(jīng)驗(yàn)和做法，進(jìn)而提出，借助于COBIT4.1，加強(qiáng)我國企業(yè)會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制是當(dāng)務(wù)之急，也是大勢(shì)所趨。 【關(guān)鍵詞】COBIT；會(huì)計(jì)信息系統(tǒng)；內(nèi)部控制 一、COBIT簡介與淺析 COBIT（ControlObjectivesforInformationandrelatedTechnology，信息及相關(guān)技術(shù)控制目標(biāo)）是目前國際公認(rèn)的最先進(jìn)、最權(quán)威的安全和信息技術(shù)管理和控制的標(biāo)準(zhǔn)。普華永道發(fā)布的2006年全球信息安全狀

2、況報(bào)告中統(tǒng)計(jì)，全世界63%的公司采用了COBIT控制框架標(biāo)準(zhǔn)，這一比率是IT控制框架采用率最高的。COBIT是由信息系統(tǒng)審計(jì)和控制協(xié)會(huì)（InformationSystemAuditandControlAssociation，ISACA）（.）下屬的IT治理研究院（ITGI，InformationTechnologyGovernanceInstitute）（.）開發(fā)和發(fā)布的，旨在為IT的治理、安全和控制提供一個(gè)普遍適用的公認(rèn)的標(biāo)準(zhǔn)，以輔助企業(yè)管理層進(jìn)行IT治理。自COBIT問世以來，先后經(jīng)歷了1998年、2000年和2006年的修改補(bǔ)充，2007年5月，ITGI

3、發(fā)布了COBIT4.1，它從IT治理的角度，從更高的層面上來指導(dǎo)管理層進(jìn)行IT控制和信息系統(tǒng)管理。由于一方面全球信息化的加劇和我國信息化的發(fā)展，另一方面COBIT對(duì)信息系統(tǒng)控制與審計(jì)又有著很好的指導(dǎo)作用，所以當(dāng)前介紹和引進(jìn)COBIT對(duì)于推動(dòng)我國信息化的健康發(fā)展有重要的意義。 COBIT4.1主要是由4部分組成：框架、控制目標(biāo)、管理指南和成熟度模型。其相互關(guān)系如圖1所示。 COBIT是由相互關(guān)聯(lián)的各組成部分有機(jī)結(jié)合在一起的，能夠?yàn)椴煌念櫩腿禾峁┯嘘P(guān)治理、管理、控制和保證方面的需要。下面對(duì)其組成部分逐一介紹分析。 1.框架（Frameation）、基礎(chǔ)設(shè)施（Infrastructure）和人(P

4、eople);IT過程則是在與業(yè)務(wù)要求相適應(yīng)的COBIT的IT總體控制目標(biāo)的導(dǎo)向下，對(duì)信息及相關(guān)資源進(jìn)行規(guī)劃和處理，從信息技術(shù)的計(jì)劃與組織、獲取與實(shí)施、交付與支持、監(jiān)控與評(píng)價(jià)等4個(gè)方面確定了34個(gè)信息技術(shù)處理過程。實(shí)際上，COBIT的IT控制目標(biāo)的實(shí)現(xiàn)就是在IT過程中管理IT資源來完成的。圖3詳細(xì)地描述了完整的COBIT框架，顯示了COBIT的處理模式是如何根據(jù)業(yè)務(wù)和治理要求來管理IT資源并使之給業(yè)務(wù)傳遞信息的，該模式由4個(gè)領(lǐng)域構(gòu)成，包括34個(gè)一般過程。 2.控制目標(biāo)（ControlObjectives） 從領(lǐng)域、過程和活動(dòng)3個(gè)層面對(duì)總體目標(biāo)進(jìn)行分解，通過對(duì)特定的活動(dòng)實(shí)施控制，以實(shí)現(xiàn)預(yù)定的系統(tǒng)

5、目標(biāo)。為有效地進(jìn)行IT治理，在COBIT框架內(nèi)部通常將需要進(jìn)行管理的活動(dòng)和風(fēng)險(xiǎn)分為4個(gè)領(lǐng)域，即計(jì)劃與組織(PlanningandArrangement)、獲取與實(shí)施（AcquisitionandImplementation）、交付與支持（DeliveryandSupport）和監(jiān)測(cè)與評(píng)價(jià)（MonitoringandEvaluation）,領(lǐng)域目標(biāo)按34個(gè)過程進(jìn)行細(xì)分，根據(jù)每一個(gè)信息技術(shù)過程所涉及的系統(tǒng)資源，確定出相應(yīng)的控制目標(biāo)；針對(duì)每一個(gè)信息技術(shù)處理過程進(jìn)一步細(xì)分為若干任務(wù)，確定出210個(gè)具體的控制目標(biāo)。針對(duì)這些具體的控制目標(biāo)，COBIT提供了詳細(xì)的系統(tǒng)管理策略，包括具體要采取的措施以及要考慮

6、的問題等。這3個(gè)層次的控制目標(biāo)體系使系統(tǒng)管理目標(biāo)更清楚、更明確，更有操作性。COBIT覆蓋了整個(gè)信息系統(tǒng)的全部生命周期，涵蓋了戰(zhàn)略、戰(zhàn)術(shù)與操作的所有層次，處于各個(gè)階段的信息系統(tǒng)都可以參照使用，它所帶來的益處是十分明顯的，它使IT戰(zhàn)略與組織戰(zhàn)略緊密聯(lián)系，在業(yè)務(wù)目標(biāo)、信息系統(tǒng)、業(yè)務(wù)績效目標(biāo)之間維持平衡。 3.管理指南（ManagementGuidelines） 管理指南是控制目標(biāo)在企業(yè)的具體應(yīng)用準(zhǔn)則，以進(jìn)行自我評(píng)價(jià)與選擇，進(jìn)而實(shí)施并完善對(duì)信息及相關(guān)技術(shù)的控制，其目的是對(duì)IT業(yè)務(wù)活動(dòng)進(jìn)行有效控制，使IT與業(yè)務(wù)活動(dòng)保持高度一致，并通過傳遞組織所需要的信息使業(yè)務(wù)活動(dòng)得以進(jìn)行。管理指南給出了度量信息系統(tǒng)生

7、命周期各個(gè)IT控制過程的安全、可靠與有效的指標(biāo)體系。 4.成熟度模型（MaturityModels） 對(duì)IT過程進(jìn)行管理和控制的成熟度模型是評(píng)價(jià)組織的一種方法。它劃定6個(gè)成熟等級(jí)，如圖4所示。每一個(gè)成熟度等級(jí)都規(guī)定相應(yīng)特征，企業(yè)可以結(jié)合自身的特點(diǎn)，界定出本企業(yè)的當(dāng)前狀態(tài)。該方法來自于軟件工程研究所（SoftationSystem，AIS）是一種面向價(jià)值信息和基于會(huì)計(jì)管理活動(dòng)的系統(tǒng)，是在計(jì)算機(jī)軟件和網(wǎng)絡(luò)環(huán)境下，采用現(xiàn)代信息處理技術(shù)的一個(gè)人機(jī)交互的管理信息系統(tǒng)。其基本特征如下： （1）AIS以符合會(huì)計(jì)管理工作和會(huì)計(jì)變更的需求為主要目標(biāo)。 （2）AIS以解決企業(yè)會(huì)計(jì)核算和管理所面臨的問題為主要功能。

8、 （3）AIS以現(xiàn)代計(jì)算機(jī)硬軟件和網(wǎng)絡(luò)平臺(tái)為處理環(huán)境，由人（含會(huì)計(jì)人員）、信息技術(shù)設(shè)備（含數(shù)據(jù)文件）和運(yùn)行規(guī)程三要素組成，其核心部分是功能完備的會(huì)計(jì)軟件。 （4）AIS能充分利用現(xiàn)代信息處理技術(shù)，自動(dòng)（或半自動(dòng)）采集、存貯、處理、分析、傳遞和反饋會(huì)計(jì)信息。3. 會(huì)計(jì)信息系統(tǒng)所面臨的風(fēng)險(xiǎn) 在IT環(huán)境下，由于與傳統(tǒng)的手工操作環(huán)境有了很大的差別，會(huì)計(jì)信息系統(tǒng)面臨著前所未有的風(fēng)險(xiǎn)。主要有以下幾類： （1）疏忽差錯(cuò)（Unintended Errors）。系統(tǒng)操作員或交易執(zhí)行員在經(jīng)濟(jì)業(yè)務(wù)資料的輸入與處理過程中，由于缺乏必要的上崗作業(yè)培訓(xùn)或身體狀況欠佳等原因造成的非故意差錯(cuò)。 （2）蓄意差錯(cuò)(Deliber

9、ated Errors)。蓄意差錯(cuò)也就是故意性差錯(cuò)，實(shí)質(zhì)就是舞弊，是不正當(dāng)?shù)幕蜻`法的。在信息的輸入處理輸出的流程中，甚至在軟件的開發(fā)與研制過程中，都可能產(chǎn)生這種差錯(cuò)。它不僅對(duì)有關(guān)數(shù)據(jù)或輸出信息的正確性與可信性造成影響，而且還可能導(dǎo)致企業(yè)資源的短缺損失和掩飾有關(guān)盜竊行為。 （3）疏忽性資產(chǎn)毀損（Unintended Asset Damages）。企業(yè)數(shù)據(jù)資料記錄可能承受非故意的毀損，比如存儲(chǔ)于硬盤中的應(yīng)收賬款記錄未作備份，可能因偶然的斷電故障這類偶發(fā)事件而消失。 （4）安全措施破壞（Breaches of Securities）。未經(jīng)授權(quán)許可的人員可能非法接近企業(yè)的交易資料與其他記錄。電腦“黑客

10、”通過互聯(lián)網(wǎng)擅自進(jìn)入企業(yè)的計(jì)算機(jī)系統(tǒng)竊取、篡改或惡意破壞交易資料或記錄，以及未經(jīng)授權(quán)員工私自偷閱未設(shè)定密碼或口令保護(hù)的企業(yè)員工薪金報(bào)告等。這種風(fēng)險(xiǎn)可能在被競爭對(duì)手竊取本單位的重要資料時(shí)造成極為嚴(yán)重的后果。 （5）暴力（Forces）。暴力的存在于外界人士（如恐怖分子）和懷有怨氣的現(xiàn)有員工或已遭解雇員工的報(bào)復(fù)行為。如損壞會(huì)計(jì)信息系統(tǒng)或銷毀企業(yè)的客戶往來檔案記錄等。其后果可能是毀損企業(yè)的資產(chǎn)和資料，甚至導(dǎo)致經(jīng)營過程中斷以及企業(yè)的破產(chǎn)倒閉。 基于以上風(fēng)險(xiǎn)，IT環(huán)境下的會(huì)計(jì)信息系統(tǒng)加強(qiáng)內(nèi)部控制具有前所未有的必要性，具體如下： （1）IT環(huán)境下電腦操作隱形化和無紙化存儲(chǔ)介質(zhì)的缺陷。 （2）IT環(huán)境下內(nèi)部

11、稽核削弱。 （3）IT環(huán)境下會(huì)計(jì)工作質(zhì)量有賴于計(jì)算機(jī)硬軟件系統(tǒng)自身的可靠性及會(huì)計(jì)人員本身的操作水平。 （4）管理型會(huì)計(jì)軟件的發(fā)展對(duì)內(nèi)部控制提出了新要求。 （5）網(wǎng)絡(luò)財(cái)務(wù)是IT環(huán)境下的新型管理模式，其安全性和保密性有賴于建立健全有效的內(nèi)部控制。 三、借鑒跨國公司經(jīng)驗(yàn)，運(yùn)用COBIT，加強(qiáng)我國企業(yè)會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制1 保誠公司的經(jīng)驗(yàn)分析簡介保誠公司于1848年在英國成立,它是目前全球領(lǐng)先的金融服務(wù)大鱷和在亞洲領(lǐng)先的歐洲壽險(xiǎn)公司。隨著其資產(chǎn)管理業(yè)務(wù)的快速增長,保誠公司（亞洲）在亞太地區(qū)的12個(gè)國家里擁有了9 000多位員工，除了在新加坡有一個(gè)區(qū)域分中心之外，它還有兩個(gè)關(guān)鍵的區(qū)域IT中心,其中一個(gè)

12、在馬來西亞,另一個(gè)在中國大陸。 保誠公司亞洲地區(qū)的資訊科技部長羅德里格斯在2005年首次引進(jìn)COBIT。他在香港領(lǐng)導(dǎo)著一個(gè)區(qū)域IT小組，該小組擁有6名成員。由于得到這個(gè)區(qū)域IT小組的支持, 保誠的CEO及其委員會(huì)成員同意采用COBIT的倡議，他們強(qiáng)烈地支持采用更好的IT框架、系統(tǒng)和程序以在整個(gè)地區(qū)給公司提供更好的競爭優(yōu)勢(shì)?！癈OBIT是一個(gè)非常簡單而強(qiáng)有力的管理工具,它讓我們實(shí)現(xiàn)我們的目標(biāo)”，羅德里格斯說。 羅德里格斯還認(rèn)為，“一個(gè)好醫(yī)生是一位能夠清楚地向她或他的病人解釋如何保持健康的人，同樣,一個(gè)好的IT專業(yè)人員是能夠使該項(xiàng)目對(duì)一個(gè)公司觀眾來說容易得到理解的人。毫無疑問,我認(rèn)為COBIT是允

13、許我獲得這種能力的工具,利用COBIT，我相信我們能為保誠建立一個(gè)更好的IT和公司責(zé)任的文化?！?雖然保誠實(shí)施COBIT仍在進(jìn)行之中,但是，很顯然,羅德里格斯已經(jīng)獲得了一些經(jīng)驗(yàn)，具體如下: （1）IT治理:泛區(qū)域戰(zhàn)略構(gòu)成、一致性； （2）削減成本:減少重復(fù)； （3）安全:區(qū)域客戶資料管理； （4）外包:為外包業(yè)務(wù)伙伴提供適當(dāng)債務(wù)； （5）溝通:讓廣大的公司員工易于理解各種術(shù)語； （6）業(yè)務(wù)增長:為領(lǐng)導(dǎo)者提供了一個(gè)更安全、更一致的全面IT環(huán)境，以使其把精力集中在可增加企業(yè)價(jià)值的解決方案上。 上述這些經(jīng)驗(yàn)顯然是對(duì)整個(gè)保誠公司（亞洲）的IT治理而言的，但是可以看到其中一些經(jīng)驗(yàn)對(duì)會(huì)計(jì)信息系統(tǒng)的內(nèi)部控制

14、和審計(jì)具有指導(dǎo)意義。 2. 勇于開拓，爭取早日構(gòu)建基于我國實(shí)際情況并與國際接軌的COBIT框架 隨著我國經(jīng)濟(jì)的迅速發(fā)展和經(jīng)濟(jì)全球化的突飛猛進(jìn)，近年來我國已逐漸重視企業(yè)內(nèi)部控制，特別是2006年，被業(yè)界稱為中國的“內(nèi)部控制年”。財(cái)政部牽頭聯(lián)合發(fā)起成立了企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)，并邀請(qǐng)行政機(jī)關(guān)、高校、社會(huì)團(tuán)體以及大中型企業(yè)的專家兼職咨詢。該委員會(huì)發(fā)布了企業(yè)內(nèi)部控制規(guī)范（征求意見稿），包括基本規(guī)范和一系列具體規(guī)范，并專門針對(duì)信息系統(tǒng)內(nèi)部控制制定了企業(yè)內(nèi)部控制規(guī)范第號(hào)計(jì)算機(jī)信息系統(tǒng)（征求意見稿），包括總則、崗位分工和授權(quán)批準(zhǔn)、信息系統(tǒng)開發(fā)、變更與維護(hù)控制、信息系統(tǒng)訪問安全和會(huì)計(jì)電算化及其控制等6部分。另

15、外，財(cái)政部還于2006年頒布了新審計(jì)準(zhǔn)則中國注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1633號(hào)電子商務(wù)對(duì)財(cái)務(wù)報(bào)表審計(jì)的影響，針對(duì)電子商務(wù)環(huán)境下的信息系統(tǒng)審計(jì)進(jìn)行了規(guī)范，其中第5章“對(duì)內(nèi)部控制的考慮”里，提到了“注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)按照中國注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1211號(hào)了解被審計(jì)單位及其環(huán)境并評(píng)估重大錯(cuò)報(bào)風(fēng)險(xiǎn)和中國注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1231號(hào)針對(duì)評(píng)估的重大錯(cuò)報(bào)風(fēng)險(xiǎn)實(shí)施的程序的規(guī)定，考慮被審計(jì)單位在電子商務(wù)中運(yùn)用的與審計(jì)相關(guān)的內(nèi)部控制”。這些標(biāo)準(zhǔn)或規(guī)范只是為本專業(yè)的內(nèi)部控制提供了一個(gè)應(yīng)用指導(dǎo)，在一定程度上為進(jìn)行IT治理環(huán)境下的內(nèi)部控制發(fā)揮了一定的作用。但是，從綜合的 IT治理或IT內(nèi)部控制來看，還沒有形成一個(gè)能夠滿足各方面要求，適應(yīng)各種需要的綜合的、完整的、系統(tǒng)的框架。目前雖然有些在國際上有顯著影響力的IT服務(wù)公司使用自己制定的標(biāo)準(zhǔn)或框架，如IBM公