CMA:企业会计信息化风险内部控制体系探讨(一）

　　会计信息化给企业财务处理带来了极大的便利，它使企业实现远程账务处理、事中动态会计核算及在线财务管理，并支持电子单据与电子货币、改变财务信息的获取与利用方式，同时也增加了安全风险。据统计，全球由于网络安全造成的经济损失十分巨大，我国计算机病毒感染数量与网络安全事件报告也呈日益增加趋势。
　　因此，为了促进会计信息化的健康发展，需对信息系统整个生命周期过程实施有效控制，在企业信息化环境中会计信息化风险控制也是企业信息化安全实施的有效保障。西方对计算机会计内部控制的研究始于20世纪70年代。与网络风险控制体系相关的研究在信息系统控制方面，提供了一些可行的策略和标准，并指导组织有效利用信息资源，有效管理与信息相关的风险。
　　从国内情况看，近年来内部会计控制已成为我国理论界和实务界最为关注的话题之一，但这些内部控制措施主要是基于手工方式而制定的，对会计信息化环境下的内部控制规定则较为笼统，在现实中的可操作性相对较差，与会计信息化的迅速发展对信息的安全性提出的更为严格的要求不相适应。
　　有的学者从理论上对会计信息化环境下的内部会计控制进行了探讨，提出了一些新的控制手段和方法，这些研究推动了会计信息化环境下内部控制制度的发展与创新，丰富了内部控制理论，但研究仍停留在制度层面，会计信息化风险控制的体系变化还须深入探析。
　　一、企业会计信息化风险类型
　　（一）决策风险企业会计信息化的决策风险是指选择财务软件或软件供应商的失误而造成系统实施的失败。引发决策风险的原因在于企业决策层未能结合企业实际状况，充分客观地进行项目可行性分析，选择适合企业的财务信息化解决方案。面对当前我国市场上众多的财务软件，部分企业领导不清楚企业的信息化目标，缺乏全面评估软件适应性的经验，对软件的选型与软件供应商的选择容易受到商家的诱导，致使所选购的软件质量存在缺陷，软件功能不适合企业的实际需求，从而使信息系统实施出现问题。
　　（二）信息处理风险信息处理风险是指会计信息化过程中由于企业的财务软件开发未经过严密的可靠测试，数据结构、程序结构隐含的问题会在后期系统运行中被触发或各种舞弊导致损失的可能性。根据信息处理的环节来看，信息处理风险主要包括三种：
　　一是数据记录风险，指不能完整、准确、真实地记录业务活动数据造成损失的可能性。如在销售活动中记录客户订货信息时，漏记客户信用信息或错记客户收货地点等。
　　二是数据维护风险，指数据或信息维护过程中发生损失的可能性。如未能及时反映客户地址、信用情况的变化，或未能及时反映存货的变化导致缺货情况的发生等。
　　三是信息报告风险，指在信息报告过程中发生损失的可能性。如未经授权的人进行信息报告，或报告提供给了未经授权的人，或者未能及时提供管理所需的报告等。
　　在企业管理信息化条件下，企业所有的数据都将以电子数据形式集中存储在计算机数据库系统中，在信息化后企业许多经营活动依赖于计算机系统。企业管理信息化安全风险主要由技术因素和管理因素两方面引起，网络系统本身存在的安全脆弱性，软件系统内部缺陷没被测试出来属技术因素，而组织内部没有建高顿息安全管理制度，使用人员操作缺乏相应的操作规范，无控制标准与安全防范标准属管理因素。
　　（三）资产保护风险资产保护风险是指企业资产损毁、被盗等导致损失的可能性。传统意义上的资产包括存货、设备、现金等，会计信息化过程中的资产还应包括信息系统、各种信息或数据资源以及有关的文档、记录等。信息化环境下资产保护风险更加严峻，资产损失更加巨大，如有未经授权的人接触信息系统或记录、对敏感信息缺乏必要的保密机制、对信息系统资产缺乏灾难恢复措施等。
　　（四）效益风险效益风险是指由于未能有效地实现业务目标而造成损失的可能性。这与传统意义上的效益风险类似。通常效益风险与业务执行风险是相关的，业务执行风险和效益风险往往同时存在。例如，在销售业务中，每个销售环节如客户订单处理、装运、开票、收款等都正确执行了（或提供商品或服务未经授权的产生了风险），但却未能达到企业制定的销售目标，这就是一种效益风险。因此，企业不仅应考虑业务执行是否无误，还应关注业务执行是否有效益。