1 當前網(wǎng)絡會計信息系統(tǒng)的安全問題
具體來說,網(wǎng)絡會計信息系統(tǒng)的安全問題主要表現(xiàn)在以下幾個方面。
1.1會計信息的真實性問題
由于網(wǎng)絡會計信息系統(tǒng)的開放性以及電子介質(zhì)的脆弱性,使得網(wǎng)絡會計信息系統(tǒng)存在信息失真的風險。盡管信息傳遞的無紙化在某種程度上可以有效避免一些由于人為原因所導致的會計失真現(xiàn)象,但如果對系統(tǒng)的作業(yè)不加嚴密地控制就有可能發(fā)生類似電子憑證、電子賬簿被隨意修改而不留痕跡的事件。另外,由于傳統(tǒng)的依靠簽章確保憑證有效性和明確經(jīng)濟責任的手段不復存在,因此,假如沒有新的有效的確認標識,信息接受方就有理由懷疑所獲取的財務數(shù)據(jù)的真實性;同樣,作為信息發(fā)送方,也有類似的擔心,擔心傳遞的信息能否被接受方正確識別并下載。
1.2原始憑證數(shù)據(jù)采集流程的問題
原始憑證是會計核算的起點,也是記錄大量經(jīng)濟業(yè)務發(fā)生的唯一憑據(jù)。在網(wǎng)絡會計信息系統(tǒng)中,企業(yè)通過網(wǎng)絡將采集業(yè)務數(shù)據(jù)的范圍擴展到業(yè)務發(fā)生的現(xiàn)場甚至到企業(yè)外部,其采集數(shù)據(jù)通過財務與業(yè)務協(xié)同、網(wǎng)上交易、電子銀行、網(wǎng)絡結(jié)算中心等多種形式來實現(xiàn)。這些新型的數(shù)據(jù)采集方式都有一個顯著特點,那就是原始憑證只不過是一條電子記錄,通過網(wǎng)絡系統(tǒng)從一臺計算機傳到另一臺計算機,如果對這個記載原始交易數(shù)據(jù)的電子記錄沒有加以特別保護,則很有可能會引發(fā)記錯賬和記假賬的問題。
1.3信息處理程序被破壞的問題
在網(wǎng)絡會計信息系統(tǒng)中,信息處理程序是整個系統(tǒng)的核心部分,輸入的原始數(shù)據(jù)只有經(jīng)過正確的處理程序按照信息處理規(guī)則執(zhí)行才能轉(zhuǎn)變形成會計信息,因此,如果這個程序遭受網(wǎng)絡黑客的攻擊或者病毒程序的破壞,就會使會計信息處理程序無法正常執(zhí)行或者按照改變了的程序來執(zhí)行,導致信息系統(tǒng)喪失了對數(shù)據(jù)和信息的控制力,從而導致數(shù)據(jù)和信息被轉(zhuǎn)移、被篡改或被刪除等風險。這是從破壞角度來講的。從使用角度來看,信息處理程序雖然沒被改變,但卻被用于不當之處。比如,在網(wǎng)絡會計環(huán)境下,財務報告的編制不再是單一的,而是多元的,不僅可以是按期的,還可以是實時的,網(wǎng)絡會計的這一優(yōu)勢卻可能成為企業(yè)編制虛假財務報告的手段,當企業(yè)針對不同信息使用者提供不同財務報告時,其目的不是為了體現(xiàn)會計信息的相關性,而是為了企業(yè)的某種特殊目的。
1.4企業(yè)重要數(shù)據(jù)泄密的問題
在信息技術高速發(fā)展的今天,信息在企業(yè)的經(jīng)營管理中變得尤為重要,它已經(jīng)成為企業(yè)的一項重要資源,甚至決定了企業(yè)在激烈的市場競爭中的成敗。企業(yè)的財務數(shù)據(jù)屬重大商業(yè)機密,在網(wǎng)絡會計環(huán)境下造成財務數(shù)據(jù)泄密的原因主要有以下4種可能:第一,財務數(shù)據(jù)在網(wǎng)絡傳遞過程中,有可能被競爭對手非法截取;第二,網(wǎng)絡會計系統(tǒng)的合法用戶被非法入侵者仿冒;第三,網(wǎng)絡會計數(shù)據(jù)庫服務器被攻擊者攻擊得手;第四,網(wǎng)絡會計信息系統(tǒng)的處理程序被黑客或病毒非法修改。
2 基于內(nèi)部控制的網(wǎng)絡會計信息系統(tǒng)安全問題的控制
會計信息系統(tǒng)控制方法與技術會隨著具體控制目標的不同而有所不同,因此會計信息系統(tǒng)控制目標的設定對于選擇何種控制方法與技術至關重要。從總體上說,會計信息系統(tǒng)控制目標就是要盡可能確保會計信息系統(tǒng)的安全性、可靠性和有效性。
2.1一般控制方法
一般控制泛指各個應用系統(tǒng)均適用的控制,也叫基礎控制或環(huán)境控制,它的種類很多,比較重要的有:組織控制、系統(tǒng)開發(fā)與維護控制、整體安全或存取控制、硬件和系統(tǒng)軟件控制等。其中組織控制適合規(guī)劃信息中心和信息作業(yè),將不兼容的功能加以區(qū)分,或?qū)⒙氊熡枰詣澐?其基本目標是通過合理的職責分離和控制盡量減少發(fā)生錯誤和舞弊的可能性;系統(tǒng)開發(fā)及維護控制是用以確保信息系統(tǒng)軟件的開發(fā)、取得及其變更均經(jīng)過適當?shù)氖跈唷y試和許可的控制程序,其基本目標是提供安全可靠、處理正確的應用程序;整體安全或存取控制是用以確保只有經(jīng)過授權的使用者和程序才能存取應用程序及其數(shù)據(jù)文件的控制程序,其基本目標是實現(xiàn)分層控制目標;硬件和系統(tǒng)軟件控制是用以確保計算機設備處理數(shù)據(jù)完整的硬件控制及系統(tǒng)軟件控制。
2.2應用控制方法
應用控制專指那些專門為某個應用系統(tǒng)設計且執(zhí)行的控制。其具體方法如下:
(1)組織控制。在信息化環(huán)境下,組織控制著重可就以下兩個方面來設計:第一,信息部門和用戶部門功能的劃分;第二,信息部門內(nèi)部不相兼容職能的劃分。具體職責分離如下:信息部門不能負責業(yè)務的批準和執(zhí)行,所有業(yè)務均應由用戶部門發(fā)起或授權。信息部門負責控制該部門內(nèi)進行的數(shù)據(jù)處理,檢查處理中發(fā)生的錯誤并糾正本部門產(chǎn)生的錯誤,控制在更正錯誤后重新輸入并處理數(shù)據(jù);用戶部門負責更正產(chǎn)生于信息部門以外的錯誤,并將更正后的數(shù)據(jù)重新傳遞到信息部門進行處理。信息部門不能保管除計算機系統(tǒng)以外的任何資產(chǎn)。所有業(yè)務記錄與主文件記錄的改變均需用戶部門授權,信息部門無權私自改動業(yè)務記錄和有關文件。所有業(yè)務過程中產(chǎn)生的錯誤數(shù)據(jù)均應由用戶部門負責或授權改正,信息部門只允許改正數(shù)據(jù)在輸入、處理、輸出過程中由于操作疏忽而引起的錯誤。所有現(xiàn)有系統(tǒng)的改進、新系統(tǒng)的應用都由用戶部門授權,信息部門無權私自修改系統(tǒng)程序。
(2) 輸入控制。輸入控制用來防止或發(fā)現(xiàn)在數(shù)據(jù)的采集和輸入階段的數(shù)據(jù)錯誤,并保證輸入數(shù)據(jù)的完整性和經(jīng)過授權。典型的輸入控制有以下幾種:輸入授權控制,通過該控制可確保輸入員是經(jīng)過系統(tǒng)授權的;業(yè)務審批控制,一切業(yè)務在進入系統(tǒng)處理之前,必須經(jīng)過主管領導的審批。操作員無權審批業(yè)務,也不能擅自修改業(yè)務記錄;輸入校驗控制,輸入校驗控制主要包括試算平衡控制、憑證連續(xù)編號控制、時序控制、科目合法或非法對應關系控制、邏輯關系控制、總量控制、校驗碼控制、二次輸入控制等。
(3)處理控制。數(shù)據(jù)輸入計算機后,按照預定的程序進行加工處理,在數(shù)據(jù)處理過程中極少人工干預,一般控制和輸入控制對保證數(shù)據(jù)處理的正確和可靠起著非常重要的作用。但是針對計算錯誤、用錯文件、用錯記錄、用錯程序、輸入數(shù)據(jù)錯誤在輸入過程中沒檢查出來等情況,還必須在處理過程中設置處理控制。這些處理控制措施大都為糾正性和檢查性控制,而且多是程序控制。處理控制主要包括以下幾種控制措施:業(yè)務時序控制,業(yè)務數(shù)據(jù)處理一般具有時序性,某一處理過程的運行結(jié)果取決于若干相關條件過程處理的完成,所以可以在程序中增加業(yè)務時序控制,例如憑證輸入計算機后不經(jīng)審核直接記賬,系統(tǒng)程序不予處理。數(shù)據(jù)有效性檢驗,要保證所處理的數(shù)據(jù)來自正確文件和記錄,可采用的控制措施主要有:①文件標簽校驗。在處理數(shù)據(jù)文件之前,要認真檢查文件的外部標簽,確認所要處理的文件;計算機在對數(shù)據(jù)文件處理前,檢查文件的內(nèi)部標簽。外部標簽的設置是手工控制,內(nèi)部標簽屬于程序化控制。②業(yè)務編碼校驗。業(yè)務數(shù)據(jù)文件包含各種類型的業(yè)務數(shù)據(jù),業(yè)務類型可由業(yè)務編碼識別。在應用程序中,先讀出業(yè)務編碼,以決定由相應的程序處理,業(yè)務編碼校驗控制可提高程序處理不同業(yè)務的準確性。
(4)輸出控制。輸出控制的基本控制目標是保證信息系統(tǒng)所處理的資料完整、正確,所處理的結(jié)果正確,并且保證只有經(jīng)過授權的部門和人員才能獲得這些輸出資料。為此,可采取以下一些控制手段:①輸出授權控制。信息系統(tǒng)的輸出方式主要有:打印輸出、屏幕查詢輸出、磁盤輸出以及網(wǎng)絡傳送等。每一種輸出方式都應有相應的權限控制,只有經(jīng)過授權的人方可執(zhí)行權限內(nèi)的輸出操作。在會計軟件中的查賬權便是這種輸出控制手段的體現(xiàn)。②總數(shù)核對控制。采用這種控制手段能夠?qū)δ骋唤?jīng)濟業(yè)務的輸入總數(shù)、處理總數(shù)以及輸出總數(shù)相核對,以避免漏記、重記或誤記等錯誤發(fā)生。一定程度上可以驗證輸出數(shù)據(jù)的完整性。③靜態(tài)目測檢查控制。也可稱為輸出數(shù)據(jù)驗證控制,它是以人工方式審校輸出結(jié)果,檢查其正確性、完整性。④輸出信息的分發(fā)控制。信息系統(tǒng)的輸出信息只能分發(fā)給有權利用的人使用,為此可采用系統(tǒng)發(fā)送留跡和設置輸出報告發(fā)送登記簿,詳細記錄報告發(fā)送份數(shù)、時間、接受人等事項。
主要參考文獻
[1] 蔡立新.電子商務環(huán)境下內(nèi)部控制理念創(chuàng)新研究[M].上海:立信會計出版社,2006:292-298.
[2] 傅元略.企業(yè)信息化下的財務監(jiān)控[M].北京:中國財政經(jīng)濟出版社,2003.
[3] 許永斌.基于互聯(lián)網(wǎng)的會計信息系統(tǒng)控制[J].會計研究,2000(8):35-39.
[4] 田志剛,劉秋生.現(xiàn)代管理型會計信息系統(tǒng)的內(nèi)部控制研究[J].會計研究,2003(4):15-18.
[5] 劉志遠,劉潔.信息技術條件下的企業(yè)內(nèi)部控制[J].會計研究,2001(12):32-36.
