中國(guó)計(jì)算機(jī)報(bào)
天氣再熱也熱不過(guò)熱火朝天的中國(guó)證券市場(chǎng)。2007年，股票成為我國(guó)全民關(guān)注的焦點(diǎn)。股市火爆的背后，誰(shuí)在冷靜思考？
2007年5月25日，企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)第三次全體會(huì)議在北京友誼賓館低調(diào)舉行。會(huì)議對(duì)企業(yè)內(nèi)部控制規(guī)范征求意見(jiàn)稿和若干項(xiàng)具體規(guī)范討論稿進(jìn)行了深入討論?？梢?jiàn)，作為現(xiàn)代企業(yè)內(nèi)控的重要手段和考量目標(biāo)之一，IT內(nèi)審重新引起了企業(yè)的廣泛關(guān)注。
本期專(zhuān)題，就IT內(nèi)審的目的與現(xiàn)狀、中國(guó)企業(yè)IT內(nèi)審的特點(diǎn)和難點(diǎn)、以及如何形成中國(guó)IT內(nèi)審規(guī)范，展開(kāi)了深入的探討和調(diào)查分析。
“中國(guó)薩班斯”進(jìn)行時(shí)
證監(jiān)會(huì)紀(jì)委書(shū)記、企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)副主席李小雪在企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)第三次全體會(huì)議上表示，建設(shè)企業(yè)內(nèi)部控制標(biāo)準(zhǔn)體系是資本市場(chǎng)的一件大事——健全有效的內(nèi)部控制可以提高上市公司財(cái)務(wù)報(bào)告的有效性；可以保障公司資產(chǎn)安全，減少舞弊事件發(fā)生，堵塞漏洞，有效提高風(fēng)險(xiǎn)防范能力，降低公司風(fēng)險(xiǎn)；可以提高公司經(jīng)營(yíng)效益及效率，提升上市公司質(zhì)量。
我國(guó)對(duì)企業(yè)內(nèi)部控制評(píng)價(jià)的關(guān)注始于上個(gè)世紀(jì)80年代末，但當(dāng)時(shí)的評(píng)價(jià)大都流于形式?！般y廣夏”等上市公司財(cái)務(wù)舞弊事件、“中航油事件”等等因內(nèi)部控制失效造成財(cái)產(chǎn)重大損失的案件，在一定程度上要?dú)w咎于企業(yè)內(nèi)控機(jī)制的不健全。
此后，我國(guó)政府開(kāi)始重視內(nèi)控評(píng)價(jià)的規(guī)范化建設(shè)。審計(jì)署、財(cái)政部、證監(jiān)會(huì)、銀監(jiān)會(huì)等組織均出臺(tái)了關(guān)于內(nèi)部控制評(píng)價(jià)方面的規(guī)范，而2006年則是關(guān)于上市公司企業(yè)內(nèi)控規(guī)范討論最為熱鬧的一年。
2006年6月5日，上海證券交易所出臺(tái)了《上海證券交易所上市公司內(nèi)部控制指引》，對(duì)上市公司內(nèi)控制度和風(fēng)險(xiǎn)管理制度出臺(tái)了重要規(guī)定，引起了業(yè)界的強(qiáng)烈反響。
在信息技術(shù)無(wú)處不在的今天，IT既是企業(yè)內(nèi)控的一個(gè)有效手段，同時(shí)IT本身又充滿(mǎn)了風(fēng)險(xiǎn)，成為內(nèi)控的重要目標(biāo)之一。因此， IT內(nèi)審引起了廣泛關(guān)注。科索路咨詢(xún)公司還專(zhuān)門(mén)對(duì)此發(fā)布了《IT內(nèi)審調(diào)研報(bào)告》。
2006年7月15日，財(cái)政部聯(lián)合國(guó)資委、證監(jiān)會(huì)、審計(jì)署、銀監(jiān)會(huì)、保監(jiān)會(huì)發(fā)起成立了“企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)”，旨在“基本建立一套以防范風(fēng)險(xiǎn)和控制舞弊為中心、以控制標(biāo)準(zhǔn)和評(píng)價(jià)標(biāo)準(zhǔn)為主體，結(jié)構(gòu)合理、內(nèi)容完整、方法科學(xué)的內(nèi)部控制標(biāo)準(zhǔn)體系，推動(dòng)企業(yè)完善治理結(jié)構(gòu)和內(nèi)部約束機(jī)制”。委員會(huì)的成立被視為中國(guó)版“薩班斯法案”即將出臺(tái)的前兆，中國(guó)內(nèi)部審計(jì)協(xié)會(huì)會(huì)長(zhǎng)王道成當(dāng)時(shí)曾向媒體表示，3年之內(nèi)中國(guó)就會(huì)有自己的“薩班斯法案”。
2006年9月28日，深圳證券交易所《上市公司內(nèi)部控制指引》發(fā)布，規(guī)定深市主板上市公司要建立完備的內(nèi)部控制制度。在2007年7月1日文件正式生效后，上市公司均需按要求披露內(nèi)控制度制訂和實(shí)施情況。
很多人都相信，具有強(qiáng)制效力的中國(guó)上市公司內(nèi)控法規(guī)就要形成，甚至有很多企業(yè)或個(gè)人認(rèn)為隨著企業(yè)內(nèi)控法規(guī)的形成，與IT內(nèi)審相關(guān)的咨詢(xún)或者軟件將是一個(gè)很好的市場(chǎng)機(jī)會(huì)，并雄心壯志地投身到這一領(lǐng)域。
但是到了2007年，在股市熱潮背后，關(guān)于企業(yè)內(nèi)控和IT內(nèi)審規(guī)范工作似乎處于停滯狀態(tài)。有些曾經(jīng)看好IT內(nèi)審市場(chǎng)機(jī)會(huì)的公司開(kāi)始后悔自己當(dāng)初的決定。這不禁讓人懷疑，難道牛市的今天企業(yè)內(nèi)控就不那么重要了？IT內(nèi)審的熱潮從此告一段落？
審迫在眉睫
事實(shí)遠(yuǎn)非如此。
2007年3月，企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)公布了《企業(yè)內(nèi)部控制規(guī)范——基本規(guī)范》和17項(xiàng)具體規(guī)范(征求意見(jiàn)稿)，并開(kāi)始向有關(guān)單位和專(zhuān)家征求意見(jiàn)。
2007年5月25日，由企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)主席、財(cái)政部副部長(zhǎng)王軍親自參加的企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)第三次全體會(huì)議在北京友誼賓館低調(diào)舉行，會(huì)議對(duì)企業(yè)內(nèi)部控制規(guī)范征求意見(jiàn)稿和若干項(xiàng)具體規(guī)范討論稿進(jìn)行了深入討論。
財(cái)政部還表示，將根據(jù)本次會(huì)議討論的情況盡快修訂企業(yè)內(nèi)部控制規(guī)范征求意見(jiàn)稿和討論稿，抓緊建立中國(guó)企業(yè)內(nèi)部控制標(biāo)準(zhǔn)體系。所有這一切都證明，盡管沒(méi)有聲勢(shì)浩大的活動(dòng)進(jìn)入人們的視野，但“中國(guó)的薩班斯法案”依舊在緊鑼密鼓地醞釀中。
業(yè)內(nèi)人士分析，盡管今天企業(yè)內(nèi)部控制規(guī)范征求意見(jiàn)稿依舊在討論中，但是一旦被確定，肯定會(huì)和薩班斯法案一樣對(duì)上市企業(yè)具有強(qiáng)制性的約束。毫無(wú)疑問(wèn)，盡管還有上市公司對(duì)IT內(nèi)審沒(méi)有足夠重視，但I(xiàn)T內(nèi)審是否規(guī)范必將成為上市公司存在的必要條件之一。
現(xiàn)代企業(yè)的經(jīng)營(yíng)越來(lái)越依賴(lài)于信息系統(tǒng)，除了傳統(tǒng)意義上的經(jīng)營(yíng)風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)和財(cái)務(wù)風(fēng)險(xiǎn)，企業(yè)信息系統(tǒng)的安全性導(dǎo)致的信息風(fēng)險(xiǎn)日益增長(zhǎng)。同時(shí)對(duì)大部分企業(yè)來(lái)說(shuō)，信息技術(shù)已經(jīng)融入到企業(yè)各項(xiàng)業(yè)務(wù)中。IT內(nèi)審作為企業(yè)內(nèi)部控制的一個(gè)重要手段和對(duì)象，已經(jīng)得到政府相關(guān)機(jī)構(gòu)、企業(yè)和咨詢(xún)機(jī)構(gòu)普遍認(rèn)可。
目前的《企業(yè)內(nèi)部控制具體規(guī)范(征求意見(jiàn)稿)》中，專(zhuān)門(mén)提出了計(jì)算機(jī)信息系統(tǒng)的征求意見(jiàn)稿，就總則，崗位分工與授權(quán)審批，信息系統(tǒng)開(kāi)發(fā)、變更與維護(hù)控制，信息系統(tǒng)訪問(wèn)安全，硬件管理和會(huì)計(jì)電算化及其控制等六個(gè)方面提出了43條詳細(xì)征求意見(jiàn)。
企業(yè)表現(xiàn)各不相同
“招聘資深內(nèi)審員，要求具有5年以上跨國(guó)公司會(huì)計(jì)與財(cái)務(wù)方面工作經(jīng)驗(yàn)，并有IT系統(tǒng)審計(jì)方面的工作經(jīng)驗(yàn)”。最近，“IT內(nèi)審員”的新鮮職位已經(jīng)開(kāi)始出現(xiàn)在各大招聘網(wǎng)站。
很多被訪企業(yè)表示，他們已經(jīng)或者正在考慮采用新的技術(shù)手段來(lái)輔助企業(yè)內(nèi)部控制工作，比如說(shuō)中信集團(tuán)公司早已經(jīng)在2005年就開(kāi)始采用加拿大審計(jì)軟件ACL、易通審計(jì)軟件開(kāi)展審計(jì)。
承接企業(yè)內(nèi)控咨詢(xún)業(yè)務(wù)的會(huì)計(jì)師事務(wù)所或咨詢(xún)公司表示，他們所接觸的IT內(nèi)審業(yè)務(wù)在明顯增加。
……
種種跡象表明，IT內(nèi)審規(guī)范的推動(dòng)并沒(méi)有停滯不前，之所以讓人感覺(jué)“停滯”，主要是因?yàn)橐韵聨追矫娴脑颍?br />
首先，很多企業(yè)對(duì)于內(nèi)部控制仍然采取比較被動(dòng)的態(tài)度。對(duì)于那些早在國(guó)內(nèi)上市的企業(yè)，由于上交所和深交所出臺(tái)的《指引》對(duì)他們沒(méi)有強(qiáng)制性的約束，沒(méi)有對(duì)內(nèi)控的緊迫感。而那些在海外上市或者新上市的企業(yè)，大都是為了滿(mǎn)足上市條件或者相關(guān)法規(guī)而被迫進(jìn)行內(nèi)部控制和IT內(nèi)審。在香港上市的某公司的CIO告訴記者，對(duì)他們來(lái)說(shuō)，IT內(nèi)審就是每隔一段時(shí)間按照會(huì)計(jì)師事務(wù)所提供的一張單子中對(duì)IT的要求落實(shí)就可以了。
其次，目前大部分企業(yè)的IT內(nèi)審工作主要是交給第三方機(jī)構(gòu)來(lái)辦理的。很多在海外上市或者被外資公司控股，特別是在美國(guó)上市的企業(yè)，早已經(jīng)通過(guò)第三方機(jī)構(gòu)在IT審計(jì)方面走在了前面。第三方機(jī)構(gòu)對(duì)這塊業(yè)務(wù)駕輕就熟，更多的企業(yè)選擇IT內(nèi)審對(duì)他們來(lái)說(shuō)只是業(yè)務(wù)量的增加，因而沒(méi)有引起大范圍的討論。
第三，很多企業(yè)雖然已經(jīng)意識(shí)到IT內(nèi)審的重要性，但是苦于IT基礎(chǔ)太差、缺乏相關(guān)經(jīng)驗(yàn)而暫時(shí)擱置。亞新科工業(yè)技術(shù)有限公司是一家總部設(shè)在北京的外資企業(yè)。為了讓企業(yè)健康穩(wěn)定地發(fā)展，公司從1999年就已經(jīng)建立了完整的內(nèi)部制度，并且還專(zhuān)門(mén)成立了內(nèi)控部。但是，公司內(nèi)控部總監(jiān)麻蔚冰告訴記者，目前他們還沒(méi)有實(shí)現(xiàn)IT內(nèi)審。他認(rèn)同隨著信息技術(shù)在企業(yè)廣泛應(yīng)用，IT內(nèi)審是企業(yè)內(nèi)部控制的必然趨勢(shì)。亞新科從去年就開(kāi)始關(guān)注這一趨勢(shì)，但由于公司內(nèi)部的IT建設(shè)還不夠完善，再加上IT內(nèi)審所牽涉的東西非常復(fù)雜，暫時(shí)也沒(méi)有好的經(jīng)驗(yàn)可以借鑒，所以目前尚處在探索中。
規(guī)范形成尚待時(shí)日
那么，適合中國(guó)的IT內(nèi)審到底該怎么做？如何形成適合中國(guó)國(guó)情的IT內(nèi)審？
很多企業(yè)都希望 《企業(yè)內(nèi)部控制具體規(guī)范(征求意見(jiàn)稿)》能夠給他們未來(lái)的IT內(nèi)審提供有用的參考。
王軍在企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)第三次全體作會(huì)議上也強(qiáng)調(diào)，內(nèi)部控制標(biāo)準(zhǔn)體系建設(shè)要著力處理好借鑒國(guó)際和順應(yīng)國(guó)情的關(guān)系。目前，在尚未形成自己的規(guī)范并且沒(méi)有更好的辦法之前，業(yè)界已經(jīng)認(rèn)識(shí)到“西學(xué)中用”是最好的選擇。
德勤咨詢(xún)公司企業(yè)風(fēng)險(xiǎn)管理服務(wù)高級(jí)經(jīng)理周梓滔告訴記者，目前的征求意見(jiàn)稿中不僅參照了薩班斯法案，還參照了很多地方的相關(guān)法規(guī)。
但是業(yè)內(nèi)人士分析，畢竟中國(guó)企業(yè)有很強(qiáng)的特色，必須在參照這些經(jīng)驗(yàn)的同時(shí)充分考慮中國(guó)企業(yè)自身的特色。
記者就IT內(nèi)審規(guī)范這個(gè)問(wèn)題撥通財(cái)務(wù)部會(huì)計(jì)司企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)某一負(fù)責(zé)人的電話時(shí)，得到回答是，征求意見(jiàn)稿中“計(jì)算機(jī)信息系統(tǒng)”部分還只是“征求意見(jiàn)稿”，希望有經(jīng)驗(yàn)的咨詢(xún)公司和專(zhuān)業(yè)人員能夠積極參與，提供有用的建議。
在訪談了一些內(nèi)控咨詢(xún)專(zhuān)家、企業(yè)內(nèi)控工作者后，記者認(rèn)為以下幾個(gè)方面是在建立IT內(nèi)審規(guī)范過(guò)程中最不能忽視的：首先，企業(yè)對(duì)IT內(nèi)審的重視不夠；其次，企業(yè)的IT建設(shè)不夠完善，建立像美國(guó)上市公司那樣的IT內(nèi)審難度較大；第三，企業(yè)IT內(nèi)審部門(mén)的歸屬問(wèn)題不明確：目前國(guó)內(nèi)企業(yè)審計(jì)部門(mén)獨(dú)立的就比較少，而IT內(nèi)審既涉及審計(jì)又涉及IT，歸屬問(wèn)題就更加不好確定；第四，IT內(nèi)審的投入成本大，美國(guó)的大型公司僅在第一年建立內(nèi)部控制系統(tǒng)的平均成本就高達(dá)430萬(wàn)美元，這對(duì)規(guī)模偏小的中國(guó)上市企業(yè)來(lái)說(shuō)是不現(xiàn)實(shí)的……
由此可見(jiàn)，我國(guó)要建立完善的IT內(nèi)審規(guī)范還需時(shí)日，但對(duì)于企業(yè)來(lái)講，未雨綢繆卻必不可少。否則具有法律約束力的規(guī)范一旦執(zhí)行，臨時(shí)抱佛腳幾乎是不可行的——因?yàn)槠髽I(yè)的IT建設(shè)本身就不是一蹴而就的事情。
鏈接:關(guān)于薩班斯法案
2002年7月25日，美國(guó)國(guó)會(huì)通過(guò)了《2002年薩班斯—奧克斯利法案》(也稱(chēng)《2002年公眾公司會(huì)計(jì)改革和投資者保護(hù)法案》，簡(jiǎn)稱(chēng)《薩班斯法案》)。該法案由美國(guó)總統(tǒng)布什在2002年7月30日簽署成為美國(guó)正式法律?！端_班斯法案》不僅對(duì)《證券法》(1933)和《證券交易法》(1934)這兩部證券監(jiān)管的重要法律做了修改和補(bǔ)充，而且還對(duì)會(huì)計(jì)行業(yè)的監(jiān)督、審計(jì)獨(dú)立性、財(cái)務(wù)信息披露、公司責(zé)任、證券分析師行為、證券交易委員會(huì)的權(quán)利和責(zé)任等諸多方面做了新的規(guī)定。
