（工商管理专业论文）通信设备维护中的控制活动设计.pdf

通信设备维护中的控制活动设计 摘要 随着安然，世通等世界知名公司以及银广夏、蓝田股份等国内上 市公司相继暴露出严重的管理层欺诈丑闻，上市公司深陷信用危机。而 会计系统的漏洞、管理层的失职、内部控制的缺乏以及外部审计人员的 道德风险是导致管理层欺诈丑闻的根本原因。为了重树公司信用，规范 高级管理层与注册会计师的关系和职业道德，美国2 0 0 2 年7 月颁布了 萨班斯一奥克斯利法案，要求在美国上市的公司都必须满足该法案 各项条款的要求，而国内也加强了对上市公司的管理层监管、风险管理 和内部控制的要求。 面对这样的形势，通信运营企业应该如何解决自身内部控制和风 险管理的问题? 作为最基础的通信网络运维部门应该如何满足内部控 制的要求? 论文结合中国网通近两年来内部控制项目实施的实际情况 和圆满通过外部审计师审计的经验，对目前通信网络设备维护工作中存 在的问题和相应带来的风险进行剖析，通过对应控制活动的设计，探索 通信网络运维部门满足企业内部控制要求的解决途径。 论文分为五个部分：第一部分分析通信运营商进行风险控制的背 景、目的及必要性；第二部分对风险、内部控制、c o s o 及其框架、控 制活动等概念简单阐述；第三部分结合中国网通的内部控制项目的实 际，分析通信设备维护工作中存在的风险问题，提出控制活动构建思路； 第四部分介绍网络运营维护流程中控制活动设计的建议，主要分为业务 实现、资源管理、网络监控、故障处理等几个方面；第五部分介绍计费 相关通信设备维护中控制活动设计的建议。主要分为安全管理、计费参 数维护、备份管理和变更管理四个方面。 关键词：通信设备维护、内部控制、控制活动、设计 c o n n 己o la c t i v i t i e sd e s i g n o fc o m m u n i c a t i o n se q u i p m e n tm a i n t e n a n c e a b s t r a c t w i t he n r o n , w o r l d c o m ，a n do t h e rw o r l d - r e n o w n e dc o m p a n i e s ，a n dy i n g u a n gx i a 、l a nt i a ns h a r e so fd o m e s t i cl i s t e dc o m p a n i e s ，h a v ee x p o s e d s e r i o u sm a n a g e m e n tf r a u ds c a n d a l s ，l i s t e dc o m p a n i e sb o g g e dd o w ni nc r e d i t c r i s i s t h el o o p h o l e sa n da c c o u n t i n gs y s t e m s ，t h em a n a g e m e n to fd e r e l i c t i o no f d u t ya n dt h el a c ko fi n t e r n a lc o n t r o la n de x t e r n a la u d i ts t a f fi st h em o r a lh a z a r d m a n a g e m e n tf r a u d s c a n d a ll e dt ot h er o o tc a u s e s i n o r d e rt or e s t o r et h e c o m p a n yc r e d i t ，r e g u l a t e s e n i o r m a n a g e m e n ta n dr e g i s t e r e da c c o u n t a n t s r e l a t i o n s ，a n dp r o f e s s i o n a le t h i c s ，t h eu n i t e ds t a t e si nj u l y2 0 0 2 ，p r o m u l g a t e d t h e s a r b a n e s o x l e ya c t i nu s - l i s t e dc o m p a n i e sw e r er e q u i r e dt om e e tt h e r e q u i r e m e n t so ft h ep r o v i s i o n so ft h eb i l l ，w h i l ea l s os t r e n g t h e n i n gt h ed o m e s t i c l i s t e dc o m p a n i e st h em a n a g e m e n to fr e g u l a t o r y , r i s km a n a g e m e n ta n di n t e m a l c o n t r o lr e q u i r e m e n t s f a c e dw i t ht h i sk i n do fs i t u a t i o n ，h o wt e l e c o mc o m p a n i e ss h o u l ds o l v e t h e i ro w ni n t e r n a lc o n t r o la n dr i s km a n a g e m e n ti s s u e s ? a st h em o s tb a s i c c o m m u n i c a t i o n sn e t w o r ko p e r a t i o ns e c t o rs h o u l db eh o wt os a t i s f yt h ei n t e r n a l c o n t r o lr e q u i r e m e n t s ? p a p e r sw i t hc h i n an e t c o mo v e rt h ep a s tt w oy e a r so f i n t e r n a lc o n t r o li m p l e m e n t a t i o no ft h ep r o j e c ts u c c e s s f u l l yt h r o u g ht h ea c t u a l s i t u a t i o na n dt h ee x t e r n a la u d i t o r s a u d i t e x p e r i e n c e ，t h e c u r r e n t t e l e c o m m u n i c a t i o n sn e t w o r ke q u i p m e n tm a i n t e n a n c ew o r ka n dt h ep r o b l e m s t h a te x i s ti nt h ec o r r e s p o n d i n gr i s k a n a l y s i s ，a n dc o r r e s p o n d i n g c o n t r o l a c t i v i t i e s t h r o u g ht h ee s t a b l i s h m e n t ，d i s c o v e r yc o m m u n i c a t i o n sn e t w o r k o p e r a t i o nd e p a r t m e n t sm e e te n t e r p r i s e s 丽t ht h ei n t e m a lc o n t r o lr e q u i r e m e n t s o ft h eo v e r a l ls o l u t i o n p a p e ri sd i v i d e di n t of i v ep a r t s ：t h ef i r s tp a r to ft h er i s kc o m m u n i c a t i o n o p e r a t o r sc o n t r o lt h eb a c k g r o u n d ，p u r p o s ea n dn e c e s s i t y ；t h es e c o n dp a r ti st h e s i m p l ec o n c e p te l a b o r a t e do fr i s k ，i n t e m a lc o n t r o l ，c o s oa n di t sf r a m e w o r k , c o n t r o la c t i v i t i e s ；t h et h i r dp a r to ft h ei n t e r n a lc o m b i n a t i o nc h i n an e t c o mt h e a c t u a lc o n t r o l ，m a i n t e n a n c eo fc o m m u n i c a t i o n se q u i p m e n ti nt h ew o r ko ft h e r i s k s ，c o n t r o la c t i v i t i e sb yc o n s t r u c t i n gi d e a s ；t h ep a r ti vi n t r o d u c e dc o n t r o l a c t i v i t i e ss e tr e c o m m e n d a t i o n si nt h ef l o wo fn e t w o r ko p e r a t o r sm m m m i l ， d i v i d e di n t ob u s i n e s sr e a l i z a t i o n ，r e s o u r c em a n a g e m e n t ，n e t w o r km o n i t o r i n g ， f a u l t h a n d l i n g ，a n d s e v e r a lo t h e r a s p e c t s ；p a r t vo n b i l l i n g r e l a t e d c o m m u n i c a t i o n se q u i p m e n tt os a f e g u a r dt h ed e s i g no ft h ep r o p o s e dc o n t r o l a c t i v i t i e s c o n s i s t so fs a f e t ym a n a g e m e n t ，b i l l i n gp a r a m e t e r sm a i n t e n a n c e ， b a c k u pm a n a g e m e n ta n dc h a n g em a n a g e m e n ti nf o u ra s p e c t s ； k e yw o r d s ：c o m m u n i c a t i o n se q u i p m e n tm a i n t e n a n c e ，i n t e r n a lc o n t r o l ， c o n t r o la c t i v i t i e s ，d e s i g n 独创性( 或创新性) 声明 本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研究成 果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不包含 其他人已经发表或撰写过的研究成果，也不包含为获得北京邮电大学或其他教育机 构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均 已在论文中作了明确的说明并表示了谢意。 申请学位论文与资料若有不实之处， 本人签名： 本人承担一切相关责任 日期： q 2 ：! ! ： 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定，即：研究 生在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学校有权保留并向国 家有关部门或机构送交论文的复印件和磁盘，允许学位论文被查阅和借阅；学校可以 公布学位论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存、汇 编学位论文。( 保密的学位论文在解密后遵守此规定) 保密论文注释：本学位论文属于保密在一年解密后适用本授权书。非保密论 文注释：本学位论文不属于保密范围，适用本授权书。 本人签名： 导师签名： 日期： 2 ：! ! ：f 嗍：_ 笋出l 北京邮电大学t 商管理硕i ：专业学位论文 第l 页共2 9 页 - 一 刖舌 我国电信业在政府政策的宏观调控下，按照“打破垄断、公平竞争、优化配置、 加强监督一的指导方针，实施了重组整合，基本形成了目前移动、电信、网通、联 通四大运营企业分足鼎力的局面，并且先后都在美国完成了上市，共同参与激烈的 电信市场竞争。 而随着众多知名企业相继爆出管理层欺诈丑闻，美国总统布什签署了 成立独立的公众公司会计监察委员会，监管执行上市公司审计职业 通信设备维护中的控制活动设计 北京邮电大学工商管理硕：f ：专业学位论文第3 页共2 9 页 要求加强注册会计师的独立性 要求加大公司的财务报告责任 要求强化财务披露义务 加重了违法行为的处罚措施 增加经费拨款，强化美国证券管理委员会的监管职能 要求美国审计总署加强调查研究 ( 2 ) 在众多条款中与上市公司管理层直接相关的，需要公司付出努力和成本最 大的就是： 第3 0 2 条款公司对财务报告的责任：对于按照1 9 3 4 年证券交易法编 制定期报告的公司，应要求这些公司的首要官员( 们) 及首要财务官( 们) ( 或担 任同等职务的人员) 在每一年度报告或季度报告中保证如下内容： 签字的官员已审阅过该报告。 该官员认为报告中不存在重大的错报、漏报。 该官员认为报告中的会计报表及其他财务信息在所有重大方面，公允地反 映了公司在该报告期末的财务状况及该报告期内的经营成果。 签字官员：对建立及保持内部控制负责；设计了所需的内部控制，以保证 这些官员能知道该公司及其并表子公司的所有重大信息，尤其是报告期内 的重大信息；评价公司的内部控制在签署报告前9 0 天内的有效性；在该 定期报告中发布他们上述评价的结论。 签字官员已向公司的审计师及董事会下属的审计委员会( 或担任同等职务 的人员) 披露了如下内容：内部控制的设计或执行中，对公司记录、处理、 汇总及编报财务数据的功能产生负面影响的所有重大缺陷。以及向公司的 审计师指出内部控制的重大缺点；在内部控制中担任重要职位的管理人员 或其他雇员的欺诈行为，而不论该行为的影响是否重大；签字官员应在报 告中指明在他们对内部控制评价之后，内部控制是否发生了重大变化，或 是其他可能对内部控制产生重要影响的因素，包括对内部控制的重大缺陷 或重要缺点的更正措施。 第4 0 4 条款管理层对内部控制的评价：在内部控制方面的要求s e c 应当相应的规定，要求按1 9 3 4 年证券交易法编制的年度报告中包含内部控制 报告，包括： 强调公司管理层建立和维护一套充分有效的内部控制系统及程序的责任。 包含一份最近一个财务年度年末的，对财务报告内部控制结构和程序有效 性的评估。要求上市公司的审计师依据会计监管委员会制定的标准证实并 报告管理层的评估。 管理层对内部控制的评价报告，担任公司年报审计的会计公司应当对其进 行测试和评价，并出具评价报告。上述评价和报告应当遵循委员会发布或 认可的准则。 通信设备维护中的控制活动设计 北京邮电大学_ t 商管理硕：专业学位论文第4 页共2 9 页 1 1 2 通信企业需要满足l ：萨班斯一奥克斯利法案 按照萨班斯法案生效时的约定，在美上市的大中型本土公司必须在2 0 0 4 年1 1 月1 5 日后结束的财政年度中遵守该法案。其他一些中小型公司和非美国本土公司 的遵守日期则约定在2 0 0 5 年7 月1 5 日。2 0 0 5 年3 月，美国证券交易委员会同意， 对海外公司和中小型美国公司的生效日期延期一年至2 0 0 6 年7 月1 5 日。 我国的四大通信运营企业中国移动、中国电信、中国网通、中国联通都是 在美国上市的海外公司，因此都必须满足 需要根据一个公认框架设计自己的内部控制体系 内部控制体系要达到标准化及书面化 内部控制体系的设计和执行是有效的，且有效性并得到管理层和外部审计 的评估 c e o c f o 的书面保证 必须在提交财务报告的同时提交1 个新的内控报告， 满足2 个新的外部审计要求( 内部控制的存在性和有效性) 由于种种原因，我国这四大通信运营企业提交第一个内控报告的时间为2 0 0 6 年1 2 月3 1 日。由于项目准备、启动早，参与人员多，中国网通的内控项目更是得 到国家相关部委的高度重视，中国网通被列为国资委“企业风险管理研究项目成 员单位和国有通信企业内控工作试点单位。 1 2 完善的内部控制体系对通信企业的意义 正是有了那么多知名企业由于风险管理和内部控制存在问题导致丑闻频发、破 产倒闭的教训，正是有了萨班斯奥克斯利法案的强制要求，通信企业才更必 须完善自己的风险管理和内部控制体系，而这样的投入也必将给通信企业带来目前 和长远的效益。 1 2 1 直接效益 从短时间看，建设完善、有效的内部控制体系，能够给通信企业带来以下几方 面的直接效益： 在资本市场方面，能够满足萨班斯奥克斯利法案的要求，满足资本市 场的法律法规要求；保证财务报表的准确、真实与完整；在国际资本市场 树立良好企业形象，增加投资者增持的信心，提高企业知名度并为海外市 场拓展和进一步融资打下良好基础。 在企业管理方面，能够建立符合现代企业管理制度并切合通信企业实际的 统一化、标准化的内部控制体系；完善企业治理结构以适应国际标准模式； 梳理企业内部管理流程，加快解决困扰国有企业多年的深层次问题；加强 通信设备维护中的控制活动设计 北京邮电大学t 商管理硕士专业学位论文第5 页共2 9 页 企业对分公司、子公司的监管力度，提高运营效率和效果；从而全面提升 企业的管理水平和市场竞争能力，树立国内电信行业乃至国有企业的典 范。 在企业文化方面，能够促进企业组织架构合理化，培养内部控制、企业管 理和项目管理的人才，增强企业的凝聚力、向心力，完善和丰富企业文化 建设。 1 2 2 长远效益 通过内部控制体系的建设能够逐步使通信企业在信息质量方面实现透明、及 时、精确和可预测，而这四个关键信息质量因素正是行业领先企业进行变革的目标。 企业获得的和披露的信息更加透明：简单化和标准化使得信息更容易被理 解和接受；管理层能够直接看到推动业务的相关因素。 相关信息产生和披露的更加及时：随着时间的推移，信息将快速的产生； 并能把相关信息快速的提供给投资者。 提供的信息更加精确：提供的数据客观，形象的表示了公司业绩；财务报 表更改的情况将很少发生。 企业具有更多的可预测性：企业业绩将更接近预期；持续的计划给管理层 和投资者提供了详实的数据，以便公司正确预测并应对商业环境的变化。 第二章内部控制基本概念 从上一章，背景和意义的分析不难看出内部控制对通信运营企业的重要性和必 要性，这一章我们了解一下内部控制的有关概念。 2 1 风险 风险是一种不确定性，它可能导致正面或负面结果。这种不确定性的来源可以 是技术的、人员的、经验的、外部竞争对手的、商业环境的、经济法律环境的。企 业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可 以能否为企业带来盈利等机会为标志，将风险分为纯粹风险( 只有带来损失一种可 能性) 和机会风险( 带来损失和盈利的可能性并存) 。 通信设备维护中的控制活动设计 北京邮i u 人学t 商管理顺 ? 专业学位论文第6 页共2 9 页 2 2 内部控制 内部控制被定义为一个过程一一是由公司董事会、管理层和其他员工实施的， 为实现经营的效果性和效率性、财务报告的可靠性以及适用法律、法规的遵循性等 目标提供合理保证的一个过程。内部控制的三个目标是经营效率与效果；财务报告 的可靠性；法律法规的遵行性。 内部控制作为一个过程，它是动态的，是需要企业全体职工了解的、遵守的并 努力实现的任务，而不仅仅是个别人、个别部门或者个别公司的任务。 2 3c o s o 框架 c o s o 内部控制框架是企业评估内部 控制的结构化分析工具，是由美国“反虚 假财务报告委员会”发起成立的一个赞助 组织委员会( c o m m i t t e eo fs p o n s o r i n g o r g a n i z a t i o n ，c o s o ) 在内部控制一一 整体框架的研究报告中提出的。c o s o 控制框架强调了财务报告的可靠性；强调 经营的效率和效果以及法律法规的遵循 性。包含控制环境、风险评估、控制活动、 信息与沟通、持续监控五个要素。 萨班斯法案中第4 0 4 条款所制定的 最终条例 ( f i n a lr u l e ) 明确表明 c o s o 内部控制框架可以作为评估企业内部控制的标准，虽然c o s o 内部控制框 架在 最终条例】中并非唯一的指定标准，但是美国证监会及美国执业会计师公会对 审计标准的有关征求意见稿中曾多次提及c o s o 为评估企业内部控制的标准。所 以，作为在美国上市的公司，较适宜采用c o s o 内部控制框架作为记录、评估公 司与财务报告相关的内部控制的标准和依据，因此我国的四大通信运营商也采纳了 c o s o 报告中的内部控制标准框架。 2 3 1 控制环境 控制环境是对企业内部控制的建立和实施具有重大影响因素的统称，包括管理 哲学和经营风格、组织结构、董事会及其委员会职能、职责分配和授权、人事政策 等。控制环境确定管理层对于经营管理的总体态度，勾勒出内部控制的基准和整体 框架，反映了公司最高领导层对于内部控制的根本基调，影响着员工的控制意识。 在框架中控制环境是推动企业的引擎，也是内部控制其他要素的基础。 通信设餐维护中的摔制活动设计 北京邮电大学工商管理硕士专业学位论文第7 页共2 9 页 2 3 2 风险评估 风险评估是公司对与其经营相关的风险进行识别、分析、评估的过程。风险评 估包含的要素有：目标设定、风险识别及评估，应对措施、会计政策变更程序等。 它是企业识别和分析实现其目标过程中来自内、外部的风险，并选择适合的方式进 行风险管理的一套管理机制。 2 3 3 控制活动 控制活动是基于风险评估的结果订立的，为有效控制风险和实现企业目标，确 保管理层指示得以贯彻执行的一系列政策和程序。控制活动贯穿于企业的所有业 务、层次和部门，具体分为预防性控制、检查性控制、纠正性控制、补偿性控制、 手工控制、自动控制等种类 2 3 4 信息和沟通 企业为了实现既定目标所建立的用以识别、获取并传递来自企业内部和企业外 部信息的系统。这些系统保证管理层与公司职员及时获取与其行使职责相关的足够 信息，并保持一个开放的与客户、供应商、监督部门及其他外部利益相关者的沟通 渠道。 2 3 5 持续监控 监控是企业为保证内部控制设计合理、并得到有效执行所采取的政策和程序， 是管理层采取的用来评估公司内控工作质量的持续的过程。包括：持续的监督、评 估定期监督和缺陷报告三个要素。 以上五个方面的内容共同构成了内部控制框架的主体，其中控制环境是基础； 风险评估是在内控目标出现偏差时得以纠正的保证；控制活动是内部控制的手段和 措施，是为实现目标采取的行动；贯穿于控制活动始终的是信息与沟通系统，它是 内部控制的载体；持续监控是内部控制得以良性运行的保证。这五个方面相互联系， 密切配合，共同构成一个整体。 2 4 确认控制活动 对内部控制的评价主要在于其设计和执行的有效性，归根到底在于每个重要业 务流程中的具体每个控制活动设计是否合理、执行是否有效，那控制活动究竟有哪 些典型分类昵? l 、授权审批控制( a u t h o r i z a t i o n ) ：根据公司内部规定和程序对执行的业务进 行授权审批；根据公司内部规定和程序对资产和数据的处理进行授权； 在通信设备维护中，设备、系统的操作权限授权或者由于某些重大原因造成的 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文第8 页共2 9 页 系统、设备变更的审批，就是典型的授权审批控制。 2 、异常报告、文档编辑记录控制( e x c e p t i o n e d i tr e p o r t ) ：对于违背标准或通 常情况的异常情况报告； 3 、数据传递、数据转换控制( i n t e r f a c e c o n v e r s i o nc o n t r o l s ) ：数据传递指在两 个计算机系统之间进行人工或自动数据的传递，数据转换指从原有系统向新系统转 移数据的过程。数据传递和数据转换控制即指在上述数据传递过程中为保证数据的 完整性，存在性，准确性，真实性和安全性所实施的控制程序。例如：通信设备维 护中，在网络运维部门与计费部门之间的计费数据的传递，就需要保证其传递过程 中的完整性、准确性、真实性和安全性； 4 、业绩考核指标( k e yp e r f o r m a n c ei n d i c a t o r ) ：业绩考核指标是管理层定期或 不定期从公司内部收集的，用于评价公司既定目标的完成程度的财务或非财务的量 化指标； 5 、独立复核( m a n a g e m e n tr e v i e w ) ：独立复核是指独立于业务实施人的第二 人对业务的实施程序和效果实施分析、复核，包括经理对下属工作的复核，以及同 事之间的复核； 6 、核对控制( r e c o n c i l i a t i o n ) ：核对控制指检查两个数据、或系统信息是否一 致； 7 、职责分离控制( s e g r e g a t i o no f d u t i e s ) ：职责分离控制指通过必要的岗位、 职责分离防止单个人通过单个职位犯下隐瞒错误，舞弊或违规行为。由于系统管理 员对系统的操作权限很大，因此系统管理员和数据操作人员就应该进行职责分离， 否则系统管理员对系统所进行的数据配置操作就不便于得到监控； 8 、系统接触权限控制( s y s t e ma c c e s s ) ：系统接触控制指对个人用户或用户群 在信息系统操作环境中的操作权限的设置。 9 、系统设置、会计科目的系统设置( c o n f i g u r a t i o n a c c o u n tm a p p i n gc o n t r o l s ) ： 通过系统设置保证数据在系统中适当的处理，通过系统设置保证业务数据被正确的 计入会计科目和报表科目 第三章中国网通的内部控制项目 通信设备维护中的控制活动设计 北京邮电大学工商管理硕： 专业学位论文第9 页共2 9 页 3 1 内部控制项目建设 中国网通自2 0 0 4 年1 0 月即开始着手推进内控体系建设，由张春江总裁亲自挂 帅，担任内部控制项目领导小组组长，集团、省、市分公司成立三级项目组织机构， 在各级分公司也都实行一把手亲自挂帅，建立了强有力的项目组织机构和管理团 队。为推动内控体系建设，公司建立了逐级承诺、逐级声明和问责到底的管理机制。 确立了风险管理与内控体系建设的“三步走”的实施步骤。第一步，从2 0 0 4 年1 0 月到2 0 0 6 年末，建立集团上市范围内满足 萨班斯法案监管要求的内部控制体 系；第二步，从2 0 0 6 年末到2 0 0 7 年末，在上市范围内满足萨班斯法案监管要 求的基础上，逐步建立与完善网通集团内部控制体系，并向南方各省分公司、海外 公司等进行推广，最终建立网通集团范围内全面内部控制体系；第三步，从2 0 0 7 年末以后不断完善内控体系，向全面风险管理体系过渡，建立风险管理和内部控制 长效管理机制。 2 0 0 4 年1 0 月开始，中国网通集团公司与外部咨询公司德勤公司成立集团 内部控制项目组，4 0 人左右，工作重点在于对一些典型分公司进行调研，并根据 调研情况着手内部控制架构和标准文档的设计；2 0 0 5 年1 0 月，项目进入推广阶段， 整个集团项目组增加至将近2 0 0 人，并根据专业分为了l o 个内控项目工作组，分 别是项目管理办公室( p m o ) 和公司层面控制( c o s o ) 组、市场组、计费组、采购 物流组、固定资产组、i t 组、网运组、人力资源组、财务组等9 个专业组，重点 工作是通过试推广对内部控制架构和标准文档进行验证，并获得合适的推广方式， 对北方上市的十个省分公司进行培训、推广；2 0 0 6 年3 月开始，整个项目进入测 试和整改阶段，对项目范围内的省市分公司进行两轮符合性测试，对于内部控制执 行的缺陷进行整改，保证2 0 0 6 年底通过普华的外部审计。目前，北方上市的十个 省分公司的内部控制工作已经在每年正常开展了，而南方的网通分公司也已经于 2 0 0 7 年开始了内部控制项目的推广工作。 3 2 内部控制项目成绩 在近三年的时间里，中国网通全集团十余万名员工先后参加了各级内部控制管 理培训，有5 0 0 0 多名员工直接参与了内控项目工作。完成了1 4 7 个单位的内控体 系建设，共梳理内控流程6 9 2 0 个，对近1 6 0 0 0 个关键控制活动进行了测试。2 0 0 7 年5 月3 1 日，普华永道在美国证券交易委员会( s e c ) 的2 0 f 报告中，对中国网 通内控工作正式出具了无保留意见的审计报告，标志着中国网通成为率先通过美国 萨班斯法案4 0 4 条款的国内电信运营商。在内控体系建设过程中，得到了国资 委等国家部委的大力支持，国资委领导多次亲临现场指导，并将中国网通列为“企 业风险管理研究项目”成员单位和国有通信企业内控工作试点单位：2 0 0 6 年1 2 月， 中国网通报送的基于全面风险管理的内部控制体系构建与实施内控创新项目被 评为第十三届全国企业管理现代化创新成果一等奖。 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文 第1 0 页共2 9 页 通过内部控制建设，中国网通公司初步建立起了一套基于全面风险管理、符合 国内外监管及法律要求的内部控制体系，企业法人治理结构日趋完善，企业内部流 程得到了梳理，信息披露质量不断提高，基础管理和执行力明显加强，企业运营效 率日益提升，实现了由粗放经营到精细经营的转变。 3 3 内部控制项目的思索 中国网通内部控制项目审计的通过，这并不能说明所有的风险都得到了很好的 控制，所有的控制活动都执行的非常到位了，而是存在的问题通过大家的努力，完 成了整改，得到了审计师的认可。我们必须承认这些问题的存在，而且要更重视这 些问题。 3 3 通信设备维护中存在的问题 通过内部控制项目在中国网通北方十省市的推广和管理层的测试，暴露出了不 少存在于通信设备维护中的风险问题： l 、制度政策问题：缺少必要的通信设备安全管理政策；缺失规范业务实现、 变更流程的制度等等。 2 、业务实现与变更流程管理不够规范： 公司业务部门之间的完工环节管理不完善、业务完工后存在不反馈或反馈超时 现象；数据配置工作后记录不全，没有留下复核痕迹；部分工单完工后没有进行记 录或进行了记录却没有进行数据配置；业务开通后测试记录不够规范( 测试记录与 工单记录不对应、测试内容缺失) 或者没有测试。 3 、权限管理问题：没有对厂商账号的管理；没有分配独立账号；系统管理员 进行数据配置或者其他人员使用系统管理员账号进行数据配置；个人的权限与岗位 职责或权限列表中不对应；员工密码修改不及时。 4 、作业计划管理不规范：作业计划管理混乱造成某些工作遗漏或缺少记录； 维护工作的记录( 时间核准、计费参数核对、后备带制作、更改密码等) 与工作计 划中的制定时间不一致且没有变更说明。 5 、备份管理存在缺陷：没有进行备份或者备份不及时；备份文件存放地点不 安全；对备份的使用没有管理。 6 、变更管理存在缺陷：变更升版的资料散乱、没有统一归档；变更没有完善 的方案；变更后不进行拨测、或者只进行了拨测，没有详细的变更记录。 7 、其他问题：需要审核的文档没有进行审核或者审核痕迹不规范；远程登陆 没有记录和申请；文件和数据在两个部门之间传递没有传递、核对记录。 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文第l l 页共2 9 页 这些问题或者关系着网络设备的安全，或者关系着网络上运营业务的正常与 否，看似轻微，但各个都直接或者间接影响着通信企业的业务收入乃至财务报表的 准确性。 3 3 2 控制活动设置不合理 由于中国网通是国内首批开展内部控制项目的企业，没有任何经验可循，不排 除存在“矫枉过正”的情况为了通过萨班斯法案而过于重视风险，控制活动 设置偏多或者偏严，一定程度上加大了员工的工作量，降低了效率。而在推广和测 试过程中，有不少通信设备维护人员提出“明明对财务报告的错报没什么影响，为 什么还要设置这个控制活动? 的疑问。 3 3 3 通信设备维护中的控制活动构建 面对通信设备维护中存在的风险问题，如何优化其中的内部控制体系，合理设 置控制活动，既使内部控制深入到通信设备维护的每一个环节、每一项工作，成为 最为基础的工作之一，形成内部控制长效机制，又使网络运维成本的投入更为有效、 关键业务流程更为顺畅? 我认为通信设备维护中的内部控制构建应该依据c o s o 的五个要素，科学评估关键业务流程，围绕服务于客户、服务于业务、服务于网络 的目标合理设置控制活动。 第四章网络运营维护中的控制活动设计 通信企业通过对现有网络的监控、日常维护和不断建设、完善，保证网络安全 稳定运行、传输质量良好，吸引客户来开通各种业务，从而使业务收入不断增长， 企业自身才能走上一个良性发展的道路，而从开通业务到对网络进行正常维护的这 个过程，我们称之为网络运营维护。 为保证财务报告的真实、准确、完整，从对财务报告数据( 收入、成本) 产生影 响的用户业务需求出发，建议确定业务实现与变更、网络资源管理、网络监控、故 障处理与重大故障汇报等为网络运营维护流程中的重要子流程，各个子流程中的控 制活动按以下要求设计。 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文 第1 2 页共2 9 页 二 4 1 业务实现与变更 障发 如果是重大故障 业务实现与变更子流程主要指网络运营维护部门依据业务部门需求，对与用户 直接相关的业务开通、调整、关闭，在网络层面进行的直接支撑操作，与公司收入 有着密切联系。包括资源核查、业务受理、业务调度、业务实现与全程测试、异常 处理和完工回单等几个重要环节。由于业务实现与变更涉及网络运维部门、业务部 门、计费部门、上级公司等多个单位，因此通信企业应当制定相关制度来规范上述 各环节中的时限和责任等具体细节。 通信设备维护中的控制活动设计 北京邮电火学丁商管理硕- 二专业学位论文第1 3 页共2 9 页 n y 调度人员制做完成数据配 调度单，得到 一 置、配置信息 审核后派发得到独立复合 4 1 1 资源核查 资源核查是指对于等待开放的业务事先核查网络资源是否具备，而核查来源分 别来自自本公司业务部门或者上级公司，其风险主要存在于资源不足或者未及时反 馈给上级公司或者业务部门，会造成业务没有被及时处理，从而影响公司收入。对 于该风险，网络调度部门业务响应人员需要在资源核查反馈单中注明资源是否具 备，在资源核查通知单规定时限内向业务部门或者上级公司回单，并通过网络调度 部门和业务部门对资源核查单的核对，以及网络调度部门管理层对资源核查单、反 馈单的检查，保证所有资源核查申请都得到处理。 4 1 2 业务受理 业务受理是在资源核查满足后，业务部门或者上级公司通过一定方式下达业务 通知单，网络调度部门业务响应人员接收业务通知单并做好相关准备的过程。其风 险主要存在于业务通知单遗失或未经严格审核，可能造成电路调度出现错误，影响 业务实现的准确性，从而影响公司的业务收入。为防范该风险，需要做好两方面控 制：一方面，业务通知单的成功传递接收需要得到系统或人工的及时核对与跟踪 通信设备维护中的控制活动设计 北京邮电大学工商管理硕：卜专业学位论文 第1 4 页共2 9 页 处理，保证网络调度部门接收的业务通知单的完整性与及时性；另一方面，网络调 度部门业务响应人员对业务通知单填列信息的准确完整性和完工日期的时限要求 进行审核，不符合要求的通过一定方式及时反馈业务部门或者上级公司。 4 1 3 业务调度 网络调度部门电路调度人员根据业务通知单，确定主调单位、被调单位、完成 时限、具体资源( 如路由、端口、带宽、接入码、费率) 等信息，正确制作调度单， 并下发到相关的业务实现部门的过程，称为业务调度。该过程中有以下几个方面的 风险和需要通信维护部门采取的控制： l 、超权限调度申请的审批。如果超出网络调度权限的网络调度申请未得到网 络调度部门管理层的审批，就会造成非法的资源调度( 给用户开的资源多、带宽大 等) ，从而给公司造成损失。这就要求对于超出网络调度部门电路调度人员审批权 限的电路调度申请，必须经上级公司或本级网络运维管理部门资源管理主管审批通 过后，才能由网络调度部门组织实施； 2 、网络调度恰当授权。网络调度部门管理层未授予电路调度人员、数据配置 人员对调度单的相关操作权限，会造成非法的资源调度。为此，网络调度部门管理 层需要根据网络调度部门网络调度人员的岗位职责授予其对调度单的制作、复核和 派发权限，根据各专业网管部门数据配置人员、设备维护部门和区县分公司设备维 护人员的岗位职责授予其对调度单的接收权限，以保证调度单得到恰当的处理。如 果网络调度是通过系统方式完成的，那么网络调度部门管理层需要根据岗位职责分 别授予网络调度部门网络调度人员对调度单的制作、复核和派发权限，授予各专业 网管部门数据配置人员、设备维护部门和区县分公司设备维护人员对调度单的接收 权限，各人的网络调度系统账号不得共享。同时，网络调度系统的系统管理员不得 进行网络调度的业务操作，以保证不相容职责的分离； 3 、调度单审批或复核。调度单在下发前未经过审核或复核，可能造成网络调 度出现错误，影响业务的正确、及时开通，从而影响企业收入。这就要求只有经其 他网络调度部门网络调度人员对调度单的完成时限、路由、端口、带宽、开放范围、 接入码、费率等资源信息的准确性进行独立复核，或由网络调度部门管理层或其授 权人员对上述信息进行审批后，网络调度部门网络调度人员才能向相关业务实现部 门派发调度单；如果调度单是通过系统制作的，网络调度系统功能的完善对网络调 度的正确性也起着重要作用，系统提供备选路由节点、提供字段预定义功能，预防 网络资源信息的重复录入或类型不匹配的输入错误，有助于网络调度人员对调度资 源的合理配置，系统缺乏必要的输入控制则可能导致输入信息的错误。 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文 第1 5 页共2 9 页 4 1 4 业务实现与全程测试 业务实现指业务实现部门依据电路调度单，通过网管系统或直接登录通信设备 进行数据配置，完成线路光路的连接拆除与全程测试的过程。主要的风险有：非 法的数据配置、数据配置错误或者遗漏、业务启用或收费前缺乏必要的全程测试。 l 、网管系统与相关通信设备的恰当授权。网管系统与相关通信设备操作权限 缺乏严格管理，使非法的数据配置成为可能，影响业务类数据与具体用户数据配置 的正确与完整，进而影响企业业务收入的准确与完整。因此，网管部门管理层必须 根据岗位职责授予网管部门数据配置人员对网管系统或通信设备的系统管理、数据 配置及审核的权限，网管系统或通信设备账号不得与他人共享，系统管理员不得进 行数据配置相关操作； 2 、数据配置信息复核控制。业务实现相关数据的错误配置和遗漏，都会造成 不正确的业务实现，影响业务正常开通，甚至造成网络故障。所以只有得到授权的 数据配置人员，才能依据调度单进行业务数据配置，同时所有数据配置信息的准确 性都必须得到其他业务实现部门数据配置人员的独立复核，确保业务实现的准确 性。业务类数据与具体用户数据配置环节还需要系统控制，网管系统或通信设备需 要具备字段预定义或比对功能，可对手工配置的路由、端口和带宽数据的规范性进 行检查，预防数据录入的类型不匹配和重复录入，避免数据录入的错误； 3 、业务全程测试。业务涉及的相关业务实现部门在完成数据配置、线路连接 拆除后，业务实现人员必须根据所有完工反馈信息，组织完成业务的全程测试，测 试正常后形成业务测试报告，并将测试报告和完工信息回复给网络调度部门，以保 证业务正式启用得到完善的全程测试，保证业务启用的及时性和准确性。 4 1 5 异常处理 异常处理是指在网络调度过程中或其后、因业务通知单错误或用户侧条件不具 备等其它原因导致业务无法按照业务通知单的要求正常开通，而向业务部门的退 单。异常业务通知单的处理如果没有得到审批和监控，造成不合理或非法的退单， 影响公司收入计量的准确。所以异常业务通知单只有得到网络调度部门管理层或其 授权人员的审核并填写异常情况表后，网络调度部门业务响应人员才能及时向业务 部门进行反馈。 4 1 6 完工回单 完工回单是指业务正常开通后，网络调度部门根据业务实现部门回复的完工信 息和全程测试报告填写完工单，并将完工单回复给业务部门、计费部门或者上级公 司，业务正式开通开始计费的过程。很显然，如果完工信息不能及时、完整、准确 通信设备维护中的控制活动设计 北京邮电大学工商管理硕士专业学位论文第1 6 页共2 9 页 地传递到业务部门、计费部门或者上级公司，必然影响计费的及时性和准确性，从 而影响公司的收入。为了保证完工信息及时、完整、准确地传递，网络调度部门必 须做好两方面控制，一方面，网络调度人员依据主调单位的完工反馈信息和测试报 告，在业务通知单的规定时限内向业务部门计费部门或者上级公司回复完工信息： 另一方面，对于手工方式( 传