第五章信息与沟通.ppt

企业内部控制学 第二版 案例引入济南铁路局 信息混乱车毁人亡 2008年4月28日凌晨4时48分 山东胶济铁路王村段 限速80公里 时处 时速达131公里的北京 青岛T195次列车 第9 17号车厢突然脱轨 侵入了并行的另一条铁轨 和正常运行的对开5034次列车相撞 造成71人死亡 416人受伤 现已证实 事故线路是一条呈 S 型临时线路 而超速被认为是这起事故的直接原因 但超速的背后是信息传递混乱 行经此段的列车限速一月内竟数次更改 而且令不畅通 规章制度形同虚设 事发前几天济南铁路局曾发文限速 但又迅速取消限速 潜伏巨大危险的临时铁路 儿戏般的调度管理 层层的疏忽与失职 最终导致了中国铁路史上最重大的惨祸之一 事后国家安监总局局长王君说 这次事故充分暴露了一些铁路营运企业安全生产认识不到位 领导不到位 责任不到位 隐患排查不到位和监督管理不到位的严重问题 反映了基层安全意识薄弱 信息滞漏失误 现场管理存在严重漏洞 导致这次风险事故的发生 假如在事故产生前的任一信息 按规定能够及时正确地传达到客车司机 司机采取及时有效措施 就可避免该项风险事故的产生 可见 信息滞漏不畅是造成事故的主要原因 操作人员责任不到位是造成事故的源头 领导风险意志薄弱是导致风险产生的根源 本章概要第一节信息控制第二节沟通第三节coso新框架中信息与沟通的原则与要素 第五章信息与沟通 第一节信息控制 企业内部控制学 第二版 89 一 什么是信息系统 一 信息的定义 二 信息系统的定义 二 信息系统控制标准 企业内部控制学 第二版 90 表5 1COBIT的4个控制域的34个处理过程 企业内部控制学 第二版 91 三 内部控制信息披露规范 第二节沟通 企业内部控制学 第二版 92 一 内部沟通 二 外部沟通 1 与投资者和债权人的沟通 2 与客户 供应商的沟通 3 与监管机构的沟通 4 与中介机构的沟通 第三节coso新框架中信息与沟通的原则与要素 ThankYou 一 信息的类型与来源 信息是指信息系统辨识 衡量 处理及报告的标的 来源于企业内部或外部 包括获取的行业 经济 监控 以及内部生产经营管理 财务等方面的信息 企业应准确识别 全面收集 不断完善获取信息的机制 随时掌握市场 竞争对手 行业变化等动态 并及时 有效地传达给相关负责人员 使其有足够的信息处理经营业务 对变化迅速地作出反映 会计信息生产经营信息资本运作信息人员变动信息销售信息技术创新信息综合管理信息财务分析生产计划营销方案会议总结人力资源计划经济形势信息政策法规信息行业动态信息监管要求信息客户信用信息科技进步信息社会文化信息非正式 客观 主观 内部 外部 正式 信息来源 内部控制活动所需要的信息来自于企业内部及外部的 与企业经营管理相关的财务及非财务信息 也即 内部控制中的信息搜集活动涵盖了企业内部及外部 主观及客观 正式与非正式 并影响企业内部环境 风险评估 控制活动及内部监督的信息 因此 确定信息的搜集内容时 应在内部控制覆盖的信息范围内 结合上文信息结构中对信息需求分析来进行 即在与内控相关的信息范围内 根据不同的信息需求搜集不同的信息 二 信息的搜集与传递 一 内部信息的搜集与传递通过财务会计资料 经营管理资料 调研报告 专项信息 内部刊物 办公网络等渠道 获取内部信息 1 企业价值观及经营战略内部信息的搜集与传递 1 企业价值观 道德和行为期望 2 公司的战略性经营目标 3 财务政策及程序 4 人力资源政策 2 其他内部信息的搜集与传递 1 财务信息 2 经营信息 3 规章制度信息 4 综合信息 5 员工提供的信息 6 信息系统产生的信息 二 外部信息的搜集与传递 根据基本规范第三十九条的规定 外部信息的搜集渠道主要有行业协会组织 社会中介机构 业务往来单位 市场调查 来信来访 网络媒体以及有关监管部门等 搜集方式 1 调查 2 网络查询 3 咨询 4 交换和接收 5 采访 三 对信息技术的利用 企业内部控制基本规范 第四十一条指出企业应当利用信息技术促进信息的集成与共享 充分发挥信息技术在信息与沟通中的作用 企业应当加强对信息系统开发与维护 访问与变更 数据输入与输出 文件储存与保管 网络安全等方面的控制 保证信息系统安全稳定运行 随着企业信息集成与共享的实现 企业价值链中各环节的资源能够得到优化利用 而与之对应的是 信息技术对内部控制也将产生重大影响 企业的内部控制系统必将随着信息技术的更新而改变 在这之中 内部控制系统的变化主要体现为内部控制模式 手段和形式 内容等的变化 其中内部控制模式的变化主要体现在由固定控制向动态控制转变上 一 信息系统 信息逐渐被人们当作一种战略资源 企业内部各部门之间以及企业之间都会发生大规模的信息交换 不同部门或不同企业间的信息需要协同 信息系统的重要性日益增加 随着整个社会信息化进程的加快 企业的日常经营管理活动越来越离不开信息系统的支持 完善的信息系统是企业建立有效的内部控制体系的前提 2010 3 28 不同机构的内控相关指引对信息系统的规定 1 信息系统的定义按照 企业内部控制应用指引第18号 信息系统 的规定 信息系统是指企业利用计算机和通信技术 对内部控制进行集成 转化和提升所形成的信息化管理平台 信息系统内部控制的目标是促进企业有效实施内部控制 提高企业现代化管理水平 减少人为操纵因素 同时 增强信息系统的安全性 可靠性和合理性以及相关信息的保密性 完整性和可用性 为建立有效的信息与沟通机制提供支持保障 信息系统内部控制的主要对象是信息系统 由计算机硬件 软件 人员 信息流和运行规程等要素组成 制造企业可以将信息系统划分为财务管理系统 人力资源管理系统 MRP系统 销售 采购 库存 生产 计算机辅助设计和制造系统 客户关系系统 电子商务系统等若干子系统 企业内部控制应当指引第18号 信息系统 规定 企业负责人对信息系统建设工作负责 换言之 信息系统建设是 一把手 工程 2 信息系统的生命周期 一 系统规划期 二 系统开发期 三 系统运行与维护期 二 信息系统的控制点 1 开发与维护2 访问与变更3 数据输入与输出4 文件存储与保管5 网络安全 1 信息系统开发的主要风险点及其控制措施 一 信息系统开发的主要风险点1 信息系统规划时期的主要风险点2 信息系统自行开发方式的主要风险点成本过高 产品不能满足企业需要 3 其他开发方式的主要风险点业务外包 外包商选择不当 导致信息泄密 成本增加等外购 产品不适合企业 供应商的服务能力有限 二 信息系统开发的关键控制措施1 系统规划2 自行开发加强信息系统的管控工作3 其他开发方式的主要控制措施选择信誉好的外包商或供应商 2 信息系统运营与维护的主要风险点及其控制措施 一 日常运行维护的关键控制点和主要控制措施这一环节的主要风险是 第一 没有建立规范的信息系统日常运行管理规范 计算机软硬件的内在隐患易于爆发 可能导致企业信息系统出错 第二 没有执行例行检查 导致一些人为恶意攻击会长期隐藏在系统中 可能造成严重损失 第三 企业信息系统数据未能定期备份 可能导致损坏后无法恢复 从而造成重大损失 主要控制措施 第一 企业应制定信息系统使用操作程序 信息管理制度以及各模块子系统的具体操作规范 及时跟踪 发现和解决系统运行中存在的问题 确保信息系统按照规定的程序 制度和操作规范持续稳定运行 第二 切实做好系统运行记录 尤其是对于系统运行不正常或无法运行的情况 应将异常现象 发生时间和可能的原因作出详细记录 第三 企业要重视系统运行的日常维护 在硬件方面 日常维护主要包括各种设备的保养与安全管理 故障的诊断与排除 易耗品的更换与安装等 这些工作应由专人负责 二 系统变更的关键控制点和主要控制措施系统变更主要包括硬件的升级扩容 软件的修改与升级等 这一环节的主要风险是 第一 企业没有建立严格的变更申请 审批 执行 测试流程 导致系统随意变更 第二 系统变更后的效果达不到预期目标 主要控制措施 保证变更过程得到适当的授权与管理层的批准 并对变更进行测试 信息系统操作人员不得擅自进行软件的删除 修改 升级 改变软件版本 改变软件系统的环境配置 3 安全管理的关键控制点和主要控制措施这一环节的主要风险是 第一 硬件设备分布物理范围广 设备种类繁多 安全管理难度大 可能导致设备生命周期短 第二 业务部门信息安全意识薄弱 对系统和信息安全缺乏有效的监管手段 可能导致舞弊和利用计算机犯罪 第三 对系统程序的缺陷或漏洞安全防护不够 导致遭受黑客攻击 造成信息泄露 第四 对各种计算机病毒防范清理不力 导致系统运行不稳定甚至瘫痪 主要控制措施 第一 建立信息系统相关资产的管理制度 保证电子设备的安全 第二 企业应成立专门的信息系统安全管理机构 企业应当按照国家相关法律法规以及信息安全技术标准 制定信息系统安全实施细则 第四 企业应当有效利用IT技术手段 对硬件配置调整 软件参数修改严加控制 数据加密 授权控制第五 企业委托专业机构进行系统运行与维护管理的 应当严格审查其资质条件 市场声誉和信用状况等 并与其签订正式的服务合同和保密协议 第六 企业应当采取安装安全软件等措施防范信息系统受到病毒等恶意软件的感染和破坏 防火墙 病毒防护 第七 企业应当建立系统数据定期备份制度 明确备份范围 频度 方法 责任人 存放地点 有效性检查等内容 第八 企业应当建立信息系统开发 运行与维护等环节的岗位责任制度和不相容职务分离制度 系统开发和变更过程中不相容岗位 或职责 一般应包括 开发 或变更 立项 审批 编程 测试 系统访问过程中不相容岗位 或职责 一般应包括 申请 审批 操作 监控 第九 企业应积极开展信息系统风险评估工作 定期对信息系统进行安全评估 及时发现系统安全问题并加以整改 4 系统终结的关键控制点和主要控制措施系统终结是信息系统生命周期的最后一个阶段 在该阶段信息系统将停止运行 停止运行的原因通常有 企业破产或被兼并 原有信息系统被新的信息系统代替 这一环节的主要风险是 第一 因经营条件发生剧变 数据可能泄密 第二 信息档案的保管期限不够长 主要控制措施 第一 要做好善后工作 不管因何种情况导致系统停止运行 都应将废弃系统中有价值或者涉密的信息进行销毁 转移 第二 严格按照国家有关法规制度和对电子档案的管理规定 比如审计准则对审计证据保管年限的要求 妥善保管相关信息档案 信息技术过程控制体系 COBIT 国际信息系统审计与控制协会 ISACA 提出 信息和相关技术的控制目标 COBIT COBIT是一个基于IT治理概念的 面向IT建设过程中的IT治理实现指南和审计标准 被认为是COSO框架的补充框架 COBIT的目标是为信息系统设计提供具有高度可靠性和可操作性的 公认的信息安全和控制评价标准 内部控制信息披露建立在董事会和管理层对内部控制的评价的基础上 内部控制信息披露就是管理层依据一定的标准定期对本单位内部控制设计和执行的有效性进行自我评估 并以某种方式提供给外部信息使用者 内部控制报告信息披露可以包含在董事会报告或者其他报告中 也可以单独提供 即所谓的内部控制报告 沟通是把信息提供给适当的人员 以便他们能够履行与经营 财务报告和合规相关的职责 沟通是技术性的 已经在管理工作中得到广泛的应用 但比技术更有意义的是企业组织内外部的有效交流 信息沟通按沟通的对象可以分为内部信息沟通和外部信息沟通 一 内部沟通方式 充分的内部沟通对于企业控制环境 控制作业 风险评估等各方面都起着至关重要的作用 企业所采取的沟通方式要能够达到顺畅沟通的目的 使员工们了解自己应承担的责任 应实现的目标 以及这些目标对企业的影响 电子沟通书面沟通口头沟通 电子沟通 互联网 电子邮件 电话传真 方便快捷 但不太安全 书面沟通 内部报告 员工手册 内部刊物 教育培训资料 规范 准确 但成本高 口头沟通 会议 讲座 迅速 灵活 但易失真 企业员工应当采取电子沟通 书面沟通 口头沟通等多种方式 实现所需的内部信息 外部信息在企业内部准确 及时地传递和分享 确保董事会 管理层和企业员工之间有效沟通 内部沟通 向上沟通一般员工 部门主管管理层 董事会特殊渠道 一般员工 高管企业应在实际工作中尝试精简信息系统的处理程序 使信息在企业内部更快地传递 对于重要紧急的信息 可以越级向董事会 监事会或经理层直接报告 便于相关负责人迅速做出决策 向下沟通董事会 管理层 部门主管 一般员工平行沟通采购部门 生产部门 销售部门 财务部门 内部沟通应当重点关注以下方面 1 明确的职责和有效的控制2 内部沟通与交流 二 外部沟通方式 企业有责任建立良好的外部沟通渠道 对外部有关方面的建议 投诉和收到的其他信息进行记录 并及时予以处理 反馈 有效的外部沟通既可以扩大企业的影响力 又可以是企业获得很多有效内部控制的重要信息 外部沟通应当重点关注以下方面 1 与投资者和债权人的沟通2 与客户的沟通3 与供应商的沟通4 与中介机构的沟通5 与监管机构的沟通 1 与投资者和债权人的沟通投资者和债权人是企业资本的提供者 也是企业风险的主要承担者 因此 企业有必要向他们及时报告企业的战略规划 垒营