企业内部控制配套指引二十讲18 ppt课件讲义

第18讲信息系统山东财政学院主讲 教授赵英林 企业内部控制配套指引20讲 第十八讲 信息系统 信息系统是指企业利用计算机和通信技术 对内部控制进行集成 转化和提升所形成信息的平台 为了促进企业有效实施内部控制 尽量提高现代化管理水平 尽量减少人为因素 财政部等五部门制定了 企业内部控制应用指引第18号 信息系统 根据18号指引的精神 这讲我们主要讲述 1 信息概述 2 企业内部信息传递与沟通 3 企业信息系统内部控制的风险 4 企业信息系统开发 5 企业信息系统运行与维护 1 信息概述 在这一部分 我主要讲三个概念 也叫知识 即 信息 信息技术 信息系统 这些知识是我们管理企业必备的 也是我们理解信息系统的内容必须铺垫的知识 现代大学教育要求大学生必须懂得系统论 信息论 控制论的基本知识 这里讲的就是信息论的基础知识 只不过我们时间有限 教学目的不是进行信息知识普及教育 而是内部控制 没办法 我们只能简单讲述 我们讲述的顺序 即三个大问题 1 信息 2 信息技术 3 信息系统 1 信息 什么叫信息呢 信息论虽然出现100年了 但信息的定义还是五花八门 各从各的角度出发 争论纷纷 我所选取的观点 是正统的 通俗的 学生比较容易接受的 我采用的的定义是 信息以物质介质为载体 传递和反映世界各种事物存在方式运动作态的表征 信息不是物质 也不是能量 信息是客观事物状态和运动特征的一种普遍形式 客观世界中大量地存在 产生和传递着以这些方式表示出来的各种各样的信息 早期专家们所作的经典定义介绍如下 1948年 美国数学家 信息论的创始人仙农在题为 通讯的数学理论 的论文中指出 信息是用来消除随机不定性的东西 1948年 美国著名数学家 控制论的创始人维纳在 控制论 一书中 指出 信息就是信息 既非物质 也非能量 这两位大师的定义明确了信息是确定的东西 不是人的随意想象 说明信息是一种客观存在 同时 维纳的定义告诉你 信息既非物质 又不是能量 这就给后人指明了方向 下面我来通俗的讲一下信息 客观世界是由三大要素构成的 即 物质 能量和信息 人们认识物质比较早 这在哲学著作里看的很清楚 列宁作过精辟论述 不必赘述 后来 到了工业化时期 才认识了能量 发现并证明了物质与能量的转换关系 进入19世纪50年代 人们才认识到客观世界还有信息存在 由于人对信息研究的时间不长 信息科学刚刚建立 你想上个世纪90年代我们才说人类进入信息社会 时代 正因为认识没有到位 所以对什么是信息还没有形成一个统一的概念 我们可以对信息的概念作广义和侠义两种理解 广义的信息 指的是物质发生源发出的各种信号和消息被接收体所理解和接收 这些信号和消息所揭示的内容统称为信息 它包括各种情报 消息 数据 指令 报告等 它们一般通过声音 语言 文字 图象 符号等各种形式表现出来 信息普遍存在于大自然界 生物界和人类社会 如雷鸣 闪电 鸟语 花香等自然信息 语言 文字 通讯 电波等人类活动信息 人类就生活在 在浩如烟海的信息交流世界里 侠义的信息 指的是经过加工 整理后对于接受者具有某种实用价值的那些数据 消息 情报的总称 现代大生产条件下 各种信息急剧增长 世界上10年的科技成果 远远超过人类历史两千年的科技成果总和 国外惊呼 信息爆炸 现在每年全世界发表的科学论文近千万篇 平均每天登记发明的专利达一千件 信息量的迅速增长 科学知识陈旧周期缩短 对管理提出了特殊要求 一个企业就是一个信息系统 它从本身以及外部收集相关信息 进行加工 处理并作出解释 依据解释的结果作出决策 信息到处皆是 但并不是所有信息都有使用价值 没用信息是 噪音 侠义信息是指有用的信息 为了认识信息 便于理解本讲内容 达到本讲教学目的 现面我与同学们一道来分清几个关系 信息与物质 能量的关系信息同物质 能量一样 都是客观存在 整个世界就是由物质 能量和信息构成 信息 物质和能量是密切相关的 三者相互依存 现互作用 是改造社会 改造自然 发展生产 发展科技的三大支柱 物质依靠能量才能运动 物质和能量依靠信息进行联系 信息源于物质和能量 但不是物质和能量本身 信息可以反映物质 能量的运动 社会可以借助信息流控制物流 能量流的运动 可以左右其运动方向 进行有效控制 信息传递需要载体 这个载体就是物质 信息不能脱离物质存在 就是储存也需要物质载体 信息与情报的关系信息与情报是既有联系又有区别的两个概念 信息普遍存在于自然界 人类社会 生物界 在人与人 人与物 物与物 以至动物之间都有特殊的信号传递不断联系 这些信号都称为信息 情报是人类特有的信息 是对某一事情的报告 如下图 A园表示信息 B园表示人类的信息 C园则表示情报 是人类加工过的特定信息 C A B 信息与消息的关系消息也是信息的一个种类 而且也是人类社会特有的信息 但消息是流传着的信息 它的特点就是在流传中可以失真 也可以不是真 消息与信息相比 信息是确定性 消息就不能肯定其确定性 我们举例说明 有十个人 传递一句话 我告诉你一句话 到第十个人那里的时候 可能听到的是这样的 火车什么时候出发 这说明什么问题呢 耳提面命 两两传递 语言失真 一句同样的话 经过十个人 九次传递 面目全非 在大多数情况下 我们听到的和事情的本质 是存在非常大的差异的 我们听到的是消息 而不是信息 信息与数据的关系这是两个既有联系又严格区别的概念 在现实生活中 人们一般不太严格区分这两个概念 其实两者是不同的 数据也是人类社会信息 但它是没有经过加工的事实 是人们用符号对客观世界的记录 数据代表客观世界的事物 是人类专门设定的记录 如员工姓名 生产工时 产品数量 存货数量 销售价格等等 数据这一概念强调记录的客观存在性 而信息强调的是记录对于使用者决策的有用性 信息具有如下特征 信息可以被感知和识别 信息可以转换 信息可以存储 信息可以加工 处理 信息是传递中的知识 信息具有时间性 信息具有与物质不可分割性 2 信息技术 信息技术 InformationTechnology 简称IT 是主要用于管理和处理信息所采用的各种技术的总称 它主要是应用计算机科学和通信技术来设计 开发 安装和实施信息系统及应用软件 它也常被称为信息和通信技术 InformationandCommunicationsTechnology ICT 从本质上说 信息技术是指能够充分扩展人类信息器官功能的工具和方法 这是广义的信息技术 而侠义的信息技术仅指运用计算机和网络技术的信息技术 即人类第四次技术革命以来的信息技术 信息技术应该包括四个方面的内容 这四个方面包括信息技术应用系统 信息 基础设施与人力 应用系统还称作 应用程序 是指人工或者自动化的信息处理过程 基础设施是指技术与设施 技术包括硬件 操作系统 数据库管理系统 网络和多媒体等 设施是用来保护和支持信息系统的软件 人力是指在计划 组织 实施 交付 支持 监控 评价信息系统过程所涉及的人员 包括企业内部和外部人员 信息使我们讨论的侠义信息 它是信息技术作用的对象 自从1946年世界上第一台计算机诞生以后 信息技术日益成为社会进步的主导技术 到处都在 推进自己的信息化战略 应对时代的挑战 每一种信息产品的开发 投放市场 都会引起成本成倍下降 使人们的思想和行为产生革命性变化 信息技术对人类的影响是任何一次技术革命都不可比拟的 一个国家的发展 就看你的信息技术发展状况 信息技术的特点包括如下几个方面 运算速度快 计算精度高 存储能力强 逻辑判断能力强 数据传输便捷 要理解信息技术 我们必须还得了解一个概念 即人工智能 什么叫人工智能呢 AI ArtificialIntelligence 人工智能 人工智能 一词最初是在1956年Dartmouth学会上提出的 从那以后 研究者们发展了众多理论和原理 人工智能的概念也随之扩展 人工智能是一门极富挑战性的科学 从事这项工作的人必须懂得计算机知识 心理学和哲学 人工智能是包括十分广泛的科学 它由不同的领域组成 如机器学习 计算机视觉等等 总的说来 人工智能研究的一个主要目标是使机器能够胜任一些通常需要人类智能才能完成的复杂工作 但不同的时代 不同的人对这种 复杂工作 的理解是不同的 例如繁重的科学和工程计算本来是要人脑来承担的 现在计算机不但能完成这种计算 而且能够比人脑做得更快 更准确 因之当代人已不再把这种计算看作是 需要人类智能才能完成的复杂任务 可见复杂工作的定义是随着时代的发展和技术的进步而变化的 人工智能这门科学的具体目标也自然随着时代的变化而发展 人工智能的发展历史是和计算机科学与技术的发展史联系在一起的 除了计算机科学以外 人工智能还涉及信息论 控制论 自动化 仿生学 生物学 心理学 数理逻辑 语言学 医学和哲学等多门学科 人工智能的目的就是让计算机这台机器能够象人一样思考 这可是不是一个容易的事情 如果希望做出一台能够思考的机器 那就必须知道什么是思考 更进一步讲就是什么是智慧 它的表现是什么 你可以说科学家有智慧 可你决不会说一个路人什么也不会 没有知识 你同样不敢说一个孩子没有智慧 可对于机器你就不敢说它有智慧了吧 那么智慧是如何分辨的呢 我们说的话 我们做的事情 我们的想法如同泉水一样从大脑中流出 如此自然 可是机器能够吗 那么什么样的机器才是智慧的呢 科学家已经作出了汽车 火车 飞机 收音机等等 它们模仿我们身体器官的功能 但是能不能模仿人类大脑的功能呢 到目前为止 我们也仅仅知道这个装在我们天灵盖里面的东西是由数十亿个神经细胞组成的器官 我们对这个东西知之甚少 模仿它或许是天下最困难的事情了 在定义智慧时 英国科学家图灵做出了贡献 如果一台机器能够通过称之为图灵实验的实验 那它就是智慧的 图灵实验的本质就是让人在不看外型的情况下不能区别是机器的行为还是人的行为时 这个机器就是智慧的 不要以为图灵只做出这一点贡献就会名垂表史 如果你是学计算机的就会知道 对于计算机人士而言 获得图灵奖就等于物理学家获得诺贝尔奖一样 图灵在理论上奠定了计算机产生的基础 没有他的杰出贡献世界上根本不可能有这个东西 更不用说什么网络了 当计算机出现后 人类开始真正有了一个可以模拟人类思维的工具了 在以后的岁月中 无数科学家为这个目标努力着 现在人工智能已经不再是几个科学家的专利了 全世界几乎所有大学的计算机系都有人在研究这门学科 在大家不懈的努力下 现在计算机似乎已经变得十分聪明了 在国际象棋大赛中 计算机把人给胜了 这是人们都知道的 大家或许不会注意到 在一些地方计算机帮助人进行其它原来只属于人类的工作 计算机以它的高速和准确为人类发挥着它的作用 人工智能始终是计算机科学的前沿学科 计算机编程语言和其它计算机软件都因为有了人工智能的进展而得以存在 现在 我们可以结论 给人工智能下一个定义 人工智能 就是指计算机模仿真实世界的行为方式与人类思维与游戏的方式的运算能力 那是一整套极为复杂的运算系统与运算规则 许多科学家断言 机器的智能会迅速超过爱因斯坦和霍金的智能之和 到下世纪中叶 人类生命的本质也会发生变化 神经植入将增强人类的知识和思考能力 并且开始向一种复合的人 机关系过渡 这种复合关系将使人类逐渐停止对生物机体的需求 大量非常微小的机器人将在大脑的感觉区里占据一席之地 并且创造出真假难辨的虚拟现实的仿真效果 3 信息系统 所谓系统是指一组相互关联的要素 也称组件 的集成 为实现特定的目标而运行的整体 系统 包括四个要点 组织结构 相互关系 集成和目标 一个系统由若干 子系统 组成 如果组成系统的某一部分可以继续细分 并且符合系统的特征 则这一部分就称为 子系统 一家企业成为一个系统 企业的各各职能部门就属于不同层次的子系统 信息系统是一组由计算机 网络 通讯等信息技术设备和操作规则集成的系统 其基本目标是为组织的各职能部门完成业务 管理层进行管理和决策提供用用的信息 讲到信息系统 自然就会想到ERP系统 那么什么叫作ERP系统呢 ERP也是一个信息系统 是一种工具 它的词语原义就是 企业资源计划 是一个对企业资源进行整合 利用和共享的系统 ERP通过信息系统对企业收集到的信息进行整理 有效传递 使企业的资源在购 存 产 销 人 财 物等各个方面都能得到合理的配置与利用 从而实现企业经营效率提高 ERP在系统设计中集成了管理的思想与内容 帮助企业提升管理水平 但随着信息技术的迅猛发展 单一功能的信息系统越来越少 越来越多的企业采用适合自己的ERP系统 企业的信息系统是在经营流程和管理流程两个平台上运行的 那么 什么叫经营流程和管理流程呢 企业的商业活动许许多多的业务过程组成的 这些业务流程可以概括为两大类 即经营流程与管理流程 经营流程由人员 组织 设备政策 程序组成 其目的就是完成商品生产或提供服务的职能工作 管理流程由人员 授权 组织 政策 程序组成 目标是管理企业的经营活动 这两个流程是什么关系呢 经营流程是基层的的工作 是横向的业务流程 管理流程是业务的管理 目标是实现企业目标 是纵向的 无论横向流程还是纵向流程 要想实现自己的目标 完成这一流程的任务 必须依赖流程内相关各方之间的信息交流 信息系统正是交流工具的提供者 信息系统与企业的业务经营和管理的关系 如同道路与汽车 信息系统提供路径 交通标识 交通规则 使企业的经营流程与管理流程得以持续 高效运行 从而实现企业战略目标 如果道路坑坑洼洼 甚至断开 交通指示又不明确 交通规则混乱 再好的汽车也无法到达目标 但是经营流程与管理流程也不是绝对划分的 它们是现互渗透 不可分割的 企业的某些经营业务从一个角度看是此 从另一个角度看就是彼 2 信息传递与沟通 通过前面知识讲述 我们知道企业横向的经营流程与纵向的管理流程 伴随着物资运动的就是信息流 可以这样说 企业整个生产经营活动到处都是信息的传递与沟通 这部分就是讲述信息如何在企业生产经营过程中传递与沟通 大体上说来 信息传递指的是上下级的层次之间运动 应该是纵向的 包括由上往下的指令 由下往上的反馈 信息沟通指的是信息横向流动 不是指令 而是平行的层次之间交流 配合 协作 也是生产经营必需的信息流动 所以 讲述两个大问题 第一 信息传递 第二 信息沟通 1 企业的信息传递 企业不可能没有信息传递 缺少信息传递一件事也干不成 企业高层制定了企业各种目标 这些目标要成为企业的方向 那就必须传达到每一个员工 这种高层的信息要通过会议 文件 报告 媒介 培训等传递给员工 而且必须保证不失真 原原本本传递到每一个层次 每一个员工 企业高层的指令 必须层层传递到执行单位 我们所讲的内部控制 不仅是人 财 物 还包括信息 在指令得到执行之前 必须控制这种信息的传递 必须保证其不失真 不停留 及时准确的传到位 企业的各个管理层还要不断的发出管理指令 以保证企业的生产经营活动按照预定的目标和轨道运行 这些指令也要控制其按规定的路径传递 既不许失真 又要保证传递速度 上方的指令下达之后 执行的情况如何 企业的上层是急需得到反馈信息的 因为后面的指令要根据反馈信息制定 所以 从下到上还有一个信息反馈的流动 对反馈信息的控制 某种意义上说 高层管理者认为比指令还重要 因为前面发出的指令执行如何 是高管层最关注的 同时又要根据执行情况决定下一个指令的发出 得不到及时的反馈信息 会影响下面指令的发出 反馈信息一是由执行层回报 而是由专门的信息反馈系统收集报告 再者由监督层汇报 企业应该如何控制信息传递呢 第一 企业必须设置信息管理机构 对信息资源统一管理 第二 对信息进行分类 明确每一类信息传递路线 责任 防止失真 第三 建立专门外部信息收集 处理 加工存储的机构 向管理层提供所需信息 第四 建立信息反快系统 保证高层管理者得到各种情况内部报告 如生产 销售 统计 财务 监察 信息中心等部门 第五 建立特殊情况报告制度 第六 建立定期生产经营例会制度 第七 出版内部情况通报 公布一些重要信息 第八 内部网上传递信息 2 企业的信息沟通信息沟通是指企业的横向信息流动 它不是指令性的信息 是企业生产经营活动中的一些信息主动的传递 以便互相合作 配合 去完成企业目标 企业内信息沟通分为正式沟通与非正式沟通两种 正式沟通正式沟通是事先计划和安排的信息交流 如定期书面报告 面谈 电讯汇报 会议等 非正式沟通非正式沟通是未经计划的 沟通途径通过组织内的各种社会关系进行的 如沙龙 闲聊 娱乐 一起吃饭 走动式交谈等 形式非常灵活 不需要特意准备 随时随地就可以进行 而且及时 有些问题发生后 马上就可以简短交谈 立刻就清楚了实际情况 从而使问题得到解决 通过非正式沟通 可以拉近人与人之间的距离 企业高层必须主动放下架子 多创造员工之间沟通的渠道 如座谈 舞会 娱乐活动 聚餐等等 总之 企业管理的过程就是信息流动的过程 对其控制不好 就要影响整个企业管理 3 企业信息系统内部控制的风险 企业信息系统实施内部控制 至少应关注下列风险 1 信息系统缺乏或规划不合理 可能造成信息孤岛或重复建设 导致企业经营管理效率低下 2 信息系统开发不符合内部控制要求 授权管理不当 可能导致无法利用信息技术实施有效控制 3 系统运行和维护安全措施不到位 导致信息泄露或毁损 系统无法正常运行 3 信息系统的开发 企业必须重视信息系统在内部控制中的作用 根据本企业实际情况 加大投入 开发和维护系统运行 全面提升企业现代化管理水平 企业要适应时代需要 设置专门机构对信息系统实施归口管理 明确相关单位和人员的岗位职责 建立有效工作机制 也可以委托专业机构进行信息系统开发 运行和维护工作 企业负责人对信息系统建设负责 计算机信息系统开发一般有自行开发 外购调试和外包合作开发等形式 自己开发信息系统 应具备开发人才 明确开发需求和和控制点 组织有能力的机构进行测试 确保新旧系统衔接 正常运转 外购或者外包开发 应充分考虑自己业务特点 关注集成性 并将处理规则 交易权限嵌入到程序中 以预防 检查 纠正错误和舞弊行为 确保企业活动的真实性 合法性及效益性 信息系统开发必须遵守下列原则 1 因地制宜原则 不管自行开发还是外包合作开发 都必须考虑企业自身业务特点 企业规模 管理理念 组织结构与核算方法等具体因素 设计适用于本企业的计算机信息系统 2 成本效益原则 计算机信息系统建设可以起到降低成本 纠正差错的作用 其建设成本和其应用后的效益应该匹配 3 理念与技术并重原则 计算机信息系统建设应将管理理念与计算机技术整合 倡导员工参与建设 正确理解信息系统 达到提高信息系统运作效率 信息系统开发必须经过正式授权 具体程序包括 使用部门提出要求 归口管理部门审核 企业负责人授权批准 系统分析人员设计方案 开发人员开发 测试员测试 系统维护人员维护 如果委托外部承包开发 需设立项目管理小组 实行招标 测试等工作 并对全过程监控 严防项目舞弊 严防费用开支过高 严防开发不到位 开发完毕 要制定系统上线计划 涉及新旧系统切换的 要有应急预案 一旦切换不成功 能顺利返回原系统 5 信息系统的运行与维护 企业应当加强信息系统维护与管理 跟踪和发现系统运行中的问题 不断调整与完善 在计算机信息系统运行与维护方面 我主要讲述这样几个具体问题 1 计算机信息系统的技术风险分析 2 信息系统运行控制要点 3 信息系统安全保护措施 1 计算机信息系统存在的技术风险分析 企业采用微机操作 虽然分散进行 但由于技术复杂 也会给整个信息系统带来了风险 第一微机数据输入 处理 输出不在同一台机器上进行 为控制带来不便 第二 计算机分散在企业各个部门 和场所 传统的权限限制面临困难 第三 员工可以使用计算机执行多种职能 很难监督 第四 病毒成为最大敌人 第五 一旦连接互联网 日夜防范黑客入侵 还防不胜防 防火墙一旦攻破 损失巨大 第六 懂得软件开发技术的内部白领有了犯罪之机 2 信息系统运行的控制要点 正是由于上述存在的技术风险 企业管理层必须制定内部控制新规定 以确保企业信息的准确性 可靠性和安全性 控制要点如下 第一 岗位分工 责任明确 操作控制 由于微机环境下的操作往往是一人一机 要明确岗位责任 凭密码进入微机 获取 或制作 信息必须凭文件 并保存批准原始文件 以备检查核对 重要的信息输入输出必须获得授权 不能单独一人操作 需要在授权人监督下同时工作 如果一个人操作 必须限制别人操作 该微机的信息输入 处理 输出均由个人负责 第二 数据和程序软件的安全控制 计算机病毒可谓微机环境下的最大威胁 而且 计算机病毒的严重性容易被人们忽视 所以 有的企业规定员工外带软盘将被开除 所有输入必须经批准 并且严格病毒扫描 这一控制不仅适用软盘等可移动存储器 而且还适用于数据的网络来源 所以 企业要 指定责任人负责软件保管 不断完善防火防水设置 所有磁盘使用前都要病毒自动扫描 文件移入移出实行手续制度 安装拷贝保护程序 第三 程序和数据的逻辑安全控制 计算机的程序和数据很容易被篡改 微机的软件没有足够的控制功能 因此 可以在机内安装一些控制程序 防止程序和数据遭到破坏 控制措施主要有如下几点 将信息化分为多个文件 将文件分别存放在不同的文件目录下 这是指允许将文件划分多个的条件下 分别存储到可移动和不可移动的存储介质中 未经授权的人 是很难进入不可移动存储介质的 使用隐秘文件和秘密文件 机密文件 敏感数据可以使用秘密文件名保护 使用密码 使用登录名和密码分级使用制度 密码由相关员工分配合保管 限定接触范围 对常设数据更改进行授权制度 至少常用数据的更改要经过独立授权 财会部门更正错误 必须实行有痕迹更正 依照凭证进行 绝对不许删除 第四 计算机硬件管理微机 服务器等由于物理特性 容易被盗窃 损坏 非法进入和滥用 为保证微机硬件安全 应采取如下措施 微机安放地点限制非办工人员接近 微机警报 任何时候中断和移动微机 警报会自动启动 自锁机功能 以控制开关进入 这虽然不能防盗 但能有效阻止文件被盗 微机存放地点安装录像监控 3 信息系统的安全保护措施 计算机信息系统既然存在技术风险 这下一个问题一定是如何管理与控制这些风险 针对性的讲五个安全保护措施 加密加密是信息保密的核心方法 数据加密并不是设置密码 设置密码保护是指通过设密码限制数据访问权限 而数据加密则是将数据转换成难以理解的形式 防止数据被截获或被非法访问而造成泄密 当我们使用数据时 再把数据恢复到易于理解的形式 则称为解密 数据通过 密钥 进行加密解密 密钥是一个真实的数值 通过一种数学算法变换数据 加密技术是否有效 主要取决于密钥的长度和算法 数据加密以后 如果不能解密 那是无法读取的 所以无论在计算机传输中 还是计算机系统存储器中 都可以保密 无法获得身份认证的用户 没有办法解密 看到的是不规则的数字与字母组合 密钥应当足够稳定和严格 而且要不断变化 数据机密程度越高 密钥应当越严格 数字签名数字签名是通过专用加密密钥对信息发送者的身份确认的一种技术 数字签名技术的应用 可以保证信息传输的稳定性和安全性 简单的说 数字签名就是对数据单元作了密码变换 这种数据变换 允许数据单元的接收者用以确认数据的来源 防止被他人伪造 数字