ERP环境下内部控制风险及控制措施

　　摘要：实施ERP后对企业的冲击，组织结构的改变意味着企业的风险有了新特点。本文介绍了企业内部如何在ERP环境下控制措施去防范这些风险。　　关键词：ERP 内涵 作用 内部控制　　1 ERP的内涵及作用　　ERP是企业资源计划的简称，是基于先进的企业管理理念上高度集成化的信息系统，“一套将财务、分销、制造和其它业务功能合理集成的应用软件系统”，一套能实现实时在线管理的系统。ERP的核心，也是实现“管理整个供求链”的必要条件，包括内部集成和外部集成。内部集成是实现产品研发、核心业务和数据采集三方面的集成；外部集成是实现企业与供需链上所有合作伙伴的集成。　　ERP系统可以在企业的业务操作层、管理控制层、战略计划层三个层次上提供支撑和流线化的流程。在业务操作层，ERP系统可以降低业务的成本。在管理控制层，ERP系统可以促进实时管理的实施。管理人员可以以更加便捷的方式实时关控用于决策的信息，并及时的发现问题和解决问题。在战略层次上，ERP系统可以支持实施战略计划。ERP系统可提供战略分析过程中所需的基础数据，从而辅助高层管理者进行战略经营决策。基于以上作用，ERP系统使企业的管理水平步入一个崭新的发展阶段，得到广泛应用。　　2 ERP环境下内部控制风险　　实施ERP系统后，由于业务流程发生改变，将会增加与ERP相关的风险，进而影响整个公司的风险数据库。新增风险主要包括两类：新增主数据流程带来的风险和业务处理方式变更带来的风险。新增主数据流程带来的风险，主要有会计科目主数据不完整、不准确；在建工程转资交易类型定义不正确，导致账务处理不完整、不准确；新增和变更会计科目主数据未经过有效审批；ERP的订单信息不完整、不准确；ERP中采购发票的信息不完整、不准确等。业务处理方式变更带来的风险有凭证输入过账操作不正确，影响记账凭证的完整性和准确性；ERP中的非采购订单交易未经适当授权；转入损益库的盘盈盘亏信息不准确、不完整等。　　另外，ERP系统的使用也给控制形式带来了变化，ERP提供的控制证据或自动功能作为手工控制的基础。例如，销售收入的稽核，由于订单的准确性决定了记入总账数据的准确性，所以有效控制转变到了业务部门，控制点前移。许多企业在实施了ERP系统后，陷入了用户访问方面的问题，用户权限分配不当将引起以下两个方面的风险：一个是用户如果在系统中具有不符合其实际业务职责的权限，可能导致对业务、财务数据相关信息不适当的非授权修改。二是用户如果在系统中具有互斥权限，那么该用户就具有了在系统中进行舞弊操作的可能。　　3 ERP环境下内部控制措施　　3.1 进一步加强ERP业务流程管理　　对业务流程要按照“简捷、简单、效率”的要求进行梳理。通过规范ERP业务流程，解决好程序和效率的关系。建立公司规范的ERP业务流程管理制度和责任机制。制定并发布公司ERP业务流程管理办法，明确流程管理要求，建立流程负责人制度，落实业务流程管理责任。组织开展流程梳理工作，以业务流程为切入点，重点分析职责交叉、制度缺失、业务重叠等问题，理清工作职责、明确管理责任，加强部门间协调配合。积极推进业务流程规范化。遵循“风险导向、业务驱动、规范设计、强化执行”的原则，有计划、按专业开展流程规范专项工作。业务流程规范要以试点为基础，进一步总结完善，逐步推广。　　3.2 建立健全与ERP系统相关的规章制度，完善考核体系　　设立一个统一的组织协调部门，由其牵头处理与ERP系统相关的事宜。出台ERP运行管理办法及与ERP系统相关的细则。建立完善的授权审批体系和考核制度。对各类不同的物资采购，企业应建立完善的责任授权体系。同时，为了保证权责对等，企业应建立适当的考核体系，真正做到谁拥有权利谁承担责任。　　3.3 加强内部控制调研，推进风险管理建设　　加强内部控制调研，推进风险管理建设是内部控制建设的延伸，是为保持内控体系有效运行、推动内控体系良性循环的动力。　　3.3.1 重点开展ERP内部控制管理调研　　调查研究是做好内控工作的前提和基础。要通过有重点、有目的的专项调研工作，及时总结、提炼、推广内部控制管理工作中好的经验和做法，发现经营管理中存在的薄弱环节，提出具体的工作措施和改进建议，研究ERP内控体系发展和完善的工作思路。调查研究既要眼睛向内，又要时刻注意外部环境的变化，同时注重向已经实施ERP系统的单位进行交流和学习。　　3.3.2 积极推进风险管理工作　　加快财务管理授权机制建设步伐。在巩固财务管理授权机制设计成果的基础上，建立和完善授权管理制度。以授权书的形式，自上而下，逐级授权。明晰各个管理层面的职责和权限。各单位要加强内部财务授权管理，全面建立公司较为完善的财务管理责任机制。　　3.3.3 坚持不相容职务分离原则，注重执行效果　　在实施ERP的环境下更要坚持不相容职务分离原则，也就是要进行职务分隔。内部会计控制制度能够保证企业内部涉及会计工作的机构、岗位的合理设置及其职责、权限的合理划分。在ERP环境下由于业务交叉，各模块物流资金信息共享，会计业务活动时，要使每项经济业务至少有两个人或两个以上的部门参与，这样就可以用一个去证实另一个的准确性，只要人尽其用就不会造成工作的重复。调整不适应ERP环境的会计岗位设置，完善各岗位职责，特别是管理岗位和稽核岗位，在不同会计职务上加强预测、决策、分析等职责，加强稽核对业务的指导、监督、检查等职责。因此，只要相关的人员和部门之间没有徇私舞弊，差错与不轨就不难发现。　　3.4 设计有效的控制活动，做到事前、事中、事后控制相结合　　3.4.1 人员控制　　明确每个岗位的职责，使每一个人的工作能自动地相互检查另一个人或更多人的工作，从而达到相互牵制的目的。为了实现这一目标，可以采用对每一个岗位设计工作流程图的办法，在工作流程图中明确规定每个人应该做什么、如何做、何时做以及正确进行工作的结果等。工作流程图设计的目的应达到使管理的过程标准化，也就是说，要能够达到让不同的人按照工作流程图去做同样的工作，得到的工作结果将是相同的。 　　绩效考评。为了实现既定的工作目标，应实施有效的激励、奖惩机制，激励全体员工参与企业管理和控制，以充分发挥各自的主观能动性。各部门通过定期举行绩效考评会议，作为对其工作目标完成情况的事后控制，不仅可以总结一定时期的工作成果，同时也是发现问题、改进工作的过程。　　3.4.2 ERP信息系统控制　　信息系统已成为现代企业管理不可或缺的部分，随着电子商务的发展，信息系统的作用越来越重要。在信息系统的日常使用中，信息系统产生的舞弊现象比在手工操作下更具隐蔽性，因而对信息系统的控制也十分重要。公司实施ERP系统后应通过采取权限控制、数据录入、输出控制、手工凭证的控制等方式，各个岗位应通过设置密码口令来防止别人越权使用自己的权限，没有权限的人绝对不允许对数据进行查阅或修改。　　3.4.3 事前、事中、事后控制相结合　　在 ERP系统环境下，应将事前、事中、事后会计控制相结合，完善企业的内部会计控制。事前控制包括预算控制和授权控制两个方面。前者使得在发生经济业务时，系统能自动将实际情况与预算目标进行比较，对不符合目标的业务操作进行否决或提请授权机构决策；后者则能根据企业的组织结构及员工的岗位责任，设置每个员工对系统的操作权限以及对信息的查询范围，系统将保证企业的各项业务活动均是由被批准或被授权的员工执行。事中控制主要是对操作程序进行控制，主要包括业务操作控制与会计系统控制。而事后控制则可以确保检查报告的客观性、可靠性，提高检查效率、降低检查成本，有利于企业及时发现在目标实现及制度执行过程中的各项偏差。　　3.5 强化审计部门对ERP环境下内部控制的有效监督与评审　　内控工作重在建设，关键在执行。进一步完善内部控制监督机制，是确保有效执行的必要手段。应从以下几个方面开展审计监督工作。一是进一步强化和规范ERP内控体系运行的日常监督检查，制定检查规范，落实检查内容，明确日常监督检查的责任。二是针对管理薄弱环节和关键管理岗位，加强监督和专项测试。重点加强对人、财、物管理部门有业务处置权关键岗位的监督检查。三是建立违规处罚和责任追究机制，对于内控测试、检查中发现重大缺陷和实质性漏洞，导致内部控制失效，或发生重大风险事件，要追究有关单位主要领导和相关人员的责任。对一般性缺陷，要强化岗位工作人员的培训和考核，对于关键岗位不能适应工作要求的，要及时调整工作岗位。　　3.6 建立广泛的信息和交流系统　　通过信息交流，可使企业内部的员工清楚地了解企业的内部制度，而企业领导阶层，也能更好地实现对企业的监管和掌控。信息与交流，是将企业内各级主管部门和相关人员紧密地联系到一起，为及时取得和交换在执行和控制企业经营过程中所需的信息，切实明确双方在工作中相互的责任与义务，需要建立一个广泛而有效的信息与交流系统，应该遵循以下原则：①为确保所有员工充分理解和坚持现行的政策和程序，有效的内控系统需要有效的交流渠道，并确保其他的相关信息传达到应被传达到的人员，从而进一步影响到他们的职责。②有效的内控需要涵盖公司的全部重要活动，为此我们可以建立可靠的信息系统来进行监督。③一个有效的内控系统需要充分的和全面的内部财务，这些信息必须做到可靠、及时、可获，外部市场中与决策相关的事件和条件的信息，必须要以前后一致的形式规范地提供使用，这些数据主要包括经营和遵从方面的数据，内容必须真实可靠。　　3.7 建立适合企业发展的ERP系统运维队伍　　ERP系统在公司实施后，为了能更有效的提高ERP系统在企业的实施效率，应建立统一规范的运维平台，培养一大批高素质的运维队伍，及时解决系统用户应用的各种问题。首先应建立公共专用栏目，将ERP用户所需常用表单放在用网页上供所有ERP最终用户使用；其次，当有用户账号、权限或ERP系统配置发生变更时，及时联系运维人员，运维人员协助用户填写内控表单；另外，积极向运维人员宣传内部控制相关知识，提高运维人员对内控管理的认知度，并通过定期和不定期的检查，即时监督运维人员内控执行情况。　　参考文献：　　[1]甄阜铭.《ERP系统实施风险管理研究》，东北财经大学出版社，2008年5月第1版.　　[2]饶艳超.《我国ERP系统实施应用问题研究》，上海财经大学出版社，2005年11月第1版.　　[3]陈启中.《ERP——从内部集成起步》，电子工业出版社，2005年4月第2版.　　[4]企业内部控制标准委员会秘书处，《内部控制理论研究与实践》，中国财政经济出版社，2007年5月第1版.　　[5]张宜霞.《企业风险管理—应用技术》，东北财经大学出版社，2006年6月第1版.　　[6]中国石化企业会计基础工作研究课题组，《ERP环境下企业会计基础工作研究》，中国财经经济出版社，2008年9月第1版.　　[7]宋卫.《企业资源计划（ERP）》，机械工业出版社，2006年3月第1版.