摘要：風(fēng)險同時伴隨著潛在的機遇。公司財務(wù)信息系統(tǒng)分析與設(shè)計人員需權(quán)衡風(fēng)險和機遇，只控制那些符合成本收益原則的重大風(fēng)險。概率和損失額越大，風(fēng)險的危害性就越大。公司財務(wù)信息系統(tǒng)風(fēng)險及其內(nèi)控措施可以發(fā)生在不同級別上：宏觀經(jīng)濟級別、行業(yè)級別、公司整體級別、公司內(nèi)業(yè)務(wù)流程級別以及信息處理級別。本文針對不同風(fēng)險級別，提出相應(yīng)的措施，重點提出在信息處理級別風(fēng)險中，對應(yīng)于COSO提出的5大控制要素展開監(jiān)控與績效評價環(huán)節(jié)。
關(guān)鍵詞：AIS 風(fēng)險 內(nèi)部控制 業(yè)務(wù)流程 信息處理
一、引言
風(fēng)險是指發(fā)現(xiàn)的任何使公司受到傷害或損失的可能性。目前主流觀點認為，AIS（Accounting Information System，會計信息系統(tǒng)）是公司財務(wù)信息系統(tǒng)的一個組成部分，而公司財務(wù)信息系統(tǒng)又是公司整體集成管理信息系統(tǒng)中一個基于財務(wù)視角的剖面。有鑒于此，公司財務(wù)信息系統(tǒng)分析與設(shè)計人員需要識別和控制風(fēng)險，但又要權(quán)衡風(fēng)險和機遇、控制目的和控制成本。公司必須權(quán)衡經(jīng)營效率和經(jīng)營效果，使公司財務(wù)信息系統(tǒng)可以做到同時控制效率和效果。當(dāng)今經(jīng)濟環(huán)境下，公司財務(wù)信息系統(tǒng)中內(nèi)控功能的重要性越來越凸顯。公司財務(wù)信息系統(tǒng)中控制的兩個重要考慮因素是執(zhí)行時間和成本。通常每種控制都能緩減某一特定風(fēng)險，但各種控制措施的成本和效率不同。因此很多潛在的風(fēng)險確實存在，但是要控制所有風(fēng)險的代價如果超過了控制帶來的收益，就會不符合成本效益原則，故不允許公司控制所有的潛在風(fēng)險，只應(yīng)控制那些重大風(fēng)險。
風(fēng)險的重大性取決于風(fēng)險對公司的影響，以及風(fēng)險實際發(fā)生的可能性阻止公司實現(xiàn)其目標(biāo)風(fēng)險的代價是巨大的，而且可能對公司的持續(xù)經(jīng)營產(chǎn)生災(zāi)難性影響。風(fēng)險的危害性是指：潛在損失的大小及其對實現(xiàn)公司目標(biāo)的影響，以及損失發(fā)生的可能性。概率和損失額越大，風(fēng)險的危害性就越大，公司管理風(fēng)險的需求就越大。
二、風(fēng)險的級別及內(nèi)控措施
風(fēng)險可以發(fā)生在不同級別或?qū)用嫔希汉暧^經(jīng)濟級別、行業(yè)級別、公司整體級別、公司內(nèi)業(yè)務(wù)流程級別以及信息處理級別。
?。ㄒ唬┖暧^經(jīng)濟和行業(yè)風(fēng)險
公司不是在真空中經(jīng)營，而是在某個行業(yè)中開展經(jīng)營，行業(yè)是當(dāng)?shù)亟?jīng)濟的一個組成部分，同時也是全球經(jīng)濟的一個組成部分。不考慮當(dāng)?shù)睾腿蚪?jīng)濟風(fēng)險以及行業(yè)風(fēng)險，即使再充分應(yīng)對其他風(fēng)險，對公司而言往往也是徒勞無益的。經(jīng)濟風(fēng)險包括來自戰(zhàn)爭、瘟疫、金融市場變革、恐怖襲擊和諸如洪水、臺風(fēng)以及干旱等自然災(zāi)害。這些因素中很多都能導(dǎo)致全球性的經(jīng)濟蕭條。有時經(jīng)濟風(fēng)險能夠給某些行業(yè)帶來致命的打擊，因此演變?yōu)樾袠I(yè)風(fēng)險。另一種類型的行業(yè)風(fēng)險是成本的普遍上漲影響了某一特定行業(yè)。例如，某一行業(yè)普遍使用的原材料成本劇烈上漲，整個行業(yè)都會受到負面影響。降低的產(chǎn)品需求就是一種行業(yè)風(fēng)險，它有時獨立于價格增長。產(chǎn)品需求的減少可能只是源于使用趨勢的轉(zhuǎn)變或其他行業(yè)中更高級替代產(chǎn)品。
?。ǘ┕撅L(fēng)險
公司風(fēng)險反映了公司由于自身或外部商務(wù)伙伴的行為或狀況這些內(nèi)、外部因素造成的潛在損失威脅。公司內(nèi)部風(fēng)險因素包括諸如員工道德低下，缺乏職業(yè)操守，員工不勝任工作。內(nèi)部因素在很大程度上由公司的管理哲學(xué)及經(jīng)營風(fēng)格決定。如果管理哲學(xué)和經(jīng)營風(fēng)格鼓勵高風(fēng)險環(huán)境，那么在業(yè)務(wù)流程層面和信息處理層面也存在更高的風(fēng)險。公司財務(wù)信息系統(tǒng)分析與設(shè)計人員確定公司風(fēng)險時，可以向管理人員詢問的問題如：公司是否承諾雇傭具備崗位工作所需知識和技能的勝任員工；管理層是否采用保守或理性的方法接受并列報經(jīng)營成果中的業(yè)務(wù)風(fēng)險；如果存在董事會，董事會中是否有公司外部代表；如果會計主體的年度財務(wù)報告需要審計，公司是否存在審計委員會來管理審計事務(wù)；公司是否存在定義良好的組織架構(gòu)、合理的職責(zé)分離以及明確的報告關(guān)系，以確保重要活動得到及時計劃、執(zhí)行、控制和監(jiān)督；員工是否理解公司的政策和實務(wù)，自己的職責(zé)以及向誰匯報；管理層是否營造強調(diào)正直和職業(yè)操守的公司文化；公司是否具備揭發(fā)渠道，以鼓勵員工在工作過程中向管理層或董事會告發(fā)舞弊行為；如果公司對以上問題的回答相當(dāng)肯定，該公司的控制環(huán)境可能較好。而那些沒有采取以上或類似措施來鼓勵正直和勝任能力的公司會面臨較高程度的公司內(nèi)部風(fēng)險。
公司風(fēng)險也來源于諸如行業(yè)內(nèi)其他公司競爭加劇、公司聲譽及品牌質(zhì)量損失、導(dǎo)致業(yè)務(wù)中斷的意外事項、涉及一家或多家公司外部商務(wù)伙伴的危機，以及公司兼并之類的外部因素。公司間競爭的加劇會降低公司的市場份額，導(dǎo)致品牌質(zhì)量或公司聲譽降低的事項會給公司帶來長期的負面影響；公司會面臨一些由于諸如火災(zāi)、洪水、龍卷風(fēng)、斷電或技術(shù)失敗等意外事項，導(dǎo)致業(yè)務(wù)中斷的風(fēng)險；公司會面臨一家或多家外部商務(wù)伙伴公司的業(yè)務(wù)中斷事故，從而對本公司造成威脅。
?。ㄈI(yè)務(wù)流程風(fēng)險
本文將業(yè)務(wù)流程風(fēng)險定義為與實際業(yè)務(wù)流程目標(biāo)（包括資源、事項、參與者以及這三者之間關(guān)系）相關(guān)的風(fēng)險。公司常見的資源包括存貨、產(chǎn)品、營運資產(chǎn)和資金，包括與失竊、過時、浪費、故意或非故意損毀而造成損失的威脅都可稱為業(yè)務(wù)流程風(fēng)險。事項可以分為宣傳事項、相互承諾事項和經(jīng)濟交換事項。與這些類型事項相關(guān)的風(fēng)險包括該發(fā)生卻沒發(fā)生的事項、事項執(zhí)行得過早或過晚等。
大多數(shù)風(fēng)險不涉及單獨的資源或事項，但卻涉及資源、事項或參與者的結(jié)合體。連接資源和事項的關(guān)系可分成提議、預(yù)留、資源流關(guān)系。與“資源——事項”關(guān)系相關(guān)的風(fēng)險包括事項執(zhí)行了錯誤的資源類型或資源項目、錯誤的資源數(shù)量，或資源的成本或售價錯誤。
資源與資源之間的鏈接關(guān)系是BOM（Bill Of Materials，物料清單）的一種表達方式。與“資源——資源”關(guān)系相關(guān)的風(fēng)險包括一種資源與另一種資源之間的關(guān)系確定錯誤。例如，完工產(chǎn)品存貨類型的BOM中描述了原材料種類或數(shù)量上的錯誤。
與“事項——事項”關(guān)系相關(guān)的風(fēng)險是事項間關(guān)系確立的錯誤。例如，業(yè)務(wù)流程政策要求所有銷售的現(xiàn)金折扣最多可達到售價的50%。一種風(fēng)險是沒有按折扣政策收款。同樣，在沒有確認存貨實際驗收的情況下支付了貨款。
“事項——參與者”之間的關(guān)系表現(xiàn)為連接公司內(nèi)外部參與者與事項的參與關(guān)系?！笆马棥獏⑴c者”關(guān)系相關(guān)的風(fēng)險包括未經(jīng)授權(quán)的公司外部參與者（如不存在的客戶）或未經(jīng)授權(quán)的內(nèi)部參與者執(zhí)行了事項（如倉管員執(zhí)行付款）?！百Y源——參與者”關(guān)系反映了諸如內(nèi)部參與者管理存貨類型職責(zé)的托管設(shè)置。與“資源——參與者”關(guān)系相關(guān)的風(fēng)險包括未經(jīng)授權(quán)的參與者托管了資源。檢查單一關(guān)系有助于識別風(fēng)險，完整的風(fēng)險分析卻要求同時檢查多種關(guān)系。例如，查詢可以被定義為評估相關(guān)的采購訂單、采購事項和付款事項是否都連接到同一家供應(yīng)商。如果沒有連接到同一家供應(yīng)商，就說明可能存在需要進一步調(diào)查的數(shù)據(jù)錄入錯誤或不規(guī)范。
?。ㄋ模┬畔⑻幚盹L(fēng)險
首先，公司財務(wù)信息系統(tǒng)也是一種資源，其接觸應(yīng)當(dāng)受到嚴格控制。諸如文件服務(wù)器之類的關(guān)鍵系統(tǒng)硬件應(yīng)當(dāng)鎖放在限制區(qū)域。其他網(wǎng)絡(luò)信息系統(tǒng)的組成部分需要由經(jīng)過授權(quán)的人員進入并完成業(yè)務(wù)和信息的處理。未經(jīng)授權(quán)的進入系統(tǒng)對公司而言是重大風(fēng)險，因此防止未經(jīng)授權(quán)進入系統(tǒng)很重要。進入控制在系統(tǒng)具備聯(lián)網(wǎng)、實時交易處理能力時特別重要。任何一臺連接到因特網(wǎng)的計算機都很容易受到攻擊。系統(tǒng)接觸控制涉及密碼和登錄控制矩陣的使用。密碼是一種較弱的保護形式。登錄控制矩陣表明了可以登錄系統(tǒng)的各個用戶，以及每個用戶登錄后可以接觸的數(shù)據(jù)和程序。一些用戶只允許讀數(shù)據(jù)，另一些用戶則可讀、可更新數(shù)據(jù)。
其次，信息處理風(fēng)險與記錄、維護和報告與資源、事項、參與者以及三者之間關(guān)系的信息相關(guān)。表面上，這類風(fēng)險與業(yè)務(wù)流程風(fēng)險十分類似，但實際上，業(yè)務(wù)流程風(fēng)險必須與事項的實際執(zhí)行、實際存在的資源和參與者有關(guān)。信息處理風(fēng)險必須與進行記錄、維護和報告以上對象的信息相關(guān)。例如，如果向不存在的客戶銷售產(chǎn)品是一個業(yè)務(wù)流程錯誤，但如果是向公司認可的客戶銷售產(chǎn)品，但數(shù)據(jù)錄入錯誤導(dǎo)致這筆銷售看起來像是向不存在的客戶銷售了產(chǎn)品，這就是一個信息處理錯誤。
信息處理風(fēng)險包括記錄、維護或報告的信息不完整、不準確或不合法。不完整的信息反映了對于資源、事項、參與者或關(guān)系信息在記錄、維護和報告中存在錯誤。不準確的信息反映了數(shù)據(jù)的記錄、維護和報告不正確地表達了客觀事實。不合法的信息反映了記錄、維護和報告了不存在的資源、事項、參與者或關(guān)系。這些類型的信息處理風(fēng)險都需要得到控制。
COSO的內(nèi)部控制集成框架討論了內(nèi)部控制系統(tǒng)的五大組成要素：控制環(huán)境、風(fēng)險評估、控制活動、信息和溝通、監(jiān)控。COSO報告中推薦對公司內(nèi)部控制的評價首先從風(fēng)險識別開始。接著確定應(yīng)對風(fēng)險的控制活動，最終進行內(nèi)部控制測試，以確?？刂剖欠裼行н\行。COSO推薦的、薩班斯法案要求的、越來越多的監(jiān)控和關(guān)于內(nèi)部控制的鑒定通過業(yè)務(wù)流程和AIS設(shè)計來實現(xiàn)。業(yè)務(wù)流程和支持業(yè)務(wù)流程的公司財務(wù)信息系統(tǒng)同樣關(guān)注風(fēng)險識別、開發(fā)符合成本效益原則的緩減控制措施，他們可以設(shè)計并實施控制。
財務(wù)信息系統(tǒng)的控制活動通常包括記錄、維護和報告會計主體事項，同時維護相關(guān)資產(chǎn)、負債和權(quán)益問責(zé)性的方法和記錄。其信息質(zhì)量影響著公司管理層在管理和控制會計主體經(jīng)營活動以及準備財務(wù)報告方面進行正確決策的能力。系統(tǒng)必須做到以下每一條，以便在信息系統(tǒng)中提供準確完整的信息來正確報告公司經(jīng)營成果：1.及時確認和記錄所有的業(yè)務(wù)事項；2.對每項業(yè)務(wù)事項的描述足夠詳盡；3.正確計量每筆業(yè)務(wù)的金額；4.在財務(wù)報告中正確描述和披露業(yè)務(wù)。溝通要素是針對現(xiàn)有崗位分工及對應(yīng)內(nèi)控職責(zé)的理解。員工應(yīng)當(dāng)理解他們的工作如何與其他員工的工作相連接，并且例外情況如何向高層管理人員報告。開放溝通渠道有助于例外情況的報告和采取行動。溝通也包括制度手冊、會計手冊和財務(wù)報告守則等。
監(jiān)控是隨時評價內(nèi)部控制完成情況的過程。由于多數(shù)公司經(jīng)常改變其經(jīng)營活動以適應(yīng)新的市場需求以及投資機遇，于是監(jiān)控變得尤為重要。監(jiān)控涉及以時間為基礎(chǔ)的控制機制設(shè)計和運行的評價，以及所需的修正行動。管理層一旦發(fā)現(xiàn)報告明顯偏離他們對公司經(jīng)營的了解時，就可采取持續(xù)的質(zhì)詢活動。內(nèi)部審計人員或系統(tǒng)評價者也可以通過定期的檢查內(nèi)控活動、評價其效果、匯報結(jié)果，以及提供改進建議來完成監(jiān)控。來自外部會計主體的信息同樣對內(nèi)部控制的監(jiān)控很有價值。客戶或供應(yīng)商關(guān)于運輸或付款的投訴，各政府機構(gòu)的檢查，以及外部審計報告都提供了內(nèi)部控制充分性及其改進的信息。
績效檢查是對提供某種方式監(jiān)控的公司績效的任何檢查，比較常見的檢查有：事先計劃數(shù)據(jù)與實際數(shù)據(jù)，經(jīng)營數(shù)據(jù)和財務(wù)數(shù)據(jù)，甚至包括隸屬關(guān)系或公司職能領(lǐng)域間的對比等?？冃z查的實例還可以比較實際發(fā)生的生產(chǎn)成本和上一會計期間生產(chǎn)成本，以發(fā)現(xiàn)差異。任何明顯偏離去年的成本項目都應(yīng)追蹤調(diào)查，明確原因。另一個績效檢查的例子是比較同一區(qū)域內(nèi)的銷售利潤率及運往該地區(qū)的存貨數(shù)量，以確定各地區(qū)間的銷售利潤率是否大體相等。如果某一地區(qū)的銷售利潤率明顯低于其他地區(qū)，就必須調(diào)查原因，諸如存貨有可能存在偷竊、毀損、過時或其他原因。Z
參考文獻：
1.C.L.Dunn，J.O.Cherrington and A.S.Hollander.Enterprise Information Systems.3rd edition. New York，NY：McGraw-Hill Irwin，2005.
2. 周梅，會計信息系統(tǒng)中銷售流程的應(yīng)用控制［J］.商業(yè)會計，2011，（31）.
