中小企业ERP实施中内部控制建设问题及对策研究.doc

中小企业ERP实施中内部控制建设问题及对策研究 摘要：本文对我国中小企业ERP实施中内部控制建设存在的问题进行了分析，在此基础上从加强企业信息文化建设、动态评估ERP系统风险、识别关键控制点、进行业务流程重组、实施持续监控等方面提出了对策建议 关键词：中小企业ERP 内部控制 信息系统 一、中小企业ERP实施中内部控制建设存在的问题 我国企业开始实施ERP系统起步于1981年沈阳第一机床厂所引进的MRPⅡ软件，经过30多年的发展，我国企业的ERP普及率越来越高，许多大型企业都使用了世界上先进的SAP软件来支持企业的运营不过，我国企业还是以中小企业为主，许多企业虽然实施了ERP系统，但在实施中，对内部控制建设认识存在诸多问题，具体可从内部控制的五个要素进行分析 （一）控制环境方面存在的问题 内部控制环境包括了公司治理结构，组织结构，治理哲学与经营风格，董事会、经营者素质和职业道德，权责分配体系，企业文化与信息系统等因素，它是内部控制其他要素发挥作用的基础，并直接决定了内部控制其他要素是否有效但是，我国中小企业在实施ERP的时候，内部控制环境普遍难以与ERP本身的要求相匹配。

具体表现为： 第一，公司治理结构不完善许多公司为了满足外部法规的要求，在形式上根据现代企业制度的要求建立起了企业的各项规章制度，但是，企业原有的管理思想还是普遍存在，导致这些规章制度流于形式与之相对应的是，ERP系统内化的是现代化的企业管理思想，这种思想借助ERP系统得以刚性执行，这必然与传统的管理思维相冲突，在公司治理结构不完善的情况下，导致许多企业大规模资金构建的ERP系统难以发挥应有的效用，相应的，与之相关的内部控制也流于形式 第二，管理层和员工整体素质不高ERP系统是通过信息技术所固化的先进管理思想，其作用的发挥还依赖于高素质的管理人员和操作人员，但我国中小企业面临的人才瓶颈，导致ERP系统仅仅是作为一种事务处理系统，管理层对ERP系统虽然在口头上重视，但是由于对ERP了解并不深刻，导致这种“高层基调”往往难以对执行层面产生影响而且，许多ERP系统的内部控制系统在具体执行时，主观随意性太大例如，由于人员的限制，一些企业甚至将出纳岗位和会计岗位由同一人担任，并给他在ERP系统中建立了两个账号，在这种情况下，必然会使内部控制的执行流于形式 （二）风险评估方面存在的问题 风险评估本意是根据企业经营环境的变化，对内部控制系统的控制标准进行动态调整而制定的，但是，许多企业在实施ERP系统的时候，只关注ERP系统在项目实施时，由软件厂商或者顾问团队所进行的风险评估的结果，具体的风险评估结果也是由他们内化到ERP系统中。

一旦软件厂商或顾问团队撤离企业，ERP系统中的内部控制往往是多年一成不变，导致企业经营所面临的风险要素在ERP系统中没能得到体现，相应的ERP系统的内部控制效用就难以发挥，甚至完全失效 （三）控制活动方面存在的问题 与风险评估一样，企业在控制活动方面也依赖于软件厂商或顾问团队，控制活动往往是由厂家在ERP系统设计时即嵌入其中，在针对具体企业进行二次开发时，会根据企业的具体环境进行调整我国中小企业在实施ERP系统的时候，往往是购买现成的ERP系统，不太重视二次开发，因为他们所关心的只是ERP系统中的财务会计模块，因而导致了没有必要进行二次开发的观念，这导致了ERP系统的其他子系统的内部控制流于形式，许多控制还是依赖于手工控制来完成，ERP系统控制活动的优势难以发挥而且，在控制活动的具体执行过程中，由于人员的限制，执行人员的职责分离不明确、管理人员滥用职权，导致内部控制难以正确、合理的执行，从而不能达到控制的目的 （四）信息与沟通方面存在的问题 企业引入ERP系统本意是要加强企业内部的信息与沟通，但在我国中小企业的实际运行中，由于ERP系统实施时，没能够对企业的业务流程进行重组，导致ERP系统并不能充分发挥其作为信息与沟通主渠道的作用。

而且，由于管理层对ERP认识存在的问题，企业内部的信息还是依靠传统的纸质载体传递的方式，ERP系统的相应功能就被闲置还有一些企业情况则相反，企业的组织结构庞大，结果复杂，层次太多，ERP系统没能合理地根据组织结构建立起相应的信息沟通渠道，从而影响了信息传递的及时性与准确性一些企业虽然实施的是ERP系统，但该系统发挥的是财务会计软件的功能，导致企业的财务部门与其他部门之间信息脱节，其他业务部门还是通过纸质的方式向企业传递单据，这就导致企业内部的“信息孤岛”持续存在，难以消除信息与沟通方面存在的顽疾 （五）内部监督方面存在的问题 在过去手工条件下，由于内部监督的缺位或者薄弱，导致内部控制的执行力不足，许多内部控制停留在纸面的文件上，在实践中未能得到贯彻虽然ERP系统能够将大部分的内部控制固化其中，但许多ERP系统重内部控制活动，轻内部控制监督，导致许多人认为ERP系统就是一个内部控制的“黑箱”，内部控制执行情况如何难以明了目前还只有SAP等大型ERP软件推出了针对其ERP产品的持续监控软件，大部分中小ERP软件厂家还未能实现对ERP系统的持续监控而且，由于对ERP系统技术系统的认知能力，企业的内部监督部门没能对ERP系统本身进行审计，导致ERP系统的内部控制是否持续有效，难以形成具体结论和意见，许多内部控制漏洞长期存在，给企业经营管理活动带来隐患。

二、对策建议 在我国会计信息化发展的大背景下，中小企业无法回避ERP系统实施给内部控制带来的挑战，针对我国中小企业ERP实施中内部控制建设普遍存在的问题，以及ERP对内部控制带来的影响、ERP环境下的企业内部控制设计思路，笔者认为，中小企业ERP实施中，要加强内部控制建设的效果，可以考虑从如下几个方面进行着手 （一）加强企业信息文化建设 随着内部控制理念的发展，企业内部控制更加强调控制环境的重要性，而控制环境中最为重要的因素就是“人”ERP毕竟是人设计出来的一套管理思想，最终是为人服务，对ERP系统进行控制其实就是对人的行为进行控制，ERP系统中的控制又反过来对人的行为产生影响人是内部控制中最不稳定的因素，强制性的制度控制难以达到所需的效果，这时候就需要采用“软控制”的方法软控制指的是那些属于精神层面的事物，例如，管理层的管理风格、管理哲学、企业文化、内部控制意识等在ERP环境下，最为重要的就是进行企业信息文化建设，通过信息文化建设来增加企业员工的信息化意识，增强员工对ERP系统的认同感，以更好地实现人机结合加强企业信息文化建设，对企业的管理层来说，要提高对ERP系统的认识，组建有效的体系化的组织结构，选择优良服务的厂商提供的ERP软件，完善企业的基础管理工作。

《企业内部控制应用指引第18号——信息系统》规定，企业负责人对信息系统建设工作负责 只有企业负责人站在战略和全局的高度亲自组织领导信息系统建设工作，才能统一思想、提高认识、加强协调配合，从而推动信息系统建设在整合资源的前提下高效、协调推进对人力资源部门来说，应选择与ERP环境相适应的员工，对于现有员工，也应加强继续教育，以适应企业ERP系统运行的需要，最终服务于一个高效和有效的内部控制系统 （二）动态评估ERP系统风险 内部控制系统是一个动态过程，只要企业的经营活动不停止，内部控制的风险评估也不会停止，企业内部控制不能只是一项制度，或者是一个机械的规定，企业经营管理环境的变化会带来新的风险，ERP系统本身也要进行动态调整，这就必须动态评估ERP系统的风险目前，用于评估ERP系统的风险的框架有ISACA的《风险IT框架》，该框架将IT风险分为风险治理、风险评估与风险响应三个领域，并针对各领域制定了相应的评估流程当然，国外先进的风险评估框架，只是给企业提供一种通用的流程参考，企业在具体运用中，需要根据自身的环境，及时将风险因素进行收集，并按照风险等级进行排序，进而将风险因素细化，制定评估标准。

在组织结构设置上，还需要建立健全IT部门的风险管理机构，有条件的企业还可以成立风险评估委员会，用于建立起覆盖企业各层级、各业务流程环节的各种风险控制岗位，并对这些岗位进行监督与控制，以有效防范各种风险在ERP系统中，应建立和完善风险预警机制，以充分发挥ERP系统中数据仓库的作用，从历史数据预测未来，通过智能化的手段来挖掘风险线索，实现对风险的智能化评估 （三）对ERP系统的关键控制点进行全面控制 对一个ERP系统来说，内部控制当然是越完备，效果越佳，但企业不得不考虑成本效益原则，需要权衡实施成本与预期效益，以适当的成本实现有效控制在这种背景下，就应该充分发挥ERP系统的自动处理能力在构建ERP系统时，应在业务流程重组过程中，考虑将业务流程的控制环节尽可能固化到系统之中，这时就要通过风险评估来选择关键控制点，并对这些关键控制点进行全面控制这么做的好处在于，能够以极低的成本扩大内部控制的覆盖面，并提高内部控制执行的客观性和强制性 （四）ERP建设过程中要消除“信息孤岛”，保持企业内部信息与沟通的畅通 ERP系统要将整个企业用网络连为一体，前提就是需要消除部门之间的“信息孤岛”，实现财务与业务一体化，用企业统一的数据仓库来实现系统集成，整个企业的“人、财、物、供、产、销”信息都可以通过明确的权责分配进行共享。

要消除信息孤岛，就需要根据ERP系统的特点对传统的业务流程进行再造，包括业务流程自身的优化，企业内部管理体系，特别是内部控制体系质量的优化调整这样，企业内部信息与沟通就实现了通畅，丰富的信息源，给灵活的内部控制提供了可能，内部控制就能够超越手工局限，更好地适应ERP环境 （五）利用信息化手段对ERP系统中的内部控制系统进行持续监控 企业在实施ERP系统时，应选用那些产品系列中有持续监控相配套的软件厂商，这样，企业在ERP运行时，就可以通过类似于飞机驾驶舱的面板来实时观察内部控制的运行，及时发现内部控制的薄弱环节这个过程中，可以充分运用各种数据式的审计方法在企业内部审计部门，应有专职人员来对内部控制系统进行监控，并建立起相应的制度文件，来明确该岗位人员的职责权限，内部控制点的责任人，问题的处理机制及责任追究制度为了保持内部控制系统及持续监控系统的有效性，还应定期进行专项评价，这中间的主要内容就是对信息系统进行审计，这种审计在不同阶段有不同的着眼点例如，在初次审计的时候，应对整个系统的生命周期进行审计，后续的定期审计中，则只需对ERP系统的运行进行审计Z（注：本文系福建省教育厅社科研究项目“信息技术引发的企业重大错报风险研究”阶段性研究成果，项目编号：JA11051S；福建省软科学研究科技项目“福建省科技型企业内部控制质量问题研究”阶段性研究成果，项目编号：2012R0052） 。