2023年整理-ERP应用风险与内部控制

ERP应用风险与内部控制ERP的实施，就好比危险的飞行一般，让人胆战心惊而又无法抗拒在ERP应用的过程中，企业要面临来自业务流程、应用架构、数据质量和相关技术架构等四个方面的业务风险下文针对如何从内部控制这些风险，提出了解决之道由于对原有手工业务流程的重新设计，ERP相关系统的实施在很大程度上改变了企业的业务流程在ERP相关系统实施以前，许多企业基于计算机的业务相关系统，基本都是围绕某一业务功能或者是职能部门运行的，比如销售相关系统、采购相关系统和财务相关系统等这些相关系统都不是基于跨部门的流程来设计的ERP相关系统实现了从采购到付款、订单的获取到发票的开出等业务集成，实现了跨职能部门业务处理在这种情况下，ERP相关系统中单一的数据库，使过去跨部门的审批流程得到简化和压缩压缩所造成的一个结果是，用于企业内部控制的许多审计线索在ERP相关系统的引入后消失了同时，企业过去基于文件审批的内部控制机制，也无法适应ERP基于流程的管理需要更重要的是，由于企业的业务运作更加依赖于ERP相关系统，这种依赖和信息相关系统本身特点所导致的脆弱性，形成了企业新的业务风险实施ERP相关系统后，企业所遇到的业务风险一般来自四个方面业务流程、应用架构、数据质量和相关技术架构其中，业务流程的转变对企业内部控制的影响最大对企业内部管理和财务方面的监控提出了新的要求这方面的风险特征相比过去发生了根本性的变化例如，在ERP相关系统中，通过对手工流程的机器处理，比如审批处理自动化等，进一步增强了完成各种业务流程的效果但是，在新的业务执行环境中，这些审批处理自动化方式方法将改变企业内部原有的一些风险特征这时相应的内部控制体系就需要重新评估和设计内部控制蕴涵新的风险ERP实行的是流程化的管理，打破了原来职能部门的条块分割，实现了企业资源的统一管理和共享企业的运行和管理在一定程度上已经交给了ERP相关系统来进行控制这样一来，一方面导致企业所处的内部风险环境发生了变化，过去手工状态下的控制风险，由于ERP相关系统的引入而变得更加复杂；另一方面，ERP相关系统的实施需要对原有的业务流程进行优化和设计，改变了企业的组织结构流程优化的目的就是减少或合并流程中重复的、不增值的环节，原有的基于手工作业流程中有利于控制的重复环节将消失，这样一来内部控制体系会发生变化这些变化必然对企业内部的整体控制体系的有效性产生负面影咆在这种情况下，就需要企业对基于ERP相关系统的关键业务流程的内部控制进行定期的审核，确认是否存在足够的有效控制以降低由于ERP相关系统的使用而带来的业务风险定内部控制目标针对由ERP相关系统实施所带来的新的业务控制风险，我们需要对企业内部控制体系做重新评估和完善ERP相关系统实施之后，内部控制评估的目标通常包括下面这些合适的内容:.利用风险评估手段重新确定企业中关键的业务流程；.对整个流程和控制的设计进行评估，确定这些控制是否很好地满足和支持最终业务目标的实现；.对岗位职责分离的评估，确保在整个流程中存在正确的稽核点和平衡点，对敏感业务交易给出足够的访问限制；.评估控制方式是否合理，比如基于手工流程的控制和基于相关系统的自动控制是否搭配合理确定评估范围一般来说，ERP相关系统将覆盖营销、计划、生产、采购、仓储、财务、人力资源等企业运营管理的各个层面根据经验，如果对每个流程和控制点都进行评估在资源的利用上是非常不经济的ERP相关系统的控制评估必须基于风险管理的原则，通过风险评估寻找对主要业务运作中影响最大的领域换句话说，我们可以从企业整个业务风险域中寻找对企业具有最大风险的业务流程，从而进一步确定有哪些ERP模块在支持这些业务流程一般来说，我们通过对业务流程所有者的访谈，来确定我们的评估范围在对实施了ERP相关系统的企业的调研和风险评估中，我们发现，ERP相关系统中涉及到企业收入业务、支出业务和库存业务的相关系统控制流程对企业的业务能否顺利运转影咆比较大对于这种影响是这样定义的由于业务控制的削弱，导致企业出现经济相关问题和违规相关问题的可能性增加例如，企业管理层非常关注财务控制的内部和外部流程，因为那些这些流程决定了财务数据的准确性，是反映企业运作是否健康的“脉搏”因此，我们通常会更关注收入业务，它包括主数据维护、销售订单处理、发运、开票、退货和收款等控制合适的内容评估控制解决方案在确定评估范围之后，我们需要对这些流程进行描述和分析对ERP流程中的每个动作，我们都需要追溯到它的结果，描述风险特征并确认相应的控制点在ERP环境中，通常有两种控制方式我们需要考虑一种是基于相关系统的控制，另一种是基于流程的控制在ERP相关系统支撑的业务流程中，上述两种方式通常需要结合使用手工控制主要依靠个人职责的履行来完成比如，通常付款是需要通过填表、签字确认才可支付的基于ERP相关系统的控制，是由软件来完成的，通过控制数据的有效性和合理性来限制和核查动作的合法性ERP相关系统的参数设置将决定这个领域的控制级别这些控制包括用户访问、字段验证、工作流和许多其他用于确保数据处理一致性的控制例如，相关系统会自动拒绝生成一张与前一次序号相同的发票这样就自动降低了差错发生的可能性和应付帐款处理的混乱值得注意的是，在ERP相关系统实施过程中，某些二次开发工作会削弱在相关系统中已经设置好的控制，从而产生新的风险因子这个时候，我们必须要用手工控制来弥补完善控制，杜绝盲区需要了解的是，即便根据ERP相关系统的要求，调整和优化了内部控制，减少了由于“流程自动化”带来的内部控制可能的削弱，仍然无法彻底消除相关系统本身的特点导致的控制盲区这在复杂的相关系统接口和多用户访问情形下，相关问题是比较突出的很少有企业用一个相关系统将企业所有的数据和流程都管理起来所以，ERP相关系统和其他相关系统之间的接口是实现不同相关系统间数据互联互通的必需这些位于不同相关系统之间的接口是一个重要的风险区域由于不同相关系统的数据格式可能完全不同，为了实现数据的传递，就需要进行一系列的转换这就要求针对不同的相关技术整体平台和特点开发不同的接口，这些接口会产生新的控制方面的相关问题和风险另一方面，许多企业在实施了ERP相关系统后，陷入了用户访问方面的相关问题比如，如果访问权限开放给不应该拥有访问权限的个人或团体，它将极大地提高数据遭到破坏的风险缺乏对这类用户权限的有效控制，会降低那些敏感交易的安全性所以，用户访问对敏感交易的访问需要通过有效的控制，例如责权分离的原则加以限制作为企业管理信息化进程中重要的一项合适的内容ERP相关系统正逐步在企业中得到广泛应用但是，当我们关注其为企业带来巨大的管理提高和经施效益的同时，也必须充分认识到由于ERP相关系统自身的特点所带来的风险针对这些风险，皿和制定ERP环境下企业的内部控制策略，是ERP应用中不容忽视的新课题。