信息化評估對改善企業(yè)內(nèi)控水平促進作用顯著

2014-11-08 20:40:25 大云網(wǎng)　點擊量：評論 (0)

2006年,隨著美國《薩班斯-奧克斯利法案》（Sarbanes-Oxley，下稱薩班斯法案）的正式生效,掀起了全球關(guān)于加強上市公司監(jiān)管的熱潮,不僅僅是美國,各個國家政府都在加緊著手制訂加強對在本國上市的公司監(jiān)管的政策,有

2006年,隨著美國《薩班斯-奧克斯利法案》（Sarbanes-Oxley，下稱薩班斯法案）的正式生效,掀起了全球關(guān)于加強上市公司監(jiān)管的熱潮,不僅僅是美國,各個國家政府都在加緊著手制訂加強對在本國上市的公司監(jiān)管的政策,有些國家甚至也已經(jīng)推出新修改后的監(jiān)管條例。在加強上市公司監(jiān)管的政策中,最引人注目之處、同時也是最大的難點莫過于薩班斯法案中的404條款，關(guān)于披露公司的內(nèi)部控制信息。國內(nèi)也隨之由財政部發(fā)起成立了"企業(yè)內(nèi)部控制標準委員會"，相信過不了多久，中國版薩班斯法案也將誕生，因此，如何加強和改善公司內(nèi)部控制，完善公司內(nèi)控體系，不僅僅是受到在美上市的70多家中國企業(yè)的高度重視，同時也正在成為國內(nèi)各界關(guān)注的焦點。

那么該如何加強和改善公司內(nèi)部控制狀況，建立和完善公司內(nèi)控體系，來達到薩班斯法案404條款及其它類似法規(guī)的要求呢？談到這個問題，大多數(shù)人就很自然聯(lián)想到了公司治理，而當前IT治理作為公司治理中必不可少的關(guān)鍵環(huán)節(jié)，通過加強企業(yè)的IT治理水平，就可以促進企業(yè)改善其內(nèi)部控制水平。除此之外，還有其他什么現(xiàn)成的方法或途徑可以幫助企業(yè)改善其內(nèi)控水平么？國內(nèi)市場研究機構(gòu)計世資訊（CCW Research）軟件分析師徐國鴻給出他獨特的觀點：信息化評估同樣可以幫助企業(yè)發(fā)現(xiàn)公司內(nèi)控體系的不足，加強和完善其內(nèi)控體系。具體分析如下：

確保IT能夠支撐和拓展公司的戰(zhàn)略和目標

信息化評估是近幾年非常熱的一個話題，那么信息化評估是評估什么呢，它是評估公司信息化對公司整體戰(zhàn)略的支持程度，IT戰(zhàn)略和公司總體戰(zhàn)略的匹配程度，對公司業(yè)務(wù)發(fā)展的支持程度，對企業(yè)內(nèi)部組織流程和業(yè)務(wù)流程所產(chǎn)生的影響，促進企業(yè)業(yè)務(wù)系統(tǒng)效率的提高等等，總之，企業(yè)的信息化建設(shè)是為公司的戰(zhàn)略和業(yè)務(wù)發(fā)展服務(wù)的，因此可以通過信息化評估發(fā)現(xiàn)企業(yè)中存在的問題，保持IT與業(yè)務(wù)目標一致，推動業(yè)務(wù)發(fā)展，促使收益最大化，以確保組織信息系統(tǒng)的發(fā)展能夠始終沿著正確的方向進行，確保企業(yè)的總體戰(zhàn)略目標的實現(xiàn)。

借鑒公認的模型工具更全面和精細的管控企業(yè)的整個運營過程

當前國際上關(guān)于信息化評估模型雖然還沒有一個比較通用的標準，但各種不同的信息化評估模型都采用了COBIT、ITIL（BS15000/ISO20000）、ISO/IEC17799、IT項目管理以及平衡記分卡等工具模型的精髓，因此，其評估模型的周衍性、權(quán)威性和合理性也得到了保證。其中，COBIT模型目前已成為國際上公認的IT管理與控制標準，其次和IT治理的相關(guān)管理標準還有ITIL（BS15000/ISO20000）、ISO/IEC17799、IT項目管理、信息系統(tǒng)工程監(jiān)理。其中COBIT覆蓋整個信息系統(tǒng)的全部生命周期，其范圍最大；ISO/IEC17799這套管理標準更側(cè)重IT應(yīng)用過程的信息安全；ITIL這套標準優(yōu)勢是在運營維護階段，這幾種可以一起整合實施，來達到提升公司內(nèi)控能力的目的。

通過對企業(yè)信息化評估來規(guī)避企業(yè)內(nèi)部存在的風險

作為企業(yè)提升自生的內(nèi)部控制能力，就是要對風險進行更有效的控制。當然，無論是IT治理還是信息化評估，它們只解決了和IT部分相關(guān)的風險的規(guī)避和控制，并不是企業(yè)可能遇到的全部風險。

當然作為企業(yè)信息化評估，其作用不僅僅只是為了促進企業(yè)內(nèi)控能力的改善，規(guī)避內(nèi)部的風險，它是將企業(yè)放入到整個行業(yè)中進行綜合的分析，通過識別整個外在環(huán)境，規(guī)避行業(yè)中存在的風險，當然風險控制只是信息化評估中的一個子集，信息化評估還對信息系統(tǒng)的應(yīng)用狀況和綜合績效狀況進行更加全面的評估，因此，信息化評估所包含的內(nèi)容要遠大于IT治理所涵蓋的內(nèi)容。

由于信息化評估所包括的范圍非常的廣泛和全面，如果我們只是想借助其促進企業(yè)內(nèi)控水平的提升，那么我們應(yīng)該加強其有關(guān)風險控制方面的指標，弱化其他方面的指標，以此來達到應(yīng)用的目的。

當然信息化評估本身由于其更強調(diào)評估，是反映企業(yè)信息化當前的狀況，暴露出其中存在的問題，如何更好的去解決這些問題，如何更有效的規(guī)避風險還是要靠人自身來想辦法解決，任何一種方法或工具都不是萬能的，有它的優(yōu)勢和局限性，我們只有抓住問題的實質(zhì)，運用適當?shù)姆椒ê凸ぞ卟拍軌蛴行У慕鉀Q它。

對目標企業(yè)來說，其實改善其內(nèi)部控制水平，就是借助這些大家公認的模型，通過設(shè)計、實施、維護和監(jiān)控內(nèi)部控制和風險管理體系，尤其是對IT 的控制，發(fā)現(xiàn)自身存在的不足，幫助企業(yè)建立起完善和細化相關(guān)的流程和制度，以確保公司所有業(yè)務(wù)策略、規(guī)程和業(yè)務(wù)流程都在自己的掌握之中，并且在合法合規(guī)的軌道上運行。