【摘 要】本文基于ITGI剛剛發(fā)布的COBIT 4.1，對IT環(huán)境下會計信息系統(tǒng)發(fā)展的最新狀況進行分析，探討了跨國公司執(zhí)行COBIT的經(jīng)驗和做法，進而提出，借助于COBIT 4.1，加強我國企業(yè)會計信息系統(tǒng)的內(nèi)部控制是當(dāng)務(wù)之急，也是大勢所趨。

　　【關(guān)鍵詞】COBIT；會計信息系統(tǒng)；內(nèi)部控制

　　一 、COBIT簡介與淺析

　　COBIT（Control Objectives for Information and related Technology，信息及相關(guān)技術(shù)控制目標(biāo)）是目前國際公認的最先進、最權(quán)威的安全和信息技術(shù)管理和控制的標(biāo)準(zhǔn)。普華永道發(fā)布的《2006年全球信息安全狀況報告》中統(tǒng)計，全世界63%的公司采用了COBIT控制框架標(biāo)準(zhǔn)，這一比率是IT控制框架采用率最高的。COBIT是由信息系統(tǒng)審計和控制協(xié)會（Information System Audit and Control Association，ISACA）（www. isaca. org）下屬的IT治理研究院（ITGI，Information Technology Governance Institute）（www.itgi.org）開發(fā)和發(fā)布的，旨在為IT 的治理、安全和控制提供一個普遍適用的公認的標(biāo)準(zhǔn)，以輔助企業(yè)管理層進行IT治理。自COBIT 問世以來，先后經(jīng)歷了1998年、2000年和2006年的修改補充，2007年5月，ITGI發(fā)布了COBIT 4.1，它從IT治理的角度，從更高的層面上來指導(dǎo)管理層進行IT控制和信息系統(tǒng)管理。由于一方面全球信息化的加劇和我國信息化的發(fā)展，另一方面COBIT對信息系統(tǒng)控制與審計又有著很好的指導(dǎo)作用，所以當(dāng)前介紹和引進COBIT對于推動我國信息化的健康發(fā)展有重要的意義。

　　COBIT 4.1主要是由4部分組成：框架、控制目標(biāo)、管理指南和成熟度模型。其相互關(guān)系如圖1所示。

　　COBIT是由相互關(guān)聯(lián)的各組成部分有機結(jié)合在一起的，能夠為不同的顧客群提供有關(guān)治理、管理、控制和保證方面的需要。下面對其組成部分逐一介紹分析。

　　1. 框架（Framework）

　　COBIT將IT過程、IT資源、與業(yè)務(wù)要求相適應(yīng)的IT目標(biāo)結(jié)合起來，形成一個三維的體系結(jié)構(gòu)，如圖2所示。與業(yè)務(wù)要求相適應(yīng)的COBIT的IT總體控制目標(biāo)具體是有效性（Effectiveness）、高效性（Efficiency）、機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、符合性（Compliance）、可靠性（Reliability）;IT資源主要包括應(yīng)用系統(tǒng)（Applications）、信息（Information）、基礎(chǔ)設(shè)施（Infrastructure）和人(People);IT過程則是在與業(yè)務(wù)要求相適應(yīng)的COBIT的IT總體控制目標(biāo)的導(dǎo)向下，對信息及相關(guān)資源進行規(guī)劃和處理，從信息技術(shù)的計劃與組織、獲取與實施、交付與支持、監(jiān)控與評價等4個方面確定了34個信息技術(shù)處理過程。實際上， COBIT的IT控制目標(biāo)的實現(xiàn)就是在IT過程中管理IT資源來完成的。圖3詳細地描述了完整的COBIT框架，顯示了COBIT的處理模式是如何根據(jù)業(yè)務(wù)和治理要求來管理IT資源并使之給業(yè)務(wù)傳遞信息的，該模式由4個領(lǐng)域構(gòu)成，包括34個一般過程。

　　2. 控制目標(biāo)（Control Objectives）

　　從領(lǐng)域、過程和活動3個層面對總體目標(biāo)進行分解，通過對特定的活動實施控制，以實現(xiàn)預(yù)定的系統(tǒng)目標(biāo)。為有效地進行IT治理，在COBIT框架內(nèi)部通常將需要進行管理的活動和風(fēng)險分為4個領(lǐng)域，即計劃與組織(Planning and Arrangement)、獲取與實施（Acquisition and Implementation）、交付與支持（Delivery and Support）和監(jiān)測與評價（Monitoring and Evaluation）,領(lǐng)域目標(biāo)按34個過程進行細分，根據(jù)每一個信息技術(shù)過程所涉及的系統(tǒng)資源，確定出相應(yīng)的控制目標(biāo)；針對每一個信息技術(shù)處理過程進一步細分為若干任務(wù)，確定出210個具體的控制目標(biāo)。針對這些具體的控制目標(biāo)，COBIT提供了詳細的系統(tǒng)管理策略，包括具體要采取的措施以及要考慮的問題等。這3個層次的控制目標(biāo)體系使系統(tǒng)管理目標(biāo)更清楚、更明確，更有操作性。COBIT覆蓋了整個信息系統(tǒng)的全部生命周期，涵蓋了戰(zhàn)略、戰(zhàn)術(shù)與操作的所有層次，處于各個階段的信息系統(tǒng)都可以參照使用，它所帶來的益處是十分明顯的，它使IT戰(zhàn)略與組織戰(zhàn)略緊密聯(lián)系，在業(yè)務(wù)目標(biāo)、信息系統(tǒng)、業(yè)務(wù)績效目標(biāo)之間維持平衡。

　　3. 管理指南（Management Guidelines）

　　管理指南是控制目標(biāo)在企業(yè)的具體應(yīng)用準(zhǔn)則，以進行自我評價與選擇，進而實施并完善對信息及相關(guān)技術(shù)的控制，其目的是對IT業(yè)務(wù)活動進行有效控制，使IT與業(yè)務(wù)活動保持高度一致，并通過傳遞組織所需要的信息使業(yè)務(wù)活動得以進行。管理指南給出了度量信息系統(tǒng)生命周期各個IT控制過程的安全、可靠與有效的指標(biāo)體系。

　　4. 成熟度模型（Maturity Models）

　　對IT過程進行管理和控制的成熟度模型是評價組織的一種方法。它劃定6個成熟等級，如圖4所示。每一個成熟度等級都規(guī)定相應(yīng)特征，企業(yè)可以結(jié)合自身的特點，界定出本企業(yè)的當(dāng)前狀態(tài)。該方法來自于軟件工程研究所（Software Engineering Institute，SEI）為軟件開發(fā)能力所定義的成熟度模型，但COBIT只是借助于能力成熟度模型（CMM）的形式來為其IT管理過程的性質(zhì)界定出成熟度等級。在COBIT 4.1中，34個IT治理過程都規(guī)定了自己的具體模型。

　　二、IT環(huán)境下，加強會計信息系統(tǒng)內(nèi)部控制的必要性

　　1. 會計信息系統(tǒng)的演進

　　會計信息系統(tǒng)的產(chǎn)生和發(fā)展是社會經(jīng)濟、技術(shù)發(fā)展的必然產(chǎn)物。從會計數(shù)據(jù)處理工具與處理模式來看，會計信息系統(tǒng)的發(fā)展可分為3個階段：一是手工會計信息系統(tǒng)階段，二是機械會計信息系統(tǒng)階段，三是計算機會計信息系統(tǒng)階段。楊周南教授認為計算機會計信息系統(tǒng)階段又可分為3個階段：一是電子數(shù)據(jù)處理階段，二是綜合數(shù)據(jù)處理階段，三是決策支持與專家系統(tǒng)階段。

　　2. 會計信息系統(tǒng)的定義和特征

　　會計信息系統(tǒng)（Accounting Information System，AIS）是一種面向價值信息和基于會計管理活動的系統(tǒng)，是在計算機軟件和網(wǎng)絡(luò)環(huán)境下，采用現(xiàn)代信息處理技術(shù)的一個人機交互的管理信息系統(tǒng)。其基本特征如下：

　?。?）AIS以符合會計管理工作和會計變更的需求為主要目標(biāo)。

　?。?）AIS以解決企業(yè)會計核算和管理所面臨的問題為主要功能。

　　（3）AIS以現(xiàn)代計算機硬軟件和網(wǎng)絡(luò)平臺為處理環(huán)境，由人（含會計人員）、信息技術(shù)設(shè)備（含數(shù)據(jù)文件）和運行規(guī)程三要素組成，其核心部分是功能完備的會計軟件。

　　（4）AIS能充分利用現(xiàn)代信息處理技術(shù)，自動（或半自動）采集、存貯、處理、分析、傳遞和反饋會計信息。

　　3. 會計信息系統(tǒng)所面臨的風(fēng)險

　　在IT環(huán)境下，由于與傳統(tǒng)的手工操作環(huán)境有了很大的差別，會計信息系統(tǒng)面臨著前所未有的風(fēng)險。主要有以下幾類：

　　（1）疏忽差錯（Unintended Errors）。系統(tǒng)操作員或交易執(zhí)行員在經(jīng)濟業(yè)務(wù)資料的輸入與處理過程中，由于缺乏必要的上崗作業(yè)培訓(xùn)或身體狀況欠佳等原因造成的非故意差錯。

　?。?）蓄意差錯(Deliberated Errors)。蓄意差錯也就是故意性差錯，實質(zhì)就是舞弊，是不正當(dāng)?shù)幕蜻`法的。在信息的輸入—處理—輸出的流程中，甚至在軟件的開發(fā)與研制過程中，都可能產(chǎn)生這種差錯。它不僅對有關(guān)數(shù)據(jù)或輸出信息的正確性與可信性造成影響，而且還可能導(dǎo)致企業(yè)資源的短缺損失和掩飾有關(guān)盜竊行為。

　　（3）疏忽性資產(chǎn)毀損（Unintended Asset Damages）。企業(yè)數(shù)據(jù)資料記錄可能承受非故意的毀損，比如存儲于硬盤中的應(yīng)收賬款記錄未作備份，可能因偶然的斷電故障這類偶發(fā)事件而消失。

　　（4）安全措施破壞（Breaches of Securities）。未經(jīng)授權(quán)許可的人員可能非法接近企業(yè)的交易資料與其他記錄。電腦“黑客”通過互聯(lián)網(wǎng)擅自進入企業(yè)的計算機系統(tǒng)竊取、篡改或惡意破壞交易資料或記錄，以及未經(jīng)授權(quán)員工私自偷閱未設(shè)定密碼或口令保護的企業(yè)員工薪金報告等。這種風(fēng)險可能在被競爭對手竊取本單位的重要資料時造成極為嚴(yán)重的后果。

　?。?）暴力（Forces）。暴力的存在來源于外界人士（如恐怖分子）和懷有怨氣的現(xiàn)有員工或已遭解雇員工的報復(fù)行為。如損壞會計信息系統(tǒng)或銷毀企業(yè)的客戶往來檔案記錄等。其后果可能是毀損企業(yè)的資產(chǎn)和資料，甚至導(dǎo)致經(jīng)營過程中斷以及企業(yè)的破產(chǎn)倒閉。

　　基于以上風(fēng)險，IT環(huán)境下的會計信息系統(tǒng)加強內(nèi)部控制具有前所未有的必要性，具體如下：

　?。?）IT環(huán)境下電腦操作隱形化和無紙化存儲介質(zhì)的缺陷。

　?。?）IT環(huán)境下內(nèi)部稽核削弱。

　　（3）IT環(huán)境下會計工作質(zhì)量有賴于計算機硬軟件系統(tǒng)自身的可靠性及會計人員本身的操作水平。

　?。?）管理型會計軟件的發(fā)展對內(nèi)部控制提出了新要求。

　?。?）網(wǎng)絡(luò)財務(wù)是IT環(huán)境下的新型管理模式，其安全性和保密性有賴于建立健全有效的內(nèi)部控制。

　　三、借鑒跨國公司經(jīng)驗，運用COBIT，加強我國企業(yè)會計信息系統(tǒng)的內(nèi)部控制

　　1． 保誠公司的經(jīng)驗分析簡介

　　保誠公司于1848年在英國成立,它是目前全球領(lǐng)先的金融服務(wù)大鱷和在亞洲領(lǐng)先的歐洲壽險公司。隨著其資產(chǎn)管理業(yè)務(wù)的快速增長,保誠公司（亞洲）在亞太地區(qū)的12個國家里擁有了9 000多位員工，除了在新加坡有一個區(qū)域分中心之外，它還有兩個關(guān)鍵的區(qū)域IT中心,其中一個在馬來西亞,另一個在中國大陸。

　　保誠公司亞洲地區(qū)的資訊科技部長羅德里格斯在2005年首次引進COBIT。他在香港領(lǐng)導(dǎo)著一個區(qū)域IT小組，該小組擁有6名成員。由于得到這個區(qū)域IT小組的支持, 保誠的CEO及其委員會成員同意采用COBIT的倡議，他們強烈地支持采用更好的IT框架、系統(tǒng)和程序以在整個地區(qū)給公司提供更好的競爭優(yōu)勢。“COBIT是一個非常簡單而強有力的管理工具,它讓我們實現(xiàn)我們的目標(biāo)”，羅德里格斯說。

　　羅德里格斯還認為，“一個好醫(yī)生是一位能夠清楚地向她或他的病人解釋如何保持健康的人，同樣,一個好的IT專業(yè)人員是能夠使該項目對一個公司觀眾來說容易得到理解的人。毫無疑問,我認為COBIT是允許我獲得這種能力的工具,利用COBIT，我相信我們能為保誠建立一個更好的IT和公司責(zé)任的文化。”

　　雖然保誠實施COBIT仍在進行之中,但是，很顯然,羅德里格斯已經(jīng)獲得了一些經(jīng)驗，具體如下:

　?。?）IT治理:泛區(qū)域戰(zhàn)略構(gòu)成、一致性；

　?。?）削減成本:減少重復(fù)；

　?。?）安全:區(qū)域客戶資料管理；

　　（4）外包:為外包業(yè)務(wù)伙伴提供適當(dāng)債務(wù)；

　?。?）溝通:讓廣大的公司員工易于理解各種術(shù)語；

　?。?）業(yè)務(wù)增長:為領(lǐng)導(dǎo)者提供了一個更安全、更一致的全面IT環(huán)境，以使其把精力集中在可增加企業(yè)價值的解決方案上。

　　上述這些經(jīng)驗顯然是對整個保誠公司（亞洲）的IT治理而言的，但是可以看到其中一些經(jīng)驗對會計信息系統(tǒng)的內(nèi)部控制和審計具有指導(dǎo)意義。

　　2. 勇于開拓，爭取早日構(gòu)建基于我國實際情況并與國際接軌的COBIT框架

　　隨著我國經(jīng)濟的迅速發(fā)展和經(jīng)濟全球化的突飛猛進，近年來我國已逐漸重視企業(yè)內(nèi)部控制，特別是2006年，被業(yè)界稱為中國的“內(nèi)部控制年”。財政部牽頭聯(lián)合發(fā)起成立了企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會，并邀請行政機關(guān)、高校、社會團體以及大中型企業(yè)的專家兼職咨詢。該委員會發(fā)布了《企業(yè)內(nèi)部控制規(guī)范》（征求意見稿），包括基本規(guī)范和一系列具體規(guī)范，并專門針對信息系統(tǒng)內(nèi)部控制制定了《企業(yè)內(nèi)部控制規(guī)范第××號——計算機信息系統(tǒng)》（征求意見稿），包括總則、崗位分工和授權(quán)批準(zhǔn)、信息系統(tǒng)開發(fā)、變更與維護控制、信息系統(tǒng)訪問安全和會計電算化及其控制等6部分。另外，財政部還于2006年頒布了新審計準(zhǔn)則《中國注冊會計師審計準(zhǔn)則第1633號——電子商務(wù)對財務(wù)報表審計的影響》，針對電子商務(wù)環(huán)境下的信息系統(tǒng)審計進行了規(guī)范，其中第5章“對內(nèi)部控制的考慮”里，提到了“注冊會計師應(yīng)當(dāng)按照《中國注冊會計師審計準(zhǔn)則第1211號——了解被審計單位及其環(huán)境并評估重大錯報風(fēng)險》和《中國注冊會計師審計準(zhǔn)則第1231號——針對評估的重大錯報風(fēng)險實施的程序》的規(guī)定，考慮被審計單位在電子商務(wù)中運用的與審計相關(guān)的內(nèi)部控制”。這些標(biāo)準(zhǔn)或規(guī)范只是為本專業(yè)的內(nèi)部控制提供了一個應(yīng)用指導(dǎo)，在一定程度上為進行IT治理環(huán)境下的內(nèi)部控制發(fā)揮了一定的作用。但是，從綜合的 IT治理或IT內(nèi)部控制來看，還沒有形成一個能夠滿足各方面要求，適應(yīng)各種需要的綜合的、完整的、系統(tǒng)的框架。目前雖然有些在國際上有顯著影響力的IT服務(wù)公司使用自己制定的標(biāo)準(zhǔn)或框架，如IBM公司使用IBM IT Process Model（ IBM流程模型）；HP公司使用HO ITSM Reference Model（HP服務(wù)管理參考模型）；微軟使用Microsoft Operational Framework（MOF,微軟運營框架），但是國際上絕大多數(shù)公司都使用主流的像COBIT這樣的IT治理標(biāo)準(zhǔn)。因此，有必要建立我國自己的COBIT框架，一方面是提升我國公司的管理能力，提高其經(jīng)濟效益，使其不斷發(fā)展的需要；另一方面，也是我國企業(yè)走出國門融入經(jīng)濟全球化大潮中去的需要 。

　　主要參考文獻

　?。?］ 楊周南等. 會計信息系統(tǒng)［M］. 北京： 經(jīng)濟科學(xué)出版社，2004.

　?。?］ 楊寶剛. 會計信息系統(tǒng)［M］. 北京：高等教育出版社，2001.

　?。?］ 蔡傳勛. 會計信息系統(tǒng)［M］. 大連：東北財經(jīng)大學(xué)出版社，2004.

　?。?］ 金文等. 基于COBIT的信息系統(tǒng)管理、控制與審計的模型構(gòu)建研究［J］. 審計研究, 2005, （4）.

　?。?］ IT Governance Institute .COBIT 4.1［EB/OL］. .