内部控制是指企业为保护资产安全、保证会计记录的正确性和可靠性、提高经
营管理效率、保障经营管理政策的执行而采取的全部方法和措施。内部控制可分为
一般控制和应用控制两类。一般控制是对会计信息系统环境的控制,应用控制则是
对系统运行过程的控制。显然,不同的环境和应用系统模式,其内部控制的方法和
措施是不同的。基于互联网的会计信息系统,由于其在系统的开放性、处理的分散
性、数据的共享性等方面大大超过了以往任何类型的系统,极大地改变了以往计算
机系统的应用模式,扩展了系统运行的环境,从而大大改变了以往计算机系统内部
控制的内容和方法。因此,我们需要根据互联网系统的特点及其风险来源,重新确
立系统的内部控制点,并建立相应的内部控制体系。
由于企业规模的不同,基于互
联网会计信息系统的应用模式也不同。一般可分
为三类:第一类是独立内联网结构的应用系统;第二类是异地内联网结构的应用系
统(适合于有异地分支机构的集团型企业);第三类是外联网结构的应用系统(适
合于联盟型虚拟企业)。不管是哪一类型的系统结构,其系统组成的基础都是企业
的内联网(包括分支机构的内联网)。因此,基于互联网会计信息系统的内部控
制,主要是内联网内的控制。
1、操作系统控制。由于操作系统面向所有用户,再加上自身的缺陷。因此它
时刻面临着来自各方面的潜在威胁,包括系统内人员的滥用职权、越权操作和系统
外人员的非法访问甚至破坏。如使用浏览法搜寻主内存中的口令信息、使用伪装法
复制合法注册程序、设计“后门”程序建立非法访问系统的通道、用“特洛伊木
马”法探测系统的弱点,以及各种各样通过操作系统破坏整个系统的计算机病毒等
等。要提高操作系统的安全可靠性,除了要尽可能地选用安全等级较高的操作系统
产品,并经常进行版本升级外,在管理控制上主要可采取以下措施:(1)计算机
资源授权表制度。明确规定每个用户的安全级别和身份标识,并分别定义具体的访
问对象;(
2)日志审计制度。对运行系统的事件类型、用户身份、操作时间、系
统参数和状态以及系统敏感资源进行实时监视和记录,并对日志文件定期进行安全
检查和评估;(
3)存取控制。对系统资源进行分类管理,并根据用户级别,限制
系统资源的共享和流动;(
4)特权管理。由于超级用户具有操作和管理系统全部
资源的特权,因此,其特权一旦被盗用,将给系统造成重大危害。特权管理是使系
统由若干个系统管理员和操作员共同管理系统,使其具有完成其任务的最少特权,
并相互制约,以提高系统安全可靠性。
2、会计数据资源控制。数据库系统是整个系统控制的主要安全目标。对数据
库系统安全的威胁主要来自两个方面:一是系统内外人员对数据库的非法访问;二
是由于系统故障、误操作或人为破坏造成数据库的物理损坏。针对上述风险,会计
数据资源控制主要可采取以下措施:(
1)合理定义应用子模式。子模式是指全部
数据资源中面向某一特定用户或应用项目的一个数据子集。在网络环境下,为了限
制合法用户或非法访问者轻易获取全部会计数据资源,应根据不同的应用项目(功
能)分别定义面向用户操作的数据界面,做到需要什么数据,用到什么数据,就开
放什么数据。(
2)会计数据资源授权表制度。明确定义每一用户对数据资源访问
的范围和内容,并分别规定对数据库的查阅、修改、删除、插入等操作权限。
(
3)数据备份和恢复制度。网络环境下的数据备份和恢复远比成批集中式处理环
境下要复杂,为保证系统恢复的有效性和一致性,建立业务日志文件(记录系统处
理过程的文件)和检查点文件(作业内容信息能被记录下来,并可重新启动该作业
的一个点)是必要的。
3、系统开发控制。系统开发控制是一种预防性控制,目的是确保会计信息系
统开
发过程及其内容符合内部控制的要求。在过去封闭式的会计信息系统环境下,
传统的会计控制措施(制度)尚能发挥作用,因此系统开发者主要关心如何实现业
务功能。基于互联网会计信息系统的开发,必须把会计控制功能全面融入系统逻辑
模型中。在软件开发的前期,内审和风险管理人员要参与系统控制功能的研究与设
计,包括上文和后文讨论的许多内外部控制措施,在系统中应当得到恰当的体现,
并在软件开发及测试阶段加强监督,确保所有既定控制功能在系统中得以有效地实
现。
4、系统维护控制。系统维护包括软件修改、代码结构修改等,涉及到系统功
能结构的调整、扩充和完善,其过程类似于系统开发,因此,系统开发控制的方法
同样适合于系统维护。此外还应建立维护审批制度,维护方法、维护内容测试、维
护文档编制的规范化制度,维护用机、测试数据与营运机器、实际数据的分隔制
度,源程序保管控制制度等等。