【摘要】基于系統(tǒng)論的觀點(diǎn)，本文將持續(xù)監(jiān)控系統(tǒng)視為信息系統(tǒng)條件下內(nèi)部控制系統(tǒng)的一個(gè)子系統(tǒng)，分為持續(xù)監(jiān)控環(huán)境、持續(xù)監(jiān)控標(biāo)準(zhǔn)設(shè)定、持續(xù)監(jiān)控活動(dòng)、信息與溝通和對(duì)持續(xù)監(jiān)控的專項(xiàng)評(píng)價(jià)等五要素，并對(duì)各要素的內(nèi)涵進(jìn)行了分析。
【關(guān)鍵詞】持續(xù)監(jiān)控 內(nèi)部控制 會(huì)計(jì)信息系統(tǒng)
持續(xù)監(jiān)控（簡(jiǎn)稱CM，下同）是一種與企業(yè)經(jīng)營(yíng)管理有機(jī)結(jié)合的內(nèi)部控制程序，其目標(biāo)是為了確保內(nèi)部的持續(xù)有效運(yùn)行。CM因其能獲取內(nèi)部控制運(yùn)行最及時(shí)、相關(guān)與可靠的直接信息，可以實(shí)現(xiàn)對(duì)內(nèi)部控制的實(shí)時(shí)、動(dòng)態(tài)調(diào)整，使之成為內(nèi)部控制監(jiān)督的主要形式。信息系統(tǒng)應(yīng)用環(huán)境為CM提供了理想的運(yùn)行環(huán)境，其優(yōu)勢(shì)得以充分發(fā)揮。系統(tǒng)論認(rèn)為，任何系統(tǒng)是由若干要素組成的，這些要素以合理的結(jié)構(gòu)安排來(lái)實(shí)現(xiàn)系統(tǒng)的耦合，協(xié)同運(yùn)作實(shí)現(xiàn)系統(tǒng)的目標(biāo)。基于此，我們認(rèn)為CM也是一個(gè)系統(tǒng)，而且是信息系統(tǒng)環(huán)境下，內(nèi)部控制系統(tǒng)的一個(gè)子系統(tǒng)。類似于內(nèi)部控制系統(tǒng)的五要素劃分，我們也將CM系統(tǒng)劃分為CM環(huán)境、CM標(biāo)準(zhǔn)設(shè)定、CM活動(dòng)、信息與溝通、專項(xiàng)評(píng)價(jià)等五要素,這五要素之間的關(guān)系如下圖所示：
上圖并沒有單獨(dú)標(biāo)識(shí)出“信息與溝通”要素，是因?yàn)樵撘卦谡麄€(gè)系統(tǒng)中是普遍存在的，而且信息系統(tǒng)本身就可視為一個(gè)信息與溝通系統(tǒng)，難以將它作為一個(gè)獨(dú)立的組成部分標(biāo)識(shí)出來(lái)。
一、CM環(huán)境
CM環(huán)境是CM系統(tǒng)各個(gè)要素存在和效用發(fā)揮的基礎(chǔ)。在整個(gè)內(nèi)部控制系統(tǒng)中，它是屬于控制環(huán)境的有機(jī)組成部分。不過(guò)，由于CM效用的充分發(fā)揮需依賴信息系統(tǒng)環(huán)境，因此，CM環(huán)境又有其新內(nèi)容。具體而言，適合CM需求的高層基調(diào)和組織結(jié)構(gòu)是CM環(huán)境的兩個(gè)必要組成部分。
1. 高層基調(diào)。企業(yè)要順利實(shí)施CM，需要借助強(qiáng)有力的高層基調(diào)來(lái)跨越兩個(gè)主要障礙。①董事會(huì)和管理層在推行CM時(shí)，需要向相關(guān)人員闡釋CM價(jià)值，并清晰地表明高層支持CM的堅(jiān)定立場(chǎng)，以獲取員工的支持。②CM系統(tǒng)不是通用信息系統(tǒng)，它需要根據(jù)特定信息系統(tǒng)進(jìn)行定制。這種系統(tǒng)的成本高昂，在具體實(shí)施過(guò)程中需要在專業(yè)人員方面有新的投入，加之企業(yè)實(shí)施這類系統(tǒng)，投資回報(bào)難以立竿見影，因而企業(yè)投資此類項(xiàng)目，更加需要有一個(gè)富有遠(yuǎn)見的高層團(tuán)隊(duì)的支持。
2. 組織結(jié)構(gòu)。CM系統(tǒng)的運(yùn)行，需要有相應(yīng)的組織結(jié)構(gòu)予以支持。具體而言，管理層負(fù)責(zé)CM系統(tǒng)的實(shí)施，董事會(huì)對(duì)管理層進(jìn)行監(jiān)督，并對(duì)CM負(fù)有最終責(zé)任。管理層在設(shè)計(jì)組織結(jié)構(gòu)時(shí)，需要對(duì)CM相關(guān)崗位的角色進(jìn)行定位，對(duì)崗位職責(zé)進(jìn)行劃分。在崗位的人員配備上，要確保負(fù)責(zé)CM的評(píng)價(jià)人員的勝任能力和客觀性。其中，勝任能力要求評(píng)價(jià)人員具備內(nèi)部控制和業(yè)務(wù)流程方面的知識(shí)；客觀性要求評(píng)價(jià)人員在CM時(shí)，能夠做到不偏不倚。從這兩個(gè)方面的要求來(lái)看，內(nèi)部審計(jì)部門的信息系統(tǒng)審計(jì)師是CM的首要人選。
二、CM標(biāo)準(zhǔn)設(shè)定
根據(jù)ISACA的《內(nèi)部控制系統(tǒng)和IT監(jiān)控指南》，監(jiān)控的設(shè)計(jì)首先是了解影響企業(yè)目標(biāo)實(shí)現(xiàn)的相關(guān)風(fēng)險(xiǎn)及其特征，之后確定這些風(fēng)險(xiǎn)的輕重緩急，進(jìn)而確定監(jiān)控的類型、時(shí)間和范圍。目前，ISACA的《風(fēng)險(xiǎn)IT框架》及COBIT框架的信息標(biāo)準(zhǔn)可以幫助識(shí)別相關(guān)風(fēng)險(xiǎn)。CM作為內(nèi)部控制系統(tǒng)的組成部分，它的標(biāo)準(zhǔn)設(shè)定工作需要和內(nèi)部控制的風(fēng)險(xiǎn)評(píng)估相結(jié)合。因?yàn)轱L(fēng)險(xiǎn)評(píng)估是根據(jù)信息系統(tǒng)內(nèi)部控制目標(biāo)所面臨的來(lái)自內(nèi)部和外部的風(fēng)險(xiǎn)，持續(xù)地對(duì)這些風(fēng)險(xiǎn)進(jìn)行確認(rèn)和處理的機(jī)制，風(fēng)險(xiǎn)評(píng)估的結(jié)果提供了控制活動(dòng)的輸入，同時(shí)也形成了CM標(biāo)準(zhǔn)。
風(fēng)險(xiǎn)評(píng)估的目的就是為CM活動(dòng)的執(zhí)行提供一個(gè)衡量標(biāo)準(zhǔn)，即CM標(biāo)準(zhǔn)。CM標(biāo)準(zhǔn)有關(guān)鍵目標(biāo)指標(biāo)（KGI）和關(guān)鍵績(jī)效指標(biāo)（KPI）兩類。CM標(biāo)準(zhǔn)設(shè)定可分為事前標(biāo)準(zhǔn)設(shè)定和事后標(biāo)準(zhǔn)設(shè)定。企業(yè)在設(shè)定CM標(biāo)準(zhǔn)的時(shí)候，可以考慮采用成熟度模型，來(lái)判定自己的內(nèi)部控制成熟度水平、IT治理成熟度水平，對(duì)自己的現(xiàn)狀進(jìn)行定位（初始級(jí)、可重復(fù)級(jí)、已定義級(jí)、已管理級(jí)、優(yōu)化級(jí)），明確需要達(dá)到的成熟度水平，進(jìn)而指明內(nèi)部控制的改進(jìn)空間。標(biāo)準(zhǔn)設(shè)定要適度，既要著眼于內(nèi)部控制有效運(yùn)行的需要，也要給內(nèi)部控制留有持續(xù)改進(jìn)的空間。
無(wú)論是事前標(biāo)準(zhǔn)設(shè)定，還是事后標(biāo)準(zhǔn)設(shè)定，所設(shè)定的標(biāo)準(zhǔn)都是靜態(tài)的，其有效性會(huì)隨著時(shí)間的推移逐漸降低。這是因?yàn)槠髽I(yè)的運(yùn)營(yíng)環(huán)境是持續(xù)變化的，相應(yīng)的風(fēng)險(xiǎn)也是動(dòng)態(tài)的，企業(yè)的管理流程、業(yè)務(wù)流程和內(nèi)部控制流程也會(huì)隨之發(fā)生變化。同時(shí)，管理層對(duì)內(nèi)部控制及CM的認(rèn)知也是逐步深入的，這必然產(chǎn)生對(duì)CM標(biāo)準(zhǔn)進(jìn)行調(diào)整的需求。因而在CM軟件中，都會(huì)設(shè)計(jì)參數(shù)調(diào)整窗口，以滿足這種動(dòng)態(tài)需求。
三、CM活動(dòng)
CM活動(dòng)就是以CM標(biāo)準(zhǔn)為依據(jù)，以適當(dāng)?shù)念l率對(duì)信息系統(tǒng)中的各類信息進(jìn)行統(tǒng)計(jì)分析，借以發(fā)現(xiàn)某些關(guān)鍵控制偏離CM標(biāo)準(zhǔn)的例外情況，并通過(guò)“警報(bào)”的方式將監(jiān)控結(jié)果發(fā)送給評(píng)價(jià)人員。CM活動(dòng)與內(nèi)部控制的控制活動(dòng)要素功能也有重合之處：在控制活動(dòng)缺失的環(huán)節(jié)，CM活動(dòng)就可以視為一種彌補(bǔ)控制缺失的控制活動(dòng)；在控制活動(dòng)存在的地方，則是對(duì)現(xiàn)有控制活動(dòng)的再控制。
從技術(shù)能力限制和成本效益原則出發(fā)，CM的對(duì)象是關(guān)鍵控制。COSO定義了關(guān)鍵控制的兩個(gè)特征：它們的失敗可能對(duì)實(shí)現(xiàn)一個(gè)組織目標(biāo)的能力有重要影響，但是可能不會(huì)被其他控制及時(shí)檢測(cè)出來(lái)；它們的運(yùn)行可能防止其他的控制失敗，或者在這種控制失敗可能對(duì)組織目標(biāo)有機(jī)會(huì)產(chǎn)生重大影響之時(shí)，將它們檢測(cè)出來(lái)。
COSO進(jìn)一步指出，監(jiān)控的核心環(huán)節(jié)就是針對(duì)關(guān)鍵控制來(lái)設(shè)計(jì)和執(zhí)行監(jiān)控程序，以便將有限的資源分配給高價(jià)值或高風(fēng)險(xiǎn)的內(nèi)部控制。一旦關(guān)鍵控制被識(shí)別出來(lái)，評(píng)價(jià)人員就需要識(shí)別能夠支持這些控制是否根據(jù)設(shè)計(jì)來(lái)實(shí)施和運(yùn)行的信息。識(shí)別這種信息能夠知道控制失敗是如何發(fā)生的，以及哪些信息在決定控制系統(tǒng)是否合理運(yùn)行方面是具有說(shuō)服力的。
在信息系統(tǒng)環(huán)境下，針對(duì)關(guān)鍵控制的CM，ISACA的《內(nèi)部控制系統(tǒng)和IT監(jiān)控指南》列出了六個(gè)監(jiān)控要點(diǎn)：如果關(guān)鍵控制實(shí)現(xiàn)了自動(dòng)化，那么相關(guān)的IT一般控制也需要進(jìn)行監(jiān)控；如果關(guān)鍵控制是手工的，但依賴IT產(chǎn)生的信息，這時(shí)就需要對(duì)相關(guān)的IT一般控制進(jìn)行監(jiān)控；風(fēng)險(xiǎn)評(píng)估流程和電算化信息的可獲得性，驅(qū)動(dòng)著更多的相關(guān)控制被納入監(jiān)控范圍；直接從IT流程中獲取信息所進(jìn)行的監(jiān)控程序更加有效；對(duì)IT控制的監(jiān)控和自動(dòng)化的監(jiān)控，通?？梢酝瑫r(shí)用于實(shí)現(xiàn)多種監(jiān)控目標(biāo)；IT提升了監(jiān)控流程的持續(xù)性。
信息系統(tǒng)環(huán)境下的監(jiān)控，區(qū)別于傳統(tǒng)監(jiān)控的顯著特點(diǎn)在于它可以以較低的成本在一個(gè)較高的頻率上得到執(zhí)行，至于具體的頻率如何，則要視具體的關(guān)鍵控制特征而定。在定義某個(gè)關(guān)鍵控制點(diǎn)的CM頻率時(shí)，需要考慮到：①容易發(fā)生變化的關(guān)鍵控制需要更高頻率的監(jiān)控。②那些對(duì)信息系統(tǒng)有高度影響的控制，其監(jiān)控頻率要求更高。③關(guān)鍵控制點(diǎn)面臨的風(fēng)險(xiǎn)水平越高，其監(jiān)控頻率要求就越高。④具有較低風(fēng)險(xiǎn)容忍度的企業(yè)，需要進(jìn)行更高頻率的監(jiān)控。⑤對(duì)自動(dòng)化程度越高的業(yè)務(wù)流程，其監(jiān)控頻率要求也就越高。⑥在報(bào)告方面，需要根據(jù)企業(yè)內(nèi)部管理政策和外部的規(guī)范約定的要求，對(duì)CM頻率進(jìn)行設(shè)置。
四、信息與溝通
該要素從屬于內(nèi)部控制的信息與溝通要素，它要求將CM的政策、計(jì)劃及程序按照崗位的職責(zé)劃分，傳遞給相應(yīng)的責(zé)任人，以明確各自在CM系統(tǒng)中的角色與責(zé)任。良好的信息與溝通，有助于消除信息傳遞的時(shí)滯，快速落實(shí)權(quán)責(zé)關(guān)系。
在CM實(shí)施前，應(yīng)做好信息與溝通工作，這可以起到事前威懾作用，降低內(nèi)部控制失敗的概率。在CM系統(tǒng)設(shè)計(jì)過(guò)程中，需要考慮兩個(gè)重要的信息與溝通機(jī)制：①警報(bào)和數(shù)字儀表板。警報(bào)是對(duì)CM過(guò)程中發(fā)現(xiàn)的異常情況和例外事件的一種反饋形式。警報(bào)內(nèi)容的設(shè)計(jì)，通常應(yīng)該包含以下幾個(gè)方面的內(nèi)容：發(fā)現(xiàn)了什么問題（What），是什么時(shí)候發(fā)生的（When），何處發(fā)生了問題（Where），問題是如何發(fā)生的（How），問題可能發(fā)生的原因（系統(tǒng)智能判斷）（Why），應(yīng)由誰(shuí)負(fù)責(zé)（Who）。②數(shù)字儀表板是CM人員日常使用的一種人機(jī)互動(dòng)界面。數(shù)字儀表板可以用各種圖表直觀展示CM的各項(xiàng)指標(biāo)值，直觀檢測(cè)內(nèi)部控制系統(tǒng)的運(yùn)行情況，并對(duì)各種異常情況進(jìn)行預(yù)警和挖掘分析，還可以給操作員賦予一些對(duì)數(shù)字儀表板上的參數(shù)進(jìn)行調(diào)整的權(quán)限。
五、專項(xiàng)評(píng)價(jià)
CM策略并非固定不變，其有效性取決于是否能夠持續(xù)適應(yīng)信息系統(tǒng)內(nèi)部控制的內(nèi)外部環(huán)境，環(huán)境的動(dòng)態(tài)變化決定了CM策略和計(jì)劃需要進(jìn)行定期或不定期的專項(xiàng)評(píng)價(jià)。評(píng)價(jià)的內(nèi)容包括CM策略的相關(guān)性，企業(yè)風(fēng)險(xiǎn)容忍度的恰當(dāng)性，標(biāo)準(zhǔn)的正確性，報(bào)告需求的變化，監(jiān)控頻率是否需要進(jìn)行調(diào)整。促使CM策略變化的因素可能包括信息系統(tǒng)內(nèi)部控制缺陷長(zhǎng)期存在但未被發(fā)現(xiàn)、企業(yè)核心任務(wù)或業(yè)務(wù)流程的改變等。
在內(nèi)部控制的監(jiān)控要素中，專項(xiàng)評(píng)價(jià)和CM是兩種互補(bǔ)的監(jiān)控方式。ISACA的《內(nèi)部控制系統(tǒng)和IT監(jiān)控指南》認(rèn)為，專項(xiàng)評(píng)價(jià)可以采用與CM相同的技術(shù)，但是專項(xiàng)評(píng)價(jià)用來(lái)對(duì)控制進(jìn)行周期性的評(píng)價(jià)，且未嵌入企業(yè)日常經(jīng)營(yíng)活動(dòng)之中。專項(xiàng)評(píng)價(jià)是由未參與業(yè)務(wù)流程運(yùn)行或與被監(jiān)控的控制無(wú)關(guān)的人員來(lái)執(zhí)行的，所以它更客觀，評(píng)估結(jié)果也更可靠。對(duì)CM進(jìn)行專項(xiàng)評(píng)價(jià)，一方面是用來(lái)確保CM能夠跟隨內(nèi)部控制系統(tǒng)內(nèi)外部環(huán)境的變化而及時(shí)進(jìn)行調(diào)整，另一方面是對(duì)內(nèi)部控制系統(tǒng)進(jìn)行持續(xù)改進(jìn)。
【注】本文系浙江省自然科學(xué)基金項(xiàng)目（編號(hào)：LQ13G020011）的階段性研究成果。
主要參考文獻(xiàn)
1. 陽(yáng)杰，應(yīng)里孟.論企業(yè)內(nèi)部控制監(jiān)督的本原性質(zhì).財(cái)會(huì)月刊，2011；28
2. 陽(yáng)杰.信息系統(tǒng)內(nèi)部控制不完備性解構(gòu)——兼論內(nèi)部控制監(jiān)控必要性.財(cái)會(huì)月刊，2011；30
【作 者】
陽(yáng) 杰 應(yīng)里孟 周海燕
【作者單位】
（溫州大學(xué)城市學(xué)院 浙江溫州 325035）
