云计算给内部控制带来的挑战

冯龙飞

[摘 要] 本文介绍了云计算的概念、特点及其应用中的风险点，分析了云计算给内部控制带来的挑战，即在云计算环境下内部控制面临人才缺乏、云计算内部控制难以审计、内部控制环境发生变化、沟通与协调更加困难、法律问题、保密性与数据安全六大挑战。在云计算环境下，风险与机遇并存，企业要通过不断地学习创新来适应环境的变化，迎接云计算带来的挑战并把握蕴含在其中的机会。

[关键词] 云计算；内部控制；挑战

[中图分类号] F239.45 [文献标识码] A [文章编号] 1673 - 0194（2014）19- 0014- 04

1 引 言

21世纪为是计算方式激变的时代，高速、便捷且成本低廉的云计算逐渐成为主流计算模式。云计算渐渐走进了我们的生活，使我们的计算模式从一个以桌面系统为中心的应用模型向新的以网络为中心的应用模型转变。云计算给企业带来的改变，不仅是计算机使用方式的改变，还必将从根本上改变人们获取信息、保存信息及交流信息的方式。云计算具有一系列特殊优势，如降低用户的软硬件负担、打破时间与地域束缚、提高数据灾害的预防与恢复能力和降低信息传递成本等。但同时云计算也给企业管理带来了诸多的挑战，复杂的商业环境和日新月异的信息技术给企业带来了前所未有的变化，企业要想生存发展，必须通过不断学习创新来适应环境的变化。内部控制已从内部牵制阶段逐渐发展到如今的企业风险整合框架阶段，表明日益复杂的商业环境对企业内部控制的要求逐渐增加。因此，有必要探讨云计算对企业内部控制带来的影响。

2 云计算与内部控制

2.1 云计算定义

1983年，太阳电脑提出“网络式电脑”理念，2006年3月，亚马逊推出弹性计算云服务。2006年8月9日，Google首席执行官埃里克·施密特首次提出“云计算”的概念。目前，业界还没有对云计算的概念形成统一的认识。

美国国家标准技术研究院对云计算的定义是：“云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络、服务器、存储、应用软件、服务等），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。”美国Argonne国家实验室的资深科学家、Globus 项目的领导人Ian Foster将云计算定义为：“云计算是由规模经济拖动，为互联网上的外部用户提供一组抽象的、虚拟化的、动态可扩展的、可管理的计算资源能力、存储能力、平台和服务的一种大规模分布式计算的聚合体。”IBM在其技术白皮书中指出：云计算一词描述了一个系统平台或一类应用程序；该平台可以根据用户的需求动态部署、配置等；云计算是一种可以通过互联网进行访问的可以扩展的应用程序。中国网格计算、云计算专家刘鹏给出如下定义：“云计算将计算任务分布在大量计算机构成的资源池上，使各种应用系统能够根据需要获取计算力、存储空间和各种软件服务”。

以上云计算提供商、科研机构、学术会议和专家对云计算的定义体现了认识云计算的几个角度：一是可以从模式的角度来认识云计算，如IBM认为是一种计算模式，美国国家标准与技术研究院则认为是一种资源利用模式；二是可以从服务的角度来认识云计算，如美国加州大学伯克利分校的研究者将云计算归结为互联网服务及相应的软硬件设施；三是可以从计算机制来认识云计算，如美国Argonne国家实验室的研究人员认为云计算是一种通过互联网实现的大规模分布式计算机制；四是可以从资源形式来认识云计算，如IBM和Luis M等把云计算看作虚拟化的资源池；五是IEEE会议提出根据对象的身份来定义云计算。

云计算概念出现的时间并不长，但由于云计算技术的产生背景和推动力量非常复杂，研究者背景与视野不一，因此云计算的概念多且杂乱。Matrix曾总结了云计算的20个定义，但仍远远不能涵盖已有定义。概念混乱是学者们质疑云计算研究的理由之一。对研究企业内部控制而言，应该适当与云计算概念的讨论保持一定距离，而将理论关注的重心放在云计算的应用上。通过考察云计算的应用特点，重点把握应用云计算将会给企业带来哪些影响。

2.2 云计算的特点

首先，云计算是一种计算模式，应具备时间和网络存储，而很少或不需要与任何服务提供商进行交互。

其次，云计算具有广泛的接入功能。通过网络获取计算能力，通过标准机制进行访问，通过异构的客户端平台（如移动电话、便携式计算机或PDA）使用。

第三，云计算拥有资源池。资源包括存储、处理、内存、网络带宽的虚拟机。云计算服务提供商的计算资源被池化，通过多租户模式为不同用户提供服务，并根据用户的需求动态提供不同的、物理的或虚拟的资源。用户并不知道资源的确切位置，但是用户可以指定较高层次的位置，如国家、州或数据中心。

第四，云计算具有快速伸缩性。计算能力可以快速、弹性获得。在自动化条件下，规模可以快速扩大或缩小。对于用户来说，提供的计算能力似乎是无限的，可以任意购买，随时购买。

最后，云计算提供可计量的服务。云计算系统通过对服务的平衡计量，以实现自动控制和优化资源使用。资源的使用情况可以检测、控制、计量，为用户和服务商提供透明的服务使用量信息。

云计算属于分布式计算的范畴，是以提供对外服务为导向的分布式计算形式。云计算明显的特点是计算资源能够被动态地有效分配，消费者（最终用户、组织或者IT部门）能够最大限度地使用计算资源但又无需管理底层复杂的技术。

2.3 云计算的部署形式

云计算的部署形式主要有以下4种。私有云（Private cloud） 架构仅对单一组织开放，由企业自身或第三方进行管理，企业可自行搭建，亦可由第三方提供。社区云（Community cloud） 出于共同利益需求（如任务、行业协作以及和规定要求等），云架构由数个企业共享，组成一个特别的社区。公共云（Public cloud）云架构仅对公共部门或大型行业集团开放，所有权归云计算服务提供机构所有。混合云（Hybrid cloud）是上述两种或两种以上云计算部署模式的混合体，每种模式仍然保持相对独立，通过标准化或专利技术组合在一起，便于数据和应用软件的传递。

企业采用何种云计算部署形式取决于企业需要“云”化处理的业务的特点、“云”化的成本与收益以及企业对待云计算的风险偏好。不同的云计算部署形式对企业内部控制的影响是不同的。在私有云部署形式下，企业的云数据存放在企业自己搭建的服务器上或者存放在第三方搭建的服务器上，但该第三方服务器上企业的数据没有与其他企业的数据相互联通和共享资源，此时企业对“云”的控制较强，但成本较高。相反，在公共云部署形式下，企业的成本低，但面临着较大的风险。

2.4 云计算的安全性和风险点

加特纳公司所指出的云计算七大风险，即优先访问权风险、管理权限风险、数据处所风险、数据隔离风险、数据恢复风险、调查支持风险、长期发展风险。《云计算权利宣言》一口气提出了云计算用户应有的“审计、账单、备份、数据、接口、法律、位置、安全、服务、标准”10项权利要求。马里兰大学的Jaeger等人讨论了云计算的“获取、可靠性、安全性、数据保密和隐私、知识产权、数据的所有权、互换性、审计”8个方面的“规则”。所有这些研究，均涉及云计算的安全性及宏观管理问题。

与云服务提供商和其他云租户共同处于同一个风险系统中——当一个组织采用了第三方管理的云解决方案后，该组织就与云服务提供商在法律责任、风险环境、事件响应以及其他方面产生了新的依存关系。

当一家企业接受了云服务商提供的云计算服务后，对于企业来说就不得不承受以下风险。（1）云服务提供商缺乏透明度。企业接受了云计算服务，例如将企业的某些业务数据或财务数据存放于第三方的云服务器并且利用云技术进行实施处理，企业可以完全控制的就只有企业的输入端，而具体的运算和输出并没有在企业的掌握之中，相对于企业来说云服务提供商提供的服务被放进了一个黑匣子里。传统企业并不需要完全知道供应商是如何运作的，只需要把握最后的结果即可，然而在云计算模式下，由于存放在云端的数据以及数据的运行方式可能是影响全局的，因此企业就不得不重新考虑云服务提供商服务的透明度甚至云服务的可审计性问题。（2）云服务商的可靠性和性能问题。由于企业需要保持业务的连续性和可持续性，当一个云服务商提供的服务不够可靠时，就可能使得企业的业务出现漏洞甚至使企业陷入瘫痪。此外，当企业对计算资源和计算要求提高时，要确保云服务提供商服务器性能足以应对。（3）软件的专用性。如果云计算服务提供商所提供的软件具有较强的专用性，通常就会降低企业的议价能力，企业自己的核心资料、算法及应用被绑定到一家企业中。（4）安全性和合规性。企业的信息必须保证足够安全并且合规，尤其是企业的财务信息。然而在云计算模式下云计算服务提供商所保存数据的安全性和合规性将会受到更多的关注。（5）IT部门人员的流动。与传统的计算模式相比较，云计算下企业不需要过多的IT人员，而保留下来的IT人员就显得越发重要。IT部门关键人员的流动都可能给企业造成巨大的损失。

2.5 云计算的服务模式及内部控制

云计算主要的服务模式有3种，即：软件即服务（SaaS）、平台即服务（PaaS）、基础设施即服务（IaaS）。基础设施即服务（Infrastructure as a Service，IaaS）是使用 CPU、储存、网络以及各种基础运算资源的新型方式，使用者无须购买服务器、操作系统等许可证，只是从服务提供商那里按需获取这些资源的使用权限，并按使用量进行付费。平台即服务（Platform as a Service，PaaS）是对计算资源更高层次的封装，它让使用者从更高的抽象层面管理、使用所需要的资源，如程序的运行环境、数据库服务、消息服务等，而并不需要关心底层的基础架构。软件即服务（Software as a Service，SaaS）是一种软件交付模式，在这种交付模式中，软件及其相关的数据被托管在云端。用户通常使用浏览器来访问这些软件服务。它最大的优势是通过将硬件和软件维护及支持外包给 SaaS 的提供者，来降低 IT 成本。云计算的3种不同的服务模式下企业技术构架的“云”化水平是不同的，3种不同的服务模式下的内部控制对企业技术构架的控制水平如表1所示。

3 云计算给内部控制带来的挑战

云技术使得企业能够获得代价低廉的技术替代方案，无须添置许多设备，也无须知道企业信息资产的确切存放地点。但是云计算给内部控制也带来了诸多挑战。目前，在云计算建设过程中，存在着重视硬件和业务流程建设，而忽视内部控制建设的现象。其结果是导致数据的丢失和泄露、云计算资源的滥用和非法使用、不安全的服务接口和API、恶意的内部用户、共享云设施带来的安全隔离问题、账户和服务的劫持问题、不能被用户感知的风险态势等问题的发生。云计算中的内部控制问题已经成为制约其顺利发展的主要瓶颈问题，是用户质疑和担忧的主要原因。云计算给内部控制带来的挑战包括两个方面的内容：一是云计算服务提供者的内部控制，二是云计算使用者的内部控制。以下尝试梳理出云计算环境下企业内部控制面临的挑战。

挑战一：人才缺乏。

CIO缺乏内部控制理论与实践；内部控制专家或内部控制设计人员缺乏IT知识和实践。同时拥有信息技术和内部控制理论与实践的复合型人才的匮乏导致云计算系统设计人员较少地考虑企业内部控制的具体问题，而内部控制专家由于对云计算理解不够深入，导致企业在先进的信息技术环境下内部控制变得无所适从。

挑战二：云计算内部控制难以审计。

评审云计算内部控制的目标是对云计算内部控制的有效性进行评审，即对IaaS、PaaS和SaaS各个层面的内部控制有效性进行评审，以确认云计算内部控制的有效性。但是，云计算环境是一个多个用户共享云设施的环境，它所面临的内部控制是一个综合系统，很难对云计算中单个企业进行内部控制评审。

挑战三：内部控制环境发生了变化，向外延伸，更难把握。

云计算背景下，企业内部控制不再是对传统意义上的钱物分管、严格手续、加强复核方面进行控制，也不仅仅是对企业一系列计算机硬件和相关财务业务系统的管理与控制，而是扩大到对包括云计算服务提供商、云资源安全、云资源隐私在内的诸多内容和环节进行控制，以最大限度地确保企业数据的真实性、有效性和完整性。

某些情况下，云计算能够绕过常规的管理层监控体系。如某云解决方案只是需要少量的经费和人员的投入，没有严格的管理层介入。但是，对于云计算，小投资也能产生大影响，因此管理层可能需要给予更多的关注，不管采用何种云解决方案，管理层都应该依据企业可承受风险的水平对云服务的部署和交付模式进行评估，以确定最优的云计算环境和相关的必要控制。

挑战四：协调与沟通更加困难。

一方面，实施云计算之后，云服务提供商或许不能及时传递信息，或是信息的质量无法与企业内部IT部分所提供的信息的质量相提并论。管理层或许还需要关注云服务商的相关外部信息。另一方面，在这个世界里，外包的兴起、数据的充斥和选择的激增使得需要沟通的范围扩大。虽然先进的信息技术促进了信息的传递和人们的交流，但是沟通的目的是为了协调，而协调的基础是利益关系，云技术使得企业的利害关系变得更为复杂，协调与沟通也因此变得更加困难。

挑战五：管辖权、知识产权、法律问题。

虽然数据存储在“云”中，但这个“云”或相应的服务器会有一个地理位置。它也许在另一个地区甚至另一个国家。而且，这个“云”会移动，也就是说存储数据的供应商自身会搬迁，或决定将数据重置在其他地点的服务器中。而另一个国家（或地区）的法律系统必然存在差异，如果当事人求助于法院解决争端，这将带来特有的挑战。

云计算技术的实施，使得人们“资源共享”的梦想有望成为现实，但也带来了更为复杂的知识产权问题，与不使用云计算服务相比，使用云计算服务更有可能使自己陷入知识产权诉讼的风险之中。

挑战六：保密性和数据安全性问题。

如何保证用户的数据不被非法访问和泄露是系统必须要解决的两个重要问题，即数据的安全和隐私问题。同时云计算系统本身的可扩展性、可用性、可靠性、可管理性等都是要重点解决的问题。

在云数据自云端形成至完全销毁的完整生命周期中，其时刻面临着云服务商和公权机关侵害数据保密权、支配权、知情权等诸多风险。美国CIO杂志的调查显示，67%的受访者不使用云计算的首要原因是数据隐私侵权风险。满足数据交流需要的云平台往往与传统隐私权保障机制相冲突。

在预设的理想状态中，所有活动均在云服务器中进行，掌握编码的云服务商通过账户管理有效控制用户群，提高对云数据隐私、敏感技术和知识产权等的保障力度。现实云环境却极端不稳定，云技术的不成熟与云数据隐私保障制度不健全促使很多追求利润最大化的云服务商参与或默许数据存储与流动中的泄露与损毁侵害（包括协助公权机构侵害云数据隐私权），严重威胁云用户数据隐私的保密性、准确性与完整性。迫切需要针对保密性和数据安全问题提出有效的控制措施。

4 结束语

COSO《企业风险管理——整体框架》报告指出，“企业风险管理能够使管理层有效应对不确定性因素及与相关的风险和机会，提升组织的价值创造能力”。云计算技术能够反映企业运营环境的巨大变化，如果采用整体框架的建议，企业需要通过不断演化的云计算模式识别不确定性因素以及隐藏在其中的机会。风险与机遇并存，企业要通过不断学习创新来适应环境的变化，迎接云计算带来的挑战并把握蕴含在其中的机会。

主要参考文献

[1]冯登国，张敏，张妍，徐震.云计算安全研究[J].软件学报，2011（1）：71-83.

[2]朱一红.云计算在图书馆的应用与潜在风险[J].图书馆理论与实践，2011（3）：32-35.

[3]尤春花.云计算环境下图书馆信息资源共享的挑战与对策[J].图书与情报，2011（4）：66-68.

[4]杨健，汪海航，王剑，俞定国.云计算安全问题研究综述[J].小型微型计算机系统，2012（3）：472-479.

[5]蒋洁.云数据隐私侵权风险与矫正策略[J].情报杂志，2012（7）：157-162.

[6]王世伟，赵付春.企业用户感知视角下的云计算信息安全策略研究[J].图书情报工作，2012（6）：29-32.

[7]张艳，胡新和.云计算模式下的信息安全风险及其法律规制[J].自然辩证法研究，2012（10）：59-63.

[8]秦荣生.云计算的发展及其对会计、审计的挑战[J].当代财经，2013（1）：111-117.

[9]蒋洁.云数据安全风险与规制框架[J].情报资料工作，2013（1）：57-60.

[10]汪鸿昌，肖静华，谢永勤.基于企业视角的云计算研究述评与未来展望[J].外国经济与管理，2013（6）.

[11]吴仁群.云会计与云审计关系浅析[J].财务与会计，2013（7）：44.

[12]卢霈.云计算环境下企业内部控制的应对策略研究[J].中国注册会计师，2013（8）：115-118.