基于信息化的高校财务内部控制研究

吕海蓉，张海平

（南京邮电大学，南京210046）

一、高等学校财务内部控制定义

关于内部控制的定义，当前并没有统一的概念。美国职业会计师协会的审计程序委员会（AICPA）在1949年的《内部控制：系统协调的要素及其对管理部门和独立公共会计师的重要性》特别报告中，首次正式提出了内部控制的定义：内部控制包括一个企业内部为保护资产，审计会计数据的正确性和可靠性，提高经营效率，坚持既定管理方针而采取的组织计划及各种协调方法和措施。[1]

随着内部控制理论和实践的发展，国内外专家从不同的角度丰富内部控制的定义，1992年9月美国注册会计师协会与美国会计学会、财务执行官协会共同组成的资助组织委员会发布的COSO报告中将内部控制定义为：内部控制是由企业董事会、管理层以及其他员工为达到财务报告的可靠性、经营活动的效率和效果、相关法律法规的遵循等三个目标而提供合理保障的过程。

2013年5月，COSO发布了2013版的内部控制新框架。COSO框架自发布以来已经成为业界普遍使用的内部控制设计、实施、执行、评估有效性的指导性框架，其关于内部控制的五要素即控制环境、风险评估、控制活动、信息沟通和监督，对业界实施内部控制有着重要的借鉴意义。

2009年9月1日，中国内部审计协会颁布的《内部审计实务指南第4号——高校内部审计》对高等学校内部控制定义如下：指为了实现教育事业发展目标，保证资金、资产、资源安全、完整，并得到合理有效利用。保证会计信息真实、准确，保证有关法律、法规、规章的贯彻实施而制定与实施的一系列控制方法、保证措施和业务程序。其明确指出高校财务内部控制包含五个要素：控制环境、风险管理、控制活动、信息与沟通、监督。高校财务内部控制的审计评价也正是围绕这五个要素开展的。

二、高等学校财务内部控制目标

2014年1月，《行政事业单位内部控制规范（试行）》开始实施，对中国行政事业单位内部控制进行了定义，即为合理保证单位经济活动合法合规、资产安全和有效使用、财务信息真实完整、有效防范舞弊和预防腐败，提高公共服务效率和效果，通过制度制定、实施措施和执行程序，对经济活动的风险进行防范和管控。[2]高等学校作为中国行政事业单位中一个类型，在此定义范畴内，该定义与《内部审计实务指南第4号——高校内部审计》中对高等学校内部控制的定义是一脉相承的。由此可见，中国行政事业单位的内部控制是“部分控制论”，是只包括与处理经济业务有关的内部会计控制，其内部控制目标更加关注如何提高公共服务的效率和效果。[3]

那么高等学校内部控制的目标是什么呢？高等教育法规定：高等学校应当以培养人才为中心，开展教学、科学研究和社会服务，保证教育教学质量达到国家规定的标准。因此，高等学校最重要的目标就是培养具有创新精神和实践能力的高素质专门人才。高等学校的内部控制目标的设定也应紧扣高等教育的主要目标，在合理保证高等学校经济活动合法合规、资产安全和有效使用、财务信息真实完整、有效防范舞弊和预防腐败的基础上，更注重高等教育质量即高等教育服务效果。财务部门作为高校经济活动的中心，内部控制目标的设定必须以高等学校提高教育质量和服务效果为根本出发点，将有限的资源分配到有效的教育环节，充分发挥资金使用效益，最终实现高等学校人才培养目标。

随着信息技术的快速发展及其在高校财务管理中的深入应用，高校财务管理环境发生了巨大变化，财务管理理念和业务流程发生了颠覆性的变革，势必对高校财务内部控制产生重大影响，高校财务内部控制要素和具体形态也必将赋予其新的内容。

三、信息化技术对高等学校财务内部控制要素的影响

（一）控制环境

控制环境是对高等学校内控系统的建立和实施有重大影响的各种因素的总称。影响高等学校内部控制环境总结起来包括三个方面。一是法人治理结构和组织结构,包括高校的目标定位、高校法人主体地位的确立及法人治理结构的建立、高校内部校院系的组织结构及权责分配情况等。二是文化方面的因素,包括高校管理者对待经济管理工作的重视程度及其风险、效益意识等。三是人的因素,包括高校的人事制度、管理人员的素质和道德观等。[4]信息技术在高校内部的广泛使用，促使高校组织结构趋于扁平化，内部控制层次明显减少，使得高校内外部人员都能方便地获得需要的信息，使得风险出现时，全校成员能够做到快速反应。信息的快速流动，不断地向高校内外部人员传送着新的信息，使得高校内部控制环境更为复杂多变，要求组织成员必须要快速的领会并迅速行动，引领着高等学校从被动式、机械式的行政权力下的组织向着主动式、有机式的组织结构发展演变。而高校的领导层也不再是传统意义上的行政权力的上层，而是行动指挥中心，要求领导层成员要具有风险意识和效益意识，具备在一个动态多变的环境中构建具有凝聚力组织结构的能力。因此，信息化环境下，不但要求高等学校要建立权责分明的组织结构体系，并且要求学校领导和成员要具备快速应对风险的能力。

（二）风险评估

随着信息技术快速发展，高校财务管理的内外部因素都发生了根本性的变革。互联网技术条件下，财务业务流程不断变革和创新，业务范围不断向外部延伸。网上报销、网上审批、网上支付等业务要求财务系统要具有开放性、财务数据要具有共享性，财务活动的运行环境由以往的封闭集中状态向着开放互联发展。分散的数据、复杂的计算机和网络系统增加了高校财务的潜在风险，如黑客技术的发展使得财务数据可以被无痕迹的修改和删除、数据处理过程无法观测、系统软件或硬件故障导致数据的丢失、系统权限分配不当导致误操作或恶意破坏财务数据等，使得信息技术条件下的内部控制风险更具有危害性和隐蔽性，更难以识别和防范。然而不断发展的信息技术已经成为我们有效的风险控制工具，一个设计良好、运行稳定的信息处理系统的风险防范能力远远比带来的风险要大得多。

（三）控制活动

控制活动是指单位管理层根据风险评估结果，采用相应的控制措施，将风险控制在可承受范围之内，是实施内部控制的具体方式。[5]高校财务内部控制活动一般包括不相容岗位相互分离、内部授权审批控制、归口管理、预算控制、财产保护控制、会计控制、单据控制、信息内部公开。[2]信息技术的引入使得控制手段更加的灵活多样。强大的计算机处理能力和互联网技术的发展，使得诸如预算控制、授权审批控制、信息内部公开等更易于实现，控制活动的效率也更加的高效，不必过多地依赖财务审核人员或复杂的财务审批程序，摆脱了对人力资源的限制。恰当适用的信息技术可以经济有效地实现财务内部控制目标。

（四）信息与沟通

在高校运行与控制的过程中，来自高校内外部的信息需要在高校内部进行传递和沟通，以使校内人员能及时清晰地获得与其职责相关的信息，以履行工作职责。在现代信息技术条件下，开放实时的系统将在内部控制体系中发挥重要作用。互联网技术的运用，财务管理的业务流和信息流逐步的一体化，国库集中支付、网上商城采购、网上预约报账等，使得会计核算由事后的静态核算转为事中的动态核算。财务人员及校内人员可以随时获取来自内外部的相关制度规定，清晰地了解业务流程及各自的责任。极大地提高了内外部信息沟通的效率，降低了内外部信息沟通的成本。然而开放的网络环境也避免不了非法入侵，黑客或病毒随时可能会侵入财务业务管理系统，财务数据流动过程中的数据极易被伪造、修改或破坏，造成信息沟通的失真。这都给高校财务内部控制提出了新的课题。

（五）监督

内部控制本质上来说，是一系列的制度程序，在这种程序化的控制制度下，人们具有一定的程序化依赖性，认为按程序办事不会出错，这反而使得差错更容易反复发生。信息技术条件下，内部控制是人工控制和计算机控制相结合的控制，对计算机系统的依赖性使得控制的有效性更多地取决于计算机程序的有效性，而复杂的计算机程序使得失效的控制程序长期不被发现，反而增加了在某方面犯错或违规的可能性。因此，信息技术条件下，更应该加强对内部控制的监督，定期开展日常监督和专项监督，评估内部控制的设计和运行情况，及时发现错误并予以改正。

由此可见，信息技术的应用对高校财务内部控制要素产生了巨大影响，对提高内部控制效率、增强内部控制效果提供了技术手段，但同时也产生了新的风险。然而信息化时代，不能因为新的风险的出现而规避信息技术在高校财务管理中的应用，信息应当成为高校财务内部控制的一项资源，信息技术应当成为实现高校财务内部控制目标新的强有力的技术手段。

四、信息化条件下的高等学校财务内部控制框架构建

（一）系统层面的控制

一直以来，高校管理层对高校财务管理有着“重核算、轻管理”的观念，财务管理被定位在“从属、服务、保障运行”的角色中，财务信息化并未作为学校信息化进程中的一个重要组成部分而纳入学校管理之中。[6]因此，财务信息化一直以来是财务部门自行组织建设，系统层面的应用程序开发控制、数据存取安全控制、网络安全控制等并不完善，甚至有的高校由于财务信息化人才的缺乏，连基本的运行维护控制、系统访问权限控制等都没有进行规范的管理。随着财务在高校管理中的战略意义日益凸显，财务信息化也应纳入到学校信息化发展进程之中，而且应成为实现高校财务内部控制的基本手段。高校应从学校管理层面建立包括财务应用系统在内的开发控制、软件操作控制、运行维护控制、数据存取安全控制以及网络访问策略控制等控制制度，以防范信息化系统本身所带来漏洞风险、运行不稳定风险等。

（二）单位层面的控制

1.完善高校组织结构与权责分派体系

随着信息化技术在高校财务管理中的深入应用，信息的传递与处理不再局限于财务部门内部，财务管理范围逐步扩大，原有的层级组织结构层次减少并趋于扁平化，这实质上是对高校的人员与权责之间的关系的重新界定，每一个组织成员都可以成为这一控制网络上的一个决策节点。为适应控制环境的变化，高校在做好系统层面控制的前提下，要重视学校各部门在内部控制中的角色，明确其权利和责任，建立部门之间沟通协调的长效机制，更要重视学校整体信息化管理的能力，各部门建立的业务系统在建立之初就要充分考量，确保信息系统建立之日不是信息孤岛产生之时。同时应对原有的组织结构进行适当调整，建立健全信息系统操作的岗位及其对应的职责权限，并以规章制度的形式进行界定。

2.建立全面的经济活动风险预防与控制体系

信息技术的高速发展不断促使新的经济形态的创新，深处社会经济发展大潮之中的高等学校也不例外，新的经济形态给高校发展带来机会的同时也带来了不可避免的风险。高校事业发展的过程最终将以经济活动的形式予以反应，高校应借助于信息技术强大的数据建模、分析和处理能力，建立全面的经济活动风险预防与控制体系。在财务信息系统中嵌入风险识别和评估模型，对关键业务流程和风险点进行监控，同时对各种风险进行分析、测试和评估，对重大风险进行预警。

3.构建以财务为中心的信息化集中管控平台

财务部门作为高等学校内部关键数据的交汇点，其基本职能是通过确认、计量、记录、报告程序，以数据的形式如实反映高校的经济业务活动，可靠地记录并报告高校经济活动的历史。[6]随着管理会计在高校财务的兴起，高校财务管理已经不仅仅局限于经济业务活动的确认和计量，而是正在向高校战略规划乃至外部延伸，“大财务”观将成为高校财务管理的新常态。而这些新的财务管理职能将借助于信息技术手段才能实现。高校通过建立统一的信息化集中管控平台，制定统一数据接口标准、统一数据格式、统一数据存取规则等，将校内的教学、科研、资产、人事、教务等与财务信息系统进行互联互通和信息共享，利用信息技术将控制嵌入到集中管控平台业务流程中，实时对各业务节点进行控制和反馈，做到对风险的事前预防、事中控制和事后反馈，而这一平台也将是高等学校财务内部控制能够落地实施的基本技术手段。

4.注重财务人员的培养

内部控制最终是由人来控制，并受人的因素的影响。在信息化时代，组织内外部人员平等的进行信息沟通，每一个人都可以成为控制网络上的一个决策点，内部控制将由命令式向协调式转变。每个组织成员都能自觉遵守规章制度、主动评估和规避风险是内部控制的最高境界。目前多数财务人员对信息化和网络知识的掌握熟练程度并不高，造成在实际工作中较难适应信息化条件下内部控制的要求。因此，高等学校应将包括财务人员在内的校内人员的道德规范、能力素质和行为准则的建设直接纳入内部控制体系的同时，更应着重加强财务从业人员信息化技能水平的培训，注重培养财务人员的信息观念，提高信息技术应用能力。

5.定期评估，及时反馈

信息化条件下，高校财务内部控制体系的建立和运行，是个动态循环、逐级递进的过程，一方面，当新的业务和流程出现后，必须改变控制措施以适应新的控制要求，另一方面，信息技术的快速发展，要求原有系统要持续进行升级以适应新的技术要求。因此，必须定期对财务内部控制的有效性进行评估，既包括单位层面的控制制度、控制措施等有效性的评估，也包括对信息系统本身控制规则和流程设置的评估，就评估情况及时进行反馈，对存在问题或失效的规章制度或业务流程进行修正。

随着信息技术在高校财务管理中的深入应用，大量的财务信息更易于获取，数据分析结果更接近于高校现实情形。把信息作为财务内部控制的资源，把信息技术作为实现和完善财务内部控制系统的有效手段，必将是实现高校财务内部控制目标的根本手段。