香江集團(tuán)：集團(tuán)信息化與IT內(nèi)控
作者：香江集團(tuán)信息技術(shù)部經(jīng) 梁維 2010-08-02 06:06:09
關(guān)鍵詞：
香江集團(tuán)信息化IT內(nèi)控類別：
[CIO發(fā)展中心獨(dú)家]香江集團(tuán)創(chuàng)建于1990年，秉承“辦好實(shí)業(yè)、回報(bào)社會(huì)”的企業(yè)宗旨，近二十年的發(fā)展，產(chǎn)業(yè)包括家居流通、房地產(chǎn)開發(fā)與建設(shè)、鋁業(yè)和金融投資。在家居流通領(lǐng)域，投資控股的金海馬集團(tuán)和香江家居MALL連鎖機(jī)構(gòu)，在全國建成和經(jīng)營了200多家大型家居連鎖店，已成為中國最大的家居連鎖企業(yè)，同時(shí)也是首家采用德國SAP先進(jìn)ERP管理系統(tǒng)的家居零售企業(yè)。
事實(shí)證明，在香江集團(tuán)迅速發(fā)展的過程中，快捷高效的信息化平臺(tái)成為了企業(yè)發(fā)展不可或缺的核心競爭力。近年來，“敢為人先”的香江人在企業(yè)信息化建設(shè)中進(jìn)行了許多富有建設(shè)意義的嘗試，并取得了顯著成效--從2000年香江人首次創(chuàng)建金海馬集團(tuán)電子商務(wù)網(wǎng)站，到2001年金海馬率先成功引入ERP系統(tǒng)（在國內(nèi)流通企業(yè)中第一家成功導(dǎo)入SAP信息管理系統(tǒng)），再到2005年香江集團(tuán)采用辦公自動(dòng)化系統(tǒng)（OA）；從財(cái)務(wù)系統(tǒng)NC的上線推廣，到物業(yè)管理軟件在南方香江的廣泛應(yīng)用，再到EHR軟件在人力資源系統(tǒng)的升級(jí)優(yōu)化。香江集團(tuán)在企業(yè)信息化方面所進(jìn)行的探索，贏得了各方的廣泛贊譽(yù)。
凡事預(yù)則立，不預(yù)則廢
該集團(tuán)信息技術(shù)部經(jīng)理梁維說：“除了上市公司-香江地產(chǎn)以外，其它兩個(gè)事業(yè)部也是按籌備上市的要求要求進(jìn)行管控，這就勢必要求通過IT管控防止和減少風(fēng)險(xiǎn)，進(jìn)而提升管理。”梁維進(jìn)一步強(qiáng)調(diào)：“上市公司針對產(chǎn)生財(cái)務(wù)交易的所有作業(yè)流程，都做到能見度、透明度、控制、通訊、風(fēng)險(xiǎn)管理和欺詐防范，且這些流程必須詳細(xì)記錄到可追查交易源頭的地步。因此，我們必須加強(qiáng)和建立有效的內(nèi)部控制框架，以確保上市公司遵守證券法律和提高公司披露信息的準(zhǔn)確性和可靠性。”
俗話說“凡事預(yù)則立，不預(yù)則廢”。IT內(nèi)控作為集團(tuán)企業(yè)內(nèi)部控制的有機(jī)組成部分，對企業(yè)競爭力和經(jīng)濟(jì)效益的影響越來越大。一個(gè)成功的IT內(nèi)控體系可以防止和減少許多潛在IT事件的發(fā)生和破壞。正如居安思危，有備無患一樣。一個(gè)優(yōu)秀的IT管理者內(nèi)控和風(fēng)險(xiǎn)管理之間達(dá)成一種平衡，要大大減小內(nèi)外部風(fēng)險(xiǎn)對企業(yè)發(fā)展進(jìn)程造成的不良影響。
梁維坦言：“企業(yè)IT部門只有加強(qiáng)IT內(nèi)控管理，嚴(yán)格執(zhí)行各項(xiàng)IT內(nèi)控的規(guī)章制度，才能有效的實(shí)現(xiàn)風(fēng)險(xiǎn)控制。因此，企業(yè)應(yīng)要借鑒國內(nèi)外先進(jìn)的經(jīng)驗(yàn)，結(jié)合業(yè)務(wù)需要分層次、分步驟地制定和完善IT內(nèi)控工作流程。例如，可從物理安全、系統(tǒng)安全和管理安全三個(gè)方面制定相應(yīng)的規(guī)章制度，逐步形成完備的管理手冊，使IT內(nèi)控工作有章可依、有據(jù)可查，并且定期對IT內(nèi)控制度的執(zhí)行情況進(jìn)行評估。由此看來，通過IT內(nèi)控體系與合規(guī)管理來防范和降低集團(tuán)管控風(fēng)險(xiǎn)，是信息技術(shù)部門工作的重要組成部分。”
梁維解釋到：“IT內(nèi)控這個(gè)詞聽起來好象很時(shí)髦。其實(shí)，在IT內(nèi)控這個(gè)詞流行以前，我們是用的規(guī)章制度、政策和程序手冊來描述具體做事的步驟和規(guī)定。但兩者之間是有很大的區(qū)別：首先，我們以前的規(guī)章制度一般是條文式地說明一件事情，而IT內(nèi)控則強(qiáng)調(diào)信息的輸入和輸出。其次，IT內(nèi)控非常強(qiáng)調(diào)流程的邏輯嚴(yán)密，而以前的規(guī)章制度是不容易達(dá)到嚴(yán)絲合縫和責(zé)任分明。”
四大體系建立是保障
2010年，香江集團(tuán)通過優(yōu)化管理架構(gòu)和管理制度，初步形成立體的管控體系，IT內(nèi)控不同程度凸現(xiàn)出在業(yè)務(wù)支持方面的關(guān)鍵作用。那IT是如何成為公司內(nèi)部控制的一部分呢？
“香江集團(tuán)是以具體運(yùn)營流程為基礎(chǔ)展開的IT控制，直接關(guān)系運(yùn)營活動(dòng)的實(shí)施。美國SOX（薩班斯）法案所規(guī)定IT一般性控制，主要包括信息系統(tǒng)開發(fā)流程的控制、程序變更管理控制、計(jì)算機(jī)運(yùn)行管理控制、程序與數(shù)據(jù)訪問控制、信息系統(tǒng)安全的控制，還有IT計(jì)劃等。在一般性控制之外，還有應(yīng)用系統(tǒng)的控制，包括應(yīng)用系統(tǒng)中設(shè)置的有關(guān)業(yè)務(wù)流程的輸入、數(shù)據(jù)處理和輸出控制等。另外，信息技術(shù)部門更應(yīng)側(cè)重于管理，包括加大對分支機(jī)構(gòu)信息系統(tǒng)、系統(tǒng)建設(shè)、運(yùn)維、數(shù)據(jù)等集中管理的力度，降低分散管理隱含的風(fēng)險(xiǎn)。”
2008年6月，財(cái)政部、證監(jiān)會(huì)、銀監(jiān)會(huì)、保監(jiān)會(huì)及審計(jì)署委聯(lián)合發(fā)布了被稱為“中國版薩班斯法案”的《企業(yè)內(nèi)部控制基本規(guī)范》，此規(guī)范已于2009年7月起在上市企業(yè)中實(shí)施。其中，該規(guī)范第37條規(guī)定：“企業(yè)應(yīng)當(dāng)建立重大風(fēng)險(xiǎn)預(yù)警機(jī)制和突發(fā)事件應(yīng)急處理機(jī)制，明確風(fēng)險(xiǎn)預(yù)警標(biāo)準(zhǔn)，對可能發(fā)生的重大風(fēng)險(xiǎn)或突發(fā)事件，制定應(yīng)急預(yù)案、明確責(zé)任人員、規(guī)范處置程序，確保突發(fā)事件得到及時(shí)妥善處理。”
梁維進(jìn)一步解釋到：“IT內(nèi)控通常包括信息技術(shù)部門與使用部門的職責(zé)、程序開發(fā)修改及控制、程序及數(shù)據(jù)資料的存取、數(shù)據(jù)信息的安全控制、公開披露活動(dòng)的控制等。IT控制有一個(gè)治理框架，即COBIT框架。COBIT全稱是信息及相關(guān)技術(shù)的控制目標(biāo)(ControlObjectivesforInformationandrelatedTechnology)。COBIT是將IT流程、IT資源與企業(yè)的策略與目標(biāo)聯(lián)系起來，在企業(yè)業(yè)務(wù)戰(zhàn)略指導(dǎo)下，對信息及相關(guān)資源進(jìn)行規(guī)劃與處理。”
梁維認(rèn)為：香江集團(tuán)要建立合規(guī)的IT內(nèi)部控制，必須要先打造一個(gè)合規(guī)的IT內(nèi)控體系。即總結(jié)了以下四方面：
(1)確定合規(guī)的IT內(nèi)控范圍
第一步是先確定合規(guī)的IT內(nèi)控范圍，它是指根據(jù)《企業(yè)內(nèi)部控制基本規(guī)范》的要求，從全局角度去考慮、分析、規(guī)劃需要控制的事情和范圍。
以香江集團(tuán)管控中心為例，香江集團(tuán)管控中心（投資除外）主要工作是集團(tuán)財(cái)務(wù)和集團(tuán)人力資源兩部分，集團(tuán)財(cái)務(wù)主要包括：集團(tuán)資金管理、預(yù)算調(diào)整審批、NC系統(tǒng)權(quán)限申請、控股資金管理、金海馬資金管理、家福特資金管理、財(cái)務(wù)報(bào)銷管理等，使用用友NC系統(tǒng)進(jìn)行業(yè)務(wù)及數(shù)據(jù)管理，使用OA系統(tǒng)進(jìn)行財(cái)務(wù)流程電子審批管理；集團(tuán)人力資源管理主要包括：集團(tuán)集團(tuán)績效管理、集團(tuán)薪酬管理、集團(tuán)培訓(xùn)管理等；使用用友EHR系統(tǒng)進(jìn)行人員管理及薪酬管理，使用OA系統(tǒng)進(jìn)行員工考勤、轉(zhuǎn)正等流程電子審批管理；
因此，以上業(yè)務(wù)流程、IT支持系統(tǒng)、IT系統(tǒng)涉及業(yè)務(wù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)數(shù)據(jù)字典、IT系統(tǒng)開發(fā)管理、IT系統(tǒng)變更管理等就是IT內(nèi)部控制的范圍；
(2)對選定的IT內(nèi)控范圍進(jìn)行風(fēng)險(xiǎn)評估
風(fēng)險(xiǎn)評估可使我們香江集團(tuán)更加清晰地認(rèn)識(shí)到，意外事件的發(fā)生將如何限制業(yè)務(wù)目標(biāo)的達(dá)成。風(fēng)險(xiǎn)評估的目的是要辨別IT合規(guī)性的潛藏內(nèi)在風(fēng)險(xiǎn)與殘存風(fēng)險(xiǎn)。當(dāng)在IT內(nèi)控時(shí)可能會(huì)碰到很多風(fēng)險(xiǎn)時(shí)，通常的做法是要把可能的風(fēng)險(xiǎn)劃分一個(gè)優(yōu)先級(jí)，對于優(yōu)先級(jí)高的風(fēng)險(xiǎn)要給以更多的關(guān)注。
例如：權(quán)限控制的風(fēng)險(xiǎn)，主要內(nèi)容包括：“是否在IT系統(tǒng)中對不同崗位、級(jí)別的工作人員設(shè)置不同的操作權(quán)限，并且得到認(rèn)真執(zhí)行；是否不相容權(quán)責(zé)分離等。以香江集團(tuán)管控中心為例，集團(tuán)財(cái)務(wù)部制定了用友NC系統(tǒng)管理制度，在制度中對使用用戶進(jìn)行了認(rèn)真區(qū)分，其中包括財(cái)務(wù)總監(jiān)、系統(tǒng)管理員、財(cái)務(wù)經(jīng)理、財(cái)務(wù)主管、一般會(huì)計(jì)、財(cái)務(wù)出納等角色的操作及查看權(quán)限，并在OA系統(tǒng)上設(shè)立NC系統(tǒng)用戶申請單流程，通過嚴(yán)謹(jǐn)透明的的審批流程，保證不相容權(quán)責(zé)分離原則得到認(rèn)真貫徹；
(3)進(jìn)行內(nèi)、外部IT審計(jì)
一般來說，合規(guī)控制對于上市公司和IT系統(tǒng)有三個(gè)層面：最高級(jí)是公司級(jí)控制，決定了IT內(nèi)部控制的方向，中級(jí)是應(yīng)用企業(yè)層面的控制，主要是與業(yè)務(wù)流程相結(jié)合，體現(xiàn)在IT應(yīng)用系統(tǒng)中；基礎(chǔ)級(jí)是指基礎(chǔ)層面的控制，主要體現(xiàn)在體現(xiàn)在IT部門向業(yè)務(wù)部門提供服務(wù)過程中。
IT內(nèi)、外控審計(jì)主要內(nèi)容有：IT制度與流程手冊、系統(tǒng)變更(包括應(yīng)用系統(tǒng)及基礎(chǔ)設(shè)施)、邏輯訪問(包括應(yīng)用系統(tǒng)及基礎(chǔ)設(shè)施)、物理訪問、IT災(zāi)難備份、數(shù)據(jù)接口、第三方管理、環(huán)境控制、問題管理和作業(yè)調(diào)度等。對于測試不合格的IT控制，應(yīng)該及時(shí)糾正缺陷，完善IT控制體系的設(shè)計(jì)與提高IT運(yùn)維的質(zhì)量，以確保其有效性。
(4)報(bào)告管理層IT內(nèi)控審計(jì)情況
IT內(nèi)部審計(jì)完成，應(yīng)立即形成正式的書面審計(jì)結(jié)論，并向管理層報(bào)告，以方便管理層及時(shí)調(diào)整和調(diào)配IT內(nèi)控的資源和策略，盡快將風(fēng)險(xiǎn)防患于未然之中。例如將IT內(nèi)控審計(jì)的涉及的不合格項(xiàng)進(jìn)行逐項(xiàng)整理，，形成IT內(nèi)控審計(jì)管理報(bào)告。
領(lǐng)導(dǎo)者支持是關(guān)鍵
梁維認(rèn)為實(shí)現(xiàn)IT內(nèi)控取決于兩方面，首先是得到領(lǐng)導(dǎo)的大力支持。集團(tuán)企業(yè)在建立科學(xué)、有效的IT內(nèi)控體系過程，歸根結(jié)底是領(lǐng)導(dǎo)者參與的過程，理應(yīng)獲得最高管理者的支持，最高管理者要以高度的責(zé)任感和緊迫感推進(jìn)IT內(nèi)控體系建設(shè)可以達(dá)到事半功倍的效果。目前香江集團(tuán)管理層早已意識(shí)到IT內(nèi)控的重要行和迫切性，正通過制度和流程的梳理和優(yōu)化改善企業(yè)內(nèi)控建設(shè)，IT部門也正在組織同事學(xué)習(xí)及應(yīng)用COBITITIL等相關(guān)管理體系的外訓(xùn)，IT也勢必成為集團(tuán)內(nèi)部管控不可缺少的一部分。
此外，企業(yè)還應(yīng)充分借鑒吸納國際先進(jìn)標(biāo)準(zhǔn)理念來推進(jìn)IT內(nèi)控體系建設(shè)（如國際公認(rèn)的IT內(nèi)控標(biāo)準(zhǔn)－COBIT），按照集團(tuán)總部和各地區(qū)分、子公司有機(jī)結(jié)合的方式分階段展開，最終實(shí)現(xiàn)企業(yè)各項(xiàng)管理的規(guī)范化和系統(tǒng)化，提高企業(yè)運(yùn)行效率和效益，保障遵循國家法規(guī)和企業(yè)各項(xiàng)規(guī)章制度，提高企業(yè)整體管理水平與核心競爭力。
綜上所述，不難看出香江集團(tuán)視IT為企業(yè)管理的重要組成部分，它具有一定的變革性，通過系統(tǒng)實(shí)施規(guī)范管理制度，使其更具科學(xué)性；規(guī)范人的行為，提高自覺性和增強(qiáng)緊迫感；轉(zhuǎn)變思想觀念，實(shí)現(xiàn)協(xié)調(diào)性；可以說是借信息化的殼兒掀起了一場香江集團(tuán)管理變革的浪潮。通過IT內(nèi)控體系建設(shè)，可以加強(qiáng)集團(tuán)IT管理，提高IT效率，降低IT風(fēng)險(xiǎn)。通過一套有機(jī)的、科學(xué)的和相互制約的IT內(nèi)控體系，使監(jiān)督管理的有章法可依，從而形成良性的IT治理結(jié)構(gòu)和現(xiàn)代企業(yè)管理制度
