內(nèi)控管理系統(tǒng)白皮書

1、內(nèi)控管理系統(tǒng)白皮書1.前言12.為什么企業(yè)需要內(nèi)控管理系統(tǒng)22.1.企業(yè)需要內(nèi)控22.2.傳統(tǒng)手工內(nèi)控存在問題和困難22.3.IT內(nèi)控系統(tǒng)使得內(nèi)控更健全、有效和合理23.如何評價內(nèi)控管理系統(tǒng)34.慧點科技內(nèi)控管理系統(tǒng)34.1.體系架構(gòu)34.2.功能說明64.2.1.內(nèi)控管理業(yè)務(wù)功能框架64.2.2.產(chǎn)品主要功能74.2.3.產(chǎn)品功能詳單144.3.產(chǎn)品特色154.3.1.IBM強大的平臺能力符合SOA架構(gòu)易于拓展154.3.2.多層、分級、可拆分的組織樹與用戶權(quán)限管理能力154.3.3.隨時監(jiān)控的內(nèi)控駕駛艙，指引內(nèi)控工作164.3.4.強大的報表、報告能力174.3.5.靈活定義內(nèi)控測試計劃和

2、流程并實時監(jiān)控174.3.6.手冊矩陣一體化管理184.3.7.內(nèi)控集成平臺實現(xiàn)與其他業(yè)務(wù)系統(tǒng)集成，為實時監(jiān)控與關(guān)鍵事件報警奠定基礎(chǔ)194.4.解決方案與案例205.結(jié)論211. 前言隨著企業(yè)的高速發(fā)展，越來越多的企業(yè)都進入了股市，成為了上市企業(yè)。但近年來出現(xiàn)了幾個大公司發(fā)生財務(wù)舞弊事件，如安然事件，導致投資者懷疑企業(yè)內(nèi)部控制是否有效，希望企業(yè)提高內(nèi)部控制的力度和有效性，保證發(fā)布的財務(wù)報告的準確性。2002年美國薩班斯法案的確立，在法律上明確要求在美上市企業(yè)加強內(nèi)部控制，之后在世界各地也都有相應(yīng)的法律和規(guī)定，要求企業(yè)加強內(nèi)部控制。如何防止財務(wù)舞弊和欺詐，如何加強企業(yè)內(nèi)部控制并迅速發(fā)現(xiàn)企業(yè)問題，

3、成為企業(yè)繼續(xù)向前發(fā)展的一個非常重要的課題。2. 為什么企業(yè)需要內(nèi)控管理系統(tǒng)2.1. 企業(yè)需要內(nèi)控u 內(nèi)控可以幫助企業(yè)合規(guī)遵從：根據(jù)相關(guān)法規(guī)和法案的要求，進行企業(yè)內(nèi)部控制，能使企業(yè)合規(guī)，企業(yè)的控制遵從法律或者規(guī)定文件的相關(guān)要求。保證企業(yè)對外的形象。增強投資者的信心。u 及時發(fā)現(xiàn)企業(yè)存在問題：企業(yè)通過加強內(nèi)部控制，可以發(fā)現(xiàn)企業(yè)實際業(yè)務(wù)或者管理流程上的設(shè)計缺陷或者執(zhí)行缺陷，及時糾正問題，保證企業(yè)健康成長。u 降低企業(yè)風險發(fā)生：企業(yè)加強內(nèi)部控制，能增強企業(yè)風險管理意識，減輕風險發(fā)生的可能性，避免企業(yè)遭受不必要的損失。2.2. 傳統(tǒng)手工內(nèi)控存在問題和困難u 工作量大效率低：控制點點多面廣，數(shù)量大，涉及人

4、員多；測試工作面臨人力、物力等資源壓力。u 標準維護不及時：經(jīng)營模式變化導致控制點動態(tài)化，手冊、矩陣維護不及時；測試工作中存在判斷標準的不統(tǒng)一；u 監(jiān)控過程不透明：內(nèi)控測試工作與正常工作沖突；通過測試只能達到事后監(jiān)督；2.3. IT內(nèi)控系統(tǒng)使得內(nèi)控更健全、有效和合理u 內(nèi)部控制日常化：文檔及時維護，（標準的）測評和整改在部門內(nèi)隨時開展，把控制工作推到前臺。u 文檔完善與時效性：及時反映流程、控制點的變化，不僅要準確描述，更要及時更新，并且能及時準確的傳播。u 提升內(nèi)控管理的價值與效果：發(fā)現(xiàn)問題，及時整改和修補，關(guān)注過程和結(jié)果，能隨時監(jiān)控關(guān)注問題，使得內(nèi)控工作更透明。3. 如何評價內(nèi)控管理系統(tǒng)越

5、來越多的企業(yè)采用了內(nèi)控管理系統(tǒng)，內(nèi)控系統(tǒng)的作用不僅要能幫助企業(yè)合規(guī)，更重要的是加強企業(yè)的內(nèi)部控制，及時發(fā)現(xiàn)企業(yè)的問題，并加以改進。一個好的內(nèi)控管理系統(tǒng)應(yīng)該具備以下特征：u 強大的內(nèi)控手冊和矩陣管理能力，并能迅速傳達，做到標準統(tǒng)一。u 靈活定義測試流程，完整監(jiān)控測試工作，使得內(nèi)控工作透明化。u 全面的報表和報告能力展現(xiàn)，提供企業(yè)多種角色查看和決策。u 內(nèi)控不僅要滿足企業(yè)合規(guī)要求，內(nèi)控目標逐漸多元化，內(nèi)控范圍也逐漸拓寬，最終走向全面內(nèi)控，從而服務(wù)于企業(yè)的發(fā)展目標。u 內(nèi)部控制準確及時，幫助內(nèi)控工作常態(tài)化。u 內(nèi)部控制導向趨于風險化，可關(guān)聯(lián)或者發(fā)展為風險管理為導向的內(nèi)部控制體系。u 內(nèi)控管理系統(tǒng)必須

6、滿足管理集中、任務(wù)分級的內(nèi)控管理業(yè)務(wù)要求，并適應(yīng)企業(yè)內(nèi)控工作模式和業(yè)務(wù)的變化。4. 慧點科技內(nèi)控管理系統(tǒng)針對企業(yè)合規(guī)與遵從，企業(yè)對內(nèi)控的需求，慧點科技提供了完善的企業(yè)內(nèi)控解決方案。ICM（Intranet Control Manager簡稱）系統(tǒng)是慧點科技在IBM內(nèi)控平臺（WBCR）上為中國企業(yè)搭建的具有中國特色的企業(yè)內(nèi)控平臺。作為企業(yè)內(nèi)控平臺，產(chǎn)品設(shè)計目標旨在滿足企業(yè)合規(guī)要求，加強企業(yè)全面控制，發(fā)現(xiàn)企業(yè)存在問題并進行整改，以提高企業(yè)效率，確保企業(yè)健康成長?；埸cICM為企業(yè)實現(xiàn)全面控制提供了一個全新而又優(yōu)秀的解決方案。4.1. 體系架構(gòu)慧點內(nèi)控管理平臺系統(tǒng)從垂直方向上，分為多個層次，包括信息門

7、戶與展現(xiàn)層、業(yè)務(wù)系統(tǒng)系統(tǒng)層、應(yīng)用支撐與工具層、基礎(chǔ)設(shè)施層，而安全管理和管理管理貫穿于各個層面，如下圖所示：慧點內(nèi)控管理平臺總體框架u 法律法規(guī)層內(nèi)控系統(tǒng)的定義是符合相關(guān)的法律法規(guī)要求，是合規(guī)的。u 基礎(chǔ)設(shè)施層網(wǎng)絡(luò)基礎(chǔ)設(shè)施層為系統(tǒng)提供了必要的網(wǎng)絡(luò)基礎(chǔ)環(huán)境，提供了可靠、有效的信息傳輸服務(wù)通道，是各類信息的最終承載者。u 應(yīng)用支撐層應(yīng)用支撐層通過提供平臺化的工具和功能，為內(nèi)控管理業(yè)務(wù)的實現(xiàn)提供支持。業(yè)務(wù)應(yīng)用系統(tǒng)層通過統(tǒng)一的接口，來訪問應(yīng)用支撐基礎(chǔ)平臺。u 業(yè)務(wù)系統(tǒng)應(yīng)用層業(yè)務(wù)系統(tǒng)應(yīng)用層提供在一個統(tǒng)一框架之上的各類內(nèi)控管理業(yè)務(wù)應(yīng)用，包括內(nèi)控文檔維護、內(nèi)控測試、內(nèi)控執(zhí)行與報告等等。實現(xiàn)內(nèi)控管理業(yè)務(wù)的處理，

8、規(guī)范不同人員（執(zhí)行人（被測人）、測試人、答疑人、質(zhì)檢人、控制點責任人、管理層等）在系統(tǒng)中的操作，監(jiān)控各項內(nèi)控管理工作的執(zhí)行效能，提高工作質(zhì)量，便于管理層運營決策，有助于內(nèi)控管理最大化的發(fā)揮其管理效力。u 信息門戶與展現(xiàn)層信息門戶與展現(xiàn)層包括了報告管理平臺和內(nèi)控管理信息門戶兩大部分，報告管理平臺可以根據(jù)業(yè)務(wù)系統(tǒng)應(yīng)用層所記錄的數(shù)據(jù)，依據(jù)不同的組織單位匯總統(tǒng)計出各種內(nèi)控報表，輸出管理層報告，包括計劃完成分析、業(yè)務(wù)執(zhí)行分析、進度監(jiān)控、管理者視圖/報告、統(tǒng)計結(jié)果/分析報告等。u 安全管理對于整個系統(tǒng)而言，安全管理將貫穿系統(tǒng)的始終。信息安全為系統(tǒng)建立了一個完整的安全體系框架，在各層面為系統(tǒng)提供用戶管理和訪

9、問控制、完整性、可用性等安全服務(wù)。u 系統(tǒng)管理同安全管理相類似，系統(tǒng)管理也是貫穿于整個系統(tǒng)的各個層面。完成系統(tǒng)的初始化管理、配置管理、運行維護管理和監(jiān)控等。4.2. 功能說明4.2.1. 內(nèi)控管理業(yè)務(wù)功能框架手冊維護業(yè)務(wù)內(nèi)容內(nèi)控測試執(zhí)行情況報告整改計劃執(zhí)行主體內(nèi)控專有部門自測業(yè)務(wù)部門人員（不相容原則）檢測所有者整改執(zhí)行：業(yè)務(wù)部門整改監(jiān)督設(shè)計缺陷：內(nèi)控專有部門執(zhí)行缺陷：檢測所有者考核檢測業(yè)務(wù)部門外公司外外審人員內(nèi)控人員內(nèi)審人員其他專業(yè)人員4.2.2. 產(chǎn)品主要功能4.2.2.1. 手冊維護手冊查看：不同級別機構(gòu)的用戶可以看到所屬機構(gòu)范圍內(nèi)的控制手冊。手冊下載：不同級別機構(gòu)的用戶可以下載所屬機構(gòu)范

10、圍內(nèi)的控制手冊。手冊上傳：不同級別機構(gòu)的內(nèi)控管理人員可以上傳控制手冊到所屬機構(gòu)系統(tǒng)內(nèi)。手冊版本管理：對手冊的更新進行版本管理，可以查看歷史版本手冊?？梢员葘v史版本內(nèi)容。手冊的自動更新：與控制矩陣相同的內(nèi)容，在控制矩陣更新之后自動進行更新，并發(fā)出更新提示。手冊更新審批：手冊中非矩陣信息需要單獨修改的，由負責部門提出，走流程審批。流程圖的生成：根據(jù)內(nèi)部控制手冊、矩陣的描述，按不同子流程生成業(yè)務(wù)管理的流程圖。流程圖的自動更新：業(yè)務(wù)管理流程圖在控制手冊、控制矩陣修改之后自動進行更新，并發(fā)出更新提示。4.2.2.2. 內(nèi)控矩陣維護矩陣信息展現(xiàn)：信息展現(xiàn)方式包括矩陣的集合式視圖（比如樹狀結(jié)構(gòu)）和控制點詳

11、細信息的平面視圖。按照總部/省/地市等級別，分別展現(xiàn)各級別下的內(nèi)容。高級別機構(gòu)可以查看低級別機構(gòu)的矩陣信息?？梢赃M行矩陣信息比對式查看?？梢跃W(wǎng)頁形式（如表格方式）展示控制矩陣，同時提供信息篩選功能。矩陣信息查詢：按照不同的關(guān)鍵條件查詢不同范圍內(nèi)的矩陣信息，提供友好的列表展示，支持分頁定制。查詢結(jié)果可以鉆取出更詳細的信息。矩陣Excel導出：支持導出全部或部分矩陣信息的導出功能。導出參數(shù)可定制。矩陣在線編輯：矩陣各要素信息可以在線逐個增刪改。矩陣Excel導入：支持導入全部或部分矩陣信息的導入功能。導入?yún)?shù)可定制。矩陣版本管理：矩陣發(fā)生重大變化時，可以利用版本策略標注出新的版本號，切換當前版本。

12、可以查看歷史版本的信息?？梢员葘v史信息。4.2.2.3. 內(nèi)控矩陣信息變更變更申請：流程參與部門人員或控制點負責人在控制點上發(fā)現(xiàn)問題可以提出控制點變更申請；業(yè)務(wù)部門根據(jù)業(yè)務(wù)要求提出變更申請；管理層按照管理要求發(fā)出變更指示。變更類型包括修改、刪除、新增。變更比對：對提交的變更內(nèi)容提供在線比對功能，以方便相關(guān)人員識別變更?？梢赃M行變更歷史比對。橫向溝通：按照變更內(nèi)容的級別，發(fā)起不同范圍內(nèi)的溝通和審批流程。結(jié)合現(xiàn)狀進行新流程的現(xiàn)場記錄，并提煉控制點、分析差異、歸納缺陷和提出改進建議等。變更落實：對于審批通過的變更，應(yīng)落實到矩陣信息中。保證矩陣信息的完整性和一致性。變更報備：在本級機構(gòu)中更新完矩陣后

13、，可以將更新結(jié)果報備到上級機構(gòu)中。變更上報：在本級機構(gòu)中溝通好的變更內(nèi)容如果屬于需要上級機構(gòu)審批的，可以定期上報變更申請。特別情況下，也可以上報緊急變更。變更下發(fā)：上級機構(gòu)確定的變更內(nèi)容下發(fā)給下級機構(gòu)落實4.2.2.4. 內(nèi)控計劃計劃制定：審計人員按年度制定本年度的內(nèi)控測試計劃?？梢灾匦轮贫ǎ部梢詮纳弦荒甓任赐瓿傻挠媱澲修D(zhuǎn)移。計劃審批：審計部門或公司領(lǐng)導層對本年度計劃進行審批，給出審批意見。查看資源配置：對于本級內(nèi)的年度資源計劃使用情況進行查看，發(fā)現(xiàn)沖突。計劃查看：相關(guān)人員可以隨時查看已審批通過的計劃。計劃執(zhí)行：內(nèi)控測試計劃開始時，在此紀錄執(zhí)行期計劃的基本信息4.2.2.5. 內(nèi)控測試底稿模

14、板管理：對內(nèi)控測試中用到的模板進行管理，可以修改模板內(nèi)容。測試方案準備：制定測試方案、測試工作計劃等的流程審批過程。下發(fā)測試通知：通知被測試單位本次測試相關(guān)事項及內(nèi)容。任務(wù)分配：按控制點、人員、路徑等指標來分配任務(wù)。設(shè)定檢測人、質(zhì)檢人、責任人等信息。實施測試：抽查樣本、審閱、詢問、重復驗證。測試發(fā)現(xiàn)與記錄：測試人員將測試結(jié)果記錄在工作底稿中。內(nèi)控質(zhì)監(jiān)：質(zhì)檢員對測試結(jié)果進行確認。測試審核：測試組長對所有測試結(jié)果進行審核。測試結(jié)果匯總：系統(tǒng)支持對測試結(jié)果的匯總查看。4.2.2.6. 內(nèi)控報告控制點分類統(tǒng)計：按照控制點的基本屬性分類統(tǒng)計。包括內(nèi)控矩陣本身的分析和多個業(yè)務(wù)單元之間對同一控制流程進行對比

15、分析。包括省公司與集團標準流程、省公司之間、省公司與地市公司以及地市公司之間的同一控制流程對比分析等功能。對比分析的要素包括：控制點編號、控制點描述、流程描述、控制狀態(tài)（無效、有效、修補中）、控制點級別（A/B/C）、控制發(fā)生的頻率、控制點負責人、穿行測試資料名稱、版本號等任務(wù)分配統(tǒng)計報告：按人、地區(qū)等統(tǒng)計任務(wù)分配情況。測試進度統(tǒng)計報告：按人、地區(qū)等統(tǒng)計測試進度報告，提供監(jiān)控報表和狀態(tài)圖。測試結(jié)果統(tǒng)計報告：按測試結(jié)果類型分類統(tǒng)計，和歷史結(jié)果對比統(tǒng)計。測試缺陷分布報告：按照缺陷類型、地區(qū)分類統(tǒng)計。4.2.2.7. 內(nèi)控整改整改建議匯總：系統(tǒng)能夠?qū)崿F(xiàn)對不同審計發(fā)現(xiàn)和建議的匯總。發(fā)送整改通知：根據(jù)控

16、制點落實整改責任部門。確認整改計劃：責任部門和人員確認及反饋整改計劃，明確整改內(nèi)容和時間，并經(jīng)部門負責人審批。提交整改結(jié)果：相關(guān)負責人填寫并提交整改結(jié)果。整改結(jié)果審批：整改結(jié)果經(jīng)部門領(lǐng)導審批，然后報審計部。整改結(jié)果檢查：審計部對落實情況進行檢查并確認落實結(jié)果。整改結(jié)果報告：定期形成整改報告。4.2.3. 產(chǎn)品功能詳單慧點ICM系統(tǒng)功能清單一慧點ICM系統(tǒng)功能清單二4.3. 產(chǎn)品特色4.3.1. IBM強大的平臺能力符合SOA架構(gòu)易于拓展IBM強大的平臺使得我們可以建立靈活的、易于擴展的內(nèi)控管理平臺，以適應(yīng)企業(yè)內(nèi)控管理模式與業(yè)務(wù)的變化，平臺提供眾多成熟插槽，可以用搭積木的實現(xiàn)新功能的拼裝與擴展；

17、支持開放的控制框架，可以用來執(zhí)行基于COSO、CobiT或者其他內(nèi)部控制活動。4.3.2. 多層、分級、可拆分的組織樹與用戶權(quán)限管理能力系統(tǒng)具有很強的管理和拆分能力，能建立一個靈活的、可拓展的體系架構(gòu)，適應(yīng)未來企業(yè)分支機構(gòu)不斷增長，適應(yīng)企業(yè)未來系統(tǒng)用戶量的不斷增長。 4.3.3. 隨時監(jiān)控的內(nèi)控駕駛艙，指引內(nèi)控工作系統(tǒng)提供內(nèi)控的管理視圖，在此視圖可以完整監(jiān)控內(nèi)控工作的執(zhí)行情況。4.3.4. 強大的報表、報告能力系統(tǒng)能提供各種各樣用戶需要的，如控制點分類報告、控制點測試情況報告、控制點整改情況報告、控制點測試任務(wù)分配報告、控制點測試結(jié)果報告，測試人員工作狀態(tài)報告等等。4.3.5. 靈活定義內(nèi)控測

18、試計劃和流程并實時監(jiān)控系統(tǒng)底層有強大的工作流引擎作為支撐，所以我們可以靈活定義內(nèi)控測試的流程，并對內(nèi)控工作進行實時監(jiān)控，幫助提高內(nèi)控工作效率。4.3.6. 手冊矩陣一體化管理內(nèi)控手冊和矩陣統(tǒng)一存放在文檔中心，統(tǒng)一管理，可以方便安全的進行授權(quán)、維護、查詢等操作。手冊和矩陣的維護有版本管理。不同的版本可以互相比較。手冊和矩陣內(nèi)容的新增或者變更，可以跟工作流引擎緊密結(jié)合，靈活定制相應(yīng)的業(yè)務(wù)流程，全過程的管理手冊和矩陣的維護和更新。另外矩陣和手冊的修改可以相互同步更新。如，修改了矩陣的控制點描述，系統(tǒng)能自動更新到手冊中相應(yīng)控制點的描述，避免重復勞動，提高內(nèi)控工作效率?？刂泣c比較圖一控制點比較圖二4.3

19、.7. 內(nèi)控集成平臺實現(xiàn)與其他業(yè)務(wù)系統(tǒng)集成，為實時監(jiān)控與關(guān)鍵事件報警奠定基礎(chǔ)內(nèi)控系統(tǒng)平臺提供了與業(yè)務(wù)系統(tǒng)的接口支持，如財務(wù)系統(tǒng)、ERP系統(tǒng)等等。能方便的監(jiān)控非手工控制點的情況，并發(fā)出預警信息，實現(xiàn)實時的企業(yè)內(nèi)控。財務(wù)報銷實時監(jiān)控圖4.4. 解決方案與案例4.4.1. 集中式內(nèi)控管理解決方案華能國際內(nèi)控系統(tǒng)4.4.1.1. 案例特點n 客戶特點n 業(yè)務(wù)簡單n 高度集權(quán)專職測評人員內(nèi)控測評質(zhì)量監(jiān)督人員獨立內(nèi)審人員n 案例特點n 形成一套強有力的管理體系n 利用內(nèi)控系統(tǒng)實現(xiàn)了內(nèi)控測評工作日?；?4.4.1.2. 系統(tǒng)實踐業(yè)務(wù)工作模式功能實現(xiàn)管理模式§ 業(yè)務(wù)上內(nèi)控處對專職測評人員的垂直管理&

20、#167; 定崗定責§ 靈活的組織結(jié)構(gòu)定義§ 強大的用戶管理與權(quán)限管理工作方法§ 總部內(nèi)控處完成內(nèi)控手冊的維護，同時對測評工作進行計劃、指導與監(jiān)督，提交內(nèi)控報告§ 分廠專職內(nèi)控測評人員以關(guān)鍵控制點為重點進行全面測評§ 獨立審計人員實施獨立監(jiān)督§ 內(nèi)控文檔管理系統(tǒng)§ 個性化工作臺§ 內(nèi)控測評在線監(jiān)控§ 內(nèi)控工作咨詢與答疑§ 內(nèi)控缺陷整改的實時跟蹤§ 內(nèi)控總體視圖與內(nèi)控報告保障機制§ 良好的內(nèi)部環(huán)境§ 配套的考核制度§ 做好培訓工作§ 內(nèi)置工作模板庫

21、§ 樣例庫§ 在線咨詢與答疑系統(tǒng)4.4.1.3. 系統(tǒng)價值更加規(guī)范效率更高質(zhì)量更好更加透明4.4.2. 分布式內(nèi)控管理解決方案浙江移動內(nèi)控系統(tǒng)4.4.2.1. 案例特點內(nèi)控工作組n 客戶特點n 多級管理n 業(yè)務(wù)比較復雜n 案例特點n 在內(nèi)控業(yè)務(wù)開展上有創(chuàng)新u 靈活組建的內(nèi)控工作組u 利用業(yè)務(wù)部門的自測實現(xiàn)工作常態(tài)化u 形成計劃、自測、質(zhì)檢、整改的閉環(huán)管理u 任務(wù)分派，分片測評，全局覆蓋n 利用內(nèi)控系統(tǒng)實現(xiàn)了內(nèi)控結(jié)果與過程的管理，實現(xiàn)內(nèi)控工作的自動化、常態(tài)化，同時要實現(xiàn)實時監(jiān)控4.4.2.2. 系統(tǒng)實踐業(yè)務(wù)工作模式功能實現(xiàn)管理模式§ 管理集中、任務(wù)分級§ 靈活的內(nèi)控工作組§ 平臺級的組織結(jié)構(gòu)定義與拆分§ 多級的用戶管理與權(quán)限管理工作方法§ 內(nèi)控處完成本級內(nèi)控手冊的維護§ 按照總部年度計劃制定本級測試計劃§ 靈活分片的任務(wù)分派§ 內(nèi)控工作組進行質(zhì)檢§