電子表格風(fēng)險管理

電子表格風(fēng)險管理

甫瀚研討會

2009年9月3日內(nèi)容為何這是個熱門話題？

為何應(yīng)引起關(guān)注？電子表格風(fēng)險控制職責(zé)電子表格控制方法論電子表格控制指引最佳實踐–理論與現(xiàn)實有哪些可用的工具軟件？案例分析總結(jié)問題與討論3電子表格被廣泛應(yīng)用于當(dāng)今企業(yè)運營中的重要業(yè)務(wù)流程

（預(yù)算、現(xiàn)金流、貿(mào)易、管理層報告、公允價值計算、對賬、獎金計算等等）電子表格的優(yōu)勢

-

解決方案靈活多變，可按個人要求配置

-隨時隨地均可使用

-

輕松掌握使用方法

-

在IT部門不能提供快速支持的情況下，用戶可以自行開發(fā)來得到“靈活”的、“實時”的數(shù)據(jù)信息為何這是個熱門話題？4用戶過度依賴電子表格已經(jīng)形成趨勢，并且電子表格中的錯誤經(jīng)常未被察覺隨著電子表格日益復(fù)雜，出現(xiàn)的錯誤數(shù)量也隨之上升外部審計師也特別關(guān)注電子表格的使用狀況，因此各個公司都面臨著日益增加的壓力，來證明電子表格沒有問題為何這是個熱門話題？“94%的電子表格被發(fā)現(xiàn)有錯誤，而實際比例可能會更高，因為在許多調(diào)研分析中，只有重大錯誤才會被報告?！?/p>

5Gartner同樣在其最新研究報告中提到了以下話題：

電子表格控制需要提升如果電子表格沒有得到有效控制，代價高昂的意外很可能發(fā)生，并且?guī)缀醪豢杀苊獾貢鸨O(jiān)管者，審計師，以及股東們不必要的關(guān)注審計師們正日益強調(diào)要求識別并追蹤高風(fēng)險的電子表格篡改電子表格數(shù)據(jù)是一種典型的內(nèi)部舞弊方式電子表格風(fēng)險管理已變得日益重要，因為監(jiān)管合規(guī)要求中已經(jīng)有相關(guān)規(guī)定實際業(yè)務(wù)中，電子表格的自動化控制解決方案已經(jīng)出現(xiàn)，并且正在被持續(xù)改善為何這是個熱門話題？“開發(fā)并實施一個有效的策略，以用于最終用戶計算（例如電子表格與個人數(shù)據(jù)庫）的風(fēng)險評估和使用控制。”

Gartner–電子表格控制需要提升,2009年5月Fidelity–

由于漏輸入了一個減號，F(xiàn)idelity公司Magellan基金的項目盈利被誤增了26億美元，原本被寄予厚望的分紅也流于東水。

-CIOWorldFannieMae

–

在披露了2003年3季度收益后，F(xiàn)annieMae不得不再次重述其有12億美元的虛增利潤，這是“在實施新會計準(zhǔn)則過程中，在電子表格里犯的一個誠實的錯誤”而導(dǎo)致的結(jié)果。–PCWorldProvidentFinancial

–

Provident公司在1997年到2002年之間的收益必須被重述7000萬美元，因為其用于計算貸款攤銷的電子表格中出現(xiàn)了公式錯誤。

–NYTimesTransAlta–一個剪切-粘貼錯誤使TransAlta在一個電力合同競標(biāo)中報價過低，結(jié)果導(dǎo)致了2400萬美元的損失。–TheRegisterRedEnvelopeInc.–

一個單元格的輸入錯誤導(dǎo)致整個成本預(yù)測表計算錯誤，并使股價下跌超過25%，因為其必須在第四季度大幅減少報表數(shù)字。Kodak–

公司在電子表格上發(fā)現(xiàn)了總值1100萬美元的錯誤解聘金，該表格在計算某員工的預(yù)提離職金時添加了過多的“0”。RobertBrust，Kodak首席財務(wù)官，稱其為“可能導(dǎo)致會計重組的實質(zhì)性內(nèi)部控制缺陷?！报CMarketWatch為何應(yīng)引起關(guān)注?“簡單”錯誤可能導(dǎo)致嚴(yán)重問題為何應(yīng)引起關(guān)注?舞弊舉例7Allfirst–聯(lián)合愛爾蘭銀行美國分行（AIB）一位貨幣交易員，JohnRusnak，從1997年開始在其交易中出現(xiàn)虧損他使用一系列電子表格作假來掩蓋損失,其報表上仍顯示在盈利當(dāng)舞弊行為被最終發(fā)現(xiàn)后，其損失已高達6億9千萬美元了雖然Allfirst和AIB均未進入破產(chǎn)清算程序，但這次虧損金額相當(dāng)于AIB公司2001年度收入的60%，導(dǎo)致股價大跌此次丑聞后，AIB出售了其Allfirst系所有子公司來源：(Sarbanes–Oxley:WhatAboutAlltheSpreadsheets?RaymondR.PankoandNicholasOrdway,UniversityofHawaii,presentedatEuSpRIG2005.)ProQuest–CFO“電子表格欺詐者”公司前任CFO，ScottHirth利用電子表格，在五年里錄入了無數(shù)虛假會計分錄。偽造文檔以虛報會計余額建立隱藏行，使虛假會計分錄未顯示在打印件上將電子表格文字調(diào)為白色以掩藏虛假信息此次丑聞導(dǎo)致公司在資本市場上損失超過4億3千萬美元，股價下跌了58%，紐約證券交易所隨即暫停了ProQuest股票的交易。來源：CFO雜志電子表格風(fēng)險控制職責(zé)8高級管理層代表公司，對于有效的全面風(fēng)險管理，包括管理電子表格風(fēng)險，負有不可推卸的責(zé)任。這包括理解：什么是風(fēng)險？風(fēng)險存在于企業(yè)業(yè)務(wù)何處？風(fēng)險的重要性如何？風(fēng)險是否得到了管理？誰對風(fēng)險管理負責(zé)？何時風(fēng)險被控制在一個可接受的水平內(nèi)？在實際操作中，有效的風(fēng)險管理職責(zé)將在企業(yè)范圍內(nèi)進行分散委派。企業(yè)業(yè)務(wù)部門與IT部門的合作對于建立有效的電子表格風(fēng)險管理體系至關(guān)重要。電子表格風(fēng)險控制職責(zé)9業(yè)務(wù)部門信息技術(shù)內(nèi)部審計制定電子表格風(fēng)險管理政策識別、評估并報告風(fēng)險設(shè)計并評估恰當(dāng)?shù)目刂拼_認(rèn)電子表格按設(shè)計意圖正常工作接受剩余風(fēng)險嵌入更廣的風(fēng)險控制框架之中為電子表格用戶提供了必要的IT基礎(chǔ)架構(gòu)確保環(huán)境是可用的并且足夠安全企業(yè)可能依賴IT控制（例如訪問權(quán)限、備份以及存檔等）參與選擇、實施自動化解決方案為管理層提供合理保證，確保風(fēng)險已被有效控制：獨立驗證控制有效性獨立驗證邏輯完整性列為審計計劃的一部分通常避免將完整性測試作為控制側(cè)重發(fā)現(xiàn)并解決問題的根源，例如無效的電子表格風(fēng)險管理流程和控制電子表格控制方法論10甫瀚的方法論可以被分解為4個關(guān)鍵階段：法規(guī)監(jiān)管要求（例如SOX）是催化劑，但是電子表格控制并不只是為了防范財務(wù)報告問題

–其也針對相關(guān)的運營風(fēng)險（決策所需的信息等）。每個關(guān)鍵階段均代表在任一電子表格控制項目中的關(guān)鍵步驟。分析標(biāo)準(zhǔn)化/自動化識別電子表格與評估風(fēng)險評估電子表格完整性和控制實施控制框架淘汰/重建選定的電子表格范圍與優(yōu)先級審計管理提高驗證與監(jiān)控工作方法–第一階段11識別電子表表格識別，，并進行風(fēng)風(fēng)險評估項目目標(biāo)和和關(guān)鍵業(yè)務(wù)務(wù)需求必須須先要明確確，這兩點點對于項目目工作范圍圍以及優(yōu)先先級的確定定有直接影影響；關(guān)注那些最最依賴電子子表格的業(yè)業(yè)務(wù)流程；；創(chuàng)建電子表表格初始清清單，并與與流程負責(zé)責(zé)人討論或或以調(diào)查問問卷方式補補充必要信信息；評估電子表表格風(fēng)險，，主要從對對業(yè)務(wù)活動動的重要性水平平以及總體發(fā)發(fā)生錯誤的的可能性水平平兩方面進行行；評估電子表表格對財務(wù)與/或運營影響的重要性水平平時，由于直直接定量比比較困難，，實際工作作中通常用用高、中、、低或1-5來分段表示示；評估電子表表格錯誤發(fā)生的的可能性水水平時，可結(jié)合合使用定性性與定量分分析來確定定。例如：-特殊的公式式-外部鏈接-使用VBA-支持文檔以以及培訓(xùn)水水平-使用標(biāo)準(zhǔn)化化的方法論論/設(shè)計規(guī)范識別電子表表格與評估估風(fēng)險評估電子表表格完整性性和控制實施控制框框架淘汰/重建選定的的電子表格格工作方法–第二階段12評估電子表表格完整性性和控制活活動，并議議定行動方方案必須對關(guān)鍵鍵電子表格格的邏輯完完整性進行行評估，以以確保其基基本功能和和邏輯性的的充分有效；檢查電子表表格中的公公式和邏輯輯錯誤以及及設(shè)計缺陷陷；評估與確定定電子表格格風(fēng)險類別別相對應(yīng)的的控制活動動要求–每個風(fēng)險類類別并不需需要所有的的控制，側(cè)重點應(yīng)應(yīng)放在設(shè)立立恰當(dāng)水平平的控制活活動上；考慮關(guān)于訪訪問權(quán)限、、備份、變變更管理、、數(shù)據(jù)驗證證、數(shù)據(jù)完完整與安全全、存檔、、獨立復(fù)核核以及版本本控制方面面的控制活活動；關(guān)注流程–在使用電子子表格的流流程中考慮慮增加補償控制，來檢查電電子表格錯錯誤；分析控制缺缺陷，制定定路線圖，，明確實現(xiàn)現(xiàn)改善電子子表格總體體控制水平平的具體步步驟。識別電子表表格與評估估風(fēng)險評估電子表表格完整性性和控制實施控制框框架淘汰/重建選定的的電子表格格工作方法–第三階段13實施控制框框架為保證電子子表格持續(xù)的完整性與可可靠性，必必須制定一一整套電子子表格管理理政策、流流程和控制制框架；該控制框架架應(yīng)基于風(fēng)險來制定的；；政策制度只有在貫徹徹實施后才才能有效降降低風(fēng)險；相應(yīng)的培培訓(xùn)程序與與監(jiān)控機制制也是必不不可少的；；自動化技術(shù)術(shù)解決方案案可以幫助減減少日?？乜刂婆c合規(guī)規(guī)工作中的的人工投入入，提升效效率。電子表格政策角色和職責(zé)最低標(biāo)準(zhǔn)控制流程識別電子表表格與評估估風(fēng)險評估電子表表格完整性性和控制實施控制框框架淘汰/重建選定的的電子表格格工作方法–第四階段14逐步淘汰、、重建選中中的電子表表格對那些最關(guān)鍵和復(fù)復(fù)雜的電子子表格，可以考慮慮對其重新開發(fā)以實施最佳佳實踐，必必要時可將將電子表格格的功能遷遷移至IT應(yīng)用系統(tǒng)中中（例如ERP或BPM系統(tǒng)）；以下情況下下，可以考考慮替換或或遷移：電子表格包包含了計算算支持與報報告所需的的主數(shù)據(jù)電子表格大大量使用VisualBasic程序代碼同一張電子子表格有多多個用戶電子表格被被用作為兩兩個系統(tǒng)間間的數(shù)據(jù)接接口電子子表表格格運運行行緩緩慢慢，，經(jīng)經(jīng)常常需需要要重重新新啟啟動動在電電子子表表格格開開始始使使用用時時就就設(shè)立立控控制制；盡早早引引入入IT和關(guān)關(guān)鍵鍵的的利利益益相相關(guān)關(guān)人人，，以以決決定定最最佳佳解解決決方方案案和和評估估成成本本效效益益；謹(jǐn)記記–通常常來來說說，，電電子子表表格格是是一一個個正正確確的的解解決決方方案案。識別別電電子子表表格格與與評評估估風(fēng)風(fēng)險險評估估電電子子表表格格完完整整性性和和控控制制實施施控控制制框框架架淘汰汰/重建建選選定定的的電電子子表表格格電子子表表格格控控制制指指引引15索引控制目標(biāo)控制指引1電子表格清單所有關(guān)鍵電子表格均維護在實時準(zhǔn)確的清單中。對關(guān)鍵電子表格的界定標(biāo)準(zhǔn)進行定義；關(guān)注整個流程中的關(guān)鍵控制，而不僅僅是電子表格控制；考慮擴大控制范圍以應(yīng)對運營風(fēng)險，例如非財務(wù)報告相關(guān)的電子表格；使用工具軟件已經(jīng)成為主流。2邏輯校驗電子表格的基本功能需經(jīng)過邏輯檢查。發(fā)現(xiàn)的錯誤與重大缺陷均須加以整改。使用軟件輔助進行邏輯檢查是主要手段之一；同時需關(guān)注設(shè)計與公式邏輯的一致性。3版本控制規(guī)范文件命名規(guī)則以及存儲地點，以強化版本控制。4輸入控制實施輸入控制以確保完整、準(zhǔn)確的數(shù)據(jù)輸入?？偭砍绦蚩刂婆c數(shù)據(jù)校驗是主要手段之一。下表表是是一一個個典典型型的的電電子子表表格格控控制制框框架架和和指指引引清清單單。。請注注意意，任任何何方方法法都都應(yīng)應(yīng)是是基于于風(fēng)風(fēng)險險的，，并并不不是是每每個個電電子子表表格格都都需需要要使使用用所所有有的的控控制制。。電子子表表格格控控制制指指引引16索引控制目標(biāo)控制指引5變更控制所有變更有一個集中管理的日志進行變更記錄，該日志需定期復(fù)核以確保電子表格的變更符合管理層意圖。高風(fēng)險/高復(fù)雜度電子表格的變更需進行測試和驗證。6訪問控制電子表格文件的訪問權(quán)限應(yīng)根據(jù)工作職責(zé)進行限制，以確保職責(zé)分工。對于文件、表單、單元格進行深層次的限制與密碼控制是主要手段；使用文檔管理以及電子表格管理解決方案也已日益興起并成為主流。7備份管理電子表格進行定期備份以確保可恢復(fù)性。8文檔管理關(guān)鍵電子表格應(yīng)有完整并更新及時的支持文檔。文檔應(yīng)包含電子表格的目的，使用方法，關(guān)鍵假設(shè)，授權(quán)用戶，關(guān)鍵運算邏輯，VBA簡介，輸入/外部鏈接等。比較好的做法是將文檔作為電子表格的一部分或并入文檔管理/電子表格管理解決方案中。好的文檔能大幅度地降低人員流動以及不充分繼承所帶來的風(fēng)險。最佳佳實實踐踐–理論論與與實實際際17下面面列列示示了了電電子子表表格格設(shè)計計、、開開發(fā)發(fā)與與安安全全方方面面的的部部分分最最佳佳實實踐踐，可可供供關(guān)關(guān)鍵鍵電電子子表表格格的的管管理理參參考考。。對電電子子表表格格進進行行定定期期檢檢查查和和審審計計，，可可以以大大大大降降低低發(fā)發(fā)生生錯錯誤誤的的可可能能性性。。設(shè)計計標(biāo)標(biāo)準(zhǔn)準(zhǔn)：：分離離輸輸入入、、計計算算與與結(jié)結(jié)果果在每每一一行行或或一一列列中中僅僅使使用用一一個個公公式式布局局邏邏輯輯清清楚楚（（像像書書本本一一樣樣））盡量量使使用用多多張張工工作作表表包含含支支持持文文檔檔（（例例如如假假設(shè)設(shè)、、限限制制條條件件、、使使用用方方法法））遵守守表表達達規(guī)規(guī)范范（（例例如如編編碼碼顏顏色色、、公公式式表表達達符符號號等等））開發(fā)發(fā)標(biāo)標(biāo)準(zhǔn)準(zhǔn)：：保持持簡簡單單插入入注注釋釋加上上有有意意義義的的標(biāo)標(biāo)簽簽自動動導(dǎo)導(dǎo)入入、、導(dǎo)導(dǎo)出出數(shù)數(shù)據(jù)據(jù)使用用輸輸入入范范圍圍限限制制刪除除冗冗余余數(shù)數(shù)據(jù)據(jù)/表單單安全全標(biāo)標(biāo)準(zhǔn)準(zhǔn)：：保護護單單元元格格/工作作表表保護護工工作作簿簿/VBA考慮慮密密碼碼保保護護安全全存存儲儲重新新設(shè)設(shè)計計不不僅僅能能減減少少錯錯誤誤發(fā)發(fā)生生的的可可能能性性，，而而且且還還能能有有效效提提高高業(yè)業(yè)務(wù)務(wù)流流程程效效率率。。18有哪哪些些可可用用的的工具具軟軟件件？？19軟件件解解決決方方案案可可大大致致分分為為以以下下三三類類：：電子子表表格格搜搜索索/發(fā)現(xiàn)現(xiàn)：：能自自動動掃掃描描網(wǎng)網(wǎng)絡(luò)絡(luò)或或指指定定服服務(wù)務(wù)器器上上的的所所有有電電子子表表格格，，同同時時可可以以執(zhí)執(zhí)行行簡簡單單的的分分析析工工作作以以幫幫助助處處理理大大量量數(shù)數(shù)據(jù)據(jù)。。電子子表表格格檢檢查查/審計計：：輔助助進進行行電電子子表表格格審審計計的的自自動動工工具具。。雖雖然然人人工工審審閱閱仍仍是是必必需需的的，，但但是是這這類類工工具具可可以以大大大大提提升升審審計計工工作作效效率率。。功能能、、成成本本、、方方法法以以及及對對最最終終用用戶戶的的影影響響都都隨隨不不同同的的供供應(yīng)應(yīng)商商和和解解決決方方案案而而不不同同。。工具具軟軟件件的的使使用用正正日日益益普普及及，幫幫助助企企業(yè)業(yè)在在提提升升管管理理水水平平的的同同時時減減少少人人工工投投入入。。我們們與與業(yè)業(yè)內(nèi)內(nèi)領(lǐng)領(lǐng)先先的的軟軟件件供供應(yīng)應(yīng)商商都都保保持持著著合合作作關(guān)關(guān)系系。。電子子表表格格管管理理/控制制：：變更更控控制制，，版版本本管管理理，，變變更更歷歷史史（（審審計計索索引引））以以及及安安全全管管理理；；同同樣樣用用來來限限制制對對于于某某功功能能或或特特定定單單元元格格的的訪訪問問。。有序序管管理理狀狀態(tài)態(tài)使企企業(yè)業(yè)可可以以持持續(xù)續(xù)地地管管理理和和強強化化電電子子表表格格控控制制，，同同時時盡盡可可能能減減少少人人工工監(jiān)監(jiān)控控成成本本。。有哪哪些些可可用用的的工具具軟軟件件？？20電子子表表格格風(fēng)風(fēng)險險管管理理軟軟件件供供應(yīng)應(yīng)商商：：ClusterSevenCIMCONSoftwareFinsburySolutions(ExChecker––前身身為為Compassoft)RedRoverProdianceLyquidityMOBIUSAuditWareSpreadsheetInnovationsSpreadsheetAdvantageSpreadsheetDetectiveActuateQtier注：：以上上僅僅列列示示了了主主流流的的電電子子表表格格管管理理軟軟件件，，且且不不能能保保證證完完整整性性。。案例例分分析析21一家家跨跨國國保保險險公公司司重點點/關(guān)鍵鍵成成功功因因素素評估估成成本本效效益益/可行行性性：：項目目可可能能需需要要大大量量預(yù)預(yù)算算，，特特別別是是在在時時間間較較緊緊或或者者涉涉及及復(fù)復(fù)雜雜計計算算時時。。文化化變變更更/用戶戶的的抵抵觸觸情情緒緒：：通常常在在電電子子表表格格結(jié)結(jié)構(gòu)構(gòu)及及控控制制上上的的集集中中監(jiān)監(jiān)管管很很少少，，因因此此有有效效的的溝溝通通以以及及項項目目小小組組的的互互動動十十分分關(guān)關(guān)鍵鍵。。項目目負負責(zé)責(zé)人人/發(fā)起起人人：：決策策層層/管理理層層對對于于項項目目的的支支持持，，以以及及持持續(xù)續(xù)的的、、自自上上而而下下的的關(guān)關(guān)注注能能有有效效地地克克服服文文化化變變更更及及抵抵觸觸情情緒緒帶帶來來的的困困難難。。配置置恰恰當(dāng)當(dāng)?shù)牡馁Y資源源：：一個個項項目目完完全全由由內(nèi)內(nèi)部部資資源源執(zhí)執(zhí)行行可可能能是是不不切切實實際際的的。。應(yīng)應(yīng)適適當(dāng)當(dāng)考考慮慮外外部部專專家家和和資資源源，，尤尤其其在在知知識識傳傳遞遞、、保保證證可可持持續(xù)續(xù)性性等等方方面面。。維護護專專業(yè)業(yè)知知識識：：企業(yè)業(yè)可可能能沒沒有有對對于于新新電電子子表表格格進進行行功功能能和和邏邏輯輯測測試試的的技技術(shù)術(shù)力力量量，，對對于于測測試試范范圍圍以以及及測測試試充充分分性性的的審審計計判判斷斷可可能能也也是是一一個個挑挑戰(zhàn)戰(zhàn)。。另另外外，，由由于于項項目目性性質(zhì)質(zhì)可可能能是是臨臨時時的的，，企企業(yè)業(yè)很很難難為為此此招招聘聘一一個個全全職職員員工工。。公司司在在進進行行了了電電子子表表格格風(fēng)風(fēng)險險和和控控制制整整改改效效果果評評估估后后，，啟啟動動了了正正式式的的項項目目，，來來應(yīng)應(yīng)對對財財務(wù)務(wù)上上最最終終用用戶戶工工具具（（EndUserTools，EUT）的的全全局局風(fēng)風(fēng)險險；；最最終終用用戶戶工工具具包包括括電電子子表表格格與與微微軟軟Access數(shù)據(jù)據(jù)庫庫。。該該項項目目致致力力于于實實施施一一個個靈靈活活的的，，但但又又是是可可持持續(xù)續(xù)的的控控制制框框架架，，最最終終解解決決方方案案包包含含一一系系列列人人工工與與自自動動控控制制的的組組合合。。案例分析22重點/關(guān)鍵成功因素素（續(xù)）維護EUT清單：對于識別并維維護一份完整整準(zhǔn)確的EUT清單而言，從從財務(wù)報告入入手進行全面面分析是一個個很重要的手手段。會計政政策變更、披披露要求變更更、關(guān)鍵人員員變更以及兼兼并或多元化化經(jīng)營都可能能會生成新的的EUT。而穿行測試試對于復(fù)核該該清單的準(zhǔn)確確性也是非常常重要的?？紤]使用自動動化軟件：自動化軟件可可以大大提升升電子表格的的基準(zhǔn)化及持持續(xù)監(jiān)督工作作效率，而人人工流程隨著著時間推移會