多方合力 化解IT内控难题

2014-11-08 22:07:42 大云网  点击量: 评论 (0)
 怎样做才算是合规?需要对IT进行哪些改造和完善?这是很多企业目前共同的困惑。近期,在《计算机世界》报社主办的2009年度企业内控高峰论坛上,来自各行业的众多用户与IT企业,就企业内控的相关问题展开了热烈
 怎样做才算是合规?需要对IT进行哪些改造和完善?这是很多企业目前共同的困惑。近期,在《计算机世界》报社主办的2009年度企业内控高峰论坛上,来自各行业的众多用户与IT企业,就企业内控的相关问题展开了热烈讨论。
  企业部署内控 困惑重重
  继《企业内部控制基本规范》公布后,《企业内部控制评价指引》、《企业内部控制应用指引》以及《企业内部控制鉴证指引》三个更具体的指引文件也进入征求意见中。但是,实施细则的缺失、合规衡量标准的不明,让企业陷入了迷茫。
  中国化工信息中心副主任李中指出,《基本规范》引起了很多化工生产企业的关注,但是问题也很多。“具体的实施细则还没有出台,每个企业都有自己的理解,相关厂商也推出了很多方案,但到底谁才是合规的呢?”李中表示。
  这些细节问题也给企业具体的法规遵从工作造成了障碍,一些企业甚至呼吁,能够有一些类似会计师事务所的机构明确地告诉他们,一个合规的财务与风险管理体系应该是什么样的。
  中国石油化工股份有限公司信息系统管理部副总工程师吴正宏说,完善内控对企业的IT系统也是一大挑战,企业设计IT系统时不仅要考虑方便、可用,还要考虑符合法规的要求。
  但如何建立科学有效的内控信息系统呢?中国煤炭工业协会信息化分会秘书长程炜认为,内控信息系统的建立不能简单照搬手工处理的方式,而应该首先建立科学的流程,再用IT手段将其固化下来。
  国家会计学院教务部副主任郑洪涛则指出,企业内部控制给IT治理带来了四大机遇与五大挑战: 改善企业控制环境、提高运行效率、优化信息系统、建立内部信息共享机制等,是其机遇。挑战则表现在: 第一、IT的应用改变了授权方式,由原来的签章变成了口令,一旦口令被窃取,便会带来巨大隐患; 第二、IT手段的应用使得内部控制程序化,一旦程序的bug不能被及时发现,就可能使同一种错误反复发生; 第三、IT手段使得原始凭证数字化,会计信息更易于被篡改或伪造了; 第四、网络环境的开放性给会计信息系统的内部控制带来了许多新问题,加剧了会计信息失真的风险; 第五、IT体系本身也面临着病毒感染、黑客入侵、违规操作、非法拷贝带来的风险。
  厂商闻风而动 强化合规
  尽管《基本规范》的规定比较笼统,却给IT厂商带来了不少的商机。众多IT厂商闻风而动,纷纷强化自己解决方案的合规性。
  比蒙新帆是一家专注于通信、安全和应用综合解决方案的厂商,来自比蒙新帆的王升平认为,企业的主要任务就是将内控落地。显然,这是单一产品或单一功能无法解决的,需要多种手段综合应用。
  RSA、EMC信息安全部大中华区高级信息安全系统构架师司马丽维指出,信息安全的理念也在不断变化。“五六年前我们说网络安全,后来提的是信息安全,最近几年,信息安全已经上升到IT风险管理的高度”。
  一项调查显示,只有不到1/5的公司认为他们的数据得到了有效保护。如今,对企业信息技术主管来说,他们不仅要保护敏感数据不被非法访问和使用,还要考虑到如何符合审计和相关法规的要求。
  RSA几十种安全产品中,有两款是与内部控制相关的。一款是enVision 合规性管理解决方案,具有日志分析和风险监控的功能; 另一款产品是RSA DLP 防数据丢失、泄露解决方案。
  另一个引起IT企业关注的商机则是存档解决方案。《基本规范》第四十七条指出,“企业应当以书面或者其他适当的形式,妥善保存内部控制建立与实施过程中的相关记录或者资料,确保内部控制建立与实施过程的可验证性。”
  这就意味着,企业相关的记录必须是固定不变的、具有极高的真实性和可靠性。日立数据系统公司资深解决方案顾问卢向东指出,日立的数据动态归档解决方案,能帮助企业真实准确地记录控制过程,并对这些信息进行快速完整的访问和检索。
  而2004年就进入内控领域的慧点科技认为,企业用户完善内控一定要明确三件事:第一、业务部门有什么内控和合规性的要求; 第二、企业60%的管理要求会落实到IT上,这些要求是否真正落实了;第三、按照合规要求改造IT系统后,还需要验证实际运行数据与企业要求之间的匹配度。
  “内控的未来是没内控,这是我们的希望。”慧点科技公司副总裁、风险管理与控制事业部总经理韩国权说。
大云网官方微信售电那点事儿

责任编辑:叶雨田

免责声明:本文仅代表作者个人观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
我要收藏
个赞