【作　　者】
阳 杰 应里孟 周海燕

【作者单位】
（温州大学城市学院 浙江温州 325035）

【摘　　要】

      【摘要】基于系统论的观点，本文将持续监控系统视为信息系统条件下内部控制系统的一个子系统，分为持续监控环境、持续监控标准设定、持续监控活动、信息与沟通和对持续监控的专项评价等五要素，并对各要素的内涵进行了分析。
【关键词】持续监控   内部控制   会计信息系统

持续监控（简称CM，下同）是一种与企业经营管理有机结合的内部控制程序，其目标是为了确保内部的持续有效运行。CM因其能获取内部控制运行最及时、相关与可靠的直接信息，可以实现对内部控制的实时、动态调整，使之成为内部控制监督的主要形式。信息系统应用环境为CM提供了理想的运行环境，其优势得以充分发挥。系统论认为，任何系统是由若干要素组成的，这些要素以合理的结构安排来实现系统的耦合，协同运作实现系统的目标。基于此，我们认为CM也是一个系统，而且是信息系统环境下，内部控制系统的一个子系统。类似于内部控制系统的五要素划分，我们也将CM系统划分为CM环境、CM标准设定、CM活动、信息与沟通、专项评价等五要素,这五要素之间的关系如下图所示：

上图并没有单独标识出“信息与沟通”要素，是因为该要素在整个系统中是普遍存在的，而且信息系统本身就可视为一个信息与沟通系统，难以将它作为一个独立的组成部分标识出来。
一、CM环境
CM环境是CM系统各个要素存在和效用发挥的基础。在整个内部控制系统中，它是属于控制环境的有机组成部分。不过，由于CM效用的充分发挥需依赖信息系统环境，因此，CM环境又有其新内容。具体而言，适合CM需求的高层基调和组织结构是CM环境的两个必要组成部分。
1. 高层基调。企业要顺利实施CM，需要借助强有力的高层基调来跨越两个主要障碍。①董事会和管理层在推行CM时，需要向相关人员阐释CM价值，并清晰地表明高层支持CM的坚定立场，以获取员工的支持。②CM系统不是通用信息系统，它需要根据特定信息系统进行定制。这种系统的成本高昂，在具体实施过程中需要在专业人员方面有新的投入，加之企业实施这类系统，投资回报难以立竿见影，因而企业投资此类项目，更加需要有一个富有远见的高层团队的支持。
2. 组织结构。CM系统的运行，需要有相应的组织结构予以支持。具体而言，管理层负责CM系统的实施，董事会对管理层进行监督，并对CM负有最终责任。管理层在设计组织结构时，需要对CM相关岗位的角色进行定位，对岗位职责进行划分。在岗位的人员配备上，要确保负责CM的评价人员的胜任能力和客观性。其中，胜任能力要求评价人员具备内部控制和业务流程方面的知识；客观性要求评价人员在CM时，能够做到不偏不倚。从这两个方面的要求来看，内部审计部门的信息系统审计师是CM的首要人选。
二、CM标准设定
根据ISACA的《内部控制系统和IT监控指南》，监控的设计首先是了解影响企业目标实现的相关风险及其特征，之后确定这些风险的轻重缓急，进而确定监控的类型、时间和范围。目前，ISACA的《风险IT框架》及COBIT框架的信息标准可以帮助识别相关风险。CM作为内部控制系统的组成部分，它的标准设定工作需要和内部控制的风险评估相结合。因为风险评估是根据信息系统内部控制目标所面临的来自内部和外部的风险，持续地对这些风险进行确认和处理的机制，风险评估的结果提供了控制活动的输入，同时也形成了CM标准。
风险评估的目的就是为CM活动的执行提供一个衡量标准，即CM标准。CM标准有关键目标指标（KGI）和关键绩效指标（KPI）两类。CM标准设定可分为事前标准设定和事后标准设定。企业在设定CM标准的时候，可以考虑采用成熟度模型，来判定自己的内部控制成熟度水平、IT治理成熟度水平，对自己的现状进行定位（初始级、可重复级、已定义级、已管理级、优化级），明确需要达到的成熟度水平，进而指明内部控制的改进空间。标准设定要适度，既要着眼于内部控制有效运行的需要，也要给内部控制留有持续改进的空间。
无论是事前标准设定，还是事后标准设定，所设定的标准都是静态的，其有效性会随着时间的推移逐渐降低。这是因为企业的运营环境是持续变化的，相应的风险也是动态的，企业的管理流程、业务流程和内部控制流程也会随之发生变化。同时，管理层对内部控制及CM的认知也是逐步深入的，这必然产生对CM标准进行调整的需求。因而在CM软件中，都会设计参数调整窗口，以满足这种动态需求。
三、CM活动
CM活动就是以CM标准为依据，以适当的频率对信息系统中的各类信息进行统计分析，借以发现某些关键控制偏离CM标准的例外情况，并通过“警报”的方式将监控结果发送给评价人员。CM活动与内部控制的控制活动要素功能也有重合之处：在控制活动缺失的环节，CM活动就可以视为一种弥补控制缺失的控制活动；在控制活动存在的地方，则是对现有控制活动的再控制。
从技术能力限制和成本效益原则出发，CM的对象是关键控制。COSO定义了关键控制的两个特征：它们的失败可能对实现一个组织目标的能力有重要影响，但是可能不会被其他控制及时检测出来；它们的运行可能防止其他的控制失败，或者在这种控制失败可能对组织目标有机会产生重大影响之时，将它们检测出来。
COSO进一步指出，监控的核心环节就是针对关键控制来设计和执行监控程序，以便将有限的资源分配给高价值或高风险的内部控制。一旦关键控制被识别出来，评价人员就需要识别能够支持这些控制是否根据设计来实施和运行的信息。识别这种信息能够知道控制失败是如何发生的，以及哪些信息在决定控制系统是否合理运行方面是具有说服力的。
在信息系统环境下，针对关键控制的CM，ISACA的《内部控制系统和IT监控指南》列出了六个监控要点：如果关键控制实现了自动化，那么相关的IT一般控制也需要进行监控；如果关键控制是手工的，但依赖IT产生的信息，这时就需要对相关的IT一般控制进行监控；风险评估流程和电算化信息的可获得性，驱动着更多的相关控制被纳入监控范围；直接从IT流程中获取信息所进行的监控程序更加有效；对IT控制的监控和自动化的监控，通常可以同时用于实现多种监控目标；IT提升了监控流程的持续性。
信息系统环境下的监控，区别于传统监控的显著特点在于它可以以较低的成本在一个较高的频率上得到执行，至于具体的频率如何，则要视具体的关键控制特征而定。在定义某个关键控制点的CM频率时，需要考虑到：①容易发生变化的关键控制需要更高频率的监控。②那些对信息系统有高度影响的控制，其监控频率要求更高。③关键控制点面临的风险水平越高，其监控频率要求就越高。④具有较低风险容忍度的企业，需要进行更高频率的监控。⑤对自动化程度越高的业务流程，其监控频率要求也就越高。⑥在报告方面，需要根据企业内部管理政策和外部的规范约定的要求，对CM频率进行设置。
四、信息与沟通
该要素从属于内部控制的信息与沟通要素，它要求将CM的政策、计划及程序按照岗位的职责划分，传递给相应的责任人，以明确各自在CM系统中的角色与责任。良好的信息与沟通，有助于消除信息传递的时滞，快速落实权责关系。
在CM实施前，应做好信息与沟通工作，这可以起到事前威慑作用，降低内部控制失败的概率。在CM系统设计过程中，需要考虑两个重要的信息与沟通机制：①警报和数字仪表板。警报是对CM过程中发现的异常情况和例外事件的一种反馈形式。警报内容的设计，通常应该包含以下几个方面的内容：发现了什么问题（What），是什么时候发生的（When），何处发生了问题（Where），问题是如何发生的（How），问题可能发生的原因（系统智能判断）（Why），应由谁负责（Who）。②数字仪表板是CM人员日常使用的一种人机互动界面。数字仪表板可以用各种图表直观展示CM的各项指标值，直观检测内部控制系统的运行情况，并对各种异常情况进行预警和挖掘分析，还可以给操作员赋予一些对数字仪表板上的参数进行调整的权限。
五、专项评价
CM策略并非固定不变，其有效性取决于是否能够持续适应信息系统内部控制的内外部环境，环境的动态变化决定了CM策略和计划需要进行定期或不定期的专项评价。评价的内容包括CM策略的相关性，企业风险容忍度的恰当性，标准的正确性，报告需求的变化，监控频率是否需要进行调整。促使CM策略变化的因素可能包括信息系统内部控制缺陷长期存在但未被发现、企业核心任务或业务流程的改变等。
在内部控制的监控要素中，专项评价和CM是两种互补的监控方式。ISACA的《内部控制系统和IT监控指南》认为，专项评价可以采用与CM相同的技术，但是专项评价用来对控制进行周期性的评价，且未嵌入企业日常经营活动之中。专项评价是由未参与业务流程运行或与被监控的控制无关的人员来执行的，所以它更客观，评估结果也更可靠。对CM进行专项评价，一方面是用来确保CM能够跟随内部控制系统内外部环境的变化而及时进行调整，另一方面是对内部控制系统进行持续改进。
【注】本文系浙江省自然科学基金项目（编号：LQ13G020011）的阶段性研究成果。
主要参考文献
1. 阳杰，应里孟.论企业内部控制监督的本原性质.财会月刊，2011；28
2. 阳杰.信息系统内部控制不完备性解构——兼论内部控制监控必要性.财会月刊，2011；30