ERP系统下三元股份公司内部审计风险控制研究

　　随着科学技术的不断进步，虚拟经营逐渐取代了实体组织，而企业的鼠标距离也逐渐取代了物理距离，越来越多的企业通过实行ERP系统来加强管理，整合客户需求、供应商资源，整合企业组织架构，提高经营效益。但目前而言，我国对于ERP环境下的企业内部审计刚刚有所研究，且ERP系统自身存在着一定的隐患，会给企业带来一些影响，因此，尽可能的降低企业运用ERP系统时所产生的内部审计风险是不可或缺的。

　　内部审计的工作质量对企业的经营管理、长久发展有着非同一般的作用。企业的日常经营活动看似与内部审计部门的工作没有太大关系，但是内部审计与企业的经营管理活动息息相关，其工作内容主要是对企业各经济管理、经营业务活动的服务，并在此过程中对所服务的对象、内容进行监督管理，以保证在合法的情况下企业的发展能够长久、稳定、健康。

　　内部审计风险在企业运营管理过程当中属于客观存在现象，不能进行根本性的消除，但可以通过采取一定的措施去控制降低审计风险。在大部分企业应用ERP系统来加强管理的形势下，通过内部审计给企业的长久稳定发展加以合理的保证，降低内部审计风险，就需要去研究ERP环境下企业的内部审计发生了什么变化，这些变化会产生哪些审计风险，并应如何控制、降低所产生的内部审计风险。本文主要分析企业实施ERP系统时产生的内部审计风险及其形成原因，并提供解决措施。

　　2.1.1 ERP系统的含义

　　ERP系统是指将不断进步的、日益系统的管理思想与不断发展的信息技术结合在一起的一种管理平台，可以提供给企业员工相应的解决办法，提供给管理层相应的决议计策。ERP是Enterprise Resource Planning的简称，是X的一个IT公司发现总结的对于企业的资源进行规划的理念。该公司在20世纪90年代据企业在对供应链进行管理时的需求标准，联系了那时信息技术的研究发展水平，对企业在之后会应用的、进行信息管理的系统软件的研究发展方向进行的推断。对供应链进行管理是其重要思想，主要是协助调和企业的各经营管理部门，追求整体平衡企业的各种资源，能够优化对企业综合资源的管理，依据市场趋向引导企业经营业务活动的开拓发展，使企业在同行业的竞争中占据优势。

　　2.1.2 ERP系统的特点

　　该系统主要有以下特点：实用性，是指在企业的运用中更能反映出ERP系统是辅助企业进行管理的一种工具的实质，也可以将其理解为是通过运用电脑并结合先进的、系统化的管理思想，来帮助企业对日常的经营活动加以管理的媒介；整合性，即ERP系统是对企业的全部信息的归集组合，这是ERP系统的最突出的特点，与其他单一的信息系统相比，ERP系统的功能性更胜一筹；弹性，就是ERP系统可以依照不同企业的不同需要，运用不同的设计方式，增减相应的模块来进行整合，从而使企业的应变能力提高；便利性，是指在企业信息系统的归集下，通过ERP系统可以得到、应用在企业内部的任一地方所产生的信息；数据储存，即使数据能够统一吻合，通过整理归集分散在企业各部门、各业务环节的数据，从而使企业的数据更加准确、精确；互动关系，是指ERP、CRM（客户关系管理）系统的应用使企业与供货商、销售代理、客户等企业上下游的关系发展得更加紧密、加强互动；及时性，是指ERP管理的关键是对企业传统的工作内容、方式进行革新，改善因手工操作而造成信息反馈延迟、不能实时监管控制的情况，使ERP管理更加信息化。

　　2.1.3 ERP系统的应用价值

　　企业运用ERP系统的重要价值主要表现在其致力对企业的全部供应链进行有效的规划处理，并对企业一般经营管理的内容有所涵盖。ERP系统对企业供应链有效规划处理的实现基本显示在：规划处理全部供应链的资源，使企业产、供、销活动得到有效安排，能够满足企业关于生产经营不断更新的要求；精益生产同步工程，即ERP系统将企业与供应商、客户等的业务往来关系组成一条风险同担、利益同享的供应链，用最短的时间将产品投入市场，能够帮助混合型生产的企业进行有效管理；事先的安排规划与事中的掌控处理，是指ERP系统具有的计划功能、价值控制功能，不仅能查找到资金的往来明细，还能追溯到相关的业务活动明细，对资金信息落后于物料信息的情况进行一定的改善，便于事中控制的实现，并实时做出相应决策。企业一般管理的内容自身就是集成体，而ERP系统所涵盖的主要内容分为生产控制、物流管理和财务管理。这三方面内容之间有能够匹配的对接环节，能够进行相对的归集处理，便于企业相关方面的管理。由于人力资源管理在企业发展中得到的日益重视，许多的ERP厂商已经逐渐在ERP系统的开发更新中增加了人力资源管理模块，使其成为ERP系统的又一不可或缺的内容。

　　2.2.1内部审计风险的含义

　　内部审计风险是指在企业编制的财务报表在审计前本身含有明显较大的错报、漏报时，而内部审计人员认为该报表是公正平允、合乎法律的，并据此表明的审计意见不贴切、适宜的可能性；或企业在经营管理上有欠缺、疏漏时，而内部审计人员认为企业的经营管理是有效完好的，并表明的审计意见不贴切、适宜的的可能性。但是其形成原因并不仅是内部审计人员、机构主观上判别推断的差错，还因为审计风险存在于整个内部审计工作之中。内部审计风险主要为:一是客观存在的风险，即企业编制的报表自身有明显较大的漏报、错报或企业的经营管理上有欠缺、疏漏之处；二是主观意识导致的风险，内部审计人员在工作结束后表明该报表并无明显较大的漏报、错报或企业的经营管理无欠缺、疏漏之处。

　　2.2.2内部审计风险的特点

　　其特点主要有：不可避免性，形成审计风险的原因是复杂多样的，从而使内部审计风险的产生不可避免，但和外部审计相比，内部审计人员更熟悉企业的自身状况及内部控制制度，可以通过经常审查企业的高风险、关键重点项目，来降低一定的内部审计风险；持久性，内部审计风险不仅包含在审计项目的准备、实施及报告阶段，即审计工作的所有过程，在审计项目归档后，内部审计人员还需监督提醒管理人员整改、处理相应的问题，由此不仅延长了内部审计的工作时间，还扩大其工作范围，也可能会增加审计风险；范围的广泛性，对成本费用进行一定的控制，使企业的经济效益得到增加，是企业进行内部审计的原因，这会让内部审计的工作内容扩大到企业的众多经济管理的业务活动中；可测可控性，内部审计人员依据充足的工作经验和专业的知识技能，选择适宜的审计程序、方法，对企业的内部控制加以测试，将风险控制降低到一定的水平，有助于加强企业的经营管理，完善企业的内部控制、管理制度；或然性，内部审计风险可能不会造成审计责任，也可能不会对企业的经济效益产生负面作用。

　　2.2.3内部审计风险的成因

　　内部审计风险的主观形成原因主要有:在认知、确定审计目标时有所差错，企业在制定经营目标时都会根据时间、形势、环境的变化而作出对应的调整，若内部审计人员不能正确认识到企业的经营战略目标，在进行企业的内部审计工作时就会有较大的困难；内部审计人员自身的专业能力、工作经验并不能满足企业内部审计工作的要求，这让企业在控制审计风险时很难达到预期的效果，并且在实际工作中也很难实现预期的工作目标。

　　其客观形成原因主要有:我国目前在企业内部审计工作方面的法律仍有待完善，审计活动作为社会经济活动的一个重要组成部分需要严密的法律监控，同时还要通过法律给予企业的内部审计部门相关的权利，表明其所承担的法律责任；由于企业的不断发展探索，企业对内部审计风险的控制愈加重视，企业的内部审计对象与内容也变得越来越复杂，同时审计活动的影响范围也越来越广泛；影响企业内部审计风险的因素不仅包含了企业的外部经济环境与内部管理环境的变化，还包括了企业的内部控制管理制度、各项经济活动的特点以及国家宏观经济环境等各种因素，这些大小不一的因素随时都会在企业生产经营过程中产生一定的影响，进而对企业的内部审计风险有所影响。

　　三元股份公司在2003年度根据公司和乳品市场的实际情况，结合投资计划用所募集的资金对六个项目进行了投入。其中对物流配送项目拟投入2120万元，项目资金逐年投入。该项目以营销公司为中心，通过建立公司的ERP计算机管理系统，使采购、生产、配送、销售连为一体，形成一条完整的供应链，使公司的各部门的信息得到充分共享。预计项目建成后，将使公司的整体物流得到优化，每年可节约费用及增加收入约440万元。2006年度分销配送系统项目的ERP子项目已经调试完毕，于2007年3月正式启用。2008年度在个别单位进行试点，2012年度项目资金已全部投入完毕。2013年度对ERP工程进行扩大投入，至2017年度已拟扩投为28,030,860.00元，实际投入为2,763,359.98元。在具体运行时，数次出现过ERP系统运行工作时卡顿、出错、因CPU的占用过高使计算机卡机的情况，计算机中病毒、死机的情况也偶有发生。

　　三元股份公司的具体组织、部门构成如上图所示。三元股份公司，是北京三元食品股份有限公司的简称，现有12个子公司，其中10个为控股子公司、2个为全资子公司，还设有5个事业部、2个分支机构，17个经营管理部门。公司的现任董事会审计委员会是第六届，共有5名委员，而学历在本科以上的只有包括主任委员在内的3名独立董事。公司的内审机构为在审计委员会下设立的审计部，其成员由为专职审计的人员，审计工作的负责人为公司的总经理，总经理对公司董事会呈报公司事务，且总经理向董事会负责。在总经理及审计委员会的指导引领下，审计部开展内部审计工作，主要负责审核检查、评析判定公司的日常经营活动、公司的内部控制管理状况以及风险管理是否适当、有效。

　　三元股份公司的审计部结合ERP系统的特殊性和审计工作的需要，形成了专属的审计工作的流程。依照公司的审计资源配置情况、风险状况及管理需要，编制年度审计计划并报给总经理审批，计划外的特殊审计项目需经总经理准许后进行工作；审计部按审计计划确立审计项目，依据审计项目负责人初步制定的方案，进行工作分配(每个项目组的审计人员不能少于二人)；在对具体项目进行审计的3日前，要将审计通知书送到被审计的单位（特殊审计项目除外），并做好必要的审计筹备工作，对被审计单位的相关业务活动、ERP系统进行一定的理解分析，如：ERP系统的模块划分、具体业务的处理流程、相关数据库的控制管理等；内部审计人员对被审计单位的情况进行深入的调查分析，合理充分的运用审计方法，实施审计程序，取得审计证据；内部审计人员将工作中所归集评判的审计证据、具体实施的程序、审计工作的过程在工作底稿中详细无误的写明；在必要的审计程序得以全部执行后，内部审计人员要据已核对无误的审计证据对相应的审计报告进行编制、出具；报告出具前，需经审计组成员集体讨论，对于审计意见要与被审计单位进行相应的交流沟通，若其10日内未提出书面意见，则视为对该审计意见无不同意见；若其对该报告、决定有不同意见，可向审计部经理表明，审计部经理依照具体情况，可组织调动其他审计人员进行复审；审计项目终结后，项目组成员需在60天内整理相关审计资料并存档。

　　公司审计部的工作内容主要有：审计本部门及公司的财政、财务收支状况，及与其相关的经济业务活动；审计本部门及公司的经济管理状况和经济效益；审计本部门及公司预算内资金的使用明细、控制监管及预算外资金的监管控制、使用明细；评判审计本部门及公司内部的控制管理是否完好有效；审计本部门及公司的领导人员的任期经济责任；提供咨询服务，以适当方式帮助改善公司的经营业务活动、内部控制和风险管理。

　　公司的审计人员多将促销费用、收入的确认以及在建工程预算资金的使用变动列为关键审计事项。公司的促销费占销售费用比例的29%以上，审计人员将促销费用识别为关键审计事项。三元股份公司的营业收入主要来自于销售各类奶制品，且公司销售各类奶制品的收入占营业收入的95%以上，审计人员将收入确认识别为关键审计事项。公司的重要的在建工程项目有将近20个，总预算金额超过18亿，且每个年度的在建工程项目会有个别的增添、减少，在建工程项目的预算资金变动是审计人员加以重视的审计事项。

　　三元股份公司虽然一直致力于改善ERP系统运行时因系统自身的欠缺引发的问题，不断对其进行技术改造，但ERP系统在实际工作运行时还是会不时地出现一些突发状况。这些状况是在安装运行ERP系统时，由于软件自身的欠缺所引发的，如在ERP系统运行工作时卡顿、出错或者CPU的占用过高等状况；在ERP系统运行时个别的计算机的内存条损坏或者硬盘损坏等质量问题。企业应用ERP系统时的内部审计风险之一就是计算机的硬件发生故障、损坏和软件自身缺陷的问题，这是由计算机的系统性能所决定的，计算机中病毒、卡机、死机等这些状况都是企业在应用ERP系统时可能发生的，会给内部审计工作增加一定的难度，是内部审计风险中的固有风险。

　　公司运用了ERP系统后，内部审计面临的首要问题就是在高度集成的数据中查询到需要的相关数据信息。公司的每个部门之间的业务流程环环相扣，数据信息息息相关。公司应用ERP系统后，对数据的处理由现在的计算机用户程序代替了之前的手工操作，会让一些错误的操作或者舞弊行为留不下纸质的痕迹，比如一些资料也许仅是短暂的储存却又被迅速覆盖、在磁盘上储存的数据也许会因被修改而没有留下痕迹等等，这些行为均会让问题变得更为复杂隐密，使审计风险和审计工作的困难比之前增加更多。还有操作人员如果在数据的录入阶段存在一些恶意修改、省略、延迟操作，就会对内部审计人员的审计工作造成干扰，增加内部审计风险；如果内部审计人员对ERP系统自动处理的结果过分信任、依赖，而没有深入核查一些发现的疑点信息，也将有增加内部审计风险的可能性；如果ERP系统自身就有一些错误或被违法修改，也可能会使问题变得更加复杂，增加内部审计风险等等。

　　虽然三元股份公司应用ERP系统，使公司的内部审计方式发生改变，并带来一定的便利，但是同时也会引发新的内部审计风险。ERP系统不同于传统的电算会计系统，三元股份公司在进行审计时要结合所用的ERP系统革新的工作方法和思路。需要用动态审计的方式替代静态审计，为了能够完成审计计划，就要保证相关的审计测试能够在系统的脱机状态下完成，能够实时更新数据，但由于信息系统会受软、硬件环境的制约，不能做到随时开启和停止，所以有时需要保证能够实时处理运行在ERP系统基础上的业务工作和数据，而这个过程可能会增加审计风险；需要用在线审计的方式取代传统输出的方式，因为ERP系统在工作运行时是实时在线的对企业的业务工作、信息、数据加以归集处理的，公司的内部审计人员可以运用ERP系统随时査找各种工作流程的处理情况和相关数据，进行内部审计工作，虽然在一定程度上提高了工作质量和效率，但一旦数据上出现错误就会干扰审计人员的判断，引发新的审计风险。

　　ERP系统让许多的审计证据成为计算机系统的信息流和数据流，使内部审计的工作内容有所转移，会给内部审计工作增加风险。不仅因为营业收入是三元股份公司重要的业绩指标之一，可能会发生管理层通过改变相关数据确认的时点、金额而为了完成某种目的、期望的内部审计风险，对其进行审计；还由于公司各类奶制品销售量巨大，且高度依赖ERP系统，其收入确认（是否在恰当的财务报表期间入账、入账的金额是否恰当）可能存在潜在错报，对主营业务收入的确认进行审计；并且公司的销售渠道主要是商场超市和经销商，促销活动费金额较大，促销活动种类较多，且针对不同的销售渠道或销售对象有不同的促销方案，在提取和结算时容易出现判断错误或计算错误，从而可能导致发生错报风险，因而内部审计人员还要对促销费用加以重视。与传统环境相比，新的环境下内部审计人员除了需要审计手工资料之外，还需审计企业的软件和硬件、企业应用的ERP系统所在的运行环境、ERP系统下的职责分离控制、企业产品交付和销售收款这两个环节的控制重心以及企业业务数据处理的所开发的程序等等这些信息资源。内部审计对象和内部审计内容范围的扩大，使内部审计人员既要对企业一般的内部控制有所重视，又要对与企业经营业务流程相关的应用控制有所关注，因而增加了一定的内部审计难度，扩大了内部审计风险。

　　为了加强对计算机性能的维护，让ERP系统有良好的外界环境，企业应请相关的技术人员定时对计算机进行整体的扫描检修，并建立更新防火墙，对网络黑客的进犯入侵提前加以防范，对相关的信息软件设置较为复杂的密码，对某些人员的不法盗用行为提前加以提防，以此种种来减少ERP系统运行工作时可能出现的突发状况，降低企业应用ERP系统时产生的固有风险。还应积极引入信息技术人才，加大对ERP工程的资金投入，对ERP系统中的审计模块进行开发，以便于对企业的各项经营管理活动加以监督管控，对系统中的数据信息进行实时的归集处理，提高审计人员的工作质量、效率，加快企业内部审计信息化建设，更新审计人员的工作方式、方法，减少内部审计过程中重叠、低效的工作，尽快实现全面覆盖的高效审计，降低内部审计风险。

　　要增强ERP系统数据的准确性和可靠性，就要关注相关数据的录入。ERP系统中的每个模块都是相互联系，紧密影响的，要是某个业务流程中的环节数据出现错误，那么之后的模块所处理产生的结果就可能也是错误的，所以要从录入数据的源头就加以控制，以保证系统数据的准确性、可靠性，如果系统的原始数据都不是准确的，那么不管之后的加工、处理如何明确无误，得到的结果也是毫无意义的。所以，内部审计人员在工作时不但要检验数据文档、企业内部管控的实际状况，还要审核软件程序文档，并对相关参数的设置情况高度重视，对初始输入数据的正确性进行复核，来降低内部审计风险，如抽检是否有擅自修改数据的记录，是否有更改相关参数的情况，若相关的数据或参数发生更改那么是否得到授权、其更改的依据是否奏效有理等等。

　　ERP系统下内部审计方式的改变也会使审计流程有所变化。为了降低因审计方式的改变引发的新的内部审计风险，要将风险识别、分析、处理融入内部审计作业流程，对审计流程进行一定的重组。风险识别主要是通过审计前的调查业务设计与ERP系统实际运行情况的符合程度，对各类可能存在的风险进行初步判别，掌握会对系统应用产生重大影响的内部审计风险；风险分析是指在项目现场工作阶段，主要对ERP系统数据与管理内控状况进行进行符合性测试、模拟测试，对各类风险进行排序和过滤，判别可能对业务运作状况、数据准确性产生影响的内部审计风险；风险评价和处理阶段是要以审计建议的形式就发现的风险向被审计单位提出相应的管理建议，完善企业内部控制制度和工作流程，并追踪其改进完善情况，最后将风险总结成内部审计成果，并在企业相关的审计信息化工作上加以运用。

　　在企业运用ERP系统的环境下，内部审计人员要准确把握审计对象，就要把审计工作的重点放在关键控制点上，以此来控制降低内部审计风险。对关键控制点的审计，主要有以下内容：是否建立预警机制；在企业日常经营的业务活动的解决办理中，是否存在控制不严或者个别业务环节的控制薄弱的现象；关键控制点是否有效；能否更新、优化在系统中起到重要作用的控制方法。ERP系统的每一模块（如人力资源、设备管理、采购、生产、仓储、销售和财务等）在企业的应用中都有其各自的关键控制点，以此来加强企业对内部管理的控制。具体如:获取ERP系统订单、发货等销售统计表，结合收发存记录，对发货和退货等统计表进行分析，确认是否存在差异，并查找差异原因；通过检查应收款项期后回款情况，确认收入确认期间是否恰当等等。此外，内部审计人员也应关注、重视公司销售部门的相关制度、数据。如对促销费用进行年度对比分析，并与本年销售额对比以判断促销费用总体上的合理性；访谈管理层相关人员，了解促销费用的计提和结算方式；获取销售框架合同、促销活动方案，获取促销费用计算或预提表、结案表，结合检查合同约定或销售政策或促销活动方案等，分别销售对象或渠道对促销费用进行重新计算等等。

　　虽然内部审计工作的质量对企业的长久发展起着关键作用，但内部审计在企业实施ERP系统的环境下还存在较多的风险。为了降低企业应用ERP系统时的内部审计风险，企业应对其内审制度加以更新完善，并努力提升内部审计人员的工作能力，使其运用审计方式更加现代化、信息化，提高其工作效率与质量，进而控制降低企业内部审计风险，促进企业的健康发展。内部审计并非一层不变的，随着社会的不断发展，内部审计体系也在不断完善，因此，本文只是对三元股份公司实施ERP系统时内部审计存在的风险，提出了加强对计算机性能的维护、关注源头数据及相关参数、加快对审计流程的重组、准确把握审计对象的控制措施，希望能为实施ERP系统的企业进行内部审计工作提供一定的参考。

　　总之，随着ERP系统日益推广的应用，传统的审计方式已经跟不上审计信息化的发展，企业需要对ERP系统、管理思想，有一个与时俱进、更加全面的认识，要对内部审计工作的诸多方面进行深化改革，促进企业ERP系统审计化的建立，进而提高企业的竞争能力与自身价值，企业才能更好地顺应社会发展。

　　[1]孙泽宇.基于大数据的财务报告审计方法研究[J].会计之友，2016，(08)：109-111.

　　[2]冯永恒.ERP环境下如何应对审计风险[J].经贸实践，2017，(01)：245.

　　[3]蔡军泉.对企业内部审计风险控制方法研究[J].中国国际财经(中英文)，2017，(14)：104-105.

　　[4]董钰凯，胡本源.审计风险的识别与防范[J].中国内部审计，2018，(01)：85-87.

　　[5]王纪萍.ERP系统审计风险研究[J].现代商业，2018，(02)：176-177.

　　[6]陈燕云.浅析ERP系统在内部审计中的应用[J].冶金财会，2018，(08)：44-45.

　　[7]王扉，邱玉林.内部审计风险的形成与防范[J].财经界(学术版)，2018，(15)：121.

　　[8]谢磊.内部审计风险及其控制[J].合作经济与科技，2018，(19)：144-145.

　　[9]黄倩.企业内部审计风险的成因及控制解决途径[J].纳税，2018，(24)：209+212.

　　[10]王秋菲，秦爽，石丹.基于大数据的审计风险识别与控制问题研究[J].会计之友，2018，(24)：93-100.

　　[11]徐涵.JL公司内部审计存在的问题及对策探讨[D].南昌：江西财经大学，2017，1-42.

　　[12]沈鹏飞.内部审计风险控制研究——以HZ公司销售与收款循环为例[D].银川：宁夏大学，2017，1-45.

　　[13]魏永宏，周少燕.审计学[M].北京：中国铁道出版社，2016，324-341.