内部控制

科技驱动型企业的内部控制建设

当财务越来越依赖云平台、自动化工作流、数据分析和第三方应用时，内部控制设计必须把财务报告风险与技术风险、数据完整性和业务责任连接起来。

Insight Bridge2024年2月1日13–15 分钟阅读

核心要点

收入可能起源于 CRM、计费平台、支付系统、数据仓库或自研应用，之后才进入总账。费用、薪酬、股权、税务和资金流程也可能具有类似的分布式架构。因此，仅围绕会计分录设计控制，容易忽略决定分录是否完整准确的系统、接口、转换与报表。

通用控制清单可以作为参考，但真正有效的设计应基于企业自身重大错报或运营失败风险。管理层应识别重大账户和披露、相关认定、主要交易类别、关键估计以及支撑这些事项的系统，再决定需要预防性、侦查性、自动化或管理层复核控制。

一个看似人工的控制也可能高度依赖技术。例如，控制人每月复核收入分析，但该分析可能来自融合 CRM、计费和总账数据的数据仓库。此时控制有效性取决于整个信息链的可靠性。

系统报表、查询、电子表格、仪表盘和数据导出，应根据其生成方式验证完整性和准确性。对系统报表，需关注逻辑、参数、字段、访问权限和变更；对电子表格，则应关注源数据完整性、公式、保护、版本、复核和手工调整。

当财务报告依赖自动化控制或系统生成信息时，逻辑访问、特权账户、变更管理、程序开发、作业运行、备份恢复和事件管理等 ITGC 成为基础控制。快速成长企业尤其应重视入转离职权限管理、职责分离和管理员账户。

使用 SaaS 不意味着把财务报告责任交给服务商。企业需要理解服务商控制、用户实体控制以及互补用户实体控制之间的边界，并结合 SOC 报告、合同、事件通知、数据保留和自身配置控制进行管理。

自动化能够降低手工错误，但自动流程并不天然等于受控流程。管理层仍需明确谁可以配置、谁可以覆盖、输入数据如何驱动逻辑、异常如何处理、变更如何批准与测试。系统上线、迁移、并购和流程重构期间尤其需要正式的变更治理。

成熟的控制体系不仅执行控制，还持续监控控制是否按设计运行。证据应让独立复核者理解控制执行人、检查范围、异常、判断与结论，而不是只留下缺少背景的截图。

权威指引与框架

相关分析可结合 SEC、PCAOB、FASB、COSO 与 NIST 等机构发布的适用一手资料。具体适用范围取决于企业事实、注册人身份、交易结构和监管环境，应结合专业会计、法律及审计意见判断。

Insight Bridge 与管理层共同连接财务报告、内部控制、系统、数据与财务转型。我们的工作重点是明确问题与风险、形成可执行方案，并帮助管理层建立能够持续运行的流程。

重要提示： 本文仅供一般信息参考，不构成会计、法律、税务、投资、审计或其他专业意见。具体分析应基于特定事实与情况。

如果您的企业正在处理相关财务报告、内控、系统、数据分析或转型挑战，欢迎与我们沟通。