【內(nèi)容提要】本文闡述了ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的必要性，系統(tǒng)介紹了ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的主要內(nèi)容與方法，簡要分析了ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的客觀條件，對企業(yè)應(yīng)用ERP系統(tǒng)后的風(fēng)險(xiǎn)管理審計(jì)具有一定的指導(dǎo)意義。

　　【關(guān)鍵詞】風(fēng)險(xiǎn)管理 審計(jì) ERP

　　隨著人類步入信息化社會(huì)，企業(yè)生存和發(fā)展的環(huán)境發(fā)生了重大改變，以管理思想和管理方法為核心的企業(yè)資源計(jì)劃系統(tǒng)（簡稱ERP系統(tǒng)）已成為企業(yè)提升管理水平和競爭實(shí)力的有力武器，企業(yè)的風(fēng)險(xiǎn)管理發(fā)生了根本性的變化，與之對應(yīng)的風(fēng)險(xiǎn)管理審計(jì)也面臨著前所未有的挑戰(zhàn)。

　　一、ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的必要性

　?。ㄒ唬〦RP系統(tǒng)的高風(fēng)險(xiǎn)性決定了企業(yè)必須實(shí)行風(fēng)險(xiǎn)管理

　　據(jù)統(tǒng)計(jì)，全球?qū)嵤〦RP的成功率不過20%.他們中，有的在實(shí)施時(shí)即告失敗，有的在實(shí)施成功后因發(fā)育不良而夭折。盡管如此，還是有不少企業(yè)懷著美麗的夢想，踏上ERP實(shí)施的艱辛之旅。經(jīng)過一番奮力拼搏，那些在實(shí)施中最后的幸存者，將仍然面臨較實(shí)施前更大的風(fēng)險(xiǎn)。系統(tǒng)的運(yùn)行，將隨時(shí)可能出現(xiàn)這樣或那樣的問題，有時(shí)甚至可能使整個(gè)系統(tǒng)在瞬時(shí)間崩潰。是否有一個(gè)運(yùn)行有效的風(fēng)險(xiǎn)管理機(jī)制將決定企業(yè)是否能在最初的ERP投資中真正獲益。

　?。ǘ〦RP的系統(tǒng)特性為企業(yè)的風(fēng)險(xiǎn)管理提出了新的要求

　　ERP系統(tǒng)與企業(yè)其他信息系統(tǒng)有著本質(zhì)的不同，她通過流程重組，實(shí)現(xiàn)了企業(yè)的管理變革；通過系統(tǒng)集成，實(shí)現(xiàn)了信息的實(shí)時(shí)共享；通過流程控制，實(shí)現(xiàn)了績效的動(dòng)態(tài)監(jiān)控；通過系統(tǒng)優(yōu)化，實(shí)現(xiàn)了管理的持續(xù)改善。另一方面，企業(yè)的生產(chǎn)經(jīng)營業(yè)務(wù)通過統(tǒng)一的ERP系統(tǒng)平臺進(jìn)行處理后，以往肉眼可見的線索都被掩蓋起來，企業(yè)及員工的工作習(xí)慣、思維方式、信息載體、控制手段和管理模式等都發(fā)生了根本變化。所有這一切，都為企業(yè)的風(fēng)險(xiǎn)管理提出了新的更高要求。

　?。ㄈ〦RP環(huán)境下的企業(yè)風(fēng)險(xiǎn)管理更加離不開內(nèi)部審計(jì)

　　對風(fēng)險(xiǎn)管理的審查和評價(jià)是企業(yè)內(nèi)部審計(jì)的基本內(nèi)容之一。ERP環(huán)境下企業(yè)的風(fēng)險(xiǎn)管理審計(jì)將顯得更為重要。一方面，在ERP環(huán)境下，舞弊和失誤均由原來的手工操作變成了由機(jī)器和系統(tǒng)程序來完成，不留任何紙面痕跡，從而使風(fēng)險(xiǎn)更加隱蔽、層次更高、內(nèi)涵更深，風(fēng)險(xiǎn)識別、評估和應(yīng)對的難度更大；另一方面，企業(yè)實(shí)施ERP以后，ERP已成為企業(yè)的生命線，風(fēng)險(xiǎn)可能造成的損失將更加巨大。據(jù)美國斯坦福研究所的調(diào)查，美國計(jì)算機(jī)舞弊犯罪最高的一次就達(dá)到50億美元。企業(yè)為了防范和降低風(fēng)險(xiǎn)，必須加大風(fēng)險(xiǎn)管理的審計(jì)力度。

　　二、ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的內(nèi)容與方法

　?。ㄒ唬〦RP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的主要內(nèi)容

　　企業(yè)風(fēng)險(xiǎn)管理審計(jì)就是要對企業(yè)風(fēng)險(xiǎn)管理過程及其內(nèi)容的適當(dāng)性和有效性進(jìn)行審查和評價(jià)，并提出改進(jìn)建議。在ERP環(huán)境下，要重點(diǎn)考慮對以下幾方面進(jìn)行審計(jì)。

　　1、對風(fēng)險(xiǎn)管理機(jī)制的審計(jì)。無論從系統(tǒng)實(shí)施，還是從系統(tǒng)運(yùn)行來說，ERP都是一個(gè)風(fēng)險(xiǎn)巨大的系統(tǒng)，必須建立嚴(yán)密的風(fēng)險(xiǎn)管理機(jī)制。對ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理的審計(jì)，首先必須對風(fēng)險(xiǎn)管理機(jī)制進(jìn)行審計(jì)，審查企業(yè)及其下屬單位是否建立了風(fēng)險(xiǎn)管理機(jī)制，風(fēng)險(xiǎn)的識別、評價(jià)和應(yīng)對機(jī)制的適應(yīng)性和有效性如何，實(shí)際運(yùn)行情況怎樣，是否有利于企業(yè)管理的持續(xù)改善等。在審計(jì)中，我們還應(yīng)當(dāng)專門對業(yè)務(wù)流程、關(guān)鍵控制點(diǎn)、系統(tǒng)監(jiān)控等方面的風(fēng)險(xiǎn)管理機(jī)制進(jìn)行重點(diǎn)審計(jì)。

　　2、對業(yè)務(wù)流程的審計(jì)。ERP系統(tǒng)是建立在對業(yè)務(wù)流程進(jìn)行優(yōu)化重組的基礎(chǔ)之上的，它打破了原有的權(quán)力分配模式，觸動(dòng)了一些部門或個(gè)人的利益，系統(tǒng)上線后能否按既定的模式運(yùn)行以及運(yùn)行效果如何，關(guān)系到系統(tǒng)運(yùn)行的成敗。另外，由于上線時(shí)間緊迫，實(shí)施時(shí)設(shè)定的業(yè)務(wù)流程不一定最佳；即使當(dāng)時(shí)是最佳的業(yè)務(wù)流程，也會(huì)因?yàn)樯暇€后運(yùn)行環(huán)境的變化而有進(jìn)一步優(yōu)化的必要。只有經(jīng)常對業(yè)務(wù)流程進(jìn)行風(fēng)險(xiǎn)管理和審計(jì)，才能使企業(yè)業(yè)務(wù)始終運(yùn)行于相對較優(yōu)的流程環(huán)境之中。對業(yè)務(wù)流程的風(fēng)險(xiǎn)管理審計(jì)大體包括以下幾個(gè)方面：應(yīng)該在系統(tǒng)中運(yùn)行的業(yè)務(wù)是否全部通過系統(tǒng)運(yùn)行；信息是否及時(shí)錄入系統(tǒng)；錄入的信息是否真實(shí)、準(zhǔn)確；系統(tǒng)運(yùn)行是否正確，有無系統(tǒng)錯(cuò)誤；流程是否通暢，有無缺陷或舞弊的可能，能否進(jìn)行進(jìn)一步的優(yōu)化；識別、評價(jià)和應(yīng)對流程風(fēng)險(xiǎn)的效果如何等。

　　3、對關(guān)鍵控制點(diǎn)的審計(jì)。ERP系統(tǒng)是由采購、倉儲(chǔ)、生產(chǎn)、銷售、財(cái)務(wù)、設(shè)備管理、人力資源等多個(gè)模塊高度集成起來的，每一模塊都有相應(yīng)的關(guān)鍵控制點(diǎn)，對企業(yè)的生產(chǎn)經(jīng)營起著至關(guān)重要的作用。如銷售模塊中的信用控制點(diǎn)，是根據(jù)用戶的信用程度控制發(fā)貨的關(guān)鍵點(diǎn)，如控制不嚴(yán)，有可能使公司財(cái)產(chǎn)遭受巨大損失；銷售結(jié)算中的定價(jià)控制點(diǎn)，是根據(jù)發(fā)貨時(shí)間來自動(dòng)劃價(jià)的，倘若公司某天調(diào)整銷售價(jià)格，而發(fā)貨時(shí)間控制不嚴(yán)，公司的效益損失也將非常巨大，而且很難發(fā)現(xiàn)。因此，對關(guān)鍵控制點(diǎn)的風(fēng)險(xiǎn)管理審計(jì)應(yīng)作為審計(jì)的重點(diǎn)。審計(jì)時(shí)要主要關(guān)注以下問題：是否對關(guān)鍵控制點(diǎn)進(jìn)行了識別，識別是否全面；是否建立了關(guān)鍵控制點(diǎn)的風(fēng)險(xiǎn)評價(jià)體系；是否建立了關(guān)鍵控制點(diǎn)的預(yù)警機(jī)制和應(yīng)對機(jī)制；關(guān)鍵控制點(diǎn)的識別、評價(jià)、預(yù)警和應(yīng)對機(jī)制的適應(yīng)性和有效性如何；控制方法和手段是否可進(jìn)一步優(yōu)化；有無控制不嚴(yán)或失控的現(xiàn)象和可能等。

　　4、對系統(tǒng)監(jiān)控的審計(jì)。ERP系統(tǒng)應(yīng)用于企業(yè)的優(yōu)點(diǎn)之一就是對業(yè)務(wù)和績效能夠進(jìn)行動(dòng)態(tài)監(jiān)控。再好的系統(tǒng)，終究要人去使用，才能體現(xiàn)其優(yōu)越。ERP系統(tǒng)的監(jiān)控功能，本身就是一種控制，運(yùn)用得好，可以極大地降低風(fēng)險(xiǎn)；可一旦運(yùn)用不好，流程上的控制點(diǎn)就會(huì)失去控制，風(fēng)險(xiǎn)也就會(huì)隨之加大。就拿上面提到的關(guān)鍵控制點(diǎn)來說，如果隨時(shí)進(jìn)行了動(dòng)態(tài)監(jiān)控，其風(fēng)險(xiǎn)將大大降低，即使偶然出現(xiàn)異常，也會(huì)因及時(shí)的動(dòng)態(tài)監(jiān)控而發(fā)現(xiàn)問題并采取相應(yīng)的應(yīng)對措施以減少損失。因此，我們有必要對系統(tǒng)監(jiān)控的風(fēng)險(xiǎn)管理進(jìn)行審計(jì)，審查和評價(jià)企業(yè)及其下屬單位是否利用ERP系統(tǒng)進(jìn)行了業(yè)務(wù)和績效的動(dòng)態(tài)監(jiān)控、監(jiān)控點(diǎn)及其風(fēng)險(xiǎn)如何識別和評價(jià)、監(jiān)控的權(quán)威性及其效果如何、發(fā)現(xiàn)問題的處理方式以及應(yīng)對風(fēng)險(xiǎn)的效果如何、有無監(jiān)控盲區(qū)或監(jiān)控不力的區(qū)域、監(jiān)控結(jié)果的利用情況如何等。

　　5、對信息系統(tǒng)的審計(jì)。從系統(tǒng)本身來說，無論是硬件還是軟件，都有產(chǎn)生故障的可能，軟件功能的完備與否也是系統(tǒng)運(yùn)行的風(fēng)險(xiǎn)之一，ERP系統(tǒng)與其他系統(tǒng)的連接則是影響系統(tǒng)運(yùn)行的關(guān)鍵因素。要保證ERP系統(tǒng)的正常運(yùn)行，降低經(jīng)營風(fēng)險(xiǎn)，對ERP系統(tǒng)以及與其相聯(lián)接的其他信息系統(tǒng)的風(fēng)險(xiǎn)管理與審計(jì)也是必不可少的，這包括對系統(tǒng)的開發(fā)與設(shè)計(jì)、軟件的程序、系統(tǒng)的控制、功能的劃分、硬件的架構(gòu)、備份模式及效果、故障處理方案及風(fēng)險(xiǎn)應(yīng)對措施、系統(tǒng)風(fēng)險(xiǎn)識別與評價(jià)體系等進(jìn)行審計(jì)。

　　6、對系統(tǒng)人員的審計(jì)。任何系統(tǒng)都是通過人來操作和維護(hù)的。要保證系統(tǒng)運(yùn)行的正常，首先必須保證有與系統(tǒng)相適應(yīng)的系統(tǒng)維護(hù)和操作人員，同時(shí)還要保證這些人員具有完成本崗位工作的責(zé)任心。否則，系統(tǒng)的運(yùn)行將存在巨大風(fēng)險(xiǎn)。尤其是關(guān)鍵控制點(diǎn)和系統(tǒng)監(jiān)控崗位上的人員以及關(guān)鍵的系統(tǒng)維護(hù)人員，他們掌握著整個(gè)系統(tǒng)的命脈。由此可見，對相關(guān)系統(tǒng)人員的風(fēng)險(xiǎn)管理與審計(jì)也就顯得相當(dāng)重要。首先，我們要審查和評價(jià)系統(tǒng)人員是否經(jīng)過培訓(xùn)并取得相應(yīng)資格，是否有識別和應(yīng)對本崗位風(fēng)險(xiǎn)的能力，在本崗位控制和風(fēng)險(xiǎn)管理的實(shí)際效果如何等；其次，我們要審查和評價(jià)企業(yè)及其下屬單位是否建立了相應(yīng)的人才風(fēng)險(xiǎn)管理機(jī)制，識別、評價(jià)以及應(yīng)對人才風(fēng)險(xiǎn)的措施和效果如何；同時(shí)，我們還要在對領(lǐng)導(dǎo)干部的經(jīng)濟(jì)責(zé)任審計(jì)中增加對系統(tǒng)控制和風(fēng)險(xiǎn)管理等方面的審計(jì)內(nèi)容，對關(guān)鍵控制點(diǎn)和系統(tǒng)監(jiān)控崗位上的人員以及關(guān)鍵的系統(tǒng)維護(hù)人員可以試行系統(tǒng)責(zé)任審計(jì)，以促進(jìn)領(lǐng)導(dǎo)干部及相應(yīng)系統(tǒng)人員增強(qiáng)ERP系統(tǒng)的風(fēng)險(xiǎn)意識和責(zé)任。

　?。ǘ〦RP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的主要方法

　　風(fēng)險(xiǎn)管理審計(jì)是管理審計(jì)的主要內(nèi)容之一，其具體方法很多，包括因素分析法、比較分析法、趨勢分析法、定性定量分析法等。它們同樣適用于ERP環(huán)境下企業(yè)的風(fēng)險(xiǎn)管理審計(jì)。在這里，筆者著重談?wù)勗贓RP環(huán)境下富有特色的幾種審計(jì)方法。

　　1、流程追溯法。ERP系統(tǒng)一般都具有流程追溯功能，如SAP系統(tǒng)。即任何信息都可通過流程追溯功能，逆向追溯到信息源頭，正向追溯到最終結(jié)果。審計(jì)時(shí)，我們可以充分利用該功能，通過正向或逆向的追溯方式，提高對風(fēng)險(xiǎn)的識別和評價(jià)能力；還可根據(jù)追溯結(jié)果判斷審計(jì)事項(xiàng)的發(fā)展方向，明確相關(guān)審計(jì)事項(xiàng)，評價(jià)風(fēng)險(xiǎn)應(yīng)對措施的適應(yīng)性與有效性，并提出進(jìn)一步改進(jìn)的意見。

　　2、循環(huán)測試法。任何業(yè)務(wù)的開展都有其相應(yīng)的內(nèi)、外部條件和特例，因而在ERP系統(tǒng)中的運(yùn)行可能會(huì)產(chǎn)生不同的結(jié)果。另一方面，某一具體業(yè)務(wù)在單項(xiàng)功能中的運(yùn)行結(jié)果，與在系統(tǒng)集成功能下運(yùn)行的結(jié)果比較，可能會(huì)有不同的結(jié)論。在審計(jì)過程中，我們會(huì)經(jīng)常采用測試的方法來得出審計(jì)結(jié)論。為了保證審計(jì)結(jié)論的準(zhǔn)確、全面，不能簡單地以單項(xiàng)功能運(yùn)行的結(jié)果和某一次結(jié)果或特例得出審計(jì)結(jié)論，而應(yīng)借鑒ERP系統(tǒng)實(shí)施時(shí)的方法，分別進(jìn)行多輪單元測試和集成測試。

　　3、實(shí)時(shí)審計(jì)法。ERP系統(tǒng)內(nèi)的信息是實(shí)時(shí)共享的，原始數(shù)據(jù)只需一次輸入，各模塊便可根據(jù)需要實(shí)時(shí)調(diào)用，直至編制出最終報(bào)表。因此，審計(jì)人員可以根據(jù)需要實(shí)時(shí)收集自己感興趣的資料，并通過系統(tǒng)將這些資料實(shí)現(xiàn)共享，從而進(jìn)行實(shí)時(shí)審計(jì)，以彌補(bǔ)事后審計(jì)線索不充分的缺陷，為事前審計(jì)、事中審計(jì)創(chuàng)造了條件。

　　4、系統(tǒng)輔助法。ERP系統(tǒng)應(yīng)用后，企業(yè)生產(chǎn)經(jīng)營信息高度集成，為全面推行計(jì)算機(jī)系統(tǒng)輔助審計(jì)提供了可能。審計(jì)人員借助于審計(jì)軟件或ERP系統(tǒng)中的審計(jì)模塊，通過輸入必要的條件進(jìn)行樣本抽取，對異常項(xiàng)目進(jìn)行調(diào)查測試，可以確定審計(jì)重點(diǎn)，并在一定范圍內(nèi)進(jìn)行逐筆審計(jì)。同時(shí)，由于計(jì)算機(jī)快速、準(zhǔn)確、信息量大的特點(diǎn)，使得審計(jì)范圍和內(nèi)容更加廣泛、全面，審計(jì)證據(jù)更加充分、可靠，從而可以提高審計(jì)工作質(zhì)量，減少審計(jì)風(fēng)險(xiǎn)。

　　5、專家分析法。ERP系統(tǒng)是一個(gè)技術(shù)和管理含量很高的管理信息系統(tǒng)。審計(jì)人員由于專業(yè)以及時(shí)間和精力等方面的局限，不可能對ERP系統(tǒng)的所有管理問題和技術(shù)問題都很熟悉，在審計(jì)過程中，必須充分征求ERP實(shí)施和運(yùn)行維護(hù)專家的意見，采用專家分析法來幫助我們得出正確的審計(jì)結(jié)論。

　　三、ERP環(huán)境下企業(yè)風(fēng)險(xiǎn)管理審計(jì)的客觀條件

　?。ㄒ唬淞L(fēng)險(xiǎn)管理審計(jì)意識

　　盡管我國已先后掀起了三次“審計(jì)風(fēng)暴”，但在許多企業(yè)中，內(nèi)部審計(jì)的意識還不是太強(qiáng)，更談不上對風(fēng)險(xiǎn)管理進(jìn)行審計(jì)。尤其是一些實(shí)施和應(yīng)用了ERP的企業(yè)，過分相信ERP系統(tǒng)的作用，認(rèn)為ERP實(shí)現(xiàn)了內(nèi)部控制，企業(yè)的風(fēng)險(xiǎn)大大減少，有的甚至認(rèn)為ERP可以解決一切，卻忘記了系統(tǒng)也是由人來操作的這一關(guān)鍵問題。因此，我們有必要加大這方面的宣貫力度，讓企業(yè)各級領(lǐng)導(dǎo)和全體審計(jì)人員清楚意識到ERP環(huán)境下企業(yè)的風(fēng)險(xiǎn)所在以及企業(yè)風(fēng)險(xiǎn)管理審計(jì)的重要性。

　　（二）夯實(shí)風(fēng)險(xiǎn)管理審計(jì)的業(yè)務(wù)基礎(chǔ)

　　目前，我國大部分企業(yè)還未真正開展過風(fēng)險(xiǎn)管理審計(jì)，有的甚至對風(fēng)險(xiǎn)管理審計(jì)還相當(dāng)陌生。在此基礎(chǔ)上，要應(yīng)對ERP環(huán)境下的風(fēng)險(xiǎn)管理審計(jì)，無疑非常困難。為此，我們必須迅速改變傳統(tǒng)的審計(jì)方法和思路，拓展和延伸審計(jì)的廣度和深度，加強(qiáng)對企業(yè)內(nèi)部控制尤其是風(fēng)險(xiǎn)管理的審計(jì)，努力夯實(shí)風(fēng)險(xiǎn)管理審計(jì)的業(yè)務(wù)基礎(chǔ)，為ERP環(huán)境下企業(yè)的風(fēng)險(xiǎn)管理審計(jì)創(chuàng)造良好的條件。

　?。ㄈ┨岣邔徲?jì)隊(duì)伍的整體素質(zhì)

　　要切實(shí)搞好ERP環(huán)境下的風(fēng)險(xiǎn)管理審計(jì)，必須提高審計(jì)隊(duì)伍的整體素質(zhì)，建立一支既懂ERP系統(tǒng)知識、又懂審計(jì)業(yè)務(wù)，能在ERP環(huán)境下獨(dú)立開展審計(jì)業(yè)務(wù)的高素質(zhì)的審計(jì)隊(duì)伍。由此，我們一方面要配備一定數(shù)量的熟悉ERP系統(tǒng)的人員，并對這些人員進(jìn)行內(nèi)部審計(jì)業(yè)務(wù)的培訓(xùn)；另一方面要加大對審計(jì)人員ERP系統(tǒng)知識和計(jì)算機(jī)知識的培訓(xùn)力度。

　?。ㄋ模?shí)現(xiàn)計(jì)算機(jī)輔助審計(jì)

　　在ERP環(huán)境下，由于數(shù)據(jù)信息量巨大（有人稱之為海量數(shù)據(jù)）且又實(shí)時(shí)共享，系統(tǒng)運(yùn)行復(fù)雜而又速度驚人，要收集和掌握及時(shí)、準(zhǔn)確的審計(jì)證據(jù)，運(yùn)用科學(xué)的審計(jì)方法，單靠原來的手工方式已經(jīng)不可能了，必須通過計(jì)算機(jī)的輔助才能實(shí)現(xiàn)。一方面，要充分利用ERP系統(tǒng)本身的功能優(yōu)勢來提高審計(jì)質(zhì)量和效率；另一方面，要通過實(shí)施ERP審計(jì)模塊來最大限度地發(fā)揮審計(jì)的服務(wù)、監(jiān)督和評價(jià)作用。