三、ERP環(huán)境下的企業(yè)內(nèi)部控制評價
　　企業(yè)應當結(jié)合ERP系統(tǒng)自身的特點及具體實施情況，按照內(nèi)部控制評價辦法規(guī)定的程序，有序開展內(nèi)部控制評價工作。內(nèi)部控制評價程序一般包括：制定評價工作方案、組成評價工作組、實施現(xiàn)場測試、認定控制缺陷、匯總評價結(jié)果、編報評價報告等環(huán)節(jié)。
　　1.制定ERP系統(tǒng)內(nèi)部控制評價方案
　　企業(yè)內(nèi)部控制評價部門應根據(jù)ERP系統(tǒng)自身的特點及具體實施情況擬訂評價工作方案。在全面評價的基礎(chǔ)上，關(guān)注重要業(yè)務單位、重大業(yè)務事項和高風險領(lǐng)域，明確評價范圍、工作任務、人員組織、進度安排和費用預算等相關(guān)內(nèi)容，報經(jīng)董事會或其授權(quán)機構(gòu)審批后實施。制定ERP系統(tǒng)的內(nèi)部控制評價方案可循以下基本的思路：評價范圍應涉及到信息系統(tǒng)應用的全生命周期過程，按照風險導向原則，著重關(guān)注重點的關(guān)鍵風險因素和關(guān)鍵控制點；ERP系統(tǒng)相關(guān)內(nèi)部控制評價應首先分析評價企業(yè)層面的控制環(huán)境，進而開展部門層面的控制評價；分析信息系統(tǒng)相關(guān)的風險影響因素時，應充分考慮不同行業(yè)的特性差異；選擇適應信息系統(tǒng)要求的評價方法，注意將定量和定性評價有效結(jié)合，依據(jù)綜合評價的結(jié)果，采取合適的動態(tài)監(jiān)控和管理措施。
　　2.ERP系統(tǒng)控制評價
　　信息系統(tǒng)內(nèi)部控制是企業(yè)在信息系統(tǒng)環(huán)境下，為了保證業(yè)務活動的有效進行，保護資產(chǎn)的安全與完整，防止、發(fā)現(xiàn)、糾正錯誤與舞弊，為確保信息系統(tǒng)提供的信息真實、合法、完整而制定和實施的一系列政策與程序措施。凡是與信息系統(tǒng)的建立、運行維護、管理和業(yè)務處理有關(guān)的部門、人員和活動，都屬于信息系統(tǒng)內(nèi)部控制的對象。信息系統(tǒng)內(nèi)部控制評價分為一般控制評價和應用控制評價。
　　（1）ERP系統(tǒng)一般控制評價。一般控制評價應著重考慮與ERP系統(tǒng)開發(fā)有關(guān)的信息技術(shù)控制目標、程序變更、計算機運行和對數(shù)據(jù)的接觸是否符合企業(yè)內(nèi)部控制的要求，是否有利于企業(yè)內(nèi)部控制目標的實現(xiàn)，并以此評價信息系統(tǒng)的安全性、可靠性和合理性。其主要內(nèi)容包括：ERP系統(tǒng)的組織與管理情況；硬件和網(wǎng)絡管理情況；系統(tǒng)訪問控制措施；系統(tǒng)的安全性和災難恢復控制措施等。
　?。?）ERP系統(tǒng)應用控制評價。應用控制評價是ERP系統(tǒng)內(nèi)部控制評價在業(yè)務流程和管理流程方面的延伸，應用控制評價應當結(jié)合企業(yè)業(yè)務流程特點，按照業(yè)務類型進行組織，著重考慮信息系統(tǒng)中與業(yè)務流程相關(guān)的控制點，并以此評價相關(guān)應用系統(tǒng)操作數(shù)據(jù)的真實性、準確性和合規(guī)性。其主要內(nèi)容包括：描述企業(yè)現(xiàn)有的業(yè)務流程、管理流程，找出其中的關(guān)鍵控制點，并據(jù)以評價關(guān)鍵控制點是否適當和健全；評價實現(xiàn)關(guān)鍵控制點的控制措施是否健全和合理；評價措施的運行是否持續(xù)有效。
　　ERP系統(tǒng)內(nèi)部控制評價可遵循以下步驟進行：調(diào)閱關(guān)于計算機信息系統(tǒng)的各項管理制度和相關(guān)文件，對內(nèi)部控制的健全性和合理性初步了解；通過與相關(guān)人員座談和實地觀察，了解硬件配置、軟件運行及維護、相關(guān)人員操作經(jīng)驗等計算機信息系統(tǒng)使用環(huán)境；檢查被審計單位內(nèi)部控制過程中形成的文件和記錄，包括各種操作日志、軟件修改記錄、災難恢復記錄等；描述業(yè)務流程，從中找出關(guān)鍵控制點和控制措施；設(shè)計調(diào)查問卷和問題清單，交由相關(guān)人員據(jù)實填寫，再進行檢查核實；實行白箱法對計算機系統(tǒng)應用控制的輸入控制、處理控制和輸出控制進行測試；匯總并確認發(fā)現(xiàn)問題。
　　3.ERP環(huán)境下的內(nèi)部控制評價報告
　　在實施完ERP系統(tǒng)內(nèi)部控制評審后，企業(yè)要對內(nèi)部控制作出評價，以確定內(nèi)部控制是否真正發(fā)揮作用。對內(nèi)部控制評價過程中發(fā)現(xiàn)的問題，應當從定量和定性等方面進行衡量，判斷是否構(gòu)成內(nèi)部控制缺陷。
　　如果認為內(nèi)部控制存在設(shè)計或運行缺陷，應針對每一項缺陷提出整改建議。根據(jù)缺陷對應的風險的高低，結(jié)合企業(yè)的實際情況，制定整改計劃和方案。整改計劃應符合有針對性、可衡量、可完成、符合現(xiàn)實情況、及時性五項原則。整改方案的內(nèi)容包括對內(nèi)部控制的重新設(shè)計、修正和重新運行，如需要還可能包括對相關(guān)人員重新進行的培訓等。在整改措施運行一段時間后，應對整改結(jié)果進行核查和確認。