2009上市公司内控管理与信息化建设论坛 速记

主持人：非常感谢屈先生，下面有请浪潮通软副总裁兼技术总监魏代森先生，进行“企业全面风险管理与信息化”。

魏代森：首先感谢主办方，在这样比较适合的时间，面向正确的对象我们CIO们，举办这样一场有意义的论坛会议。

企业内部风险管理，看起来离我们CIO关系比较远，从国家制定政策，当企业经营者，管理者制定体系相关。我们知道所有风险控制工作的最后落脚点是CIO是我们信息系统，所以我觉得特别有意义。

我跟大家沟通几个观点。作为企业内控的信息化，我想并不是特指要和专门内控和风险管理的信息化，我们知道我们企业经营过程当中，我们业务管理过程中我们更多风险点我们要控制，管理的更多一些控制活动和风险还是经营过程当中业务活动方面。

我涉及了三个方面的内容，第一部分是风险很重要，这不多说了。另外一点，企业和内控风险不是矛盾是相辅相成的。我们也知道美国《萨班斯法案》，我国内推出的内部控制规范，对我们企业内控是一个指导二是一个压力。同时，今天我们在座的上市公司CIO，应该说更多上市公司集团性企业，集团企业在风险管理方面还是面临更多挑战。

因此，这里两个建议，对大企业加强集团风险管控有两条。第一条啊管控层面，采用集中式管理模式。母公司层面开始管理模式，通过这种模式我们可以加强分析机构对我们整个优化进行有效整合，通常对我们标准，规范，对一些业务流程进行有些控制，对企业内控不仅仅是控制风险，还是要加强教育。同时，这种集成管理有利于集团的战略执行、运营等，我们运营中产生的信息、结果可以有效配合。

业务层面可以涉及到一些具体的，我们应用活动重要的控制点，比如说在流程方面，我们由采购需求开始，到采购申请，采购定单，再到采购招标，到货物交付，这个结算过程我们要规范流程，流程规范我们就可以避免风险，这样业务活动当中控制。第二个方面，我们加上信息库存我有合理库存，有信誉额度，在执行过程运算的控制。第三是对业务追踪了货源，最多对一些风险点进行及时警示，包括业务，财务的。

第二个方面是信息化在加强企业内控中的作用，所以企业控制风险管理，迅速落脚点还是要在我们信息系统当中，信息化是重要的保障。首先我们无论要建我们风险管理系统，内控体系是要以信息化作为基础。第二个方面，我们信息化建设现在信息化应该越来越多体现内控风险管理要求，以前我们建设信息系统时候，建设基础设施、应用系统，我们可能并许多过多的考虑内控和风险管理要求。从我们一旦意识到了我们的风险管理，对企业重要性以后，我们说信息建设要充分考虑这些因素，从业务、管理、决策层面都要考虑这些因素。

信息化在内控、风险管理方面是非常重要，我们风险包括方方面面，战略，投资，财务运营，法律和道德风险，信息化可以在很多方面可以发挥作用，但是并不是解决所有问题，他可以财务方面很重要的作用。

企业内控的五要素，内部环境，风险评估，风险评估等等，我从5个方面简单看一下我们建立怎么建设信息系统，第一建立集成IT系统是重要基础，有了它，我们有了政策很多制度，标准规范在能够畅通无阻的贯彻下去，有了它我们很多信息才能并较好颁布，识别很多先进点可以再这样环境下被有效控制。

这种信息化模式要从战略层面我从财政，物流等等进行集中化管理，业务层面我们要建立我们业务系统、生产、质量设备，这个层面有机结合扩大我们企业的途径，我们风险管理要弱到信息系统当中去，但是我们知道刚才说到我们管理有没有权利用到系统配置，应用系统是不是可以为所欲为，我们信息管理是不是可以在掌控之下做各种的工作。首先这里有最大的风险，首先对信息系统授权要分析授权，第二要分角色授权，我们提出叫四员的管理概念，我们要设计系统，应用，安全员，审计员，我们可以有效让我们信息系统合理得到一些相互制约，分别关注自己的角色，使得我们信息系统是可靠安全的，是可以保障的。我们的风险管理，才可以建立。

第二点我们说在企业当中可以建立很多控制措施，我们建立信息化的物流系统，首先可以使得我们企业之间物资供应建立一个协同管理，不至于信息不畅通，因为我们一些流程规划，我们任意采用造成更多风险的漏洞，我们通过建立这种系统使得我们业务流程规范，比如规定如何采购、如何竞标、如何招标、如何收货，如何结算我们可以有一套总公司范围内有一套完整流程。这一点是关于加强风险技术管理是控制企业风险的重要措施，在几年前大家都意识到了，今年再强调综合一起看也不为过分，这个是企业最关心的资源，通过对它的统一管理，集中结算可以有效解决一些企业投资、担保、贷款问题，下面企业当中产生最大风险也是在资金和理财方面。

第三方面我们还是对我们企业的财产，实物财产有个合理控制，可以加强实物财产管理，我们之前跟客户交流过，他们也遇到过，他们一栋楼着火以后就找不到帐目的问题，所以我想这种事件发生会导致很多实物财产大量损失。

第三，要让全面预算真正成为企业战略落地的工具，以前是很多都是形式，很多运算多了我们就调整一下，或者简单批复一下就过了，我们下来要用刚性和柔性来判断，可以有不同的选择。这种系统可以完全比较好解决系统沟通问题，第一可以有效了解企业经营真实的信息，及时信息。往往我们说信息和沟通遇到最多问题，就是尽管信息是产生了，但是信息不是及时的，第二信息不是一定是真实的。这样信息系统使得我们最终合理信息集中起来，对它我们设计指标，设立风险点进行及时分析对比，产生预警信息，做到防患于未然。

总结一下，第一建立集中式信息系统是实现企业重要基础，第二风险管理是企业管理信息系统的主线和方向，我们说建立一条风险体系，管理系统不仅是一个实施一个简单风险或者管理更多分析点，是分布在我们经营活动当中，分布在业务过程当中，这一些是企业管理信息，而且管理信息要求是与风险管理密切结合。第三，我们企业信息系统与风险管理进一步融合与统一。第四，建立企业风险管理体系系统，全面风险管理双框架，并实现有机融合与统一，并且作为一个有力的支撑。

谢谢各位。

主持人：今天上午的演讲到这儿。