对企业所面临的风险而言，企业仍需要通过建立内部控制体系，提高风险管理水平，规避和弱化企业经营管理过程中遇到的各类风险许多企业为了适应国际化和市场化的要求，纷纷建立自己的内部控制体系和应用ERP管理系统，这两个体系都是涉及面广、规模浩大、费用高昂的项目。那么这两者之间到底是什么关系，有什么异同，是否可以相互替代或互为补充，这是本文要探讨和希望解决的问题。

        一、内部控制简介

        1.内部控制的概念

        控制可以分成内部控制和外部控制，外部控制是指通过企业所处的外部环境（比如影响企业外部活动的法律、法规、历史文化和社会意识形态等企业自身功能不能左右的因素）对企业经营活动的约束和规范；而内部控制则是指企业为了实现自己的既定目标而进行的自身内部的自我组织、自我调节和自我修正。

        对内部控制的认识是随着时间和环境的变化而逐步成熟完善起来的。企业内外部环境的不同，也对内部控制的理解有差异。我国的《独立审计具体准则第9号——内控制度与审计风险》中对内控制度的定义表述是“本准则所称内部控制，是指被审计单位为了保证业务活动的有效进行，保证资产的安全和完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序”。

        美国会计师协会对内部控制作出的权威性的定义是“内部控制是企业所制定的旨在保护资产、保证会计资料可靠性和准确性、提高效率，推动管理部门所制定的各项政策得以贯彻执行的组织计划和相互配套的各种方法及措施。”。COSO委员会把这个定义进行进一步描述为：内部控制是一个过程，它受董事会、管理者当局和企业内部其他员工的影响，其目的是为了下列目标的实现提供合理的保证。这些目标包括：经营的有效性和效率性；财务报告的可靠性；法律法规的遵从性。内部控制要素有五个方面：控制环境、风险评估、控制活动、信息与沟通和监控。

        基于以上概念，国内许多企业在具体进行内部控制体系建设时，认为“内部控制，是指企业为实现经营目标，确保会计信息真实可靠，保护资产安全完整，遵循有关法律法规和规章制度，提高企业运营的经济性、效率性和效果性而制定和实施相关政策、程序和措施予以合理保证的过程。”

        2.两个定义的异同

        虽然国内的定义基本上沿用了美国的定义，但是从两个定义来看美国定义内涵和外延比国内定义的范围要大一些，国内定义继承和包涵了美国定义的强调部分和精髓，但对除财务信息、资产安全外的企业内部管理控制内容基本没有涉及。虽然国内的定义更符合目前我们注册会计师的执业水平和当前的国内经济发展状况，但是在适当时候国内的定义应该进行修整，使其更多地转到内部控制因素上来进行表述。国内企业在建立自己的内部控制体系的实际操作中更多的是参照了美国的内部控制定义和COSO委员会提出的五个内部控制要素。

        3.内部控制概念的内涵

        美国内部控制的定义给内部控制确定了四个目标：资产的安全性、财务信息的可靠性和准确性、经营成果的效率性、法律法规的遵从性。从这四个目标我们可以看出两点：首先是内部控制不直接产生经济效益，而是通过控制风险、规避风险、提高运行效率为提高经济效益作保障；其次是从注册会计师的法律责任来考虑，内部控制已经超出了注册会计师的法律范围了。

        美国会计师协会对内部控制还作了如下划分：“广义地说，内部控制按其特点可以划分为会计控制和管理控制。”其实，这个划分就是把内部控制的四个目标按照控制责任主体进行了归类：前两个目标的控制基本归为内部会计控制，后两个目标的控制基本归为内部管理控制。其实在管理以及审计实务中，这两者往往会交叉在一起，难以严格的界定和区别开来，就是区别开来实际意义也不大。

        根据这个分类，我们可以通过分别理解内部会计控制和内部管理控制来理解和诠释内部控制的定义。    内部会计控制：内部会计控制是由保护资产安全和保证财务信息真实可靠的相关工作流程和工作记录构成的控制体系。内部会计控制的控制范围是能够用货币计量的经济活动，其实现的基本手段是财务工作流程和财务控制标准，主要目的是保护企业资产的安全和财务信息的准确可靠。    内部管理控制：内部管理控制是为提高企业经营效率，促使遵行各项管理政策，以便达到既定目标的控制体系。内部管理控制的控制范围是企业所有的内部管理活动和管理职责，是对各项经济业务进行内部会计控制的起点，其实现的手段是制度和工作流程的控制，主要目的就是提高企业的经营效率，保证各项规章制度的顺利执行。

        二、ERP简介

        1.ERP的发展历程

        世纪70年代，制造企业管理者为了有效地进行物料管理和利用，形成了物料需求计划MRP；80年代为了解决生产与库存控制的集成问题，又产生了制造资源计划MRP-Ⅱ；90年代企业信息处理量不断加大，企业资源管理复杂化也加大了，这样信息集成度的要求就随即扩大到了企业的整个资源利用和管理，于是就产生了管理理论与计算机系统——企业资源计划ERP(Enterprise Resource Planning)。  MRP-Ⅱ的核心是物流，主线是计划；而ERP的主线虽然也是计划，但重心是财务，ERP的管理范围涉及企业所有供需过程，是对供应链的全面管理。与以往的管理软件相比，它极大地扩展了业务管理的范围。

        2.ERP的实质和优势

        是一个对企业资源进行有效共享与利用的系统。ERP通过信息系统对信息进行充分整理、有效传递，使企业的资源在购、存、产、销、人、财、物等各个方面能够得到合理地配置与利用，从而实现企业经营效率的提高。从本质上讲，ERP是一套信息系统，是一种工具。ERP在系统设计中可集成某些管理思想与内容，可帮助企业提升管理水平。

        作为企业信息化建设的核心组成部份，它的优势不仅仅在于帮助企业建立一套信息化管理系统，更重要的是它是体现现代管理思想和方法的一种先进工具。

        三、内部控制与ERP管理系统的关系

        1.ERP是内部控制的工具和手段之一

        内部控制内控的目标基本涵盖了企业经营活动的全部内容，而ERP作为信息系统，是为企业经营目标服务的。ERP实施前要求有关组织重新设计和改进其业务流程，进行业务流程再造，再造后的流程成为组织必须遵循的共同标准。流程再造的设计过程中，设计人员集成某些管理思想，体现有效控制和高效配置企业资源的信息化优势。所以在ERP的流程再造的设计过程中，可以把相关的部分内部控制要求加以考虑，以致这些要求最终成为组织内部所共同遵守的标准。

        内部控制系统随着时间、环境条件、所应用的控制方法的变化而不断变化，ERP就是在内部控制系统发展的历程中某个时点上的一种相对完美的控制工具和手段。内部控制五要素中控制活动的手段可以分为人工控制和自动控制，通过ERP实施控制活动就是典型的自动控制。对于一些不能通过自动控制来实现的控制活动，还要应用人工控制，比如：我们对于难以量化需要以职业判断为主的控制手段“危险信号”的控制；对于不在ERP线上的其他信息系统控制（如与员工上下班的IC卡控制）等等。

        2.ERP本身是内部控制的客体

        是由主观意识的人设计和进行具体操作的，其最前端输入的数据决定其产出产品的质量，“垃圾输入决定了垃圾输出”。若输入错误的数据，其影响也一样会遍及企业整个范围和相关角落，最终可能导致严重的管理决策错误，而该数据源则由人为控制着，具有一定的主观性；另外，ERP同其他信息系统一样也面临着诸如财产价值、法律责任、资产安全等风险，也需要对其进行有效的控制。

        3.ERP是信息与沟通的组成部分

        在COSO的内部控制框架中，信息与沟通是贯穿整个内部控制系统的要素。ERP作为信息集成系统，可以承担量化信息的筛选、集输、沟通。在ERP系统的设计、开发、实施、运行、维护及管理中，可以把内部控制体系中对信息的总体控制和应用控制要求加以体现，比如在ERP的设计阶段就可以把信息安全、系统变更管理等思想和要求加以考虑。

        使得量化的信息沟通更便捷，并能达到全方位的信息共享。在企业内部，只要是ERP上的合法用户，就可以随时享受共享的信息，从而帮助管理者及时识别、捕捉确切的与企业经营活动相关信息，抓住判断时机，实现信息沟通的目的。

        4.ERP具有一定的局限性

        作为信息技术，它是企业管理工具和手段的一种，如上文所述，它不能代替所有的管理工具和技术；ERP业务复杂，运作和维护成本高，规模较小的企业不适合采用该技术；ERP各模块是根据业务实际设置的，没有标准化的模型，所以对于不同类型的企业，ERP的内容也不尽相同，这对于经营范围广的大型企业集团来讲就很难设置统一量化的考核评价标准等等。

        从上面的分析可以看出，ERP就是一种管理和控制的工具和手段，它的优势在于最大化的信息集成，并把特定的管理要求固化，但是它本身并不创造控制体系；对内部控制体系而言，它是自控控制和信息与沟通的一个重要组成部分；对企业所面临的风险而言，企业仍需要通过建立内部控制体系，提高风险管理水平，规避和弱化企业经营管理过程中遇到的各类风险。

        或许部分地基于上述原因，在ERP应用已经相当成熟的美国，在安然、世通等公司出现内部管理漏洞后，其证券交易委员会又以法定的形式要求上市公司必须建立内部控制系统，以加强上市公司的内部控制，增强其抵御风险的能力，提高财务报告的质量，明确其法律责任。