บทที่ 9 การควบคุมด้วยคอมพิวเตอร์สำหรับระบบสารสนเทศทางการบัญชี

การใช้คอมพิวเตอร์เป็นเครื่องมือ

กิจการที่นําคอมพิวเตอร์หรือระบบสารสนเทศทางการบัญชีไปใช้ ในการควบคุมภายในต้องกําหนดให้มีการควบคุมภายใน เพื่อให้ มั่นใจว่า ข้อมูลที่บันทึกมีความครบถ้วน ถูกต้อง ประมวลผลตาม ขั้นตอน การเข้าถึงข้อมูลหรือแฟ้มข้อมูลกระทําได้เฉพาะผู้ได้รับอนุญาต รวมทั้งการจะพัฒนาหรือการเปลี่ยนแปลงโปรแกรมได้ ต้องผ่านการตรวจสอบและอนุมัติจากผู้มีอํานาจเรียบร้อยแล้ว

การควบคุมภายในของกิจการที่ใช้คอมพิวเตอร์ในการจัดเก็บบันทึกประมวลผลและจัดทำรายงานนั้นในหนังสือเล่มนี้เรียกว่า การควบคุมระบบ (System Controls)

นักบัญชีได้จัดแบ่งการควบคุมระบบออกเป็น 2 ประเภท

ประเภทที่ 1 จัดแบ่งโดยใช้เกณฑ์วัตถุประสงค์ของการควบคุม (By Objective)

ประเภทที่ 2 จัดแบ่งโดยใช้เกณฑ์ขอบเขตงานของการควบคุม (By Scope)

ประเภทที่ 1 จัดแบ่งโดยใช้เกณฑ์วัตถุประสงค์ของการควบคุม ตามเกณฑ์นี้ได้แบ่งวิธีการควบคุมออกเป็น 3 ส่วน

1. การควบคุมเชิงป้องกัน (Prevention Controls)

2. การควบคุมเชิงตรวจสอบ (Detection Controls)

3. การควบคุมเชิงแก้ไข (Corrective Controls)

ประเภทที่ 2 จัดแบ่งโดยใช้เกณฑ์ขอบเขตงานของการควบคุม (By Scope)จัดแบ่งโดยใช้เกณฑ์ขอบเขตงานของการควบคุมว่าขอบเขตงานนั้นมีผลกระทบต่อระบบงานทั้งหมดของกิจการหรือมีผลกระทบเฉพาะระบบงานใดงานหนึ่งเท่านั้น ในกรณีที่ขอบเขตงานของการควบคุมมีผลกระทบต่อระบบงานทั้งหมดจะเรียกการปฏิบัติงานเพื่อการควบคุมนั้นว่า การควบคุมทั่วไป (General Controls) เป็นการควบคุมที่มีขึ้นเพื่อให้มั่นใจว่า สภาพแวดล้อมของการควบคุมภายในของกิจการได้มีการจัดการ และดูแลอย่างดีตลอดเวลาทำให้การควบคุมเฉพาะระบบงานดำเนินไปได้อย่างมีประสิทธิภาพ การควบคุมทั่วไปของกิจการที่ใช้คอมพิวเตอร์นั้น แบ่งออกเป็น 4 ประเภท คือ

1. การควบคุมปฏิบัติงานของพนักงาน (Personnel controls)

2. การควบคุมการปฏิบัติงานของศูนย์ข้อมูล (Data Center Operations Controls)

3. การควบคุมการจัดหาและบำรุงรักษาซอฟต์แวร์ของระบบ (System Software Acquisition and Maintenance Controls)

4. การควบคุมในเรื่องการรักษาความปลอดภัยของการเข้าถึงระบบและข้อมูล (Access Controls)

เทคโนโลยีสารสนเทศการควบคุมทั่วไป

· ความปลอดภัยสำหรับเทคโนโลยีไร้สาย

· การควบคุมสำหรับระบบเครือข่ายเดินสา

· ความปลอดภัยและการควบคุมสำหรับไมโครคอมพิวเตอร์

· วัตถุประสงค์การควบคุมด้านไอทีสำหรับ Sarbanes-Oxley

การควบคุมแอปพริเคชันสำหรับการประมวลผลธุรกรรม

· การควบคุมการป้อนข้อมูลการประมวลผลและการส่งออก

ระบบการควบคุมภายในที่มุ่งเน้น

· ความปลอดภัยเฉพาะในองค์กร

· ขั้นตอนการควบคุมเพื่อให้แน่ใจว่า

· การใช้ทรัพยากรอย่างมีประสิทธิภาพ

การควบคุมทั่วไปสำหรับองค์กร

การพัฒนานโยบายความปลอดภัยที่เหมาะสมเกี่ยวข้องกับ

· การระบุและประเมินสินทรัพย์

· การระบุภัยความเสี่ยง

· การมอบหมายความรับผิดชอบ

· การสร้างแพลตฟอร์มนโยบายความปลอดภัย

· การใช้งานทั่วทั้งองค์กร

· การจัดการโปรแกรมความปลอดภัย

ความปลอดภัยแบบบูรณาการสำหรับองค์กร

องค์กร

· ขึ้นอยู่กับเครือข่ายสำหรับการทำธุรกรรมการแบ่งปันข้อมูลและการสื่อสาร

· จำเป็นต้องให้สิทธิ์เข้าถึงลูกค้าซัพพลายเออร์พันธมิตรและอื่นๆ

ภัยคุมคามความปลอดภัยสำหรับองค์กรเกิดขึ้นจาก

· ความซับซ้อนของเครือข่ายเหล่านี้

· ข้อกำหนดการช่วยสำหรับการเข้าถึงปัจจุบัน

เทคโนโลยีความปลอดภัยที่สำคัญสามารถบูรณาการรวมถึง

· ระบบตรวจจับการบุกรุก

· ไฟร์วอลล์และอื่นๆ

ระบบรักษาความปลอดภัยแบบรวม

· ลดความเสี่ยงของการถูกโจมตี

· เพิ่มค่าใช้จ่ายและทรัพยากรที่ผู้บุกรุกต้องการ

การควบคุมทั่วไปภายในสภาพแวดล้อมด้านไอที

· การควบคุมระดับองค์กร

· การควบคุมบุคลากร

· การควบคุมความปลอดภัยของไฟล์

· ระบบป้องกันความผิดพลาดการสำรองข้อมูลและการวางแผนฉุกเฉิน

· การควบคุมสิ่งอำนวยความสะดวกคอมพิวเตอร์

· การเข้าถึงไฟล์คอมพิวเตอร์

การสำรองข้อมูล

การสำรองข้อมูล

· จำเป็นสำหรับเอกสารสำคัญ

· มีการดำเนินการแบทช์โดยใช้กระบวรการ

· สามารถส่งทางอิเล็กทรอนิกส์ไปยังไซต์ระยะไกล (กระโดดข้าม)

· ต้องการระบบไฟฟ้าสำรอง (UPS) เป็นแหล่งจ่ายไฟฟ้า

การวางแผนฉุกเฉิน

การวางแผนฉุกเฉิน

· รวมถึงการพัฒนาแผนกู้คืนความเสียหายอย่างเป็นทางการ

· อธิบายขั้นตอนที่ต้องปฏิบัติในกรณีฉุกเฉิน

· อธิบายถึงบทบาทของสมาชิกทีมแต่ละคน

· แต่งตั้งบุคคลหนึ่งให้เป็นผู้บังคับบัญชาที่สอง

· เกี่ยวข้องกับไซต์การกู้คืนที่อาจเป็นไซต์ร้อนหรือไซต์เย็น

การควบคุมสิ่งอำนวยความสะดวกคอมพิวเตอร์

ค้นหาศูนย์ประมวลข้อมูลในที่ที่ปลอดภัย

· ประชาชนไม่สามารถเข้าถึงได้

· มันได้รับการป้องกันโดยบุคลากร

· มีทางเข้าที่ปลอดภัยจำนวน จำกัด

· มีการป้องกันภัยธรรมชาติ

จำกัด การเข้าถึงของพนักงานโดย

· การผสมผสานป้ายระบุรหัสแม่เหล็กอิเล็กทรอนิกส์หรือออปติคัล

การเข้าถึงไฟล์คอมพิวเตอร์

การเข้าถึงข้อมูลอย่างมีเหคุผลถูก จำกัด

· การระบุรหัสผ่าน (สนับสนุนรหัสผ่านที่คาดเดายาก)

· การระบุทางชีวภาพด้วย

- รูปแบบเสียง

- ลายนิ้วมือ

- จอประสาทตาพิมพ์

การควบคุมทั่วไปด้านเทคโนโลยีสารสนเทศ

การวัตถุประสงค์ของการควบคุมคือการให้ความมั่นใจว่า

· การพัฒนาและเปลี่ยนแปลงโปรแกรมคอมพิวเตอร์นั้นได้รับอนุญาตทดสอบและอนุมัติก่อนการใช้งาน

· การเข้าถึงไฟล์ข้อมูลถูก จำกัด

· ข้อมูลการประมวลผลทางบัญชีนั้นถูกต้องและครบถ้วน

ความปลอดภัยสำหรับเทคโนโลยีไร้สาย

ความปลอดภัยสำหรับเทคโนโลยีไร้สายนั้นเกี่ยวข้องกับ

· เครือข่ายส่วนตัวเสมือน (VPN)

· การเข้าถึงรหัสข้อมูล

ความปลอดภัยและการควบคุมสำหรับไมโครคอมพิวเตอร์

· ขั้นตอนการควบคุมทั่วไปและแอปพริเคชั่นมีความสำคัญต่อไมโครคอมพิวเตอร์

· ความเสี่ยงส่วนใหญ่ที่เกี่ยวข้องกับ AIS เกิดจาก

- ข้อผิดพลาด

- ความผิดปกติหรือฉ้อโกง

- ภัยคุกคามทั่วไปเกี่ยวกับความปลอดภัย (เช่น ไวรัสคอมพิวเตอร์)

· ความเสี่ยง บางอย่างที่มีลักษณะเฉพาะกับไมโครคอมพิวเตอร์คือ

- ฮาร์ดแวร์ - ไมโครคอมพิวเตอร์สามารถถูกขโมยหรือทำลายได้ง่าย

- ข้อมูลและซอฟต์แวร์ - ง่ายต่อการเข้าถึงแก้ไขคัดลอกหรือทำลาย จึงควบคุมได้ยาก

การควบคุมแอปพริเคชันสำหรับการประมวลผลธุรกรรม

· การควบคุมแอปพริเคชันได้รับการออกแบบมาเพื่อ

- ป้องกัน

- ตรวจจับและ

- แก้ไขข้อผิดพลาดและความผิดปกติ

· ในการทำธุรกรรม

- อินพุต

- การประมวลผล

- ขั้นตอนการส่งออกของการประมวลผลข้อมูล

การควบคุมอินพุต

การควบคุมการป้องกันข้อมูลพยายามที่จะให้แน่ใจว่า

· ความถูกต้อง

· ความครบถ้วนของข้อมูลที่ป้อนเข้าสู่ AIS

หมวดหมู่ของการควบคุมการป้องกันข้อมูลรวมถึง

· การสังเกตการบันทึกและการถอดความของข้อมูล

· แก้ไขการทดสอบ

· การควบคุมอินพุตเพิ่มเติม

การควบคุมการประมวลผล

· การควบคุมการประมวลผล มุ่งเน้นไปที่การจัดการข้อมูลบัญชีหลักจากที่ป้อนเข้าสู่ระบบคอมพิวเตอร์

· วัตถุประสงค์หลักคือแนวทางการตรวจสอบที่ชัดเจน

· การควบคุมการประมวลผลมี 2 ประเภท

- การควบคุมการเข้าถึงข้อมูล

- การควบคุมการจัดการข้อมูล

การควบคุมการส่งออก

วัตถุประสงค์ของการควบคุมผลลัพธ์คือเพื่อให้มั่นใจ

· ความถูกต้อง

· ความสมบูรณ์

แอปพริเคชันควบคุมเอาต์พุต หลัก 2 ประเภท คือ

· ตรวจสอบผลการประมวลผลโดย

· รายชื่อกิจกรรม (หรือหลักฐาน)

อ้างอิง

accounting.crru.ac.th/worksheets/28-worksheets.pptx

เอกสารประกอบการเรียนวิชาระบบสารสนเทศทางการบัญชี มหาวิทยาลัยเทคโนโลยีราชมงคลสุวรรณภูมิ ศูนย์สุพรรณบุรี