4.5.1 企业实施网络财务的风险
网络财务因其自身的优势无疑是解决企业现有问题最好的选择。目前，国内各主要财务软件厂商均推出各自的网络财务解决方案，许多企业集团纷纷建立了网络财务系统，它的推广应用将意味着网络财务时代的来临，但网络财务软件与单机版的财务软件相比，多了一重网络管理，它的实施将使企业在以下方面面临风险。
4.5.1.1 会计信息面临安全风险
会计信息是反映企业财务状况和经营成果的重要依据，不得随意泄漏、破坏和遗失。在网络环境下，过去以计算机机房为中心的“保险箱”式安全措施已不适用，大量的会计信息通过开放的Internet传递，途径若干国家与地区，置身于开放的网络中，存在被截取、篡改、泄漏机密等安全风险，很难保证其真实性与完整性。例如，企业的信用卡号在网上传输时，若非持卡人从网上拦截并知道了该号码，他也可用这个号码在网上支付。仅1987年英国利用信用卡犯罪活动平均每40秒发生一次，每次平均损失约30英镑。随着电子采购范围的扩大，尤其是通过互联网的电子采购范围的扩大，会给犯罪分子提供新的机会，其作案范围不再受时间和空间限制，互联网环境下会计信息的安全受到了严重的挑战。
4.5.1.2 网络系统面临安全风险
由于互联网的开放特性，能够上互联网上的计算机系统可互相共享信息资源，同时也给一些非善意访问者以可乘之机。首先，黑客是危害互联网系统的主要祸首，从美国国防部网站被改头换面到中国的163网站的崩溃，从微软公司的开发蓝图被窃取，到美国总统克林顿的信用卡信息被盗，无不布满黑客的踪迹。其次计算机病毒的猖獗也为互联网系统带来更大的风险，从原始的木马程序到先进的CIH、日前蔓延的“震荡波”病毒的肆虐，病毒制造者的技术日益高超，手段越来越凶狠，破坏力越来越大。再次，还有网络软件自身的BUG程序、后门程序、通信线路不稳定等因素也为网络系统的安全带来隐患。另外，会计人员的自身道德素质也可能给网络系统带来危害，系统内部员工恶意破坏计算机资料的事件屡见不鲜。以上这些因素使网络系统的安全面临巨大的风险。
4.5.1.3 企业内部控制面临失效风险
传统财务管理系统非常强调对业务活动的使用授权批准和职责性、正确性、合法性，但是在网络财务系统中，会计信息的处理和存储集中于网络系统，大量不同的会计业务交叉在一起，加上信息资源的共享，财务信息复杂程度，交叉速度加快，使传统财务管理系统中某些职权分工、相互牵制的控制失效。原来使用的靠账簿之间互相核对实现的差错纠正控制已经不复存在，光、电、磁介质也不同于纸张介质，它所载信息能不留痕迹地被修改和删除。此外计算机在硬件与软件结构、环境要求和文档保存等方面的特点决定了网络财务系统的内部控制必然具有新的内容，同时对会计的反映和监督职能提出更高的要求。
4.5.1.4 会计档案面临保存失效风险
网络财务系统的实施必然是对现有单机版、局域网络版财务软件和硬件系统的全面升级，但此时网络财务软件不一定兼容以前版本或其他品牌的财务软件。由于资料格式、资料接口不同，数据库被加密等原因，以前的会计信息可能不能被及时录入到网络财务系统。对于隔代保存的会计档案更不可能兼容，因而原有会计档案在新的网络财务系统中无法查询。因此，企业所保存的磁带、磁盘等资料面临失效风险。
4.5.1.5 网络的开放性风险
互联网的开放性与互联网协议的不安全性是网络安全的主要根源。由于互联网采用的是TCP/IP协议，该协议在制订之初没有把安全问题考虑在内。主要表现在：TCP/IP协议数据流采用明文传输，资料信息容易被在线窃听、篡改和伪造；TCP/IP用IP地址作为网络节点的唯一标识但不固定，节点IP地址易被修改、冒充；TCP/IP协议只能以IP地址进行鉴别，因此服务器无法鉴别登录用户身份有效性。因此，大量的会计信息通过开放的Internet传递，途径若干国家与地区，存在被截取、篡改、泄漏机密等安全风险，很难保证其保密性与完整性。
4.5.1.6 网络软件的风险
网络软件包括网络操作系统、网络数据库系统，网络财务软件存在安全漏洞，为黑客提供可乘之机。主要有：国内网络主机一般运行UNIX操作系统，UNIX历经几次更新换代，但还存在许多漏洞。匿名FTP允许任何网络用户通过FTP访问系统上的软件，而不正确的配置将严重威胁系统安全。数据库系统中，资料可用性与保密性是相互冲突的，数据库的保密性和准确性在某种程度上成反比，因此，黑客可进行推理攻击间接访问敏感数据库。网络财务软件在网上运行远程命令时，由于要跨越一些网络的传输口令，黑客只要在路由上运行“嗅探器”程序，就可以截取目标口令。
4.5.1.7 企业面临人才缺乏风险
网络财务系统的实施，不仅仅是对财务软件的简单升级，它带来的更是财务管理方式、管理理念和方法与工具的变革。会计工作已变为一项高技术工作，它不仅需要会计人才、计算机专门人才，还需要既精通会计又熟悉计算机技术的复合型人才。而企业目前会计人员的现状是学历层次较低，知识结构单一，一般会计人员较多，高层次会计人才缺乏。企业实施网络财务以后，如果没有高层次、高技术复合人才的支持与运作，网络财务、电子商务始终是一句空话，企业在竞争中必然处于劣势。
4.5.1.8 网络财务系统的运行风险
网络财务系统的运行风险是有关网络财务的风险管理和控制中最为关键的。它涵盖了企业依靠网络财务系统进行企业运营的各个方面。除了企业是否有足够且称职的人力资源、物质资源来维持这套系统的运行风险外，还包括资料存储和传输过程中风险和网络财务系统的安全性风险。
企业通过Internet向雇员和客户提供进入企业的人力资源、财务、销售和购买等应用系统的权利，企业通过Internet传输交易信息。依据资料是在传输过程中还是在存储中可以对相关风险进行分类的。在Internet上发送和接收信息时要保证，除发送方和接收方外，不得被其他人知悉（机密性）；传输过程中不被篡改（完整性）；接收方不能否认自己已经接收（接收证明）；发送方不能否认自己的发送行为（发送证明）。由于交易的信息均存储在服务器上，信息也将面临泄漏、篡改、丢失等方面的风险。因此，即使保密信息被客户端接收之后，也必须对存储在服务器中的资料进行保护。
企业进行网络财务所依赖的应用平台是Internet、Intranet和Extranet。安全性风险包括很多方面。由于互联网系统的分散性、开放性等特点，计算机系统一方面面临系统故障风险，另一方面是来自计算机病毒和黑客的攻击。例如，利用电子邮件系统散播病毒；通过特洛伊木马盗取密码或用穷举法攻击系统，非法对企业的信息进行访问、篡改、泄密和破坏。由于网络财务是通过网络传输信息，在传输过程中，交易信息可能被竞争对手截取和恶意修改；买方的信用卡密码可能被窃或泄漏，从而资金被盗用等。而在企业内部，也存在内部员工对信息的破坏和威胁，以及内部操作上的失误，导致信息的丢失、泄漏等。
4.5.1.9 内部人员的操作风险和系统关联方道德风险
计算机系统本身具有脆弱性，当硬件、软件和网络本身出现故障时，极易导致系统资料丢失，甚至瘫痪的风险。并且在互联网结构的网络财务系统中，由于其分布式、开放性和远程实时处理等特点，系统的可控性、一致性降低，一旦出现故障，影响面将很广，系统恢复处理的成本也很高。
系统关联方的道德风险主要指关联方非法侵入企业网络财务系统，以剽窃财务资料和知识产权、破坏系统、干扰企业正常交易等所产生的风险。企业关联方主要包括客户、供货商、软件开发商，也包括银行、税务、审计、保险等社会部门。企业与关联方之间通过外联网（Extranet）进行业务和资料的交换，这种特殊的交换关系使关联方道德风险的发生成为可能，尤其像软件开发商和供货商，他们可以非法侵入企业的网络财务系统而不被发现。
4.5.2 化解网络财务风险采取的对策
4.5.2.1 会计信息和会计档案的安全对策
（1）企业保障会计信息安全的措施
1）采用有效安全技术，网络财务软件应采用两层加密技术。为防止非法用户窃取机密信息和非授权用户越权操作数据，在系统的客户端和服务器之间传输的所有资料都进行两层加密。第一层加密采用标准SSL协议，该协议能够有效地防破译、防篡改、防重发，是一种经过长期发展并被实践证明安全可靠的加密协议；第二层加密采用私有的加密协议，该协议不公开、不采用公开算法并且有非常高的加密强度。两层加密确保了会计信息的传输安全。
2）制订和实施网络财务的安全管理措施。企业应按照网络财务的要求，按责、权、利相结合的原则，建立、健全和实施网络财务岗位责任制度、安全日志制度等。
3）国家应及时制定相关法律，进行社会立法和法律保障，把网络财务的安全纳入法制化轨道，使企业在计算机信息安全工作中有法可依。1986年以来，我国相继制定并颁布了《计算机系统安全规范》、《计算机病毒控制规定》等法规。2000年4月我国公安部制订了《计算机信息系统安全保护等级划分准则》，将计算机信息系统安全保护等级分为用户自主、系统审计、安全标记、结构化和访问验证5个保护级，企业应根据系统重要程度确定相应的安全保护级别，并针对相应级别进行建设。并且在《刑法》、《民法》、《民事诉讼法》等相关法律中写入了有关计算机信息安全方面的条文，有力地打击了计算机犯罪，保证了计算机系统和信息的安全。但这些法律、法规并不涉及网络财务系统犯罪的领域，所以制定专门的网络财务安全法规势在必行，从而使我国的网络财务真正走上健康发展的法制化道路。
（2）保障会计档案安全的措施企业应该解决好网络财务软件对现有财务软件的升级换代问题，保证会计档案资料存贮形式的连续性和一致性。为此，应采取以下安全措施。
1）必须制订和执行标准的财务软件资料转换接口，使不同开发商的软件能够相互兼容会计资料，便于财务软件的升级。同时也使网络传送的资料、报表在银行、财政部门相互兼容。
2）为解决隔代数据兼容问题，应采用多种形式的会计资料备份策略，既要输入光盘、磁盘等光电介质，又要按规定打印输出，便于日后查询和故障恢复需要。
3）财务软件的升级尽量选择年初作为升级的起始期，因为年初客户和资料量较小，易检查，部分基础资料可根据实际需要进行修改，是软件升级的最佳时机。
4.5.2.2 网络系统及协议的安全对策
（1）为保护企业网络系统的安全，首要的措施是防火墙技术防火墙是一个由软件系统和硬设备组合而成的，在内部网和外部网之间的接口上构造的保护屏障。它能够防止非法入侵、非法使用系统资源，执行安全管理措施，记录所有可疑事件。
（2）在网络系统中应积极采用反病毒技术在系统的运行与维护过程中应高度重视计算机病毒的防范及相应的技术手段与措施。如采用基于服务器的网络杀毒软件进行实时监控、追踪病毒；采用防病毒卡或芯片等硬件，能有效防治病毒；财务软件可挂接或捆绑第三方反病毒软件，加强软件自身的防病毒能力；对外来软件和传输的资料必须经过病毒检查，在业务系统严禁使用游戏软件。
（3）及时做好备份工作备份是防止网络财务系统意外事故最基本最有效的手段，它包括硬件备份、系统备份、财务软件系统备份和资料备份四个层次。
（4）采用有效安全技术对网络财务信息进行两层加密为防止非法用户窃取机密信息和非授权用户越权操作数据，在系统的客户端和服务器之间传输的所有资料都进行两层加密。第一层加密采用标准SSL协议，该协议能够有效地防破译、防篡改、防重发，是一种经过长期发展并被实践证明安全可靠的加密协议；第二层加密采用私有的加密协议，该协议不公开、不采用公开算法并且有非常高的加密强度。两层加密确保了会计信息的传输安全。
（5）采用安全电子交易协议（SET，Secure Electronic Transaction）SET是为了解决客户、企业和银行之间通过信用卡结算而设计的，SET基于公共加密和身份确认技术，它使用数字签名、持卡人证书和企业证书对持卡人的信用卡和企业进行认证；使用加密技术确保交易资料的安全性；使用数字签名确保结算信息的保密性和完整性。
4.5.2.3 网络财务系统的内部控制对策
传统财务管理系统的内部控制机制与手段已不适应网络环境，网络环境下财务管理系统必须针对网络的特点，建立适应网络财务系统的控制体系及相应的岗位责任制和内部控制制度。
（1）建立网络财务系统相适应的控制体系
1）控制范围应由原来单一的财务部门转变为财务部门和计算机管理部门共同控制。
2）控制方式应由单纯的手工控制转化为组织控制、手工控制和程控相结合的全面内部控制。
（2）建立适应网络财务系统的岗位责任制
1）实行用户分级授权管理，按照网络财务系统的需求设定会计岗位，建立岗位责任制，并通过规定每个用户的安全级别和身份标识来落实其责任和权限。
2）建立必要的上机操作控制和系统运行日志，对运行系统的事件类型、用户身份、操作参数和状态等进行实时监视和记录，并定期检查。
3）实行轮岗制度，定期调整内部控制人员的监督权限，避免少数人钻制度的空子，防止发生内部合谋行为。
（3）建立严格的内部控制制度
1）严格硬件管理，确保硬设备能实时地、连续地运转，主要是指系统内部人员按各自权限范围管理和使用硬设备，非计算机人员禁止使用计算机系统。
2）系统开发控制，在软件开发的前期，内审和风险管理人员要参与系统控制功能的研究与设计，确保所有既定控制功能在系统中得以有效地实现。
3）强化内审制度，建立审计组，监督和控制各工作站的日常运行，对内部控制系统的薄弱环节加以改善。
4.5.2.4 采用多种网络安全技术强化系统的外部控制
（1）建立完善的防火墙体系应该在企业的内部网和互联网之间设立防火墙，使内部网和互联网相互隔离。所谓防火墙是一道控制进出企业内部网的双向通信门槛，它可以阻止互联网中的黑客访问或攻击本单位的内部网。
（2）在Intranet 内部采用识别认证和访问控制技术为了有效地防止非法用户的入侵，可以在Intranet 内部采用识别认证和访问控制技术，内网的访问控制经常采用入网控制、网络权限控制、目录级安全控制、网络服务器的安全控制等技术。
（3）采用数字签名等安全技术采用数字签名技术和公正仲裁机构等，可以防止网络中进行资料交换时的否认、抵赖事件。这可以较好地防范来自关联方和社会的道德风险。
（4）采用资料加密技术资料加密技术作为主动网络安全技术，是提高网络系统资料的保密性、防止资料被外部破析所采用的主要技术手段，一般采用保密密钥和公开密钥两种加密形式。加密算法的选择要结合具体应用环境和系统，综合考虑密钥合理分配、加密效率与系统的结合度以及投入产出分析等具体因素。
4.5.2.5 加强系统的外部审计，及时发现并改正错误
（1）注重对企业网络财务系统开发的审计在系统开发的各阶段，审计人员要注意审查系统的可行性、可审性、可扩展性以及系统业务处理和程控的恰当性。通过事前和事中审计，尽早发现系统的问题，及时提出改进的建议，把好系统质量的第一关；同时也为审计人员进行网上审计打下基础。
（2）开展网上实时审计审计人员只要与企业的计算机系统联网，并取得被审单位给予的审查权限，就可以在任何地方通过网络完成除实地盘点和观察外在部分的审计工作。若在系统开发时嵌入了审计程序，计算机还可以自动对经济业务进行实时的监控，自动完成部分审计任务。
（3）外部网及有关机构的审计为了保证网络财务系统中有关资料的真实和安全性，各企业可能都要求审查网上认证机构的真实、可靠性，并要求评价各种Internet 上的加密技术、防火墙技术等网络安全控制措施的有效性。这些都是通过信誉和资质都较高的独立审计机构来完成。
4.5.2.6 防止黑客的攻击策略
企业网络财务系统在实现物理意义开放的同时，为了提高安全防范能力，保证网络系统可靠运行，增强网络安全“免疫”能力，必须采取一些措施。目前广泛采用的口令控制、资料加密、回叫设备以及防火墙技术等均属此类。网络财务系统本身的安全问题，由软件开发商及网络设备提供商来解决，对于网络财务系统的用户来说，设置有效口令是防止黑客入侵的重要步骤。
在网络财务系统中，用口令进行身份认证是防止入侵的一道重要防线，黑客若没有获得一个有效的口令，要想进入网络财务系统就很困难。据网站安全调查结果表明：百分之八十以上的网络安全侵犯是由于口令拙劣引起的。因此，黑客攻击的第一步便是设法收集口令。
黑客攻击口令很厉害的一招是蛮力搜索——逐个尝试各种可能的口令组合，但他们往往不用这个方法，而是根据人们的习惯进行猜测，为此，选择有效口令可从以下几方面入手。
（1）千万不要使用你的用户名或真名作口令，这是黑客尝试的第一个口令。
（2）不要认为口令只能是数字。口令可以使用大小写字母、数字、标点符号共95个字符（有些网络财务系统甚至可以用汉字作口令）。这种口令虽然复杂，但很好记，又很难被搜索到。如果只用数字作口令，就很容易被黑客破译。
（3）口令越长，蛮力搜索需要的时间就越长，过去专家建议取6位字符口令，而以现在机器的速度，6位口令并不可靠，如果取一个好的8字符口令，其各种组合约6.634×1015种，在高速计算机上每秒算一百万次，使用“蛮力搜索”平均需要105年时间。而采用6位口令，其组合约为7.351×1011种，使用“蛮力搜索”平均只需102小时。
（4）不要使用你的配偶、孩子、朋友、宠物或所在地的名字，以及生日、证件号码、电话号码等有关你的任何信息作口令，因为黑客并不遥远，他可以搜索到你的很多信息在你的机器上进行攻击，不可不防。另外还要提防他人预祝你键入的口令。
（5）不要使用任何语言的单词或单词的变形作口令，口令入侵者可以搜索很多词典，它有可能几小时就可破译你的口令。
（6）千万不要将口令以任何方式写下来，更不要存在文件中，如果记不住，就换一个。
（7）千万不要将口令告诉他人，黑客都是很好的社会工程师，他会巧妙耐心地说服你将口令或其他敏感信息泄露给他。
（8）在不同登录中不要使用同一口令，有些口令存放或传输是以明文或简单加密方式进行的，如Windows 95/98的屏幕保护口令，就是用简单加密方式保存的，很容易破译。
（9）永远不要对你的口令过于自信，要定期更改口令，不能重复使用同一个口令，这样可以避免“执著”的黑客进行蛮力搜索。
（10）如果登录过程中出现令人意外的现象，如你肯定输对了口令，系统却显示口令不对或系统故障、请重新登录等信息，要考虑是否有“特洛伊木马”正在运行，此时应报告网络财务主管以进一步查明。
