連續審計的開展及應用

［摘 要］ 連續審計是以更連續或以連續為基礎進行審計的一種方法，包括從連續控制評估至連續風險評估在內，所有風險控制范圍內的審計都是連續審計。作為內部審計新的發展方向，連續審計改變了傳統的日常定期審計范式，對交易進行連續的百分之百的審計，這對于完善公司內部控制，提高會計信息的及時性和可靠性都具有重要意義。本文從分析我國內部審計環境的變化入手，引出連續審計的概念，進而分析其可行性及實施步驟，最后展望連續審計在我國的應用前景。

［關鍵詞］ ]連續審計;信息技術;內部審計

［中圖分類號］F239.45 ［文獻標識碼］A［文章編號］1673-0194（2008）03-0086-03

一、 內部審計的最新發展——連續審計

我國的內部審計工作起步較晚，大約于20世紀 80 年代初期以行政命令的方式在一些企業建立起內部審計機構。企業的內部審計工作多側重于對財務方面的監督管理，時間則以事后審計為主，沒能從提高企業經營管理水平的高度來理解內部審計。

當前，我國正經歷著經濟結構的戰略性調整和經濟增長方式的轉變，全面、協調、可持續發展對企業提出了加強管理、實現資源集約使用的要求，僅僅開展以查錯防弊為主要內容的財務收支審計，顯然已經不能適應經濟發展的需要。正如審計署審計長李金華在2006年1月11-１２日召開的中國內部審計協會五屆二次理事擴大會議上所指出的：“今后內部審計要通過開展對經營活動、內部控制、風險管理等事項的監督和評價，實施以內部控制和風險管理為導向的管理審計，為改善組織的運營、提高增長質量和效益服務，為管理層當好參謀和顧問”。

國外應用連續審計技術已有10多年的歷史，近幾年發展較快。普華永道會計師事務所2006年發布的題為《State of the Internal Audit Profession Study: Continuous Auditing Gains Momentum》的內部審計調查報告顯示，被調查的美國公司中2005年有35%在一定程度上采用連續審計技術，而2006年則猛增為50%。

《全球審計技術指引》將連續審計定義為審計人員在執行與審計相關活動中，以更連續或以連續為基礎進行審計的一種方法。它包括從連續控制評估至連續風險評估在內，所有風險控制范圍內的審計都是連續審計。可見，連續審計仍然是一種由內部審計人員實施的審計，審計期限、審計實施時間及審計報告則更為及時迅速，審計報告更具決策相關性。

傳統的內部審計部門主要是在業務發生較長時間后進行內部控制測試審計，測試程序主要采用常規審計方法。連續審計作為一種由技術驅動的方法，它能自動地進行控制和風險評估，將審計策略由原來的對交易樣本的周期性審查改變為對所有事件的連續審計和測試。連續審計的威力源于它能夠在一個實時的環境下發現控制缺口和弱點，從而在最短的時間內報告問題并糾正錯誤。

二、 連續審計的可行性

（一）技術可行性

實施連續審計的技術可行性主要是指以下方面的技術：首先，會計信息基本上是以電子形式記錄和存儲的。其次，無所不在的計算機網絡允許連續遠程接入系統。在市場化的開放協議標準下，這種接入將更加便利。再次，具有強大的數據檢索、提取及分析能力，能夠快速、準確地從包括數據庫、操作系統文件及系統日志這些數據源中搜索所需的信息。這就要求有強大的處理機能夠支持并行操作，擁有廉價硬盤存儲技術，采用磁盤鏡像容錯系統，并能提供交易的實時捕獲能力。最后，具有超強加密技術，能夠為系統提供高效的安全保障策略。

其中，在連續審計的程序實施方面，主要有兩種模式：一種是嵌入式審計模式，另一種是連續審計代理。

1. 嵌入式審計模式

在傳統審計中，依靠傳統審計技術所搜集的審計證據的類型和數量非常有限，審計程序的范圍和規模也受到很大的限制。而連續審計在協助審計人員搜集大量的、范圍更廣的證據方面，有很大潛力。當然，這需要開發和使用審計專家系統，在連續審計系統中采用系統化的審計測試程序。

嵌入式審計模式執行連續審計系統是指將連續審計模塊嵌入到需要執行審計的業務應用中，其能夠依據預定義標準來識別報告異常交易。一些大型軟件，像SAP 和 Oracle就部分具備這種功能。

嵌入式審計模式的連續審計系統能夠保留所有交易的審計線索，而且，所有應用組件都是由同一供應商提供的，易于實施和維護。但是，這種審計模式也有其局限性。比如，當今許多大企業同時采用多種企業管理信息系統，如何從不同的系統中采集數據對于連續審計系統來說是個難題；而且，將連續審計軟件整合進應用系統可能會降低系統運行效率。

采用這種審計模式，還需要注意審計人員必須能夠識別應用系統中的關鍵控制點發生在何處，否則將不可能確定嵌入審計模塊放置的最佳位置；并且，要考慮企業的信息系統是否相對成熟穩定，因為應用系統經過維護改造后，與之相應的連續審計技術也要進行維護。

2. 連續審計代理

連續審計代理是由一系列的代理器所組成，在連續審計代理體系結構中，不同的代理履行著不同的職責。協調代理處于整個代理群的中心地位，管理著其他代理的行為、信息及協調。項目管理代理負責將組織的審計計劃分成不同的任務，交由其他代理執行。信息檢索代理從組織的業務系統中搜集、解釋所需信息。分析代理根據預定義業務規則檢查信息。當檢測出檢索信息和定義規則有差異時，通訊代理通過郵件或者短信方式向審計人員發送警報。

連續審計代理方法相對于嵌入式審計模式，擴展性更強。代理可以分裝在不同的主機上，使應用服務器的負擔更均衡。連續審計代理方法的最大問題就是技術復雜，成本高昂。

（二）經濟可行性

從技術上講，目前連續審計并不適合在所有行業應用推廣，它主要適合在一些IT基礎設施比較好的企業推廣。對于連續審計的接受程度，很大程度上決定于它的經濟可行性，亦即實施連續審計的收益要大于成本。實施連續審計所需的成本主要是軟件、硬件以及網絡連接等技術成本，目前呈現直線下降趨勢，這將使得實施連續審計成為可能。除了這些成本外，公司還需要在實施連續審計的初期花費大量的時間和精力來建立相應的流程，從設置軟件參數到系統應用培訓等。

連續審計能夠給企業帶來差旅費、手工搜集證據費用等的成本節約。連續審計是一種主動的而不是反應式的方法，具有更強的審計穿透力和覆蓋面，它使企業能夠在問題失去控制之前就采取行動發現并糾正。而且，它能幫助審計人員更合理地分配人力資源來更好地關注組織的高風險領域。

連續審計的經濟收益還可以從代理理論的角度來理解。從某種意義上說，管理者（代理人）與公司的其他利益相關者之間的信息不對稱產生了對審計的需求。信息不對稱程度的降低將導致各種成本的減少，包括資本成本（債務和權益成本）、代理成本及其他成本。因此，企業持續實施一段時間的連續審計，將能夠降低道德風險和逆向選擇，從而減少代理成本。

總之，企業實施連續審計不僅有較高的技術上和經濟上的要求，而且還要考慮以下因素：

1. 系統具備某些特性

一般來說，系統越容易被模擬，則越容易實施連續審計。那些具有清晰處理流程的系統，相對容易被模擬，也就容易實施自動化。例如，兩個處于不同國家的運輸企業，一個擁有相當龐大的下屬機構并且所處國家運輸行業成熟，另一個則沒有多少下屬機構并且運輸經驗不夠豐富。相對來說，第一個國家的環境能夠給企業提供更穩定的運輸時間、路線等，那么，這個國家的運輸網絡將更容易模擬，實施自動化也就更容易。

2. 系統實時相連

連續審計要求企業的審計系統和實體的信息系統能夠進行實時、準確和安全的連接，從而保證被審計單位的信息能夠及時得到更新，各個子系統的數據能整合在一起，保證數據的一致性。系統對于非授權的訪問能夠自動識別和防范。

3. 審計系統高度自動化

投資于高度自動化的信息系統、內部控制系統和審計系統，其收益一般大于成本。有些情況下，有的系統存在大量與控制風險成本相關的風險。例如，高度自動化的銀行存款處理系統包含了大量現金賬戶的相關風險。然而，監控現金的流入、流出以及銀行存款余額，保證系統的可靠性和數據的完整性，所花費的成本并不高。

三、 實施連續審計的步驟

1. 取得高層管理者的支持

一旦決定開始實施連續審計，就要取得公司管理層的支持。要將準備工作，尤其是有關數據的存取需求，以及何時、以何種方式報告審計結果向公司管理層報告。否則，連續審計的合理性可能就會遭到質疑。同時，還要確定管理層實施監控的程度。管理層實施監控的程度和連續審計的實施存在著互補關系，管理層實施監控的程度越高，企業的內部控制可信賴程度就越高，就可以縮小連續審計的范圍。

2. 確定連續審計的實施領域及優先級別

首先，要選定適當的主題事件。試圖對一個跨國公司的全部財務資料進行連續審計，是很難做到的。相反，僅對日常生產、運輸、銷售及其他容易計量和較少運用職業判斷的事件進行連續審計則要容易得多。

其次，是評估環境本身。那些擁有清晰的工作流程和完善的內部控制的企業，更容易實施連續審計。當企業的內部控制測試顯示低風險水平時，相應的連續審計的范圍就會縮小，審計時間就可以相應減少。反之，就要擴大審計測試的范圍并相應增加審計時間，這樣，勢必會增加審計成本，降低審計收益。

3. 數據的訪問及分析

能夠獲取適當的數據對于成功實施連續審計至關重要。因此，內部審計人員有必要識別審計所需要獲得的業務數據，通過與系統管理員協商，來完整、可靠地獲取所需要的數據。

對于所獲取的數據進行分析，就要選擇并購買分析工具。不同的企業， 有不同的需求，分析工具也千差萬別，從簡單的電子表格，到中等規模的統計分析軟件工具，再到基于特定企業的信息技術水平而定制的、全面的數據分析技術。

對于那些已經實施ERP系統的企業，ERP系統中包含很多在線報告，其中一些是用來支持內部控制測試的。例如，審計軟件可以直接訪問SAP軟件列表，或者通過開放數據庫連接接入ERP系統。也可以通過計算機建模軟件，利用現有數據和風險評級系統來評估風險。通過一系列的數據分析，內部審計人員就可以更好地理解業務系統、關鍵控制點以及高風險領域。

4. 連續控制及風險評估

首先要識別關鍵控制點，定義控制規則及例外事件，測試內部控制及識別控制缺陷。然后，識別被評估的實體以及其所面臨的風險，用數據驅動的方法來測量增長的風險及企業業績。內部審計人員的工作不是去盯住每一筆交易，也不是盯住每一件異常的事件審計的作用，而是在這個流程中加入透明度，并審視在整個時間段出現的控制問題是什么性質。

5. 報告及管理結果

首先要確定連續審計的頻率。內部審計人員在確定連續審計測試的范圍和頻率時，應該先確定連續審計的目標、管理者的風險偏好、管理監控的風險和企業的經營風險水平。連續審計測試的頻率可以從實時、接近實時的測試詳細的交易到定期測試詳細的交易或匯總數據。至于連續審計測試的頻率究竟應該是多少，并沒有一個簡單的答案，只能說測試越頻繁相對越好。

對于審計結果，內部審計人員要給予適當的回應，并將關鍵部分告知管理當局，并提出對審計結果所采取的措施。連續審計運行一段時間后，審計人員應當對運行情況進行評價，識別其缺陷并予以糾正，并總結連續審計技術方面的經驗，為在其他應用系統中設計和實施連續審計技術提供借鑒。

四、 連續審計在我國的應用前景

在西方發達國家，連續審計的實施已經逐漸展開。這對于完善公司內部控制，提高會計信息的及時性和可靠性都具有重要意義。為適應我國電子商務快速發展、商業環境日益復雜對審計提出的要求，有必要結合目前的審計信息化情況，推進連續審計。

像證券業這些已基本實現計算機化的行業可能更容易實施連續審計。應該說，我國在證券業盡早推行連續審計是比較可行的，可以由政府有關部門、社會中介機構和相關行業共同努力，開展連續審計工作，待積累經驗后逐步擴展推廣。隨著我國經濟的發展，企業信息化程度的提高以及對連續審計理解的加深，實施連續審計的前景將是十分廣闊的。

主要參考文獻

［1］ The Insititute of Internal Auditors. Global Technology Auditing Guide 3——Continuous Auditing［EB/OL］.http://www.theiia.org/guidance/technology/gtag/gtag3/，2007.

［2］ Zhu Wenming. Continuous Online Auditing in the Government Sector［J］. The Insititute of Internal Auditors，2007，10（6）.