信息系統(tǒng)審計 信息技術(shù)審計和計算機(jī)審計辨析

劉 靜 孟佳娃

以往人們界定審計類型，都是以審計的本質(zhì)屬性為標(biāo)準(zhǔn)進(jìn)行分類，包括審計主體、客體、工作內(nèi)容、目標(biāo)等。那么我們就按著這一標(biāo)準(zhǔn)來辨析計算機(jī)審計、信息技術(shù)審計和信息系統(tǒng)審計。

一、計算機(jī)審計

雖然信息系統(tǒng)審計是由早期的計算機(jī)審計發(fā)展而來，但不能簡單地把信息系統(tǒng)審計理解為計算機(jī)審計。

首先，從審計對象看，計算機(jī)的全稱是電子計算機(jī)，是一種能夠按照事先存儲的程序，自動、高速地進(jìn)行大量數(shù)值計算和各種信息處理的現(xiàn)代化智能電子設(shè)備。如果把計算機(jī)審計對象局限在計算和處理各種信息的電子設(shè)備上，內(nèi)涵過于狹窄。學(xué)者郭宗文等在《計算機(jī)審計》一書中提出計算機(jī)審計包括兩方面的內(nèi)容：1）對電算化的信息系統(tǒng)設(shè)計、數(shù)據(jù)處理過程和處理結(jié)果進(jìn)行審計；2）計算機(jī)是作為幫助審計人員完成部分審計工作的工具。《中國審計概述—計算機(jī)審計》中指出，計算機(jī)審計包括：對計算機(jī)管理的數(shù)據(jù)進(jìn)行檢查；對管理數(shù)據(jù)的計算機(jī)進(jìn)行檢查。上述兩者都表示數(shù)據(jù)是計算機(jī)審計中的主要對象。那么，計算機(jī)既可以是審計對象也可以作為審計工作的輔助工具。單純把計算機(jī)作為審計對象過于局限，不足以構(gòu)成現(xiàn)在我們審計工作的全部內(nèi)容，計算機(jī)審計應(yīng)該更側(cè)重于強(qiáng)調(diào)利用計算機(jī)作為輔助工具來對計算機(jī)中存儲、處理的數(shù)據(jù)進(jìn)行審計。其次，從目標(biāo)和職能看，郭宗文等認(rèn)為“計算機(jī)審計與傳統(tǒng)手工審計沒有本質(zhì)區(qū)別，其目的和職能沒有改變，同樣是執(zhí)行經(jīng)濟(jì)監(jiān)督職能”。

二、信息技術(shù)（IT）審計

美國學(xué)者霍爾在《信息系統(tǒng)審計與鑒證》中提到，IT審計側(cè)重于企業(yè)信息系統(tǒng)的計算機(jī)應(yīng)用方面，包括對其適當(dāng)?shù)膶嵤⒉僮鬟^程和計算機(jī)資源控制的評估。學(xué)者胡克瑾在《IT審計》一書中，認(rèn)為信息系統(tǒng)審計即IT審計。以上兩種說法都把信息技術(shù)審計與信息系統(tǒng)審計混為一談，我們認(rèn)為這種提法不對。

雖然人們對信息技術(shù)的解釋不同，但總的看來，信息技術(shù)（Information Technology，IT）是管理和處理信息所采用的綜合技術(shù)，包括傳感技術(shù)、通信技術(shù)、計算機(jī)技術(shù)、控制技術(shù)，核心是通信技術(shù)和計算機(jī)技術(shù)。計算機(jī)軟件、硬件，通信技術(shù)設(shè)施都涵蓋于其中。它無處不在，廣泛應(yīng)用于國民經(jīng)濟(jì)各領(lǐng)域，存在于企業(yè)生產(chǎn)、經(jīng)營活動的各個環(huán)節(jié)。被審計單位對信息技術(shù)廣泛運(yùn)用改變了審計環(huán)境，給審計手段和方法創(chuàng)新提供了機(jī)遇，進(jìn)而影響到審計證據(jù)、審計模式和審計程序。審計工作借助于企業(yè)的信息技術(shù)環(huán)境平臺，可以提高審計效果和效率。

另外，從IT治理的角度來看，德勤認(rèn)為：“IT治理是一個含義廣泛的概念，包括信息系統(tǒng)、技術(shù)、通信、商業(yè)、所有利益相關(guān)者、合法性和其他問題。其主要任務(wù)是保持IT與業(yè)務(wù)目標(biāo)一致，推動業(yè)務(wù)發(fā)展，促使收益最大化，合理利用IT資源，IT相關(guān)風(fēng)險的適當(dāng)管理”。“IT治理是一個由關(guān)系和過程所構(gòu)成的體制，用于指導(dǎo)和控制企業(yè)，通過平衡信息技術(shù)與過程的風(fēng)險、增加價值來確保實現(xiàn)企業(yè)的目標(biāo)”（ISACA的定義）。那么，對于企業(yè)的IT風(fēng)險是否在合理水平，IT能否為企業(yè)帶來價值，都成為IT審計的內(nèi)容，即合理保證IT治理的有效性。

三、信息系統(tǒng)審計

對于信息系統(tǒng)的概念，不同的學(xué)者和機(jī)構(gòu)從不同的角度進(jìn)行了定義。霍普伍德的《會計信息系統(tǒng)》暗含著在組織中應(yīng)用計算機(jī)技術(shù)為用戶提供信息，說明信息系統(tǒng)是應(yīng)用信息技術(shù)對信息進(jìn)行處理的各種系統(tǒng)，以支持各種人員的信息需求，它全面地涵蓋了信息技術(shù)、用戶和信息。而《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》中明確定義計算機(jī)信息系統(tǒng)，是由計算機(jī)及其相關(guān)的配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn)行采集、加工、存儲、傳輸、檢索等處理的人機(jī)系統(tǒng)。同樣強(qiáng)調(diào)了信息系統(tǒng)中人和信息的重要性。學(xué)者郭長軍指出，信息系統(tǒng)是由硬件、軟件、數(shù)據(jù)、人和內(nèi)部控制制度等部分組成。因此，信息系統(tǒng)審計中的信息系統(tǒng)除了包含信息技術(shù)外，還包括人、數(shù)據(jù)、內(nèi)部控制制度等，是它們按照一定的規(guī)則和架構(gòu)所組成的各種應(yīng)用系統(tǒng)，這是計算機(jī)、信息技術(shù)概念所不能包含的。

信息系統(tǒng)審計就是對企業(yè)和組織的信息系統(tǒng)進(jìn)行獨立的評估，包含政策、流程、標(biāo)準(zhǔn)、量度和實踐方法，以此來保證信息資產(chǎn)安全和完整。信息系統(tǒng)審計對象存在于信息系統(tǒng)的整個生命周期之中，是指各類以計算機(jī)為核心的信息系統(tǒng)及其相關(guān)的技術(shù)和管理活動，其審計內(nèi)容涉及到了相關(guān)的技術(shù)和管理活動。信息系統(tǒng)審計的依據(jù)是公認(rèn)的標(biāo)準(zhǔn)和指導(dǎo)規(guī)范，以其對信息系統(tǒng)及其業(yè)務(wù)應(yīng)用的效能、效率、安全性進(jìn)行監(jiān)測、評估和控制的過程，以確認(rèn)預(yù)定的業(yè)務(wù)目標(biāo)得以實現(xiàn)。信息系統(tǒng)審計對信息系統(tǒng)從規(guī)劃、實施、到運(yùn)行維護(hù)各個環(huán)節(jié)進(jìn)行審查評價，對信息系統(tǒng)及其業(yè)務(wù)應(yīng)用的完整性、有效性、效率性、安全性等進(jìn)行監(jiān)測、評估和控制的過程，以確定預(yù)定的業(yè)務(wù)目標(biāo)得以實現(xiàn)，并提出一系列改進(jìn)建議的管理活動，這明確了信息系統(tǒng)審計的目標(biāo)。中國IT治理、信息系統(tǒng)審計研究與實踐最早的推動者之一的學(xué)者孫強(qiáng)認(rèn)為信息系統(tǒng)審計是一個獲取并評價證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實現(xiàn)組織目標(biāo)的過程。

四、信息系統(tǒng)審計和計算機(jī)審計、信息技術(shù)審計的關(guān)系

信息系統(tǒng)審計由早期的計算機(jī)審計發(fā)展而來，隨著信息技術(shù)的飛速發(fā)展和普及，又被人稱之為IT審計。信息系統(tǒng)審計綜合運(yùn)用IT技術(shù)與審計理論及方法為信息時代信息的使用者提供合理的保證，IT是進(jìn)行信息系統(tǒng)審計不可缺少的技術(shù)。IT審計意味著對IT進(jìn)行審計以及利用IT進(jìn)行審計。IT對審計的影響在于其使審計環(huán)境、模式、程序、方法、手段等發(fā)生了變化。

計算機(jī)審計、信息技術(shù)審計不等同信息系統(tǒng)審計，因為它們體現(xiàn)不出信息系統(tǒng)中人、數(shù)據(jù)等重要的組成部分，會導(dǎo)致信息系統(tǒng)審計目標(biāo)不明確。信息系統(tǒng)審計目標(biāo)不僅僅在于應(yīng)用計算機(jī)進(jìn)行審計，更重要的是要對信息系統(tǒng)本身的安全性、穩(wěn)定性及其實現(xiàn)組織目標(biāo)的有效性進(jìn)行實時的檢查、評價和改造。信息系統(tǒng)審計包括信息技術(shù)、人、數(shù)據(jù)、內(nèi)部控制制度等內(nèi)容。保證和咨詢是信息系統(tǒng)進(jìn)行審計的兩大基本職能。“保證”即“系統(tǒng)可靠性保證”，指通過對信息系統(tǒng)運(yùn)行過程、商業(yè)連續(xù)性能力、維護(hù)狀況進(jìn)行評價，合理保證信息系統(tǒng)安全、穩(wěn)定、有效，它是信息系統(tǒng)審計最基本的職能；“咨詢”是指審計人員能夠向信息系統(tǒng)的高層管理者以及使用者提供解決問題的方案，以達(dá)到改善經(jīng)營和為組織增加價值的目的。隨著審計環(huán)境的日益復(fù)雜，審計對象的多樣化發(fā)展，信息系統(tǒng)審計已不局限于經(jīng)濟(jì)監(jiān)督職能，其審計目標(biāo)將更寬泛。

五、國外對信息系統(tǒng)審計概念的研究

1996年，日本通產(chǎn)省情報協(xié)會修訂了信息系統(tǒng)審計的定義，即信息系統(tǒng)審計是“為了信息系統(tǒng)的安全、可靠與有效，由獨立于審計對象的信息系統(tǒng)審計師以第三方的立場，對以計算機(jī)為核心的信息系統(tǒng)進(jìn)行綜合的檢查與評價，向信息系統(tǒng)審計對象的最高領(lǐng)導(dǎo)層，提出問題與建議的一連串活動。日本強(qiáng)調(diào)了信息系統(tǒng)審計的主體獨立性，且非常重視把審計結(jié)果向被審計單位管理部門的反饋。英國審計咨詢專家、學(xué)者Richard認(rèn)為，信息系統(tǒng)審計是指涵蓋對自動化信息處理系統(tǒng)、與之相關(guān)的非自動化處理以及連接它們的接口進(jìn)行完整或部分地審查和評估。信息系統(tǒng)審計師應(yīng)對通過信息技術(shù)實現(xiàn)的內(nèi)部控制系統(tǒng)提供保證，信息系統(tǒng)審計作為整個審計過程的一部分，對運(yùn)營良好的公司治理起推動作用。這個定義給出了信息系統(tǒng)審計的范圍，并且表明信息技術(shù)是實現(xiàn)信息系統(tǒng)的必要手段。

國際組織美國信息系統(tǒng)審計和控制協(xié)會（ISACA）對信息系統(tǒng)審計的定義是“信息系統(tǒng)審計是一個獲取并評價證據(jù)，以判斷計算機(jī)系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實現(xiàn)組織目標(biāo)的過程”。該組織還制定了參加國際信息系統(tǒng)審計師（CISA）考試的人員準(zhǔn)備的輔導(dǎo)手冊。手冊中詳細(xì)地介紹了信息系統(tǒng)審計的主要內(nèi)容：信息系統(tǒng)審計流程、IT治理、系統(tǒng)和架構(gòu)生命周期管理、IT服務(wù)交付和支持、信息資產(chǎn)保護(hù)、業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)等。但沒有明確區(qū)分信息技術(shù)審計和信息系統(tǒng)審計。

六、我們對信息系統(tǒng)審計概念的界定

目前，無論是國內(nèi)還是國際，對信息系統(tǒng)審計還沒有明確統(tǒng)一的定義和界定。信息系統(tǒng)審計概念不清，則其內(nèi)涵和外延自然混亂，導(dǎo)致信息系統(tǒng)審計目標(biāo)不明確，職能定位不準(zhǔn)，信息系統(tǒng)審計很難充分發(fā)揮作用。所以，我們要對信息系統(tǒng)審計概念進(jìn)行科學(xué)界定。

我們認(rèn)為信息系統(tǒng)審計與信息技術(shù)審計、計算機(jī)審計的涵蓋范圍、側(cè)重點都有所不同，信息技術(shù)是實現(xiàn)信息系統(tǒng)的必要手段，計算機(jī)是信息系統(tǒng)的組成部分之一，信息系統(tǒng)的構(gòu)成更離不開人員、數(shù)據(jù)等其他必備要素。在實踐中，信息技術(shù)審計主要是為了合理保證企業(yè)IT治理的有效性；計算機(jī)審計更多地表現(xiàn)為輔助審計工具；而信息系統(tǒng)審計則是對企業(yè)的各種業(yè)務(wù)起支持作用的信息系統(tǒng)進(jìn)行審計。具體講，信息系統(tǒng)審計的對象是企業(yè)的信息系統(tǒng)（如會計信息系統(tǒng)、業(yè)務(wù)信息系統(tǒng)、管理信息系統(tǒng)和決策信息系統(tǒng)等）；信息系統(tǒng)審計的內(nèi)容應(yīng)該根據(jù)審計目標(biāo)的不同而確定；信息系統(tǒng)審計的目標(biāo)主要是評估信息系統(tǒng)的安全性、可靠性，以鑒證信息系統(tǒng)能有效地利用組織資源、高效地幫助企業(yè)達(dá)成業(yè)務(wù)目標(biāo)；信息系統(tǒng)審計的職能是鑒證和咨詢。因而，信息系統(tǒng)審計的概念，是建立在傳統(tǒng)審計理論、信息技術(shù)理論、行為科學(xué)理論基礎(chǔ)上，由獨立于被審計單位的信息系統(tǒng)審計師以第三方的立場，根據(jù)公認(rèn)的標(biāo)準(zhǔn)和指導(dǎo)規(guī)范獲取和評價證據(jù)，對組織中信息系統(tǒng)的安全性、可靠性及其實現(xiàn)組織目標(biāo)的有效性進(jìn)行實時的檢查、評價，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整、有效率地利用組織的資源并高效地實現(xiàn)組織目標(biāo)的過程。