持續審計及其審計程序設計

【摘要】持續審計的實施依托于信息技術的發展得以實現，持續審計程序與傳統審計程序既有共同點也存在差異。本文基于IIA報告的持續審計程序，以應收賬款審計項目為例，對應收賬款持續審計程序進行了深入分析，為其他項目持續審計提供借鑒。

【關鍵詞】持續審計 審計程序 應收賬款

一、持續審計概述

隨著信息技術的發展，人類社會開始邁入經濟知識化和全球化的新時代，信息技術成為組織發展的主要驅動力，企業等經濟組織對信息及時性的要求越來越強，從而對審計信息的時效性也提出了更高的要求。傳統審計主要是基于一定期間實施的審計，如年度審計和半年度審計，其對象是相隔時間較長的歷史性信息，審計信息的及時性和可靠性較差，難以適應復雜多變審計環境的要求，審計的變革發展是歷史的必然。

為了適應信息社會發展的需要，“持續審計”(Continuous Auditing，也稱為連續審計)應運而生，根據AICPA/CICA在1999年出版的研究報告《持續審計》中的定義，“持續審計是獨立審計師用以對委托項目的相關事項以一系列實時或短時間內生成的審計報告，對其提供書面鑒證的一套審計方法”。 持續審計的產生提高了審計信息的時效性，能夠有效克服傳統審計的缺陷。

近些年來，西方國家對持續審計的研究廣泛關注，學術界、實務界以及社會職業團體，分別從理論、技術、應用等多方面對其展開了深入研究。但在國內，持續審計的研究才剛剛起步，目前還缺少對持續審計比較完整的認識，持續審計實踐還處于空白狀態。審計是一種實踐性很強的活動，作為一種審計方法，持續審計實踐是研究的重點，而審計程序又是持續審計實踐的關鍵，因此本文擬結合國外研究，在對持續審計程序與傳統審計程序比較分析的基礎上，以應收賬款審計為例，探討其持續審計程序設計，為國內持續審計實踐發展提供借鑒。

二、持續審計程序與傳統審計程序的比較分析

傳統審計程序主要包括三個階段，即審計計劃、審計實施和審計報告。持續審計方法下，審計實務的操作步驟也離不開這三個階段，但是持續審計依托于信息網絡技術才得以實現的，持續審計實施除了遵循傳統審計的三個程序以外，還需要考慮其他方面因素，例如，確定易于實施持續審計的領域、對每個領域的風險進行排序、選擇能夠勝任持續審計工作的人員、持續審計方法和技巧、提交高管層并獲得高管層的認可等。

基于持續審計程序與傳統審計程序的共同點和差異，2006年，IIA研究報告 對持續審計程序進行了較為系統和完整和論述，關鍵的審計程序包括:(1)確定持續審計目標，了解被審計單位的基本情況;(2)進入被審計單位信息系統，獲取數據信息并進行數據處理;(3)持續控制評估和持續風險評估;(4)確定持續審計的頻率和時間;(5)出具審計報告;(6)跟蹤審計建議。雖然該程序是基于內部審計基礎設計的，由于不同主體持續審計實施過程本質上的相似性，該程序對其他主體的持續審計實施同樣具有指導意義。

在財務造假中，應收賬款舞弊是最常見的造假方法之一。應收賬款的確認與計量不僅與銷售收入真實性的確定密切相關，而且還將直接影響到企業資金周轉水平和損益，所以，應收賬款審計應當是財務報表審計的重點。因此，下文以IIA持續審計程序為基礎，以應收賬款審計為例，進一步探討持續審計程序在具體審計項目中的應用，為其他項目持續審計提供借鑒。

三、應收賬款持續審計程序設計

(一)確定持續審計目標，了解被審計單位的基本情況

根據IIA報告提出的持續審計程序，首先需要確定應收賬款項目審計的具體目標，我們認為至少應該包括下列四個:(1)確認內部控制缺陷和異常差異，減少潛在的舞弊;(2)確認并評估與應收賬款相關的風險;(3)應收賬款的詳細測試;(4)跟蹤審計建議的執行并分析它們對應收賬款的影響。和傳統審計一樣，在確定審計目標以后，審計師必須了解被審計單位的總體情況，包括被審計單位所屬行業的情況、被審計單位組織結構、經營策略、經營程序和應收賬款部門的運作，以及被審計單位的會計信息系統軟硬件配置、系統總體結構和功能模塊設計、信息系統管理人員的配備和分工等。

(二)進入被審計單位信息系統，獲取數據信息并進行數據處理

在確定審計目標并了解被審計單位基本情況以后，接下來審計師需要進入被審計單位信息系統，獲取被審計單位的數據信息，但是審計師進入被審計單位信息系統的前提是必須擁有進入其數據庫的安全電子通道。隨著硬件和軟件技術的發展，安全有效的數據通道不再是一個主要的技術障礙，最大障礙是高管層可能不愿意向審計師提供進入公司信息系統的通道，因此取得高管層的支持非常有必要。就應收賬款審計來說，審計師最好能夠得到高管層的書面聲明，確保審計師能夠進入完成應收賬款審計任務所必需的應用系統，獲取數據信息。

在數據獲取和處理的方式上，可以通過建立審計數據倉庫(data warehouse )和數據集市(data mart)的方式來實現。將從不同來源(如應收賬款部門、財務部門和人力資源管理部門等)獲取的關于應收賬款的數據儲存在數據集市中，通過自動化審計程序進行數據處理，評估數據的完整性和可靠性。

(三)持續控制評估和持續風險評估

審計風險的增加常常與一個無效或者不存在的控制有關，持續審計同樣強調風險評估的持續性，同時在評估審計風險水平時應當考慮控制活動。通過持續風險評估及時發現沒有控制的領域以及控制沒有正確執行的領域，使審計師對這些領域予以較多的關注，并進行持續控制評估。

1、應收賬款持續控制評估。具體到應收賬款項目，其內部控制制度的建立，既需要結合企業自身實際，又要考慮客戶狀況;既要防止不顧自身承受能力的過量賒銷，又要杜絕不顧客戶信用狀況的盲目賒銷。應收賬款持續控制評估的目的在于確認應收賬款控制的缺陷，減少潛在舞弊。傳統審計中，審計師可以通過許多不同的人工方式評估內部控制制度，例如面談、觀察、審查等方式都可以用于內部控制評估中。持續審計環境下，對于潛在的控制缺陷，審計師應當盡量利用自動化程序進行測試。

2、應收賬款持續風險評估。審計師在了解組織戰略和經營程序的基礎上，確定影響組織目標實現的不確定性，并根據持續控制評估的結果評估與應收賬款相關的交易類型、交易量、交易金額方面的風險。評估的具體途徑主要有:(1)使用大量數據指標量化風險，包括成本、質量以及時間等指標;(2)通過日記賬了解交易的類型和數量;(3)結合其他部門的數據進行分析，確定風險領域。

下面我們以一個簡單的案例分析持續控制評估和持續風險評估的應用。XYZ公司是一家跨地區經營的企業，在A、B、C、D、E、F、G七個地區都設有分公司，但是每個分公司的應收賬款管理效率是不同的，尤其是壞賬率存在較大的差異，從而影響到審計風險評估。2005年5月B地區壞賬率最高，如圖1所示，其中縱坐標壞賬率為注銷的壞賬占應收賬款銷售額的百分比。審計師選擇從應收賬款銷售額和注銷的壞賬兩方面進行深入分析。

圖2和圖3分別說明各地區的應收賬款銷售額和注銷的壞賬。從圖中可以看出，2005年5月地區B的應收賬款銷售額不是最高的，但是壞賬金額遠遠超過了其他地區，從而導致地區B壞賬率最高。因此，對B地區存在的問題應該加強應收賬款的回收力度，減少壞賬。

(四)確定持續審計的頻率和時間

根據持續控制評估和風險評估的結果，對不同領域的風險大小進行排序，依次選擇實施持續審計。在權衡數據庫差錯、審計成本以及審計風險等因素的基礎上確定持續審計的最優頻率、選擇審計實施的最佳時間。以XYZ公司為例，審計師應該根據不同地區應收賬款部門管理效率的分析結果，對各地區的風險大小進行排序，優先選擇對B、G兩個地區的應收賬款業務實施持續審計。然后結合審計風險等因素進行權衡比較分析，確定應收賬款持續審計的實施頻率和時間。

(五)出具審計報告

在出現異常情況時，應收賬款自動化審計程序會觸發報警器，同時向審計師發郵件通知一些賬戶的異常情況。但是持續審計程序并沒有就此停住，而是調查與應收賬款業務相關的賬戶和資料，取得客戶的確認，證實該業務的詳細情況。然后，當審計師收到客戶寄發來的確認信以后，如果調查結果表明應收賬款業務正常，則說明審計程序中設置的初始值存在問題，需要審計師更改自動化程序中設定的詳細規則，修正程序中原先設定的不適當的初始值，設定新的初始值。最后形成審計報告，并且通過公司網站向授權的使用者傳遞。

(六)跟蹤審計建議

在審計報告簽發以后，審計師還需要跟蹤審計建議決定管理層是否已經執行以及他們是否取得預期的效果。在復核時，審計師可以為每個建議確定數據驅動的指標。例如，審計師發現很多應收賬款都在到期日后推遲付款了，而且很多付款的推遲并不是因為客戶資金緊缺，而是企業應收賬款管理不善造成的。在審計建議提出的一段期間以后，審計師還應跟蹤逾期應收賬款比例的變化，如果發現逾期應收賬款比例下降了，就表明這種建議是有效的。

四、結論

綜上所述，持續審計是順應信息時代發展起來的新型審計方法，持續審計程序與傳統審計程序的共同點在于都包括審計計劃、審計實施和審計報告三個階段，不同點在于持續審計依托于信息網絡技術才得以實現的，在程序設計中強調審計實施的持續性。本文根據IIA的持續審計程序，以應收賬款審計為例，具體分為六個步驟探討了持續審計程序在具體審計項目中的具體應用，能夠為持續審計在我國未來信息技術環境下審計實務中的應用提供參考。但是本文的分析主要是根據IIA報告而進行的模擬分析，缺少實際數據的支持。當持續審計在我國得到應用以后，在條件允許的情況下，我們可以取得持續審計實際應用的數據，對持續審計具體應用進行案例分析。

主要參考文獻

[1]AICPA/CICA. Continuous Auditing， Research Report[R].The Canadian Institute of Chartered Accountants， Toronto， Ontario， 1999

[2]IIA. Continuous Auditing: Implication for Assurance， Monitoring and Risk Assessment， Research Report[R].The Institute of Internal Auditors Research Foundation， February，2006

[3]Levent V. Orman. Database audit and control strategies[J].Information Technology and Management， Jan 2001，pg.27-51