基于IT環(huán)境的信息系統(tǒng)審計探討

史建樹

當前，隨著計算機與互聯(lián)網(wǎng)的迅速普及，人類對計算機的依賴達到了前所未有的程度，全社會各行各業(yè)信息化進程不斷加快，我國許多企業(yè)在實現(xiàn)各部門信息化的同時，也已著手整合與集成其信息化應(yīng)用系統(tǒng)。但是，多年來國內(nèi)外企業(yè)的實踐經(jīng)驗表明：信息化是有風險的，且系統(tǒng)規(guī)模越大，功能越復(fù)雜，風險也就越大。在當前信息化擴張的時代，我們內(nèi)部審計面臨一項新的問題：內(nèi)部審計應(yīng)當如何對企業(yè)信息系統(tǒng)進行監(jiān)督和檢查？這也為我們提出了一個新的審計領(lǐng)域，即信息系統(tǒng)審計。

一、IT環(huán)境下內(nèi)部審計對象的變化和特征

1.數(shù)據(jù)處理的集中化與自動化

手工崗位分工操作的各個工作，在信息系統(tǒng)環(huán)境下都由計算機集中處理，每一臺計算某一特定的任務(wù)，一組數(shù)據(jù)一經(jīng)輸入，便可以被不同的用戶共享。隨著系統(tǒng)的復(fù)雜性越高，數(shù)據(jù)處理就越為集中。在數(shù)據(jù)的原始數(shù)據(jù)的采集一般都以代碼為標識。

2.數(shù)據(jù)存儲的磁性化

在信息系統(tǒng)中，數(shù)據(jù)以文件形式存儲，而這種存儲的介質(zhì)，又都以磁性材料為主。存儲于磁介質(zhì)上的數(shù)據(jù)，與其它電子數(shù)據(jù)一樣，都具有存取方便、修改與刪除不留痕跡的特點，而這一特點有給數(shù)據(jù)的可靠性與安全性帶來了極大的威脅，也使日后的審計工作困難重重。

3.內(nèi)部控制程序化

信息系統(tǒng)建立后，內(nèi)部控制的內(nèi)涵與外延發(fā)生了很大的變化，由于采用計算機，人們就不能不對其硬件和軟件工作環(huán)境的安全性、可靠性詳加考慮，采取各種嚴密的措施，確保相關(guān)信息的真實準確。而要做到這點，必須將各種控制方法嵌入程序之中，通過程序的運行，核對數(shù)據(jù)勾稽關(guān)系、數(shù)據(jù)處理順序等。

二、信息系統(tǒng)審計的概念

信息系統(tǒng)審計最早也被稱為計算機審計，是隨著計算機在財務(wù)會計領(lǐng)域的運用而產(chǎn)生的。隨著計算機技術(shù)應(yīng)用領(lǐng)域的不斷擴大，計算機對被審計單位個個業(yè)務(wù)環(huán)節(jié)的影響越來越大，計算機審計更多關(guān)注的內(nèi)容也從單純的對電子數(shù)據(jù)的處理，延伸到對計算機系統(tǒng)的可靠性、安全性進行了解和評價。計算機審計的業(yè)務(wù)范圍已經(jīng)覆蓋了一項審計業(yè)務(wù)的全過程，計算機審計這一概念已經(jīng)不能反映這一業(yè)務(wù)的全部內(nèi)涵。

三、建立內(nèi)部審計信息化流程框架的分析

1.審計證據(jù)的獲取與鑒定

①審計證據(jù)的獲取：收集審計證據(jù)是審計人員實施審計證據(jù)決策的首要環(huán)節(jié)。信息系統(tǒng)審計的證據(jù)也是通過查詢文檔、問卷調(diào)查、數(shù)據(jù)抽樣等方式獲得。

②審計證據(jù)真實性鑒定：審計人員從收集審計證據(jù)的全過程來鑒定證據(jù)本身的真實程度。審計人員對整個信息系統(tǒng)的安全性、可靠性、內(nèi)部控制的健全性與有效性等方而進行測試和鑒定，提高信息的可靠性和真實性，有效地防止利用計算機隨意篡改數(shù)據(jù)或破壞磁性介質(zhì)上的數(shù)據(jù)等舞弊行為的發(fā)生。

2.信息系統(tǒng)審計操作流程

①審計計劃階段：了解被審系統(tǒng)基本情況；初步評價被審單位系統(tǒng)的內(nèi)部控制及外部控制；識別重要性；編制審計計劃。

②審計實施階段：對信息系統(tǒng)計劃開發(fā)階段的審計；對信息系統(tǒng)運行維護階段的審計；

③審計完成階段：整理、評價執(zhí)行審計業(yè)務(wù)過程中收集到的證據(jù)。評價審計結(jié)果，形成審計意見，完成三級復(fù)核，編制審計報告。

四、對開展信息系統(tǒng)審計的幾點建議

1.審計觀念的轉(zhuǎn)變

觀念問題也就是認識問題。如果不轉(zhuǎn)換審計觀念，將審計的目標局限為查錯糾弊，勢必將信息系統(tǒng)審計與當前中心工作對立起來。把內(nèi)部審計僅僅理解為“查賬”，則對信息系統(tǒng)審計的理解也只能停留在計算機輔助審計或輔助審計軟件開發(fā)及應(yīng)用的層次上。只有全面樹立系統(tǒng)基礎(chǔ)審計或風險基礎(chǔ)審計的觀念，才能理解信息系統(tǒng)審計的重要意義。審計中發(fā)現(xiàn)的很多錯弊，由于都是管理上出了漏洞，也就是系統(tǒng)出了問題。一個管理完善的、控制良好的信息系統(tǒng)，應(yīng)該能夠防止、發(fā)現(xiàn)或糾正自身存在的問題。內(nèi)部審計的任務(wù)就是幫助被審計者建立、健全這種機制，而不應(yīng)該是代替被審計者去履行他們的“管理責任”或“會計責任”。

2.審計標準的制定

信息系統(tǒng)的審計需要盡可能參照“基于風險的信息系統(tǒng)控制評價指南”（GAIT）。GAIT是一套原則和方法，用于幫助評價企業(yè)信息系統(tǒng)控制的成本收益以及效率效果，通過制定GAIT，IIA一方面幫助企業(yè)識別信息系統(tǒng)控制中的關(guān)鍵因素，避免財務(wù)數(shù)據(jù)錯弊的發(fā)生；另一方面知道管理層和審計人員識別信息系統(tǒng)的關(guān)鍵控制點，以滿足企業(yè)遵守404條款的要求。

3.專業(yè)人才的培養(yǎng)

開展信息系統(tǒng)審計最重要的在于人才的準備，需要一批既掌握現(xiàn)代審計理論與實務(wù)又了解計算機技術(shù)的復(fù)合型知識結(jié)構(gòu)的專業(yè)人才，但目前內(nèi)部審計人員數(shù)量和知識結(jié)構(gòu)上看，還遠遠達不到這一要求。由于企業(yè)開展信息系統(tǒng)審計的必要性，因此企業(yè)迫切需要信息系統(tǒng)審計人員。短時間里讓企業(yè)培養(yǎng)出信息系統(tǒng)審計復(fù)合型人才不太現(xiàn)實，故目前可以采取使用兩種知識類型的人員共同完成審計任務(wù)的方式。每個信息系統(tǒng)審計項目都配備專業(yè)審計人員和專業(yè)技術(shù)人員，由兩種類型人員分別執(zhí)行審計中的不同任務(wù)，同時也根據(jù)需要密切配合，這也是目前許多企業(yè)內(nèi)部審計部門進行計算機輔助審計所采取的有效方式。但從長遠看，信息系統(tǒng)審計人員仍應(yīng)是兼具兩種知識的復(fù)合型人員，這些人才的獲得可以通過培養(yǎng)現(xiàn)有的審計人員，補充和豐富其技術(shù)方面的知識來得到；也可以由技術(shù)人員充實管理知識后獲得。新形勢下對內(nèi)部審計人員提出的更高要求，只有通過不斷的學(xué)習(xí)和接受挑戰(zhàn)的心理才能適應(yīng)審計的發(fā)展需要。

4.加強聯(lián)網(wǎng)的建設(shè)

隨著企業(yè)信息處理系統(tǒng)的大規(guī)模網(wǎng)絡(luò)建設(shè)，審計人員不得不面對被審計單位越來越復(fù)雜的信息系統(tǒng)。在審計人員少、任務(wù)重的情況下，要充分意識到IT技術(shù)對審計工作的巨大挑戰(zhàn)和影響，從另一個角度來說，我們也可以利用計算機提高工作效率和質(zhì)量。

因此，審計人員要適應(yīng)信息技術(shù)的發(fā)展，將高新技術(shù)運用于審計工作。現(xiàn)在看來，經(jīng)濟領(lǐng)域的很多問題靠傳統(tǒng)的審計手段去審是不行的。一些大型企業(yè)在進行企業(yè)信息系統(tǒng)建設(shè)的時候，也充分考慮到內(nèi)部審計和外部審計需求，并預(yù)留相應(yīng)的接口。一些企業(yè)還自主開發(fā)了適應(yīng)本企業(yè)特點的審計軟件。信息系統(tǒng)審計軟件要與企業(yè)的經(jīng)營管理和會計核算信息系統(tǒng)聯(lián)網(wǎng)，隨時取得所需的電子數(shù)據(jù)和相關(guān)資料，實現(xiàn)對在線處理數(shù)據(jù)（磁盤或光盤數(shù)據(jù)）的審計，建立在計算機環(huán)境下新的審計模式。這樣，審計人員不用到被審計單位的現(xiàn)場，就可以對其實現(xiàn)隨時跟蹤、分析和審查，實現(xiàn)聯(lián)網(wǎng)審計，改變必須將時間安排為集中審計的局面，而且審計人員還可以通過積累的數(shù)據(jù)庫進行歷史的、橫向的分析比較，發(fā)現(xiàn)手工方式下難以查出的問題。

五、結(jié)束語

由于我國計算機、網(wǎng)絡(luò)技術(shù)發(fā)展起步較晚，基礎(chǔ)建設(shè)還相對比較落后，企業(yè)業(yè)務(wù)之間的整合性還相對缺乏，真正涉及到企業(yè)內(nèi)部網(wǎng)絡(luò)和業(yè)務(wù)流程的信息系統(tǒng)還處于發(fā)展初期。但網(wǎng)絡(luò)化的會計信息系統(tǒng)正在被企業(yè)所接受，因而計算機信息系統(tǒng)的審計卻還停留在審計理論界的探索之中，同時存在一定的問題。一方面，國內(nèi)許多企業(yè)的內(nèi)部審計工作還未真正受到管理層的重視，內(nèi)部審計的基礎(chǔ)工作還不能得到企業(yè)大量資源的投入；另一方面，信息系統(tǒng)審計開展的難度、對審計人員的高素質(zhì)要求等都制約了目前信息系統(tǒng)審計的實施和理論的構(gòu)建。因此，要建立健全的信息系統(tǒng)審計理論和方法還有一段路要走。