信息系統審計的研究現狀及存在問題分析

【摘要】信息系統審計是伴隨計算機信息技術與審計不斷發展進步應運而生的。同國際信息系統審計的發展相比較，我國對此的研究和發展還比較滯后。本文闡述了信息系統審計的發展歷程和國內外的研究現狀，并對我國信息系統審計所存在的幾點問題進行了分析。

【關鍵詞】信息信息系統審計問題

一、對信息系統審計的一般認識

（一）信息系統審計的發展歷程

審計是經濟社會發展到一定階段的產物，隨著經濟和社會不斷變化，計算機信息技術不斷發展進步，信息系統審計也應運而生并不斷發展。信息系統審歷經形成、建立到逐漸完善，低級到高級歷史進程，具體可劃分為萌發階段、拓展階段、成熟階段、普遍提升階段。

1.萌發階段。上世紀中葉，信息系統審計（以下簡稱ISA）處于萌芽階段。IBM出版了《電子數據處理環境下的審計》；美國注冊會計師協會（以下簡稱協會）出版了《會計審計和計算機》，闡述了如何進行電子數據下信息系統審計與傳統外部審計，指出新的電子數據下內部審計的規范、組織方式等。此時ISA又被稱為電子數據處理審計（EDPA），也就是以計算機為核心的審計。1969年，信息系統審計與控制協會（以下簡稱ISACA）在美國成立，標志著國際社會正式開始對ISA的研究。

2.拓展階段。二十世紀七十年代，不斷出現的計算機犯罪促使ISA的拓展。1974年，協會制定了電子數據處理審計的標準并記錄于《內部管理的調查與評價對EDP的影響》一書中。1977年，內部審計師協會發表《系統可審計性及規則的研究》（SAC報告），該書匯總了針對歐洲、美國、加拿大與日本等國家的企業所展開的調研情況，同時指出審計執行工具取得的成就。1975年，日本ISA委員會成立并且在1976年發表多部與信息系統審計相關的書籍：《使用電子計算機的會計組織的內部規則質問書（修訂案）》、《EDP審計標準及審計過程試案》和《EDP審計方法》等。1978年，信息系統審計師（CISA）考試與資格認證開始實施，這標志著ISA的深入拓展。

3.成熟階段。信息系統審計發展的成熟期是八十年代。1982年，日本通產省設立計算機安全研究會，對健全信息化的必要法規進行研究。1983年，發表緊要課題——《有關計算機的安全對策》。1984年，日本ISA協會研究美國的ISA標準并于1985年發布《IT審計標準》，同時將IT審計師考試加入計算機水平考試中。

4.普遍提升階段。ISA在二十世紀九十年代不斷普及。這一時期，ISACA不斷拓展擴大，一百六十多個分會遍布全球，擬定并頒發ISA法則與實務指南，同時積極推廣CISA資格考試。1992年，EDP審計委員會在國際最高審計組織（INTOSAI）的推動下成立了，因此又被稱為INTOSAI-EDP委員會。2002年11月將其變更為INTOSAI-IT委員會。

信息系統審計的拓展提升，一方面使得傳統審計技術不斷擴展改變并應用廣泛；另一方面整個社會依賴計算機信息系統越來越緊密促使信息系統審計越來越重要，信息系統審計代表了未來審計發展的一個重要方向。

（二）信息系統審計的涵義

全球信息系統審計領域內的著名專家Ron A. Weber指出，信息系統審計是審計人員經被審計單位的授權或者委托，收集、整合證據，從而評估一個計算機信息系統能否有效地維護資產、保護數據完整性，同時最有效地實現組織目的的活動進程。它包含信息系統外部審計的鑒證目標和內部審計的管理目標，具體來講是鑒證被審單位數據的完整性與資產的安全性以及信息系統的有效性。日本通產省情報協會將其概述如下：為了信息系統的有效、安全與可靠，由獨立審計對象之外的IS審計師，以客觀的立場對以計算機為主的信息系統展開全面的檢查與評估，同時對所審計單位的最高領導提出意見和建議的一系列的活動。鄧少靈學者指出，IT審計是從規劃、研究、實行到執行維護各個階段展開對信息系統的審查與評估，從而審查信息系統的有效、安全與可靠，以此來保障信息系統得出的數據精確可靠。

以上學者對信息系統的定義雖然不盡一致，但通過分析可以發現信息系統審計的一些要點：

1.信息系統審計的目標是判斷信息系統能否有效保護公司資產，提高企業經營效率和企業核心競爭力。

2.信息系統審計是一個過程，這個過程需要涵蓋企業信息系統從規劃、開發、實施到運行維護的每一個階段。

3.信息系統審計報告面對的對象是企業經營管理負責人，因為信息系統關系到企業的日常運營以至生存發展。

綜合上述幾個要點，筆者總結出，信息系統審計是對企業信息系統規劃、研發、實行、執行維護與實現組織目標的效率進行審計的過程，在這個過程中，信息系統審計人員應該對信息系統能否有效保護公司資產，提高企業經營效率以及企業核心競爭力作出判斷，并向企業經營管理負責人如實報告。

二、信息系統審計的研究現狀

（一）國外研究現狀

上世紀中葉末期，加拿大、美國等多國學者便開始專門探討有關信息系統審計的問題。1961年，出版了《電子數據處理與審計》一書，這是首部關于計算機信息系統審計的著作。1976年，戴維斯、仁德和邁爾合著的《計算機控制與審計》一書發表，該書全面系統地討論了有關設置與評價電算化系統內部控制的問題。隸屬于協會的審計準則委員會（ASB）時刻關注IT如何影響審計工作。2001年4月，ASB公布第94號準則，即SAS no.94。該準則規范了三個方面的問題：其一，IT對企業內部控制的影響；其二，IT對會計師了解內部控制程度的影響；其三，IT對會計師評價審計風險的影響。同時，SAS no.94指出，IT的應用會影響控制環境、風險評估、控制活動、會計記錄、信息交換及監控這幾大內部控制的組成要素。SAS no.94認為現代企業可以多種方式使用IT系統，比如某一特殊單元運用互相獨立的系統來支持、共享數據運用高度集成化的復雜系統等；指出確定、計量、記載、報告所產生的企業交易這些工作則可運用IT系統來完成。企業的業務流程應隨著企業信息化的進步而發生變化。IT系統中的內部控制大多數是自動化與人工的結合體，而且人工控制有時獨立于IT系統之外，因此有必要將IT系統中的信息導入來評價該系統能否有效實行。

（二）國內研究現狀

目前，我國還停留在信息技術對傳統審計、會計的影響與沖擊方面。近年以來，我國行業的信息系統建設中迷茫、混亂、系統質量低劣乃至失敗等現象屢次出現。眾多學者認為有必要及時地對信息系統展開審計。2001年11月，《國務院辦公廳關于利用計算機信息系統開展審計工作的有關問題的通知》與《審計法實施條例》規定：審計機關有權對被審單位有關財政收支的計算機信息系統進行檢查；2003年5月1日，信息產業部頒布實施《信息系統工程監理工程師資格管理辦法》、《信息系統工程監理單位資質管理辦法》與《信息系統工程監理暫行規定》。這三部法規使得我國信息系統建設的質量控制有了法律依據。

李丹（中國大陸通過ISACA主辦的CISA考試第一人）的《信息系統審計——傳統審計的一場革命》中指出，信息系統審計是通過被審對象的信息化系統的可靠、安全展開了解、實驗和評價，以此來判斷信息系統對財務的影響或者提出單獨的信息系統審計報告這一活動過程。

傅元略教授在《計算機信息系統環境下的幾個審計問題》一文中概述了計算機網絡會計的涵義，介紹了會計電算化的發展方向。該書闡述了計算機網絡會計的涵義與特征；指出企業在計算機網絡化環境中應有的創新；認為面對企業競爭，社會環境與顧客、供應商的變化，會計信息系統能夠及時作出反應，探討了計算機網絡會計與企業信息化、電子商務的關系問題以及網絡化環境下會計職能的問題。

甄阜銘的《網絡環境下會計信息系統內部控制的探討》一文指出網絡環境下的會計信息系統有遭遇非法訪問乃至病毒、黑客攻擊的可能。這種侵擾有可能產生于系統內部，也可能產生于系統外部，一旦發生攻擊將造成巨大的損失。網上交易活動的普遍，電子商務的迅速發展，企業依賴于網上公證機構的程度也隨之加強。但現今相應的法規與技術手段還不完備與規范，這一情況致使系統內部控制的展開極為困難。總之，會計信息系統的內部控制體系將隨著逐漸成熟的網絡技術而發生深刻改變。同時，這一變化將促使審計理論和實務發生巨大的變革。

我國注冊會計師呂博的《信息技術環境下審計理論基礎研究》一文，從認定分析信息技術下審計理論基礎入手，探討了基礎與理論之間的辯證關系，并對信息技術下審計理論基礎的特征、內容與研究方法進行了整合闡述。他指出審計理論基礎與審計理論相區別，審計理論具有普遍適用性、高度抽象性、普遍指導性和嚴密邏輯性等特點，而前者不具備這些特征，它只作為連接審計理論和其他學科理論的紐帶與橋梁。審計基礎理論是與審計應用理論相對應的且獨立于審計活動的普遍性通用理論。在信息技術環境下，計算機技術廣泛應用于經濟社會生活的各個領域，這依靠其獨有的高度滲透性，并影響著審計理論基礎的發展。審計理論基礎在信息技術環境下具備了虛擬性、質量性、交互滲透性、動態發展性與內容多樣性等新特征。

孫強學者發表了《信息系統審計：安全、風險管理與控制》一書。該書結合我國具體國情，引進、消化與吸收了國際先進的安全風險管理和控制的方法論以及最佳實務。以審計的基本理論為依據，對內部控制及其檢測與評價進行了介紹，著重介紹了深入到信息系統審計中的內部控制，根據信息系統建設與運行維護生命周期的邏輯關系，對信息系統的戰略組織與規劃進行了翔實描述。同時還介紹了計算機技術基礎平臺建設、應用系統建設和維護、信息化建設與運營實務、災難恢復和業務持續計劃等內容。

但是目前我國還缺乏對信息系統審計尤其是網絡信息系統審計的系統性研究。

三、我國信息系統審計現存問題分析

（一）我國的信息系統缺乏應有的審計接口

對會計信息系統進行審計要求計算機信息系統留有審計接口，以便通過接口取得被審系統的電子信息資料，才能進行有關的審計處理。雖然《關于利用計算機信息系統開展審計工作有關問題的通知》明確規定“計算機信息系統應當具備符合國家標準或者行業標準的數據接口”，軟件協會財務及管理軟件分會也規范了財務軟件的數據接口標準，但事實是許多財務與管理軟件沒有遵照執行。我國現有的計算機信息系統大部分沒有設置審計軟件接口，當直接訪問信息系統資料時，審計軟件便會受阻。此外，獲取電子信息資料的困難阻礙了計算機輔助審計的發展。

（二）缺乏勝任會計信息系統的審計專業人才

信息系統審計與傳統審計工作不同，其具有極強的專業性。信息系統審計對要求審計人員具有極高的專業水平，特別是有關計算機信息技術的專業知識。目前，我國的審計人員大都只接受過傳統財務審計教育，缺少信息技術方面的專業知識，因此出現知識結構不適應信息系統審計要求的問題。然而，專業的信息技術方面的人才對于審計工作卻也是個門外漢。

（三）信息系統審計實踐水平不高

我國對于信息系統審計的實踐水平不高，且多數集中在電子數據的收集與分析上，重視實質性檢測階段，這受目前審計工作的發展水平的限制。在手工會計系統下的財務報表審計中，審計人員仍在查錯糾弊方面投入主要精力，重視財務數據，卻將被審單位的信息處理系統、內部控制忽視。這一弊端直接致使我國落后于國際上的信息系統審計實踐水平。計算機信息環境中，審計人員只關注財務的數據載體變化，也就是只注意電子信息替代了手工會計系統下的紙質文檔，而對處理這些數據的系統環境的改變缺乏關注。因此，我國應豐富審計工作的層次，同時，審計人員不應僅滿足于糾弊查錯而對產生錯弊的制度和管理系統視而不見，應做到“知其然”與“知其所以然”。這種不全面的工作方法延伸到信息系統審計中，表現出來的是——信息系統審計的工作重點僅停留在收集與分析電子數據上，卻將產生問題電子數據的信息系統忽視。

（四）缺失信息系統審計的對應制度

近年來，越來越多的國家建立起較為成熟的信息系統審計制度，并依此來展開有效和規范的信息系統審計，這一制度能與一套成熟的財務審計準則相媲美來規范和指導傳統審計業務。反觀我國，信息系統審計制度的建設比較落后，雖然國家已經頒布了的一些規范信息系統審計工作的法律法規，但這些規定只針對信息系統審計的某一方面，因此我國缺乏一套完整體系、內容全面與合理結構的信息系統審計制度。信息系統審計的不斷拓展壯大必然要求行業組織總結實踐經驗，固定、統一工作流程、有關概念和技術方法，形成行業統一的規范和標準。總之，沒有統一的規范和標準，所有的實踐活動只能在低水平上重復。

參考文獻

[1]張永雄.信息系統審計產生及發展研究[J].審計與理財，2005（2）：27-28.

[2]Standyards.Information Systems Audit and Control Association Procedures for IS Auditing，2002（6）：46-50.

[3]鄧春梅，李嘉明，馬寧.信息系統審計及相關問題分析[J].重慶大學學報（自然科學版），2004，27（6）：151-154.

[4]李丹.信息系統審計——傳統審計的一場革命[J].中國審計，200.

[5]郝曉玲，胡克瑾.信息系統審計的體系框架初探明[J].同濟大學學報（社會科學版），2003，14（5）:71-75.

[6]孫為軍.信息審計應用模式的設計和實現[D].南京:南京航空航天大學，2003.

作者簡介：王琪（1986-），男，山東聊城人，安徽財經大學2010級情報學專業碩士研究生，研究方向：企業信息資源管理。