IT審計風險成因及其防范對策思考

安廣實 陶蕓輝

計算機的相關(guān)技術(shù)現(xiàn)在廣泛應(yīng)用于審計工作實踐中，對審計工作產(chǎn)生了全方位的影響，在審計工作中發(fā)揮著重要的作用，極大地提高了審計工作效率和質(zhì)量，IT審計已經(jīng)成為信息時代下審計發(fā)展的必然趨勢。

一、IT審計的特點

IT審計是指審計人員運用計算機，對被審計單位會計信息系統(tǒng)進行的有效性、數(shù)據(jù)處理的合法性正確性、最終報表的真實性公允性進行審計的過程。IT機審計與傳統(tǒng)審計相比，同樣是經(jīng)濟監(jiān)督、評價職能，特殊性在于審計的對象和審計的工具不同。IT審計的本質(zhì)是會計學、審計學和計算機科學技術(shù)相互融合促進的一門學科，目標是評價被審計單位的信息系統(tǒng)，并在此基礎(chǔ)上利用計算機技術(shù)對數(shù)據(jù)進行審計，同時提出改進意見，開展審計監(jiān)督服務(wù)，促進經(jīng)濟繁榮和社會穩(wěn)定。

（一）擴大審計范圍，提高審計效率

在傳統(tǒng)審計中，審計人員的工作手段主要以手工為主，具有較大的局限性，操作耗時長，審計效率偏低。在運用計算機審計技術(shù)后，審計人員能夠?qū)Ρ粚徲媶挝幌到y(tǒng)中的大量數(shù)據(jù)進行全面分析，結(jié)果更為準確，具有參考價值，同時還提高了審計工作效率，擴大了審計范圍，使審計結(jié)果更具有說服力。

（二）豐富了審計方法，保證了審計質(zhì)量

被審計單位的經(jīng)濟業(yè)務(wù)日益繁多，復(fù)雜程度也不斷增加，在控制審計成本、提高審計效率和質(zhì)量的前提下，審計人員開始普遍對被審計單位使用審計抽樣法。計算機審計的運用，使得確定樣本規(guī)模、選取樣本項目和評價樣本結(jié)果開始變得更加科學、合理和高效，對被審計單位風險的計量也更加客觀，同時可方便審計人員準確控制風險，而且還有利于高效設(shè)計樣本和定量評價審計結(jié)果。

（三）整合審計資源，保證審計時效

計算機審計技術(shù)和方法的運用，不僅可以確保審計時間和進度，減輕審計人員的工作負擔，使得原本復(fù)雜繁瑣的審計工作變得高效簡單，還可以通過計算機局域網(wǎng)，使得企業(yè)內(nèi)部及企業(yè)和銀行之間的數(shù)據(jù)交流變得更加及時高效，確保了審計時效，對數(shù)據(jù)改變的實時監(jiān)控也變得更加準確。

二、形成IT審計風險的原因

計算機審計風險是指審計人員未能合理運用計算機審計技術(shù)，最終導(dǎo)致審計結(jié)果不符合被審計單位事實，從而發(fā)表錯誤的審計意見，造成損失的可能性。

（一）審計線索的改變

隨著信息技術(shù)的日新月異，傳統(tǒng)手工會計處理中的文字賬簿正在逐漸消失，取而代之的是各種計算機存儲介質(zhì)，但儲存在上面的各種數(shù)據(jù)無法用肉眼觀察，只能通過機器識別，因此很容易被毫無痕跡的修改、隱藏、丟失和刪除，導(dǎo)致審計風險增加。

（二）審計技術(shù)和方法的復(fù)雜化

在傳統(tǒng)的手工系統(tǒng)中，審計人員可以根據(jù)具體的情況采用審查的方法，所有的工作都由人工完成，但在計算機審計下，不同的被審計單位所采用的會計軟件在功能和程序上都有差別，其所要求運用的審計技術(shù)和方法也不相同，因而給審計人員的工作增加了復(fù)雜性。審計人員如果采用了不恰當?shù)膶徲嫾夹g(shù)或方法，必然會增加審計風險。

（三）動態(tài)取證較難

計算機會計信息系統(tǒng)必須持續(xù)運行，以保證被審計單位的工作能夠有條不紊的運行，所以審計人員不僅要完成審計任務(wù)，同時還要保證系統(tǒng)的正常運作，這樣就必須進行動態(tài)取證，取證中要保證數(shù)據(jù)的準確可靠，這需要很高的鑒別能力，難度較大，因此加大了風險。

（四）內(nèi)部控制制度的不完善

在傳統(tǒng)的手工系統(tǒng)中，內(nèi)部控制制度是看得見和摸得著的，但在計算機技術(shù)被運用在審計后，幾乎所有會計信息的存儲和處理都高度集中于計算機，絕大部分的內(nèi)部控制措施是以程序的形式建立在單位會計信息系統(tǒng)中，在很大程度上依賴計算機的處理，被審計單位的內(nèi)控制度是否恰當有效會直接影響輸出信息的真實和準確，從而造成審計風險。

（五）審計人員計算機知識的缺乏

大部分的審計人員缺乏計算機的專業(yè)知識，隨著審計對象的復(fù)雜化和審計方法的多樣化，審計人員除了要掌握必要的會計和審計知識，還必須了解掌握一些計算機方法和技術(shù)，否則其做出的審計結(jié)論有可能會偏離被審計單位實際，從而發(fā)表錯誤的審計意見，增加了審計風險。

（六）現(xiàn)行會計軟件評審機制存在缺陷

現(xiàn)行會計軟件評審機制主要注重軟件功能的構(gòu)成要素及會計處理方法的合理性，忽略了審計線索的保全性和對軟件開發(fā)系統(tǒng)內(nèi)部控制的評價，會給審計人員的工作帶來一定困難和風險。

三、IT審計風險的構(gòu)成

我國的IT審計起步較晚，審計風險沒有被人們系統(tǒng)的了解，但對IT審計風險的正確認識是有效防范化解審計風險的前提，因此對于IT審計風險審計人員要有一個全面的認識。

（一）IT審計的固有風險因素

IT審計的固有風險是指在不考慮計算機會計系統(tǒng)規(guī)范的前提下，系統(tǒng)處理數(shù)據(jù)發(fā)生錯誤的可能性。其特點是：IT審計的固有風險是計算機系統(tǒng)本身所固有的，審計人員只能評估，卻無法控制或影響它；計算機固有風險的衡量是主觀的、復(fù)雜的；不同的計算機系統(tǒng)其固有風險水平不同。

計算機硬件故障或軟件不足，易造成會計資料的損壞和丟失，導(dǎo)致會計數(shù)據(jù)處理過程中發(fā)生偶發(fā)錯誤。

計算機會計系統(tǒng)的高度集成，導(dǎo)致了系統(tǒng)的復(fù)雜性、依賴性和脆弱性，數(shù)據(jù)容易被修改和盜取。

用磁性介質(zhì)存儲會計資料，其穩(wěn)定性和安全性較差，計算機病毒的侵害容易照成會計數(shù)據(jù)丟失。

系統(tǒng)管理人員的技術(shù)達不到管理系統(tǒng)所要求的水平，出現(xiàn)了技術(shù)應(yīng)用和管理錯誤；系統(tǒng)管理人員由于特殊原因而擅自更改會計數(shù)據(jù)，或蓄意破壞或摧毀計算機會計系統(tǒng)。

（二）IT審計的檢查風險因素

IT審計的檢查風險可以通過調(diào)整實質(zhì)性測試來進行控制，影響計算機審計檢查風險的因素實質(zhì)上是由于計算機審計規(guī)范不完善、審計人員自身或者技術(shù)原因造成的影響實質(zhì)性測試正確性的各種因素。

1.人員操作風險。審計人員在對會計信息系統(tǒng)進行審計時，由于過分依賴計算機運行得出的結(jié)果，而沒有對審計線索進行檢查；審計人員由于知識不夠或業(yè)務(wù)不熟，無法跟蹤審計，遺漏了審計證據(jù)；審計人員不了解會計信息系統(tǒng)的特點，不能審查識別其內(nèi)部程序控制。

2.審計軟件風險。這種風險是指由于計算機軟件本身缺陷原因照成的風險。主要包括：計算機審計技術(shù)的開發(fā)和推廣落后于計算機會計技術(shù)，并且技術(shù)含量偏低；研究開發(fā)人員對審計業(yè)務(wù)的不熟悉；沒有經(jīng)過相關(guān)部門鑒定，導(dǎo)致軟件運行有風險；審計軟件與會計軟件的接口不匹配，導(dǎo)致數(shù)據(jù)不能導(dǎo)出；審計軟件配套升級滯后，影響了審計效率和質(zhì)量。

3.管理風險。指的是對計算機審計管理制度不健全、不完善而導(dǎo)致的風險。主要包括缺乏相關(guān)的計算機審計操作規(guī)范，導(dǎo)致審計人員各行其是，審計目標、內(nèi)容和手段等各不相同，管理風險增大。

（三）IT審計的控制風險因素

IT審計的控制風險是指在計算機系統(tǒng)運行中可能出現(xiàn)的重大錯誤，影響了單位經(jīng)濟活動描述的真實性，沒能被計算機軟件的程序化控制及時發(fā)現(xiàn)或防止的風險。IT審計的控制風險大小主要與會計系統(tǒng)程序化設(shè)計的科學性、合理性和穩(wěn)健性相聯(lián)系。

1.系統(tǒng)數(shù)據(jù)風險。會計數(shù)據(jù)在錄入時缺乏嚴格的控制，采用虛假、篡改和延遲等手段造成錯誤數(shù)據(jù)；數(shù)據(jù)存儲高度集中，卻缺乏嚴格的分級瀏覽控制；會計數(shù)據(jù)的處理責任大部分集中于計算機系統(tǒng)中，集中程度越高，會計風險越大。

2.系統(tǒng)環(huán)境風險。包括軟件環(huán)境風險和硬件環(huán)境風險，一方面是因為計算機信息系統(tǒng)的復(fù)雜性以及會計系統(tǒng)的聯(lián)網(wǎng)性，另一方面則是因為計算機設(shè)備的多樣化，從而導(dǎo)致系統(tǒng)系統(tǒng)環(huán)境風險的增大，

3.系統(tǒng)控制風險。是由于會計系統(tǒng)的內(nèi)部控制不嚴密照成的風險，系統(tǒng)控制是指在人和機器的雙重控制下，還需要建立外部網(wǎng)和網(wǎng)上交易的安全控制。審計人員需要對這些內(nèi)容進行外部控制測試，難度很大。

四、IT審計風險的防范對策

對IT審計風險的防范可以從微觀和宏觀兩個方面進行，微觀上，不僅應(yīng)努力提高審計人員的計算機審計技術(shù)和水平，在審計中選擇恰當?shù)膶徲嫾夹g(shù)和方法，完善被審計單位的內(nèi)部控制水平；宏觀方面，應(yīng)盡快完善并推廣通用的計算機軟件，同時建立健全的計算機審計準則和標準，還要不斷創(chuàng)新計算機審計理論研究。

（一）降低計IT審計的固有風險

1.完善審計軟件的設(shè)計，降低審計線索減少或消失的可能性。一是加強操作的謹慎性，只有在打印或存檔后才允許刪除；二是設(shè)置強制備份，防止數(shù)據(jù)丟失；三是未經(jīng)許可不得更改報表的取數(shù)公式；取消反過賬反結(jié)賬的功能，記錄報表打印的次數(shù)。

2.改進數(shù)據(jù)錄入技術(shù)，降低錯誤的可能性。一是盡量采取掃描錄入，留有紙質(zhì)備份；二是對于重要的憑證，報表要存盤，方便以后查閱；三是盡量使用自動轉(zhuǎn)賬功能，保證數(shù)據(jù)的完整準確。

3.加強內(nèi)部控制機制，減少會計數(shù)據(jù)被修改、刪除和盜用的可能性。一是要配備性能優(yōu)良的硬件設(shè)備，如增加數(shù)據(jù)備份，增加數(shù)據(jù)加密和設(shè)置防火墻等；二是得到后續(xù)軟件支持；三是建立安全穩(wěn)定的運行環(huán)境，合理設(shè)置加密關(guān)口和防火墻；四是加強組織人員素質(zhì)，完善規(guī)章制度。

（二）降低IT審計的控制風險

1.按照不同的操作權(quán)限設(shè)置密碼，提高約束機制的作用。首先是系統(tǒng)管理員為不同崗位的會計人員設(shè)置不同的權(quán)限和初始密碼；其次是會計人員在獲得權(quán)限后更改密碼；最后要嚴格控制操作權(quán)限的設(shè)置。

2.建立企業(yè)和銀行之間的網(wǎng)絡(luò)連接，減少數(shù)據(jù)不一致的可能性。一是對企業(yè)內(nèi)部的會計業(yè)務(wù)自動掃描原始憑證，依靠軟件自動生成記賬憑證；二是對企業(yè)和銀行之間的業(yè)務(wù)，建立網(wǎng)絡(luò)連接，傳送實時數(shù)據(jù)，保證數(shù)據(jù)的同步一致。

3.提高網(wǎng)絡(luò)通信的效率，做好及時維護，保證系統(tǒng)的正常運行。一是選取性能良好的網(wǎng)絡(luò)平臺和配套傳輸設(shè)備；二是選擇運行良好的會計軟件；提高審計人員的計算機使用水平，保證能準確無誤的操作系統(tǒng)。

（三）降低IT審計的檢查風險

1.被審計單位應(yīng)主動與審計師進行溝通，對歷史文件采取統(tǒng)一的存儲格式，降低文件無法閱讀的可能性。一是針對不同時期版本的會計軟件，備份數(shù)據(jù)時要采取統(tǒng)一的格式，以方便審計人員進行審計。二是制定會計軟件相關(guān)的行業(yè)標準，統(tǒng)一數(shù)據(jù)格式和外部接口。

2.設(shè)計一套能使檢查風險降到最低的審計檢查程序，一是檢查被審計單位的權(quán)限設(shè)置，對操作日志進行審查，尋找疑點；二是檢查被審計單位的取數(shù)公式；三是進行賬實核對、賬證核對、賬賬核對和賬表核對；四是檢查內(nèi)部控制制度的完整性和會計政策的一貫性。

IT審計是會計信息化的必然要求，審計人員首先要對IT審計風險理論進行系統(tǒng)的研究，構(gòu)建IT審計風險理論體系，用理論指導(dǎo)實踐，加強人們對IT審計風險的認識。其次要加強審計人員的審計風險教育，強化防范IT審計風險的意識，積極糾正IT審計出現(xiàn)的問題，營造良好的IT審計關(guān)系，有效防范IT審計風險。

[1]徐經(jīng)緯.淺淡計算機審計風險及其防范對策[J].經(jīng)濟研究導(dǎo)刊.2009（16）.

[2]張繼偉.計算機審計風險成因及其防范對策[J].財會通訊.2009（22）.

[3]武東萍.計算機審計風險探析[J].經(jīng)濟問題.2009（03）.

[4]肖軍；翁曉華.關(guān)于計算機審計技術(shù)在內(nèi)部審計中的實踐研究[J].商業(yè)會計.2011（02）.