信息化環境下內部審計技術方法研究

【摘 要】 企業信息化發展促使內部審計變革其技術方法。文章從探討信息技術風險及其評估出發，分析信息化環境下內部審計常見技術方法的分類，并進一步分析了并行審計、持續審計等新型內部審計技術與模式，從而構建信息化環境下的現代內部審計技術方法體系。

【關鍵詞】 信息化； 內部審計技術； 信息技術風險； 計算機輔助審計

隨著國家電網公司中信息技術的日益普及和企業信息化的深入開展，跨地區、跨部門的企業集團信息系統、ERP（Enterprise Resource Planning）系統廣泛應用，原來所采用的傳統內部審計技術方法很難及時地對被審計單位的會計經營信息作出客觀評價，不能滿足審計信息需求者的管理決策需要，內部審計難以實現增值目標。因此，內部審計采用現代審計方法成為必然。現代審計方法是指能夠適應信息化的審計環境，能夠對海量數據進行篩選分析，發現疑點和審計線索，從而實現審計目標的審計技術、方法的總稱（董伯坤，2007）。本文從信息技術風險評估出發，分析信息化環境下的現代審計技術方法，并在此基礎上進一步探索并行持續審計的模式，實現由傳統審計向現代審計的轉變，從而順應信息化發展趨勢，提高審計效率，降低審計風險。

一、信息技術風險評估

企業信息化的發展給審計技術方法帶來變革，例如數據庫技術（何玉潔、張俊超，2006）、趨勢分析法（黃巧妙、呂天陽、龐琦，2009）等自動化操作和邏輯分析的方法（殷麗麗等，2010），同時更帶來審計思維和基本理念的轉變，在信息技術風險評估的基礎上應用現代審計技術與方法便是一個基本的轉變。

信息技術風險是指公司在信息處理和信息技術運用過程中產生的各種不確定因素，這些因素可能對公司的戰略、發展、業務和效益等方面產生負面影響，并進而影響公司目標的實現。信息技術風險包括組織層面、一般性控制層面及業務流程層面的信息技術風險等。

信息技術風險評估是指識別、確認、評價公司所面臨的與信息技術相關的內、外部風險及其潛在影響的過程。內部審計人員應采用適當的風險評估技術與方法，分析及評價信息技術風險發生的可能性及影響程度，為確定審計目標、范圍、重點和方法提供依據。

針對組織層面、一般性控制層面的信息技術風險，審計人員在識別、評估時需要關注：業務關注度；信息資產（包括硬件設備、軟件及數據）的重要性；對信息技術及信息技術部門的依賴程度；對外部信息技術服務的依賴程度；信息系統及其運行環境的安全性、可靠性；信息技術變更情況；與信息技術相關的企業標準、規范、規章制度的制定及執行情況等。

業務流程層面的信息技術風險受業務內容的重要性、業務流程的復雜程度、上述組織層面及一般性控制層面的控制有效性等因素的影響而存在差異。通常，審計人員應了解業務流程并關注數據輸入、處理、輸出方面的信息技術風險。

內部審計人員應積極開展對信息化環境下風險的分析，充分考慮風險評估的結果，重點關注缺乏控制、重要性程度高以及可能產生舞弊的控制環節，以合理確定信息系統審計的內容及范圍，對公司的信息技術內部控制的設計和執行有效性進行測試，并完善內部控制體系。

由于國家電網公司的業務運作更加依賴于信息系統，這種依賴和信息系統本身特點所導致的脆弱性，形成了新的業務風險。因此，公司必須開展和加強信息技術風險評估，并在此基礎上對現有內部審計規范、指南等重新進行定義、修改和補充，加強信息系統內部審計工作管理體制建設，統一信息系統內部審計技術標準，明確信息系統內部審計人員技能要求，建立和完善適應信息化環境的內部審計準則體系，尤其把IT控制列為重點，把數據輸入、處理和輸出控制、信息系統的訪問及網絡安全作為內部審計的重要內容，使內部審計工作在新的環境下能夠順利進行。

二、信息化環境下內部審計常用技術方法

信息技術/信息系統的應用支撐著大多數關鍵業務流程，這也引起了在內部審計中如何使用信息技術的思考。本文認為，信息化環境下內部審計技術方法的研究與應用應從系統論、信息論的高度推進其系統化、科學化、規范化和智能化的發展。系統化是實施審計戰略（策略）和審計技術方法的全面協調。審計戰略（策略）解決好審什么、想達到什么目的的問題，審計技術和方法則解決怎么審和如何達到目的的問題，從而實現兩者的協調。科學化就是將科學手段與經驗總結相結合，推進信息化技術、數學和統計學等在審計中的應用。規范化是將內部審計技術方法融入到規范的內部審計程序中，規范和引導內部審計人員運用適當的審計技術和方法。智能化強調將歷史經驗總結、科學規律推導和審計人員的專業判斷結合起來，積極加強審計數據中心建設，建立行業/領域審計的標準和方法（上海市審計學會課題組，2012）。

《內部審計具體準則第28號——信息系統審計》第六章第二十四條指出，審計人員在開展信息系統審計過程中為獲取充分、適當的審計證據，可以單獨或綜合應用八種審計技術方法，包括：詢問、觀察、審閱、穿行測試等傳統方法；驗證系統控制和計算邏輯、登錄信息系統進行系統查詢、計算機輔助審計工具和技術等信息技術；利用其他專業機構的審計結果或組織對信息技術內部控制的自我評估結果等。

2011年審計署審計科研所《審計機關審計技術創新情況》課題組在全國27個省（自治區、直轄市）、5個計劃單列市和18個特派員辦事處對2006年以來的審計技術創新情況進行了專題調研，收集創新型審計技術應用522項，按技術種類分類可分為59種技術類別（審計署審計科研所課題組，2012）。在眾多創新型審計技術中尤為突出的是，計算機類審計技術占了很大比重，主要包括：各類審計軟件、數據采集/轉換技術、數據查詢和分析技術、聯網審計技術、信息系統審計技術、多維分析技術、數據庫技術、Office系列軟件、商業智能（BI）技術、MD5碼技術、數據挖掘技術、數據恢復技術、實時通訊技術等。

在此基礎上，本文將審計技術方法綜合整理為如圖1所示的體系。

1.常規審計方法，主要是用于信息系統的了解和描述，包括訪談法、系統文檔審閱法、觀察法、文字描述法、表格描述法、圖形描述法等。

2.計算機輔助審計技術，又可進一步分為面向系統的計算機輔助審計技術和面向數據的計算機輔助審計技術。面向系統的計算機輔助審計技術是用于驗證程序系統的，包括受控處理法、測試數據法、綜合測試法、平行模擬法和程序跟蹤法等；面向數據的計算機輔助審計技術主要用于對信息系統中的電子數據進行審計，包括數據采集、數據驗證、數據整理和轉換、建立審計中間表和數據分析等環節，采用的數據分析技術主要有賬表分析、數據查詢、審計抽樣、統計分析、數值分析、賬齡分析等（陳偉、張金城，2008）。

3.信息系統評價技術，主要用于信息系統的控制、風險和整體性評價，如控制矩陣、風險矩陣、層次分析法等。

4.新型審計技術，主要有并行審計、持續審計、商業智能（BI）技術、數據挖掘技術、數據恢復技術等。

內部審計人員在充分考慮信息安全的前提下，結合成本效益原則，根據信息系統審計業務類型，可以靈活選用恰當的審計技術方法。在充分發揮好信息化環境下內部審計技術優勢的同時，應該處理好例外現象，不能過于依賴技術，審計人員仍應保持高度的職業謹慎。

三、新型內部審計技術與模式

審計對象的科技水平和復雜性不斷提高，對審計技術提出了更高的要求，要求內部審計關口從傳統的事后審計逐漸前移到事中事前；同時，科學技術特別是信息和電子技術的發展，也為開發應用新型內部審計技術與模式創造了條件，使事中審計成為可行、經濟的審計模式。并行審計、持續審計便是實現信息化環境下實現審計關口前移的事中審計技術。

（一）并行審計技術

并行審計技術（Concurrent Auditing Technique）產生于20世紀60年代后期和70年代初期，是依托信息技術的發展而提出的審計技術。并行審計技術是指在應用系統對其業務進行處理時，同時采集審計證據的技術。使用并行審計技術采集審計證據包括兩個方面：一是為采集、處理和打印審計證據，需要在應用系統或系統軟件中嵌入專門的審計模塊；二是將采集到的證據存儲在應用系統文件中或存儲在專門的審計文件中，以便審計人員進行審查（梁麗瑾、續慧泓，2007）。

信息技術特別是網絡技術的發展，為并行審計提供了硬件環境的支持。并行審計要求的對交易的連續監控可以借助于網絡環境來實現。新的技術，如智能識別技術、無線射頻識別（RFID）、傳感技術等的廣泛應用，為審計模塊的“嵌入”提供了技術上的實現方案。同時，數據庫管理技術，特別是數據倉庫技術的應用，不僅能夠存儲海量的交易數據，而且通過數據倉庫可以提供決策所需的相關信息，從而對業務發生的情況可以作出智能化的判斷和分析，并將這種分析和判斷信息及時反饋。

（二）持續審計

持續審計（Continuous Auditing，CA）是一種由審計師在事項發生的同時，或在事項發生后的較短時間內，對與事項相關的主題提供書面評價的審計方法（CICA/AICPA，1999）。具體來說，持續審計是基于網絡信息技術，由審計師實施的將約定事項的連續信息（無論財務或非財務的信息）與事先確定的標準相對照，然后就二者的符合程度作出保證判斷的審計報告的一系列過程。它將信息技術高度整合到了審計領域，融合了實時審計、計算機輔助審計、聯網審計、非現場審計等方式，實現審計人員和被審計單位電子數據的及時連接和交互，克服了當前審計的滯后性，具有報告時隔短、審計范圍廣、追蹤事件及時、風險控制強等優點，可以縮短內部審計周期、改善風險和控制安全系數（張文秀、劉雷，2012；張娟、廖洪，2006）。

國際上對持續審計的研究起步于20世紀60年代，美國證監會（SEC）、國際內部審計師協會（IIA）、加拿大注冊會計師公會（CICA）、美國注冊會計師公會（AICPA）和國際信息系統審計協會（ISACA）等機構先后公開表明對基于IT的持續審計模式加以支持與倡導。根據普華永道會計師事務所發布的《2006內部審計狀況職業研究》（State of the Internal Audit Profession Study：Continuous Auditing Gains Momentum），被調查的美國公司中有半數的公司目前正在使用持續審計技術。

持續審計不僅向外界進一步證實被審單位提供的連續（或實時）報告（信息）的可靠程度，還可以為內部管理控制提供決策信息支持，同時還能夠根據客戶的特殊需求實時提供不同程度的相關保障。隨著信息技術的進步、電子商務的普及以及管理決策對信息“實時性”需求的日益增強，它將成為信息化時代審計模式發展的必然趨勢之一。持續審計在我國內部審計中還未完全開展，但可以預計這種技術以后會成為內部審計的重要方式。

除了并行審計、持續審計之外，新興的審計技術還有商業智能（BI）技術、數據挖掘技術、數據恢復技術等。隨著移動設備、云計算等的推廣和應用，將會有更多更新的審計技術出現。

四、結語

國家電網公司在信息化環境下的內部審計工作目前還處于摸索階段，在研究和探索內部審計技術方法的同時，還應對審計人員進行專門的信息技術培訓、對審計部門開放所有信息查詢功能等。進一步地還可以鼓勵內部審計人員參加國際注冊信息系統審計師（CISA）資格考試，通過培訓和考試，培養具有較高深的計算機軟硬件和網絡知識，掌握信息系統審計技術的較高層次的審計人才，更好地應用現代化的審計技術方法，從而適應企業信息化發展的大潮。

【主要參考文獻】

[1]審計署審計科研所課題組.審計機關審計技術創新情況專題調研報告[R].2012.

[2]中國內部審計協會.內部審計具體準則第28號——信息系統審計[S].2009.

[3]陳偉，張金城.計算機輔助審計原理及應用[M].北京：清華大學出版社，2008.

[4]張文秀.IT治理下的內部審計信息化發展研究[J].商業會計，2010（12）：41-42.

[5]梁麗瑾，續慧泓.基于并行審計技術的內部審計應用研究[J].審計研究，2007（2）：36-38.

[6]張娟，廖洪.基于IT 技術的連續審計（CA）：綜述與展望[J].審計研究，2006（5）：79-84.

[7]張文秀，劉雷.最新審計技術方法叢書——持續審計[M].大連：東北財經大學出版社，2012.