關于利用信息技術建立內部控制審計體系的思考

王媛媛

摘要：推進審計信息化建設是信息化環境下提升內部審計工作效率的必然選擇。設計、執行和維護有效的內部控制，并評價其有效性是公司董事會等高級管理層的責任。文章以企業內部審計信息化、內部控制自我評價和報告工作為背景，闡述內部控制審計與內部控制、內部控制審計與信息系統審計的區別與聯系，并結合作者所在單位在內部控制審計信息化建設中的實踐經驗，提出建立信息技術內部控制審計體系的建議。

關鍵詞：信息技術；內部控制；內部控制審計；信息系統審計

一、背景

信息技術的快速發展及廣泛使用，在促進企業經濟效益增長和技術進步的同時，也給企業和廣大投資者帶來了更大的風險，安然、世通、施樂等公司重大財務舞弊案件的曝光，使得內部控制審計越來越多地受到國內外學者和內部控制審計工作者的重視。雖然自1991年開始，美國反舞弊性財務報告委員會發起組織（簡單COSO委員會）就進行了關于內部控制的研究，但直到2002年，由參議院銀行委員會主席薩班斯和眾議院金融服務委員會主席奧克斯利聯合提出的以“遵守證券法律以提高公司披露的準確性和可靠性，從而保護投資者及其他目的”為宗旨的《薩班斯-奧克斯利法案》的出臺才推動了內部控制審計工作的發展，SOX法案中指出“公司管理層要對本企業的內部控制進行評價，注冊會計師要對被審計單位內部控制的有效性進行審計并發表意見。”SOX法案的頒布與實施在一定程度上提高了大股東及廣大中小投資者的信心，與此同時，歐盟、英國等國家也對各自的資本市場監管法規進行了修訂。在國內，1999年修訂的《會計法》第一次從立法的角度對企業建立內部控制進行了要求。隨后，為了提高會計信息質量、保護資產的安全完整、確保有關法律法規和規章制度的貫徹執行等，財政部規定從2001年6月起所有公司均應建立健全和有效實施本單位的內部會計控制體系，并制定了《內部會計控制規范》基本規范及貨幣資金等7項內部會計控制規范。2006年在全球內部控制審計大熱潮的推動下，由財政部等5部委聯合發起成立的“企業內部控制標準委員會”先后出臺了《企業內部控制基本規范》、《企業內部控制配套指引》等文件，上海和深圳證券交易所也分別頒布了《上市公司內部控制指引》，根據相關文件和制度要求，上市公司要對本企業的內部控制進行評價，形成的內部控制自我評價報告與公司年度財務報表一同對外披露。同時，要求自2011年1月1日起我國境內外同時上市的公司開始實施企業內部控制審計指引，2012年1月1日起施行范圍擴大至滬深交易所的主板上市公司。由此可見，在理論與實務方面，美歐等國家要早于我國，對我國企業內部控制審計的實踐具有一定的指導借鑒作用，但由于國內企業大多對內部控制審計認識不到位，因而在實務中仍存在很多問題，如內部控制審計機構不獨立、審計人員專業勝任能力不足等。同時，伴隨信息技術在企業各領域的廣泛使用，“觸手可見”的審計資料越來越少，因此，如何利用信息技術開展內部控制審計工作意義重大。

本文以企業內部控制審計管理工作實踐為視角，對筆者所在企業在利用信息技術建立內部控制審計體系中的做法和困難進行分析，并對如何更好的建立信息技術內部控制審計體系提出建議。

二、內部控制審計及相關理論辨析

（一）內部控制審計與內部控制的涵義與區別

對于內部控制的涵義，1949年美國會計師協會（AICPA）曾將其界定為“企業為保護資產完整、會計信息準確、提高經營效率及制度執行而制定的方法與措施”。1992年COSO委員會在《內部控制-整體框架》（Internal Control-Integrated Framework）中指出“內部控制是指由企業董事會、經理層和員工設計并執行，旨為特定目標實現提供合理保證的過程。目標具體包括財務報告真實可靠、企業合法合規經營、經營的效率和效果。”綜上，內部控制是企業自我監督的重要手段，是企業各個業務流程的操作規范，目的在于提高經營管理水平。

內部控制審計是對內部控制的再控制，是評價、監督被審計單位內部控制設計及執行有效性的過程，實踐中又分為注冊會計師視角下的內部控制審計和企業內部管理視角下的內部控制審計。其中，注冊會計師視角下的內部控制審計是指注冊會計師接受被審計單位董事會委托對被審計單位內部控制的設計與運行有效性進行審計并發表審計意見的過程，目前我國的上市公司均需按照《企業內部控制審計指引》的要求聘請注冊會計師進行內部控制審計；基于企業內部管理視角下的內部控制審計，其實質是屬于企業的一種自我評價活動，由企業內部人員（內部審計人員及業務流程負責人）進行的自我測試、審計，目的在于發現并整改內控執行缺陷，促進公司內部管控水平提升。

可見，內部控制與內部控制審計兩者在職能和目標上是不同的。

（二）內部控制審計與信息系統審計

根據國際信息系統審計與控制協會（ISACA）的定義，信息系統審計是“搜集并評價審計證據的過程，以判斷信息系統是否能夠有效保證資產安全、數據完整及高效地使用組織資源實現被審計單位的目標。”從ISACA對信息系統審計內容的規定來看，信息系統審計包括信息系統建設生命周期管理、信息資產保護、災難恢復計劃等；從信息系統審計工作實踐上來看，信息系統審計包括信息安全審計、軟硬件管理審計等。而在傳統內部控制審計工作中，審計人員一方面需要對信息系統進行一般控制審計與應用控制審計，以判斷支持企業日常工作的信息系統是否安全并得到有效控制，另一方面還需要運用計算機輔助審計技術，以高效地分析、處理和驗證從各個系統中獲取的數據。

可見，雖然兩者均屬于審計，但是屬于兩種不同類型的工作。

三、構建信息技術內部控制審計體系的探索與實踐

伴隨著公司信息化進程的不斷發展，信息系統遍布公司的各個業務流程，為了促進公司提高內部控制管理水平，公司管理層十分重視對各業務領域的審計項目開展。在此背景下，公司利用信息技術進行內部控制審計的工作得到極大的支持，并形成了以“內部控制審計系統”為中心的信息技術內部控制審計體系，具體內容包括內部控制審計系統、持續審計系統及計算機輔助審計。

（一）構建實時的全過程內部控制審計監督體系，發揮內部審計免疫系統功能

1. 內部控制審計系統的開發背景

作為境外上市公司，相對于國內其它公司而言，公司較早的執行了COSO內部控制基本規范，為了確保公司內部控制的設計有效，公司對各領域進行了流程劃分及流程控制點細分，并按照國家法律法規、公司業務規范等要求對各控制點的操作流程等進行描述，經過不斷修訂形成了較為完善的內部控制矩陣，該矩陣的構建為公司內部控制審計系統的建設提供了基礎。然而，完善的內部控制制度體系離不開公司上下的一貫執行，由于公司業務繁多，如何實時的對內部控制的執行有效性進行評價成了難點。因此，公司以控制點為單元，按照各控制點的發生頻率及涉及單位下發樣本采集工單，通過將內部控制矩陣固化到系統中的方式來實現對各控制點執行的有效性進行準時實時監督的目的。

2. 利用內部控制審計系統開展內部控制測試的工作程序及方法

與外部審計人員開展內部控制測試類似，利用內部控制審計系統開展內部控制測試工作也需要先對控制點描述的準確性進行檢驗，即通過查閱資料、訪談等審計手段確認當前的內部控制程序是否能夠對重大差錯、風險的發生起到防范作用，并且是否與當前的實際情況相符；并在內部控制設計有效性得到認可的情況下，通過進行穿行測試等來判斷某一業務是否按照內部控制要求的程序得到一貫的執行，也可通過審閱已完成業務的過程記錄、函證、觀察、訪談等方式確定內部控制是否執行有效。

3. 內部控制審計系統運行中的難點及成效

在利用內部控制審計系統開展內控測試的過程中，可根據審計目的的不同劃分為對關鍵控制點的測試和對所有控制點的全面測試。但無論哪種測試，都需要測試人員及控制點責任人員配合完成，配合的效果直接影響測試結論的準確性。另一方面，由于系統中測試樣本提供的人為性、隨意性，在對某一控制點的缺陷認定方面存在一些困難。盡管如此，內部控制審計系統不但滿足了審計人員開展非現場審計及審計資料共享的要求，也通過系統交辦、承辦、反饋等環節，實現了部門間對內部控制有效執行的整體推進，同時，內部控制審計系統的測試結論也為公司內部控制自我評價提供重要依據。

（二）推動審計部門與其他部門間信息交換，實現持續審計監督服務

1. 持續審計系統的產生

根據管理層的關注重點及業務部門的審計需求開展各類審計工作是公司內部審計機構的職責，但針對某一高風險領域如何進行持續的審計監督，成為審計實踐中亟待解決的問題。此外，為了研究審計發現問題產生的原因及更有效的發現問題，需要對大量的原始數據進行調取，數據分析與建模也被更多地應用于審計程序中。經過對實踐工作進行總結，公司通過將數據獲取、數據分析、審計發現及報告等系統化，實現了對某些領域的持續審計系統監督。

2. 信息系統持續審計中的難點及成效

由于利用信息技術開展持續審計工作可實現對審計發現問題及審計報告的自動生成功能，因此，內部審計機構的工作重點更多的是利用審計報告結果發現問題突出的單位并向管理層報告，同時，持續的與業務部門就審計發現問題進行溝通確認也成了工作難點。但信息技術的融入對內部審計工作效率的提高及非現場審計目標的實現起到了極大的促進作用。

（三）運用計算機審計工具，有效提升審計效率

同國內大多數企業一樣，公司在利用計算機執行和完成某些審計程序和任務的過程中，并未利用專門的輔助審計軟件進行項目審計，主要是在審計業務中利用電子表格、數據庫及字處理軟件等幫助審計人員計算、復算、復核、分析審計數據，以節約審計時間、增加準確性。這也是公司在各項目開展中使用最為廣泛的審計手段之一。

四、建立信息技術內部控制審計體系的建議

（一）做好內部控制審計信息化建設的整體布局，提高系統的開放性和可拓展性

內部控制審計信息化建設是公司信息化發展的重要組成部分，認真做好審計信息化建設的規劃及組織實施可避免信息化建設發展不均衡、低水平重復建設等諸多問題。此外，由于多數公司信息系統的數據口徑各不相同，增強電子數據的通用性和規范性，建立與之相適應的數據采集轉換接口，對提高系統的適用性意義重大。

（二）建立內部控制審計信息化標準，提高利用信息技術進行內部控制審計工作的規范性

內部控制審計信息化在促進內部控制行為規范的同時，也須對內部控制審計系統的設計與開發、運行與維護、審計程序及審計證據的搜集與使用、審計人員應具備的資格等方面做出明確規定，并在建設和實踐的相互作用中，不斷完善信息化技術內部控制審計理論。

（三）拓寬信息化人才培養渠道，提高內部審計人員整體信息化素質

其一，引入一些既熟悉信息技術又精通審計的復合型人才到內部審計隊伍中，補充信息化審計人才缺口。其二，有針對性地開展各種業務培訓，促進現有內部審計人員更好地掌握信息化環境下的現代審計技術和方法。其三，加強部門間橫向交流，特別是與信息專業人才的交流，通過實踐鍛煉、借調、交流，不斷提升內部審計人員的計算機審計開發與運用水平。

參考文獻：

[1]閆夢然.我國企業內部控制審計問題研究[D].財政部財政科學研究所，2013.

[2]張海霞.企業內部控制審計研究[D].山西財經大學，2012.

[3]葉常青、仇棟良、于鐵軍、李勉、陳偉波、丁朝霞.基于數據挖掘、聯網審計和在線審計的內部審計信息化建設—來自廣州市公安局內部審計信息化建設的實踐[J].全國內部審計理論研討優秀論文集，2013.

[4]陳冬梅、劉彥軍、王紅霞、裴浩帆、張國剛、王曉輝、李兵、潘國輝.企業內部審計信息化建設研究[J].全國內部審計理論研討優秀論文集，2013.

[5]焦學文.證券公司內部審計信息化發展現狀及趨勢[J].審計與理財，2014（05）.

[6]李晟璐.高校會計信息系統內部控制體系構建[J].財會通訊，2015（35）.

[7]張瑕.基于注冊會計師視角的內部控制審計問題研究[D].安徽財經大學，2013.

（作者單位：中國移動通信集團內蒙古有限公司）