我國會計師事務所信息化的現狀、問題及對策研究

張 瓊

當前，我國互聯網、云計算、大數據等信息技術飛速發展，信息化水平不斷提高，在產業規模、信息化應用效益等方面取得長足進步，已經位居全球領先位置。伴隨著信息技術在政治、經濟、文化等領域的廣泛應用，注冊會計師的執業環境也發生了深刻變化，迫切要求會計師事務所直面信息革命的挑戰和機遇，融合信息技術，變革執業理念、方法、技術與管理，實現業務與管理的信息化。

本文對我國事務所信息化建設的現狀，存在的主要問題、產生問題的原因進行了研究，并就事務所信息化建設的對策進行了探討。

一、現狀概述

我國事務所信息化建設起步較晚。近年來，在中國注冊會計師協會的大力推動下，取得了一定成效，但從總體上看，各事務所在信息化的廣度和深度上參差不齊，中小型事務所普遍專注審計作業信息化，而大型事務所在審計作業信息化、內部管理信息化和信息化服務方面都進行了探索。

（一）審計作業信息化

審計作業系統（審計軟件）在事務所的使用越來越普遍，除極少數事務所自行開發或定制開發審計作業系統，大多數事務所選擇購買市場化的審計軟件產品，運用審計作業系統采集和導入財務數據，使用賬齡分析、憑證綜合查詢和抽樣、生成詢證函、底稿和報表等模塊，減少數據復制粘貼、計算匯總、數據分析、實質性底稿生成等大量機械性勞動,提高審計效率。

（二）內部管理信息化

部分規模較大、業務和流程復雜的事務所為強化內部管理，通過自行開發或定制開發等方式，部署和實施內部管理系統（ERP系統），運用管理系統的客戶管理、項目管理、風險管理、報告管理、人事管理等模塊，實現從項目承接、人員分派和承做到出具報告的線上流程管理，提升內部管理水平。

（三）信息化服務能力

大型事務所開始注重和提升信息化服務能力，設立IT部門，承接承做財務審計項目的信息系統審計部分、信息化建設和管理咨詢、信息系統審計等,通過IT審計防范和控制審計風險，指導客戶提高信息化建設成效和強化IT管控等。

二、問題分析

現階段，我國事務所信息化建設存在的主要問題包括：

（一） 對信息化建設的認識不到位

事務所信息化是一項技術工程，更是一項管理工程，它涉及到事務所的管理模式、組織結構和業務流程等諸多方面的變革。在這一變革中，事務所不僅要投入大量的人力、物力和財力，更需要轉變觀念、明確目標，合理定位，使信息化滿足經濟技術法律監管環境的要求，與事務所發展戰略相匹配。否則會降低信息化建設成效，甚至導致項目失敗。如有的事務所在管理信息化建設之初，對信息化建設的目標、必要性、緊迫性、艱巨性等認識不足，盲目上馬，導致信息系統上線后又全部推倒重來，造成極大浪費和損失。

（二）缺乏信息化建設的制度基礎

從本質上說，信息化是事務所管理機制的一場革命，硬件設備和技術不論如何先進，如果不與科學的管理和制度相結合，就無法發揮其應用的作用。比如事務所的管理系統主要針對業務流程的控制，而績效考評、財務管理、決策管理等功能并未開發或遭到棄用，仍然為手工線下操作，究其原因是管理體制、流程和制度未與之配套。

（三）信息系統管理不規范

信息系統管理不規范，主要體現在以下兩個方面：

1.開發管理缺位

信息系統開發的控制手段主要有事前規劃、事中監理和事后評估。但目前事務所在自行開發或定制開發信息系統時，大多缺乏事前的通盤考慮和整體規劃，未對需求進行充分調研；未對系統設計、開發、測試、驗收和上線等過程進行事中監控；未開展系統實施后評價，即PIR（Post Implementation Review）。國際信息系統審計協會（ISACA）在《IT Standards, Guidelines,and Tools and Techniques for Audit and Assurance and Control Professionals》（Current as of 1 March 2010）中詳細解讀了G29 PIR，根據G29的定義，PIR是指由獨立的IS審計人員執行的，對IT解決方案和或實施的過程，和實施后效果的第一次或后續審查，以對以下任何一個或全部事項進行評價：

a.是否實現該方案的預期目標

b.實際成本和收益是否與預算進行比較

c.實施過程的有效性和恰當性

d.如有超支的時間和或成本、質量和或性能等問題，說明原因

e.該方案所帶來的生產力和績效的提升

f.是否實現業務流程和內部控制

g.實施的用戶訪問控制是否與組織的政策一致

h.用戶是否經過適當的培訓

i.系統是否可維護，且今后可進一步提升效果和效率

j.是否遵守與其相關的法規要求和組織的政策

k.是否遵守與其相關的COBIT控制目標和管理指南

l.無論是該方案還是實施過程都有進一步改善的機會。

開發管理缺位，通常導致系統未滿足功能性需求和非功能性需求、信息資源無法共享等問題，比如審批流程的設計靈活性差，不能適應業務發展的需要；標書制作、質量控制復核、培訓管理、文檔管理等功能存在欠缺或尚待細化,仍為手工操作，降低信息化效果；系統之間未開發數據接口功能，數據重復錄入；系統設計時對系統用戶和業務量估計不足，影響系統響應速度和可用性等。

2.機房、備份、運維和安全管理薄弱

事務所的機房、備份、運維和安全管理通常外包或由內部信息技術部門承擔，由于人員、經驗和技術欠缺，事務所在機房、運維和安全管理方面較為薄弱，比如未妥善備份數據；未對機房環境、系統和網絡運行進行實時監控；機房進出未登記；防火墻、防病毒、上網行為監控、網絡、系統和數據庫訪問控制等安全措施不力；委托外包商承擔運維工作，卻未規范和監督外包行為，對外包服務質量進行考評等，降低信息系統的可用性、安全性和可靠性。

（四）信息化資源投入不足

信息化資源包括人力、物力、財力、經驗等，事務所受限于資源不足，難以利用信息技術發展的先進成果,購置或開發信息系統往往處于較低水平，以解決當前問題為主，后續升級乏力，信息化效果并不盡如人意。

1.審計作業系統尚待智能化

（1）未實現將風險評估結果與審計策略的自動關聯

國內審計軟件比如鼎信諾、中普、e審通等僅僅是將手工填制的風險評估底稿錄入系統中，未對風險評估結果進行智能判斷，自動關聯到應對策略，存在風險評估結果與進一步審計程序脫節的情況；用友CPAS審計信息系統有所改進，增加了對被審計單位內部控制的風險進行識別和歸集功能，但國內審計軟件整體上還沒有真正貫徹實施風險導向審計的要求。

而國際所，以致同的Voyager審計軟件為例，Voyager審計軟件內嵌8個工具協助審計人員理解企業及其所處環境，即:組織架構、收入、業務概要因素（EPF）、信息技術概要、綜合性問題、企業層面控制、會計系統、重要性。審計人員在系統指引下執行風險評估程序，根據執行的結果，勾選系統中預先設置的選項和風險指標，這些選項和風險指標自動關聯到事項、循環、風險識別和應對措施，最終對應到進一步審計程序。

（2）未在系統中建立審計工作流控制

國內審計軟件主體上是將底稿模版復制到系統中，沒有建立在工作流引擎之上的，對審計程序、底稿之間的邏輯性進行檢驗和線上控制的功能，往往導致選擇和實施了不恰當的審計程序、審計程序執行不到位等問題?！八拇蟆钡膶徲嫵绦蚴且画h扣一環的，這個環節程序的評估結果，直接影響下個環節執行什么程序，不執行什么程序，執行的簡繁程度如何等，而這些由審計軟件的線上控制流程來實現，其中包括對工作底稿復核的控制。

（3）未在系統中提供強大的知識庫和專家指引

強大的知識庫和專家指引是提高審計工作質量的重要基礎，這些信息一方面來源于網站或經濟數據庫，另一方面來源于事務所的實務經驗積累。國際上較為通行的做法是：將知識庫和專家指引內置到審計軟件中，并實時更新，幫助審計人員及時獲取執行程序的要領、常見問題及解決途徑等，從而規范審計程序的執行和達到預期效果。

（4）未將審計作業軟件與事務所管理系統有機整合

審計業務系統和管理系統各自為政、孤立存在，削弱了信息系統的協同效用，事務部內部控制流程被分割，數據無法共享，造成信息孤島問題。

2.數據采集工具單一和存在局限

目前，一些國內審計軟件提供的數據采集工具，僅限于與常用的國內標準財務軟件的對接，如客戶使用定制化的財務軟件或SAP、ORACLE等國外軟件，則不能采集轉換數據，無法使用審計軟件。另外，國內軟件通常使用了OFFICE組件，受其限制，數據量過大則無法正常運行審計軟件。而國外審計軟件相對靈活，可以借助數據分析工具，比如ACL、IDEA等進行數據采集和處理。

3.信息化服務能力不足

在信息化服務領域以及經驗積累方面有待提升，總分所信息系統服務資源未得到有效整合，外部市場競爭力不強，目前仍以為事務所內部財務審計提供IT服務為主。此外，信息化服務人才匱乏、IT審計工具投入不夠等造成信息化服務能力不足。

開發管理缺位，通常導致系統未滿足功能性需求和非功能性需求、信息資源無法共享等問題，比如審批流程的設計靈活性差，不能適應業務發展的需要；標書制作、質量控制復核、培訓管理、文檔管理等功能存在欠缺或尚待細化,仍為手工操作，降低信息化效果；系統之間未開發數據接口功能，數據重復錄入；系統設計時對系統用戶和業務量估計不足，影響系統響應速度和可用性等。

三、對策研究

（一）目標設定

信息化的目標是信息化各項工作的導向。事務所應當根據業務發展的需要和中注協的要求，因地制宜，制定信息化建設目標。筆者建議，國內大中型所信息化的基本目標可設定為：在未來5年內，以技術先進、擴展性強、安全可靠、高速暢通的信息化設施平臺和支撐體系為基礎；以互聯網、大數據、云計算、數據挖掘等現代信息技術為抓手；以形成復合型人才培養機制為保障，最終實現智能化審計、管理現代化以及信息化服務能力的提升。

（二）路徑設計

信息化建設有其自身的規律。關于企業信息化發展規律研究，具有代表性的是諾蘭（Nolan）教授提出的組織信息系統應用的經典模型。諾蘭將信息化分成六個階段，即：初始階段、傳播階段、控制階段、集成階段、數據管理階段和成熟階段。諾蘭認為，任何組織由手工信息系統向以計算機為基礎的信息系統發展時，都存在著一條客觀的發展道路和規律。數據處理的發展涉及到技術的進步、應用的拓展、計劃和控制策略的變化以及用戶的狀況等四個方面。諾蘭強調，任何組織在實現以計算機為基礎的信息系統時都必須從一個階段發展到下一個階段，不能實現跳躍式發展。

根據諾蘭信息化發展的階段模型，國內所信息化應采取“總體規劃、統籌資源、分步實施、重點突破”的實施路徑。

1.總體規劃

從發展戰略的高度，將信息化建設當成事務所戰略轉型的重要抓手。根據社會經濟發展的需要和中注協的要求，結合自身的特點對信息化建設作出全面規劃。

2.統籌資源

將信息化作為資源投入的重點，在整合現有資源的基礎上，進一步加大對事務所信息化的人力、物力、財力的投入。

3.分步實施

通過摸底梳理，分清信息化實施過程中相關事務的輕重緩急，分步實施。

4.重點突破

近期應在以下五個方面重點突破：

一是完善信息化基礎平臺。為滿足日益增長的系統用戶數量、24小時不間斷運行以及集中管理、安全管理等需要，對現有設施架構進行全面梳理和改造，比如，除現有VPN（虛擬專用網絡）外，引入網絡專線；將辦公網絡與業務網絡進行物理或邏輯分離，安裝防火墻、IDS、企業版殺毒軟件，開啟安全審計日志、安全基線配置檢查等，加強內外部網的安全防護措施；提高帶寬和網速，合理配置服務器、網絡設備、存儲設備和安全設備等，建設數據中心，打造高可靠、高可用、擴展性強的信息化基礎平臺。

二是優化支撐體系。一方面加大對內部運維技術和人員的投入，比如購置監控軟件，對系統、網絡、機房等進行實時監控，提前預警和防范風險；建立ITLL平臺，使問題或事件的收集及處理更加及時和規范，并全面記錄軌跡。另一方面借助外部專業機構力量，加強外包管理，比如委托外部機構進行安全測評和漏洞掃描；運維服務外包應簽訂SLA（Service-Level Agreement）協議并考評外包服務質量等，進一步優化支撐體系。

三是增強數據應用能力。首先，應當摸清事務所數據的類型、來源、責任部門、重要程度、保密級別、數據之間的邏輯關系、數據流向等。其次，建立數據標準、數據交換標準和數據字典，比如編碼標準、系統接口標準、數據項、數據結構、數據流、數據存儲、處理邏輯、外部實體等的定義和描述。再次，全面實現對總分所人、財、物數據的集中管控，統一部署數據庫，建設數據倉庫，充實數據分析人員，購置數據分析挖掘工具，提高數據的采集、加工和分析能力，并提供知識檢索和專家支持庫。最后，規范數據庫的訪問、維護、備份等操作。

四是提高應用系統使用效果。對新系統的開發或舊系統的改造，進行充分調研和可行性分析，明確需求，加強對系統立項、設計、代碼編寫、測試、上線、驗收等流程控制，確保系統功能的完善和系統有效整合，提升提取數據的能力，增加審計流程和管理流程的線上控制、事前、事中和事后控制、智能化判斷、全數據測試、系統之間基礎數據的自動導入導出等，支持遠程作業和辦公、移動作業和辦公，打造內部管理和審計作業一體化云平臺，實現智能化審計和管理現代化。

五是拓寬信息化服務領域。內部培養和外部引進并舉，充實信息化服務人才；購置WEB安全掃描器、Code auditor、GFI LANguard、日志分析工具、CAATS等信息系統審計工具，對信息化服務經驗和案例進行歸納總結；在此基礎上，發現和創造信息化服務業務，為客戶提供IT增值服務。

（三）機制安排

事務所信息化機制安排應著力于以下四個方面：

1.持續動力機制

信息化是一個非常復雜的系統工程，一項長期的任務，不可能一蹴而就，更不可能一勞永逸。因此，事務所應當通過廣泛宣傳，充分認識到信息化建設的重要性和緊迫性，將信息化工作情況納入績效考核內容，調動各級員工的主動性，為事務所信息化建設營造濃厚氛圍，提供持續動力。

2.組織保障機制

在事務所治理層面，設置信息化委員會，對信息化規劃和計劃、信息化項目建設和投資、信息化風險管理效果等進行審議，確保與事務所發展戰略相匹配，避免重復建設和資金浪費，有效識別和防范信息科技風險等；在事務所管理層面，設置專司信息化歸口管理職能的信息化管理機構，明確信息化所涉及部門和人員的責權利，確保信息化工作高效有序地落實和推進；構建復合型人才培養機制，通過引進、內部培養、總分所人員整合、外聘專家等多種方式加強信息化服務隊伍建設，著力克服信息化服務人才短板問題。

3.制度保障機制

為了規范和指導信息化各項工作，還需要建立和健全信息化管理制度，比如信息科技風險管理制度、信息化委員會和信息技術部工作規則、信息系統項目管理辦法、信息系統外包業務管理規定、系統運行維護管理辦法、信息系統突發事件應急管理辦法、信息系統連續性管理辦法、備份與災備管理規定、信息安全管理制度、系統參數和數據維護管理辦法、信息系統用戶及賬號管理辦法、信息化工作檢查考核辦法等，以保障信息化活動有規可依，違規必究。

4.檢查評價機制

對信息系統實施后的效果進行審查（PIR）；定期和不定期對IT風險管控、制度執行、系統自動化控制等情況進行檢查；對事務所信息系統進行審計，包括（1）公司層面控制、備份與恢復管理、開發/變更管理、機房管理、運維管理、安全管理等一般控制的了解和測試；（2）參數與數據維護管理、權限及訪問控制、輸入、處理和輸出控制、數據控制以及接口管理等應用控制的了解和測試，通過評價、檢查和審計，促進系統功能的改進和完善，保障信息系統的連續性、可靠性、安全性和合規性，提高信息化管理水平和建設效果。