小細節大發現 揭風險堵漏洞

宋麗影/中國航空規劃設計研究總院有限公司

隨著以計算機技術和現代網絡技術為代表的信息革命向經濟和社會生活的深度和廣度滲透，尤其是隨著近年來云計算、大數據、移動互聯網等新興技術的快速發展，各個單位越來越重視信息化在企業管理工作中的推動和應用，以進一步穩固企業在瞬息萬變的市場經濟中的競爭能力。在信息化提升企業內部管理效能的同時，信息系統中的“內控”設置與運行的有效性也應該引起審計人員的關注。

一、細小差異，發現審計疑點

近幾年，內部審計工作堅持以風險和問題為導向，以提高發展質量和效益為中心，以“監督促戰略規劃落地，審計推經營管理提升”為目標，以亟待解決的運營風險和內控缺陷為切入點，聚焦管理重點和運營難點，確保將有限的審計資源配置到管理層最為關注的業務領域和高風險事項。2017 年度，公司研究決定將財務收支審計項目列入年度內部審計工作計劃。

在此次財務收支審計項目中，鑒于費用報銷信息化流程應用時間較早、涉及人員較廣、影響程度較大，也是以前年度發現問題的“重災區”。因此，審計組首先開展費用報銷的合規性檢查，調閱了公司2017年上半年的財務憑證，按科目分工后便緊鑼密鼓地開始翻閱憑證。新加入審計組的成員小李非常興奮，抱了一大摞憑證放在自己面前，邊看邊嘟囔著：“這個部門報銷的費用可真多呀！你看，前面的《費用報銷單》打印還很清楚，后面緊跟著這張《費用報銷單》都模糊了，這部門的打印機真夠忙的！”在一旁從事審計工作3年的小劉好奇地湊了過來，眼睛里流露出疑惑的神色，“哦？這兩張報銷的流水號是連著的，也是同一部門同一天提交報銷的，怎么看著不像同一臺設備打印的呢？”“是嗎？咱們的《費用報銷單》是財務報銷系統自動形成后打印的，一般一個單位只有一個打印出口，我看看。”審計組裴組長眨著眼睛、若有所思地放下手里的憑證，邁著一貫的四方步來到了小李身邊。裴組長端詳了一會兒這兩張《報銷申請單》，又前前后后翻看了這個部門報銷的財務憑證附件，眉頭一皺：“小劉，了解一下他們報銷流程的實際運行情況。”小劉看到裴組長的神情，就已接收到了工作指令。

公司的報銷流程由經辦部門相關人員在系統上發起——提出報銷申請——填寫報銷的有關要素（報銷事項、金額等）——提交部門領導審批——財務部門審核并辦理報銷，該項流程均為系統在線完成，涉及3個賬號節點，分別是報銷申請人、申請人所在部門領導、財務管理部辦理人。在該流程中，實際的控制人為申請人所在部門的領導，負責審查報銷的相關事項。經梳理，審計組產生了疑問：如果部門領導出差或不在工位，是否將其賬戶交由其他人員管理，也就是說，有可能該流程中部門領導節點的審批不是由部門領導本人操作完成的情況。

帶著這樣的疑問，經請示審計部門負責人，審計組將審計過程中可疑線索“個別領導人員賬號可能存在由他人主機登錄進行相關經濟事項的審批”，及時向主管審計工作的公司領導進行了專題匯報，闡明了該事項的風險及產生的后果。公司主管領導當即作出指示：查明情況原委，堵塞管理漏洞。審計組接到指令后立即部署，決定分成兩組同時行動，一組與信息化管理部門負責人聯系協調，了解有關部門（單位）領導日常事務審批狀況，并發出“關于查詢有關信息的申請”，由信息化管理人員協助查閱相關事項，對使用領導賬號在非領導本人主機上登錄情況的信息進行篩查，統計信息包括：登錄時間、設備號、IP 地址、設備責任人等；另一組與財務管理部門相關人員訪談費用支出的具體流程，現場跟蹤具體操作過程，關注費用支出程序的線上流轉與線下實物的銜接以及財務管理部門相關人員的審核等。

二、調研比對，突現問題脈絡

第一組審計人員收獲：

經信息化管理人員在中心機房的后臺協助查詢，發現了存在部分領導人員賬號確實在非本人名下計算機登錄，并進行審批相關經濟事項的情況。經對A、B兩個部門核查，統計審批情況如下：

1.A部門領導的賬號在近20個月內登錄使用的設備橫跨4個部門、涉及14個IP地址，具體登錄情況如上表所示。

2.B部門領導的賬號在近20個月內登錄使用的設備橫跨6個部門、涉及22個IP地址，具體登錄情況如下表所示。

上述部門領導賬戶在非本人機器上登錄進行的審批事項主要包括合同評審流程、合同付款管理流程、借投標保證金以及日常費用報銷等相關經濟事項。

第二組審計人員收獲：

審計人員向財務管理部門了解了費用支出的操作流程，由報銷人員線上發起申請，在管理平臺中選擇《費用報銷單》并填寫與之相關信息，其中申請報銷人員的個人信息（所屬部門、姓名、工號等）及日期由系統自動提取形成，報銷事由、預算編碼、費用類型及金額等由報銷人手工輸入，完成《費用報銷單》填制后提交部門領導審批，待部門領導在線完成審批，打印簽署完整的《費用報銷單》，附上與報銷事項相關的原始憑證一并送達財務管理部門。由財務管理部門相關人員進行復核確認，按報銷事項支付相應金額。按照財務人員的介紹，審計人員決定隨機抽取一個費用支出報銷事項以測試該流程的執行過程。

在財務管理部門的報銷柜臺前，碰巧看到了財務人員正在審核A 部門人員提交的費用報銷資料。在A部門人員提交的資料中，財務人員發現了打印的《費用報銷單》中部門領導審批處為空白（說明A 部門領導尚未在線上完成該事項的審批），于是將資料退給了柜臺前等候的A部門人員。A部門人員面露焦急的神情，“我沒看清，以為領導已經批完就打印了，還有好多事等著辦呢，我可沒時間再跑一趟”，他抬頭求助地看著財務人員，“要不我用您電腦重新打印一下？”，財務人員笑著看了看A部門人員，露出熟人間相互理解的神態，默默地從工位上站起來，A部門人員很自然地繞過柜臺，在財務人員的工位上坐下來。審計人員也正在疑惑他是如何打印帶有領導審批的表單，于是湊近來看，只見A部門人員在財務人員的電腦上輸入了一組賬號和密碼，屏幕顯示的用戶為A部門領導，他直接在費用報銷平臺上完成了審批操作，然后關掉界面，重新輸入了另一組賬號和密碼，屏幕顯示用戶為A部門人員本人，他對完成審批的表單進行了打印。整個操作過程僅僅用時兩分鐘，還沒等審計人員回過神來，一份帶有A 部門領導審批的《費用報銷單》就出現在財務人員面前了，在對原有的《費用報銷單》進行替換后，通過了財務部門的審核。

三、警示提醒，揭示控制風險

兩組審計人員在完成各自調查任務后迅速會合，將了解到的情況向審計部門和公司主管領導進行了專題匯報，兩組的調查情況相互印證了“個別領導人員賬號在他人主機登錄進行相關經濟事項的審批”的事實。公司主管領導高度重視，緊急約談了A、B 等部門的負責人。在約談過程中，這幾位部門負責人都表示確實存在讓他人代為行使審批權限的情況，大多是因為自身出差在外，而內部相關事項審批急需完成，于是便將自己的賬戶名稱和密碼告知了相關人員，但當看到擺在面前自身賬號的登錄明細表，各部門負責人都非常震驚，一是賬號登錄的IP地址所屬用戶遠遠超出了自身所告知的范圍，二是賬號登錄頻次遠遠大于自己預計的程度。

目前，公司所有經濟業務審批事項均通過信息系統完成，系統安全性應重點關注。上述事項違反了系統上線培訓明確要求的“賬號所有人為自己賬號的第一責任人，要妥善保管自己的賬號密碼，并對自己的賬號審批權限負責”，存在重大內部控制風險。同時，內部計算機登錄時輸入的開機密碼、系統密碼未設置定期更換程序，也未建立待機操作超過一定時間須重新進行身份鑒別機制，用戶賬號的安全性較低。

各部門負責人紛紛表示，今后一定加強自身賬號管理，盡快更換賬號密碼，并與賬號使用人員進行提醒談話，嚴肅內部管理紀律，同時希望公司信息化管理部門在信息化管理上給予支持，實時進行在線監控，設置賬號與IP地址綁定，出現非正常登錄時發出報警提示，并將相關信息及時反饋給賬號所有人，及時核實登錄授權的有效性，以杜絕上述事項的發生。

四、多措并舉，堵塞管理漏洞

公司主管審計工作領導就上述事項及時在公司生產例會上進行了情況通報，并責成公司信息化管理部門對綜合管理系統的適應性、有效性進行評估，完善信息系統各類數據使用與管理；通過技術手段固化單位、部門負責人審批事項在綜合管理平臺上的操作；在尚未實現異地可采取移動設備進行審批的情況下，對系統上授權轉移等流程向各單位、部門領導進行宣講，使制度規定的風險控制點真正發生效用，杜絕相關風險。

公司信息化管理部門立即部署實施，強化了公司信息化審批授權歸口管理部門職能，完善了信息化審批流程，細化了審批節點的要求，在審批授權、賬號綁定、外攜辦公等方面做了大量工作，在未影響工作效率的同時降低了信息系統運行風險。

目前公司已經采取了多種措施控制報銷審批：一是各級管理人員在綜合管理平臺中的審批權限，均能夠通過授權的形式轉移至公司其他人員，相關授權記錄、被授權人發生的審批記錄通過軟件供應商幫助從后臺提取數據；二是通過開通外網VPN 形式，使審批人員的賬戶與外網筆記本電腦綁定，實現了移動辦公審批；三是建立對關鍵崗位的控制機制，保護用戶賬號安全；四是定期對應用系統的登錄訪問進行審計、監控及考核，防范用戶賬號盜用風險。

五、汲取經驗，服務企業管理

在審計工作規范化、程序化的同時，審計人員應勤于思考、善于觀察，保持職業敏感性和刨根問底的韌性，發揮專業判斷力，捕捉蛛絲馬跡，不放過任何疑點。在本次審計中，審計組以發現的兩張《費用報銷單》之間的微小差異為突破口，通過調研比對、深挖細查，最終發現了審批環節存在失控的風險，小小的管理漏洞可能帶來不可預估的損失。這個案例告誡我們應重點關注內部控制的有效性，提醒相關職能管理部門主動作為，將管理流程策劃周全，在制度體系和操作執行上杜絕產生“分枝”；更是提示內部審計部門，在日常的內部審計監督工作中，如何采取有效的審計手段發現存在的問題，防微杜漸，保證公司內部控制真正發揮效能，從而減少此類事件發生的可能性，更好地服務公司的運營管理，為公司健康運行保駕護航。