基于云計算的AIS審計實施研究

范莉莉

一、引言

AIS是會計信息系統的簡稱，AIS審計指采用客觀的標準和相關審計準則，利用計算機技術和信息技術手段對會計系統設計、開發、運行、系統維護等全流程活動開展完整的、有效的檢查與評價工作。

在企業對信息技術應用范圍逐步擴大的背景下，財務共享、云會計等信息化手段都得到普及和應用，網絡安全和數據庫安全都成為業界關注的重點，在此背景下，許多會計師事務所逐步實施信息系統審計。當前，會計師事務所獲取被審計單位信息的手段仍以人工方式為準，利用人工方式從服務器的接口處獲取，對那些已經成立財務共享中心等云服務企業IT審計仍然圍繞最基本的審計內容，如對系統漏洞的檢查、對系統安全性的檢查等。可以看出，外部審計對于云會計企業來說相對滯后，在云會計審計方面還有許多問題需要解決。除此之外，在已經構建財務共享中心的企業中只有為數不多的企業在內部審計中設置專業的IT審計部門或者審計人員，大部分企業沒有引進專門人員對會計信息系統進行系統漏洞檢查、系統安全維護和開展數據審計與數據鑒別等工作。有的企業建立的業務管理系統和其他的系統如資金處理系統等互相不兼容，造成數據在抓取與數據導出時面臨一定難度，并且財務人員沒有辦法進行解決。

不僅如此，建立在虛擬云端服務基礎上的云會計信息系統在為用戶提供的“按需定制”服務，會造成用戶在定制并使用AIS產品時具有一定的差異性，在進行審計時，會計師事務所的審計人員要對每個被審計單位的基于云會計的AIS采取具有針對性的整個流程的審計工作，這既會增加審計工作量，還會由于受技術手段約束導致有些AIS審計工作難以完成。

二、AIS 審計存在的問題

（一） AIS 外部審計體系不健全

1.配套的審計法律法規不健全

我國的信息系統審計特別是AIS審計的理論和實務工作發展歷史不長，開展系統研究的時間也有限，因此相配套的立法與規范體系尚不完善，行業標準尚未確立。同時，在大數據背景下，用于審計的新興信息技術如云會計計算技術、“互聯網+”技術發展迅速，審計部門未能及時出臺相互配套的規章制度對AIS進行規范管理和規范約束。

2.審計部門的人員體系不健全

基于云計算的AIS審計和傳統審計相比，應用的主要手段為先進的信息技術，并以此為基礎開展審計工作，如審計工作者既需要對包含財務數據的AIS進行有效的內部控制，需要對AIS數據加密技術和相應信息系統接口對接的安全性進行審計，還需要審計人員具有利用數據挖掘技術與聯機分析技術在企業繁瑣數據中高效篩選出審計所需的數據信息來保證審計證據的完整性和準確性。這也就對審計人員在綜合業務素質上提出了更高的要求，要求審計人員既需要掌握財務、審計知識，還需要掌握計算機技術。在目前我國人才培養體系下，尚未建立傳授計算機知識與審計理論知識的專業，造成審計行業復合型人才需求與培養不匹配的矛盾。

另一方面，有些審計人員對AIS審計在認識上還有誤區，不夠全面和深刻，和傳統審計手段相比，AIS審計所起的作用只相當于利用計算機對數據進行搜集。在開展AIS審計過程中，審計的主要內容大多集中于會計核算技巧方面，多為事后審計，未將對AIS自身的檢測與相配套的控制測試融入到審計工作中去。審計人員沒有將AIS審計作為一種全方位的審計手段，也沒有將其滲透在被審計單位的流程中。沒有意識到AIS審計對系統控制的重要作用，因此未能發揮AIS審計在源頭上控制風險的作用。

3.審計部門技術支撐不夠

審計機構要想對企業進行有效的AIS審計，離不開相應的技術支持，如AIS審計系統的硬件設施、系統軟件及應用程序等。當前我國計算機技術發展速度滯后于AIS審計速度，發展水平還無法完全滿足AIS審計技術要求。當前在用的AIS審計方法還比較簡單粗放，仍然圍繞傳統的審計程序進行事后審計，如利用詢問、觀察與檢查方法進行內部控制測試，并檢查內部控制設計、內部控制執行的有效性。基于云會計的虛擬化水平在傳統內部控制測試方面具有較大挑戰，單純利用檢查手段和檢查流程的變更無法取得動態變化的有效審計證據，還未實現理想化的在線審計與實時審計。所以，審計機構必須建立相配套的技術體系，和云計算相對接，提取有價值的審計證據并進行分析，以和不同的被審計單位實際相適應。

（二）AIS內部審計職能缺失

“互聯網+”時代基于云計算的AIS審計和傳統審計手段相比，主要體現在開放性特征、共享性特征、多元性特征和敏捷性特征方面，可以對企業的內部控制起到優化作用，同時也會增加AIS內部控制過程存在的風險。AIS審計需要對被審計單位AIS運行的有效性、處理數據的效率及數據處理的安全性進行衡量，而AIS內部控制體系的確定、體系的實施和進一步規范則是衡量這些要素的主要參考。針對基于云計算的AIS技術發展速度快、版本更新快的特點，以往傳統的IT審計標準難以和當前審計要求相適應，在對被審計單位AIS進行一般控制和應用控制時需要利用新的評價方法，避免出現漏錯舞弊現象，以更好地對內部控制進行有效評價與內部控制設計。

AIS作為企業信息管理的核心組成部分，內部控制可以分為兩部分：AIS一般控制和AIS應用控制。AIS應用控制又分為輸入控制和輸出控制兩個過程，在這兩個過程中，需要對企業內部資料安全性和保密性引起足夠重視，還需要審計人員在履行審計程序時格外關注。一方面，會計人員錄入到AIS系統中的所有財務數據的真實性與完整性都需要審核和控制，在這個環節會導致會計信息真實性的缺失或者真實性的短缺。如果出現上述情況，對企業內部依靠數據進行決策會產生嚴重影響。另外一方面，“互聯網+”背景下網絡具有開放性特征，這種情況下財務人員通過AIS將財務數據資料、賬目等上傳至服務器，這樣就會使得基于云計算的存儲器存在黑客和病毒攻擊風險，容易導致數據和信息的丟失。如果企業關鍵性財務數據遭到泄露或者遭到攻擊，甚至流落到競爭對手手中，則會給企業發展帶來災難性的打擊。所以，對企業進行AIS內部控制也同樣重要。從實際情況看，使用云會計和財務共享等先進信息技術的公司內部控制大多存在缺陷，內部審計的職能也存在明顯缺失，表現為未設立專門人員對AIS內部控制情況進行檢查、沒有專門人員進行監督，造成企業內部控制功能得不到有效發揮。雖然有些企業在內部成立了IT審計機構，對企業信息系統進行審計，但是沒有形成統一規范的專業化內部控制審計流程和審計程序，需要繼續對內部審計體制進行完善和豐富。

（三）AIS云供應商可信性不足

目前，會計師事務所在進行AIS審計時，對審計證據的獲取主要依靠審計單位和與之有關聯的企業進行，在云計算基礎上的AIS審計證據來源廣泛、數量龐大，既有來自被審計單位的證據，也有來自AIS云供應商和第三方評估機構的審計證據。隨著技術的發展，云計算基礎上的財務軟件應用范圍越來越廣，數量眾多的大型公司都著手準備財務共享中心平臺的搭建，也增加了財務軟件供應商的數量和業務范圍，各類新型AIS產品陸續問世，為企業選擇AIS產品提供了更多的空間和選擇余地。

AIS云供應商依靠產品為企業提供服務，企業只需要支付相應的服務費用，不需要支付在提供服務時涉及的有關基礎設施建設、技術框架構建、維護人員行為的費用。由于在研發AIS產品服務過程中存在一定的隱患，在網絡傳播速度、網絡傳播安全性等方面都會產生一定的影響，要求審計機構從服務商處獲取和內部控制有關的審計證據。但是，審計證據可以從多種渠道獲取的特征也讓企業在實施AIS程序時復雜程度更高。加上企業基于云計算基礎上的AIS審計模式具有動態變化性，產品供應商在企業特定需求基礎上定制相應的AIS產品，這就有別于傳統模式下的財務軟件環境。在傳統財務軟件操作時，審計人員能夠對系統的界面、數據庫類型、產品的版本都能有所掌握，在云計算“按需定制”模式下會呈現動態變化特征，造成系統內部各個關聯模塊劃分界面模糊，鉤稽關系復雜，用戶對數據庫和操作系統的運行情況掌握不足，讓審計環境更加復雜和難度增加。所以，在供應商之間存在的這些問題都讓企業對審計機構的可信性產生波動，并且由于目前沒有對AIS產品可信性評價方面形成共識，企業只能根據產品的品牌、產品信息、使用效果評價等因素對AIS產品開展評價。這種情況下，對AIS產品選擇時也具有一定的盲目性，選擇產品方面存在較大風險，如選擇的產品在用戶對系統的可靠性、安全性、易操作性方面存在薄弱之處，容易產生故障。企業在選擇AIS產品時很難獲得充分的可信性證據，審計機構也沒有在可信性評價方面建立專業的評價體系，提高了云計算基礎上審計工作的難度和復雜性。

三、“互聯網+”時代基于云計算的AIS審計實施

（一）對AIS外部審計體系進一步優化

第一，需要結合行業的需求對AIS審計建立完善的規范體系，這既是AIS審計的基礎，同樣也是AIS審計得以發展的動力和推動力量。在當前的“互聯網+”背景下，規范的AIS審計體系既有對體系的實施標準、系統安全運營標準，還包括審計人員所具備的從業資格，可見，在網絡環境下必須強化AIS審計有關法律法規的建設。AIS審計的大部分審計證據，例如企業合同臺賬、憑證掃描都是電子版的，利用網絡規范體系確保系統操作人員在開展審計時做到有章可循、有法可依。由于信息系統的運行必須置于網絡環境下，由電子政務、電子商務等構成了全局性的信息系統，現行的業財融合系統下，AIS審計涵蓋的內容不僅有審計系統自身，還包括所涉及的全部內容，因此，建立審計規范體系時不應該只停留在系統審計層面，還應該和網絡環境、配套體制和行業發展特點相匹配。

第二，構建成熟的AIS審計人材培養體系。加快審計發展、提高會計師事務所審計質量需要高素質的專業人才，這就需要在部分高校開設相關專業進行綜合素質人才培養，特別是要將理論學習和計算機學習有機結合起來，從學生階段開始培養；也可以通過專業的審計師執業認證資格考試加速信息系統審計體系的建設；政府層面可以制定審計人才培養的目標和路徑，從理論培養到實踐操作都形成完善的信息系統審計知識結構與人才培養體系。

第三，加大研發力度，建立具有世界先進水平的AIS審計技術。可以重點從一體化審計平臺的建立入手，在完成建立在網絡基礎上的通用性信息系統審計平臺建設后，利用AIS審計系統通用化和一體化功能，將各種類型的信息系統數據進行標準化和集中化處理，并以統一的審計標準、程序、方法進行審計。然后，構建內容豐富的結構化的審計知識庫。而審計流程的制定則是將通用的具有專業權威的審計理論、規則錄入審計系統中，形成完善的具有較高標準的審計分析流程，進而得出相應的審計建議與審計結果。

（二）進一步完善AIS內部控制審計

為確保AIS內部控制審計體系安全平穩運行，必須強化AIS內部控制審計體系建設，需要加強對信息系統各個模塊的安全性、可靠性、內部控制手段等開展評價與考核。特別是在網絡時代，使用AIS系統的人員涉及面較多，如系統開發人員、使用人員等，這就需要企業構建起由全員參與的信息系統內部控制審計體系。基于云計算的AIS在進行系統設計時，雖然在設計層面和技術層面都做了性能改善工作，但離企業運行需求還有一定距離，企業應該立足審計實際情況，充分利用AIS組織形式及結構特點，在對業務處理流程進行優化的基礎上，發揮其信息處理優勢較好的對企業風險進行規避。通過不斷完善和AIS體系相適應的切合其自身特點的內部控制制度，更好地實現企業的信息安全和資產安全，確保經營目標有效實現。

（三）建立AIS 可信性度量模型

會計信息化進度不斷推進，云供應商在提供數據的可信度、安全性和數據隔離方面對信息環境下審計工作提出了新的挑戰。用于財務共享服務的基礎設施都處在云會計供應商的掌控下，用戶對審計系統的開發及系統設計層面的內容掌握不多，主要是依靠審計人員對會計服務的掌握程度開展審計工作，不僅不利于工作，還會消耗較多的時間和精力。加上IT審計人員對云會計的技術思路和技術理念設計掌握不清，對抽樣結果的準確性難以做到準確評估。這就需要由外部專家或者第三方評估部門對AIS可信度開展度量和評價。評估機構需要對用戶的信息技術環節和提供云會計供應商的資質、技術水平、云會計基礎的建設等情況做到清楚掌握，并就用戶對AIS的使用做到精準量化，包括對數據輸入、信息處理、數據處理等環節的熟悉程度和期望值，在此基礎上構建起AIS可信性度量模型，對AIS可信度進行科學有效的度量，從定性和定量兩個角度表征出不同類型產品的差異性，讓用戶即使沒有專業化的知識也可以對AIS產品進行綜合性評價，并進行產品的選擇。

目前國內外對AIS可信性度量方面的研究較少，我國學者程平教授對此研究較為深入，通過研究分析，程平教授首次建立了較為成熟的基于云會計環境的AIS可信性度量模型，因為AIS模塊之間的業務信息具有相互勾稽的特點，彼此之間互相關聯，沒有辦法進行單一的度量，因此在建立可信性度量模型時，程教授利用設計結構矩陣的有關知識對各個屬性彼此之間的關聯程度進行分析，并就各個屬性對AIS整體可信性的貢獻大小進行了計算。他利用設計結構矩陣這一分析工具，把每個具體的功能模塊都看作能夠復用的部分，對各個模塊都進行可信屬性計算，利用AIS可信屬性之間的關聯性和可傳遞性，最終建立起基于云會計的AIS可信性度量模型。比如，基于云會計的AIS可信屬性具有可用性、安全性、可靠性特點，其中系統的安全性和可用性、風險可控性具有正相關關系，對上述可信屬性之間存在的相互關系之間進行分析與度量后，審計人員便可以利用建立模型計算結果的精準數據對使用系統的用戶開展準確審計，以降低審計風險。

四、“互聯網+”背景下基于云計算的AIS審計發展趨勢展望

利用云計算技術能夠實現計算機技術和企業管理工具的有效結合，更好地為審計信息化建設奠定基礎，確保在“互聯網+”背景下不斷提高審計工作效率和審計質量，也使在審計過程中減少人力資源、提高審計效率。信息技術的不斷發展衍生出信息審計手段，如審計私有云和審計分析云工具的出現和使用。審計工作涉及海量的數據，蘊含巨大的信息量，難以保證數據信息的真實性和安全性。審計人員借助計算機技術使用審計私有云，集合審計數據、數據計算方法、計劃方案和計算流程等信息于一體，搭建起綜合性系統平臺。在平臺使用過程中，能夠按照用戶的特定需求對審計信息進行具有針對性的系統處理，對數據收集、憑證抽查等基礎性工作進行流程簡化，降低審計時間，提高審計效率。建立審計分析云時主要是參考不同用戶的各類需求，對特定的數據進行分析和總結，利用建立的模型對用戶的需求提供可以參考的審計結果，由于審計結果處理方法較為規范，能夠避免出現審計結果不準確的情況。在審計工作的后期還會面對數據信息龐大、計算方式繁瑣的問題提出相應的改進對策和改進意見。

目前我國基于云計算的AIS審計技術還處于發展初級階段，但是具有較大的發展潛力，既使我國信息系統審計工作得以快速發展，也為我國下步審計信息化的發展指明了道路，在信息化審計方面具有較大影響。隨著信息化的發展，審計數據會更加多樣化，審計理念會更加超前，審計信息的應用會更加廣泛，大數據技術會更加帶動審計信息化的發展。通過信息系統審計技術能夠通過更多的渠道和方式尋找到審計線索、獲取審計證據，通過對審計數據的信息化分析還可以發現數據之間存在的關聯性，并建立關聯模型，利用數據變化趨勢預測審計結果，進行事前審計。另一方面，以大數據和云計算為代表的信息技術對信息化審計工作人員的審計思維也產生了重要影響。相比傳統審計模式下舞弊現象普遍的情況，利用信息技術進行審計時就能避免由于抽樣調查產生的高審計風險。在各個領域得到普遍應用的云計算技術讓審計人員的審計范圍涵蓋到所有的數據信息，變革了傳統的審計流程，能夠更好地發現問題本質，提高審計質量和審計效率。