基于大數(shù)據(jù)可視化技術的信息系統(tǒng)AC審計

陳偉 詹明惠

【摘 要】 信息系統(tǒng)AC（應用控制）審計是目前信息系統(tǒng)審計領域研究與應用的重要內(nèi)容，大數(shù)據(jù)技術和金融科技的發(fā)展與應用為信息系統(tǒng)AC審計帶來了機遇和挑戰(zhàn)。金融科技環(huán)境下研究如何開展信息系統(tǒng)AC審計對防范化解金融科技風險具有重要意義。文章首先分析了研究金融科技環(huán)境下信息系統(tǒng)AC審計方法的重要性;然后，以金融科技貸款業(yè)務系統(tǒng)為例，提出了基于大數(shù)據(jù)可視化技術的信息系統(tǒng)AC審計方法，并采用R語言實現(xiàn)了該方法;在此基礎上，結(jié)合案例，詳細地分析了該方法的應用，從而驗證了該方法的可行性與有效性;最后，通過與常用信息系統(tǒng)應用控制審計方法進行比較，進一步證明了文章提出的審計方法的優(yōu)勢。研究結(jié)果為今后防范化解金融科技系統(tǒng)風險提供了理論經(jīng)驗與技術方法。

【關鍵詞】 大數(shù)據(jù)審計; 信息系統(tǒng)審計; AC（應用控制）審計; 金融科技; 數(shù)據(jù)可視化

【中圖分類號】 F239.1;C931.6? 【文獻標識碼】 A? 【文章編號】 1004-5937（2021）01-0120-06

一、引言

信息系統(tǒng)審計是目前審計領域研究與應用的重要內(nèi)容[1]，其中，信息系統(tǒng)AC（應用控制，Application Control）審計是信息系統(tǒng)審計的重要內(nèi)容。簡單地講，信息系統(tǒng)應用控制是為了適應各種數(shù)據(jù)處理的特殊控制要求，保證數(shù)據(jù)處理完整、準確地完成而建立的內(nèi)部控制，它針對的是與信息系統(tǒng)應用相關的事務和數(shù)據(jù)，目的是確保數(shù)據(jù)的準確性、完整性、有效性、可驗證性、可靠性和一致性。應用控制審計的目的就是確保被審計單位的應用系統(tǒng)控制符合相關要求[2]。

傳統(tǒng)環(huán)境下，被審計單位信息化程度低，應用系統(tǒng)較簡單，因此，對于信息系統(tǒng)應用控制審計只需要做訪談或簡單的測試即可。金融科技的研究與應用是近年來金融信息化領域的熱點問題。隨著金融科技的廣泛應用，目前金融機構信息化程度較高，應用系統(tǒng)較多。因此，金融科技信息系統(tǒng)應用控制審計成為一個重要挑戰(zhàn)。為了防范化解金融風險，金融科技風險審計成為目前審計工作的一項重要內(nèi)容。金融科技環(huán)境下，僅靠現(xiàn)有的審計方法很難發(fā)現(xiàn)潛在的信息系統(tǒng)風險，創(chuàng)新審計方法成為必然。

盡管目前已有一些關于大數(shù)據(jù)審計方法的研究，如大數(shù)據(jù)審計的現(xiàn)狀與發(fā)展[3]，大數(shù)據(jù)環(huán)境下電子數(shù)據(jù)審計的機遇、挑戰(zhàn)與方法[4]，基于大數(shù)據(jù)可視化技術的審計線索特征挖掘方法[5]，以及基于社會網(wǎng)絡分析的金融科技系統(tǒng)用戶管理風險審計方法[6]等，但目前直接針對金融科技系統(tǒng)應用控制風險審計方法的研究仍較少。本文結(jié)合目前大數(shù)據(jù)審計技術、信息系統(tǒng)審計，以及金融科技風險審計的研究與應用現(xiàn)狀，探索如何采用大數(shù)據(jù)可視化技術開展信息系統(tǒng)應用控制審計。

二、基于大數(shù)據(jù)可視化技術的信息系統(tǒng)應用控制審計方法分析

（一）大數(shù)據(jù)可視化技術分析

常見的大數(shù)據(jù)審計技術一般包括大數(shù)據(jù)多數(shù)據(jù)源綜合分析技術、大數(shù)據(jù)可視化分析技術，以及大數(shù)據(jù)智能分析技術。其中，大數(shù)據(jù)可視化分析技術是目前較為流行的技術。常用的大數(shù)據(jù)可視化分析技術包括氣泡圖、柱狀圖、折線圖、餅圖、散點圖、熱力圖、標簽云（文本可視化分析）等[7-9]。

（二）基于大數(shù)據(jù)可視化技術的信息系統(tǒng)應用控制審計方法原理

大數(shù)據(jù)可視化技術為信息系統(tǒng)應用控制審計帶來了機遇。大數(shù)據(jù)環(huán)境下，為了更好地審計信息系統(tǒng)的應用控制風險，可以從被審計單位信息管理部門采集相關數(shù)據(jù)。通過對這些數(shù)據(jù)進行分析，可以掌握目前該被審計單位相關應用系統(tǒng)的應用控制風險。基于大數(shù)據(jù)可視化技術的信息系統(tǒng)應用控制審計方法原理可簡單描述為：采集被審計信息系統(tǒng)的相關數(shù)據(jù)，采用大數(shù)據(jù)可視化技術對相關數(shù)據(jù)進行建模和可視化分析，通過對可視化結(jié)果圖形和圖像進行分析和觀察，發(fā)現(xiàn)被審計信息系統(tǒng)應用控制中的風險。在此基礎上，通過對以上發(fā)現(xiàn)的這些風險做進一步的延伸審計和審計事實確認，最終獲得審計證據(jù)，從而為防范化解信息系統(tǒng)風險打下了基礎。

綜上分析，基于大數(shù)據(jù)可視化技術的信息系統(tǒng)應用控制審計方法原理如圖1所示。

三、基于大數(shù)據(jù)可視化技術的信息系統(tǒng)應用控制審計案例及分析

（一）案例背景簡介

一般來說，對信息系統(tǒng)開展應用控制審計的主要思路如下：

1.分析被審計信息系統(tǒng)的業(yè)務流程。

2.根據(jù)被審計信息系統(tǒng)的業(yè)務流程，識別被審計信息系統(tǒng)的應用控制活動。

3.根據(jù)識別出的被審計信息系統(tǒng)流程中關鍵的應用控制點，采用大數(shù)據(jù)可視化技術對其進行建模和測試分析。

4.通過對相關數(shù)據(jù)進行測試分析，發(fā)現(xiàn)被審計信息系統(tǒng)的相關應用控制風險，并與被審計單位進行溝通確認。

以某商業(yè)銀行金融科技貸款業(yè)務信息系統(tǒng)審計為例，假設審計人員現(xiàn)已從該行信息科技部獲取了貸款業(yè)務系統(tǒng)審計所需的“對公客戶數(shù)據(jù)”“貸款分戶賬數(shù)據(jù)”“貸款分戶明細數(shù)據(jù)”“對私分戶明細數(shù)據(jù)”“企業(yè)性質(zhì)數(shù)據(jù)”等數(shù)據(jù)。如圖2所示。現(xiàn)通過對這些數(shù)據(jù)進行分析，檢查該商業(yè)銀行金融科技貸款業(yè)務信息系統(tǒng)的應用控制風險。

（二）信息系統(tǒng)輸入控制風險可視化分析示例

1.數(shù)據(jù)缺失問題分析

如果被審計信息系統(tǒng)輸入缺少系統(tǒng)檢驗，則系統(tǒng)中會出現(xiàn)數(shù)據(jù)缺失的情況。因此，為了檢查被審計的貸款業(yè)務信息系統(tǒng)是否存在輸入控制風險，可以對相關數(shù)據(jù)進行分析，檢查系統(tǒng)中是否存在數(shù)據(jù)缺失問題，從而判斷被審計信息系統(tǒng)是否存在輸入控制風險。比如，在貸款信息錄入過程中，如果貸款卡號輸入缺少系統(tǒng)檢驗，則系統(tǒng)中會出現(xiàn)貸款卡號為空的情況。如果貸款開戶日期輸入缺少系統(tǒng)檢驗，則系統(tǒng)中會出現(xiàn)貸款開戶日期為空的情況。

以貸款業(yè)務信息系統(tǒng)中的“對公客戶數(shù)據(jù)”為例，查看“對公客戶數(shù)據(jù)”中的數(shù)據(jù)缺失情況，借助R語言進行建模對其進行可視化分析，其結(jié)果示例如圖3所示。

在圖3中，顏色的深淺表示數(shù)據(jù)值的大小，淺色表示數(shù)據(jù)值小，深色表示數(shù)據(jù)值大，深灰色表示數(shù)據(jù)值缺失。由圖3可以清晰地看出被審計單位的貸款業(yè)務信息系統(tǒng)中存在數(shù)據(jù)缺失的情況，其中有些字段的缺失值較少，有些字段的缺失值較多，同時也存在一些字段的值完全缺失，如“公司電話”“聯(lián)系人”等字段，這些問題的存在對該被審計單位金融科技系統(tǒng)的運行管理造成潛在的風險隱患。

2.數(shù)據(jù)重復問題分析

如果被審計信息系統(tǒng)輸入缺少系統(tǒng)檢驗，則系統(tǒng)中會出現(xiàn)數(shù)據(jù)重復輸入的情況。因此，為了檢查被審計的貸款業(yè)務信息系統(tǒng)是否存在輸入控制風險，可以對相關數(shù)據(jù)進行分析，檢查系統(tǒng)中是否存在數(shù)據(jù)重復問題，從而判斷被審計信息系統(tǒng)是否存在輸入控制風險。

以采集到的貸款業(yè)務信息系統(tǒng)中的“對公客戶數(shù)據(jù)”為例，查看客戶“代碼證號”字段是否存在重復數(shù)據(jù)，借助R語言進行建模對其進行可視化分析，其結(jié)果示例如圖4所示。

圖4顯示了對公客戶數(shù)據(jù)中客戶“代碼證號”字段的數(shù)據(jù)重復情況。其中，氣泡的大小表示數(shù)據(jù)重復的情況，氣泡越大，表示該數(shù)據(jù)重復次數(shù)越多。根據(jù)氣泡的大小，審計人員可以快速、清晰地觀察出被審計金融科技系統(tǒng)中數(shù)據(jù)重復的情況。

通過圖4的分析結(jié)果，審計人員可以發(fā)現(xiàn)被審計的貸款業(yè)務信息系統(tǒng)未能很好地控制數(shù)據(jù)重復輸入問題，這些問題的存在對該被審計單位金融科技系統(tǒng)的運行管理造成潛在的風險隱患。

3.業(yè)務規(guī)則錯誤分析

如果被審計信息系統(tǒng)輸入缺少系統(tǒng)檢驗，則系統(tǒng)中會出現(xiàn)業(yè)務規(guī)則錯誤問題。因此，為了檢查被審計的貸款業(yè)務信息系統(tǒng)是否存在輸入控制風險，可以對相關數(shù)據(jù)進行分析，檢查系統(tǒng)中是否存在業(yè)務規(guī)則錯誤問題，從而判斷被審計信息系統(tǒng)是否存在輸入控制風險。自1999年居民身份證編號由15位升至18位。因此，如果被審計數(shù)據(jù)中存在非15位或18位身份證編號的情況，則表明出現(xiàn)了業(yè)務規(guī)則錯誤問題。

以采集到的貸款業(yè)務信息系統(tǒng)中的“對公客戶數(shù)據(jù)”為例，查看“對公客戶數(shù)據(jù)”中身份證號的位數(shù)是否正確。借助R語言進行建模對其進行可視化分析，其結(jié)果示例如圖5所示。

從圖5的分析結(jié)果可以整體了解該貸款業(yè)務信息系統(tǒng)“對公客戶數(shù)據(jù)”中身份證號位數(shù)情況，偏離15位或18位兩條線上的數(shù)據(jù)皆為異常數(shù)據(jù)。由圖5可以清晰地發(fā)現(xiàn)被審計單位的貸款業(yè)務信息系統(tǒng)中存在身份證號位數(shù)不正確的情況，這些問題的存在對被審計單位金融科技系統(tǒng)的運行管理造成潛在的風險隱患。

（三）信息系統(tǒng)處理控制風險可視化分析示例

如果被審計信息系統(tǒng)缺少處理控制，則系統(tǒng)中會出現(xiàn)數(shù)據(jù)異常情況。因此，為了檢查被審計的貸款業(yè)務信息系統(tǒng)是否存在處理控制風險，可以對相關數(shù)據(jù)進行分析，檢查系統(tǒng)中是否存在異常情況，從而判斷被審計信息系統(tǒng)是否存在處理控制風險。根據(jù)對貸款業(yè)務信息系統(tǒng)業(yè)務的分析，部分處理控制風險分析示例如下。

1.存貸款業(yè)務授權情況分析

以采集到的貸款業(yè)務信息系統(tǒng)中的“對私分戶明細數(shù)據(jù)”為例，分析是否存在交易金額大于50 000元但沒有進行授權的存貸款情況。借助R語言進行建模對其進行可視化分析，其結(jié)果示例如圖6所示。

圖6顯示了“對私分戶明細數(shù)據(jù)”中交易金額大于50 000元的交易數(shù)據(jù)存貸款業(yè)務授權情況，其中，黑色三角表示的數(shù)據(jù)為交易金額大于50 000元，且操作員和授權人為同一個人（也是說沒有進行授權）。根據(jù)圖6的分析結(jié)果，審計人員可以快速、清晰觀察出被審計貸款業(yè)務信息系統(tǒng)中存在交易金額大于50 000元但沒有進行授權的存貸款交易情況，從而發(fā)現(xiàn)被審計貸款業(yè)務信息系統(tǒng)在處理控制方面存在的處理控制風險。

2.貸款主體單位性質(zhì)控制情況分析

如果對貸款主體單位性質(zhì)缺少控制，則容易發(fā)生向行政事業(yè)單位和商業(yè)銀行發(fā)放貸款的風險等。以采集到的貸款業(yè)務信息系統(tǒng)中的“對公客戶數(shù)據(jù)”和“企業(yè)性質(zhì)數(shù)據(jù)”為例，分析“對公客戶數(shù)據(jù)”中是否存在貸款主體單位性質(zhì)為金融機構的數(shù)據(jù)，借助R語言進行建模對其進行可視化分析，其結(jié)果示例如圖7所示。

圖7顯示了“對公客戶數(shù)據(jù)”中“貸款主體單位性質(zhì)”數(shù)據(jù)情況。根據(jù)分析結(jié)果，審計人員可以快速、清晰地觀察出被審計“對公客戶數(shù)據(jù)”中存在貸款主體單位性質(zhì)為金融機構的數(shù)據(jù)，這對被審計單位的業(yè)務管理造成潛在的風險隱患。

（四）審計結(jié)果及分析

根據(jù)以上分析結(jié)果，審計人員可以對“貸款業(yè)務系統(tǒng)”做進一步的測試和審計事實確認，最終發(fā)現(xiàn)“貸款業(yè)務系統(tǒng)”存在的相關應用控制風險示例如下：

1.“貸款業(yè)務系統(tǒng)”輸入控制風險

（1）貸款卡號輸入缺少系統(tǒng)檢驗，造成貸款卡號字段數(shù)據(jù)缺失問題的發(fā)現(xiàn)。

（2）對公客戶數(shù)據(jù)的代碼證號輸入缺少檢驗，造成對公客戶數(shù)據(jù)存在信息重復的客戶代碼證號數(shù)據(jù)。

（3）對公客戶數(shù)據(jù)的法人身份證號輸入缺少檢驗，造成身份證號位數(shù)錯誤問題的發(fā)生。

2.“貸款業(yè)務系統(tǒng)”處理控制風險

（1）對存貸款交易授權缺少控制，造成“對私分戶明細數(shù)據(jù)”中出現(xiàn)交易金額大于50 000元的存貸款沒有進行授權的不合規(guī)情況。

（2）對貸款主體單位性質(zhì)缺少控制，數(shù)據(jù)中出現(xiàn)向金融機構進行貸款的情況，造成容易產(chǎn)生向商業(yè)銀行發(fā)放貸款的風險等。

同理，可以對“貸款業(yè)務系統(tǒng)”的其他相關應用控制風險進行分析。

通過以上過程，最終獲得審計證據(jù)。

四、與常用信息系統(tǒng)應用控制審計方法的比較

為了進一步證明本文研究方法的優(yōu)勢，我們分析一下信息系統(tǒng)應用控制審計中常用的數(shù)據(jù)分析方法。

（一）基于電子表格軟件的信息系統(tǒng)應用控制審計數(shù)據(jù)分析方法

以Excel為例，部分基于電子表格軟件的信息系統(tǒng)應用控制審計數(shù)據(jù)分析方法示例如下：

1.在分析被審計信息系統(tǒng)中數(shù)據(jù)是否存在缺失時，可以通過“篩選”命令來查找是否存在數(shù)據(jù)值為“空”的數(shù)據(jù)。例如，在分析客戶“貸款卡號”字段是否有缺失數(shù)據(jù)時，可以選中“貸款卡號”，然后點擊“篩選”，在下拉菜單中查看“空”值數(shù)據(jù)。

2.在分析被審計信息系統(tǒng)中數(shù)據(jù)是否存在重復時，可以利用函數(shù)統(tǒng)計某一字段數(shù)據(jù)出現(xiàn)的次數(shù)。例如，在分析客戶“代碼證號”字段是否有重復數(shù)據(jù)時，可以采用COUNTIF函數(shù)計算出數(shù)據(jù)出現(xiàn)次數(shù)，然后采用“篩選”命令，篩選出出現(xiàn)次數(shù)大于一次的數(shù)據(jù)，從而發(fā)現(xiàn)重復數(shù)據(jù)。

3.在分析被審計信息系統(tǒng)中數(shù)據(jù)是否存在業(yè)務規(guī)則錯誤時，可以利用函數(shù)統(tǒng)計某一字段數(shù)據(jù)的位數(shù)。例如，在分析客戶“身份證號”字段是否有業(yè)務規(guī)則錯誤數(shù)據(jù)時，可以采用LENB函數(shù)計算出數(shù)據(jù)的位數(shù)，然后采用“篩選”命令，篩選出身份證號位數(shù)不為15或18的數(shù)據(jù)，從而發(fā)現(xiàn)錯誤數(shù)據(jù)。

（二）基于SQL語言的信息系統(tǒng)應用控制審計數(shù)據(jù)分析方法

1.可以采用SQL語句查找被審計信息系統(tǒng)中是否存在信息缺失的數(shù)據(jù)，例如，查找“對公客戶數(shù)據(jù)”中是否存在貸款卡號為空的數(shù)據(jù)，相應的SQL語句分別如下：

2.可以采用SQL語句查找被審計信息系統(tǒng)中是否存在信息重復的數(shù)據(jù)，例如，查找“對公客戶數(shù)據(jù)”中是否存在信息重復的客戶“代碼證號”數(shù)據(jù)，相應的SQL語句如下：

3.可以采用SQL語句查找被審計信息系統(tǒng)中是否存在信息錯誤的數(shù)據(jù)，例如，查找“對公客戶數(shù)據(jù)”中是否存在身份證號的位數(shù)不正確的數(shù)據(jù)，相應的SQL語句如下：

4.可以采用SQL語句查找被審計信息系統(tǒng)中是否存貸款業(yè)務未授權的數(shù)據(jù)，例如，查找“對私分戶明細數(shù)據(jù)”中是否存在交易金額大于50 000元但沒有進行授權的存貸款情況，相應的SQL語句分別如下：

同理，可以采用SQL語句對“貸款業(yè)務系統(tǒng)”的其他相關應用控制風險進行分析。通過在Microsoft Access、SQL Server等數(shù)據(jù)庫中運行以上SQL語句，可以很容易地查找出以上相關問題。以查找“對公客戶數(shù)據(jù)”中是否存在信息重復的客戶代碼證號數(shù)據(jù)為例，其分析結(jié)果示例如圖8所示。

（三）比較分析

由以上分析不難看出：目前使用的基于電子表格軟件和數(shù)據(jù)庫軟件的數(shù)據(jù)分析方法雖然也能查找被審計單位信息系統(tǒng)中是否存在數(shù)據(jù)缺失問題、數(shù)據(jù)重復問題以及業(yè)務規(guī)則錯誤情況等，但不能很清晰、形象地展示出數(shù)據(jù)的整體情況以及存在的問題，不能很好地揭示出被審計信息系統(tǒng)中存在的應用控制風險。

五、結(jié)語

信息系統(tǒng)應用控制審計是信息系統(tǒng)審計的重要內(nèi)容，隨著金融科技的廣泛應用和快速發(fā)展，目前常用的信息系統(tǒng)審計方法不能很好地滿足金融科技應用系統(tǒng)風險審計的需要，采用大數(shù)據(jù)審計技術開展金融科技風險審計成為一種有效的方法。本文根據(jù)這一需要，以金融科技貸款業(yè)務系統(tǒng)為例，研究了如何采用大數(shù)據(jù)可視化技術開展信息系統(tǒng)應用控制風險審計。實際應用案例表明：通過可視化圖形更能直觀、清晰地揭示審計線索，獲得審計證據(jù)，從而達到防范化解相關金融科技風險的目的。當然，本文研究的方法不可能解決所有的金融科技信息系統(tǒng)應用控制風險審計問題，但能有效地彌補目前已有方法的不足。

【參考文獻】

[1] 陳偉.基于大數(shù)據(jù)技術的BCM審計方法研究[J].會計之友，2019（11）：113-116.

[2] 陳偉.大數(shù)據(jù)審計理論、方法與應用[M].北京：科學出版社，2019.

[3] 陳偉，居江寧.大數(shù)據(jù)審計：現(xiàn)狀與發(fā)展[J].中國注冊會計師，2017（12）：77-81.

[4] 陳偉，SMIELIAUSKAS W.大數(shù)據(jù)環(huán)境下的電子數(shù)據(jù)審計：機遇、挑戰(zhàn)與方法[J].計算機科學，2016（1）：8-13，34.

[5] 陳偉，居江寧.基于大數(shù)據(jù)可視化技術的審計線索特征挖掘方法研究[J].審計研究，2018（1）：16-21.

[6] 陳偉，詹明惠，陳文夏.基于社會網(wǎng)絡分析的金融科技系統(tǒng)用戶管理風險審計方法研究[J].中國注冊會計師，2019（12）：74-78.

[7] GEPP A，LINNENLUECKE M K，O'NEILL T，et al.Big Data techniques in auditing research and practice：current trends and future opportunities[J].Journal of Accounting Literature，2018（1）：102-115.

[8] GTAG.Understanding and Auditing Big Data[EB/OL].http：//www.theiia.org，2017.

[9] KOH K，LEE B，KIM B.Mani wordle：providing flexible control over wordle[J].IEEE Trans.on Visualization and Computer Graphics，2010（6）：1190-1197.