信息系統審計為企業財務共享中心建設保駕護航

康僑麟　吳花平　羅艷

[摘要] IT審計的出現為財務共享中心的廣泛應用帶來了新優勢。以L企業為例，從大數據角度出發，針對財務共享中心產生的各類數據，根據相關要求，設計了財務共享IT審計模型，分析了L企業財務共享中心的財務現狀與IT審計需求，構建了IT審計模型，并結合案例基于Hadoop Hive數據倉庫的HQL語言實施了IT審計流程，為企業財務共享中心的實施保駕護航。

[關鍵詞]財務共享? ?大數據? ?IT審計

本文系國家社會科學基金項目（16CGL070）

一、引言

進入數字化時代，財務共享中心對支持企業集團戰略發展、強化財務管控、減少財務成本、完善財務體系發揮著重要作用。財務共享中心是基于大數據、云計算等技術的全新管理模式，包括企業總賬核算、各類財務信息管理等多類型業務，實現了統一管理和高效決策的目標。風險管理在企業經營管理中扮演著不可或缺的角色，尤其是在企業資金運用方面，良好的風險管控對企業資金的平穩運行以及盈利大有裨益，基于此，在企業經濟業務愈發復雜化、資金分配使用愈發分散化的背景之下，建立更加完備的現代審計系統尤為重要。IT審計作為現代審計系統中的重要環節，依托強大的數據計算能力，充分利用互聯網龐大的數據資源，進行數據挖掘、數據處理，以提高審計結果的準確性和可靠性。IT審計與財務系統各司其職，兩者獨立存在，IT審計是由第三方審計師根據公司制定的標準，對企業整體信息系統，從最開始策劃到最后系統使用的過程進行審核，主要包括三大審計程序：一般控制、應用控制和項目管理。無論是一般控制審計還是應用控制審計，在審計過程中都會產生大量、各種類型的數據。L企業利用大數據和信息化集成處理技術創建財務共享中心，這個過程中會因為公司內部人員頻繁變動、用戶權限不斷使用、系統不斷更新升級而出現數據安全、訪問安全、基礎設施設備更新和網絡安全等方面的問題。另外，L企業各類分公司和子公司的ERP、OA、HR等其他業務與財務共享中心實現數據對接時，對接的整個過程都存在諸多風險。實施IT審計可以最大可能地減少L企業財務共享信息系統在整個數據傳輸過程中可能發生的未知風險?；诖?，IT審計的重要性不言而喻。

財務共享中心IT審計的研究一直受到諸多學者的重視。目前學者主要是從財務共享中心IT審計的概念、內容、設計指標和實施方法方面進行了多維度研究。對于理論方面的研究，張瑞麗（2019）通過對財務共享中心IT審計的特點、流程框架、過程等進行詳細的分析，提供理論上的啟示和支持。程平和白沂（2016）對財務共享中心業務執行模式進行分析，提出了初步的IT審計流程，對財務共享中心進行實際業務操作提供了理論借鑒基礎。在財務共享中心IT審計框架構建方面，程平和范柯（2016）通過分析云會計面臨的挑戰及對IT審計造成的影響，選取COBIT5.0作為構建IT審計的理論基礎，進行業務流程框架的制定，并結合IT審計的業務流程對云會計應用的重點方面進行了研究，推動了云會計與IT審計的發展。程平和崔娜牟倩（2018）對IT審計已有的研究成果進行總結，結合當前企業財務大數據管理的廣泛應用，對財務共享中心開展IT審計進行了方法論研究，并在前人已提出的IT審計框架基礎上進行更新完善?；诖藢崿F的會計平臺IT審計原型系統為財務共享中心審計工作的開展提供了助力。夏磊（2019）結合COBIT5.0模型，采用層次分析法和“熵權理論”建立IT審計風險評估模型，對具體案例的IT審計風險進行評估，并根據案例存在的潛在風險提出具有參考意義的建議。

通過對上述文獻的研究分析可以得出結論，現有的相關文獻絕大多數是以傳統的信息系統為參考，而且研究的角度存在明顯的同質化取向，缺乏創新性。在企業規模擴大及業務拓展過程中，必然面臨財務數據劇增的現象，尤其是對于廣泛采取多元化經營業務的集團企業，應用財務共享服務將對提升財務分析能力、提供更為準確的財務決策產生顯著影響，基于此，在對財務共享中心進行建設的過程中，應不可避免地考慮集團企業的業務需求，審計人員在IT審計過程中，將更多地通過數字化技術，從數據角度出發，發現工作過程中的難點、疑點，根據所發現的問題提出合理的針對性策略。鑒于此，本文從大數據角度出發，以L企業的財務共享中心為例，首先，分析了L企業現狀及財務共享發展歷程，構建L企業財務共享中心IT審計模型;其次，從IT審計的一般控制審計和應用控制審計兩方面對L企業財務共享中心實施審計;最后，說明框架實施時需關注的關鍵點。

二、L企業財務共享中心建設現狀

（一）L企業簡介

L企業以百貨、超市、電器三大產業為主，旗下擁有全資及控股子公司10家，員工9萬余人，網點452個，經營面積253萬平方米，涉及酒店、食品、電子器材、勞保等經營領域。目前電器和超市已實現人員集中，百貨場店仍是分散模式。L企業進行了財務共享中心平臺建設，分為總部財務共享中心、事業部共享中心、總部財務管理中心和業務財務，如圖1所示。

（二）L企業財務共享中心建設現狀

目前，L企業基本實現了業財一體化，其財務共享中心IT系統主要包括資金管理、資產管理、費用報銷管理、發票管理等子系統，如圖2所示。

（三）L企業財務共享中心系統審計需求分析

在L企業對財務共享中心的構想中，該中心將負責企業全方位的財務信息收集、處理工作。實現了業務處理和數據存儲，但同時也增加了IT風險，而在日常的管理過程中，財務共享中心IT架構的設計是否可靠并沒有經過較為專業的審核，所以信息系統是否存在漏洞、信息是否安全，都需要進行核查，但是由于目前尚未建立對這些信息進行專業審計的部門，所以增加了對這些信息的管理難度。IT審計主要是對財務共享IT架構的設計和可行性進行詳細檢查，IT審計的核心任務就是對相關事務進行科學有效的管理控制。在L企業財務共享中心系統審計需求分析中，將業務數據、財務數據的安全性放到了首要位置，其數據的收集、處理都將以標準化信息系統審計為依托，以最大限度地保證財務共享中心的數據安全性。因此，對L企業實施IT審計顯得十分必要。由于IT審計內容廣、范圍大，為了更有針對性地對L企業財務共享中心的信息系統進行IT審計，本文重點對以下兩方面的審計進行分析。

1.一般控制審計。L企業對于一般控制審計主要從組織架構、崗位職責、數據安全、訪問安全和網絡安全五個方面進行重點審計。其中組織架構控制審計的內容主要涉及企業是否設置了合適的CIO職位，是否組織了信息化建設，是否設立了外部監督機制，是否明確了IT部門的合理定位，是否設立了與IT部門相適應的崗位，是否建立人才招聘機制，是否對企業員工進行定期培訓等。崗位職責控制審計主要包括是否建立了各類崗位職責考核機制、不相容崗位是否分離、是否明確相關人員的職責與權限、是否遵循單位內部輪崗制度要求等。對于L企業數據安全審計，主要通過訪談與調查法從數據是否丟失、是否無法恢復、有無備份等情況進行審計，訪問安全主要圍繞是否明確了訪問權限、操作過程中是否有日志記錄等進行審計，網絡安全控制主要從L企業是否提供《網絡管理員主要工作關鍵及設備管理制度》及《操作手冊》等資料進行審計。

2.應用控制審計。L企業應用控制審計主要對財務共享中心的發票管理、資金管理、資產管理、費用報銷管理板塊的業務流程，數據輸入、處理、輸出控制進行審計。比如，在發票管理中，核對發票所有信息是否完整、正確，在資金管理過程中，審核賒銷是否根據合同進行結算;在資產管理過程中，公司場店及事業部所有資產采購事務，是否滿足固定資產、低值易耗品及物料的購買要求;在費用報銷管理中，公司場店和事業部的費用報銷，是否滿足主要日常開支和臨時性費用的要求等。其中，輸入控制審計主要關注系統登錄過程中輸入授權是否經過管理層授權批準;輸入處理時，是否使用錯誤、重復的數據等。處理控制審計主要檢查輸入的數據格式和數值是否正確;在處理控制時，授權是否有效等。輸出控制審計主要對輸出結果的完整性和正確性進行檢查。

三、L企業財務共享中心IT審計框架構建

（一）構建思路

基于大數據技術，通過數據采集、數據清洗、數據存儲對數據進行處理，推進聯網審計、實時審計，實現事前控制、事中預警和事后監督。

針對性方面，應與L企業共享中心工作特點和業務特點、工作性質相匹配。由于L企業業務具有廣泛分散、集中管理的特點，要關注系統運行的穩定性、業務數據的安全性及運行效率，也需要關注L企業的業務需求能否得到滿足。從L企業的業務流程來看，對于一些環節的設計存在的風險點，需要重點關注。

前瞻性方面，對于L企業的管理人員來說，成功構建財務共享中心對企業的未來發展大有幫助，這是一種位于時代前沿的全新管理模式，很多潛在的功能尚未開發。因此，對于財務共享中心要加大探索力度，其IT審計的構建應具有前瞻性，應面向未來L企業的發展趨勢。

（二）模型構建

1.設計思路。企業財務數據運行過程中，大量的歷史數據容易出現亂序、丟失等情況，這種殘缺的數據會影響最終的分析。所以，當務之急就是設計出可以完美解決上述問題的集合模型，財務共享中心IT審計正好符合上述要求，它可以系統地將大量復雜數據進行合理地整合、匯編，并最終轉化成可為企業管理人員提供參考的有效數據，從而提升公司效益。以L企業為例，旗下的子公司數量較多，因此產生的數據十分復雜，在將所有分店數據匯總到總部的過程中，財務信息存在巨大的安全隱患。

《審計署關于印發信息系統審計指南——計算機審計實務公告第34號的通知》明確了IT審計的范圍。設計思路是對企業中各部門及員工權限等重要信息進行采集輸入，并將其進行轉化;然后將整理的信息保存到數據庫，再按照圓形模型或方形模型對已保存的大量數據進行整理，構建單位層面的IT審計模型;最后用專業的工具讀取已整合的數據，并對這些數據進行智能化分析，從而形成L企業財務共享中心IT審計模型。

2.設計過程。構建IT審計模型的最終目的是對數據的產生、傳輸、輸出進行監督，按照數據的整體流動方向對原本復雜分散的歷史數據進行整合，將其轉化成為集中的結構化信息，管理者可以借助IT審計模型生成的數據，對企業各類業務進行科學、有效、快速、合理的評價與分析。財務共享IT審計模型體系的構建是將整理后的有效信息加載至模型中，整理后的有效信息將借助Hadoop分布文件系統進行儲存，以便后續數據分析工作的快速進行。財務共享中心IT審計模型如圖3所示。

圖3中，IT審計數據源主要來自SAP核算系統DBMS、富基業務系統DBMS、Excel文件等。IT審計倉庫由應用控制審計數據集市和一般控制審計數據集市組成。其中，應用控制審計數據集市包括資金管理、發票管理、結算管理、費用報銷管理，一般控制審計數據集市包括崗位輪崗規范性、崗位設置完整性、授權審批控制合規性、不相容崗位分離合規性組成，由此形成IT審計數據倉庫（Hive）的初步構架。財務共享中心設計的第三個模塊為IT審計數據分析及處理，其綜合了財務共享中心IT審計的架構特征，從管理控制審計、一般控制審計和應用控制審計三個方面有針對性地展開，并運用OLAP工具實現對數據倉庫歷史數據的上鉆、下探等多維度分析。數據分析通過提供各類統計圖進行單位可視化展示和風險預警，最終形成多粒度、多維度的IT審計報告。

四、審計實施流程

（一）審計準備

1.IT審計數據源的獲取。數據源主要包括內部數據和外部數據。當前L企業數據由于線上線下未完全打通、電器返利仍存在手工操作的情況，業財一體化還需完善，數據存在分散情況。另外，已有系統存在大量數據堆積情況，造成集成工作量大、實施復雜難度高，影響了實施進度，數據標準不統一，數據的質量較低，直接影響了審計的準確性。因此，在所有的關鍵點處，采集數據的清洗和質量把關至關重要。長期以來，L企業投入了OA系統、運行管理系統等多個系統，覆蓋多項業務，涉及數據范圍廣。主要涉及SAP核算系統數據、富基業務系統數據的內部數據及html網頁數據、日志、文本圖像等外部數據，包含了L企業的所有數據。因此，為實現單位層面的管理控制審計，需要集合單位業務系統和外部來源數據進行全面采集。

2.數據清洗。L企業對企業運營的數據記錄相對完備，除基本的財務信息外，還包含組織信息，主要對企業各職能部門的業務范圍、歷史經營信息等內容進行了記錄;職員信息主要對在崗人員的基本信息、工作年限及業績成果等進行記錄;崗位信息主要對崗位所負責的業務內容進行記錄等。L企業要求對關鍵崗位進行一定的控制，在權力分配的基礎上對涉及的所有崗位嚴格要求。部門崗位信息數據庫表中涵蓋了公司大部分表格類型，此外，為避免出現系統的重復管理，對信息系統實行責任到人的管理辦法。L企業SPA數據庫表包含以下內容：信息系統的審批流程、業務的代辦流程等。為使員工達到培訓要求，對擬評價對象的業務能力、崗位履歷等相關信息進行統計分析。數據采集完成后，由于企業最基本的經濟業務存在信息錄入標準不統一問題，所以這類數據的可用性不強。

3.IT審計數據倉庫的構建。（1）確定主題域。L企業按照企業內部控制的相關要求，在IT審計數據倉庫的構建過程中，確定了費用報銷系統、資金管理系統、資產管理系統、發票管理系統、崗位設置完整性、授權審批控制合規性、不相容崗位分離合規性、關鍵崗位輪崗規范性八大主題域，如表1所示。（2）分析粒度。數據粒度主要指對依托HDFS分布文件系統進行保存的有效信息的綜合利用程度。數據倉庫中的歷史數據表采用哪種粒度進行保存，將直接影響需求人員的滿意程度。根據L企業實際業務量，提高訪問與存儲數據量的效率，查詢權限越大，查詢的信息越細致。（3）維度表設計。維度建立在數據統計與分析的基礎上，可以從這個角度進行分析，將所研究事物作為分析對象，將所有與分析對象相關的事情進行放大并獨立建模。以人員培養全面性為例，可通過多種不同維度表檢測員工所進行的培訓或道德教育是否達到目標效果。（4）數據倉庫模型設計。IT審計模型各審計指標均具有一定的特性，多維性就是其中一個重要特征。多維性顧名思義就是包含多個事實表，事實表之間共享多個維度表，不同的主題具有不一樣的特性，如相關性或一定的共享性?；诔Ｒ姷男切湍Ｐ偷热S模型，對某個事件進行邏輯建模，具體分析如表2所示。

在進行穿行測試時，可對多個表進行關聯查詢。比如，對系統中人員、崗位及權限等信息的采集，對不相容崗位分離的有效性進行評價。連接操作員信息表（Sysm_User）、員工信息表（Sysm_EP）、用戶分組信息表（Sysm_GU）、角色信息表（Sysm_RI）、角色權限表（Sysm_RA）、頁面功能表（SYSM_Function）、部門表（Sysm_Department），可查詢單位每個員工的崗位、權限信息及不相容崗位標準表（DS_DW_WD_RoleST）中的信息，并進行比對，檢查是否出現同一員工同時從事不相容崗位或擁有不相容權限。具體實現命令如下：

Hive>

Select m. RoleDC， n.ID， n.VC_XM， b.VC_Number，

g. VC_MCDY ，m.VC_ ZYMC， f. xsmc， f.wljd from Sysm_User a

Join Sysm_EP n on n.ID = a. I_ZY

Join Sysm_GU c on c.I_USERID = a.userid

Join Sysm_RI m on m.ID = c. I_ROLEID

Join Sysm_RA e on e.RoleID = m.ID

Join SYSM_Function f on f.nodeID= e.nodeID

Join Sysm_Department g on g.ID = d. I_DEPOT

Order by m. RoleDC

（二）實施審計程序

在IT審計的整個流程中，依據相關規定對審計全過程進行有效的監督。IT審計主要包括以下部分：制定整體審計目標、對各類信息進行風險評估、根據所評估風險制訂合理的解決方案、設計審計程序、實施并執行審計程序，最后出示審計結果，根據IT審核步驟，審計人員需要結合IT審計數據倉庫模型及其數據組織結果查找IT審計風險。只有經過一系列測試后才能得到所需的證據，并且需要與相關人員進行溝通交流，提出有益的意見。

（三）審計報告

在測試、查詢過程中，結合IT審計數據倉庫數據的輸入、輸出、處理匯總，通過IT審計實施程序得到審計結果，并結合業務背景和制定的一系列目標得出最后的審計意見，然后根據審計的最終結果向企業管理層提出合理的解決方案和措施，根據與相關人員溝通后得到的建議，最后得到符合要求的目標報告。

五、結束語

目前為止，財務共享中心IT審計研究在我國仍然處于不成熟階段，IT審計體系框架的成功構建不僅可以促進財務共享系統的進一步發展，而且對未來IT審計體系本身在國內的發展具有舉足輕重的意義。本文利用財務共享中心IT審計需求，根據相關要求，設計了財務共享中心IT審計模型，用于指導IT審計實施程序，以初步獲取審計目標、風險評估及目標業務背景，依托HDFS分布文件系統保存的有效信息，實施審計程序?；诖耍梢酝ㄟ^IT審計使財務共享中心安全性得到進一步保障。

主要參考文獻

[1]程平，白沂.大數據時代基于財務共享服務模式的IT審計[J].會計之友， 2016（24）：128-131

[2]李俊霞.大數據時代基于財務共享服務模式的IT審計[J].現代商業， 2017（15）：144-145

[3]王會金，劉國城.COBIT模型及其在中觀經濟主體信息系統審計中的運用[J].審計研究， 2009（1）：64-68

[4]夏磊.財務共享服務模式下IT審計風險評價與控制研究[D].武漢：武漢科技大學， 2019

[5]張瑞麗.大數據時代下基于財務共享服務模式的IT審計[J].網絡安全技術與應用， 2019（1）：51+53