電子審計證據的獲取風險與控制探討

李晨旭

六安市金安區投資審計中心 安徽 六安 237000

引言

審計證據是審計工作人員在工作中以審計目標為中心，遵循有關程序及方法，獲得的用來證明審計事項真相和確保審計決定及意見正確的依據，是工作的基礎和重要組成部分。依據外形特征，可以將其劃分為幾種，包括書面證據、鑒定和勘察證據、視聽或電子證據、實物證據、口頭證據、環境證據等。隨著信息技術的不斷發展，產生了電子審計證據，其是基于電子技術，以數字化的形式存在，其優勢為表現方式多元化、準確等，能夠促進工作效率的提升，規范審計文檔及項目質量監督。然而不足的是電子審計證據獲取難度較大，對審計人員提出了新的要求，即應具備較強的取證能力，在獲取電子審計證據時，應注重風險控制。

1 電子審計證據的含義

現階段，還沒有統一的界定。通常就是審計人員在工作中，為形成審計意見而獲取的審計證據，其存在方式是數字形式，建立在信息技術基礎上。其具有高科技性、精準性、易損性、人機結合性、多態性等一些特點。

2 電子審計證據的獲取風險

2.1 不足風險

即在搜集證據時存在不充分的問題，無法提供有效的證據。首先，證據來自網絡及系統，證據的可靠性受網絡及系統內部控制制度的質量影響，審計工作人員只利用常規測試程序，很難明確業務及報表的公允性[1]。當前各種審計軟件不斷更新，系統網絡漏洞變多，導致之前年度的數據準確性受到了質疑。例如電子證據不用依靠其他介質能夠獨立重現，這是不足，不利于電子證據的證明性。如果是通過人為操作介質，可以更改電子證據，增加證據認定工作的難度。其次，其具備人機結合以及精準性的特點，在采集信息證據時，能夠避免受人為因素影響，提升證據的可靠性。然而若是在獲取證據時應用的參數存在差異，就會影響到電子證據的精準程度。且證據很多都是基于編程獲得的，如果出現和被審計單位數據存在差異的現象，被審計單位由于其利益影響，可能不會輕易認可證據結果，需要兼具電子及紙質形式的證據，才能認可結果。

2.2 失真風險

即體現的信息無法確保真實性，無法體現審計事實。首先，電子審計證據是基于計算機系統基礎上的，存儲在不同的存儲介質中，需要利用計算機翻譯編碼，實施輸入及輸出的操作，若是數據編碼產生問題，就會影響到證據的真實性。運用計算機獲取及存儲的證據，數據有被修改的可能。另外，系統通常建立在網絡的基礎上，其具有開放及共享的特點，導致電子審計證據易受較多的因素影響，如黑客襲擊、網絡故障、非法人員入侵、病毒等，無法確保會計信息可靠性及真實性[2]。其次，電子審計證據具有易損性的特點，因為存于計算機，導致數據信息易被修改，即便加上密碼也存在被破解的可能性。若是對原始電子數據操作缺乏有力的監督，就會影響到電子審計證據的獲取。最后，電子審計證據具有人機結合的特點，容易出現失真問題。以往在對證據進行搜集時，所有的交易都具備完整的線索，交易環節都有人員簽字蓋章、文字記錄等，工作人員可結合會計處理程序，立足于原始單據，追蹤交易事項，直到形成報表。電子審計證據獲取工作中，審計人員在工作中所有的處理缺乏直接責任人，導致工作人員容易出現錯誤審計判斷，或是發現問題但是缺乏證據，或是在取證環節發現被審計單位已經改動原子數據，極大增加了審計的難度。

2.3 泄密風險

泄密風險就是在電子審計證據收集以及存儲中易產生信息被流傳以及竊取的問題，影響了證據的有效性。首先，電子審計數據具有高科技性的特點，導致其對系統、計算機、網絡具有較強的依賴性，介質體積不斷縮小，容量越來越大，將大量的數據存儲到小的介質上，提升了遺失以及泄密風險產生的幾率。基于計算機系統的應用，可以劃分功能模塊，實施分開管理，或是通過設置密碼，合理地進行人員分工[3]。如果部分人員超越權限獲取密碼或是口令，可以簡單地獲得數據。其次，其具有多態性以及易損性的特點，一張光盤就能裝下被審單位甚至行業的所有數據，如果光盤出現遺失、流傳或惡意拷貝的問題，就會帶來嚴重的泄密風險。

3 電子審計證據風險控制措施

3.1 技術措施

以往審計人員在工作中獲取審計證據需要基于多種方法，如觀察、檢查、分析性復核、查詢和函證、監盤等。在信息化時代下，可借助信息技術分析被審計數據，獲取可靠數據，進而深入分析，獲得審計證據。可見，計算機技術發揮著重要的作用，可以減少電子審計證據獲取的風險，為提升工作的效率，減少風險，應合理運用計算機技術：第一，數據分析技術。首先，數據查詢方法。即依據審計分析模型，在通用軟件利用SQL語句分析采集的電子數據。基于對審計范圍進行擴展，運用該方法，可降低失真及不足的風險。其次，建立在業務規則基礎上的審計分析數據分析法[4]。其旨在找出數據中與業務規則不一致的數據，但是有一定的要求，即業務規則容易獲得、審計人員熟練掌握業務。該方法基于把被審計單位的數據在規則庫中定義業務規則，對數據進行監測，結合數據與業務規則的相符情況，找出可疑數據并實施分析和判斷，進而獲取證據。該方法的應用能夠降低不足及失真風險。再次，并行審計技術。其就是在運用應用系統處理業務時采集審計證據。常見的技術包括快拍、集成測試、嵌入審計程序法、擴展記錄技術等，有利于減少風險。第二，監控技術。首先，身份識別及驗證技術。其就是用戶給系統提交身份證明，通過系統驗證之后才能有訪問的權限。基于運用該技術可以驗證通過合法用戶，避免非法用戶接觸數據，確保審計數據和證據的完整性和安全性，減少泄密及失真的風險。對登錄賬號以及口令設置，用戶設置有難度的口令，口令加密進行存儲，設置嘗試次數，定期更新，口令不和其他人分享，還可以運用令牌設備。另外，生物測定技術。這是常用的方法，將人體生物特征當作訪問限制標準。如簽名識別技術、聲音識別、指紋識別技術等。其次，加密技術。其應用可以保護傳輸數據，避免產生被修改或截取的問題；對計算機以及存儲介質中的相關數據進行保護，避免沒有授權的人修改及瀏覽數據，組織及檢測數據修改現象；驗證身份是否真實，可以減少泄密及失真風險；對稱密碼技術，就是收發件人運用一樣的密鑰為數據進行加密及解密；非對稱密碼技術，運用一對密鑰，分別用于加密及解密，提前交換密鑰，就能解開信息的密碼。最后，添加水印技術。其就是把水印嵌入之前的數據中，進而證明多媒體作品歸屬。其包含較多種，具備拷貝保護效用的數字水印可應用到審計證據中。其旨在識別接受者的信息，用來監控及跟蹤非法拷貝行為。這種水印在不同拷貝種嵌入相應的水印，被稱之為數字指紋[5]。

3.2 環境控制措施

首先，掌握被審單位環境情況。了解被審計單位和電子數據控制有關的內部環境。注重管理層組織結構，相關部門分工科學性，單位治理結構有效性；被審單位管理人員情況，包括素質和道德情況，尤其注重單位領導人對于IT治理的認知水平。若是被審單位治理結構或IT治理存在不足，就會影響信息系統的可靠性，無法有效地獲取證據。其次，注重設備及證據環境的控制。其主要是物理保護方法，電子審計數據及計算機對存放環境要求較高，對于磁盤、光盤以及軟盤，應該注意遠離強磁場。另外，要制定有關的規定、設置門禁，避免無關人員進入存放場所，減少失真及泄密風險。除此之外，在審查實踐中應注意軟件及硬件情況，獲取有關的技術文檔，同時測試系統，測評其內部控制制度，總結系統中的不足及特點，判斷系統與國家相關技術標準是否一致。盡可能直接從被審計單位數據庫中獲取有關的電子數據，進而進行整理和分析。審計人員在工作中不能在被審計單位計算機中進行文件的編寫及刪除，應該結合工作方案及目標提出需求，由被審計單位的相關人員操作，避免在操作中產生系統崩潰情況或一些其他無法預見的誤會，同時確保獲取的證據可以得到被審單位的認同，減少重新核實的工作量。在對電子證據進行收集以及固定中，如果發現電子證據需要馬上進行收集和取證操作，以免其消失；盡可能在現場打印收集證據；若是要拷貝證據，需要當場檢查拷貝情況，避免由于各方面因素打不開計算機文件。及時地獲取電子證據，確保電子證據沒有受到破壞，同時確保其連續性[6]。最后，網絡環境的控制措施。可以立足于幾方面，包括數據加密、病毒防護、防火墻及授權。在獲取證據時，對部分數據設置訪問權限，減少工作中的泄密及失真風險。利用數據加密技術，讓數據在傳輸操作前變成非可讀形式，以免由于相關因素導致泄密風險。可以配備有效的硬件設備，例如，增加防火墻設備、數據加密設備等。構建安全的運行環境，給系統專門構建可靠的局域網，科學的設置多層加密關口及防火墻。基于利用有效的網絡控制措施，能夠減少泄密及失真風險。

3.3 人員控制措施

基于人員方面采取有效的風險控制措施，能夠避免失真和泄密風險。首先，立足于審計工作人員層面來說，工作的開展對人員提出了較高的要求，要提升審計工作人員的專業性及業務能力。工作人員應該掌握有關的知識，如審計、管理、會計、信息系統、電子商務、法律、計算機、信息系統等，同時具有較強的綜合能力，如信息系統調查、數據預處理、分析、采集能力。需要熟練地運用計算機技術。除此之外，審計工作人員應該積極的更新自身的知識結構，了解最新的法律法規、技能，進而提升審計證據的獲取及使用水平。其應該樹立較強的風險意識。對于保存證據的各種存儲工具，在平日使用中要加強防范，例如突然停電帶來的影響等。對于需要送到外部維修的涉及機密和秘密的計算機，應該交由國家保密局規定的廠商，保護好企業及國家機密。另外，審計單位應該積極地組織審計人員學習保密方面的知識，確保其在工作中能夠依據保密規定進行涉秘數據及信息的有關操作。在對電子材料進行查閱以及撰寫時，工作人員需要始終保持警惕性，外出時將電腦放在視線范圍內，確保材料的保密性及完整性。其次，立足于被審計單位職工層面來說，要想避免工作中產生風險，應該注重風險控制工作，例如和被審單位部分職工面談或采取調查問卷的方式，找出問題和證據；查看職工職責分離的落實情況等。在工作中要依靠群眾，在座談了解的同時記錄重要言辭，標記出相關的內容，還要讓被詢問者簽字確認，確保證據獲取的可靠性。

3.4 法律法規方面

雖然國內法律法規層面開始關注電子審計證據，并且設置了部分條例，然而有關的法律法規依然不夠健全，需要對不利于電子審計證據的相關行為，如破壞、蓄意隱匿、帶來消極影響，細化有關的處罰內容。通過加強電子審計證據方面的法律法規建設，能夠為獲取電子審計證據方面工作提供依據及規范，避免產生風險。

4 結束語

綜上所述，當前科技在高速的發展，能夠為審計證據收集工作提供便利，然而其特性帶來的風險問題也要引起重視，立足于電子審計證據特性層面，發現存在的風險，并采取有效的控制措施，可以減少風險的產生，確保電子審計證據的完整性、安全性及質量，優化電子審計證據獲取工作的效果。