對于RPA信息系統建設開展內部審計的挑戰與策略

劉星祺

摘 要：RPA是一種將編寫代碼作為依據，對人機交互進行模擬，可以實現重復性任務自執行的軟件技術。該技術在財務領域應用，可以解決重復性工作問題，有效提升工作效率，具有便捷、簡單、應用廣泛的特點。在現代技術不斷完善的背景下，智能財務應運而生。在批量大、標準統一、內容重復的工作場景中，可以使用RPA代替人工操作。該技術可以提升工作效率，但也帶來了技術風險，增加了信息系統內部審計的挑戰。本文分析了企業應用了RPA工具，這類軟件的使用會對內審人員開展信息系統內部審計時產生新的挑戰，并根據具體的挑戰提出了應對策略。

關鍵詞：RPA；信息系統；內部審計

RPA即英文機器（Robotic）、流程（Process）和自動化（Automation）的縮寫，其中機器人作為虛擬勞動力，根據預先編寫的程序與用戶系統交互，完成預設任務，滿足自動化運作需求。RPA運用自動執行腳本完成各項任務，在人工智能技術不斷完善的背景下，RPA的應用愈加廣泛。在應用方面，雖然人工智能系統可以使數據提取更加便捷，但系統存在數據輸入質量與數量的問題，且受到巨大的網絡攻擊威脅，需要加強系統網絡防御，確保系統安全。目前，市場上的RPA機器人比較具有針對性，逐漸在財會領域普及。為提升RPA應用效果，需要對該技術的潛能、應用挑戰進行分析，探索最優流程以及各項挑戰的應對策略，使RPA可以充分發揮作用，全面提升內部審計水平。

一、RPA技術介紹

RPA從出現到應用，已經經歷了幾十年的發展歷程，隨著技術的不斷演變，RPA逐步完善和推廣。在早期發展階段，自動化等技術還沒有融合為RPA，一些技術與自動化技術理念相符，為RPA的發展提供了思路。RPA發展可以分為四個階段：第一階段為1990-2000年，主要技術為批處理腳本和BPM；第二階段為2000-2015年，代表宏技術為VBA；第三階段為2015-2018年，RPA產品逐步成型并且拓展應用；第四階段是2019年至今，RPA得到廣泛認可，并且逐漸向智能化的方向發展。

在20世紀90年代，半導體產業在硅谷崛起并發展，硬件成本隨之持續走低，辦公電腦的應用也愈加廣泛，企業辦公流程因此轉變，從手工作業逐漸轉變為數字化處理，在這個背景下，微軟DOS和Windows操作系統應運而生，軟件產業隨之興起。DOS和Windows操作系統可以采用命令行的方式執行各條任務，一些流程中涵蓋嵌套任務，為使流程運行更加便捷，批處理腳本技術隨之出現。這些技術通常在執行定時開關系統、日志處理、文檔定時復制等固定動作時應用。通常采用手動操作的方式，或者根據計劃任務啟動，可以提供多種觸發規則。這些程序為自動化處理雛形，為RPA發展奠定基礎。從2000年開始，越來越多的人使用Word、Excel等軟件輔助財務工作。在傳統技術應用下，財務人員工作效率難以提升，為降低人力成本，VBA等宏技術應運而生。相較于批處理腳本，該技術具有編程界面可視化的優勢，所以程序開發更加便捷，使用者也更加容易上手，可以滿足更多開發需求。

在財務領域，RPA技術的應用愈加廣泛。國內RPA企業根據市場需求設計了許多新產品，市場搶占力度不斷加大，越來越多的企業開始購買RPA產品。在這個過程中，深度神經網絡等智能技術迅速發展，RPA產品開始結合AI技術，打破傳統模式流程，使其可以從事更加復雜的工作，有效提升工作價值。在RPA技術應用的過程中，需要先梳理財務共享中心的應用現狀，從業務復雜度、重要度、擴展性等多個方面入手，對財務流程進行識別分析，然后搭建框架模型。具體包括應用層、平臺層、服務層、數據層和基礎設施層幾個層次。應用層以財務報表應用為主，包括初步業務活動財務機器人等；平臺層包括流程設計平臺、機器人和管理控制平臺；服務層提供RPA基礎能力和AI能力兩類服務；數據層包括業務、財務、外部三類數據，會進行采集和清洗，然后進入數據庫；設施層包括服務器、網絡、混合云等。

二、RPA的優點與局限性

根據RPA技術特點，結合其在實務領域中的應用，探究RPA的優點與局限性。該技術可以對用戶操作、人機交互進行模擬，對于重復性工作可以自動完成，有效節約工作時間。RPA主要可以對人工操作進行模擬，包括復制、粘貼、鍵盤輸入等操作。例如，早期國內研發了“按鍵精靈”軟件，可以對用戶界面操作進行錄制，將鼠標點擊位置、鍵盤數據字符一一記錄，然后形成腳本，使機器人可以按照其規則運行，實現簡單操作自動化完成，包括發送郵件、打開文件、搜索網頁等等。機器人將規則學習記錄之后，即可開發程序。開發人員根據既定的要求設計流程，完成后使用計算機替代人工操作重復性任務，點擊運行RPA可以持續7天*24小時不間斷作業，大幅提升工作效率。所以，RPA技術在數據數量較大，且規則單一、重復的工作中，RPA的容錯率較高。如果運行程序發生錯誤，可以向運行人員報告，然后及時修復問題。

不僅如此，RPA還有不受區域限制、操作簡單的優點。該技術為非侵入式信息技術，可以在當前系統和程序外配置。所以，不需要對任何程序、技術進行更改，可以滿足非入侵式的部署要求。在操作方面，RPA運行流程可追溯，可以在輸出界面查看代碼是否運行成功，便于開發和使用人員監管和修改錯誤。

以內部審計應用為例，RPA可以有效降低審計成本。如果采用傳統的審計方法，則需要投入大量人力和時間成本，才能提升審計效率。采用RPA技術，則可以減少人力消耗，實現自動化操作，時間成本可預見下降25%-50%，開發與日常維護所需成本可控制在現有人力成本的1/3以下。不僅如此，由于編程簡單，如果采用該技術進行審計應用，也可以節省人員的培訓成本、時間成本，不需要招募新的技術人才，只要培訓審計人員即可。RPA軟件具有兼容性，可以滿足各類系統使用需求，為內部審計提供了許多便利條件。

雖然RPA的優勢眾多，但也存在一些局限性。由于內部審計對監管程度有較高的要求，雖然在企業財務領域中，RPA應用的實踐已逐漸廣泛，但在內部審計領域的應用還處于起步階段。內部審計有較高的保密性要求，如果大規模推廣該技術，需要進一步提升數據保密水平，對監管能力也有更高的要求。此外，RPA存在技術限制。將RPA作為基礎的審計機器人，可以較好地實踐流程化、規則化工作，但無法滿足職業化審計判斷需求。根據RPA特點可知，應用該技術需要預設規則，如果機器人遇到特殊情況，如數據錯誤、數據模糊等，則需要人工學習，會出現程序運行效率下降的情況，所以RPA在內部審計中的應用還存在很多薄弱點。

三、對于RPA信息化建設開展內部審計的挑戰

（一）RPA規劃不夠完善

從近幾年的發展情況看，RPA在財務領域的應用愈加廣泛，受到了業界人士的青睞。與其他系統軟件相較，RPA軟件應用優勢明顯，所以很多大型企業都開始采用RPA。但也有很多企業對RPA的認識并不夠充分，不了解RPA管理的潛在風險，IT領域的技術人員也沒有針對RPA制定相關的戰略規劃與部署，造成RPA的應用效率并不高。RPA應用的過程中，需要配套制度支持，如果企業對RPA實施的工作職責進行調整，或者沒有健全的制度規范RPA的操作流程，會造成工作銜接不順利，難以實現人機協同。在初期推行階段，由于對RPA了解不夠充分，容易面臨諸多問題。需要做好溝通交流，并且采取有效的管理措施，才能促進RPA全面推廣。在機制缺乏的情況下，易造成推廣受阻，不僅難以發揮RPA的優勢，還會增加成本。

（二）RPA實施對于內外部要求較高

如果發生硬件故障、網絡故障、服務器訪問無權限、系統接口不匹配等問題，會影響RPA的運作。例如，在銀企直聯功能的系統中，服務器不穩定、系統升級等問題都會造成RPA無法運行。或者系統誤認為RPA為惡意軟件，然后進行自動攔截，造成RPA無法運作。大部分外部網站都會使用安全驗證（例如：驗證碼校驗）技術，如果校驗不及時，會對RPA運行造成影響。此外，RPA與AI技術結合前，需要編寫具體的流程和規則，企業應該做好財務與業務流程梳理工作，并制定詳細的規范要求。如果流程編寫不詳細或存在漏洞，會導致RPA無法運行。

（三）系統升級易忽略RPA對應設置

企業與外部單位都會根據需求對系統進行定期或不定期的升級維護，如果升級過程中沒有及時對應調整RPA規則與訪問路徑，則正常工作會因此受到影響。如果RPA工作流執行中發現采集外部數據失敗，或者運行過程中直接報錯，管理人員會根據系統響應發現錯誤。如果RPA根據原本路徑采集數據，外部數據定義發生變化，則RPA雖然看似正常運行，實際上數據已經發生錯誤，此類錯誤較難發現。

四、對于RPA信息化建設面臨挑戰的內部審計應對策略

（一）組織層面

在組織規劃層面，企業應預先制定RPA實施規劃。在審計過程中，內部審計人員應該先查閱文件，根據文件內容梳理企業IT戰略，了解流程標準化、信息技術、自動化處理等內容。通過查閱RPA相關資料，分析RPA是否完整有效。結合企業規劃的RPA應用目標，可以采用調查問卷法，同時面對面現場調研管理、業務和技術人員，結合實地查看結果，全面評價RPA應用效果。建立RPA使用的相關管理制度規范，并實施過程中對RPA制度進行全面檢查和梳理，確認制度完整性，重點關注RPA使用條件、操作規范、異常處理等內容。明確企業是否建立RPA應用的專項管理機制，權限分配情況，業務、財務各部門協調情況等。是否由企業使用部門發起業務流程變更，然后由信息部門執行，最后使用部門再次確認。查閱具體的流程圖，了解RPA使用流程，明確其是否與企業相關制度協調，評價RPA在業財流程中的融入程度。

在實際應用RPA的內部審計過程中，可以采用問卷調查、現場調研等方式了解RPA維護情況、RPA運行情況以及相關人員對RPA的態度。評價RPA對工作人員帶來的影響，了解員工對RPA制度、流程、技術的認識程度。重點關注人機協同信息溝通通暢程度，如果內部審計人員發現RPA處理文件存在業務數據異常的情況，應采取有效的溝通與協調措施。

（二）一般控制層面

所謂一般控制，就是RPA運行網絡、數據庫、操作程序等相關的技術政策，旨在確保RPA穩定運行。根據RPA的特點，重點分析RPA工具開發、變更控制審計、信息安全控制審計。在工具開發方面，內部審計人員應該先對RPA工具可行性報告進行查閱分析，根據成本效益原則分析合理性，綜合評價采購RPA工具必要性以及可行性。具體而言，結合需求分析文件落實審查工作，關注各個部門具有使用RPA的意愿，以及是否具有RPA的應用場景。對規劃決策文件進行審閱分析，評價RPA自行開發、外購等決策的合理性。如果采用自行開發的方式，則應該對開發的方法論進行審查，確定其與企業需求、硬件環境、軟件系統匹配程度；如果采用外購工具的方式，則需要對外購授權審批進行審查，確定其合法合規。了解招標流程，分析合同條款，確保外購工具可以滿足使用要求。同時也要對外購RPA類型進行分析，選擇適合企業業務場景的功能軟件。在內部審計方面，需要對審查系統進行測試，了解具體的驗收記錄、投產信息等內容，保障各項內容真實合規，為采購提供更多依據。如果內部審計人員的信息素養較高，掌握專業的技術手段，則在開發RPA的過程中，可以直接將審計模塊嵌入其中，收集各項審計信息，在審計文件中存儲，為審計工作的落實奠定基礎。例如，RPA可以運算不同系統的數據項目，在此之前會將不匹配的數據項目自動刪除。審計模塊嵌入后，刪除的信息將會在獨立審計文件中保存，為審計工作后續分析提供依據。

RPA工具運行控制受到系統與網絡兩項要素的影響，在審計領域應用的過程中，展現出高需求分析與低代碼開發的相互融合的特點，通過數據標準化、流程設計、部署運行、價值策略等環節，可實現RPA技術在企業各業務環節中的全面應用。在實際對企業RPA工具應用，內部審計人員開展信息化審計的過程中，應該對企業的RPA運行維護機構進行審查，確定企業根據要求建立相關的管理機制，并且與IT部門有效合作，可以詳細劃分審查職責，完整運行職責內容。審查RPA維護制度落實是否完善，運行崗位是否合理設置等等。運行服務管理審計將審查RPA運行監管與服務作為核心。在運行監控機制審查的過程中，網絡中斷提示、數據異常報警等功能都可以用于RPA運行監控，對這些程序功能進行審查，確認RPA是否發揮作用。內部審計人員可以對報警閾值進行調節，觀察相同測試數據下，RPA是否會根據不同閾值做出不同的異常報警操作。

RPA工具相關的信息安全控制審計也十分重要，具體包括安全機制和數據安全兩方面的控制審計。前者包括RPA工具開發、運行、監督等環節。其中，信息安全制度檢查、信息安全教育培訓、安全責任履行情況等都是重點審計內容。在RPA訪問外部網絡的過程中，應該對網絡邊界的完整性進行審查。對外部數據提供者的溝通情況、資源訪問權限等進行審查。

（三）應用控制層面

針對RPA業務流程應用控制，為確保RPA可以準確完成數據處理操作，需要對業務流程應用控制層面進行嚴格審計。主要進行數據輸入控制審計，通過文件審閱的方式，對RPA數據輸入規則是否健全且有效執行審查。重點檢查企業針對RPA數據輸入是否做出明確規定，操作手冊中是否明確規定有關異常情況的操作方式，針對RPA異常停止的情況，是否規定人工采集數據。獲取與RPA有關的數據輸入規則，并做出綜合、科學的評價。針對人工處理后使用RPA讀取的數據，需要制定數據格式、輸入內容等規則。如果從外部采集數據，也需要制定格式、校驗等規則。根據業務規則和流程，對RPA數據輸入規則進行評價，對照二者是否相符。

此外，審計數據處理控制。通過審查評價RPA處理數據是否完整準確，各項措施是否可以確保數據處理符合業務需求。內部審計人員應該根據業務流程設計落實工作，探索流程中的關鍵風險點，對以往出現的錯誤和異常記錄進行審查，詢問RPA管理操作人員，綜合多項信息確定風險控制點。采用基本案例系統評估法，針對RPA設計環節中應用的案例數據輸入，對處理結果進行檢查。

五、結語

綜上所述，RPA具有便捷、自動化的優勢，所以應用范圍不斷擴大。在RPA與AI技術不斷融合的背景下，其應用優勢更加明顯，但同時也帶來較大的信息技術風險。所以，應該加強對于RPA應用的信息系統內部審計能力，針對具體的審計挑戰，采取有效的對策方案。不僅可以借助軟件工具、技術專家的幫助，也需要強化內部審計人員的信息素養、專業能力，確保信息系統內部審計的有效性。

參考文獻：

[1]程平，何家鈺.基于RPA的醫療收費行為審計研究——以A公立中醫院為例[J].會計之友，2023（10）：142-148.

[2]孫宇斌，王偉，張慧英等.基于“RPA+神經網絡”的前瞻全量持續型數字審計體系構建研究[J].中國內部審計，2021（11）：50-54.

[3]劉歐.企業內部審計信息系統的構建[J].湖北開放職業學院學報，2020，33（12）：118-120.