國有企業信息系統審計方法及趨勢

王嘯 陶宜成

信息系統審計的重點

（一）信息系統建設經濟性審查。隨著信息化、大數據、云計算、數字化等概念的不斷興起，企業業務管控系統不斷更新迭代，這已成為部分企業數字化轉型的考核指標。根據審計署制定的《信息系統審計指南》的要求，信息系統建設經濟性是審計目標之一，關注企業信息系統的“建而少用”“建而不用”是信息系統審計的重點。一是通過系統界面審計，審查信息系統業務功能的使用狀況；二是通過數據分析方法，對信息系統的用戶訪問日志進行數據分析，分析用戶登錄和模塊使用情況。

（二）信息系統業務能力的審查。信息系統的內部控制是否存在并且有效，直接影響了信息系統的真實、合法和有效性，進而影響了電子數據的真實性、合法性和準確性。主要的技術途徑是利用信息系統業務數據邏輯進行審查，通過對業務流程和關鍵控制節點分析，重點關注業務數據輸入、業務數據處理、業務數據輸出、數據編輯檢查控制等，從中查找信息系統可能存在的缺陷，防患于未然，發揮“免疫系統”功能。

（三）企業數據合規能力的審計。隨著移動互聯網的廣泛普及，移動業務成為企業業務增長的一個重要抓手，客戶隱私數據也隨之劇增。《個人信息保護法》規定，個人信息處理者應當定期對其處理個人信息遵守法律、行政法規的情況進行合規審計。結合《數據安全法》和《個人信息保護法》的要求，審計的重點環節包括數據獲取、數據存儲、數據傳輸、數據加工、數據使用、數據交換、數據銷毀和通用合規要求等8個環節，聚焦數據備份與恢復、數據處理環境、數據分類分級、合作方管理、數據監控與審計、鑒別與訪問、數據合規風險與需求分析、數據合規應急響應等具體檢查項。

（四）信息系統安全性方面。信息系統在建設和使用過程中會受到大量的風險因素干擾，既有硬件帶來的環境風險，也有系統軟件帶來的技術風險；既有系統建設中隱匿的風險，也有系統使用中凸顯的風險；既有高集成度導致的風險，也有網絡導致的風險蔓延。因此，開展安全性控制審查應重點關注物理安全控制、身份認證機制、用戶訪問控制、系統安全管理程序、安全控制政策和程序制定和記錄、系統安全風險評估、網絡安全和隱私管理、應急響應計劃等方面。主要的技術方法包括滲透測試、測試數據法、手工檢查法、程序代碼檢查法、綜合測試法、基本案例系統評估等方法。

（五）信息系統項目管理審查。圍繞審計的目標，信息系統項目管理審計要以嚴把“立項審批源頭”、關注“組織實施過程”、緊盯“價款結算支付”為主線。重點審查信息系統需求調研階段、規劃分析階段、開發測試階段、實施運行階段等建設程序的真實性、合法性；信息系統采購、開發和集成管理；外部供應商的安全管理；信息系統運維費用管理；信息系統運行績效是否達到立項目標等方面。

（六）信息系統運維管理方面。在當前企業一般對服務外包企業依賴性較大的情況下，信息系統建設運維管理工作的職責分離尤其重要，通過檢查信息技術部門的程序開發人員、系統管理人員、數據管理人員的構成，是否實行崗位分離，是否可以在不需要他人協助的情況下，獨自對信息系統的程序、數據進行修改；業務部門人員是否可以獨自修改業務信息，完成相關的違規業務舞弊。

信息系統審計的主要思路

（一）從業務流、資金流和信息流著手。信息系統承載的業務流、資金流和信息流是信息系統運行的核心。信息系統審計以信息系統業務流、資金流和信息流為主要審查內容，能實現關注信息系統執行情況，體現審計對象的業務執行效果，揭示信息系統的設計缺陷，防止由于信息系統問題而造成的經濟損失等目標。企業信息系統審計需要通過企業業務內控程序測試和評價企業信息系統中的業務流程、資金流和信息流如何相互交織和相互影響，分析出信息系統的工作原理以及這三者之間的交互作用，準確地評估系統的有效性和執行效率。例如，審計人員開展內部控制測試檢查業務流程是否適當，資金流動是否符合規定，信息流是否順暢。在企業經營活動過程中，任何在這三個領域中的問題或疏漏都可能對企業造成不利影響，所以審計檢查范圍需全面覆蓋業務流、資金流和信息流的交互關系。

（二）從內控管理角度著手。信息系統內控管理是信息系統的靈魂，信息系統中各個環節都受信息系統內控管理制約限制，信息系統內控管理主要都是圍繞信息系統的組成部分及相互關系制定的。首先，企業信息系統審計應關注內部管理和控制體系的健全性和有效性，審計人員需要分析系統內部控制的設計和操作的有效性，檢查系統安全，例如身份認證、訪問控制、數據備份和恢復等策略是否得當。其次，對違規操作、異常事項和數據的監控和控制機制的審查也是需要考慮的重要方面。另外，關注審查信息系統管理制度中的運行機制、控制機制等，厘清信息系統的服務對象、制度原則、組成部分、管理制度，以及他們之間的管理，能讓信息系統審計項目快速摸清總體情況，開展進一步測試。在審計過程中，內控管理缺陷和不足應是審計項目重點揭示的內容，內審人員在發現問題的同時，也應結合實際情況，向被審計企業信息系統提出更科學、合理的審計建議。

（三）從使用效益角度著手。信息系統使用效益對審計對象的發展影響深遠。圍繞“為什么建”“建什么”以及建后“怎么用”“用得怎么樣”等關鍵問題進行系統、綜合分析，著重關注建設、應用、資源整合等情況，達到評估信息系統在提高單位效果上的成效問題，實現提高審計對象信息化規劃和管理水平的目標。協助審計對象完善部門信息化宏觀層面的管理機制和體制，發揮信息系統審計的總結、糾偏、完善的功效。審計人員要圍繞評估信息系統對企業的價值貢獻開展審計工作，包括企業提質增效、降本合規、決策跟蹤等方面。從經濟效益角度看，審計人員應關注信息系統是否能幫助企業實現經濟效益、提高資金使用效率等，評估系統的投入和產出是否得當，杜絕浪費。從管理效益方面看，審計人員應關注信息系統是否可以有效輔助企業合規運行，推動企業經營層的決策落實，聯結企業各部門間溝通協作。只有做好效益文章，審計結果才能揭示企業發展的根本問題，助力企業找到提高效益、增強競爭力的方法。

信息系統審計的主要趨勢

（一）加大云空間及大數據應用審查的力度。企業將數據遷移到云平臺的信息化建設是不可逆轉的趨勢，云安全審計變得至關重要。審計人員需要評估云服務提供商的安全措施和合規性，以確保企業數據在云環境中的安全和隱私。同時，隨著經濟發展的數據化程度不斷加深，越來越多的企業依賴大數據分析來支持業務決策，因此企業大數據應用成果審計也逐步納入信息系統審計范圍，審計結論也包含評估企業的大數據處理過程，確保數據的準確性、完整性和安全性。企業信息系統審計項目在制定實施方案時，正在逐步提高在云空間及大數據應用方面的審計范圍占比。

（二）提高對物聯網安全及數據隱私審查的重視。物聯網的快速發展為企業帶來了許多新的安全挑戰。審計人員需要評估企業的物聯網設備和傳感器的安全性，以防止潛在的風險和攻擊，同時為物聯設備與網聯接入做好生態管理評價。另外，數據隱私保護已成為企業備受關注的問題，近年來國家信息安全建設法規制度不斷完善，進一步規范企業對數據隱私的管理和使用，審計人員也要關注和評估企業的數據隱私政策和合規性，確保企業對個人數據的合法收集、使用和保護的能力。企業信息系統審計要盡快將物聯網生態和數據隱私等新生業務納入審計檢查，防范企業信息安全風險，提升企業信息建設質量。

（三）著眼未來，提前布局人工智能審查。人工智能審計是一個充滿機遇和挑戰的新領域，隨著人工智能技術的不斷發展和普及，更多的企業開始引入AI應用以提升業務效能，這在審計領域也產生了深遠影響，審計人員需要評估企業的人工智能算法和模型的安全性和可信度，以確保其在業務流程中的有效運行。尤其在AI自動化處理海量數據和執行復雜任務的能力、AI利用機器學習和大數據分析技術提供預測性的分析、AI實時監控管理企業的財務和業務操作、AI深度學習輔助商業交易和識別出潛在經營風險等方面，內審部門要提前做好發展規劃，助力企業利用好信息化發展帶來的產業紅利。

（作者單位：廣州汽車集團股份有限公司）