對(duì)信息系統(tǒng)審計(jì)工作的思考

隨著計(jì)算機(jī)技術(shù)的迅猛發(fā)展，審計(jì)部門如果想更加勝任年度審計(jì)目標(biāo)任務(wù)，著力提高審計(jì)的效率和效果，充分發(fā)揮審計(jì) “免疫系統(tǒng)”的功能作用，就必須加快信息系統(tǒng)審計(jì)的步伐。信息系統(tǒng)審計(jì)的定義，是指通過評(píng)價(jià)、收集審計(jì)證據(jù)的方式，對(duì)被審單位的信息系統(tǒng)能否維護(hù)數(shù)據(jù)的完整、保護(hù)資產(chǎn)的安全、使被審計(jì)單位的目標(biāo)能夠得到實(shí)現(xiàn)，使單位的各項(xiàng)資源得到高效地使用等方面做出判斷的過程。那么，在新形勢(shì)下審計(jì)部門必須充分提高信息系統(tǒng)對(duì)審計(jì)重要意義的認(rèn)識(shí)，切實(shí)把握信息審計(jì)的基本要點(diǎn)，加強(qiáng)組織，強(qiáng)勢(shì)推進(jìn)。

一、信息系統(tǒng)審計(jì)的基本要點(diǎn)

（一）目標(biāo)內(nèi)容

信息系統(tǒng)審計(jì)的目標(biāo)不僅在于審計(jì)人員在審計(jì)過程中要學(xué)會(huì)注重運(yùn)用計(jì)算機(jī)進(jìn)行審計(jì)，對(duì)被審單位的信息系統(tǒng)本身的安全性、穩(wěn)定性的審查，以及實(shí)現(xiàn)對(duì)部門單位的有效管理目標(biāo)是更加重要的方面，進(jìn)行實(shí)時(shí)的檢查、改造和評(píng)價(jià)；通過評(píng)價(jià)整個(gè)信息系統(tǒng)的穩(wěn)定性、安全性、內(nèi)部控制的健全性與有效性，以及對(duì)系統(tǒng)信息的公允性、合法性和軟硬件的審計(jì)，發(fā)現(xiàn)管理上的漏洞，指出信息系統(tǒng)內(nèi)部控制的缺陷，防止利用信息技術(shù)破壞磁介質(zhì)上的數(shù)據(jù)或隨意篡改系統(tǒng)信息等，提高信息系統(tǒng)的可靠性和真實(shí)性，使信息系統(tǒng)在部門單位經(jīng)濟(jì)管理中發(fā)揮更多大的功能作用。

信息系統(tǒng)審計(jì)的內(nèi)容重點(diǎn)是檢查部門單位信息系統(tǒng)開發(fā)程序是否恰當(dāng)，系統(tǒng)應(yīng)用控制是否有效，一般控制是否合理，主要包括對(duì)信息系統(tǒng)的一般控制、應(yīng)用控制和 開發(fā)過程這三個(gè)方面的審計(jì)內(nèi)容。

（二）依據(jù)原則

當(dāng)前信息系統(tǒng)審計(jì)工作還處于初始階段，各級(jí)審計(jì)部門還在不斷地探索之中，且未形成一套成熟的專業(yè)規(guī)范，在此情況下，審計(jì)人員主要是依據(jù)信息系統(tǒng)的管理制度、條例和法規(guī)、ISO9000、信息系統(tǒng)的實(shí)際運(yùn)行情況以及參考ISACA發(fā)布的《信息系統(tǒng)審計(jì)準(zhǔn)則》來開展信息系統(tǒng)審計(jì)業(yè)務(wù)的，這就需要審計(jì)人員在信息系統(tǒng)審計(jì)過程中不斷地總結(jié)經(jīng)驗(yàn)，探索地方信息系統(tǒng)審計(jì)工作指南，為上級(jí)審計(jì)機(jī)關(guān)制定信息系統(tǒng)審計(jì)準(zhǔn)則提供更為科學(xué)的依據(jù)。

信息系統(tǒng)審計(jì)總體應(yīng)堅(jiān)持三項(xiàng)基本原則。一是堅(jiān)持“自上而下，上下聯(lián)動(dòng)”的原則。越是層次高的審計(jì)部門，懂得計(jì)算機(jī)信息系統(tǒng)審計(jì)的人才就越多，審計(jì)技術(shù)水平就超高，而且信息系統(tǒng)一般都是自上而下進(jìn)行部署運(yùn)用的，這樣通過上級(jí)審計(jì)部門先行審計(jì)，不斷地探索信息系統(tǒng)的審計(jì)方式方法，進(jìn)而可以有效降低重復(fù)審計(jì)，最大化利用審計(jì)成果，有效提高信息系統(tǒng)審計(jì)效率。二是堅(jiān)持“循序漸進(jìn)、逐步推開”的原則。在審計(jì)部門和審計(jì)人員條件均具備的情況下，先易后難，先選擇合適的審計(jì)項(xiàng)目試點(diǎn)，再逐步推開。三是堅(jiān)持單一型和復(fù)合型審計(jì)融合的原則。盡量安排信息系統(tǒng)單一型或者復(fù)合型的審計(jì)項(xiàng)目在年初審計(jì)計(jì)劃上，讓審計(jì)人員在實(shí)踐中不斷提高信息系統(tǒng)審計(jì)水平；在審計(jì)的實(shí)施階段過程中，要使傳統(tǒng)的財(cái)務(wù)審計(jì)項(xiàng)目與信息系統(tǒng)審計(jì)的有機(jī)地結(jié)合起來，使信息系統(tǒng)審計(jì)與整個(gè)審計(jì)工作銜接，確保信息系統(tǒng)審計(jì)的結(jié)果能夠運(yùn)用到整個(gè)審計(jì)工作中。

（三）職能方式

信息系統(tǒng)審計(jì)的基本職能主要包括“保證”和“咨詢”兩大基本職能?！氨ＷC職能”就是看系統(tǒng)可靠性保證程度高低如何。通過對(duì)信息系統(tǒng)運(yùn)行過程、維護(hù)狀況和商業(yè)連續(xù)性能力進(jìn)行測(cè)試和評(píng)價(jià)，以確定信息系統(tǒng)的安全、有效、穩(wěn)定是否得到合理地保證?！白稍兟毮堋本褪侵笇徲?jì)人員通過對(duì)部門單位的信息系統(tǒng)審計(jì)，發(fā)現(xiàn)信息系統(tǒng)運(yùn)行過程中存在的問題和不足，通過為信息系統(tǒng)的使用者以及高層管理者提供問題的解決方案，為部門單位改善經(jīng)營和增加經(jīng)濟(jì)效益的。

信息系統(tǒng)審計(jì)組織方式主要有兩種。一是獨(dú)立型審計(jì)方式。就是年初審計(jì)部門單獨(dú)對(duì)信息系統(tǒng)進(jìn)行立項(xiàng)審計(jì)，將信息系統(tǒng)本身的有效性、安全性和可靠性作為審計(jì)最終目標(biāo)。二是結(jié)合型審計(jì)方式。就是將信息系統(tǒng)審計(jì)作為日常項(xiàng)目審計(jì)的內(nèi)容之一，將信息系統(tǒng)審計(jì)與財(cái)務(wù)審計(jì)和內(nèi)控審計(jì)三者有機(jī)地結(jié)合起來，檢查信息系統(tǒng)本身及其內(nèi)部控制的有效性和可靠性，最終通過審計(jì)數(shù)據(jù)得出審計(jì)結(jié)論予以驗(yàn)證，進(jìn)而為整個(gè)審計(jì)項(xiàng)目總體目標(biāo)搞好服務(wù)。

（四）重點(diǎn)環(huán)節(jié)

1.內(nèi)部控制環(huán)節(jié)。重點(diǎn)檢查信息控制系統(tǒng)資源的存取、使用、分配、記錄、確認(rèn)、修改、保護(hù)等七個(gè)方面的內(nèi)容，以全面測(cè)試計(jì)算機(jī)系統(tǒng)內(nèi)控制度的有效性。

2.數(shù)據(jù)記錄環(huán)節(jié)。審計(jì)人員通過選擇一些正常財(cái)務(wù)活動(dòng)業(yè)務(wù)記錄的數(shù)據(jù)資料，對(duì)信息系統(tǒng)進(jìn)行詳細(xì)檢查，確認(rèn)財(cái)務(wù)會(huì)計(jì)記錄和系統(tǒng)交易數(shù)據(jù)是否符合審計(jì)目標(biāo)，信息記錄的數(shù)據(jù)是否真實(shí)可靠。一方面要重點(diǎn)檢查會(huì)計(jì)事項(xiàng)信息的時(shí)效性、完整性、真實(shí)性和信息披露的合規(guī)性；另一方面要重點(diǎn)檢查會(huì)計(jì)計(jì)量以及信息披露的真實(shí)性，財(cái)務(wù)報(bào)表信息的存在性、所有權(quán)、完整性。

3.數(shù)據(jù)傳輸環(huán)節(jié)。經(jīng)常遇到在計(jì)算機(jī)信息系統(tǒng)的使用中，有部分?jǐn)?shù)據(jù)需在財(cái)務(wù)信息系統(tǒng)與業(yè)務(wù)信息系統(tǒng)之間，以及兩個(gè)財(cái)務(wù)信息系統(tǒng)之間進(jìn)行相互轉(zhuǎn)移，這就需要審計(jì)人員在審計(jì)時(shí)要重點(diǎn)關(guān)注在轉(zhuǎn)移過程中數(shù)據(jù)可能會(huì)發(fā)生變化。因此，審計(jì)人員在檢查這一傳輸環(huán)節(jié)時(shí)，一定檢查傳輸?shù)氖掷m(xù)是否齊全、程序是否合規(guī)，以保證輸出的數(shù)據(jù)是精確和完整、經(jīng)過批準(zhǔn)的，保證傳輸?shù)臄?shù)據(jù)資料與原始記錄相符，保證輸出的數(shù)據(jù)是在約定時(shí)間內(nèi)準(zhǔn)確地發(fā)送給指定的接收者，確保輸入的數(shù)據(jù)具備真實(shí)性、準(zhǔn)確性和完整性。

（五）技術(shù)方法

信息系統(tǒng)審計(jì)的方法包括手工方法和計(jì)算機(jī)輔助審計(jì)兩種方法。手工方法主要包括觀察法、面談法、系統(tǒng)文檔審閱法、表格描述法、圖形描述法、計(jì)算機(jī)系統(tǒng)文字描述法等方式，主要用于對(duì)信息系統(tǒng)的描述和理解。計(jì)算機(jī)輔助審計(jì)方法主要包括平行模擬法、數(shù)據(jù)測(cè)試法、綜合測(cè)試法、受控處理法、在線連續(xù)審計(jì)技術(shù)和受控再處理法等，主要用于信息系統(tǒng)的控制方面測(cè)試。

（六）流程步驟

審前調(diào)查和審計(jì)實(shí)施兩個(gè)階段，是信息系統(tǒng)審計(jì)的主要流程。依靠所獲取的證據(jù)并進(jìn)行評(píng)價(jià)，從而判斷信息系統(tǒng)可否確保資產(chǎn)的安全、有效，以及可否給出真實(shí)、完整的系統(tǒng)信息，是一個(gè)動(dòng)態(tài)循環(huán)流程，在審計(jì)調(diào)查階段，首先要初步測(cè)試被審單位的計(jì)算機(jī)系統(tǒng)，在后續(xù)的審計(jì)步驟中被審單位的計(jì)算機(jī)系統(tǒng)是否需要檢查，通過所掌握的情況制定階段審計(jì)的實(shí)施計(jì)劃；在審計(jì)的實(shí)施階段，對(duì)照審計(jì)計(jì)劃，進(jìn)行認(rèn)真的審查和測(cè)試計(jì)算機(jī)系統(tǒng)的控制。

信息系統(tǒng)審計(jì)的步驟如下。

1.審前準(zhǔn)備階段。主要是調(diào)查被審計(jì)單位會(huì)計(jì)信息化的基本狀況，了解被審單位計(jì)算機(jī)業(yè)務(wù)處理流程及數(shù)據(jù)結(jié)構(gòu)，信息系統(tǒng)結(jié)構(gòu)、數(shù)據(jù)庫類型、查看被審單位信息系統(tǒng)開發(fā)情況、計(jì)算機(jī)設(shè)備軟硬件情況、數(shù)據(jù)完整程度以及業(yè)務(wù)量大小，被審單位實(shí)施計(jì)算機(jī)審計(jì)是否能降成本增效率、審計(jì)的風(fēng)險(xiǎn)大小。在此基礎(chǔ)上，進(jìn)一步明確信息系統(tǒng)審計(jì)范圍、分析審計(jì)潛在風(fēng)險(xiǎn)、確立審計(jì)工作重點(diǎn)。同時(shí)，審計(jì)人員要認(rèn)真調(diào)查被審單位的經(jīng)濟(jì)性質(zhì)、管理體制、機(jī)構(gòu)設(shè)置、人員編制情況，財(cái)政財(cái)務(wù)隸屬關(guān)系或者國有資產(chǎn)監(jiān)督管理關(guān)系情況，采集被審單位有關(guān)會(huì)計(jì)數(shù)據(jù)，召開審前調(diào)查工作座談會(huì)，同被審單位的領(lǐng)導(dǎo)、財(cái)務(wù)人員以及職工代表等有關(guān)人員進(jìn)行面談，查看其會(huì)計(jì)信息系統(tǒng)的基本資料，搞好內(nèi)部控制制度測(cè)試。在對(duì)被審計(jì)單位作出上述詳細(xì)的審前調(diào)查之后，審計(jì)人員必須制定審計(jì)計(jì)劃，優(yōu)化配置審計(jì)資源，確定在數(shù)據(jù)定義、采集、轉(zhuǎn)換以及分析中需要的軟件及硬件設(shè)備。

2.審計(jì)實(shí)施階段。實(shí)施階段是信息系統(tǒng)審計(jì)的主要階段，審計(jì)人員首先要對(duì)被審單位做好符合性測(cè)試，以便對(duì)內(nèi)部控制進(jìn)行評(píng)價(jià)。依靠所獲的符合性測(cè)試的結(jié)果，審查被審單位的業(yè)務(wù)數(shù)據(jù)。審計(jì)人員可依靠準(zhǔn)備階段制定的審計(jì)計(jì)劃所確定的審計(jì)重點(diǎn)、范圍、方法和步驟，進(jìn)行認(rèn)真的測(cè)試，仔細(xì)的審計(jì)取證，并對(duì)審計(jì)所采集的證據(jù)進(jìn)行運(yùn)用和分析，以便得到審計(jì)結(jié)論，做好審計(jì)評(píng)價(jià)，發(fā)表審計(jì)意見。

3.審計(jì)報(bào)告階段。審計(jì)人員在對(duì)會(huì)計(jì)信息系統(tǒng)進(jìn)行審計(jì)測(cè)試后，要及時(shí)分類歸納核實(shí)材料，并依據(jù)審計(jì)收集的證據(jù)，編制審計(jì)工作底稿，認(rèn)真撰寫審計(jì)報(bào)告，對(duì)被審計(jì)單位財(cái)務(wù)收支的真實(shí)性、合法性、效益性和會(huì)計(jì)報(bào)表的公允性、一致性、合理性提出意見，得出審計(jì)結(jié)論；評(píng)價(jià)被審計(jì)單位的會(huì)計(jì)信息化系統(tǒng)的處理功能、內(nèi)部控制情況，提出進(jìn)一步完善的意見。

4.審后復(fù)審階段。如果被審計(jì)單位進(jìn)行會(huì)計(jì)信息化系統(tǒng)改造升級(jí)后，審計(jì)人員還需要進(jìn)行后續(xù)審計(jì)，認(rèn)真詳細(xì)審查計(jì)算機(jī)內(nèi)部數(shù)據(jù)處理的過程。如果被審計(jì)單位對(duì)審計(jì)結(jié)論和決定有異議的，可以提出復(fù)審的要求，審計(jì)人員可組織復(fù)審并作出復(fù)審決定和結(jié)論。

二、做好信息系統(tǒng)審計(jì)工作的對(duì)策措施

（一）加強(qiáng)審計(jì)人員進(jìn)行信息系統(tǒng)審計(jì)意義的認(rèn)識(shí)

當(dāng)前，一些地方審計(jì)機(jī)關(guān)審計(jì)人員對(duì)計(jì)算機(jī)信息系統(tǒng)審計(jì)工作認(rèn)識(shí)不足，不能適應(yīng)形勢(shì)發(fā)展的要求。認(rèn)為計(jì)算機(jī)輔助審計(jì)專業(yè)性太強(qiáng)，高不可攀，這些問題必須立即改正。審計(jì)部門應(yīng)加強(qiáng)目標(biāo)考核，將計(jì)算機(jī)審計(jì)作為一項(xiàng)重要指標(biāo)，落實(shí)到每個(gè)審計(jì)人員身上，每個(gè)審計(jì)項(xiàng)目中，以增強(qiáng)審計(jì)人員運(yùn)用計(jì)算機(jī)信息系統(tǒng)審計(jì)的緊迫感和責(zé)任感。長(zhǎng)遠(yuǎn)來看，審計(jì)人員如果不掌握計(jì)算機(jī)技術(shù)，就必將會(huì)失去審計(jì)資格。進(jìn)一步明確重大的審計(jì)項(xiàng)目，防止假賬真審。審計(jì)部門必須加強(qiáng)其被審計(jì)單位應(yīng)用的信息系統(tǒng)的審計(jì)，保證信息系統(tǒng)產(chǎn)生的數(shù)據(jù)真實(shí)完整，信息系統(tǒng)的可靠、安全和有效，檢查被審計(jì)單位信息系統(tǒng)內(nèi)部控制功能。

（二）加強(qiáng)信息系統(tǒng)審計(jì)隊(duì)伍的培養(yǎng)

計(jì)算機(jī)信息系統(tǒng)審計(jì)是一項(xiàng)技術(shù)性、業(yè)務(wù)性很強(qiáng)的工作，這就要求審計(jì)人員既要具備較強(qiáng)的審計(jì)業(yè)務(wù)技能，又要具備較高的計(jì)算機(jī)水平。對(duì)此，一是要強(qiáng)化對(duì)現(xiàn)有審計(jì)人員計(jì)算機(jī)輔助審計(jì)業(yè)務(wù)知識(shí)的培訓(xùn)，持續(xù)不斷的進(jìn)行后續(xù)培訓(xùn)教育，不斷增強(qiáng)審計(jì)人員計(jì)算機(jī)信息技術(shù)審計(jì)的實(shí)際操作能力。二是審計(jì)部門在選配審計(jì)人員時(shí)必須將計(jì)算機(jī)技能作為一個(gè)必要條件，在實(shí)際工作中要注重安排信息系統(tǒng)審計(jì)內(nèi)容，加大信息系統(tǒng)審計(jì)的考核力度，讓審計(jì)人員在實(shí)戰(zhàn)中不斷加強(qiáng)其信息審計(jì)業(yè)務(wù)技能的培養(yǎng)；三是要開展信息系統(tǒng)審計(jì)實(shí)務(wù)和理論研究，大力推進(jìn)審計(jì)人員在信息系統(tǒng)審計(jì)實(shí)踐中不斷提煉總結(jié)，加強(qiáng)信息系統(tǒng)審計(jì)方法體系研究。

（三）加快信息系統(tǒng)審計(jì)準(zhǔn)則制訂

審計(jì)準(zhǔn)則是規(guī)范化的管理框架，有利于提高審計(jì)效率和質(zhì)量，降低審計(jì)風(fēng)險(xiǎn)。因此，要使審計(jì)人員規(guī)范地做好信息系統(tǒng)審計(jì)工作，這就需要審計(jì)署盡早出臺(tái)信息系統(tǒng)審計(jì)準(zhǔn)則或者審計(jì)操作指南，以克服當(dāng)前審計(jì)部門信息系統(tǒng)審計(jì)工作目標(biāo)不明，內(nèi)容不清的現(xiàn)狀，以利于審計(jì)人員統(tǒng)一規(guī)范操作。

（四）上下聯(lián)動(dòng)重點(diǎn)攻關(guān)搞好實(shí)踐

在當(dāng)前基層審計(jì)機(jī)關(guān)難以全面推進(jìn)信息系統(tǒng)審計(jì)的情況下，一方面，可以采取省市縣三級(jí)或者市縣二級(jí)聯(lián)手，選擇重點(diǎn)領(lǐng)域、重點(diǎn)項(xiàng)目進(jìn)行聯(lián)合審計(jì)，這樣既可以讓基層審計(jì)人員在實(shí)踐中增長(zhǎng)信息系統(tǒng)審計(jì)技能；又可以有步驟、有重點(diǎn)地對(duì)被審計(jì)單位信息系統(tǒng)進(jìn)行全面審計(jì)，擴(kuò)大審計(jì)成果，節(jié)約審計(jì)成本，減少重復(fù)勞動(dòng)。另一方面，各級(jí)基層審計(jì)機(jī)關(guān)要堅(jiān)持獨(dú)立自主的開展信息系統(tǒng)審計(jì)工作，不等不靠，抽調(diào)計(jì)算機(jī)專業(yè)人員和通過計(jì)算機(jī)中級(jí)考試的業(yè)務(wù)骨干組成的課題組，選擇重點(diǎn)項(xiàng)目，進(jìn)行集中攻關(guān)，堅(jiān)持邊學(xué)習(xí)邊實(shí)踐邊總結(jié)的工作方法，不斷提高實(shí)戰(zhàn)能力。