計算機信息系統(tǒng)內(nèi)部控制審計

黃小洋+李露+盧亞賢

摘 要：計算機技術(shù)成為時下各個領(lǐng)域不可或缺的一部分，在會計信息化日益普及的今天，企業(yè)單位日常的經(jīng)營核算管理，無不貫穿著計算機信息系統(tǒng)的運用，當(dāng)然，會計信息系統(tǒng)帶來企業(yè)管理核算效率的提高的同時，也迫使內(nèi)部控制制度的變革，內(nèi)部控制制度的審計面臨著不可小覷的挑戰(zhàn)。

關(guān)鍵詞：信息系統(tǒng)；內(nèi)部控制；審計

一、計算機信息化環(huán)境下內(nèi)部控制給審計帶來的挑戰(zhàn)

在計算機技術(shù)不斷進步廣泛普及的科技時代，會計信息化成為企業(yè)管理的必然趨勢。相對于傳統(tǒng)手工會計，計算機在會計信息的處理中，具有明顯的優(yōu)勢，數(shù)據(jù)處理速度與精度使信息化會計制度能夠很快的適用于公司的經(jīng)營與管理。然而，先進的計算機手段為支撐帶動著審計手段的提高，但是使用計算機詐騙，欺詐和審計風(fēng)險的可能性顯著增加。管理人員在面臨傳統(tǒng)經(jīng)營風(fēng)險和財務(wù)風(fēng)險的同時，還必須面對信息風(fēng)險對企業(yè)生存和發(fā)展帶來的挑戰(zhàn)

在很長的時間里，因為計算機會計信息系統(tǒng)沒有被人們廣泛認識接納，內(nèi)部控制的措施模糊不清，審計方法不恰當(dāng)，使得審計人員只能沿用對傳統(tǒng)手工會計的審計方法，對內(nèi)部控制的審計效果不明顯，無法確保會計信息系統(tǒng)的安全。因此，提高對內(nèi)部控制的認識程度，加強對其內(nèi)涵和技術(shù)的學(xué)習(xí)，重視對內(nèi)部控制的審計，依然是當(dāng)前會計信息化和審計領(lǐng)域的一個重要課題。

會計實行計算機信息系統(tǒng)下的電算化后，會計工作的職能劃分、權(quán)責(zé)關(guān)系、稽核關(guān)系及會計文檔的管理形式等會計業(yè)務(wù)關(guān)系發(fā)生了顯著的變化，因此過去的一套內(nèi)部控制制度將無法適應(yīng)新格局下的會計核算管理，迫切需要建立一套與時俱進、高效嚴謹?shù)膬?nèi)部控制體系。同時，會計信息化給內(nèi)部控制審計帶來了新的挑戰(zhàn)。

二、關(guān)于計算機信息系統(tǒng)下的內(nèi)部控制

（一）什么是計算機信息系統(tǒng)下的內(nèi)部控制

傳統(tǒng)的內(nèi)部控制是指經(jīng)濟單位和各個組織在經(jīng)濟活動中建立的一種相互制約的業(yè)務(wù)組織形式和職責(zé)分工制度。

我國財政部1994年發(fā)布的《會計核算軟件基本功能規(guī)范》，在輸入、處理、輸出和安全四個方面對會計軟件提出了規(guī)范化要求，涉及到的實際上都是內(nèi)部控制的問題，即會計信息化軟件應(yīng)實現(xiàn)的具體控制。而1999年7月1日正式生效的《獨立審計具體準(zhǔn)則第2號-計算機信息系統(tǒng)環(huán)境下的審計》是第一次涉及計算機信息化系統(tǒng)內(nèi)部控制的審計法規(guī)則。計算機信息化系統(tǒng)下的內(nèi)部控制就是被審單位的組織與管理控制，應(yīng)用系統(tǒng)開發(fā)和維護控制、計算機操作控制、系統(tǒng)軟件控制，以及數(shù)據(jù)與程序控制等一系列控制的總稱。

（二）計算機信息系統(tǒng)內(nèi)部控制的分類

美國執(zhí)業(yè)會計師協(xié)會第3號《審計準(zhǔn)則公告》、《國際審計準(zhǔn)則》第2號以及我國《獨立審計具體準(zhǔn)則第2號》，都把計算機會計內(nèi)部控制分為一般控制（Generalcontrols）和應(yīng)用控制（Applicationcontrols）兩大類，并將前者定義為：1、電子數(shù)據(jù)處理的組織和操作的計劃；2、對系統(tǒng)或程序的設(shè)計、開發(fā)和變動的記錄、審核、測試和批準(zhǔn)；3、制造商在設(shè)備內(nèi)部設(shè)置的控制；4、對數(shù)據(jù)文件和接觸設(shè)備的控制；5、對系統(tǒng)的運行有影響的其他數(shù)據(jù)和指令程序的控制。公告把應(yīng)用控制定義為輸入控制、數(shù)據(jù)處理控制和輸出控制。

對于以上分類方法，我們認為從各方面來看，都有值得商討的地方。內(nèi)部控制的分類首先要概念清晰，同時也要區(qū)分控制主體，以便職責(zé)的明確劃分。為此，我們認為應(yīng)將其分成兩大類：管理制度控制和程序系統(tǒng)控制。其中包含系統(tǒng)和軟件的計算機軟硬件就是我們所說的程序系統(tǒng)。程序系統(tǒng)控制是通過軟件本身功能來實現(xiàn)的內(nèi)部控制機制，從而達到系統(tǒng)的自我保護的目的，主要包括數(shù)據(jù)輸入、內(nèi)部處理、信息輸出、數(shù)據(jù)傳輸和系統(tǒng)安全保護控制。軟件開發(fā)部門為程序系統(tǒng)控制的責(zé)任者，用戶不對其負責(zé)任。而管理制度控制一般則是以管理制度的形式實行的，涉及的方面主要包括組織、操作、維護和資料保管等。當(dāng)然，可以將管理制度控制進一步分為環(huán)境控制（或基礎(chǔ)控制）和操作控制（或控制）兩類，組織、維護和資料保管都屬于環(huán)境控制的范疇。顯然控制制度的制訂和實施與計算機程序系統(tǒng)無關(guān)，而應(yīng)歸責(zé)到會計軟件使用單位。這種分類方法主要的有點是分類比較的清晰明朗，方便理解，而且實現(xiàn)控制的措施和控制的主體一致，責(zé)任分明，使得各方面明確自己應(yīng)該干什么。

三、計算機信息系統(tǒng)內(nèi)部控制的審計步驟

（一）內(nèi)部控制的初步了解和描述

初步了解主要是了解企業(yè)單位網(wǎng)絡(luò)中的安全控制的具體進行流程，使用了那些方法或者工具，最后的控制結(jié)果成效是什么樣的，除此之外，也應(yīng)了解有關(guān)企業(yè)的信息系統(tǒng)管理制度是否制定、如何制定，制定了其實施情況是怎么樣的。通常審計人員采用詢問，實地觀察，查閱系統(tǒng)資料的方法了解，同時對一些基本業(yè)務(wù)處理過程進行跟蹤，最后用文字描述、流程圖和調(diào)查表等方式詳細記載其了解的所有情況。

（二）對企業(yè)內(nèi)部具體情況進行符合性測試

符合性測試是在對被審單位內(nèi)部控制進行初評的基礎(chǔ)上，為證實該控制是否在實際工作中行以貫徹執(zhí)行，以及其效果是否符合設(shè)立該控制的初衷而進行的測試活動。進行符合性測試的目的是獲取對準(zhǔn)備予以信賴的內(nèi)部控制是否有效執(zhí)行的證據(jù)，從而確定會計報表審計的范圍和程序。

1、一般控制的測試

一般控制的測試就是要初步了解企業(yè)內(nèi)部對信息系統(tǒng)控制的情況，是否符合有關(guān)規(guī)章準(zhǔn)則，是否健全有效，以避免應(yīng)用系統(tǒng)中不能察覺錯誤的風(fēng)險的發(fā)生。

（1）對被審單位組織與管理控制的測試。在該對組織與管理的審查時，審計人員應(yīng)該把審查重點放在分工與職責(zé)分工上?？梢酝ㄟ^詢問，實地檢查的方法對單位各部門，特別是了解數(shù)據(jù)處理和數(shù)據(jù)使用有關(guān)部門的分工情況，而部門領(lǐng)導(dǎo)以及部門職員之間是否做到職責(zé)分工，以及各部門是否建立并有效實施了合適的計算機信息化內(nèi)部控制制度。

（2）對被審單位系統(tǒng)開發(fā)和維護控制的測試。在此審查中，審計人員應(yīng)當(dāng)關(guān)注開發(fā)過程中領(lǐng)導(dǎo)的參與度，是否了解開發(fā)的整個過程并且對此過程進行了職責(zé)之內(nèi)的有效控制；為了滿足后續(xù)需求，開發(fā)和維護中是否留存關(guān)鍵文件；是否為了防范風(fēng)險進行了安全控制，是否做了風(fēng)險應(yīng)對計劃和措施。

（3）對被審單位計算機操作控制的測試。審查操作控制時，審計人員應(yīng)當(dāng)了解數(shù)據(jù)處理部門有沒有設(shè)置控制小組，各小組或小組成員是否職責(zé)分明，準(zhǔn)確完整地進行控制操作，并記錄下了操作記錄，以及單位是否設(shè)有內(nèi)部監(jiān)督檢查機構(gòu)會人員對以上人員及其操作的控制。

（4）對被審單位系統(tǒng)軟件控制的測試。審計人員應(yīng)該檢查系統(tǒng)軟件處理錯誤的控制、系統(tǒng)使用權(quán)限的控制、防止病毒入侵的控制等功能有沒有發(fā)揮其保障應(yīng)用程序安全的效果，其效果是否高效明顯。

（5）對數(shù)據(jù)和程序控制時，審計人員應(yīng)該重點審查在整個數(shù)據(jù)和程序體系中，有無建立監(jiān)督控制體制，接觸數(shù)據(jù)和應(yīng)用程序的人員是否經(jīng)過授權(quán)，且其是否接受相關(guān)檢查監(jiān)督。

2、應(yīng)用控制的測試

應(yīng)用控制是對一般控制的深化和具體化，可以通過對應(yīng)用控制的測試進一步取得控制評價的依據(jù)。

（1）輸入控制的測試。在輸入控制的審查中，應(yīng)當(dāng)了解是否有適當(dāng)?shù)目刂婆e措來監(jiān)督業(yè)務(wù)執(zhí)行和輸入的授權(quán)情況，控制業(yè)務(wù)的準(zhǔn)確及時的輸入，同時有無充分的控制措施來監(jiān)督錯誤數(shù)據(jù)的更改與重新輸入。

（2）計算機處理與數(shù)據(jù)文件控制的測試。在測試過程中應(yīng)關(guān)注數(shù)據(jù)文件完整性和準(zhǔn)確性控制效果，有無保留審計線索以備查。

（3）輸出控制的測試。對輸出控制的測試與輸入控制關(guān)注的點基本一樣，包括輸出數(shù)據(jù)的完整度、正確性的控制，輸出結(jié)果的接收人是否經(jīng)過授權(quán)審批的控制。

（三）對內(nèi)部控制進行評價

結(jié)束符合性測試之后，應(yīng)該對被審單位的內(nèi)部控制的有效性進行評價。首先是評價初步了解和審查過程中，被審單位計算機信息系統(tǒng)內(nèi)部控制中的運行有效的控制措施；其次是評價符合性測試過程中，各項控制措施是否符合最初制定的控制目標(biāo)，如果達到目標(biāo)，具體程度如何，如果沒達到，是否存在重大缺陷；最后評價被審單位信息系統(tǒng)有關(guān)上述各項控制是否仍然可以依賴，整體可靠性怎么樣。

參考文獻：

[1] 劉濤.ERP下AIS內(nèi)部控制分類方法的探討.[期刊論文]《中國管理信息化》，2005年

[2] ?；?審計學(xué)原理期末復(fù)習(xí)指導(dǎo).[期刊論文]《當(dāng)代電大》，2002年

[3] 羅東升.會計電算化對企業(yè)內(nèi)部控制審計的影響及對策.[學(xué)位論文]，2005年 四川大學(xué)

[4] 黃正瑞.論計算機會計的內(nèi)部控制及其審計.[期刊論文]《財務(wù)與會計》，2001年