“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式研究

劉杰 張夢藝

“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式研究

劉杰 張夢藝

本文在分析我國“財(cái)務(wù)審計(jì)導(dǎo)向”信息系統(tǒng)審計(jì)規(guī)范制定模式的基礎(chǔ)上，剖析了“財(cái)務(wù)審計(jì)導(dǎo)向”信息系統(tǒng)審計(jì)規(guī)范制定模式產(chǎn)生的原因；其次，對美國信息系統(tǒng)審計(jì)規(guī)范制定模式進(jìn)行了探計(jì)；最后，提出了我國信息系統(tǒng)審計(jì)規(guī)范制定模式改革的思路和政策建議，即我國信息系統(tǒng)審計(jì)規(guī)范制定應(yīng)同時(shí)采用“財(cái)務(wù)審計(jì)導(dǎo)向”和“業(yè)務(wù)審計(jì)導(dǎo)向”兩種思路。

財(cái)務(wù)審計(jì)導(dǎo)向 業(yè)務(wù)審計(jì)導(dǎo)向 信息系統(tǒng)審計(jì)規(guī)范

一、引言

信息系統(tǒng)審計(jì)是計(jì)算機(jī)審計(jì)的重要組成部分，大數(shù)據(jù)環(huán)境下的數(shù)據(jù)式審計(jì)離不開信息系統(tǒng)審計(jì)。若將信息處理過程視為生產(chǎn)過程，則信息系統(tǒng)是生產(chǎn)信息的機(jī)器，開展數(shù)據(jù)式審計(jì)的前提條件為數(shù)據(jù)是真實(shí)、可靠的，而信息系統(tǒng)的可靠性是數(shù)據(jù)真實(shí)、可靠的前提條件。由此可見，信息系統(tǒng)審計(jì)在計(jì)算機(jī)審計(jì)中扮演著十分重要的角色，但理論界對于信息系統(tǒng)審計(jì)的研究卻不能匹配信息系統(tǒng)審計(jì)地位的提升。同財(cái)務(wù)審計(jì)研究相比，信息系統(tǒng)審計(jì)研究相對落后，國內(nèi)學(xué)者對信息系統(tǒng)審計(jì)的研究文獻(xiàn)相對較少。近年來，隨著“大數(shù)據(jù)”、“互聯(lián)網(wǎng)+”等新研究內(nèi)容的出現(xiàn)，信息系統(tǒng)審計(jì)研究本應(yīng)呈現(xiàn)遞增趨勢，但國內(nèi)學(xué)者對信息系統(tǒng)審計(jì)的關(guān)注較少，而專門研究信息系統(tǒng)審計(jì)規(guī)范的文章更少。

目前，信息系統(tǒng)審計(jì)規(guī)范仍散落于各項(xiàng)審計(jì)規(guī)定之中，國家尚未頒布一套完善的信息系統(tǒng)審計(jì)規(guī)范，信息系統(tǒng)審計(jì)人員迫切需要一套完善、成熟的信息系統(tǒng)審計(jì)規(guī)范指導(dǎo)。我國與信息系統(tǒng)審計(jì)相關(guān)的規(guī)范主要采用以“財(cái)務(wù)審計(jì)導(dǎo)向”的制定模式，制定信息系統(tǒng)審計(jì)規(guī)范的目的主要是滿足財(cái)務(wù)審計(jì)的需要，這或多或少影響著信息系統(tǒng)審計(jì)規(guī)范的發(fā)展。鑒于此，本文以“‘財(cái)務(wù)審計(jì)導(dǎo)向’的信息系統(tǒng)審計(jì)規(guī)范制定模式”為研究對象，研究“財(cái)務(wù)審計(jì)導(dǎo)向”制定模式存在的弊端，以期能為我國信息系統(tǒng)審計(jì)規(guī)范的制定提供相應(yīng)的政策建議，提升信息系統(tǒng)審計(jì)規(guī)范的適用性。

二、“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式及其弊端分析

（一）當(dāng)前我國信息系統(tǒng)審計(jì)規(guī)范制定的模式

我國頒布的與信息系統(tǒng)相關(guān)的審計(jì)準(zhǔn)則基本上都出于“真實(shí)、合法、效益”的審計(jì)目標(biāo)。我國的審計(jì)規(guī)范分為國家審計(jì)規(guī)范、內(nèi)部審計(jì)規(guī)范和注冊會(huì)計(jì)師審計(jì)規(guī)范三大類。在國家審計(jì)規(guī)范層面，為適應(yīng)現(xiàn)代信息技術(shù)的發(fā)展，1993年國家審計(jì)署頒布了《審計(jì)署關(guān)于計(jì)算機(jī)審計(jì)的暫行規(guī)定》，該暫行規(guī)定的第二條中指出，凡使用計(jì)算機(jī)管理財(cái)政、財(cái)務(wù)收支及其有關(guān)經(jīng)濟(jì)活動(dòng)的被審計(jì)單位，審計(jì)機(jī)關(guān)有權(quán)采用計(jì)算機(jī)技術(shù)，依法獨(dú)立對其計(jì)算機(jī)財(cái)務(wù)系統(tǒng)進(jìn)行審計(jì)監(jiān)督。1996年，國家審計(jì)署又頒布了《審計(jì)機(jī)關(guān)計(jì)算機(jī)輔助審計(jì)辦法》，該辦法的第二條中指出，本辦法所稱計(jì)算機(jī)輔助審計(jì)，是指審計(jì)機(jī)關(guān)、審計(jì)人員將計(jì)算機(jī)作為輔助審計(jì)工具，對被審計(jì)單位財(cái)政、財(cái)務(wù)收支及其計(jì)算機(jī)應(yīng)用系統(tǒng)實(shí)施的審計(jì)。2006年，我國修訂了《審計(jì)法》，其二十二條中規(guī)定，審計(jì)機(jī)關(guān)有權(quán)檢查財(cái)政財(cái)務(wù)收支信息系統(tǒng)。在上述審計(jì)法規(guī)的指引下，審計(jì)署及審計(jì)署駐各地特派辦紛紛開展了信息系統(tǒng)審計(jì)的實(shí)務(wù)研究，并制定了信息系統(tǒng)審計(jì)的相關(guān)操作規(guī)則，操作規(guī)則的制定主要是為了滿足數(shù)據(jù)式審計(jì)的需要，而其數(shù)據(jù)式審計(jì)仍然沒有偏離財(cái)政、財(cái)務(wù)審計(jì)的方向。因此，國家審計(jì)規(guī)范的制定模式是“財(cái)務(wù)審計(jì)導(dǎo)向”的制定模式，信息系統(tǒng)審計(jì)準(zhǔn)則或規(guī)范的頒布主要是考慮到信息技術(shù)已經(jīng)影響到財(cái)務(wù)報(bào)告生產(chǎn)過程，為了更好進(jìn)行財(cái)務(wù)審計(jì)，而不是單純?yōu)橹贫ㄐ畔⑾到y(tǒng)審計(jì)準(zhǔn)則。

在注冊會(huì)計(jì)師審計(jì)規(guī)范層面，中國注冊會(huì)計(jì)師協(xié)會(huì)（以下簡稱“中注協(xié)”）在《中國注冊會(huì)計(jì)師審計(jì)準(zhǔn)則第1101號——注冊會(huì)計(jì)師的總體目標(biāo)和審計(jì)工作的基本要求》中明確規(guī)定，中國注冊會(huì)計(jì)師審計(jì)準(zhǔn)則適用于注冊會(huì)計(jì)師開展財(cái)務(wù)報(bào)表審計(jì)業(yè)務(wù)。在該思想的指導(dǎo)下，中注協(xié)頒布了《中國注冊會(huì)計(jì)師審計(jì)準(zhǔn)則第1633號——電子商務(wù)對財(cái)務(wù)報(bào)表審計(jì)的影響》，研究電子商務(wù)對財(cái)務(wù)報(bào)表審計(jì)的影響。注冊會(huì)計(jì)師審計(jì)規(guī)范中與信息系統(tǒng)審計(jì)相關(guān)的規(guī)范，其制定模式依然是“財(cái)務(wù)審計(jì)導(dǎo)向”的，并沒有系統(tǒng)性的研究信息系統(tǒng)審計(jì)規(guī)范，而是當(dāng)信息系統(tǒng)審計(jì)影響到財(cái)務(wù)報(bào)表審計(jì)時(shí)，才開始著手制定和發(fā)布信息系統(tǒng)審計(jì)規(guī)范。

在內(nèi)部審計(jì)規(guī)范層面，中國內(nèi)部審計(jì)協(xié)會(huì)（以下簡稱“中國內(nèi)審協(xié)會(huì)”）發(fā)布了中國第一個(gè)真正意義的信息系統(tǒng)審計(jì)規(guī)范《第2203號內(nèi)部審計(jì)具體準(zhǔn)則——信息系統(tǒng)審計(jì)》，在一定程度上彌補(bǔ)了我國信息系統(tǒng)審計(jì)規(guī)范存在的缺失。在《第1101號——內(nèi)部審計(jì)基本準(zhǔn)則》中，中國內(nèi)審協(xié)會(huì)強(qiáng)調(diào)，內(nèi)部審計(jì)準(zhǔn)則是依據(jù)《審計(jì)法》制定的，這表明內(nèi)部審計(jì)準(zhǔn)則依然無法擺脫“財(cái)務(wù)審計(jì)導(dǎo)向”的思維模式。

綜上所述，我國信息系統(tǒng)審計(jì)規(guī)范制定模式始終秉承“財(cái)務(wù)審計(jì)導(dǎo)向”的思路，這同我國長期以來相當(dāng)重視財(cái)政、財(cái)務(wù)審計(jì)的思維模式息息相關(guān)，這一點(diǎn)在注冊會(huì)計(jì)師審計(jì)中更為明顯。

（二）當(dāng)前我國信息系統(tǒng)審計(jì)規(guī)范制定的弊端分析

1.不利于形成相對較為完善的信息系統(tǒng)審計(jì)規(guī)范體系

同國外信息系統(tǒng)審計(jì)規(guī)范相比，我國并未形成類似于ISACA的信息系統(tǒng)審計(jì)規(guī)范體系，與信息系統(tǒng)審計(jì)相關(guān)的規(guī)范散落于國家審計(jì)規(guī)范、內(nèi)部審計(jì)規(guī)范和注冊會(huì)計(jì)師審計(jì)規(guī)范之中。國際內(nèi)部審計(jì)師協(xié)會(huì)（IIA）、國際會(huì)計(jì)師聯(lián)合會(huì)（IFAC）和國際信息系統(tǒng)審計(jì)協(xié)會(huì)（ISACA）在信息系統(tǒng)審計(jì)方面建立了相對較為完善的信息系統(tǒng)審計(jì)規(guī)范體系。IIA發(fā)布了GAIT（IT風(fēng)險(xiǎn)評估指南）和GTAG（全球信息技術(shù)審計(jì)指南），其目的在于滿足管理層首席審計(jì)師和審計(jì)主管的需求，以解決董事會(huì)關(guān)心的信息系統(tǒng)審計(jì)問題，ISACA發(fā)布信息系統(tǒng)審計(jì)規(guī)范的目的在于指導(dǎo)審計(jì)人員開展信息系統(tǒng)審計(jì)活動(dòng)。IIA、IFAC和ISACA形成了較為嚴(yán)密的信息系統(tǒng)審計(jì)規(guī)范體系。中國內(nèi)審協(xié)會(huì)發(fā)布的2203號內(nèi)部審計(jì)準(zhǔn)則并未全面、系統(tǒng)地考慮董事會(huì)、管理層所關(guān)心的信息系統(tǒng)審計(jì)問題，所制定的信息系統(tǒng)審計(jì)規(guī)范也沒有建立類似于ISACA的審計(jì)準(zhǔn)則、審計(jì)指南和審計(jì)程序的體系結(jié)構(gòu)。信息系統(tǒng)審計(jì)規(guī)范的供給不足使得財(cái)務(wù)審計(jì)人員與信息系統(tǒng)審計(jì)人員的合作、信息系統(tǒng)審計(jì)人員與企事業(yè)單位內(nèi)部管理人員的合作匱乏，不能推動(dòng)信息系統(tǒng)審計(jì)工作的有效開展。

2.不利于信息系統(tǒng)審計(jì)規(guī)范制定資源的整合

無論是國家審計(jì)、內(nèi)部審計(jì)，還是注冊會(huì)計(jì)師審計(jì)，其信息系統(tǒng)審計(jì)目標(biāo)僅僅存在文字上的差異，其本質(zhì)并不存在任何差異，都是對信息系統(tǒng)的安全、可靠、效率和效果發(fā)表審計(jì)意見（劉杰、黃忠莉，2013）。然而，當(dāng)前我國的信息系統(tǒng)審計(jì)規(guī)范制定資源分散于國家審計(jì)署、中國內(nèi)審協(xié)會(huì)和中國注冊會(huì)計(jì)師協(xié)會(huì)，沒有形成資源整合的信息系統(tǒng)審計(jì)規(guī)范制定力量，不利于制定體系的信息系統(tǒng)審計(jì)規(guī)范?！柏?cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式加劇了信息系統(tǒng)審計(jì)規(guī)范制定資源的分散。注冊會(huì)計(jì)師審計(jì)規(guī)范偏重于指導(dǎo)企業(yè)財(cái)務(wù)報(bào)表發(fā)表審計(jì)意見，內(nèi)部審計(jì)規(guī)范偏重于指導(dǎo)政府或企業(yè)業(yè)務(wù)活動(dòng)、內(nèi)部控制以及風(fēng)險(xiǎn)管理等審計(jì)，而國家審計(jì)規(guī)范偏重于指導(dǎo)財(cái)政收支審計(jì)和國家企業(yè)審計(jì)，這三者在審計(jì)目標(biāo)上存在差異性。若采用“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式，這必然會(huì)導(dǎo)致信息系統(tǒng)審計(jì)服務(wù)的對象存在差異，不利于整合國家審計(jì)、內(nèi)部審計(jì)和注冊會(huì)計(jì)師審計(jì)的信息系統(tǒng)審計(jì)規(guī)范制定資源。

3.不利于非財(cái)務(wù)審計(jì)工作的開展

隨著企業(yè)信息化、政務(wù)信息化等的發(fā)展，信息系統(tǒng)的安全審計(jì)、生命周期審計(jì)以及軟硬件審計(jì)等變得越來越重要，其重要程度在很多時(shí)候已經(jīng)超過了出于“真實(shí)、合法、效益”審計(jì)目標(biāo)的信息系統(tǒng)審計(jì)。

信息系統(tǒng)不僅僅是輸出財(cái)務(wù)報(bào)告的會(huì)計(jì)信息系統(tǒng)，信息系統(tǒng)審計(jì)所涵蓋的內(nèi)容包括內(nèi)部控制審計(jì)、系統(tǒng)生命周期審計(jì)、信息系統(tǒng)軟硬件審計(jì)、安全審計(jì)和信息系統(tǒng)績效審計(jì)等。如果信息系統(tǒng)審計(jì)準(zhǔn)則的制定僅僅是為更好地進(jìn)行財(cái)務(wù)審計(jì)，那么當(dāng)系統(tǒng)生命周期審計(jì)、信息系統(tǒng)軟硬件審計(jì)、安全審計(jì)以及信息系統(tǒng)績效審計(jì)等提上日程時(shí)，現(xiàn)有的信息系統(tǒng)審計(jì)準(zhǔn)則遠(yuǎn)遠(yuǎn)不能起到發(fā)揮引導(dǎo)和約束信息系統(tǒng)審計(jì)行為功能的作用。而在國外，存在如ISACA這樣的機(jī)構(gòu)專門制定信息系統(tǒng)審計(jì)準(zhǔn)則，當(dāng)面對服務(wù)于財(cái)務(wù)審計(jì)之外的信息系統(tǒng)審計(jì)時(shí)，ISACA有相應(yīng)的審計(jì)準(zhǔn)則、指南與程序用以引導(dǎo)和約束信息系統(tǒng)審計(jì)人員的審計(jì)行為，如美國審計(jì)署在對聯(lián)邦存款保險(xiǎn)計(jì)算機(jī)病毒保護(hù)程序進(jìn)行審計(jì)時(shí)，ISACA所頒布的審計(jì)程序病毒及其它惡意代碼（P4）審計(jì)程序可以為其提供依據(jù)。在我國，信息系統(tǒng)審計(jì)準(zhǔn)則制定的源動(dòng)力來自于財(cái)務(wù)審計(jì)的需要。當(dāng)面臨其它類型的信息系統(tǒng)審計(jì)時(shí)，審計(jì)人員往往陷入不知所措的困境。因此，要使我國的信息系統(tǒng)審計(jì)準(zhǔn)則趕上國外先進(jìn)的信息系統(tǒng)審計(jì)準(zhǔn)則，必須擺脫以財(cái)務(wù)審計(jì)為主的信息系統(tǒng)審計(jì)準(zhǔn)則制定模式。

三、“財(cái)務(wù)審計(jì)導(dǎo)向”信息系統(tǒng)審計(jì)規(guī)范制定模式的根源

在信息系統(tǒng)審計(jì)發(fā)展的初期，“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式起到了推動(dòng)信息系統(tǒng)審計(jì)工作的作用，但到現(xiàn)代信息技術(shù)廣泛應(yīng)用于政府和企事業(yè)單位的階段，信息系統(tǒng)審計(jì)規(guī)范供給不足必然處于常態(tài)。筆者認(rèn)為，“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式主要受到以下幾方面因素的影響：

（一）我國信息系統(tǒng)審計(jì)起步較晚

國外早在20世紀(jì)50年代就對信息系統(tǒng)審計(jì)技術(shù)進(jìn)行了研究，IBM公司在1956年出版的《The Auditor Encounters Electronic Data Processing》手冊中制定了電子數(shù)據(jù)環(huán)境下的內(nèi)部審計(jì)規(guī)則和組織方法，介紹了許多諸如測試數(shù)據(jù)、并行模擬等新的審計(jì)技術(shù)。美國內(nèi)部審計(jì)師協(xié)會(huì)在1977年發(fā)表了著名的《系統(tǒng)可審計(jì)性及控制制度的研究》，簡稱SAC報(bào)告，提出了多種計(jì)算機(jī)輔助審計(jì)技術(shù)，是利用計(jì)算機(jī)對計(jì)算機(jī)信息系統(tǒng)直接進(jìn)行審核檢查的開創(chuàng)性探索。Wand & Weber（1989）提出了信息系統(tǒng)中不同層次子系統(tǒng)如何追蹤傳輸變化的模型。這個(gè)模型為審計(jì)人員提供了一個(gè)結(jié)構(gòu)化的方法用于識別控制和審計(jì)程序需要修正的地方。ISACA（1998，2008）對計(jì)算機(jī)輔助審計(jì)技術(shù)（簡稱CAATs）運(yùn)用的范圍、采用CAATs需要考慮的因素以及CAATs運(yùn)用的步驟及范圍等進(jìn)行了詳細(xì)的論述，認(rèn)為CAATs可運(yùn)用于交易的詳細(xì)測試、分析性復(fù)核程序、一般控制與應(yīng)用控制測試以及穿透性測試之中。ISACA（2010）對CAATs與持續(xù)審計(jì)、持續(xù)認(rèn)證進(jìn)行了區(qū)別，提出CAATs是各種各樣的自動(dòng)化審計(jì)技術(shù)，而持續(xù)審計(jì)、持續(xù)認(rèn)證是一種審計(jì)方法，同時(shí)，ISACA在其審計(jì)指南《持續(xù)認(rèn)證》（G42）中對持續(xù)審計(jì)與持續(xù)認(rèn)證在審計(jì)計(jì)劃、審計(jì)實(shí)施與審計(jì)報(bào)告中運(yùn)用的相關(guān)問題進(jìn)行了深入詳細(xì)的規(guī)定。

國內(nèi)對于信息系統(tǒng)審計(jì)的理論研究與實(shí)務(wù)研究相對較晚。張毅（1989）對電算化會(huì)計(jì)信息系統(tǒng)審計(jì)問題進(jìn)行了研究，結(jié)合計(jì)算機(jī)軟件測試方法介紹了黑盒測試法和白盒測試法。陳婉玲、楊文杰（2006）系統(tǒng)性地介紹了ISACA的信息系統(tǒng)審計(jì)規(guī)范。國家審計(jì)署2005年對某航空公司的收入結(jié)算系統(tǒng)進(jìn)行審計(jì)時(shí)審計(jì)人員對信息系統(tǒng)到底怎么審，怎么評價(jià)缺乏類似經(jīng)驗(yàn)，也無現(xiàn)成的案例和信息系統(tǒng)審計(jì)規(guī)范可借鑒（劉汝焯，2006）。國內(nèi)信息系統(tǒng)審計(jì)理論與實(shí)務(wù)研究開展較晚直接影響著信息系統(tǒng)審計(jì)規(guī)范的研究。與此同時(shí)，我國財(cái)務(wù)審計(jì)研究相對較早，財(cái)務(wù)審計(jì)在整個(gè)審計(jì)活動(dòng)中占據(jù)著十分重要的位置，因此，國內(nèi)審計(jì)規(guī)范制定機(jī)構(gòu)自然就形成“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式。

（二）財(cái)務(wù)審計(jì)在審計(jì)活動(dòng)中占據(jù)主導(dǎo)地位

我國2006年修訂的《審計(jì)法》中指出，審計(jì)是對財(cái)政收支或者財(cái)務(wù)收支的真實(shí)、合法和效益發(fā)表審計(jì)意見。財(cái)務(wù)審計(jì)在整個(gè)審計(jì)活動(dòng)中占據(jù)著十分重要的位置。在傳統(tǒng)的審計(jì)思維模式中，審計(jì)主要是指財(cái)務(wù)審計(jì)，業(yè)務(wù)審計(jì)僅僅在財(cái)務(wù)審計(jì)需要涉及時(shí)才開展。近年來，隨著審計(jì)范圍的擴(kuò)大以及財(cái)務(wù)欺詐向業(yè)務(wù)端前移，業(yè)務(wù)審計(jì)才逐步受到重視。信息系統(tǒng)審計(jì)不僅服務(wù)于財(cái)務(wù)審計(jì)，而且服務(wù)于業(yè)務(wù)審計(jì)。重視財(cái)務(wù)審計(jì)活動(dòng)，而忽視業(yè)務(wù)審計(jì)的發(fā)展模式導(dǎo)致信息系統(tǒng)審計(jì)主要服務(wù)于財(cái)務(wù)審計(jì)，因此，信息系統(tǒng)審計(jì)規(guī)范體系的制定呈現(xiàn)“財(cái)務(wù)審計(jì)導(dǎo)向”的現(xiàn)象。我國信息系統(tǒng)審計(jì)實(shí)踐與國外信息系統(tǒng)審計(jì)實(shí)踐在這方面的差異，除了在信息系統(tǒng)審計(jì)的人力、物力等方面趕不上諸如美國、加拿大等西方國家之后，最主要的原因還是我國沒有相對完善的信息系統(tǒng)審計(jì)規(guī)范，信息系統(tǒng)審計(jì)還處于依附財(cái)務(wù)審計(jì)的狀態(tài)。在遵從SOX法案的過程中，尤其是在規(guī)范企業(yè)管理方面，信息系統(tǒng)起著極為重要的作用，因此，信息系統(tǒng)審計(jì)與內(nèi)部管理審計(jì)相融合成為歷史的必然（時(shí)現(xiàn)、李庭僚，2009），過渡依賴財(cái)務(wù)審計(jì)的信息系統(tǒng)審計(jì)規(guī)范制定模式將得到改善。

（三）受到ERP發(fā)展路徑的影響

自1990年，美國甘特公司提出ERP概念以來，我國也開始致立于該方面的研究。但我國ERP軟件的發(fā)展路徑有別于國外，尤其是首次提出ERP概念的美國。美國ERP 軟件遵循財(cái)務(wù)業(yè)務(wù)一體化的思路，財(cái)務(wù)子系統(tǒng)與業(yè)務(wù)子系統(tǒng)是ERP軟件不可分離的重要組成部分。我國ERP軟件是以總賬子系統(tǒng)為核心，根據(jù)企業(yè)經(jīng)營管理的需要不斷加入銷售與收款循環(huán)子系統(tǒng)、采購與付款循環(huán)子系統(tǒng)、生產(chǎn)循環(huán)子系統(tǒng)等，并沒有完全按照ERP思想設(shè)計(jì)軟件。因此，我國信息系統(tǒng)審計(jì)首先也是對會(huì)計(jì)信息系統(tǒng)的影響，而后才開始涉足業(yè)務(wù)系統(tǒng)的審計(jì)活動(dòng)。信息系統(tǒng)審計(jì)規(guī)范的制定也必然會(huì)采用“財(cái)務(wù)審計(jì)導(dǎo)向”的模式。

圖1 美國信息系統(tǒng)審計(jì)規(guī)范體系

四、國外信息系統(tǒng)審計(jì)規(guī)范制定模式的借鑒與啟示

（一）國外信息系統(tǒng)審計(jì)規(guī)范體系

國外計(jì)算機(jī)輔助審計(jì)和信息系統(tǒng)審計(jì)起步較早，早在上世紀(jì)50年代美國政府就開始探索信息系統(tǒng)審計(jì)。經(jīng)過近60多年的發(fā)展，國外形成了較為完善的信息系統(tǒng)審計(jì)規(guī)范體系（如圖1所示）。

國外信息系統(tǒng)審計(jì)規(guī)范的體系包括信息系統(tǒng)審計(jì)準(zhǔn)則和會(huì)計(jì)信息系統(tǒng)審計(jì)準(zhǔn)則。會(huì)計(jì)信息系統(tǒng)審計(jì)準(zhǔn)則由國際會(huì)計(jì)師聯(lián)合會(huì)（IFAC）下屬的國際審計(jì)實(shí)務(wù)委員會(huì)（IAPC）制定，其目的是指導(dǎo)注冊會(huì)計(jì)師開展會(huì)計(jì)信息系統(tǒng)審計(jì)，以確保財(cái)務(wù)報(bào)表審計(jì)結(jié)果的可靠性。信息系統(tǒng)審計(jì)準(zhǔn)則包括國際內(nèi)部審計(jì)師協(xié)會(huì)（IIA）和國際信息系統(tǒng)審計(jì)協(xié)會(huì)（ISACA）。IIA發(fā)布GAIT和GTAG旨在解決董事會(huì)和高級經(jīng)理所關(guān)心信息系統(tǒng)審計(jì)問題，便于外部信息系統(tǒng)審計(jì)人員與董事會(huì)以及高級經(jīng)理進(jìn)行溝通。ISACA審計(jì)準(zhǔn)則由國際信息系統(tǒng)審計(jì)協(xié)會(huì)制定。ISACA所頒布的信息系統(tǒng)審計(jì)準(zhǔn)則不僅僅是為了滿足更好地進(jìn)行財(cái)務(wù)審計(jì)的需要，這也決定了在執(zhí)行信息系統(tǒng)審計(jì)時(shí)所涵蓋的范圍廣泛。如，2001年澳大利亞聯(lián)邦政府互聯(lián)網(wǎng)安全的審計(jì)，2003年多倫多審計(jì)局對該市政府的ORACLE數(shù)據(jù)庫安全問題進(jìn)行了審計(jì)，加拿大審計(jì)署對2002年加拿大政府IT安全審計(jì)的后續(xù)審計(jì)等，這些信息系統(tǒng)審計(jì)實(shí)踐不是依附于財(cái)務(wù)審計(jì)的信息系統(tǒng)審計(jì)，而是完全意義上的信息系統(tǒng)審計(jì)。這同我國信息系統(tǒng)審計(jì)出于“真實(shí)、合法、效益”的審計(jì)目標(biāo)相比，信息系統(tǒng)審計(jì)的范圍擴(kuò)大了許多。

（二）國外信息系統(tǒng)審計(jì)規(guī)范制定模式的借鑒與啟示

總體來講，國外信息系統(tǒng)審計(jì)規(guī)范制定模式并沒有完全采用“財(cái)務(wù)審計(jì)導(dǎo)向”的規(guī)范制定模式，而是混合采用“財(cái)務(wù)審計(jì)導(dǎo)向”和“業(yè)務(wù)審計(jì)導(dǎo)向”的規(guī)范制定模式。IFAC制定審計(jì)規(guī)范的目的在于規(guī)范財(cái)務(wù)審計(jì)行為，因此，IFAC采用了“財(cái)務(wù)審計(jì)導(dǎo)向”的規(guī)范制定模式，而ISACA和IIA則將信息系統(tǒng)混合采用了上述兩種模式，其制定的信息系統(tǒng)審計(jì)規(guī)范不僅可以用于指導(dǎo)審計(jì)人員審計(jì)財(cái)務(wù)信息系統(tǒng)，也可以用于指導(dǎo)審計(jì)人員審計(jì)非財(cái)務(wù)信息系統(tǒng)。國外信息系統(tǒng)審計(jì)規(guī)范還呈現(xiàn)如下兩方面的特點(diǎn)：

1.信息系統(tǒng)審計(jì)規(guī)范來源于審計(jì)實(shí)踐

ISACA的基本準(zhǔn)則自1997年7月25日后陸續(xù)生效，審計(jì)指南自1998年6月1日后陸續(xù)生效，審計(jì)程序自2002年7月1日后陸續(xù)生效。雖然ISACA基本準(zhǔn)則生效的最早時(shí)間為1997年7月25日，但這并沒有妨礙美國的信息系統(tǒng)審計(jì)實(shí)踐。例如，美國審計(jì)署1996年11月對美國聯(lián)邦存款保險(xiǎn)公司時(shí)間和出勤處理系統(tǒng)進(jìn)行了審計(jì)，并出具了審計(jì)報(bào)告。在此次審計(jì)實(shí)踐中，審計(jì)人員有明確的審計(jì)目標(biāo)、審計(jì)范圍等，這與ISACA后來所頒布的基本準(zhǔn)則——審計(jì)計(jì)劃（S5）中的規(guī)定基本一致，即在S5中要求“信息系統(tǒng)審計(jì)師必須起草并以書面形式記錄一份審計(jì)計(jì)劃書，詳述審計(jì)目標(biāo)及其性質(zhì)、審計(jì)時(shí)間和范圍、以及所需相關(guān)資源”。同時(shí)，美國審計(jì)署還針對美國聯(lián)邦存款保險(xiǎn)公司時(shí)間和出勤處理系統(tǒng)的開發(fā)情況，提出了系統(tǒng)開發(fā)需要完善的流程，并在1998年再次對美國聯(lián)邦存款保險(xiǎn)公司中止開發(fā)時(shí)間和出勤處理系統(tǒng)的具體情況進(jìn)行了審計(jì)。美國審計(jì)署對該項(xiàng)目的后續(xù)跟蹤也蘊(yùn)涵著ISACA所頒布的基本準(zhǔn)則——后續(xù)工作（S8）的基本思想，即在報(bào)告審計(jì)發(fā)現(xiàn)和建議后，信息系統(tǒng)審計(jì)師必須獲取和評估相關(guān)信息，對管理層是否已及時(shí)采取恰當(dāng)?shù)拇胧┳龀鼋Y(jié)論。雖然不能說ISACA所頒布的基本準(zhǔn)則、審計(jì)指南和作業(yè)程序全部來自于審計(jì)實(shí)踐，但可以肯定的是，ISACA所頒布的準(zhǔn)則中部分來自于信息系統(tǒng)審計(jì)實(shí)踐，這是值得我國借鑒的，在完善信息系統(tǒng)審計(jì)規(guī)范體系的過程中，除了借鑒國外先進(jìn)的信息系統(tǒng)審計(jì)規(guī)范之后，還以從國家審計(jì)、注冊會(huì)計(jì)師審計(jì)以及內(nèi)部審計(jì)的實(shí)踐中發(fā)掘有價(jià)值的審計(jì)規(guī)范，使其成為信息系統(tǒng)審計(jì)規(guī)范的成文法典，引導(dǎo)和約束信息系統(tǒng)審計(jì)行為。

2.權(quán)威的信息系統(tǒng)審計(jì)規(guī)范是信息系統(tǒng)審計(jì)成功實(shí)踐的指南

國外信息系統(tǒng)審計(jì)規(guī)范體系雖然不存在成熟的信息系統(tǒng)審計(jì)質(zhì)量控制準(zhǔn)則，卻有著相對完善的信息系統(tǒng)審計(jì)準(zhǔn)則、指南和作業(yè)程序。從TALLAHASSEE市審計(jì)局對本市局域網(wǎng)邏輯安全審計(jì)的案例、多倫多審計(jì)局2003年對該市政府的Oracle數(shù)據(jù)庫安全問題審計(jì)的案例以及美國審計(jì)署2000年關(guān)于SBA財(cái)務(wù)管理信息安全審計(jì)的案例等可以看出，審計(jì)組在整個(gè)審計(jì)過程中有明確的審計(jì)目標(biāo)、審計(jì)范圍、審計(jì)方法，同時(shí)審計(jì)組還根據(jù)審計(jì)過程中發(fā)現(xiàn)的問題提出有建設(shè)性的改進(jìn)意見。管理層在整個(gè)審計(jì)過程中也并非置身事外，在審計(jì)工作開始階段與審計(jì)組人員交換意見，介紹現(xiàn)有的邏輯進(jìn)入控制，提出認(rèn)為還需要改進(jìn)的方面；在后續(xù)審計(jì)階段，根據(jù)審計(jì)組所提的建議進(jìn)行整改，并將整改結(jié)果回復(fù)給有關(guān)信息系統(tǒng)審計(jì)部門。在整個(gè)審計(jì)過程中，ISACA的審計(jì)準(zhǔn)則、審計(jì)指南與作業(yè)程序都能為其提供從審計(jì)計(jì)劃、實(shí)施、審計(jì)報(bào)告和后續(xù)審計(jì)方面的指導(dǎo)，如在審計(jì)過程中，審計(jì)組成員要進(jìn)行薄弱點(diǎn)評價(jià)，而ISACA所頒布的作業(yè)程序——安全性評估-穿透測試和弱點(diǎn)分析（P8）可以引導(dǎo)審計(jì)人員進(jìn)行薄弱點(diǎn)分析，而不至于讓審計(jì)人員在審計(jì)過程中處于無序狀態(tài)。

圖2 信息系統(tǒng)審計(jì)協(xié)會(huì)組織際關(guān)系圖

（三）缺陷：信息系統(tǒng)審計(jì)質(zhì)量控制準(zhǔn)則亟待發(fā)布

審計(jì)質(zhì)量是信息系統(tǒng)審計(jì)的生命，審計(jì)質(zhì)量達(dá)不到規(guī)定要求，信息系統(tǒng)審計(jì)較強(qiáng)的技術(shù)性也使得沒有人敢去相信經(jīng)審計(jì)人員審計(jì)過的信息系統(tǒng)是質(zhì)量好的信息系統(tǒng)。健全完善的質(zhì)量控制制度是保證信息系統(tǒng)審計(jì)人員遵守法律法規(guī)、職業(yè)道德規(guī)范以及信息系統(tǒng)審計(jì)程序的保障。國外的財(cái)務(wù)審計(jì)質(zhì)量控制準(zhǔn)則相對于信息系統(tǒng)審計(jì)的質(zhì)量控制準(zhǔn)則而言是比較完善的，信息系統(tǒng)審計(jì)的質(zhì)量控制準(zhǔn)則，除了在ISACA所頒布的審計(jì)指南——審計(jì)章程（G5）中有粗略的闡述之外，還基本上處于空白狀態(tài)。信息系統(tǒng)審計(jì)較強(qiáng)的技術(shù)性決定了審計(jì)人員掌握的信息會(huì)優(yōu)于委托人，更容易導(dǎo)致審計(jì)師在審計(jì)過程中與被審計(jì)機(jī)構(gòu)勾結(jié)欺騙委托人，被審計(jì)過的信息系統(tǒng)并不一定會(huì)被認(rèn)可為質(zhì)量好的信息系統(tǒng)，會(huì)產(chǎn)生高質(zhì)量的信息，內(nèi)部沒有嵌入非法的內(nèi)部控制規(guī)范等等。從而失去對信息系統(tǒng)審計(jì)的信任。為確保信息系統(tǒng)審計(jì)的質(zhì)量，審計(jì)規(guī)范制定機(jī)構(gòu)不僅僅要制定信息系統(tǒng)審計(jì)準(zhǔn)則，而且還要加快制定信息系統(tǒng)審計(jì)質(zhì)量控制準(zhǔn)則的步伐。

五、我國信息系統(tǒng)審計(jì)規(guī)范制定模式改革的政策建議

（一）改變“財(cái)務(wù)審計(jì)導(dǎo)向”信息系統(tǒng)審計(jì)規(guī)范制定的單一模式

“財(cái)務(wù)審計(jì)導(dǎo)向”信息系統(tǒng)審計(jì)規(guī)范制定的單一模式是特殊歷史條件下的產(chǎn)物，是財(cái)務(wù)審計(jì)占主導(dǎo)地位下的產(chǎn)物。隨著財(cái)務(wù)欺詐向業(yè)務(wù)端前移，業(yè)務(wù)系統(tǒng)的審計(jì)變得越來越重要，忽視業(yè)務(wù)系統(tǒng)的審計(jì)將直接影響財(cái)務(wù)審計(jì)結(jié)果的可靠性。因此，有必要改變當(dāng)前“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式，混合采用“財(cái)務(wù)審計(jì)導(dǎo)向”和“業(yè)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式。結(jié)合國家審計(jì)、內(nèi)部審計(jì)和注冊會(huì)計(jì)師審計(jì)目標(biāo)、人力資源等等，國家審計(jì)署、中國內(nèi)審協(xié)會(huì)以及中注協(xié)在制定信息系統(tǒng)審計(jì)準(zhǔn)則時(shí)，可以采用“財(cái)務(wù)審計(jì)導(dǎo)向”的信息系統(tǒng)審計(jì)規(guī)范制定模式，以滿足其會(huì)計(jì)信息系統(tǒng)審計(jì)的需求，但專門的信息系統(tǒng)審計(jì)準(zhǔn)則制定機(jī)構(gòu)應(yīng)當(dāng)混合采用“財(cái)務(wù)審計(jì)導(dǎo)向”和“業(yè)務(wù)審計(jì)導(dǎo)向”兩種模式。此外，為避免審計(jì)規(guī)范資源的浪費(fèi)，國家審計(jì)署、中國內(nèi)審協(xié)會(huì)以及中注協(xié)應(yīng)當(dāng)加強(qiáng)溝通與協(xié)調(diào)工作，互相承認(rèn)其所制定的信息系統(tǒng)審計(jì)規(guī)范。

（二）加強(qiáng)資源整合，成立專門的信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)

國外信息系統(tǒng)審計(jì)規(guī)范體系的完善得益于其存在專門的信息系統(tǒng)審計(jì)準(zhǔn)則制定機(jī)構(gòu)ISACA，而我國并沒有專門的信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)，信息系統(tǒng)審計(jì)規(guī)范分別由國家審計(jì)署、中國內(nèi)審協(xié)會(huì)和中注協(xié)制定。上述三家機(jī)構(gòu)的性質(zhì)就決定了其不能完全致立于信息系統(tǒng)審計(jì)規(guī)范的完善與發(fā)展。因此，為完善我國信息系統(tǒng)審計(jì)規(guī)范的制定，應(yīng)加強(qiáng)信息系統(tǒng)審計(jì)規(guī)范制定資源的整合。這種資源整合包括兩個(gè)方面：

1.整合信息系統(tǒng)審計(jì)規(guī)范制定的人力、物力與財(cái)務(wù)，成立專門的信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)。

從國家審計(jì)署、中國內(nèi)審協(xié)會(huì)和中注協(xié)抽調(diào)信息系統(tǒng)審計(jì)規(guī)范制定的資源，成立類似ISACA的信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)（劉杰、黃忠莉，2013）。從中注協(xié)、國家審計(jì)署和中國內(nèi)部審計(jì)協(xié)會(huì)抽調(diào)信息系統(tǒng)審計(jì)規(guī)范制定資源能在一定程度上滿足審計(jì)規(guī)范制定的需要，但距離制定一個(gè)相對較為完善的信息系統(tǒng)審計(jì)規(guī)范體系還是遠(yuǎn)遠(yuǎn)不夠的，這還需要信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)吸引外部信息系統(tǒng)審計(jì)人才，尤其是參與制定ISACA信息系統(tǒng)審計(jì)規(guī)范的人才。

2.整合現(xiàn)有與信息系統(tǒng)審計(jì)相關(guān)的規(guī)范，同時(shí)借鑒國外信息系統(tǒng)審計(jì)準(zhǔn)則和國內(nèi)先進(jìn)的信息系統(tǒng)審計(jì)實(shí)踐經(jīng)驗(yàn)，制定與發(fā)布適合中國國情的信息系統(tǒng)審計(jì)規(guī)范。

制定機(jī)構(gòu)發(fā)布的信息系統(tǒng)審計(jì)規(guī)范應(yīng)包括兩個(gè)方面，即一方面發(fā)布用于指導(dǎo)信息系統(tǒng)審計(jì)人員的信息系統(tǒng)審計(jì)準(zhǔn)則，另一方面發(fā)布用于指導(dǎo)企事業(yè)單位和政府組織內(nèi)部管理人員或高級審計(jì)人員的信息系統(tǒng)審計(jì)準(zhǔn)則。此外，我國在信息系統(tǒng)審計(jì)規(guī)范體系的構(gòu)建方面，應(yīng)當(dāng)按照信息系統(tǒng)審計(jì)職業(yè)道德規(guī)范、信息系統(tǒng)審計(jì)準(zhǔn)則和信息系統(tǒng)審計(jì)質(zhì)量控制準(zhǔn)則的架構(gòu)構(gòu)建信息系統(tǒng)審計(jì)規(guī)范體系，以規(guī)避信息系統(tǒng)審計(jì)制定質(zhì)量控制準(zhǔn)則的弊端。

作者單位：貴州財(cái)經(jīng)大學(xué)會(huì)計(jì)學(xué)院

1.IAPS1001, IT Enviroments—Stand-alone Personal Computers [Z]．IFAC，2001．

2.IAPS1002, IT Enviroments—On-line Computer Systems [Z]．IFAC，2001．

3.IAPS1003, IT Enviroments—Database Systems [Z]．IFAC，2001．

4.IAPS1008, Risk Assessments and Internal Control—CIS Characteristics and Considerations [Z]．IFAC, 2001．

5.IAPS1009，Computer-Assisted Audit Techniques [Z]．IFAC, 2001．

6.ISA401Auditing in a Computer Information Systems Evironment[Z]．IFAC．1994

7.IIA．Data Processing Audit Practices Report, Systems Auditability & Control [R]．Institute of Internal Auditors, Altamonte Springs, FL., 1977．

8.張毅．電算化會(huì)計(jì)信息系統(tǒng)的審計(jì).財(cái)經(jīng)研究.1989（05）

9.劉汝焯等編著．計(jì)算機(jī)審計(jì)情景案例.清華大學(xué)出版社.2006

10.陳婉玲，楊文杰．ISACA信息系統(tǒng)審計(jì)準(zhǔn)則及其啟示.審計(jì)研究.2006年增刊

11.劉杰，黃忠莉．中國信息系統(tǒng)審計(jì)規(guī)范制定的組織際資源整合問題研究.財(cái)會(huì)朋刊.2013（14）