確定財務(wù)報表審計中對信息系統(tǒng)的審計范圍

編者按在信息化環(huán)境下，企業(yè)運用信息技術(shù)編制財務(wù)報表，設(shè)計和執(zhí)行內(nèi)部控制。注冊會計師在對企業(yè)的財務(wù)報表進行審計時，必須考慮信息技術(shù)的影響。同時，信息化也對注冊會計師的審計技術(shù)和方法帶來革命性變化。為了幫助注冊會計師應(yīng)對信息化帶來的挑戰(zhàn)，中國注冊會計師協(xié)會資助普華永道中天會計師事務(wù)所研究編寫了《信息系統(tǒng)環(huán)境下的財務(wù)報表審計》一書，即將出版。本刊約請作者加以摘編，分期連載，以饗讀者。

了解信息技術(shù)環(huán)境及與財務(wù)報告有關(guān)的信息系統(tǒng)，屬于審計計劃的開始和準(zhǔn)備階段，這些工作對于審計范圍及計劃的確定有著至關(guān)重要的作用。在了解了信息技術(shù)環(huán)境及與財務(wù)報告有關(guān)的信息系統(tǒng)、系統(tǒng)相關(guān)風(fēng)險及應(yīng)對體系之后，注冊會計師對被審計單位信息系統(tǒng)的使用、風(fēng)險和管理應(yīng)對有了一個基本的認(rèn)識，就可以正式進行審計范圍的規(guī)劃工作了。

圖1 業(yè)務(wù)層面信息系統(tǒng)審計范圍確定步驟

一、確定信息系統(tǒng)審計范圍的方法

審計范圍是根據(jù)被審計對象的重大錯報風(fēng)險及應(yīng)對而產(chǎn)生的。因此，注冊會計師需要考慮被審計單位財務(wù)報表重大錯報風(fēng)險相關(guān)的信息系統(tǒng)風(fēng)險及應(yīng)對，對其應(yīng)對體系進行評價和驗證，從而確保相關(guān)的風(fēng)險能被合理的應(yīng)對。

根據(jù)《中國注冊會計師審計準(zhǔn)則第1211號——通過了解被審計單位及其環(huán)境識別和評估重大錯報風(fēng)險》的要求，不管是否執(zhí)行信息系統(tǒng)審計程序，注冊會計師都需要對被審計單位的信息系統(tǒng)整體環(huán)境進行了解。也就是說，信息系統(tǒng)整體環(huán)境的了解是注冊會計師必須完成的內(nèi)容，無關(guān)乎范圍的選擇。本文主要從業(yè)務(wù)層面和基礎(chǔ)層面討論審計范圍的確定。

（一）業(yè)務(wù)層面信息系統(tǒng)審計范圍的確定方法

信息系統(tǒng)審計是財務(wù)報表審計不可分割的重要組成部分，因此信息系統(tǒng)審計范圍的確定也是從財務(wù)報表審計的需要出發(fā)，信息系統(tǒng)審計范圍的確定是隨著整體審計范圍的確定而確定的。一般而言，確定業(yè)務(wù)層面信息系統(tǒng)的審計范圍大致分為以下幾步（如圖1所示）：

1. 確定重要的財務(wù)報表科目、組成部分、重大披露；

2. 確定財務(wù)報表審計中的重要業(yè)務(wù)流程和交易；

3. 識別相關(guān)業(yè)務(wù)流程和交易的潛在錯報風(fēng)險來源；

4. 確定應(yīng)對所識別風(fēng)險的系統(tǒng)應(yīng)用控制和數(shù)據(jù)，即重要業(yè)務(wù)流程和交易中的信息系統(tǒng)依賴，這些信息系統(tǒng)依賴即信息系統(tǒng)審計的審計原始范圍。

需要說明的是，通過以上步驟識別出的信息系統(tǒng)依賴領(lǐng)域只是說明了這些信息系統(tǒng)相關(guān)的依賴與財務(wù)報表審計具有強相關(guān)性。這些內(nèi)容是否會納入最后的信息系統(tǒng)審計工作，還需要根據(jù)財務(wù)報表審計的總體審計策略的選擇和對系統(tǒng)的擬依賴程度進行規(guī)劃才能確定。

舉例來說，假設(shè)銷售收入被確定為重要的財務(wù)報表科目，銷售流程被確定為重大流程納入審計范圍。在進行銷售流程控制活動審計范圍規(guī)劃的過程中，注冊會計師需要對銷售流程進行端到端的了解，識別整個流程中潛在錯報的可能來源及應(yīng)對風(fēng)險的內(nèi)部控制活動，進而根據(jù)財務(wù)報表總體審計策略，即銷售收入的重大錯報風(fēng)險及審計應(yīng)對措施（包括實施控制測試和實質(zhì)性程序），確定需要納入審計范圍的信息系統(tǒng)依賴，包括業(yè)務(wù)層面的自動控制活動、用于支持人工控制的系統(tǒng)生成報表和數(shù)據(jù)、自動計算、訪問控制、系統(tǒng)自動接口。這些應(yīng)用控制和數(shù)據(jù)就與該被審計單位的信息系統(tǒng)審計具有強相關(guān)性。

至此，注冊會計師可以識別和初步確認(rèn)信息系統(tǒng)審計的范圍基礎(chǔ)。我們可以用一個表格來概括規(guī)劃至該步驟后，注冊會計師需要整理出的財務(wù)報表錯報風(fēng)險與系統(tǒng)應(yīng)對的一個對應(yīng)關(guān)系表（如表1所示）。我們在此僅列出了這個表格的幾個關(guān)鍵要素，注冊會計師可以根據(jù)實際情況豐富該表格的內(nèi)容便于審計范圍的規(guī)劃。該表格是后續(xù)審計范圍確定的原始來源，其中D列和E列將構(gòu)成系統(tǒng)審計范圍確定的基礎(chǔ)：D列為業(yè)務(wù)層面的系統(tǒng)依賴領(lǐng)域，即應(yīng)用控制及數(shù)據(jù)；E列為系統(tǒng)一般控制可能涉及的系統(tǒng)清單。

上述分析對于注冊會計師進行系統(tǒng)審計范圍的確定至關(guān)重要，在審計項目的計劃階段建議由資深審計人員對被審計單位進行初步了解后進行詳細(xì)評估并進行記錄，并由項目負(fù)責(zé)人復(fù)核，以便于下一步審計范圍的確定。

通過該表格分析，注冊會計師可以得出與本次財務(wù)報表審計相關(guān)的信息系統(tǒng)清單（E列），該清單是后續(xù)確定納入審計范圍的信息系統(tǒng)的基礎(chǔ)及來源。

需要再次強調(diào)的是，信息系統(tǒng)審計范圍需要與財務(wù)審計整體范圍統(tǒng)籌全盤考慮，要避免閉門造車，孤立地進行信息系統(tǒng)審計范圍的確定。我們始終要記住，信息系統(tǒng)審計是為了支持財務(wù)報表整體審計，信息系統(tǒng)審計是財務(wù)審計的一個重要的有機組成部分，信息系統(tǒng)審計范圍的確定是財務(wù)報表審計整體策略的有機組成。

（二）信息系統(tǒng)一般控制審計范圍的確定方法

上述與財務(wù)報表審計具有相關(guān)性的信息系統(tǒng)依賴是屬于業(yè)務(wù)層面的系統(tǒng)依賴，即企業(yè)在各個業(yè)務(wù)流程中所涉及到的應(yīng)用控制及數(shù)據(jù)。為了支撐這些應(yīng)用控制和數(shù)據(jù)，注冊會計師通常需要對支持這些依賴的系統(tǒng)基礎(chǔ)控制，即信息系統(tǒng)一般控制進行審計工作，來保證建立其上的應(yīng)用控制和數(shù)據(jù)可以持續(xù)有效的對財務(wù)報表進行支撐。

表1 信息系統(tǒng)依賴點清單

表2 信息系統(tǒng)一般控制審計適用領(lǐng)域匹配表

表3 不同審計策略下對IT的依賴程度及對應(yīng)的IT審計內(nèi)容

滬深兩市A股上市?？刂企w系包含了程序建設(shè)、程序變更、計算機運維、程序及數(shù)據(jù)的訪問四個領(lǐng)域。我們是否要對每一個領(lǐng)域進行全面審計呢？答案是不一定的。

在選定需要測試的信息系統(tǒng)一般控制時，注冊會計師首先要評估分析被審計單位的由于使用信息技術(shù)導(dǎo)致的風(fēng)險，將相關(guān)風(fēng)險與信息系統(tǒng)一般控制進行一一對應(yīng)，注冊會計師需要選擇與被審計單位特定信息技術(shù)風(fēng)險相關(guān)的領(lǐng)域進行審計。

在進行信息系統(tǒng)風(fēng)險評估的過程中要保持職業(yè)謹(jǐn)慎性，對于判斷為不相關(guān)風(fēng)險而不進行測試的環(huán)節(jié)要做出充分的評估和說明，并詳細(xì)記錄不相關(guān)的理由和判斷依據(jù)，并不將該部分控制包括在審計范圍中。

舉例來說，某制造企業(yè)在20×6年財務(wù)報表審計過程中，注冊會計師確定生產(chǎn)及成本循環(huán)為重大業(yè)務(wù)循環(huán)，注冊會計師擬依賴企業(yè)使用的Oracle系統(tǒng)進行的成本歸集和分?jǐn)?，以及若干張系統(tǒng)生成的報表。

注冊會計師通過對企業(yè)信息系統(tǒng)環(huán)境的了解以及現(xiàn)場確認(rèn)，該企業(yè)使用的Oracle信息系統(tǒng)在該審計年度運行穩(wěn)定，沒有進行過大的開發(fā)活動，僅進行過零星的報表變更和錯誤修復(fù)。

在此背景下，注冊會計師在信息系統(tǒng)一般控制審計范圍確定的過程中，可以根據(jù)對被審計單位相關(guān)信息技術(shù)導(dǎo)致的風(fēng)險的評估，謹(jǐn)慎剔除與該被審計單位不相關(guān)的信息技術(shù)導(dǎo)致的風(fēng)險。在本例中，注冊會計師判斷程序建設(shè)領(lǐng)域在該審計年度與被審計單位不相關(guān)，因此決定不將程序建設(shè)領(lǐng)域的相關(guān)控制納入審計范圍。

至此，注冊會計師需要整理出一個系統(tǒng)清單及一般控制領(lǐng)域的對應(yīng)關(guān)系表（如表2所示）。

需要特別注意的是，信息系統(tǒng)一般控制是一個完整的體系，各個領(lǐng)域之間具有一定的相關(guān)性，各個領(lǐng)域相互作用才能對信息系統(tǒng)的有效運轉(zhuǎn)提供體系化的保證。因此，注冊會計師在判斷某一個領(lǐng)域或者某個領(lǐng)域的某一個控制環(huán)節(jié)與被審計單位不相關(guān)時，一定要保持職業(yè)懷疑態(tài)度和謹(jǐn)慎性，才能做出合理的判斷。同時，對于相關(guān)風(fēng)險的判斷需要與時俱進，在每次執(zhí)行審計工作前，需要對風(fēng)險進行重新評估和判斷，以識別被審計單位環(huán)境和控制的變化而導(dǎo)致的風(fēng)險變化，以保證審計工作能夠符合被審計單位當(dāng)時的環(huán)境和背景要求。

二、在總體審計策略中確定對信息系統(tǒng)的依賴程度

通過利用信息系統(tǒng)審計范圍確定的方法，注冊會計師可以進一步判定與本次財務(wù)報表審計相關(guān)的信息系統(tǒng)審計在業(yè)務(wù)層面和基礎(chǔ)層面的范圍基礎(chǔ)。但是，經(jīng)過這個步驟之后，注冊會計師得到的只是財務(wù)報表相關(guān)的信息系統(tǒng)依賴領(lǐng)域，即審計范圍基礎(chǔ)。在接下來的審計計劃中，注冊會計師是否需要對這些依賴領(lǐng)域執(zhí)行審計工作，以及對哪些依賴領(lǐng)域執(zhí)行審計工作還需要考慮總體審計策略中重要的一環(huán)，即確定總體審計策略中對信息系統(tǒng)的依賴程度。

對于同一個被審計單位而言，審計策略中對控制的依賴程度不同，將直接決定信息系統(tǒng)依賴程度的不同，進而導(dǎo)致信息系統(tǒng)審計工作的范圍、性質(zhì)和方法的差異。

根據(jù)《中國注冊會計師審計準(zhǔn)則第1211號——通過了解被審計單位及其環(huán)境識別和評估重大錯報風(fēng)險》的要求，不管總體審計策略是否選擇依賴控制來獲取審計信息，注冊會計師都需要對企業(yè)內(nèi)部控制，包括信息技術(shù)整體控制環(huán)境進行了解和評估。

如果注冊會計師根據(jù)了解和評估的結(jié)果，決定控制無效而不依賴控制?；蛘咦詴嫀煕Q定實施實質(zhì)性測試更有效而不依賴控制。在這兩種情況下，注冊會計師僅需要對信息系統(tǒng)整體控制環(huán)境進行了解和評估，而不需要進一步實施審計程序，因此，該財務(wù)報表審計策略下，對信息系統(tǒng)的依賴程度是最低的。

如果總體審計策略決定依賴控制活動，則根據(jù)依賴的控制活動類型不同，進而造成對信息系統(tǒng)依賴的程度不同：

1.總體審計策略決定依賴人工控制，且這些人工控制不依賴信息系統(tǒng)產(chǎn)生的報表和數(shù)據(jù)，即財務(wù)報表審計中不依賴系統(tǒng)的控制或數(shù)據(jù)。顯然，這種審計策略下，注冊會計師不需要進行信息系統(tǒng)一般控制和應(yīng)用控制審計。這種情況審計對信息系統(tǒng)依賴程度和審計策略選擇不依賴控制一樣。

2.總體審計策略決定依賴人工控制，但是這些人工控制依賴于信息系統(tǒng)產(chǎn)生的報表和數(shù)據(jù)，即財務(wù)報表審計中依賴信息系統(tǒng)的相關(guān)數(shù)據(jù)/報表。這種情況下，注冊會計師應(yīng)當(dāng)評估在人工控制中所使用到的數(shù)據(jù)或報表的可靠性。

此時，擬獲取的審計證據(jù)要根據(jù)注冊會計師的職業(yè)判斷，同時考慮：

（1）該人工控制對審計工作的重要性 ；

（2）該人工控制中使用的數(shù)據(jù)/報表的性質(zhì)和來源 ；

（3）可獲取的用于支持?jǐn)?shù)據(jù)/報表在整個審計期間可靠性的證據(jù)類型（支持控制測試還是實質(zhì)性測試，或兼而有之）。

數(shù)據(jù)或報表的可靠性通?？梢酝ㄟ^實質(zhì)性測試或驗證管理層是如何核對系統(tǒng)生成的數(shù)據(jù)/報表和可靠獨立來源的數(shù)據(jù)的一致性。但是在某些情況下，仍然有必要測試相關(guān)的自動應(yīng)用控制和/或信息系統(tǒng)一般控制。

3.總體審計策略決定依賴自動應(yīng)用控制和人工控制，顯而易見，在這種情況下 ，信息系統(tǒng)自動應(yīng)用控制和人工控制構(gòu)成了財務(wù)報表審計的信息系統(tǒng)依賴領(lǐng)域，注冊會計師應(yīng)該對系統(tǒng)自動應(yīng)用控制和相關(guān)信息系統(tǒng)的一般控制進行有效性測試。這種情況下，財務(wù)報表審計對信息系統(tǒng)的依賴程度是最高的。

表3列示了以上幾種審計策略下，對信息系統(tǒng)的不同依賴程度及對應(yīng)的信息系統(tǒng)審計內(nèi)容要素。

在厘定了審計策略中對信息系統(tǒng)的依賴程度之后，就可以回答需不需要在財務(wù)報表審計中執(zhí)行系統(tǒng)審計程序，如果需要，注冊會計師需要做哪些方面的審計工作這些問題了。

三、需要被納入審計范圍的信息系統(tǒng)

在當(dāng)前互聯(lián)網(wǎng)+和信息技術(shù)高速發(fā)展的時代，企業(yè)使用的信息系統(tǒng)往往不像以往那樣是一個單一的財務(wù)或業(yè)務(wù)系統(tǒng)。企業(yè)對信息技術(shù)的日益依賴也導(dǎo)致信息系統(tǒng)使用的數(shù)量和范圍日益擴大，系統(tǒng)之間的交互日益復(fù)雜。

除了成熟的軟件包系統(tǒng)以外，也有越來越多的公司，特別是互聯(lián)網(wǎng)公司，使用自行開發(fā)的系統(tǒng)來滿足各自不同的業(yè)務(wù)需求。這些自行開發(fā)的系統(tǒng)與成熟軟件包不同，它們都不屬于標(biāo)準(zhǔn)化系統(tǒng)，具有不同于標(biāo)準(zhǔn)化系統(tǒng)的功能模塊和系統(tǒng)架構(gòu)。自行開發(fā)的系統(tǒng)與成熟軟件系統(tǒng)相比，對于企業(yè)來說具有更多的靈活性和適應(yīng)性，因此每個公司使用的自行開發(fā)系統(tǒng)會千差萬別，對注冊會計師的審計工作提出了更多的挑戰(zhàn)。

那么是否企業(yè)使用的所有信息系統(tǒng)都應(yīng)該納入財務(wù)報表審計中的信息系統(tǒng)審計范圍呢？如果不是，哪些系統(tǒng)應(yīng)該納入我們的審計范圍呢？我們該如何考慮？

經(jīng)過前面的論述之后，我們很容易可以得出以下結(jié)論：

首先，對信息系統(tǒng)執(zhí)行審計的目的是為了支持財務(wù)報表審計，所以與財務(wù)報表相關(guān)的信息系統(tǒng)是納入信息系統(tǒng)審計的范圍前提和先決條件。即該信息系統(tǒng)的使用對財務(wù)報表認(rèn)定有直接或間接的影響。

例如，企業(yè)的辦公門戶系統(tǒng)，該系統(tǒng)進行規(guī)章制度的上傳下達(dá)、內(nèi)部消息傳遞等，但是公司有關(guān)投資和設(shè)備重大采購的審批流程并不在該OA系統(tǒng)上，則該系統(tǒng)的使用與財務(wù)報表的各項認(rèn)定正確與否沒有相關(guān)性，因此，這樣的系統(tǒng)理論上一般就不需要納入信息系統(tǒng)審計范圍。需要注意的是，如今的企業(yè)OA除了承載消息傳遞以外，可能還承載了部分的投資、采購及費用報銷等功能，如果這些環(huán)節(jié)與財務(wù)報表具有重大相關(guān)性，則此情設(shè)下的OA系統(tǒng)就需要考慮納入系統(tǒng)審計范圍。

那么是否與財務(wù)報表相關(guān)的信息系統(tǒng)就一定會被納入信息系統(tǒng)審計的范圍呢？

答案是不一定。納入信息系統(tǒng)審計范圍的系統(tǒng)除了需要滿足和財務(wù)報表相關(guān)以外，還需要考慮總體審計策略中的重要性和注冊會計師對內(nèi)部控制及系統(tǒng)的依賴程度。如果財務(wù)報表審計整體策略決定該信息系統(tǒng)支持的業(yè)務(wù)流程以及相關(guān)的財務(wù)報表科目不重要?；蛘咦詴嫀熣J(rèn)為采用替代的審計策略和方法，例如實施實質(zhì)性測試程序，能更為有效或易于實現(xiàn)，所以決定不依賴信息系統(tǒng)相關(guān)的應(yīng)用控制。在這種情形下，我們就不需要進行該信息系統(tǒng)的審計。

例如：企業(yè)使用一個采購系統(tǒng)實現(xiàn)供應(yīng)商采購流程，而采購流程在財務(wù)報表審計中具有重要性，此時理論上采購系統(tǒng)與財務(wù)報表審計是相關(guān)的。但是，如果財務(wù)審計整體策略選擇不依賴采購系統(tǒng)的各個環(huán)節(jié)和控制，而是采用測試人工控制和進行實質(zhì)性測試程序來獲取相應(yīng)的審計信心，則該采購系統(tǒng)也可以不納入信息系統(tǒng)的審計范圍。

綜上所述，納入信息系統(tǒng)審計范圍的系統(tǒng)需要綜合考慮信息系統(tǒng)與財務(wù)報表的相關(guān)性和總體審計策略中擬定的對信息系統(tǒng)的依賴情況而定。即同時滿足以下2個條件的信息系統(tǒng)才需要納入信息系統(tǒng)審計范圍：

1. 與財務(wù)報表重大錯報具有直接或間接相關(guān)性；

2. 總體審計策略擬依賴該系統(tǒng)相關(guān)控制和數(shù)據(jù)。

至此，我們完成了對信息系統(tǒng)審計范圍的規(guī)劃，整個范圍規(guī)劃過程用圖2表示。