新形勢(shì)下我國審計(jì)信息化建設(shè)分析

趙興宇

摘 要：審計(jì)信息化將審計(jì)概念從傳統(tǒng)的會(huì)計(jì)和財(cái)務(wù)范圍擴(kuò)展到組織信息管理系統(tǒng)。信息代表了需要有效管理的資源，使信息技術(shù)在審計(jì)工作中得到廣泛應(yīng)用。在新形勢(shì)背景下，對(duì)我國審計(jì)信息化建設(shè)的現(xiàn)狀進(jìn)行了分析，并提出了相應(yīng)的改進(jìn)措施，以促進(jìn)我國審計(jì)信息化建設(shè)的進(jìn)一步發(fā)展。

關(guān)鍵詞：審計(jì)；信息化；新形勢(shì)

文章編號(hào)：1004-7026（2018）14-0098-02 中國圖書分類號(hào)：F239.1 文獻(xiàn)標(biāo)志碼：A

信息化審計(jì)方法主要集中在識(shí)別正式信息資源（IR）上。后來的方法包括組織分析和信息流的映射。這為組織信息系統(tǒng)內(nèi)的分析提供了背景，并為其IR提供了一個(gè)全面的視圖，因此可以促進(jìn)信息系統(tǒng)體系結(jié)構(gòu)（ISA）的發(fā)展。

1 審計(jì)信息化的定義

審計(jì)信息化尚未得到學(xué)術(shù)界的普遍認(rèn)同，但是ASLIB提供的定義得到了一些著名學(xué)者的積極支持，包括Henczel，Orna和Wood：“審計(jì)信息化系統(tǒng)地檢查信息使用、資源和流量，并通過參考人員和現(xiàn)有文件進(jìn)行驗(yàn)證，以確定它們?yōu)榻M織目標(biāo)做出貢獻(xiàn)的程度。”審計(jì)這一術(shù)語本身意味著計(jì)算，內(nèi)部審計(jì)與其他內(nèi)容大致相同。

2 審計(jì)信息化的功能和范圍

審計(jì)信息化的內(nèi)容主要包括以下幾個(gè)方面：識(shí)別組織的信息資源；識(shí)別組織的信息需求。

此外，審計(jì)信息化還必須達(dá)到以下額外目標(biāo)：確定信息資源的成本、收益；找出利用信息資源實(shí)現(xiàn)戰(zhàn)略競(jìng)爭(zhēng)優(yōu)勢(shì)的機(jī)會(huì)；將IT投資與戰(zhàn)略業(yè)務(wù)舉措整合；識(shí)別信息流和過程；制定綜合信息戰(zhàn)略或政策；為了了解信息資源管理（IRM）的重要性，監(jiān)督、評(píng)估與信息相關(guān)的標(biāo)準(zhǔn)、法規(guī)、政策和指導(dǎo)方針的一致性[1]。

信息審計(jì)與財(cái)務(wù)報(bào)表審計(jì)不同。雖然財(cái)務(wù)審計(jì)的目的是評(píng)估財(cái)務(wù)報(bào)表是否在所有重大方面公平地反映實(shí)際的財(cái)務(wù)狀況、經(jīng)營成果和符合標(biāo)準(zhǔn)會(huì)計(jì)慣例的現(xiàn)金流量，但信息審計(jì)的目的是評(píng)估系統(tǒng)內(nèi)部控制設(shè)計(jì)和有效性。這包括但不限于效率和安全協(xié)議，開發(fā)流程以及信息治理或監(jiān)督。安裝控件是必要的，但不足以提供足夠的安全性。負(fù)責(zé)審計(jì)安全的人員必須考慮控制措施是否按預(yù)期安裝，是否有效，是否存在違反安全的情況，如果有的話，可以采取哪些措施來防止未來的違規(guī)行為。這些查詢必須由獨(dú)立監(jiān)管人員負(fù)責(zé)。這些監(jiān)管人員執(zhí)行信息系統(tǒng)審計(jì)任務(wù)。在信息系統(tǒng)（IS）環(huán)境中，審計(jì)是對(duì)信息系統(tǒng)輸入、輸出和處理的檢查。信息審計(jì)的主要功能是評(píng)估現(xiàn)有系統(tǒng)來保護(hù)組織的信息。具體而言，信息技術(shù)審計(jì)是用于評(píng)估組織保護(hù)其信息資產(chǎn)并向授權(quán)方適當(dāng)分發(fā)信息的能力。信息審計(jì)旨在評(píng)估以下內(nèi)容：必要時(shí)，組織的計(jì)算機(jī)系統(tǒng)是否可以隨時(shí)用于業(yè)務(wù)（稱為可用性）；系統(tǒng)中的信息是否只向授權(quán)用戶披露（稱為安全性和機(jī)密性）；系統(tǒng)提供的信息是否始終準(zhǔn)確、可靠和及時(shí)（衡量誠信）；通過這種方式，審計(jì)希望能夠評(píng)估公司寶貴資產(chǎn)（其信息）的風(fēng)險(xiǎn)，并建立最小化這些風(fēng)險(xiǎn)的方法。信息審計(jì)也稱為信息系統(tǒng)審計(jì)、ADP審計(jì)、EDP審計(jì)或計(jì)算機(jī)審計(jì)[2]。

3 信息審計(jì)和知識(shí)審計(jì)的發(fā)展

近年來，自從自上而下的方法論發(fā)展以來，內(nèi)部審計(jì)已被用作開發(fā)知識(shí)審計(jì)的基礎(chǔ)，而知識(shí)審計(jì)本身又反過來對(duì)組織的知識(shí)管理戰(zhàn)略做出貢獻(xiàn)。一旦完成，信息審計(jì)允許檢查知識(shí)產(chǎn)生的地方，可能需要進(jìn)一步的投入以及需要知識(shí)轉(zhuǎn)移的地方。此外，這一分析還制定了知識(shí)獲取、存儲(chǔ)、傳播和驗(yàn)證戰(zhàn)略。與內(nèi)部審計(jì)不同，知識(shí)審計(jì)的目標(biāo)是確定任何與人們相關(guān)的問題，這些問題會(huì)影響知識(shí)的創(chuàng)建、轉(zhuǎn)移和共享方式，并確定知識(shí)在何處被捕獲，然后確定最佳方式承擔(dān)知識(shí)轉(zhuǎn)移的作用。然而，可以注意到知識(shí)和信息審計(jì)方法之間的相似之處，因?yàn)閱柧?、庫存的發(fā)展，流量分析和數(shù)據(jù)圖在這里再次使用。因此，這次審計(jì)的重要性在于了解組織知識(shí)資產(chǎn)的戰(zhàn)略意義，以確保管理層專注于那些特別需要的領(lǐng)域[3]。

4 信息化審計(jì)的類型

4.1 技術(shù)創(chuàng)新過程審計(jì)

此審計(jì)為現(xiàn)有和新項(xiàng)目構(gòu)建風(fēng)險(xiǎn)概況。審核將評(píng)估公司在選定技術(shù)方面的經(jīng)驗(yàn)，以及它在相關(guān)市場(chǎng)的存在，每個(gè)項(xiàng)目的組織結(jié)構(gòu)以及涉及該項(xiàng)目或產(chǎn)品，組織行業(yè)部分的結(jié)構(gòu)和產(chǎn)業(yè)結(jié)構(gòu)。

4.2 創(chuàng)新的比較審計(jì)

與其競(jìng)爭(zhēng)對(duì)手相比，這種類型的審計(jì)分析為審計(jì)公司的創(chuàng)新能力。這需要對(duì)公司的研發(fā)設(shè)施進(jìn)行審查，以及在實(shí)際生產(chǎn)新產(chǎn)品方面的良好記錄。

4.3 技術(shù)狀況審計(jì)

這項(xiàng)審計(jì)審查企業(yè)目前擁有的和需要添加的技術(shù)。技術(shù)的特點(diǎn)是“基礎(chǔ)”“關(guān)鍵”及“創(chuàng)新”。

學(xué)術(shù)界用5類審計(jì)來描述信息審計(jì)的范圍：①系統(tǒng)和應(yīng)用程序：驗(yàn)證系統(tǒng)和應(yīng)用程序是否合適、效率高且受到充分控制，以確保在系統(tǒng)活動(dòng)的各個(gè)級(jí)別進(jìn)行有效、可靠、及時(shí)且安全的輸入、處理和輸出。系統(tǒng)和流程保證審計(jì)構(gòu)成一個(gè)子類型，側(cè)重于以業(yè)務(wù)流程為中心的業(yè)務(wù)IT系統(tǒng)。這種審計(jì)的目標(biāo)是協(xié)助財(cái)務(wù)審計(jì)員。②信息處理設(shè)施：進(jìn)行審核以驗(yàn)證處理設(shè)施是否受到控制，確保在正常和潛在破壞性條件下及時(shí)、準(zhǔn)確和高效地處理應(yīng)用程序。③系統(tǒng)開發(fā)：進(jìn)行審核以驗(yàn)證正在開發(fā)的系統(tǒng)是否符合組織的目標(biāo)，并確保系統(tǒng)是根據(jù)公認(rèn)的系統(tǒng)開發(fā)標(biāo)準(zhǔn)開發(fā)的。④企業(yè)架構(gòu)的管理：用于驗(yàn)證信息管理層是否制定了組織結(jié)構(gòu)和程序，以確保信息處理的受控和高效的環(huán)境。⑤客戶端、服務(wù)器、電信、內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)：用于驗(yàn)證客戶端（計(jì)算機(jī)接收服務(wù)），服務(wù)器以及連接客戶端和服務(wù)器網(wǎng)絡(luò)上的電信控制措施的審計(jì)。

有些信息審計(jì)工作包含以下兩種類型之一：“總體控制審查”審計(jì)或“應(yīng)用控制審查”審計(jì)。

來自信息保障領(lǐng)域的許多信息審計(jì)專家認(rèn)為，無論要執(zhí)行的審計(jì)類型如何，都有3種基本類型的控制，特別是在信息技術(shù)領(lǐng)域。許多框架和標(biāo)準(zhǔn)試圖將控制分解成不同的學(xué)科或領(lǐng)域，稱其為“安全控制”“訪問控制”“IA控制”，以確定涉及的控制類型。在更基礎(chǔ)的層面上，這些控制可以表現(xiàn)為由3種基本控制組成：保護(hù)、預(yù)防控制，偵測(cè)控制和反應(yīng)、糾正控制。

在信息系統(tǒng)中，有兩種類型的審計(jì)：內(nèi)部和外部。信息系統(tǒng)審計(jì)通常是會(huì)計(jì)內(nèi)部審計(jì)的一部分，通常由企業(yè)內(nèi)部審計(jì)師執(zhí)行。外部審計(jì)師審查內(nèi)部審計(jì)的結(jié)果以及信息系統(tǒng)的輸入、處理和輸出。信息系統(tǒng)的外部審計(jì)通常是由注冊(cè)會(huì)計(jì)師（CPA）公司執(zhí)行的整體外部審計(jì)的一部分。

5 審計(jì)信息化建設(shè)的過程

以下是執(zhí)行信息技術(shù)審計(jì)流程的基本步驟：規(guī)劃IN；學(xué)習(xí)和評(píng)估控制；測(cè)試和評(píng)估控制；報(bào)告；跟進(jìn)。

審計(jì)信息安全是任何信息審計(jì)的重要組成部分，通常被認(rèn)為是信息審計(jì)的主要目的。 審計(jì)信息安全的范圍包括數(shù)據(jù)中心（數(shù)據(jù)中心的物理安全性以及數(shù)據(jù)庫、服務(wù)器和網(wǎng)絡(luò)基礎(chǔ)設(shè)施組件的邏輯安全性）、網(wǎng)絡(luò)和應(yīng)用安全等主題。像大多數(shù)技術(shù)領(lǐng)域一樣，這些主題總是在不斷演變。信息審計(jì)人員必須不斷拓展對(duì)公司系統(tǒng)和環(huán)境的理解。

6 結(jié)束語

審計(jì)信息化的概念形成于20世紀(jì)60年代中期。從那時(shí)起，信息審計(jì)經(jīng)歷了許多變化，主要是由于技術(shù)進(jìn)步和技術(shù)融入業(yè)務(wù)。對(duì)于審計(jì)業(yè)務(wù)，信息技術(shù)扮演著重要角色，包括應(yīng)用工作流程、使用應(yīng)用程序控制，或者實(shí)施ERP應(yīng)用程序以便于使用組織應(yīng)用程序。據(jù)此，審計(jì)信息化建設(shè)的重要性不斷提高。審計(jì)信息化建設(shè)的最重要功能之一是對(duì)關(guān)鍵系統(tǒng)進(jìn)行審計(jì)，以支持財(cái)務(wù)審計(jì)或支持所公布的具體規(guī)定。

參考文獻(xiàn)：

[1]金凌云.加強(qiáng)我國審計(jì)信息化建設(shè)的若干思考[J].中國管理信息化，2016（9）：59.

[2]丘君.審計(jì)信息化建設(shè)中存在的問題及其對(duì)策[J].企業(yè)改革與管理，2017（7）：122.

[3]張雪艷.審計(jì)信息化發(fā)展進(jìn)程中的問題與對(duì)策研究[J].知識(shí)經(jīng)濟(jì)，2017（13）：36-37.