基于機(jī)器人流程自動(dòng)化技術(shù)的持續(xù)審計(jì)研究

吳則建 王鵬虎 于威 陳小其

[摘要]本文首先介紹了機(jī)器人流程自動(dòng)化、持續(xù)審計(jì)的內(nèi)涵和特點(diǎn)，并在此基礎(chǔ)上，結(jié)合審計(jì)工作實(shí)踐，對(duì)基于機(jī)器人流程自動(dòng)化技術(shù)的持續(xù)審計(jì)工作進(jìn)行了研究，并且對(duì)持續(xù)審計(jì)的未來發(fā)展情況進(jìn)行了展望。

[關(guān)鍵詞]機(jī)器人流程自動(dòng)化? ?RPA? ?持續(xù)審計(jì)

一、機(jī)器人流程自動(dòng)化

機(jī)器人流程自動(dòng)化（Robotic Process Automation），通常簡稱為RPA，也被稱為軟件機(jī)器人，是一種流程自動(dòng)化軟件工具。RPA是伴隨著業(yè)務(wù)流程管理發(fā)展起來的，業(yè)務(wù)流程管理強(qiáng)調(diào)把企業(yè)經(jīng)營關(guān)注的焦點(diǎn)從產(chǎn)品或服務(wù)等回歸到業(yè)務(wù)本身，以業(yè)務(wù)流程為核心重塑企業(yè)組織的運(yùn)作，在當(dāng)前絕大多數(shù)企業(yè)組織已實(shí)現(xiàn)信息化轉(zhuǎn)型的背景下，在企業(yè)組織將其業(yè)務(wù)流程、關(guān)鍵控制固化在應(yīng)用系統(tǒng)中的前提下，RPA技術(shù)很好地滿足了業(yè)務(wù)流程管理發(fā)展的要求。

2017年，IEEE（電氣和電子工程師協(xié)會(huì)）給出了RPA的定義：“RPA通過軟件技術(shù)來預(yù)定義業(yè)務(wù)規(guī)則以及活動(dòng)編排過程，利用一個(gè)或多個(gè)相互不關(guān)聯(lián)的軟件系統(tǒng)，協(xié)作完成一組流程、活動(dòng)、交易和任務(wù)，需要在人工對(duì)異常情況進(jìn)行管理后交付結(jié)果和服務(wù)?！盜EEE強(qiáng)調(diào)了RPA具有預(yù)定義規(guī)則、活動(dòng)編排、串接不同的系統(tǒng)等主要特征。

RPA具有傳統(tǒng)自動(dòng)化技術(shù)無法比擬的諸多優(yōu)點(diǎn)，如原生具有跨系統(tǒng)、跨平臺(tái)的特征，學(xué)習(xí)曲線低，快速功能集成，研發(fā)周期短等。并且RPA提供非侵入式的系統(tǒng)表層集成方式，其實(shí)現(xiàn)方式更是像最終用戶一樣，通過操作應(yīng)用系統(tǒng)的用戶界面來執(zhí)行任務(wù)，既不需要改變應(yīng)用系統(tǒng)的底層代碼，也不需要更改應(yīng)用系統(tǒng)的服務(wù)或接口，而是通過非侵入式的集成或修復(fù)方式，使得RPA實(shí)施過程對(duì)原有系統(tǒng)影響最小，帶來的風(fēng)險(xiǎn)最小。

二、持續(xù)審計(jì)

（一）持續(xù)審計(jì)的概念

持續(xù)審計(jì)伴隨著信息技術(shù)的發(fā)展而來，是信息技術(shù)與審計(jì)方法融合的結(jié)果。持續(xù)審計(jì)的定義最早是1999年由美國注冊(cè)會(huì)計(jì)師協(xié)會(huì)和加拿大特許會(huì)計(jì)師協(xié)會(huì)給出的，即持續(xù)審計(jì)是一種方法學(xué)，使獨(dú)立審計(jì)人員使用一系列審計(jì)報(bào)告，對(duì)某一事項(xiàng)提供書面鑒證，而且這些審計(jì)報(bào)告是在被審計(jì)事項(xiàng)發(fā)生的同時(shí)或很短一段時(shí)間后發(fā)布的。畢馬威認(rèn)為持續(xù)審計(jì)是在一個(gè)固定時(shí)間內(nèi)、經(jīng)?；虺掷m(xù)用來監(jiān)控信息技術(shù)系統(tǒng)、交易和控制措施的自動(dòng)反饋機(jī)制。

不同研究學(xué)者對(duì)持續(xù)審計(jì)有不同的理解，不同組織的持續(xù)審計(jì)實(shí)施方式也有差異，但持續(xù)審計(jì)的最終目的必然是洞悉內(nèi)控的實(shí)質(zhì)，及時(shí)提供審計(jì)結(jié)果及報(bào)告，及時(shí)滿足利益相關(guān)方要求，滿足利益相關(guān)方對(duì)內(nèi)部控制、組織風(fēng)險(xiǎn)等信息的實(shí)時(shí)掌控需要，從而幫助決策者及時(shí)進(jìn)行改進(jìn)，提高控制風(fēng)險(xiǎn)、把握機(jī)會(huì)的能力。

（二）持續(xù)審計(jì)的特點(diǎn)

近年來隨著組織業(yè)務(wù)流程信息化的完成，持續(xù)審計(jì)的落地實(shí)施具備了更多的可能性。相比于傳統(tǒng)審計(jì)，持續(xù)審計(jì)更多地利用網(wǎng)絡(luò)通信、數(shù)據(jù)分析等信息技術(shù)，除具備傳統(tǒng)審計(jì)的特點(diǎn)外，持續(xù)審計(jì)還具有審計(jì)過程的連續(xù)性、審計(jì)報(bào)告的及時(shí)性、審計(jì)程序的自動(dòng)化、審計(jì)內(nèi)容及時(shí)滿足利益相關(guān)者的期望等優(yōu)點(diǎn)。

（三）持續(xù)審計(jì)的主要技術(shù)、方法

1.主要技術(shù)。持續(xù)審計(jì)技術(shù)主要是基于計(jì)算機(jī)輔助審計(jì)工具與技術(shù)，即CATTs（Computer Aided Tools and Techniques）或CAATTs（Computer Aided Audit Tools and Techniques），它是用來輔助審計(jì)過程、進(jìn)行事務(wù)分析與內(nèi)部控制的工具與技術(shù)的統(tǒng)稱，具體的技術(shù)實(shí)現(xiàn)方式包括智能Agent、XML、XBRL、Web Services等。

2.方法。按照與被審計(jì)系統(tǒng)的耦合程序不同，分為嵌入式和分離式兩種。嵌入式EAM（Embedded Audit Module）是將審計(jì)系統(tǒng)作為被審計(jì)系統(tǒng)運(yùn)行整體的一部分，與被審計(jì)系統(tǒng)共用一套運(yùn)行環(huán)境并且技術(shù)架構(gòu)通常也與被審計(jì)系統(tǒng)保持一致。分離式是將被審計(jì)系統(tǒng)與審計(jì)系統(tǒng)相分離，通過數(shù)據(jù)或接口的交互，實(shí)現(xiàn)系統(tǒng)間功能與數(shù)據(jù)的關(guān)聯(lián)，通常分離式的持續(xù)審計(jì)系統(tǒng)有獨(dú)立的運(yùn)行環(huán)境，有獨(dú)立的數(shù)據(jù)庫和應(yīng)用系統(tǒng)。由于系統(tǒng)系統(tǒng)間的耦合度低，分離式持續(xù)審計(jì)系統(tǒng)對(duì)被審計(jì)系統(tǒng)的影響一般較小。但由于嵌入式審計(jì)系統(tǒng)與被審計(jì)系統(tǒng)深度耦合，因此通常存在模塊通用性差、占用被審計(jì)系統(tǒng)資源、安全管控困難等問題。當(dāng)前各組織普遍使用的如審計(jì)數(shù)據(jù)分析系統(tǒng)、非現(xiàn)場審計(jì)系統(tǒng)等，大都采用分離式架構(gòu)，通過將數(shù)據(jù)集中傳輸、加載至審計(jì)系統(tǒng)后，再應(yīng)用各類數(shù)據(jù)分析方法及模型進(jìn)行分析和測試等。

三、持續(xù)審計(jì)面臨的主要問題

1.數(shù)據(jù)安全性問題。隨著近年來國內(nèi)外企業(yè)事業(yè)單位業(yè)務(wù)流程信息化的完成，絕大多數(shù)的業(yè)務(wù)數(shù)據(jù)都以電子數(shù)據(jù)的形式進(jìn)行傳輸及存儲(chǔ)，絕大多數(shù)的業(yè)務(wù)流程也都以應(yīng)用系統(tǒng)的形式完成，這給持續(xù)數(shù)據(jù)審計(jì)提供了數(shù)據(jù)支持和實(shí)現(xiàn)的可能性，并且隨著企業(yè)級(jí)數(shù)據(jù)庫、數(shù)據(jù)倉庫及數(shù)據(jù)湖的建設(shè)，該部分工作可直接借力企業(yè)信息化成果?；谠撃Ｊ剑M織中的內(nèi)部審計(jì)部門大都建立了非現(xiàn)場審計(jì)等系統(tǒng)，但該部分系統(tǒng)大多只能分析結(jié)構(gòu)化的業(yè)務(wù)數(shù)據(jù)，操作類信息很多沒有落庫記錄，而且由于需要在數(shù)據(jù)庫層面及網(wǎng)絡(luò)層面的交互，該種方式也增加了項(xiàng)目開發(fā)的復(fù)雜性和安全性。同時(shí)由于該種方式需要將大量數(shù)據(jù)集中后才能進(jìn)行分析，隨著近年來對(duì)信息安全方面的要求越來越高，帶來的信息安全問題也日益凸顯。

2.嵌入式持續(xù)審計(jì)模塊難以真正落地實(shí)施。當(dāng)前的持續(xù)審計(jì)大都僅限于基于數(shù)據(jù)的持續(xù)審計(jì)。真正實(shí)現(xiàn)“及時(shí)提供審計(jì)結(jié)果、意見和報(bào)告，以供決策者制定決策或做出改進(jìn)”和“審計(jì)全覆蓋”的持續(xù)審計(jì)目標(biāo)，更多地需要面向內(nèi)部控制和持續(xù)監(jiān)控的持續(xù)審計(jì)，即持續(xù)控制監(jiān)控（簡稱CCM），但該方面的研究及技術(shù)實(shí)施水平仍較低。當(dāng)前實(shí)現(xiàn)CCM的主要技術(shù)手段為嵌入式審計(jì)模塊技術(shù)EAM，但嵌入式的審計(jì)技術(shù)要求在組織全部系統(tǒng)的全生命周期中都必須深度契合，從需求提出到系統(tǒng)設(shè)計(jì)，再到系統(tǒng)研發(fā)、測試、維護(hù)、變更等全流程都必須深入嵌入，增加了項(xiàng)目的工作量、復(fù)雜度，而且一般審計(jì)人員很難提出有效需求，也缺乏全瞻的能力及精力。同時(shí)還存在模塊通用性差、實(shí)用性及靈活性差、變更困難、無法適應(yīng)敏捷需要、對(duì)審計(jì)人員要求過高、可能造成運(yùn)用系統(tǒng)的不穩(wěn)定、負(fù)擔(dān)過大、權(quán)限難以統(tǒng)一管控等問題。

3.持續(xù)審計(jì)難以實(shí)現(xiàn)及時(shí)生成結(jié)果報(bào)告。傳統(tǒng)的審計(jì)模式一般分為確定目標(biāo)、制訂計(jì)劃、實(shí)施審計(jì)、分析評(píng)價(jià)、出具審計(jì)報(bào)告5個(gè)步驟，直到最后階段利益相關(guān)方才能看到審計(jì)報(bào)告，因項(xiàng)目周期長、無法快速滿足利益相關(guān)者的要求等原因，已很難及時(shí)地與組織戰(zhàn)略、目標(biāo)和風(fēng)險(xiǎn)狀況保持一致。但是如何將多個(gè)環(huán)節(jié)，利用信息科技等手段，高效地鏈接起來并且自動(dòng)生成結(jié)果報(bào)告，也一直是持續(xù)審計(jì)的難題。

四、基于機(jī)器人流程自動(dòng)化技術(shù)的持續(xù)審計(jì)

RPA技術(shù)可有效解決當(dāng)前持續(xù)審計(jì)方法面臨的問題，可解決持續(xù)審計(jì)研究面臨的持續(xù)控制監(jiān)控CCM難以落地實(shí)施的痛點(diǎn)，進(jìn)而加強(qiáng)審計(jì)流程的規(guī)范性，提高審計(jì)業(yè)務(wù)處理的準(zhǔn)確性、合規(guī)性和安全性，并及時(shí)提供例外事項(xiàng)甚至審計(jì)報(bào)告。

（一）RPA可提供非侵入式的表層集成持續(xù)審計(jì)方案，可有效解決傳統(tǒng)嵌入式審計(jì)模塊痛點(diǎn)

傳統(tǒng)的嵌入式持續(xù)審計(jì)模塊（系統(tǒng)），若出現(xiàn)審計(jì)需求變化、應(yīng)用系統(tǒng)架構(gòu)調(diào)整等情況，如補(bǔ)充或調(diào)整信息收集的范圍等，就必須通過修改接口或底層程序代碼、數(shù)據(jù)庫的方式完成系統(tǒng)改造，甚至直接替換原有功能。但嵌入式審計(jì)模塊，尤其是運(yùn)用流程（系統(tǒng)）一般功能都較為復(fù)雜，中間經(jīng)歷了多次升級(jí)，已深入企業(yè)的各個(gè)層面，這種方式的改造就會(huì)帶來巨大的實(shí)施風(fēng)險(xiǎn)，不但程序間功能會(huì)相互影響，也會(huì)導(dǎo)致業(yè)務(wù)中斷這種高破壞性的運(yùn)營風(fēng)險(xiǎn)，而且時(shí)間越久、功能越復(fù)雜的系統(tǒng)，升級(jí)改造的風(fēng)險(xiǎn)就越大。

而RPA技術(shù)的非侵入式的實(shí)現(xiàn)方式通過操作應(yīng)用系統(tǒng)的用戶界面來執(zhí)行各類控制測試，既不需要修改應(yīng)用系統(tǒng)的底層代碼，也不需要更改應(yīng)用系統(tǒng)的服務(wù)或接口，而是通過非侵入式的集成和補(bǔ)充，使得RPA實(shí)施過程影響最小、風(fēng)險(xiǎn)最小。該方法可有效解決傳統(tǒng)嵌入式審計(jì)生命周期短、擴(kuò)展性差等問題。

（二）RPA的高敏捷性可有效適應(yīng)敏捷及持續(xù)審計(jì)的需要

RPA項(xiàng)目研發(fā)工具或軟件一般都提供了可視化的自動(dòng)化流程設(shè)計(jì)工具，并且實(shí)施周期也遠(yuǎn)低于傳統(tǒng)的系統(tǒng)改造項(xiàng)目。RPA項(xiàng)目研發(fā)人員只需要少量代碼甚至不需要代碼就可以編制自動(dòng)化腳本，業(yè)務(wù)人員在短期培訓(xùn)后也可以快速上手，而不必依賴于專業(yè)的IT開發(fā)人員，這是傳統(tǒng)審計(jì)方法、傳統(tǒng)信息科技手段很難做到的。面向具體審計(jì)業(yè)務(wù)也是如此，新的控制測試需求，使用RPA實(shí)現(xiàn)不要求審計(jì)人員具備軟件研發(fā)能力，在短期培訓(xùn)后，業(yè)務(wù)人員通常利用可視化的自動(dòng)化流程設(shè)計(jì)工具就可以快速上手，針對(duì)組織內(nèi)的任何系統(tǒng)、數(shù)據(jù)或業(yè)務(wù)流程研發(fā)RPA項(xiàng)目，進(jìn)行控制測試，完成審計(jì)目標(biāo)。

（三）RPA為實(shí)時(shí)生成審計(jì)結(jié)果報(bào)告提供了可能

RPA可提供從審計(jì)目標(biāo)到審計(jì)報(bào)告的全流程解決方案，審計(jì)人員可根據(jù)審計(jì)目標(biāo)將審計(jì)項(xiàng)目按照敏捷審計(jì)的架構(gòu)，將目標(biāo)具體細(xì)化為內(nèi)部控制測試的案例，進(jìn)而通過RPA工具，自動(dòng)對(duì)案例進(jìn)行內(nèi)部控制測試，由于RPA的自動(dòng)化、數(shù)字化特點(diǎn)，控制測試可7*24*365的不間斷執(zhí)行，單個(gè)控制點(diǎn)測試完成后，都可直接及時(shí)生成例外事項(xiàng)報(bào)告。也可將審計(jì)報(bào)告各要素、內(nèi)容進(jìn)行規(guī)范化、格式化梳理后，利用RPA工具自動(dòng)根據(jù)收集及測試的相關(guān)內(nèi)容生成審計(jì)結(jié)果報(bào)告。根據(jù)不同RPA產(chǎn)品的功能，甚至可以生成網(wǎng)頁、視頻、演示文檔等種類的結(jié)果報(bào)告文件格式。

（四）RPA可有效提高審計(jì)質(zhì)量控制水平

1.審計(jì)質(zhì)量控制方面。RPA可以自動(dòng)化地執(zhí)行固定審計(jì)流程，可通過對(duì)各類異常事項(xiàng)的監(jiān)控實(shí)現(xiàn)對(duì)關(guān)鍵控制的測試，并且執(zhí)行及監(jiān)控的過程均可實(shí)現(xiàn)全程可追溯。盡管大多數(shù)組織已有非常嚴(yán)密的審計(jì)人員操作規(guī)范，但審計(jì)人員在具體的審計(jì)項(xiàng)目中，也經(jīng)常會(huì)出現(xiàn)步驟遺失或順序錯(cuò)誤等類似問題，質(zhì)量控制人員很難用傳統(tǒng)方式進(jìn)行監(jiān)督。而利用RPA技術(shù)完成控制點(diǎn)測試的任務(wù)后，RPA會(huì)嚴(yán)格按照既定設(shè)計(jì)步驟執(zhí)行，這些步驟能很好地展示在質(zhì)量控制人員面前。在一些復(fù)雜的審計(jì)任務(wù)中，員工手工復(fù)核通常容易出錯(cuò)，而RPA通常不會(huì)具有該類問題。近年來，由于內(nèi)外部監(jiān)管合規(guī)要求的不斷加強(qiáng)，對(duì)審計(jì)人員、審計(jì)流程的監(jiān)督要求也越來越高。RPA可記錄審計(jì)業(yè)務(wù)流程處理的每個(gè)步驟，可提供審計(jì)監(jiān)督完全透明的信息，為審計(jì)監(jiān)督提供更好的工具和更多的可能性。

2.敏感信息保護(hù)方面。對(duì)于一些涉及敏感數(shù)據(jù)處理的業(yè)務(wù)流程，當(dāng)前大多數(shù)情況仍需要審計(jì)人員手工處理，這時(shí)就存在泄漏的風(fēng)險(xiǎn)。若使用RPA工具，審計(jì)人員梳理好審計(jì)業(yè)務(wù)流程，并整理成RPA流程，并且在RPA處理的過程中，將敏感信息隱藏，這樣可以最大程度地避免敏感信息的接觸，從而降低欺詐和各類違規(guī)發(fā)生的可能性。

3.用戶及網(wǎng)絡(luò)安全方面。審計(jì)人員在審計(jì)過程中，通常需要開通大量的網(wǎng)絡(luò)訪問控制、業(yè)務(wù)系統(tǒng)用戶及權(quán)限，以對(duì)系統(tǒng)及具體業(yè)務(wù)流程進(jìn)行測試。但許多業(yè)務(wù)流程、業(yè)務(wù)系統(tǒng)負(fù)責(zé)人在此過程中也存在數(shù)據(jù)泄露、功能過度測試等風(fēng)險(xiǎn)，利用RPA也可有效解決該問題，RPA會(huì)按照既定的規(guī)則訪問固定的系統(tǒng)和功能，獲取固定的信息，不會(huì)點(diǎn)擊需求外的其他信息，進(jìn)而最大可能降低相關(guān)風(fēng)險(xiǎn)。

五、總結(jié)

基于機(jī)器人流程自動(dòng)化技術(shù)實(shí)現(xiàn)持續(xù)控制監(jiān)控，將有效解決傳統(tǒng)計(jì)算機(jī)輔助審計(jì)工具與技術(shù)、嵌入式審計(jì)模塊技術(shù)的固有難題，可解決實(shí)施持續(xù)審計(jì)的技術(shù)難題，有效節(jié)約持續(xù)審計(jì)實(shí)施成本。打通持續(xù)控制監(jiān)控桎梏后，將大幅提高持續(xù)審計(jì)效率，有效擴(kuò)大覆蓋面，提高時(shí)效性。

（作者單位：中信銀行，郵政編碼：650000，電子郵箱：wuzejian@citicbank.com）

主要參考文獻(xiàn)

[1]王言.RPA：流程自動(dòng)化引領(lǐng)數(shù)字勞動(dòng)力革命[M].北京：機(jī)械工業(yè)出版社， 2020：25-48

[2]楊經(jīng)偉.下一代計(jì)算機(jī)審計(jì)技術(shù)的發(fā)展方向：持續(xù)審計(jì)[J].中國信息化， 2013（12）：116-117

[3]葉煥倬，楊青.持續(xù)審計(jì)技術(shù)發(fā)展與現(xiàn)狀[J].審計(jì)研究， 2011（3）：81-86