信息化环境下内部审计技术方法研究

信息化环境下内部审计技术方法研究

随着国家电网公司中信息技术的日益普及和企业信息化的深入开展，跨地区、跨部门的企业集团信息系统、ERP（Enterprise Resource Planning）系统广泛应用，原来所采用的传统内部审计技术方法很难及时地对被审计单位的会计经营信息作出客观评价，不能满足审计信息需求者的管理决策需要，内部审计难以实现增值目标。因此，内部审计采用现代审计方法成为必然。现代审计方法是指能够适应信息化的审计环境，能够对海量数据进行筛选分析，发现疑点和审计线索，从而实现审计目标的审计技 术、方法的总称（董伯坤，2007）。本文从信息技术风险评估出发，分析信息化环境下的现代审计技术方法，并在此基础上进一步探索并行持续审计的模式，实现由传统审计向现代审计的转变，从而顺应信息化发展趋势，提高审计效率，降低审计风险。

一、信息技术风险评估

企业信息化的发展给审计技术方法带来变革，例如数据库技术（何玉洁、张俊超，2006）、趋势分析法（黄巧妙、吕天阳、庞琦，2009）等自动化操作和逻辑分析的方法（殷丽丽等，2010），同时更带来审计思维和基本理念的转变，在信息技术风险评估的基础上应用现代审计技术与方法便是一个基本的转变。

信息技术风险是指公司在信息处理和信息技术运用过程中产生的各种不确定因素，这些因素可能对公司的战略、发展、业务和效益等方面产生负面影响，并进而影响公司目标的实现。信息技术风险包括组织层面、一般性控制层面及业务流程层面的信息技术风险等。

信息技术风险评估是指识别、确认、评价公司所面临的与信息技术相关的内、外部风险及其潜在影响的过程。内部审计人员应采用适当的风险评估技术与方法，分析及评价信息技术风险发生的可能性及影响程度，为确定审计目标、范围、重点和方法提供依据。

针对组织层面、一般性控制层面的信息技术风险，审计人员在识别、评估时需要关注：业务关注度；信息资产（包括硬件设备、软件及数据）的重要性；对信息技术及信息技术部门的依赖程度；对外部信息技术服务的依赖程度；信息系统及其运行环境的安全性、可靠性；信息技术变更情况；与信息技术相关的企业标准、规范、规章制度的制定及执行情况等。

业务流程层面的信息技术风险受业务内容的重要性、业务流程的复杂程度、上述组织层面及一般性控制层面的控制有效性等因素的影响而存在差异。通常，审计人员应了解业务流程并关注数据输入、处理、输出方面的信息技术风险。

内部审计人员应积极开展对信息化环境下风险的分析，充分考虑风险评估的结果，重点关注缺乏控制、重要性程度高以及可能产生舞弊的控制环节，以合理确定信息系统审计的内容及范围，对公司的信息技术内部控制的设计和执行有效性进行测试，并完善内部控制体系。

由于国家电网公司的业务运作更加依赖于信息系统，这种依赖和信息系统本身特点所导致的脆弱性，形成了新的业务风险。因此，公司必须开展和加强信息技术风险评估，并在此基础上对现有内部审计规范、指南等重新进行定义、修改和补充，加强信息系统内部审计工作管理体制建设，统一信息系统内部审计技术标准，明确信息系统内部审计人员技能要求，建立和完善适应信息化环境的内部审计准则体系，尤其把IT控制列为重点，把数据输入、处理和输出控制、信息系统的访问及网络安全作为内部审计的重要内容，使内部审计工作在新的环境下能够顺利进行。

二、信息化环境下内部审计常用技术方法

信息技术/信息系统的应用支撑着大多数关键业务流程，这也引起了在内部审计中如何使用信息技术的思考。本文认为，信息化环境下内部审计技术方法的研究与应用应从系统论、信息论的高度推进其系统化、科学化、规范化和智能化的发展。系统化是实施审计战略（策略）和审计技术方法的全面协调。审计战略（策略）解决好审什么、想达到什么目的的问题，审计技术和方法则解决怎么审和如何达到目的的问题，从而实现两者的协调。科学化就是将科学手段与经验总结相结合，推进信息化技术、数学和统计学等在审计中的应用。规范化是将内部审计技术方法融入到规范的内部审计程序中，规范和引导内部审计人员运用适当的审计技术和方法。智能化强调将历史经验总结、科学规律推导和审计人员的专业判断结合起来，积极加强审计数据中心建设，建立行业/领域审计的标准和方法（上海市审计学会课题组，2012）。

《内部审计具体准则第28号——信息系统审计》第六章第二十四条指出，审计人员在开展信息系统审计过程中为获取充分、适当的审计证据，可以单独或综合应用八种审计技术方法，包括：询问、观察、审阅、穿行测试等传统方法；验证系统控制和计算逻辑、登录信息系统进行系统查询、计算机辅助审计工具和技术等信息技术；利用其他专业机构的审计结果或组织对信息技术内部控制的自我评估结果等。 在此基础上，本文将审计技术方法综合整理为如图1所示的体系。

1.常规审计方法，主要是用于信息系统的了解和描述，包括访谈法、系统文档审阅法、观察法、文字描述法、表格描述法、图形描述法等。

2.计算机辅助审计技术，又可进一步分为面向系统的计算机辅助审计技术和面向数据的计算机辅助审计技术。面向系统的计算机辅助审计技术是用于验证程序系统的，包括受控处理法、测试数据法、综合测试法、平行模拟法和程序跟踪法等；面向数据的计算机辅助审计技术主要用于对信息系统中的电子数据进行审计，包括数据采集、数据验证、数据整理和转换、建立审计中间表和数据分析等环节，采用的数据分析技术主要有账表分析、数据查询、审计抽样、统计分析、数值分析、账龄分析等（陈伟、张金城，2008）。

3.信息系统评价技术，主要用于信息系统的控制、风险和整体性评价，如控制矩阵、风险矩阵、层次分析法等。

4.新型审计技术，主要有并行审计、持续审计、商业智能（BI）技术、数据挖掘技术、数据恢复技术等。

内部审计人员在充分考虑信息安全的前提下，结合成本效益原则，根据信息系统审计业务类型，可以灵活选用恰当的审计技术方法。在充分发挥好信息化环境下内部审计技术优势的同时，应该处理好例外现象，不能过于依赖技术，审计人员仍应保持高度的职业谨慎。

三、新型内部审计技术与模式

审计对象的科技水平和复杂性不断提高，对审计技术提出了更高的要求，要求内部审计关口从传统的事后审计逐渐前移到事中事前；同时，科学技术特别是信息和电子技术的发展，也为开发应用新型内部审计技术与模式创造了条件，使事中审计成为可行、经济的审计模式。并行审计、持续审计便是实现信息化环境下实现审计关口前移的事中审计技术。

（一）并行审计技术

并行审计技术（Concurrent Auditing Technique）产生于20世纪60年代后期和70年代初期，是依托信息技术的发展而提出的审计技术。并行审计技术是指在应用系统对其业务进行处理时，同时采集审计证据的技术。使用并行审计技术采集审计证据包括两个方面：一是为采集、处理和打印审计证据，需要在应用系统或系统软件中嵌入专门的审计模块；二是将采集到的证据存储在应用系统文件中或存储在专门的审计文件中，以便审计人员进行审查（梁丽瑾、续慧泓，2007）。

信息技术特别是网络技术的发展，为并行审计提供了硬件环境的支持。并行审计要求的对交易的连续监控可以借助于网络环境来实现。新的技术，如智能识别技术、无线射频识别（RFID）、传感技术等的广泛应用，为审计模块的“嵌入”提供了技术上的实现方案。同时，数据库管理技术，特别是数据仓库技术的应用，不仅能够存储海量的交易数据，而且通过数据仓库可以提供决策所需的相关信息，从而对业务发生的情况可以作出智能化的判断和分析，并将这种分析和判断信息及时反馈。

（二）持续审计 国际上对持续审计的研究起步于20世纪60年代，美国证监会（SEC）、国际内部审计师协会（IIA）、加拿大注册会计师公会（CICA）、美国注册会计师公会（AICPA）和国际信息系统审计协会（ISACA）等机构先后公开表明对基于IT的持续审计模式加以支持与倡导。根据普华永道会计师事务所发布的《2006内部审计状况职业研究》（State of the Internal Audit Profession Study：Continuous Auditing Gains Momentum），被调查的美国公司中有半数的公司目前正在使用持续审计技术。

持续审计不仅向外界进一步证实被审单位提供的连续（或实时）报告（信息）的可靠程度，还可以为内部管理控制提供决策信息支持，同时还能够根据客户的特殊需求实时提供不同程度的相关保障。随着信息技术的进步、电子商务的普及以及管理决策对信息“实时性”需求的日益增强，它将成为信息化时代审计模式发展的必然趋势之一。持续审计在我国内部审计中还未完全开展，但可以预计这种技术以后会成为内部审计的重要方式。

除了并行审计、持续审计之外，新兴的审计技术还有商业智能（BI）技术、数据挖掘技术、数据恢复技术等。随着移动设备、云计算等的推广和应用，将会有更多更新的审计技术出现。

四、结语

国家电网公司在信息化环境下的内部审计工作目前还处于摸索阶段，在研究和探索内部审计技术方法的同时，还应对审计人员进行专门的信息技术培训、对审计部门开放所有信息查询功能等。进一步地还可以鼓励内部审计人员参加国际注册信息系统审计师（CISA）资格考试，通过培训和考试，培养具有较高深的计算机软硬件和网络知识，掌握信息系统审计技术的较高层次的审计人才，更好地应用现代化的审计技术方法，从而适应企业信息化发展的大潮。