信息系统审计——传统审计的一场革命(1)

在信息技术向人们工作、生活的每一个角落发起全面冲击的大潮中，信息技术不仅改变着人们的行为方式，同时也改变人们的思维方式。审计这个以鉴证财务信息的真实、公允为核心的行业不可避免地受到信息技术飞速发展所带来的冲击与挑战，这种冲击不仅是技术上的，而且也迫使我们对传统审计的理解和认识重新审视。本文就信息系统审计的发展过程及现状以及开展信息系统审计所要解决的问题发表个人的一些见解，与广大审计同行进行探讨。

信息系统审计的发展历史

信息系统审计是对被审计对象所采用的计算机化的信息系统的安全性、可靠性进行了解、测试与评价，并对信息系统对财务报告的影响做出判断或单独提出信息系统审计报告的过程。对信息系统审计发展历史的了解，应该从企业信息化的发展和审计本身的发展两个方面考察，以了解信息系统审计发展的必然趋势。

（一）信息系统审计是企业信息化发展的必然要求

1、手工处理

企业内部的信息处理最初是以手工处理的方式进行的。一个企业的会计部门，通过不同岗位之间的分工协作，将企业在日常经营活动中产生的财务资料进行加工处理，形成企业内部和外部需要的各种会计信息。这种手工系统的特点是以人为处理工具和以纸张为信息的载体。在这种情况下的审计方式毫无疑问是手工的形式，审计的对象也是人和纸质文档。

2、部分计算机处理

随着计算机的普及尤其是微型计算机价格的大众化，一些企业开始用计算机来处理部分会计资料。如：企业内部自行开发的工资管理程序、固定资产管理程序等，逐步用机器来代替了部分的人工劳动。这是上个世纪８０年代末期和９０年代初期的一种景象。这时，由于有电子数据的存在，已经为电子数据处理审计提供了可能。但由于计算机处理的范围还比较小，审计人员完全可以忽略计算机的存在，直接对打印出来的纸质文档进行审计。

3、会计系统全面计算机化

20世纪90年代中期以后，会计电算化工作在我国得到大规模的普及，企业的会计信息系统已经全面实现计算机化。这时的审计人员已经开始意识到计算机审计的重要性，但这时人们对计算机审计的认识还停留在对电子数据的采集和分析阶段，计算机系统的控制问题还未得到应有的重视。

4、企业信息系统的集成化

20世纪90年代后期至今，会计电算化已逐步走向成熟，而企业的信息化建设并没有就此停止，以ERP为代表的企业信息系统的高度集成逐渐开始兴起。这时的企业信息系统不仅仅是一个个孤立的系统，而是集财务、人事、供销、生产为一体的综合性的系统，财务信息只是这个系统所处理信息的一部分，单独的财务系统已不存在。而这时的审计人员只有对整个系统全面了解，才能把握审计对象的总体情况。

从企业信息化的发展历史可以看出，由于审计人员所面临的审计对象的不断变化，促使审计的方式随之改变，信息系统审计也就在这种历史背景下应运而生。

（二）信息系统审计是审计理论与技术发展的必然结果

随着审计理论与技术的发展，审计模式经历了详细审计、系统基础审计和风险基础审计三个阶段。现代审计十分强调对系统控制的依赖。它的基本观点是：设计上合理并且得到执行的控制制度是我们相信财务信息的重要依据。对于控制得好的领域，我们分配较少的审计资源；控制较弱的领域，分配较多的审计资源；如果控制不可依赖，我们则跳过控制测试环节，直接对账户余额和交易发生额进行测试。

在会计信息手工处理的环境下，系统的控制也是由人工完成的，对系统控制的了解和测试也可以由普通审计人员运用一般的财务审计知识来完成。由于计算机化的信息系统的介入，信息系统的控制越来越多地由计算机来完成，ERP的实现甚至改变了手工环境下的管理方式及业务流程，一般的财务审计知识已无法满足对系统和系统控制进行了解及测试的需要。而由于计算机信息系统的运用，使得审计人员对系统控制更加依赖，直接对如此庞大的数据量进行审计已经是不可想象的。信息系统审计因此也从财务审计的一个可以省略的环节成为不可缺少的工作内容，甚至可以独立作为一项审计的任务。

（三）信息系统审计的发展

从企业信息化及审计理论与技术两条发展轨迹来看我们可以得出这样的结论：信息系统审计是审计技术与信息技术共同发展的必然产物。

随着信息系统审计的发展，导致了这方面专业组织的产生。“信息系统审计与控制协会ISACA”，1969年在美国成立。从1978年开始，该协会推出“注册信息系统审计师CISA”的考试与资格认证，在全世界范围内得到广泛的认可，成为信息系统审计发展的重要标志。

开展信息系统审计的紧迫性

由于我们国家的信息系统审计工作尚未完全开展起来，一些计算机审计的探索与尝试还局限在电子数据的采集与处理领域，对信息系统的安全与控制的问题还没有充分的认识。从逻辑上讲，对系统的依赖是现代审计的基本策略，如果被审计对象全面采用计算机化的信息系统，而审计人员又没有对信息系统进行了解和审计，那么这种审计得出结论的可靠性就要受到质疑。整个审计行业，包括政府审计、注册会计师审计与内部审计在这方面所面临的问题日益严峻，已经危及到了审计行业的生存。“不搞计算机审计，我们就会失去审计的资格”已经逐渐成为审计业界的共识。

我国信息系统审计面临的问题

（一）审计观念的转变

观念问题也就是认识问题。如果不转换审计观念，将审计的目标局限为查错纠弊，势必将信息系统审计与当前中心工作对立起来。把审计仅仅理解为“查账”，则对信息系统审计的理解也只能停留在计算机辅助审计或辅助审计软件开发及应用的层次上。只有全面树立系统基础审计或风险基础审计的观念，才能理解信息系统审计的重要意义。审计中发现的很多错弊，由于都是管理上出了漏洞，也就是系统出了问题。一个管理完善的、控制良好的系统，应该能够防止、发现或纠正自身存在的问题。审计的任务就是帮助被审计者建立、健全这种机制，而不应该是代替被审计者去履行他们的“管理责任”或“会计责任”。

（二）信息系统审计的专业人才

开展信息系统审计需要一批既掌握现代审计理论与实务又了解计算机技术的复合型知识结构的专业人才，目前审计署干部培训中心开展的注册信息系统审计师培养及与之相关的在审计人员中进行计算机知识的培训工作，正是为了适应这一现实需要。但从目前的人员数量和知识结构上看，还远远达不到要求。

（三）行业标准与实务指南

信息系统审计发展到一定阶段，必须由行业组织出面将实践经验加以总结，并把有关概念、工作流程和技术方法固定、统一起来，形成行业的标准和规范。这将是信息系统审计进一步发展的基础。这也是所有行业发展的共同规律。没有标准和规范，所有的实践活动只能局限在低水平上重复。

信息系统审计的未来发展前景

未来审计技术发展的动力来自于信息系统审计的发展。这是国外审计界的一个共识。许多大型会计公司在信息技术领域投入很大的资源也正是由于他们看到了这一点。

信息系统审计将扩展审计的领域。有专家预言，随着企业信息系统所覆盖的领域不断扩大，会计作为一个独立的信息系统将逐渐消失，但这并不意味着审计行业的消失。相反它对审计提出了更高的要求，审计人员对被审计对象的了解必须更加深入、全面。从注册会计师审计来看，这种趋势导致了更多的增值服务的出现，这些增值服务的业务量已经超过了传统财务报表审计的业务量。从国家审计的角度来看，查错纠弊式的审计已经越来越不能满足政府和社会公众的要求。国家审计机关的审计对象的信息系统较之普通的企业更加庞大，这些系统是否安全可靠，不仅关系到某一个组织本身，甚至会影响到国家的安全。

正如对财务信息的可靠性的要求造就了注册会计师行业一样，信息社会的到来使得人们对信息系统的可靠性更加依赖，这种依赖为信息系统审计提供了十分广阔的发展空间，也代表了审计未来发展的一个重要方向。预见这一发展方向，并着手准备，踏实工作，积极应对这场审计革命的到来，就一定会把握住这个机遇，使我国的审计事业焕发出更加旺盛的生命力。