[摘要] 网络化经济和电子商务的发展, 给我国内部审计工作提出了挑战, 内部审计工作的环境、内容、对象、范围、线索、标准以及审计的方法和程序都发生了巨大的变化。针对信息化环境下内部审计可视线索自然消失、数据结构不统一、审计工作取数难、缺乏适用的高水平审计软件、缺乏复合型内审人才、网络化水平低于内审工作的需要、面临多样化的内部审计风险等一系列问题, 有效的解决对策是预置审计程序, 发现和保留新的审计线索, 解决审计通用接口问题, 统一数据结构, 开发优质审计软件, 推动信息化审计的发展, 加强内审人员培训, 提高人员综合素质, 优化网络, 完善联网审计, 加强控制, 降低审计风险。
[关键词] 信息化环境; 计算机辅助审计; 信息化审计
一、信息化环境下内部审计工作中存在的问题
在我国, 以计算机为基础的信息化审计工作起步较晚, 信息化水平的发展滞后于网络财务和网络经济的发展要求。目前, 信息化审计的法规和制度还不太健全, 与网络相关的法规还不够完善, 网络的应用还处于数据传输和信息共享的阶段; 计算机技术和网络技术的应用水平不高, 少数基层单位还处于手工处理阶段; 审计人员的专业知识和技能较高, 但计算机知识还有所欠缺; 信息化审计处理方法的理论模式多, 应用于实际工作中的较少; 审计软件开发的数量多, 能满足实际工作需要的却不多; 实际工作中信息化环境下内审风险层出不穷, 而风险的控制力不够。信息化环境下内部审计工作中存在的主要问题可归纳如下。
(一) 审计可视线索自然消失
在手工会计系统中, 会计处理的每一步都有文字记录和经手人签名, 审计线索清晰可见。而在会计电算化条件下, 绝大部分的文字记录已消失, 纸质的信息转换成只有计算机才能识别的编码, 数据的输入、输出及存储趋于磁介质化。不同于传统的刮、擦、涂、改的方法, 舞弊者一旦非法通过计算机系统的“防火墙”, 通过对程序的篡改, 不仅可以对数据资料进行修改、复制或销毁, 而且还可以消除行动轨迹。同时, 计算机在完成一次操作以后, 新的资料便将旧资料覆盖。计算机环境下的舞弊不留痕迹, 传统的审计线索就这样中断甚至消失。
(二) 数据结构不统一, 审计工作取数难
从目前被审计单位的财务软件实施情况来看, 全国一共有300 多家财务软件供应商, 电算化软件的品种多达几百种。各类电算化软件在设计原理、数据传输方式、语言环境、数据库的选用和格式上不尽相同。然而, 商品化会计软件供应商视其软件的设计过程、程序文本和数据结构为商业机密, 对用户既不提供审计所需的数据接口, 也不提供系统凭证、账簿和报表等文件的结构和设置标准。目前, 能提供数据接口的软件只占全部财务软件的1/5, 这给审计软件从财务软件中导入数据带来了一定的困难。
此外, 由于财务软件的品种多, 数据格式不统一, 审计软件与被审计单位的财务软件、操作系统及应用系统的兼容性不高。在开展审计工作之前, 审计人员经常要进行穿过测试, 在系统不提供审计测试通道的情况下, 测试数据很难清除, 极易破坏客户的数据文件, 这也为审计取数工作增加了难度。
(三) 缺乏适用的高水平审计软件
目前, 各式各样的审计软件虽是百花齐放, 但是, 优质高效的软件为数不多。造成这一问题的因素主要包括以下几点:
1.软件的开发与实际工作脱节
当前使用的审计软件, 由一线审计人员参与或自行开发和编制的不多, 因此, 开发出来的软件与实际工作脱节例如, 许多审计软件虽然有较强的查询和查账功能, 但还不能对隐蔽的会计舞弊事项做出准确的判断; 审计软件在制止被审计单位恶意篡改程序和故意违反国家财经法纪方面还存在盲区。
2 数据分析不足, 审计内容狭窄
当前大部分审计软件的工作重点在于被审计单位的资产负债表和损益表之类的报表, 核算局限于资产负债比例、流动比率、速动比率等统计参数, 对于财务收支等相关工作的合法性、合规性进行量化审计的系统软件很少, 能对财务软件的系统设置、程序编写、运行结果、使用范围进行审计的产品就更是难得一见了。
3 软件的通用性不高
目前, 国内的审计软件种类很多, 软件供应商们为了在市场竞争中获胜, 对自己的软件精心设计以求与其他产品相区别。由于国家对审计软件的使用没有做统一的规定, 各审计单位对软件的选择有完全的自主权, 因而导致各审计单位的软件各不相同, 甚至一个单位的不同下属单位使用的软件也有所不同, 这便给审计工作人员带来极大的不便。很多对计算机技术不熟练的审计工作人员被迫掌握几种不同供应商开发的同类软件, 从而增加了审计工作的难度和人为操作风险。
(四) 缺乏复合型内审人才
计算机审计是会计、审计、信息系统、网络技术与计算机应用的交叉学科。开展计算机审计要求审计人员具有复合型的知识结构, 既要掌握财会、审计知识, 又要掌握信息系统、计算机与网络技术。目前真正具有较高计算机应用水平的审计人员并不多, 既精通计算机又熟悉审计业务的复合性人才则更少, 这将制约着审计信息化建设的发展。
究其原因, 一方面是由于审计人员队伍老龄化较严重, 一部分资深的审计人员虽然有丰富的财会、审计知识和经验, 但由于当时的人才专业细分和国情使他们没有机会接触计算机, 造成一些知识结构上的欠缺; 另一方面是年轻的审计人员虽然掌握一定的计算机知识, 但由于是非计算机专业毕业生, 仅掌握浅层次的计算机基础知识和运用技能, 缺乏深层次的计算机系统设计和程序编译检测技能, 不能有效分析系统结构。
(五) 网络化水平低于内审工作的需要
网络在我国审计工作中的应用还处于资源共享和信息传输阶段, 例如, 实现审计单位上下级之间、审计单位内部、审计单位与被审计单位之间的信息沟通, 收集和整理所需要的审计工作信息, 检索资料以及使用电子邮件向银行或债权人、债务人进行函证等。这一应用水平还远低于审计工作对网络的需求。由于网络会计信息系统的开放性和网络化, 使得会计信息资源在极大的范围内得以交流和共享, 因而会计系统和其他信息系统的关系密切, 这就要求审计范围能扩大到整个网络; 由于网络会计信息系统的共享性和数据处理的高速化, 使得各部门可以随时将本部门的数据输入到会计信息系统进行处理, 因而数据更新速度加快, 这就要求审计工作能实现“静态审计”和“动态审计”的统一; 同时, 在网络会计信息系统的环境下, 会计数据的舞弊手段更加高明和隐蔽, 这就要求审计工作能提供更为先进的方法来识别它, 这些新的要求都需要通过提高网络在审计工作中的利用率来实现。
(六) 面临多样化的审计风险
1.人员操作风险
有些审计人员在对被审计单位的会计电算化信息系统进行审计时, 由于过分信赖计算机所运行的结果, 对所发现的各项疑点没有进行必要的复查, 从而降低审计工作的质量和效率, 这些错漏和工作失误使审计工作产生了风险。
2.财务数据风险
被审计单位非法修改财务系统, 违规使用财务软件或者在财务数据录入过程中, 恶意采用虚假、修改、省略、延迟录入等手段制造虚假财务数据, 且不留痕迹, 扰乱审计工作人员的视线, 给审计工作带来风险。
3.管理风险
由于审计管理制度不完善, 审计人员的思想疏忽、操作不规范, 或者由于审计人员的徇私舞弊, 审计工作的质量会有所降低。如: 审计工作取证不慎, 所取证据不完整、不充分、不真实, 导致所做出的评价缺乏有效的证据支持审计人员对被审计资料的分析不深入、不透彻、不仔细, 导致定性不准、审计处理不当; 审计文书的词句表达模棱两可, 存在重大笔误或校对不严, 导致审计结果出现偏差等。
4.设备风险
由于计算机中二进制数据信息是通过数据线和物理部件来传输和工作的, 因而, 在数据信息的处理过程中会出现一些影响数据准确性的不安全因素。常见的不安全因素有: 电磁辐射、自然老化、物理威胁、搭线窃听、拒绝服务、访问权滥用、后门、设计缺陷和人为破坏等。同时, 用于存储数据信息的磁介质在受潮、挤压等条件下容易受损, 数据可能会丢失。这些存在于数据的处理和存储过程中的问题给审计工作带来巨大的威胁。
5.网络风险
在网络应用于审计工作之后, 审计过程被置于网络之中, 网络的开放性和共享性特点将网络本身具有的风险带到审计工作中来, 增加了审计风险。如: 电子邮件炸弹、服务中的CGI 程序漏洞, 使计算机被黑客攻击, 信息系统瘫痪; 网络窥探、IP 源地址欺骗, 使数据被竞争对手截取和恶意修改等。
二、加快信息化环境下内部审计事业发展的对策
(一) 预置审计程序, 发现和保留新的审计线索
审计部门应参与会计电算化软件的鉴定, 采用预置或嵌入审计程序的技术对被审计单位的财务信息系统进行监控, 对计算机错误和重要环节进行实时监控并予以记录, 要求被审计单位保留系统操作日志与必要的审计痕迹, 以便审计人员审查。例如, 要留下每笔经济业务的详细记录, 而不能只留下更新后的当前余额; 对审计工作中需要的系统暂存文件, 应在删除前打印存档; 对跨期操作必须做备份并给予说明; 取消反过账、反结账功能, 设计报表与账套数据的关联, 并记录报表打印的次数; 对非系统使用人员企图进入系统但未遂的情况及对正常进入系统的操作人员使用情况进行详细记录等。
(二) 解决审计通用接口问题, 统一数据结构
要求信息化管理部门与审计部门参与会计电算化软件的鉴定, 强制要求各类财务信息系统在进行数据输出时对审计部门提供数据接口, 以便于今后计算机辅助审计方法的应用和审计信息化建设能顺利实施。审计通用数据接口的设计可以参照由中国电子技术标准化研究所承办的《信息技术, 会计核算软件数据接口》(GB/T 19581—国家标准, 要符合国家标准撰写格式及语言规范; 要采用数据元素表示; 会计核算软件数据输出文件要有文本和格式。要求财务软件以一个通用的协议和标准进行开发, 各财务软件应有相同的或兼容的数据接口。会计软件进行数据输出时, 必须向该数据文件中输入数据, 要保证审计通用数据接口文件中的数据永远与会计软件内部生成和输出的数据一致。
(三) 开发优质审计软件, 推动信息化审计的发展
软件的设计要适应审计工作的需求, 应具有智能化、集成化、网络化、通用性和实用性的特点。理想的审计软件应该是“审计工具”、“管理软件”和“法规、制度查询系统”
种功能的完美结合。这就要求审计软件应具有直接取数的功能、财务分析的功能、测试功能、计算处理功能、稽核功能、报表及附注合并功能、自动生成部分审计底稿的功能、即时帮助功能、函证管理功能、网络访问功能和审计项目参数设置功能等工具功能, 同时, 还应具有包含被审计单位资料管理功能、审计项目管理功能、人事管理功能及审计档案管理功能在内的管理功能。此外, 审计软件还应为审计人员提供一些诸如审计计划、审计小结、资料清单之类的常用文书的模板以及法规、制度检索和查询。
在开发和编制审计软件时, 软件开发人员应深入审计工作一线, 对审计工作内容及法规进行分析; 在软件分析设计及调试过程中应有资深的审计工作人员参与; 在软件投入使用后要注重采集一线审计人员的反馈意见, 并对软件不断进行优化, 这样才能实现软件的上述特性。
(四) 加强内审人员培训, 提高人员综合素质
计算机审计人才是推动计算机审计发展的一个必要因素, 在人员培训上, 应针对现有审计人员的工作方向和人员自身的能力和兴趣区别培养。
对计算机知识基础不全面的审计人员, 应对其电算化知识加强培训, 要求被培训人员能熟练操作Word、Excel、等文字、表格处理软件; 使用ARJ、WINZIP、RAR 等各种压缩软件; 灵活运用SQL 语句、ACCESS 表进行数据查询, 同时还应掌握计算机辅助审计技术的应用技术和网络安全知识。
对计算机知识较扎实的审计人员, 培训重点可放在信息系统的开发、审计系统的功能、应用程序审计、网络安全审计、审计软件的开发、测试及维护方面。这就要求被培训人员熟悉Windows (DOS) 、Unix 环境下数据库软件的操作; 能灵活使用C++、VB.NET、Java 等计算机编程语言; 了解SAP 系统和ORACLE 数据库系统; 同时对计算机硬件和网络方面的知识也应加深学习, 鼓励这些人员参加国际注册信息系统审计师CISA资格考试。
(五) 优化网络, 完善联网审计
在实施联网审计之前, 应首先对被审计单位的信息系统进行审核, 研究数据库技术、联机分析技术、数据挖掘技术等在联网审计中的应用技术, 要建立好审计数据中心。在审计部门与被审计单位进行网络互连之后, 对被审计单位的信息系统嵌入特定的程序( 如数据采集终端和数据监控平台) , 通过数据采集终端读取被监控企业的信息, 并将数据传递到管理部门并保存在信息数据库中, 再由数据监控平台对数据信息进行汇总分析, 对违规的行为和错误的操作发送警告信息, 从而实现实时审计。此外审计人员可以远程查阅被审计单位的电子账册, 实现事中审计; 与被审计单位协作, 通过扫描( 拍摄) 纸质凭证以及网络视频等方式实现对疑点凭证进行远程查阅; 通过交互式报告生成器, 实现信息系统与客户和外界信息使用者之间的交流还可以通过软件预警功能实现同类问题的自动发现, 实现对被审计单位远程审计。
(六) 加强控制, 降低审计风险
1.提高审计人员警惕性
要求审计人员在开展工作之前注意收集与被审计单位相关的资料, 核实企业资产、负债、所有者权益、收入、成本、利润等情况。审计人员在审计工作的开展过程中应提高警惕性, 防止问题的遗漏。
2.加强对被审计单位内部控制制度的审核和监督
审计人员应对被审计单位的会计电算化系统的内部管理制度、职责的划分情况进行审核和监督。要求程序设计者与程序使用者必须分离; 对程序修改和计算机文件存取进行控制; 企业对交易录入的编制和批准环节应实施控制, 确保只有经过授权的工作人员才可以接近终端和数据录入; 对主文件的修改实施控制, 要求编制特定的表格说明数据需要变动, 变动应由使用部门负责人批准, 并与打印出来的变动结果相核对。
3.重视计算机软、硬件配置的使用安全
审计部门在信息系统的建设初期要注重软、硬件的质量和安全性, 在信息系统的使用期间要加强对计算机硬件的维护, 以减缓设备的老化和坏损。在存储数据时, 审计人员应对数据进行多方面的核算, 在确定准确无误的情况下, 将数据保存在移动硬盘、U盘或刻录光盘之类的磁存储介质上并加以多次备份。对于重要的数据必须每天备份, 可采用多介质或加密的方法进行保存。
4 加强对网络系统的安全控制
审计人员在使用网络系统前, 应检查软件的设计是否严格执行计算机系统及环境安全法规与管理制度, 选取性能优良的网络操作平台和网络传输配套设备; 检查网络硬件设备、网络应用软件是否可靠, 用户管理设置是否合理各种授权控制是否具有审计功能, 网络传输数据是否加密审查网络系统是否设置外部访问区域, 是否建立防火墙, 是否具有实时监控功能等。同时, 为了数据的安全, 存放被审计单位数据的计算机应避免连接到其他网络系统中。
人次