論文關(guān)鍵詞:內(nèi)部審計(jì)信息系統(tǒng)風(fēng)險(xiǎn)防范
論文摘要:內(nèi)部控制是社會(huì)經(jīng)濟(jì)發(fā)展到一定階段的產(chǎn)物,其內(nèi)容在不斷的發(fā)展與變化,而內(nèi)部審計(jì)是內(nèi)部監(jiān)督機(jī)制的重要組成部分。目前計(jì)算機(jī)信息系統(tǒng)已在企業(yè)中廣泛使用,而在內(nèi)部審計(jì)過程中如何加強(qiáng)計(jì)算機(jī)信息系統(tǒng)的風(fēng)險(xiǎn)防范,是企業(yè)內(nèi)部控制過程中迫切需要解決的問題。
企業(yè)信息系統(tǒng)化的運(yùn)用,原來的手工控制則變?yōu)槭止づc電腦控制相結(jié)合或全部由電腦自動(dòng)進(jìn)行控制。計(jì)算機(jī)信息系統(tǒng)的廣泛使用,與技術(shù)管理相對(duì)薄弱和稽核監(jiān)督的長期空白已形成了尖銳的矛盾。信息系統(tǒng)風(fēng)險(xiǎn)控制能力差的現(xiàn)狀,迫切需要我們加強(qiáng)風(fēng)險(xiǎn)管理和監(jiān)控。
一、發(fā)揮內(nèi)部審計(jì)作用,加強(qiáng)企業(yè)內(nèi)部控制
(一)企業(yè)應(yīng)加強(qiáng)內(nèi)部控制
隨著市場經(jīng)濟(jì)的深入發(fā)展,企業(yè)逐步成為自主經(jīng)營、自我約束、自我發(fā)展、自我完善的商品生產(chǎn)者和經(jīng)營者。在“優(yōu)勝劣汰、適者生存”的市場經(jīng)濟(jì)中,企業(yè)要想真正的做到“自主經(jīng)營、自我約束、自我發(fā)展、自我完善”,必須要加強(qiáng)內(nèi)部控制,建立有效、完善的內(nèi)部控制制度,這樣才能在一個(gè)絕對(duì)的高度上,對(duì)企業(yè)進(jìn)行高瞻遠(yuǎn)矚的控制,才能做出與時(shí)俱進(jìn)的決策。
(二)內(nèi)部審計(jì)是企業(yè)內(nèi)部監(jiān)督機(jī)制的重要組成部分
內(nèi)部審計(jì)也是企業(yè)內(nèi)部控制的一個(gè)重要的組成部分,是監(jiān)督內(nèi)部控制其他環(huán)節(jié)的主要力量。內(nèi)部審計(jì)通過對(duì)控制環(huán)境和控制程序的有效性進(jìn)行監(jiān)督,評(píng)估企業(yè)的內(nèi)部控制是否被執(zhí)行,是否及時(shí)反饋有關(guān)執(zhí)行結(jié)果的信息,是否幫助企業(yè)更有效地實(shí)現(xiàn)預(yù)期控制目標(biāo)。同時(shí),在監(jiān)控過程中,內(nèi)部審計(jì)可以促進(jìn)控制環(huán)境的建立和改善,為改進(jìn)控制制度提供建設(shè)性的意見,為企業(yè)建立健全所需要的內(nèi)部控制水平服務(wù)。在內(nèi)部控制的監(jiān)督過程中,內(nèi)部審計(jì)發(fā)揮著越來越重要的作用。
二、內(nèi)部審計(jì)在防范信息系統(tǒng)風(fēng)險(xiǎn)中面臨的問題
(一)信息系統(tǒng)安全管理機(jī)制不健全
企業(yè)信息系統(tǒng)風(fēng)險(xiǎn)的存在,很多是由于管理不善或控制不嚴(yán)造成的。一方面,缺乏一套統(tǒng)一的安全策略體系來指導(dǎo)安全管理工作,無法建立系統(tǒng)內(nèi)部明確、全面的安全規(guī)范要求。從現(xiàn)有管理制度規(guī)范來看,主要存在的問題是可操作性差,條理不清、重疊或遺漏等;另一方面,現(xiàn)有安全管理制度的管理對(duì)象基本是網(wǎng)絡(luò)系統(tǒng)管理員等技術(shù)部人員,管理對(duì)象沒有全面涵蓋所有信息系統(tǒng)技術(shù)相關(guān)人員,包括所有網(wǎng)絡(luò)系統(tǒng)上的內(nèi)部終端人員和外部人員。
(二)內(nèi)部審計(jì)在信息系統(tǒng)風(fēng)險(xiǎn)防范中的角色缺乏獨(dú)立性
內(nèi)部審計(jì)的角色發(fā)生了轉(zhuǎn)變。從傳統(tǒng)的事后審計(jì)而逐漸轉(zhuǎn)向事前和事中審計(jì),主動(dòng)參與內(nèi)部控制系統(tǒng)的建立和完善。內(nèi)部審計(jì)人員即承擔(dān)著評(píng)價(jià)硬件和應(yīng)用信息系統(tǒng)安全的任務(wù),如果又同時(shí)有參與了系統(tǒng)的開發(fā)和實(shí)施過程,那么內(nèi)部審計(jì)人員就卻乏獨(dú)立性。反之,如果處于對(duì)喪失獨(dú)立性的擔(dān)心,內(nèi)部審計(jì)人員有可能會(huì)拒絕參與系統(tǒng)和軟件的開發(fā),那么系統(tǒng)開發(fā)過程中存在的風(fēng)險(xiǎn)又無法得到控制。
(三)內(nèi)審部門技術(shù)力量薄弱造成對(duì)信息系統(tǒng)審計(jì)形成風(fēng)險(xiǎn)
審計(jì)稽核部門的技術(shù)力量薄弱,不熟悉業(yè)務(wù)系統(tǒng)的流程和功能,對(duì)信息系統(tǒng)缺乏必要的認(rèn)證能力和標(biāo)準(zhǔn)。突出表現(xiàn)為以下幾個(gè)方面:一是實(shí)施審計(jì)稽核的手段和方法沒有得到及時(shí)更新,不適應(yīng)信息系統(tǒng)管理的要求,大部分仍停留在手工審計(jì)階段;二是審計(jì)稽核部門對(duì)計(jì)算機(jī)賬務(wù)系統(tǒng)實(shí)施審計(jì)的依據(jù)僅依賴于被審計(jì)單位提供的打印資料或事后資料,計(jì)算機(jī)賬務(wù)的真實(shí)性審計(jì)很難得到保證。
三、加強(qiáng)風(fēng)險(xiǎn)防范的措施和對(duì)策
(一)構(gòu)建信息系統(tǒng)安全管理組織及規(guī)范體系
加強(qiáng)信息系統(tǒng)的自我風(fēng)險(xiǎn)評(píng)估體系,讓信息系統(tǒng)的管理和技術(shù)人員在自身的職責(zé)范圍之內(nèi)正確識(shí)別和評(píng)估潛在操作風(fēng)險(xiǎn),主要包括內(nèi)控制度的查漏補(bǔ)缺、工作流程的整理和規(guī)范、應(yīng)急預(yù)案完善和演練等。同時(shí)加強(qiáng)對(duì)操作人員的管理,規(guī)范操作程序。一是加強(qiáng)密碼管理,明確規(guī)定操作人員的權(quán)限,操作員必須在規(guī)定的權(quán)限內(nèi)辦理業(yè)務(wù),用戶口令及密碼必須專人專用,嚴(yán)禁公開口令及密碼;二是要建立健全操作員崗位目標(biāo)責(zé)任制,對(duì)網(wǎng)絡(luò)操作人員要明確目標(biāo)任務(wù),規(guī)范操作程序,嚴(yán)格落實(shí)獎(jiǎng)懲制度。三是要嚴(yán)格崗位設(shè)置,不相容職務(wù)進(jìn)行分離。嚴(yán)禁系統(tǒng)管理人員、網(wǎng)絡(luò)技術(shù)人員、程序開發(fā)人員和前臺(tái)操作人員混崗、代崗或一人多崗。四是要加強(qiáng)系統(tǒng)內(nèi)部的稽核監(jiān)督檢查。稽核監(jiān)督應(yīng)貫穿于網(wǎng)絡(luò)操作的全過程,重點(diǎn)是加強(qiáng)對(duì)系統(tǒng)設(shè)計(jì)開發(fā)、內(nèi)控管理制度落實(shí)、操作運(yùn)行等方面的
(二)關(guān)注信息系統(tǒng)的穩(wěn)定性、安全性和有效性審計(jì)
首先,審計(jì)人員應(yīng)運(yùn)用用一定的技術(shù)方法識(shí)別系統(tǒng)的完整性,該過程包括檢查、測試、評(píng)估系統(tǒng)的內(nèi)制,以保證系統(tǒng)的穩(wěn)定性;其次,審計(jì)人員應(yīng)評(píng)價(jià)系統(tǒng)存在的風(fēng)險(xiǎn)和可能產(chǎn)生的后果將成為審計(jì)的核心工作和基本內(nèi)容,保證信息系統(tǒng)的安全性。應(yīng)根據(jù)審計(jì)的標(biāo)準(zhǔn)和準(zhǔn)則,評(píng)價(jià)控制環(huán)境的和IT基礎(chǔ)設(shè)施的安全,確保系統(tǒng)滿足組織的業(yè)務(wù)需要,保護(hù)信息資產(chǎn)的安全完整,以防非授權(quán)使用、泄露、修改、損壞或丟失;最后,還應(yīng)鑒別信息系統(tǒng)的有效性。內(nèi)部審計(jì)必須理解并熟悉操作環(huán)境,了解系統(tǒng)技術(shù)的復(fù)雜性及其對(duì)決策的影響;對(duì)來自內(nèi)部的安全隱患,采用一定的方法進(jìn)行系統(tǒng)診斷、檢驗(yàn)、測試,評(píng)價(jià)其有效性及效率,以支持組織業(yè)務(wù)目標(biāo)的實(shí)現(xiàn)
(三)改善內(nèi)審機(jī)構(gòu),提高內(nèi)審人員素質(zhì),培養(yǎng)信息系統(tǒng)審計(jì)師
為了信息系統(tǒng)的安全、可靠與有效,由獨(dú)立于審計(jì)對(duì)象的信息系統(tǒng)審計(jì)師,以第三方的客觀立場對(duì)以計(jì)算機(jī)為核心的信息系統(tǒng)進(jìn)行綜合的檢查與評(píng)價(jià)。信息系統(tǒng)審計(jì)師也稱lS審計(jì)師或IT審計(jì)師,是指那些既通曉信息系統(tǒng)的軟件和硬件(包括信息系統(tǒng)的開發(fā)、運(yùn)營、維護(hù)、管理和安全等),又熟悉經(jīng)濟(jì)管理的內(nèi)部審計(jì)人才。
(四)聘請(qǐng)專家進(jìn)行協(xié)助
內(nèi)部審計(jì)人員的知識(shí)、技能和經(jīng)驗(yàn)雖然有助于信息系統(tǒng)的風(fēng)險(xiǎn)防御,但現(xiàn)實(shí)中必須承認(rèn),在企業(yè)中同時(shí)具備計(jì)算機(jī)技術(shù)和審計(jì)專業(yè)知識(shí)的人才非常短缺。再出色的內(nèi)部審計(jì)人員可能面臨一些系統(tǒng)內(nèi)的專業(yè)問題卻無法解決,因此有必要聘請(qǐng)外部專家。可以通過專家的協(xié)助測試運(yùn)用其專業(yè)技能測試系統(tǒng)安全,進(jìn)一步防范和解決信息系統(tǒng)風(fēng)險(xiǎn)的存在。
參考文獻(xiàn):
[1]胡曉明.信息時(shí)代的IS審計(jì)理論結(jié)構(gòu)構(gòu)建[J].武漢中南財(cái)經(jīng)政法大學(xué)學(xué)報(bào),2006,(3).
