國際上普遍被采用的ERP系統(tǒng)軟件有SAP、Baan、JDE、Oracle、PeopleSoft、QAD等。盡管國內外各ERP軟件產(chǎn)品在適用企業(yè)規(guī)模、軟件功能、技術架構等方面不盡相同,但它們對于ERP核心業(yè)務的功能基本相同,包括:財務會計、管理會計、銷售、采購、庫存管理、物流管理、生產(chǎn)計劃、設備管理。一個典型的ERP系統(tǒng)除了上述功能外,通常還包括項目管理、投資管理、資金管理等輔助功能。ERP系統(tǒng)的應用,使得企業(yè)提高了運行效率,但同時又產(chǎn)生了新的審計風險。
一、ERP系統(tǒng)下的審計風險
ERP審計與傳統(tǒng)會計審計相比,其主要的特有風險就在于企業(yè)的ERP系統(tǒng)是否能夠真實地反映企業(yè)的各項經(jīng)濟業(yè)務。
1.固有風險
手工系統(tǒng)中,紙面上的信息易于辨認、追溯。而在ERP系統(tǒng)中,由于存儲介質的改變,一旦非法用戶透過計算機系統(tǒng)的“防護墻”,那就極易破壞和修改電子數(shù)據(jù)且不留痕跡;計算機病毒、電源故障、操作失誤、數(shù)據(jù)處理錯誤和網(wǎng)絡傳輸錯誤也會造成實際數(shù)據(jù)和電子賬面數(shù)據(jù)不相符,存在會計數(shù)據(jù)被濫用、篡改和丟失的可能,增加了固有的審計風險。
2.控制風險
在手工條件下,內部控制一般表現(xiàn)為對人的控制,強調職責分清,相互牽制,采用的手段主要是利用紙面信息,進行手工核對和檢查,責任容易明確,結果也比較直觀。但是在ERP系統(tǒng)中,內部控制轉變?yōu)閷θ撕蜋C器兩方面的控制,而且主要是對機器的控制為主。
ERP系統(tǒng)實現(xiàn)了從采購到付款、訂單的獲取到發(fā)票的開出等業(yè)務集成,實現(xiàn)了跨職能部門的業(yè)務處理。在這種情況下,ERP系統(tǒng)中單一的數(shù)據(jù)庫,使過去跨部門的審批流程得到簡化和壓縮。壓縮所造成的一個結果是,用于企業(yè)內部控制的許多審計線索在ERP系統(tǒng)的引入后消失了。同時,企業(yè)過去基于文件審批的內部控制機制,也無法適應ERP基于流程的管理需要。更重要的是,由于企業(yè)的業(yè)務運作更加依賴于ERP系統(tǒng),這種依賴和信息系統(tǒng)本身特點所導致的脆弱性,形成了企業(yè)新的業(yè)務風險。例如,在ERP系統(tǒng)中,通過對手工流程的機器處理,比如審批處理自動化等,進一步增強了完成各種業(yè)務流程的效率。但是,在新的業(yè)務執(zhí)行環(huán)境中,這些審批處理的自動化方法將改變企業(yè)內部原有的一些風險特征,這時相應的內部控制體系就需要重新評估和設計。
(1)電子數(shù)據(jù)存在使審計線索減少或消失的可能性。傳統(tǒng)會計處理的每一步都有文字記錄和經(jīng)手人的簽名,審計線索清晰。但在ERP系統(tǒng)中,從原始數(shù)據(jù)的錄入到報表的自動生成,幾乎不需要人工干預,傳統(tǒng)的審計線索不復存在,為追查審計線索帶來了極大的困難。
(2)原始數(shù)據(jù)的錄入存在錯漏的可能性。ERP系統(tǒng)下,大量的記賬憑證仍靠人工錄入,如果輸入了錯誤的數(shù)據(jù),表面上的機制憑證、賬簿、報表還是互相平衡,這就掩蓋了人工錄入的錯誤。如果漏輸了數(shù)據(jù),更是無法察覺。
(3)有意或無意使設置權限密碼,實行職責分工的約束機制有失效的可能性。在ERP系統(tǒng)中,一是通過劃分操作員的責任范圍,設置權限和密碼實現(xiàn)人員分工,二是通過軟件設計劃分若干子系統(tǒng)或功能模塊設置不同的責任中心。由于權限設置的重疊或跨責任中心越權設置,使這一控制措施有可能形同虛設。
3.檢查風險
(1)會計軟件的更新?lián)Q代,使歷史文件難以提取。對賬戶或交易的實質性測試往往離不開企業(yè)的歷史數(shù)據(jù),由于軟件版本的更新、平臺的遷移,難以從往年的賬簿中提取這些歷史數(shù)據(jù),使得審計不得不從大量的文檔中收集整理歷史數(shù)據(jù)。這不僅降低了審計效率,而且?guī)砹烁嗟臋z查風險。
(2)內部控制主要依賴軟件本身,增加了難以全面檢查測試的可能性。在ERP系統(tǒng)中,內部控制融于軟件中,肉眼無法察覺,這就需要設計測試數(shù)據(jù)來測試軟件的控制能力。而要在有效的時間內設計出面面俱到的測試數(shù)據(jù)是不現(xiàn)實的,因而增加了檢查風險。
(3)反映經(jīng)濟業(yè)務的真實性。
由于ERP系統(tǒng)中的財務(FIS)模塊與其他功能模塊之間信息高度共享,因此企業(yè)各項經(jīng)濟活動所產(chǎn)生的對企業(yè)財務狀況的影響幾乎可以實時地得到反映。而系統(tǒng)中如果存在程序錯誤,則系統(tǒng)是不可信的,不能正確反映企業(yè)的經(jīng)濟業(yè)務,使得企業(yè)資產(chǎn)、負債及損益的核算結果失真。如不能及時發(fā)現(xiàn)該類錯誤,則將帶來極大的審計風險。
二、防范ERP系統(tǒng)下的審計風險的對策
為了有效地降低審計風險,實行無紙化商業(yè)活動以及無紙化數(shù)據(jù)庫環(huán)境下的審計,ERP系統(tǒng)審計將更依賴于對電子數(shù)據(jù)信息流程的評價證據(jù),而不是繞過計算機審計,我們可以采用以下對策:
1.關注ERP會計信息系統(tǒng)對檢查方法的影響
(1)檢查線索的改變。檢查線索指在業(yè)務處理中對文件更新情況的記錄。它留下的有關文件的所有操作痕跡,是審計人員把握每一項會計數(shù)據(jù)的來龍去脈,并進一步對其進行審查的有效途徑。在手工方式下,憑證、賬簿和報表等各種檢查線索,都是嚴格按照一定的標準填寫與登記的,是可見性的文字和數(shù)字記錄。審計人員可以從原始憑證開始,對會計業(yè)務進行追蹤,一直到會計報表為止(順查法);也可以從最后的會計報表開始,追根溯源,一直追溯到原始憑證(逆查法)。在ERP系統(tǒng)中,會計數(shù)據(jù)的存儲介質和存儲方式發(fā)生了變化,會計數(shù)據(jù)的生成方式、傳遞方式也發(fā)生了變化,原有的檢查線索改變了形式或干脆消失了。如聯(lián)機實時系統(tǒng)中許多數(shù)據(jù)來自外部系統(tǒng)的直接轉入,失去了原始的文字記錄。磁性介質中存儲的資料必須要借助于一定的計算機硬件和軟件才能讀取。磁性介質上保存的數(shù)據(jù)可能被篡改而不會留下痕跡。由于更新頻率快,有些資料還可能是暫存的,很快要被覆蓋掉。同時,很多內部的運算可能不留痕跡和線索。
(2)會計系統(tǒng)內部控制的改變。在ERP系統(tǒng)中,內部控制的重點由會計人員和會計業(yè)務部門轉移到電子數(shù)據(jù)處理部門,財會人員對交易活動的直接監(jiān)督減少了,原內部控制體系難以適應這種變化。計算機數(shù)據(jù)處理的集中性、連貫性,使大部分職權分割的控制作用近于消失,數(shù)據(jù)存儲載體的改變及其共享程度的提高,又使手工會計中的賬簿控制體系失去原有的作用。在這種情況下,內部控制一方面要加強,另一方面要采用新的方式。電算化方式下,內部控制按實施環(huán)境可分為一般控制和應用控制。一般控制是普遍適用于計算機數(shù)據(jù)處理的控制,包括組織控制、操作控制、系統(tǒng)安全控制等。應用控制是在運用計算機進行會計數(shù)據(jù)處理過程中所實施的內部控制,包括輸入控制、處理控制及輸出控制。
(3)檢查內容的改變。在ERP系統(tǒng)中,因為計算機處理的一貫性和穩(wěn)定性,大大減少了手工處理下的某些錯誤。但如果系統(tǒng)的應用程序中存在錯誤或被人非法篡改,則會引起嚴重問題。因此,除了要對內部控制及數(shù)據(jù)文件的檢查外,還要對計算機系統(tǒng)中的程序文件進行審查,即對系統(tǒng)的可靠性進行測試。另外,新的信息技術的涌現(xiàn)也不斷帶來新問題,針對這些新的課題,審計人員也必須研究對策。
