信息技術(shù)正在擴(kuò)展審計(jì)的內(nèi)涵與外延。與早期的審計(jì)相比,現(xiàn)代審計(jì)的“對(duì)象”、“目標(biāo)”以及“目的”已經(jīng)發(fā)生了很大的變化,以行為、過程和系統(tǒng)等為審計(jì)主體的“非信息審計(jì)”變得越來越重要。我國在相關(guān)審計(jì)法規(guī)的指引下,信息系統(tǒng)審計(jì)實(shí)踐也正在如火如荼的開展,但通過對(duì)相關(guān)案例的分析可以發(fā)現(xiàn),信息系統(tǒng)審計(jì)實(shí)踐存在不少的問題。本文就某航空公司的收入結(jié)算系統(tǒng)審計(jì)項(xiàng)目進(jìn)行案例分析,透視信息系統(tǒng)審計(jì)實(shí)踐存在的問題,并對(duì)政策制定提供相關(guān)的建議。
一、某航空公司的信息系統(tǒng)審計(jì)項(xiàng)目
某航空公司的審計(jì)項(xiàng)目是2005年的重點(diǎn)審計(jì)項(xiàng)目之一,其目的是要為實(shí)現(xiàn)“真實(shí)、合法、效益”的審計(jì)目標(biāo)奠定基礎(chǔ)。開展信息系統(tǒng)審計(jì)是抓住該集團(tuán)特點(diǎn),培育項(xiàng)目亮點(diǎn),把這個(gè)項(xiàng)目做成精品的重要舉措之一。信息系統(tǒng)到底怎么審,怎么評(píng)價(jià),審計(jì)人員想到找一條別人走過的路子,照貓畫虎。但查閱信息系統(tǒng)審計(jì)的相關(guān)資料,看到的基本上是國外對(duì)信息系統(tǒng)審計(jì)的理解與做法,與我們的審計(jì)有較大的差別,如果直接硬套過來,只能是東施效顰;詢問相關(guān)的專業(yè)人員,大家都沒有類似的經(jīng)驗(yàn)。經(jīng)過幾次討論,審計(jì)組決定首先找對(duì)某航空公司信息系統(tǒng)實(shí)施管理的規(guī)則發(fā)展部、信息技術(shù)中心兩個(gè)部門的領(lǐng)導(dǎo)進(jìn)行一次深談,聽聽他們對(duì)A航空公司信息系統(tǒng)的評(píng)價(jià),希望從中理出一些思路,再進(jìn)一步確定具體工作方案。與被審計(jì)單位部門領(lǐng)導(dǎo)談話進(jìn)行得比較順利,審計(jì)人員也漸漸理出了自己的工作思路:企業(yè)的信息系統(tǒng)體現(xiàn)的是企業(yè)的管理理念。這次信息系統(tǒng)審計(jì)應(yīng)該主要抓住以下方面:首先是該航空集團(tuán)信息系統(tǒng)的規(guī)劃、建設(shè)、管理與整個(gè)公司的發(fā)展是否相適應(yīng),信息系統(tǒng)資源的整合是否能夠跟上公司其他資源高速整合的步伐;其次是公司信息系統(tǒng)的功能是否能夠滿足業(yè)務(wù)特點(diǎn)的要求;再次是結(jié)合在數(shù)據(jù)審計(jì)中發(fā)現(xiàn)的大量數(shù)據(jù)問題,特別是數(shù)據(jù)整理中再現(xiàn)的問題,來考察信息系統(tǒng)中存在的問題。但在實(shí)際問題的處理過程中也存在著諸多困難,無現(xiàn)成的案例和信息系統(tǒng)審計(jì)規(guī)范可借鑒。為了確保審計(jì)目標(biāo)的實(shí)現(xiàn),審計(jì)組開展了信息系統(tǒng)審計(jì)。在系統(tǒng)審計(jì)的探索中,審計(jì)人員根據(jù)調(diào)查了解的情況,在數(shù)據(jù)分析的基礎(chǔ)上,通過跟蹤被審計(jì)單位的業(yè)務(wù)過程和數(shù)據(jù)處理流程,發(fā)現(xiàn)了被審計(jì)單位收入結(jié)算系統(tǒng)中存在的非法銷售暗扣處理模塊,具體信息系統(tǒng)審計(jì)過程包括:一是數(shù)據(jù)分析,發(fā)現(xiàn)問題線索;二是通過數(shù)據(jù)對(duì)比,求證問題線索;三是跟蹤業(yè)務(wù)過程,發(fā)現(xiàn)暗扣代碼文件;四是跟蹤數(shù)據(jù)處理流程,發(fā)現(xiàn)暗扣模塊。最終通過對(duì)某航空公司收入結(jié)算系統(tǒng)的審計(jì)發(fā)現(xiàn),進(jìn)入系統(tǒng)的原始數(shù)據(jù)由面額逐步轉(zhuǎn)變?yōu)槊~和凈額,系統(tǒng)以最后的凈額與代理人結(jié)算,并生成運(yùn)輸報(bào)告?zhèn)鬟f到財(cái)務(wù)系統(tǒng)確認(rèn)收入,從而實(shí)現(xiàn)了航空公司暗扣銷售和凈額結(jié)算。至此,該信息系統(tǒng)審計(jì)項(xiàng)目也宣告結(jié)束。
二、案例分析
由上述案例過程可知,我國對(duì)企業(yè)信息系統(tǒng)審計(jì)還處于探索階段,在審計(jì)實(shí)務(wù)中到底如何開展信息系統(tǒng)審計(jì)還缺乏有說服力的案例和行之有效的辦法,更不要說具有可操作性的完整的信息系統(tǒng)審計(jì)規(guī)范體系。總體來講,筆者認(rèn)為從上述案例可以反映出當(dāng)前我國信息系統(tǒng)審計(jì)規(guī)范體系還存在著如下幾個(gè)方面的缺陷。
(一)沒有完整可借鑒的由權(quán)威機(jī)構(gòu)制定的信息系統(tǒng)審計(jì)規(guī)范
信息系統(tǒng)審計(jì)規(guī)范是信息系統(tǒng)審計(jì)經(jīng)驗(yàn)的總結(jié),是對(duì)審計(jì)活動(dòng)內(nèi)在規(guī)范的反映,審計(jì)人員按照信息系統(tǒng)審計(jì)規(guī)范所確定的程序、步驟、技術(shù)和方法開展工作,能夠少走彎路,提高信息系統(tǒng)審計(jì)效率,保障信息系統(tǒng)審計(jì)工作科學(xué)、有序、高效地運(yùn)行,全面實(shí)現(xiàn)信息系統(tǒng)審計(jì)目標(biāo),降低信息系統(tǒng)風(fēng)險(xiǎn),同時(shí)也可降低財(cái)務(wù)審計(jì)、績效審計(jì)以及環(huán)境審計(jì)等風(fēng)險(xiǎn)。而上述案例也說明我國信息系統(tǒng)審計(jì)尚處于探索階段,在信息系統(tǒng)審計(jì)實(shí)踐中缺乏有說服力的案例,根本談不上完善的信息系統(tǒng)審計(jì)規(guī)范體系,而在國外卻存在如ISACA這樣的機(jī)構(gòu)去提供完整的信息系統(tǒng)審計(jì)準(zhǔn)則、指南和審計(jì)程序,至2010年4月其已經(jīng)發(fā)布了16項(xiàng)基本準(zhǔn)則,41項(xiàng)審計(jì)指南和11項(xiàng)作業(yè)程序。因此,國家相關(guān)部門應(yīng)整合信息系統(tǒng)審計(jì)規(guī)范制定的實(shí)踐與理論資源,在借鑒國外信息系統(tǒng)審計(jì)規(guī)范的基礎(chǔ)上,推進(jìn)我國信息系統(tǒng)審計(jì)規(guī)范體系制定的進(jìn)程。
(二)信息系統(tǒng)審計(jì)的開展缺乏計(jì)劃,不存在后續(xù)審計(jì)階段
對(duì)信息系統(tǒng)的審計(jì)是一個(gè)過程,包括信息系統(tǒng)審計(jì)計(jì)劃、實(shí)施、審計(jì)報(bào)告以及后續(xù)審計(jì)階段,而在上述案例中,對(duì)信息系統(tǒng)的審計(jì)是一個(gè)摸索的過程,根本談不上信息系統(tǒng)審計(jì)計(jì)劃。凡事預(yù)則立,不預(yù)則廢。無論是國家審計(jì),還是注冊(cè)會(huì)計(jì)師審計(jì),同樣需要制定信息系統(tǒng)審計(jì)計(jì)劃。《內(nèi)部審計(jì)具體準(zhǔn)則第28號(hào)——信息系統(tǒng)審計(jì)》中指出,內(nèi)部審計(jì)人員在執(zhí)行信息系統(tǒng)審計(jì)之前,需要確定審計(jì)目標(biāo)并初步評(píng)估審計(jì)風(fēng)險(xiǎn),估算完成信息系統(tǒng)審計(jì)或?qū)ｍ?xiàng)審計(jì)所需的資源,確定重點(diǎn)審計(jì)領(lǐng)域及審計(jì)活動(dòng)的優(yōu)先次序,明確審計(jì)組成員的職責(zé),并以此制定信息系統(tǒng)審計(jì)計(jì)劃,除此之外第28號(hào)具體準(zhǔn)則沒有作詳細(xì)深入的闡述。在ISACA的審計(jì)準(zhǔn)則體系中,關(guān)于審計(jì)計(jì)劃的基本準(zhǔn)則有審計(jì)計(jì)劃(S5)、審計(jì)計(jì)劃中風(fēng)險(xiǎn)評(píng)估的運(yùn)用(S11)和審計(jì)重要性(S12);審計(jì)指南有信息系統(tǒng)審計(jì)中的重要性概念(G6)、審計(jì)計(jì)劃中風(fēng)險(xiǎn)評(píng)估的運(yùn)用(G13)以及信息系統(tǒng)審計(jì)的計(jì)劃(G15);審計(jì)程序中有信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估(P1)等可供借鑒與參考,并且ISACA對(duì)審計(jì)計(jì)劃的相關(guān)準(zhǔn)則、指南和程序進(jìn)行了詳細(xì)深入的闡述,以利于引導(dǎo)和約束審計(jì)人員的審計(jì)行為。
審計(jì)報(bào)告的簽署并不意味著信息系統(tǒng)審計(jì)的終結(jié)。上述案例不存在后續(xù)審計(jì)階段,這與缺乏信息系統(tǒng)審計(jì)規(guī)范的指導(dǎo)是分不開的。在ISACA的審計(jì)準(zhǔn)則體系中,后續(xù)審計(jì)方面的準(zhǔn)則包括基本準(zhǔn)則后續(xù)工作(S8)以及審計(jì)指南后續(xù)工作(G35)等。根據(jù)ISACA審計(jì)標(biāo)準(zhǔn),審計(jì)人員對(duì)于在信息系統(tǒng)審計(jì)中發(fā)現(xiàn)信息系統(tǒng)的重大問題和漏洞,并提出改進(jìn)意見后,可對(duì)被審單位所采取的糾正措施及效果進(jìn)行后續(xù)審計(jì)。如果審計(jì)建議如期落實(shí),則實(shí)現(xiàn)了信息系統(tǒng)審計(jì)的目標(biāo),也意味著信息系統(tǒng)審計(jì)意見得到了被審計(jì)單位的認(rèn)可;如果審計(jì)建議沒有落實(shí),應(yīng)耐心聽取被審計(jì)人員的反饋意見,對(duì)于落實(shí)的難點(diǎn)問題,審計(jì)部門應(yīng)反映給高級(jí)管理層,請(qǐng)其協(xié)助落實(shí)。此外,對(duì)于不切實(shí)際的審計(jì)建議,審計(jì)組成員應(yīng)該分析原因,以利于下一次審計(jì)項(xiàng)目的改進(jìn)。因此,后續(xù)審計(jì)階段對(duì)于信息系統(tǒng)審計(jì)同樣重要,而在上述審計(jì)案例中,對(duì)A航空公司收入結(jié)算系統(tǒng)的審計(jì)根據(jù)不存在后續(xù)審計(jì)階段。
(三)信息系統(tǒng)審計(jì)出于“真實(shí)、合法、效益”的審計(jì)目標(biāo)
我國開展的信息系統(tǒng)審計(jì)與西方的信息系統(tǒng)審計(jì)在目標(biāo)上存在著差異,我國審計(jì)部門開展信息系統(tǒng)審計(jì)主要是為“真實(shí)、合法、效益”的審計(jì)目標(biāo)服務(wù)的,主要關(guān)注信息系統(tǒng)影響被審計(jì)單位的合法經(jīng)營、財(cái)務(wù)核算、經(jīng)營效益等方面的問題,還沒有達(dá)到審查信息系統(tǒng)安全、可靠、有效和效率以及能否有效地使用組織資源、實(shí)現(xiàn)組織目標(biāo)的層次。因此,對(duì)于信息系統(tǒng)審計(jì),在很大程度上主要是根據(jù)數(shù)據(jù)審計(jì)的需要開展。隨著企業(yè)信息化、政務(wù)信息化等的發(fā)展,信息系統(tǒng)的安全審計(jì)、生命周期審計(jì)以及軟硬件審計(jì)等變得越來越重要,其重要程度在很多時(shí)候已經(jīng)超過了出于“真實(shí)、合法、效益”審計(jì)目標(biāo)的信息系統(tǒng)審計(jì)。我國信息系統(tǒng)審計(jì)及規(guī)范的發(fā)展不能只是停留在“真實(shí)、合法、效益”審計(jì)目標(biāo)的基礎(chǔ)上,這樣只能限制信息系統(tǒng)審計(jì)的范圍,我國的信息系統(tǒng)審計(jì)實(shí)踐也沒有辦法拓展到對(duì)信息安全保護(hù)、軟件系統(tǒng)開發(fā)以及商業(yè)流程評(píng)估及風(fēng)險(xiǎn)管理等的審計(jì)實(shí)踐上來。
(四)缺乏信息系統(tǒng)審計(jì)項(xiàng)目的質(zhì)量控制準(zhǔn)則
我國在信息系統(tǒng)審計(jì)項(xiàng)目方面的質(zhì)量控制準(zhǔn)則尚處于空白狀態(tài)。雖然國家審計(jì)署、中注協(xié)和內(nèi)部審計(jì)協(xié)會(huì)都頒布了一些關(guān)于審計(jì)質(zhì)量控制的準(zhǔn)則或規(guī)范,但這些規(guī)范不是針對(duì)財(cái)務(wù)審計(jì)的,就是針對(duì)會(huì)計(jì)師事務(wù)所質(zhì)量控制的,而專門針對(duì)信息系統(tǒng)審計(jì)項(xiàng)目的質(zhì)量控制基本上還處于空白狀態(tài)。因此,上述案例在信息系統(tǒng)審計(jì)過程中,基本上不存在任何質(zhì)量控制措施,這也對(duì)我國提出了盡早制定與頒布信息系統(tǒng)審計(jì)質(zhì)量控制方面相關(guān)的規(guī)范。否則,在信息系統(tǒng)審計(jì)市場上將出現(xiàn)一個(gè)一般化的“格雷欣法則”,即劣等品驅(qū)逐優(yōu)等品,其結(jié)果是出現(xiàn)賣方與買方勾結(jié),按照買方的要求設(shè)計(jì)信息系統(tǒng)內(nèi)部控制規(guī)范(劉杰,2010)。一般化的“格雷欣法則”也不利于我國信息系統(tǒng)產(chǎn)品市場和信息系統(tǒng)審計(jì)市場的規(guī)范。
三、啟示及政策建議
通過上述對(duì)某航空公司收入結(jié)算系統(tǒng)審計(jì)案例的分析可知,我國信息系統(tǒng)審計(jì)實(shí)踐尚處于起步階段,還存在著諸多問題。為規(guī)范信息系統(tǒng)審計(jì)行為,加強(qiáng)對(duì)信息系統(tǒng)審計(jì)實(shí)踐的指導(dǎo),信息系統(tǒng)審計(jì)規(guī)范的制定與發(fā)布是關(guān)鍵。信息系統(tǒng)審計(jì)規(guī)范是一種公共品,政府機(jī)構(gòu)或相關(guān)職業(yè)團(tuán)體在信息系統(tǒng)審計(jì)規(guī)范制定過程中扮演著重要的角色。因此,筆者認(rèn)為我國政府應(yīng)從如下幾個(gè)方面作出努力。
一是以《2004至2007年審計(jì)信息化發(fā)展規(guī)劃》與《審計(jì)署2008至2012年信息化發(fā)展規(guī)劃》中提出的整合審計(jì)資源思想為契機(jī),抽調(diào)中國注冊(cè)會(huì)計(jì)師協(xié)會(huì)、國家審計(jì)署以及中國內(nèi)部審計(jì)協(xié)會(huì)相關(guān)信息系統(tǒng)審計(jì)制定的人力、物力和財(cái)力,成立專門的信息系統(tǒng)審計(jì)規(guī)范制定機(jī)構(gòu)。
二是在借鑒國外諸如ISACA以及IIA等信息系統(tǒng)審計(jì)資源的基礎(chǔ)上,吸引我國信息系統(tǒng)審計(jì)實(shí)踐中已經(jīng)發(fā)布并實(shí)踐的信息系統(tǒng)審計(jì)操作規(guī)則,結(jié)合我國信息系統(tǒng)審計(jì)實(shí)踐,出臺(tái)完整、系統(tǒng)的信息系統(tǒng)審計(jì)規(guī)范體系。完善、系統(tǒng)的信息系統(tǒng)審計(jì)規(guī)范有利于指導(dǎo)信息系統(tǒng)審計(jì)人員在審計(jì)計(jì)劃、審計(jì)實(shí)施、審計(jì)報(bào)告以及后續(xù)審計(jì)階段的審計(jì)行為。同時(shí),信息系統(tǒng)審計(jì)目前屬于非強(qiáng)制性審計(jì)的范疇,審計(jì)質(zhì)量控制準(zhǔn)則往往容易被忽視,而忽視審計(jì)質(zhì)量控制準(zhǔn)則的制定與發(fā)布在某種程度上會(huì)導(dǎo)致信息系統(tǒng)審計(jì)市場上“格雷欣法則”的出現(xiàn)。因此,在信息系統(tǒng)審計(jì)規(guī)范體系中,不應(yīng)忽視信息系統(tǒng)審計(jì)質(zhì)量控制準(zhǔn)則的制定與發(fā)布。
三是在信息系統(tǒng)審計(jì)規(guī)范體系制定的過程中,應(yīng)將信息系統(tǒng)審計(jì)規(guī)范應(yīng)用的范圍擴(kuò)展,不能僅僅服務(wù)于財(cái)務(wù)審計(jì)。如果僅僅服務(wù)于財(cái)務(wù)審計(jì),則制定與發(fā)布的信息系統(tǒng)審計(jì)規(guī)范不能很好地服務(wù)于信息系統(tǒng)生命周期審計(jì)、軟硬件審計(jì)、信息系統(tǒng)安全審計(jì)等其他信息系統(tǒng)審計(jì)活動(dòng)。
四是加強(qiáng)信息系統(tǒng)審計(jì)實(shí)踐案例的調(diào)查研究,從信息系統(tǒng)審計(jì)實(shí)踐中總結(jié)出一些典型信息系統(tǒng)審計(jì)案例,用以指導(dǎo)和規(guī)范信息系統(tǒng)審計(jì)人員的審計(jì)行為,防止信息系統(tǒng)審計(jì)實(shí)踐人員在從事信息系統(tǒng)審計(jì)活動(dòng)時(shí),陷入不知所措的境地。
