内部审计如何应对信息化的挑战

【专题名称】审计文摘

【专题号】V3

【复印期号】2008年01期

【原文出处】《北京审计》2007年9期第27～29页

【作者简介】许亮杨彩云，燕山审计分局

一、会计信息化环境下，内部审计面临的困境

（一）舞弊的隐蔽性加大。会计信息化环境下，被审计单位的组织结构与手工数据处理环境相比发生了很大的变化，主要体现在职能和知识更加集中，程序和数据更加集中，参与财务工作人员减少。由于会计信息化环境的开放性，内部管理人员对会计数据进行篡改的机会及隐蔽性加大。

（二）缺少具有专业素养能够适应会计信息化环境的复合型人才。会计信息化数据处理环境下，内部审计对象的经济业务运作方式、控制措施及作为审计线索和审计证据的财务、非财务数据与传统的手工数据处理环境下有了很大的区别，这就要求内部审计人员不仅要掌握审计知识，还应掌握信息化数据处理的知识，这就对内部审计人员的素质提出了更高的要求。

（三）缺少必要的内部审计软件辅助内审工作。现有的大多数财务软件并没有相应的审计工作子模块，而且所用的计算机语言并不统一，审计软件与财务软件的接口问题非常突出。同时多数审计软件都是不同部门独立开发的，并不能满足内审工作的普遍需求。

二、会计信息化环境下，内部审计面临的风险

（一）技术性风险

1、会计信息系统的使用使原来不相容职责界限模糊，舞弊机会增加，内部审计难度提高。会计信息系统仅依靠不同的用户名来区分，使原来不相容的职责界限模糊，处理财务信息的管理人员一般都能了解到财务信息的处理流程，以及计算机程序中的内部控制流程。因此，一个具有高级权限的财务人员可能担负很多不相容的职责，如授权、记录、保管、审核等等，甚至信息系统管理人员还可以直接在数据库后台更改财务数据。这种情况为舞弊提供了机会，而这种舞弊内审人员很难发现，即便有所察觉也很难找到问题的症结所在，从而导致内部审计控制风险的增加。

2、计算机数据处理系统在不同的终端上获取财务数据，使财务报表的安全性受到挑战。由于数据库的特点就是减少数据冗余，不同的单据报表从各个模块中获取数据，只是显示的方式有所区别。在信息化环境下，数据可能直接从计算机终端输入服务器，而没有以纸质的形式保留下来。例如销售员可以在远程终端上直接将客户订货资料输入计算机，而客户在确认的时候也可以使用电子签名。由于计算机数据处理系统的操作可以在不同的终端（甚至是远程终端）上进行，数据和程序可能在多处被存取修改，计算机数据处理系统具有高度的一致性，如果程序是正确的，它的处理结果和控制过程总是正确的，如果程序存在错误，这种错误也将不断地重复，而程序自身无法自己发现和纠正。这使得数据处理系统的可靠性更加依赖程序的正确与否。如果没有有效的防护措施，财务数据的安全性就很难保证。内审人员获取错误财务数据的风险加大。

3、会计信息化使得内部控制测试变得复杂，内部控制风险增加。会计信息化环境下，单位会对经营的各个业务流程进行整合，以求效益的最大化，这使得企业业务流程控制点较手工环境下复杂。评估财务信息系统控制的实现状况也相对困难，如果不熟悉业务流程，不对整个信息系统进行全面的测试，只在财务核算这一个模块上打转，就很难发现缺失的控制环节。

（二）内部审计工作自身的风险

1、获取审计线索的难度加大。在会计信息化环境下，财务系统只是打印汇总结果，缺乏纸质的业务轨迹，而这种业务流程是重要的审计线索。因此对业务流程的分析，及相关的资料需要内审人员自己筛选整理，加大了内部审计的检查风险。

2、获取进入财务信息系统的难度加大。计算机是依靠磁性介质储存，这些存储介质对物理损伤、非法篡改的防护比较脆弱，较手工环境下的纸质介质更容易损坏。例如温度、湿度，以及不适当的操作都很容易造成数据的丢失，增加了内审人员获取进入财务信息系统的难度。

3、审计模式及人员知识结构相对滞后。一是由于会计信息化环境下，审计对象的经济业务运作方式、控制措施都呈现出不同于手工环境或简单电算化环境的新特征，内审人员往往需要综合考虑管理信息系统中的各个模块，而不仅仅局限于财务核算系统，传统的审计技术方法已不能满足要求。对于复杂的计算机数据处理环境，需要专门的计算机审计专业人员介入到审计的过程中。二是抽样手段比较落后，无论采用判断抽样还是统计抽样，它都是根据审计人员的经验判断，没有spss（社会科学统计软件包）软件与审计工作配套。三是不具有管理系统审计能力，以及网络审计的相关知识与设备，抓不住管理系统的关键控制点，因此审计结果客观性与公允性不够。

4、内审人员的职业道德风险。内审人员在审计过程中往往能够接触到一些重要的资料，再加上计算机数据存取携带十分方便，一个小硬盘就能把一个大企业所有的核心资料全部带走。这些资料一旦泄漏，对单位影响将是巨大的。同时也会给内部审计工作的质量、信誉带来负面影响，严重时可能还要负法律责任。

三、针对上述内部审计的风险，我们提出以下对策

（一）对内部控制信息系统进行定期审计，改进内部审计技术方法

1、严格执行不相容岗位职责分离制度，一人不能兼多个不相容职位。内部审计人员要着重对系统的职责分离情况、操作权限设置进行审查，不能因为会计核算技术的改变而放松内部制约机制的审查，反而应加大审查力度，避免信息化环境下不相容职责界限模糊带来的舞弊机会增加的现象。

2、内部审计人员参与信息系统的开发，了解内部控制系统，对内部控制系统进行经常性审计，对内部控制过程存在的问题及时提出建议，促使内部控制信息系统充分有效利用。

3、加强内部控制信息系统审计，确保内部控制信息系统的健全性、遵循性和科学性。内部审计人员可以通过询问、观察、审阅系统文档、审查系统日志、系统配置文件及有关参数、设置电子文档等方式来评价内部控制信息系统的基本情况、各种性能和技术指标、潜在风险和控制措施，及内部控制执行情况，以确定对系统的依赖程度，进而确定详细测试中内部审计资源的分配策略。

（二）提高人员素质，改进审计方法，促进内部审计职业化

一是加强职业培训，提高内部审计人员素质，使其最大限度的满足信息化环境下的审计需要。在一些更为专业的领域，例如网络审计，内部审计人员不具有相关操作资格能力时，也可以借助外部技术力量完成自己的工作，这样也可以进一步降低由于知识更新所带来的风险。

二是在提高职业素质的基础上，也要对审计方法进行大胆的改进，采用以风险为导向的风险基础审计模式。即从审计准备阶段开始就考虑审计风险，运用分析性复核的方法，不仅对控制风险进行评价，同时更要对产生风险的各个要素进行分析和评价，以确定实质性测试的范围和重点，将审计风险观念全面应用于审计全过程。

三是实现内部审计职业化。内部审计是一项专业性和技术性都很强的工作，CIA的《内部审计实务标准》明确要求每名内部审计师都应该掌握履行其职责所需要的知识、技能和其他能力。其能力包括，严谨的工作作风和高度的责任心，扎实的会计、审计知识和审计技能，敏锐的分析能力和准确的判断能力，文字表达能力；具备经营管理知识，通晓财政经济法规，对本部门、本单位的生产经营有一定了解。这些都不是简单的培训可以做到的，必须职业化才能保证内审工作持续健康的发展下去。^