摘　要：深入分析信息化环境下审计的重点，包括评估信息系统风险、内部控制有效性、系统安全可靠性。如何确定评价标准、寻找审计线索、降低审计风险、如何审计评价、审计人员如何适应信息化要求等方面阐述审计重点难点。

　　关键词：信息系统;内部控制;审计

　　1 信息化环境对内部控制及审计的影响

　　（1）手工会计系统中严格的控制制度在信息化环境下逐渐减弱或消失。凭证要客观反映经济业务的实质，如发现错弊，凭证会成为追查责任的依据。在信息化环境下，终端操作者把业务直接输入计算机而没有留下任何凭证。

　　（2）手工会计系统所具有的分工功能逐渐被归并。在手工会计系统中，不相容岗位职责分离，如记录总帐和记录明细帐的职责要分工。在信息系统中，这些分工逐渐被并入电子数据处理系统中。

　　（3）信息系统可以自动授权、批准。在手工会计系统中，一项经济业务都要经过相关的人员签名（或盖章），但在先进的企业资源计划（ERP）系统，直接由电子数据处理功能取得授权、批准。

　　（4）信息化环境下数据容易丢失、被盗窃和被篡改。在手工会计系统中，由于各项经济业务以书面记录，如果控制适当，不易丢失或被复制，即使舞弊人员篡改帐表单证也会留下痕迹。但在信息系统中，各项经济业务存储于磁介质，是肉眼不可见的，而且这些磁介质在受热、受潮或强电磁场下都会损坏。因此，存储于磁介质的信息有较大的灭失风险。

　　（5）磁介质的信息缺乏证明力。在手工会计系统中，信息被记录于凭证、账簿，以纸作为载体，如果改动会留下痕迹。在信息系统中，主要以磁盘、磁带等作为信息载体，如前所述，对磁介质的数据和程序修改可不留痕迹，被复制后的数据很难区分正副本，如果仅依靠磁介质载体，可能造成责任不清、真伪难辨，使审计证据缺乏法律效力。

　　（6）数据与责任高度集中。在手工会计系统中，许多资料被分散保存，未经授权人员很难浏览所有数据。但在信息环境下，大部分经营数据集中于电子数据处理部门，如果缺乏适当的控制，未经授权人员可能通过外部指令、甚至远程入侵系统，机密数据很可能被非法复制或篡改。

　　数据高度集中的主要风险是责任高度集中。在信息环境下，原始数据一经输入计算机，就由计算机按程序指令自动处理，主要责任都高度集中于电子数据处理系统。

　　（7）差错反复发生。在手工会计系统中，数据处理由多个人完成，一个部门或人员的差错大部分可以在下一个环节被发现并改正。在信息系统中，在某个环节发生错误很可能在短时间内使得相应的文件、账簿乃至整个系统的信息失真。如果是应用程序产生错误，计算机会反复产生错误结果。

　　（8）信息系统没有留下充分的审计线索。在信息化环境下，各类数据文件都存储在磁介质中，设计者如果没有考虑审计的需要，在系统中设置跟踪程序的话，很难留下有价值的审计线索，加大审计难度。

　　2 系统内部控制审计的重点

　　2.1 测评信息系统内部控制的风险

　　内部控制与企业的风险策略紧密联系，促成公司治理与内部控制之间良性的互动关系。通过内部审计视角，对经营中不断变化的风险因素进行观察，对管理的缺陷或失败进行快速报告，促使董事会和高级管理层做出快速反应，及时防范和纠正不正当行为，使内部审计有机地融入公司治理和风险管理过程中，发挥内部审计在管理中的作用，促进企业提高管理风险能力。

　　信息系统的风险管理主要指信息系统内部控制能够识别影响组织目标实现的风险并建立风险管理预警机制。审计任务是评价风险管理机制的健全性和有效性，发现可能存在的漏洞，分析这些漏洞风险，提出审计建议。重点包括：可能引发风险的因素，风险发生的概率和后果，管理风险的能力，管理风险的具体方法及效果。

　　在审计过程中需要使用风险分析工具。风险分析为评价内部控制提供一个量化的分析工具，计算公式是：

　　一定期间的风险损失额=平均风险损失×风险发生的概率

　　风险评估不仅重视与内部控制系统直接相关的因素，还重视环境因素，审计人员不仅依据实质性测试结果，还应该观察其审计环境形成审计结论。因此审计师在执行测试时，除了财务数据分析，还要对被审计单位的经营与战略、长期发展目标、服务与市场、经营渠道、主要客户、使用材料以及竞争环境等进行研究。

　　2.2 测评信息系统内部控制的健全有效性

　　在风险评估的基础上，从一般控制和应用控制两方面评价信息系统有关控制的健全和有效性。一般控制是对系统构成要素及数据处理环境的控制，包括组织控制、硬件和软件控制、系统安全控制、系统开发与维护控制等，是信息系统安全可靠运行和处理的前提。应用控制对具体功能模块及业务数据处理过程各环节的控制，包括输入控制、处理控制和输出控制。

　　评价一般控制，主要关注被审计单位的控制环境，包括经济性质和经营类型、经营理念、组织文化、组织结构、职责分工及员工胜任能力、人力资源政策及其执行等要素。审计重点关注：信息系统的内容及管理权限的集中程度、管理行为守则的健全性和有效性、管理层对逾越既定控制程序的态度、组织文化、员工操作熟练程度、系统重要岗位人员的权责及其胜任能力等等。

　　评价应用控制，主要评价既有控制的适当性、合法性、有效性，控制活动主要包括所有经营活动应有适当的授权、不相容职务应当分离、有效控制凭证和记录的真实性、资产和记录的接近限制、独立业务审核等。内部审计审查重点为：控制活动建立的适当性、对风险的识别和处理、对管理目标实现的作用、执行的有效性。

　　2.3 测评信息系统的安全可靠性

　　（1）数据通讯的控制测试。数据通讯控制的总目标是数据通道的安全与完整，是防止和纠正设备的失灵、数据丢失或失真、来自Internet及内部的非法存取。为了达到上述目标，审计人员可执行的测试有：抽取一组数据进行传输，传输结果与原文件进行比较，检查数据失真的可能性；检查有关的数据通讯记录，证实数据接收是否正确有序；用非授权的请求测试通讯回叫技术的运行情况；检查密钥管理和口令控制程序，确认口令文件是否加密、密钥是否安全；发送测试信息测试加密过程，检查信息通道上不同点上的信息；检查防火墙是否控制有效。

　　（2）硬件系统的控制测试。审计目标是评价硬件控制的适当性与有效性。测试的重点包括：实体安全、火灾报警防护系统、使用记录、后备系统、操作规程、容灾计划等。审计人员应检查实物安全控制措施是否适当、是否适当记录与定期分析故障，容灾计划是否适当，硬件接触是否授权，硬件资料归档是否完整等。

　　（3）软件系统的控制测试。软件系统包括系统软件和应用软件，最主要的是操作系统、数据库系统和会计应用软件。硬件测试目标是防止硬件失灵、黑客、病毒、超级用户的破坏等，保障系统正常运行。软件测试主要有检查软件产品是否正版，防治病毒措施是否适当，系统接触控制是否严格，软件和数据的备份是否恰当，系统操作权限划分是否合适等等。

　　（4）数据资源的控制测试。数据控制目标包括两方面：一是数据备份，为恢复被丢失、损坏或被干扰的数据，系统应有足够备份；二是未经授权的个人不能存取数据库。审计测试应检查系统的备份和安全措施是否得当有效。根据系统的授权表，检查存取控制的有效性。

　　（5）系统安全产品的测试。随着网络系统安全的日益重要，各种网络安全的软硬件产品应运而生，如VPN、防火墙、身份认证产品、CA产品等等。审计人员应对这些产品是否有效进行测试与评价。例如，检查安全产品是否经过认证机构或公安部部门的认证，产品的销售商是否具有销售许可证，产品的安全保护功能是否发挥作用等。

　　3 信息系统内部控制审计的难点

　　难点之一：如何确定评价标准。国际内部审计师协会的《内部审计实务标准》指出，评价控制需要遵循适当的标准。审计师首先应查明管理层制定的、用于衡量绩效的标准是否适当。如果认为已有标准不合适，内部审计师应向管理层报告，并与管理层合作制订适当的评价标准或者可以基于组织利益最大化的原则选择适当的评价标准。

　　难点之二：如何寻找审计线索。手工系统的审计线索主要是纸质凭证、账簿和报表等，肉眼可见。但在信息化环境下，由于引入计算工具、磁存储和网络技术，导致审计线索逐渐减少甚至消失，机内的日志文件又可删除，保存在磁盘的会计数据加以修改或删除都可以不留痕迹，这些都削弱了审计线索，减少审计过程中发现错误的机会。

　　为适应信息化的要求，审计必须改进和创新审计程序。首先，改进审计信息的收集方法,如在设计信息系统时，应嵌入审计信息收集程序和审计模块，审计人员可以通过专业审计软件，从信息系统中获取审计任务所要求的信息。其次，改进和创新审计程序。应用并行模拟审计技术和分析性复核程序查找审计线索和证据。

　　难点之三：如何降低审计风险。审计风险由固有风险、控制风险和检查风险组成。在信息环境下，首先是由于机器故障、操作失误、程序处理和网络传输故障、计算机病毒和黑客攻击等存在的可能性，使得内部审计固有风险的变数增加。其次是控制风险复杂化。再次，检查风险复杂化。

　　降低审计风险必须从以下三个方面着手：

　　（1）降低固有风险。首先，加强信息环境下的网络安全，确保信息的真实完整。通过配置可靠的硬件设备，采用先进的加密算法，建立安全性高的局域网，确保信息安全，降低会计和业务数据被盗用、篡改和丢失的可能性。其次，完善系统设计，留下清晰的审计线索。

　　（2）降低控制风险。首先，完善内部控制，通过操作员职责分离、授权，要求用户定期修改自己的密码，通过软件设计分若干功能模块设置不同责任中心（岗位）。其次，依靠先进的网络和软硬件平台减少数据异常。再次，加强企业与银行之间的合作，保障电子支付安全。

　　（3）降低检查风险。面对新的审计环境，审计人员应掌握相关信息技术，学会利用计算机和优良的审计软件，采用更有效审计程序和审计方法，降低检查风险。

　　难点之四：如何评价系统内部控制。审计评价是审计对事实的客观反映，主要从控制环境、风险管理、控制活动、信息与沟通、监督等方面着手，评价被审单位内控的有效性，需遵循以下原则：

　　（1）不拘泥格式，承前启后。评价结果要与前期的审计评价和外部审计评价相结合，不能出现相互抵触和矛盾的结论。

　　（2）要避轻就重，客观反映。内控制度没有标准，在评价内控制度时，实是事求，多提有建设性建议，披露审计发现的问题要重点突出、层次分明、逻辑严密、理据充分。

　　难点之五：审计人员如何适应信息化环境的需求。由于审计环境、审计线索、安全控制、审计内容和审计技术的改变，给审计人员带来新的挑战。内部控制审计从宏观角度对整个控制流程进行检查和评价，揭示问题所在，这对审计人员提出更高的要求，由于大部分审计人员受计算机业务水平的限制，经常绕过计算机程序，较少利用计算机辅助审计技术，很可能对审计结果产生不利的影响。