一、信息系統(tǒng)審計(jì)概述

　　（一）信息系統(tǒng)審計(jì)的概念

　　信息系統(tǒng)審計(jì)是審計(jì)全過(guò)程的一個(gè)組成部分，目前還沒(méi)有固定通用的定義，美國(guó)信息系統(tǒng)審計(jì)的權(quán)威專家RonWeber將它定義為“收集并評(píng)估證據(jù)以決定一個(gè)計(jì)算機(jī)系統(tǒng)（信息系統(tǒng)）是否有效做到保護(hù)資產(chǎn)、維護(hù)數(shù)據(jù)完整、完成組織目標(biāo)，同時(shí)最經(jīng)濟(jì)的使用資源”。筆者認(rèn)為，信息系統(tǒng)審計(jì)是一個(gè)獲取并評(píng)價(jià)證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過(guò)程。它是立足于組織的戰(zhàn)略目標(biāo)，為有效的實(shí)現(xiàn)組織戰(zhàn)略目標(biāo)而采取的一切活動(dòng)過(guò)程。其業(yè)務(wù)范圍包括與信息系統(tǒng)有關(guān)的所有領(lǐng)域，例如信息系統(tǒng)安全審計(jì)、網(wǎng)譽(yù)審計(jì)、電子簽名審計(jì)業(yè)務(wù)等。

　　（二）信息系統(tǒng)審計(jì)的內(nèi)容和方法

　　⒈對(duì)信息系統(tǒng)功能的審計(jì)。可分四個(gè)方面進(jìn)行：輸入控制審計(jì)、數(shù)據(jù)處理過(guò)程審計(jì)、輸出控制審計(jì)、系統(tǒng)安全審計(jì)。

　　①輸入控制審計(jì)。主要檢查軟件能否保證輸入數(shù)據(jù)的正確性、可靠性和完整性，有沒(méi)有設(shè)置對(duì)誤操作的防范和糾正功能。實(shí)地觀察輸入界面錄入要素是否全面，對(duì)關(guān)鍵要素的錄入是否進(jìn)行了約束，分析數(shù)據(jù)庫(kù)數(shù)據(jù)，對(duì)系統(tǒng)輸入的字段進(jìn)行驗(yàn)證，主要驗(yàn)證關(guān)鍵字段格式是否規(guī)范，內(nèi)容是否正確、完整，相關(guān)數(shù)據(jù)的關(guān)系是否正確、合法。采用測(cè)試數(shù)據(jù)進(jìn)行測(cè)試，設(shè)計(jì)一些虛擬數(shù)據(jù)，提交系統(tǒng)進(jìn)行處理，以測(cè)試系統(tǒng)輸入控制是否存在。測(cè)試數(shù)據(jù)時(shí)要注意不要對(duì)信息系統(tǒng)數(shù)據(jù)造成影響。

　　②數(shù)據(jù)處理過(guò)程審計(jì)。主要檢查軟件處理過(guò)程的正確性和合法性。審查軟件是否存在“后門(mén)”或“漏洞”，數(shù)據(jù)在處理過(guò)程中有無(wú)丟失、增加、重復(fù)或不恰當(dāng)?shù)母淖儯粚彶檐浖欠裉峁┝酥С窒到y(tǒng)進(jìn)行非法處理或違法處理的功能。依據(jù)被審計(jì)單位的實(shí)際業(yè)務(wù)，設(shè)計(jì)一個(gè)模擬程序，將被審計(jì)單位的真實(shí)數(shù)據(jù)用模擬程序重新處理一遍，把處理的結(jié)果與被審程序的處理結(jié)果進(jìn)行比較，以確定被審程序的處理和控制功能是否可靠或被修改。用一批預(yù)先設(shè)計(jì)好的檢測(cè)數(shù)據(jù)（包括正常的、有效的業(yè)務(wù)和不正常的、無(wú)效的業(yè)務(wù)數(shù)據(jù)），利用被審程序加以處理，并把處理的結(jié)果與預(yù)期的結(jié)果作比較，以確定被審程序的控制與處理功能是否恰當(dāng)。

　　③輸出控制審計(jì)。主要檢查系統(tǒng)能否確保輸出數(shù)據(jù)沒(méi)有被丟失、誤導(dǎo)、破壞，確保輸出數(shù)據(jù)的完整性和正確性，確保輸出結(jié)果只提交給有權(quán)使用的人員。查閱各種紙質(zhì)資料、報(bào)表，并與電子數(shù)據(jù)比較，分析有無(wú)非法修改數(shù)據(jù)的情況；依據(jù)業(yè)務(wù)性質(zhì)和需要，確定輸出結(jié)果能否滿足工作需要。

　　④系統(tǒng)安全審計(jì)。主要檢查軟、硬件配置和網(wǎng)絡(luò)平臺(tái)是否能夠保證系統(tǒng)安全可靠地運(yùn)行，有無(wú)數(shù)據(jù)丟失、損壞、泄密的風(fēng)險(xiǎn)。軟件安全控制主要審查軟件禁止非法使用和禁止越權(quán)使用的控制能力。包括軟件內(nèi)部固化的操作流程、角色設(shè)置、權(quán)限分配、密碼控制。通過(guò)查閱軟件設(shè)計(jì)文檔、操作手冊(cè)，實(shí)際操作等方法，分析系統(tǒng)中角色設(shè)置、權(quán)限分配是否合理、可靠。通過(guò)分析后臺(tái)數(shù)據(jù)，檢查操作人員的口令是否加密保存，有無(wú)空口令、弱口令，系統(tǒng)是否設(shè)置了操作日志。對(duì)重要數(shù)據(jù)，系統(tǒng)是否提供了有痕跡的更正功能。檢查局域網(wǎng)與外接網(wǎng)絡(luò)的聯(lián)接方式，網(wǎng)絡(luò)中安全設(shè)備的設(shè)置是否正確、有效，數(shù)據(jù)傳輸是否安全，是否建立了系統(tǒng)備份和系統(tǒng)恢復(fù)機(jī)制并有效運(yùn)行，系統(tǒng)管理人員對(duì)系統(tǒng)的日常維護(hù)是否及時(shí)。

　　⒉對(duì)信息系統(tǒng)應(yīng)用方面審計(jì)可分三個(gè)方面進(jìn)行：內(nèi)部控制審計(jì)、系統(tǒng)應(yīng)用的合法性審計(jì)、信息系統(tǒng)的自我完善能力審計(jì)。

　　①內(nèi)部控制審計(jì)主要審查信息系統(tǒng)環(huán)境下的內(nèi)部控制的健全性、合理性和有效性。實(shí)際崗位設(shè)置、人員分工是否與軟件中的角色設(shè)置、權(quán)限分配相適應(yīng)，實(shí)際業(yè)務(wù)工作流程是否與軟件固化的工作流程相適應(yīng)，不相容職能分離控制措施及執(zhí)行情況；

　　②系統(tǒng)應(yīng)用的合法性審計(jì)主要通過(guò)對(duì)數(shù)據(jù)分析來(lái)完成；

　　③信息系統(tǒng)的自我完善能力審計(jì)主要從以下方面檢查：一是是否建立了有效的應(yīng)用情況反饋機(jī)制；二是信息部門(mén)能否及時(shí)修正系統(tǒng)的不足和錯(cuò)誤。

　　二、信息系統(tǒng)審計(jì)的必要性

　　20世紀(jì)90年代后期至今，會(huì)計(jì)電算化已逐步走向成熟，而企業(yè)的信息化建設(shè)并沒(méi)有就此止步，以ERP、MRP-Ⅱ?yàn)榇淼钠髽I(yè)信息系統(tǒng)的高度集成逐漸開(kāi)始興起。這時(shí)的企業(yè)信息系統(tǒng)不僅僅是一個(gè)孤立的系統(tǒng)，而是集財(cái)務(wù)、人事、供銷、生產(chǎn)為一體的綜合性的信息系統(tǒng)，財(cái)務(wù)信息只是這個(gè)系統(tǒng)所處理信息的一部分，單獨(dú)的財(cái)務(wù)系統(tǒng)已不存在。在這種情況下，審計(jì)人員只有對(duì)整個(gè)系統(tǒng)進(jìn)行全面了解，才能把握審計(jì)對(duì)象的總體情況，避免審計(jì)風(fēng)險(xiǎn)，將審計(jì)成果最大化。

　　從企業(yè)信息化的發(fā)展歷史可以看出，由于審計(jì)人員所面臨的審計(jì)對(duì)象的不斷變化，促使審計(jì)方式也隨之改變，信息系統(tǒng)審計(jì)便應(yīng)運(yùn)而生。由于我國(guó)的信息系統(tǒng)審計(jì)工作尚未完全開(kāi)展，一些計(jì)算機(jī)審計(jì)的探索與嘗試仍然局限在電子數(shù)據(jù)的采集與處理領(lǐng)域，對(duì)信息系統(tǒng)的安全與控制的問(wèn)題還沒(méi)有充分的認(rèn)識(shí)。從邏輯上講，對(duì)系統(tǒng)的依賴是現(xiàn)代審計(jì)的基本策略，如果被審計(jì)對(duì)象全面采用計(jì)算機(jī)化的信息系統(tǒng)，而審計(jì)人員又沒(méi)有對(duì)信息系統(tǒng)進(jìn)行了解和審計(jì)，那么這種審計(jì)得出結(jié)論的可靠性就要受到質(zhì)疑。政府審計(jì)在這方面所面臨的問(wèn)題日益嚴(yán)峻，“不搞計(jì)算機(jī)審計(jì)，我們就會(huì)失去審計(jì)的資格”已經(jīng)逐漸成為審計(jì)界的共識(shí)，作為國(guó)家審計(jì)機(jī)關(guān)，在規(guī)劃審計(jì)工作時(shí)應(yīng)意識(shí)到這一點(diǎn)，對(duì)被審計(jì)單位的信息系統(tǒng)進(jìn)行審計(jì)已迫在眉睫。

　　三、信息系統(tǒng)審計(jì)中存在的問(wèn)題

　　由于政府信息系統(tǒng)審計(jì)還處于探索階段，還存在相當(dāng)多的問(wèn)題，需要審計(jì)機(jī)關(guān)及審計(jì)人員進(jìn)一步去研究、去思考，進(jìn)而找出解決問(wèn)題的辦法。

　　一是審計(jì)目標(biāo)不清晰。審計(jì)目標(biāo)分為總體目標(biāo)和具體目標(biāo)。審計(jì)的總體目標(biāo)主要包括被審計(jì)單位信息系統(tǒng)的真實(shí)、合法、效益，在對(duì)系統(tǒng)內(nèi)控及信息系統(tǒng)審計(jì)時(shí)，要對(duì)被審計(jì)單位的財(cái)務(wù)收支及其經(jīng)濟(jì)活動(dòng)的真實(shí)、合法、效益做結(jié)論。然而，在制定具體目標(biāo)這一層次時(shí)，要充分考慮具體行業(yè)的審計(jì)目標(biāo)，金融有金融的，企業(yè)有企業(yè)的，行政事業(yè)有行政事業(yè)的，而且可能每一次審計(jì)的重點(diǎn)不一樣，領(lǐng)導(dǎo)要求不一樣，具體目標(biāo)就會(huì)有所不同。在審計(jì)實(shí)施過(guò)程中，部分審計(jì)機(jī)關(guān)及審計(jì)人員不能把握總體審計(jì)目標(biāo)與具體目標(biāo)的界限，籠統(tǒng)地進(jìn)行表述，不具備操作性、指導(dǎo)性。

　　二是審計(jì)觀念存在誤區(qū)。合法性為唯一目標(biāo)發(fā)展的傾向。大部分審計(jì)機(jī)關(guān)在實(shí)施信息系統(tǒng)審計(jì)審計(jì)時(shí)，十分注重查處問(wèn)題，把結(jié)果最大化，好像只有查找出大案要案，才能證明我們信息化的成果，才發(fā)揮了計(jì)算機(jī)審計(jì)的作用，而忽略運(yùn)用具體的審計(jì)方法。這實(shí)際上影響了我們的計(jì)算機(jī)審計(jì)工作，容易產(chǎn)生誤導(dǎo)。筆者認(rèn)為，信息系統(tǒng)審計(jì)不能說(shuō)合法性審計(jì)目標(biāo)不重要，它絕對(duì)重要，但真實(shí)性和效益性與它同等重要。因此，在審計(jì)過(guò)程中，不能僅僅扣住合法性，當(dāng)成唯一的一個(gè)目標(biāo)。

　　三是審前調(diào)查和審計(jì)測(cè)試界限不清。在進(jìn)行信息系統(tǒng)審計(jì)時(shí)，大部分審計(jì)人員不能分清調(diào)查和測(cè)試的概念，進(jìn)而影響審計(jì)質(zhì)量。因?yàn)檎{(diào)查的方法和測(cè)試的方法是不一樣的，調(diào)查時(shí)候要大量地運(yùn)用座談、查閱文檔等方法，測(cè)試的時(shí)候就需要大量地操作數(shù)據(jù)。審前調(diào)查和審計(jì)測(cè)試界限不清，表明審計(jì)人員在信息系統(tǒng)流程上存在很多模糊的認(rèn)識(shí)，以及“拿捏”不準(zhǔn)的地方，不能從本質(zhì)上分清調(diào)查、測(cè)試、評(píng)價(jià)的界限，勢(shì)必影響信息系統(tǒng)審計(jì)的規(guī)范化。

　　四是對(duì)控制的審計(jì)有所偏重。筆者認(rèn)為，信息系統(tǒng)控制包括兩類：一是對(duì)系統(tǒng)的控制，二是系統(tǒng)對(duì)業(yè)務(wù)的控制。系統(tǒng)控制不嚴(yán)密則容易出問(wèn)題，系統(tǒng)設(shè)置目的是為控制業(yè)務(wù)，兩個(gè)都很重要，缺一不可。然而，審計(jì)機(jī)關(guān)大部分信息系統(tǒng)審計(jì)更加偏重系統(tǒng)對(duì)業(yè)務(wù)的控制，導(dǎo)致審計(jì)內(nèi)容不完整，影響審計(jì)評(píng)價(jià)。

　　四、信息系統(tǒng)審計(jì)的發(fā)展策略

　　㈠建立完備的信息系統(tǒng)審計(jì)專業(yè)人才隊(duì)伍

　　政府審計(jì)機(jī)關(guān)開(kāi)展信息系統(tǒng)審計(jì)，需要一批既掌握現(xiàn)代審計(jì)理論知識(shí)又了解計(jì)算機(jī)技術(shù)的復(fù)合型人才，從目前的人員數(shù)量和知識(shí)結(jié)構(gòu)上看，還遠(yuǎn)遠(yuǎn)達(dá)不到審計(jì)工作目標(biāo)要求。因此，審計(jì)部門(mén)要適應(yīng)時(shí)代發(fā)展，采取各種方式方法，加強(qiáng)這類人才的培養(yǎng)，進(jìn)一步推動(dòng)信息系統(tǒng)審計(jì)工作的開(kāi)展。

　　㈡建立獨(dú)立客觀的專家審計(jì)系統(tǒng)

　　專家審計(jì)系統(tǒng)是一種以知識(shí)為基礎(chǔ)、智能化的計(jì)算機(jī)軟件系統(tǒng)，將專家的知識(shí)、經(jīng)驗(yàn)加以總結(jié)，形成規(guī)則，存入計(jì)算機(jī)建立知識(shí)庫(kù)，采用合適的控制策略，按輸入的原始數(shù)據(jù)進(jìn)行推理、演繹，作出判斷。建立專家審計(jì)系統(tǒng)能夠大大提高信息系統(tǒng)審計(jì)工作的效率，保持審計(jì)工作的客觀、公正、獨(dú)立。

　　㈢加強(qiáng)計(jì)算機(jī)應(yīng)用系統(tǒng)與審計(jì)軟件之間的對(duì)接

　　為了節(jié)省審計(jì)人員的時(shí)間和精力，提高審計(jì)工作效率，被審計(jì)單位財(cái)務(wù)軟件必須進(jìn)一步改善，建立標(biāo)準(zhǔn)的審計(jì)數(shù)據(jù)接口，增加數(shù)據(jù)轉(zhuǎn)換的模塊，使不同格式的數(shù)據(jù)能夠轉(zhuǎn)換成審計(jì)需要的格式，為審計(jì)軟件系統(tǒng)所識(shí)別，設(shè)計(jì)相應(yīng)的內(nèi)部控制監(jiān)控子系統(tǒng)，以便與審計(jì)軟件系統(tǒng)配合使用，實(shí)現(xiàn)二者的有機(jī)結(jié)合。

　　㈣適時(shí)出臺(tái)信息系統(tǒng)操作指南

　　目前，政府審計(jì)機(jī)關(guān)關(guān)于信息系統(tǒng)審計(jì)的依據(jù)主要有修訂后的《中華人民共和國(guó)審計(jì)法》、《國(guó)務(wù)院辦公廳關(guān)利用計(jì)算機(jī)信息系統(tǒng)開(kāi)展審計(jì)工作有關(guān)問(wèn)題的通知》（國(guó)辦發(fā)「2001」88號(hào)）等文件。這些法律法規(guī)的出臺(tái)，給審計(jì)部門(mén)提供了信息系統(tǒng)審計(jì)工作的依據(jù)。但是這些規(guī)定只賦予了審計(jì)部門(mén)開(kāi)展信息系統(tǒng)審計(jì)的法律保證，至于具體的審計(jì)依據(jù)和操作規(guī)程則沒(méi)有明確，可操作性不強(qiáng)。筆者認(rèn)為，國(guó)家審計(jì)署和財(cái)政部應(yīng)進(jìn)一步加強(qiáng)協(xié)作，適時(shí)出臺(tái)具體的信息系統(tǒng)審計(jì)操作指南和規(guī)程，以便更好的指導(dǎo)審計(jì)人員完成工作。