王紅瑞

摘要：隨著整個社會信息化程度的不斷提高，信息系統(tǒng)審計也日益得到審計界越來越多的重視，然而怎樣開展信息系統(tǒng)審計仍然是困擾廣大審計人員的一個問題。本文在描述信息系統(tǒng)審計發(fā)展與國內(nèi)信息系統(tǒng)審計現(xiàn)狀的基礎(chǔ)上，通過對政府審計、社會審計與內(nèi)部審計的對比，指出他們應(yīng)該在信息系統(tǒng)審計方面分工協(xié)作，以構(gòu)建我國合理的信息系統(tǒng)審計監(jiān)督體系，并提出了關(guān)于分工協(xié)作的具體建議。

關(guān)鍵詞：信息系統(tǒng)審計；政府審計；社會審計；內(nèi)部審計

信息系統(tǒng)審計是信息化發(fā)展到一定程度的必然結(jié)果。它是一個通過收集和評價審計證據(jù)，對信息系統(tǒng)能否保護資產(chǎn)安全、維護數(shù)據(jù)完整、有效實現(xiàn)組織目標、高效使用組織資源等方面做出判斷的過程。

一、信息系統(tǒng)審計的發(fā)展與國內(nèi)信息系統(tǒng)審計現(xiàn)狀

早在大型計算機時代的1954年，美國通用電氣公司就實現(xiàn)了會計電算化。那時審計人員沒有能力檢查計算機系統(tǒng)的內(nèi)部處理過程，只能根據(jù)原始數(shù)據(jù)對處理結(jié)果進行人工核對，被稱為“黑盒審計”。隨著計算機應(yīng)用技術(shù)的發(fā)展，財務(wù)軟件和業(yè)務(wù)軟件迅猛增長，客觀上要求審計人員關(guān)注EDP（電子數(shù)據(jù)處理）。1973年，Touche Ross審計事務(wù)所首次檢查美國權(quán)益融資公司電算化系統(tǒng)的計算機處理過程，開啟了“白盒審計”時代。

1968年，美國注冊會計師協(xié)會出版了《審計和EDP》，介紹如何開展EDP審計、如何進行內(nèi)部控制檢查。1969年，信息系統(tǒng)審計組織——EDP審計師協(xié)會正式成立；1977年，它出版了COBIT（信息及相關(guān)技術(shù)環(huán)境下的控制目標）行業(yè)標準；1978年，它推出了CISA（國際注冊信息系統(tǒng)審計師）資格認證；1994年，該協(xié)會更名為ISACA（信息系統(tǒng)審計與控制協(xié)會），這反映了人們對計算機審計的關(guān)注重點從電子數(shù)據(jù)審計轉(zhuǎn)向系統(tǒng)控制審計；1999年，它開始研究IT治理，并提供了信息及其相關(guān)技術(shù)的管理體系模型和最佳實務(wù)；2002年，它又推出了CISM（國際注冊信息安全經(jīng)理）資格認證。2002年美國政府出臺SOX法案，對上市公司的年度審計增加了信息系統(tǒng)控制審計方面的要求。

我國的信息系統(tǒng)審計起步較晚，20世紀90年代學術(shù)界才開始在國外信息系統(tǒng)審計發(fā)展成果的基礎(chǔ)上開展國內(nèi)信息系統(tǒng)審計發(fā)展的探索和研究。到目前為止，主流的應(yīng)用分為兩大類：一類是依據(jù)SOX法案，對在美國上市的國內(nèi)公司進行信息系統(tǒng)內(nèi)部控制測評；另一類是依據(jù)COBIT標準來評價信息系統(tǒng)的安全性、可靠性和有效性。

二、國家審計、社會審計和內(nèi)部審計的區(qū)別和聯(lián)系

我國的審計組織體系由國家審計、社會審計和內(nèi)部審計組成。

國家審計是指政府審計機關(guān)依法獨立監(jiān)督國務(wù)院各部門和地方各級政府、國有財政金融機構(gòu)和企事業(yè)單位組織的財政財務(wù)收支情況的真實性、合法性和效益性的行為。其目標有：1、審查被審計單位的會計帳表、憑證及相關(guān)資料，評價其是否真實、完整、公允地反映了該單位的財政財務(wù)收支狀況；2、評價被審計單位財政財務(wù)收支的合法性，審查其是否違反國家規(guī)定和相關(guān)財經(jīng)法規(guī)；3、評價被審計單位財政財務(wù)收支活動的效益性，審查其是否存在決策失誤、管理不善等造成的損失浪費和國有資產(chǎn)流失行為，是否存在不講效益、效率和效果的現(xiàn)象。

社會審計是注冊會計師接受委托，對被審計單位的會計報表及相關(guān)資料進行獨立審查，并對其是否真實、公允地反應(yīng)該單位的財務(wù)狀況和經(jīng)營成果做出鑒證。其職能有：1、替股東們揭露管理人員在業(yè)務(wù)經(jīng)管過程中有無舞弊行為；2、驗證財務(wù)報表是否真實公允地反映了公司財務(wù)狀況和經(jīng)營成果，發(fā)表一個具有職業(yè)權(quán)威的鑒證意見。

內(nèi)部審計是指在部門或單位負責人領(lǐng)導(dǎo)下的專職審計機構(gòu)或人員，對本部門、本單位的財政財務(wù)收支及各項經(jīng)濟活動的真實性、合法性和效益性進行審查和評價，以提出審計報告、意見和建議的一種經(jīng)濟監(jiān)督活動。其目標是發(fā)現(xiàn)企業(yè)管理中的漏洞及存在的問題，從而挖掘企業(yè)內(nèi)部潛力，改善經(jīng)營管理，提高經(jīng)濟效益，實現(xiàn)企業(yè)資源的最佳配置，增強企業(yè)的自我發(fā)展能力。

我們要處理好這三者的關(guān)系，讓它們各盡所能地執(zhí)行審計監(jiān)督，同時還要讓它們相互協(xié)作、共享有關(guān)審計資源，從而使整個社會的審計監(jiān)督成本最小化、審計效率最大化。在信息系統(tǒng)審計方面，國家審計、社會審計和內(nèi)部審計應(yīng)該分工協(xié)作，各有側(cè)重點地均衡發(fā)展，以構(gòu)建我國合理的信息系統(tǒng)審計監(jiān)督體系。

三、國家審計、社會審計和內(nèi)部審計在信息系統(tǒng)審計方面分工協(xié)作的建議

（一）國家信息系統(tǒng)審計工作思路為：

1.對于在財政財務(wù)收支審計、效益審計項目中涉及的信息系統(tǒng)審計，建議審計人員在詳細了解和初步評價信息系統(tǒng)內(nèi)部控制的基礎(chǔ)上，對內(nèi)部控制的薄弱環(huán)節(jié)實施數(shù)據(jù)審計；必要的時候再根據(jù)情況適當關(guān)注信息系統(tǒng)的軟硬件環(huán)境及其建設(shè)過程。

2. 對信息系統(tǒng)展開專項審計調(diào)查時，還應(yīng)對信息系統(tǒng)項目的整體效益進行審查，了解其功能設(shè)置能否滿足系統(tǒng)目標，評價其信息系統(tǒng)建設(shè)是否符合整個單位的信息化發(fā)展戰(zhàn)略及其業(yè)務(wù)發(fā)展戰(zhàn)略。

（二）社會信息系統(tǒng)審計工作的重點為：

1.注冊審計師應(yīng)當關(guān)注各種內(nèi)部控制框架，結(jié)合國內(nèi)實際開發(fā)上市公司信息系統(tǒng)內(nèi)部控制評價標準，為杜絕其財務(wù)舞弊提供法律約束和自律制衡機制。

除了COBIT框架中的相關(guān)內(nèi)容外，注冊審計師還應(yīng)當關(guān)注的其他標準有COSO框架（內(nèi)部控制——整體框架）和ITIL（信息技術(shù)基礎(chǔ)架構(gòu)庫）。盡管COSO框架并不是信息技術(shù)方面的內(nèi)部控制框架，但是由于它在審計領(lǐng)域的重要性，幾乎所有的信息系統(tǒng)審計的框架和指南都會考慮吸取它的主要思想作為內(nèi)部控制的考慮出發(fā)點。SOX法案把COSO框架作為組織加強內(nèi)部控制的唯一參考框架。ITIL為企業(yè)的IT服務(wù)管理實踐提供了一個客觀、嚴謹、可量化的標準和規(guī)范，它是目前普遍實行的“事實”上的標準。它包括了一系列適用于所有IT組織的最佳實踐——無論這些組織的規(guī)模如何，以及使用的是什么技術(shù)。

2.注冊審計師還應(yīng)當關(guān)注信息系統(tǒng)安全相關(guān)技術(shù)，緊跟國際潮流，參照國外SysTrust、WebTrust認證，結(jié)合國內(nèi)實際，加快國內(nèi)信息系統(tǒng)安全認證標準的研究和應(yīng)用。

20世紀90年代中期，互聯(lián)網(wǎng)在全球范圍內(nèi)普及。1998年由于軟件和程序的錯誤，AT&T公司的一臺主要交換機產(chǎn)生故障，使許多信用卡用戶在長達18個小時的時間里無法完成正常的交易。類似事件的發(fā)生使人們開始關(guān)注IT服務(wù)的可靠性問題，對信息系統(tǒng)的可靠性進行認證的服務(wù)應(yīng)運而生，這種認證被稱為SysTrust（信息系統(tǒng)安全認證），其標準被稱為“SysTrust原則與標準”，該標準由美國注冊會計師協(xié)會和加拿大特許會計師協(xié)會共同開發(fā)。

20世紀90年代末，電子商務(wù)迅速成為互聯(lián)網(wǎng)上的熱點應(yīng)用。2000年2月，雅虎、亞馬遜、易貝等許多大型電子商務(wù)公司遭到黑客攻擊，這使消費者對電子商務(wù)的信心受到影響，網(wǎng)絡(luò)公司開始關(guān)注如何進行自我保護，對電子商務(wù)網(wǎng)站的可靠性進行認證的服務(wù)應(yīng)運而生，這種認證被稱為WebTrust（網(wǎng)站認證），其標準被稱為“WebTrust原則與標準”，該標準由美國注冊會計師協(xié)會和加拿大特許會計師協(xié)會共同開發(fā)，目前歐洲的會計師協(xié)會也開始提供這項服務(wù)。

（三）內(nèi)部信息系統(tǒng)審計工作方面：

建議內(nèi)部審計師重點關(guān)注COBIT標準，協(xié)助本企業(yè)做好IT治理。

1999年，英國首先提出IT治理的概念，他們認為越來越多的企業(yè)風險是由內(nèi)部控制疏忽、信息技術(shù)失敗引起的。同年，ISACA成立了IT治理研究院，專門研究IT治理的概念，并提供了信息及其相關(guān)技術(shù)的管理體系模型和最佳實務(wù)。目前，該體系已在世界上100多個國家的重要組織中成功運用，指導(dǎo)這些組織有效利用信息資源、有效管理信息相關(guān)的風險。

內(nèi)部審計師應(yīng)當結(jié)合本單位實際來研究如何利用COBIT的IT治理最佳實踐標準、方法和工具，針對組織的信息系統(tǒng)進行審計，以發(fā)現(xiàn)組織信息系統(tǒng)在IT治理、安全、運維、開發(fā)及業(yè)務(wù)連續(xù)性等方面存在的技術(shù)脆弱性和管理薄弱環(huán)節(jié)，以適宜的方式向管理當局報告所發(fā)現(xiàn)的風險，并對風險進行持續(xù)的追蹤，不斷提高組織的IT風險控制水平。（作者單位：河南省審計干部培訓(xùn)中心）

參考文獻：

[1]康曉麗關(guān)于政府審計、民間審計和內(nèi)部審計比較的案例分析， 康曉麗

[2]石愛中副審計長在信息系統(tǒng)審計研討會上的講話， 石愛中