鐘玉林
(南京審計(jì)學(xué)院國際審計(jì)學(xué)院,江蘇 南京 210000)
2013年7月1日,基于云計(jì)算電子政務(wù)公共平臺(tái)國家標(biāo)準(zhǔn)編制工作正式啟動(dòng),這也拉開了我國電子政務(wù)云走向規(guī)范統(tǒng)一標(biāo)準(zhǔn)化模式的序幕。隨著電子政務(wù)云的發(fā)展,審計(jì)人員如何進(jìn)行審計(jì)也成了一個(gè)值得關(guān)注的話題,審計(jì)署也在嘗試解決這個(gè)問題,在審計(jì)署金審工程第三期需求研討會(huì)上對(duì)云計(jì)算在審計(jì)中的運(yùn)用進(jìn)行了探討。
云計(jì)算是一個(gè)新興的IT產(chǎn)物,它不僅是一種技術(shù),更是一種服務(wù)模式,云系統(tǒng)不僅能夠向用戶提供硬件即服務(wù)(HaaS)、軟件即服務(wù)(SaaS)、數(shù)據(jù)資源即服務(wù)(DaaS),而且還能夠向用戶提供能夠配置的平臺(tái)即服務(wù)(PaaS)。因此,用戶可以按需向計(jì)算平臺(tái)提交自己的硬件配置、軟件安裝、數(shù)據(jù)訪問需求(Wang L,Tao J,Kunze M,2008),而不需要知道后臺(tái)是如何運(yùn)行的。云計(jì)算將成百上千臺(tái)普通商用計(jì)算機(jī)匯聚成一個(gè)計(jì)算機(jī)集群,用戶根據(jù)自己的需求,要求增加或減少節(jié)點(diǎn)來擴(kuò)展或縮小存儲(chǔ)容量和計(jì)算資源。云計(jì)算資源池能兼容不同硬件廠商的產(chǎn)品,其通用性使資源的利用率較之傳統(tǒng)系統(tǒng)大幅提升,大多數(shù)用戶都可以使用。云計(jì)算的這些特點(diǎn)都改變了原有的商業(yè)模式,對(duì)會(huì)計(jì)業(yè)務(wù)產(chǎn)生了重大影響,使得會(huì)計(jì)信息系統(tǒng)向基于云計(jì)算的會(huì)計(jì)信息系統(tǒng)發(fā)展,這給作為鑒證業(yè)務(wù)的審計(jì)提出了挑戰(zhàn)。與此同時(shí),基于云計(jì)算的云審計(jì)概念的提出能夠減少工作中的簡單勞動(dòng),提高審計(jì)效率,解決審計(jì)中的一些難題,給審計(jì)技術(shù)與方法的發(fā)展和創(chuàng)新提供了機(jī)遇。
在云計(jì)算環(huán)境下,被審計(jì)單位采用的是基于云計(jì)算的會(huì)計(jì)信息系統(tǒng),數(shù)據(jù)存儲(chǔ)在供應(yīng)商的服務(wù)器上。要想完全信任服務(wù)器上的數(shù)據(jù)就需要保證供應(yīng)商提供的存儲(chǔ)和計(jì)算的環(huán)境是安全可信賴的。但事實(shí)上由于存在內(nèi)部人員失職、黑客攻擊及系統(tǒng)故障導(dǎo)致安全機(jī)制失效等多種風(fēng)險(xiǎn),云供應(yīng)商沒有充分的證據(jù)讓審計(jì)人員相信其環(huán)境是可信賴的。因此審計(jì)人員還需要對(duì)云服務(wù)進(jìn)行審計(jì),評(píng)價(jià)云系統(tǒng)是否合法合規(guī),是否準(zhǔn)確完整,是否安全可靠等。雖然被審計(jì)單位的數(shù)據(jù)存儲(chǔ)在供應(yīng)商的服務(wù)器上,但也要符合其內(nèi)部控制政策,審計(jì)人員還需識(shí)別、評(píng)價(jià)這些內(nèi)部控制。
在云計(jì)算環(huán)境下,分布在多個(gè)服務(wù)器上的文件如同位于網(wǎng)絡(luò)上的一個(gè)位置一樣,對(duì)外提供同一種服務(wù)。在云存儲(chǔ)下,審計(jì)人員無法確切地知道被審計(jì)單位存儲(chǔ)的數(shù)據(jù)以及計(jì)算過程發(fā)生在哪臺(tái)服務(wù)器中,也無法區(qū)分被審計(jì)單位與其他用戶的數(shù)據(jù),審計(jì)人員獲取充分適當(dāng)?shù)膶徲?jì)證據(jù)就會(huì)更加復(fù)雜。
隨著信息技術(shù)的高速發(fā)展,被審計(jì)單位的數(shù)據(jù)量有不斷增加的趨勢,從海量數(shù)據(jù)中發(fā)現(xiàn)問題的難度也隨之增加。數(shù)據(jù)挖掘的數(shù)據(jù)規(guī)模越來越大,數(shù)據(jù)挖掘的對(duì)象也越來越復(fù)雜,審計(jì)部門發(fā)展基于云的數(shù)據(jù)挖掘技術(shù)也是大勢所趨?;谠朴?jì)算的數(shù)據(jù)挖掘可以進(jìn)行分布式并行數(shù)據(jù)挖掘,實(shí)現(xiàn)高效實(shí)時(shí)的挖掘?;谠朴?jì)算的持續(xù)監(jiān)控將促進(jìn)持續(xù)審計(jì)的發(fā)展。審計(jì)人員將審計(jì)程序、技術(shù)與方法存儲(chǔ)在云端,對(duì)被審計(jì)單位云中的數(shù)據(jù)進(jìn)行持續(xù)的監(jiān)控和審計(jì),在發(fā)現(xiàn)異常時(shí)第一時(shí)間發(fā)出安全警報(bào),告知審計(jì)人員。
首先云計(jì)算本身的安全風(fēng)險(xiǎn)會(huì)帶來審計(jì)風(fēng)險(xiǎn)。審計(jì)人員在傳輸被審計(jì)單位信息和審計(jì)信息的過程中有沒有遺失、被截取,存儲(chǔ)的電子信息有沒有被攻擊、刪除、盜用、破壞。雖然存儲(chǔ)于云端的用戶信息應(yīng)當(dāng)歸屬于用戶,但是“云服務(wù)”供應(yīng)商具有控制權(quán),供應(yīng)商可能在沒有得到用戶允許的情況下有意或無意的刪除或轉(zhuǎn)讓其信息,在服務(wù)結(jié)束時(shí)或者在用戶刪除數(shù)據(jù)時(shí)仍保留備份。其次是法律責(zé)任帶來的審計(jì)風(fēng)險(xiǎn),即存儲(chǔ)于服務(wù)器中的電子記錄是否可以作為有效的證據(jù),在法庭上證明審計(jì)人員已遵守相關(guān)執(zhí)業(yè)準(zhǔn)則、規(guī)則確定的工作程序并保持了應(yīng)有的職業(yè)謹(jǐn)慎,不存在過失。
云計(jì)算環(huán)境下審計(jì)內(nèi)容、審計(jì)證據(jù)、審計(jì)技術(shù)與方法、審計(jì)風(fēng)險(xiǎn)等都發(fā)生了變化,應(yīng)建立與之相適應(yīng)的審計(jì)準(zhǔn)則,包括審計(jì)人員執(zhí)業(yè)標(biāo)準(zhǔn),云審計(jì)報(bào)告標(biāo)準(zhǔn),審計(jì)人員相關(guān)責(zé)任認(rèn)定標(biāo)準(zhǔn)等。同時(shí)法律法規(guī)也應(yīng)該賦予審計(jì)人員進(jìn)行云審計(jì)和對(duì)供應(yīng)商進(jìn)行審計(jì)的權(quán)利,合理劃分審計(jì)人員、被審計(jì)單位和供應(yīng)商關(guān)于信息安全的法律責(zé)任。
為了做好云審計(jì)的工作,審計(jì)人員除了掌握必要的審計(jì)知識(shí)、熟悉相關(guān)法律法規(guī)、執(zhí)業(yè)準(zhǔn)則外,還應(yīng)學(xué)會(huì)操作使用計(jì)算機(jī),掌握一定的網(wǎng)絡(luò)、云計(jì)算知識(shí),了解支撐審計(jì)系統(tǒng)的軟硬件系統(tǒng),并能操作處理云環(huán)境下審計(jì)程序所必需的電子數(shù)據(jù)。
云審計(jì)是中國注冊(cè)會(huì)計(jì)師率先提出的概念,到目前為止還沒有系統(tǒng)的闡述??梢哉f,云審計(jì)就是在云計(jì)算的基礎(chǔ)上搭建一個(gè)平臺(tái),將所有的審計(jì)信息上傳到云中,審計(jì)人員共享云中的所有數(shù)據(jù)和資源,使審計(jì)資源得到充分利用。這是信息技術(shù)發(fā)展中的一種必然變化,也是新時(shí)期下審計(jì)的一種需求。
聯(lián)網(wǎng)審計(jì)是一個(gè)復(fù)雜的系統(tǒng)工程,據(jù)測算,開展以地稅、社會(huì)保障等部門和會(huì)計(jì)結(jié)算中心為重點(diǎn)的聯(lián)網(wǎng)審計(jì),僅建設(shè)成本每項(xiàng)都在百萬元以上,這對(duì)于很多地方審計(jì)部門是難以承受的,這也是聯(lián)網(wǎng)審計(jì)無法推廣的重要原因之一。云審計(jì)不需要任何基建投資,不需要硬件購置成本、支付維護(hù)成本,不需要支付管理軟件升級(jí)費(fèi)用,也不需要進(jìn)行專門的人才培訓(xùn),只需要租用供應(yīng)商的服務(wù)器和軟件服務(wù),根據(jù)使用的服務(wù)量付費(fèi)。既可以滿足各種可能的計(jì)算數(shù)據(jù)量的需求,也不會(huì)產(chǎn)生購置成本。因此,云計(jì)算技術(shù)的運(yùn)用在一定程度上可以降低聯(lián)網(wǎng)審計(jì)的成本,在市、縣級(jí)審計(jì)部門推廣。被審計(jì)單位不愿配合審計(jì)工作也是聯(lián)網(wǎng)審計(jì)難以展開的重要原因。在實(shí)務(wù)中,許多被審計(jì)單位會(huì)以保護(hù)信息安全、聯(lián)網(wǎng)影響日常工作等理由拒絕與審計(jì)部門聯(lián)網(wǎng),這給聯(lián)網(wǎng)審計(jì)的展開帶來了很大的阻礙。電子政務(wù)云環(huán)境下,政府部門的數(shù)據(jù)都存儲(chǔ)在“云”上,審計(jì)人員可以不受限制的直接從云上獲取需要的信息,不受被審計(jì)單位的約束。
由于云供應(yīng)商擁有龐大的服務(wù)器系統(tǒng),在云上面的海量數(shù)據(jù)可以分解成無數(shù)個(gè)子程序,然后交給服務(wù)器處理,高效的實(shí)現(xiàn)對(duì)海量數(shù)據(jù)的分析處理,獲得超級(jí)計(jì)算機(jī)才擁有的強(qiáng)大處理能力、巨量數(shù)據(jù)存儲(chǔ)及復(fù)雜數(shù)據(jù)分析能力,這將大大提高審計(jì)的效率。同時(shí),在有多個(gè)辦公地點(diǎn)的情況下,一個(gè)辦公地點(diǎn)的審計(jì)人員在云審計(jì)平臺(tái)輸入的審計(jì)證據(jù)、審計(jì)結(jié)論,另一辦公地點(diǎn)的審計(jì)人員可同步看到,節(jié)省了傳遞的時(shí)間,加強(qiáng)了審計(jì)的銜接性。同時(shí),隨著移動(dòng)設(shè)備的不斷普及,審計(jì)人員可以將文件傳送到云服務(wù)器,然后下載到移動(dòng)設(shè)備上,需要時(shí)直接打開進(jìn)行修改,然后上傳至云端,工作的便利性得到大大地提高。
由于審計(jì)部門設(shè)置的問題,重復(fù)審計(jì)的現(xiàn)象時(shí)有發(fā)生。審計(jì)部門擬審計(jì)項(xiàng)目可能已經(jīng)由內(nèi)部審計(jì)機(jī)構(gòu)、社會(huì)中介組織審計(jì)過,或者在本年度已經(jīng)有其他級(jí)別審計(jì)部門審計(jì)過,或者審計(jì)部門在同一年度內(nèi)對(duì)同一單位擬安排多個(gè)審計(jì)項(xiàng)目,項(xiàng)目內(nèi)容出現(xiàn)重疊,或者其他監(jiān)管單位也實(shí)施了相似的監(jiān)管活動(dòng),這都造成了審計(jì)資源的浪費(fèi)。云審計(jì)平臺(tái)下,各級(jí)審計(jì)部門收集的資料,采集、生成的數(shù)據(jù),不再分塊存儲(chǔ)在各個(gè)審計(jì)部門自己的服務(wù)器上,而是分類存儲(chǔ)在同一資源池里,各級(jí)審計(jì)部門共享信息,及時(shí)獲取其他部門審計(jì)信息。同時(shí),由內(nèi)部審計(jì)機(jī)構(gòu)、社會(huì)中介組織、其他監(jiān)管機(jī)構(gòu)進(jìn)行的審計(jì)或監(jiān)管活動(dòng)的信息也存儲(chǔ)在資源池中,審計(jì)部門可以在認(rèn)真審核的基礎(chǔ)上充分利用其結(jié)果,避免重復(fù)審計(jì)。
客觀性除了同審計(jì)人員的專業(yè)判斷以及與被審計(jì)單位是否保持獨(dú)立有關(guān)外,還同選擇的審計(jì)程序有關(guān)。由于存儲(chǔ)在云上的審計(jì)軟件是在綜合考慮各方因素,聽取專家意見和建議的基礎(chǔ)上設(shè)計(jì)完成的,只允許審計(jì)人員從中篩選出合適的審計(jì)程序執(zhí)行,有些必要的審計(jì)程序如風(fēng)險(xiǎn)評(píng)估不會(huì)因?yàn)閷徲?jì)人員的主觀判斷而被規(guī)避,從而提高了審計(jì)的客觀性。當(dāng)然,如果某個(gè)審計(jì)人員認(rèn)為增加新的審計(jì)程序或改進(jìn)云中原有的審計(jì)程序能更加有效地達(dá)到審計(jì)目的,可以在經(jīng)過討論后報(bào)相關(guān)部門批準(zhǔn)在云中進(jìn)行增加或修改。
無論在理論研究上還是產(chǎn)業(yè)界的實(shí)際運(yùn)用上,云計(jì)算都展現(xiàn)了其特有的優(yōu)勢,被越來越多的單位所接受,但是在其發(fā)展還不夠完善,相應(yīng)標(biāo)準(zhǔn)還不健全的情況下,仍存在一定的風(fēng)險(xiǎn),對(duì)審計(jì)人員提出了挑戰(zhàn)。
云計(jì)算在復(fù)雜的網(wǎng)絡(luò)環(huán)境中形成了龐大的數(shù)據(jù)中心,在為用戶帶來方便的同時(shí)也面臨著巨大的安全挑戰(zhàn)。審計(jì)部門將被審計(jì)單位的數(shù)據(jù)、審計(jì)程序等信息存儲(chǔ)在云上,其安全性受到很大的挑戰(zhàn):
(1)受到第三方的惡意攻擊。只要在供應(yīng)商處進(jìn)行注冊(cè),任何人或單位都可以享受云計(jì)算提供的服務(wù),低門檻的準(zhǔn)入制度,增加了除審計(jì)人員和供應(yīng)商以外第三方對(duì)信息進(jìn)行篡改、刪除等惡意攻擊的可能性,這都給審計(jì)部門信息安全帶來了很大的威脅。
(2)供應(yīng)商內(nèi)部人員的惡意攻擊。除了外部第三方的惡意攻擊外,供應(yīng)商內(nèi)部人員也有惡意攻擊的可能性,并且因員工授權(quán)或者熟悉相關(guān)程序等原因比外部人員更容易接觸到機(jī)密數(shù)據(jù),進(jìn)行篡改、刪除,且不容易被發(fā)現(xiàn)。內(nèi)部人員惡意攻擊造成的安全性威脅比外部人員的更大。
(3)數(shù)據(jù)丟失或泄露。云計(jì)算給用戶和云供應(yīng)商帶來了數(shù)據(jù)保護(hù)的風(fēng)險(xiǎn)。在某些情況下,審計(jì)部門很難清楚的了解云供應(yīng)商對(duì)審計(jì)數(shù)據(jù)處理的過程,以確保審計(jì)數(shù)據(jù)是真實(shí)完整,沒有丟失或泄露的。特別是當(dāng)數(shù)據(jù)在多個(gè)不同的云之間傳送時(shí),這個(gè)問題更加嚴(yán)重,數(shù)據(jù)很可能丟失,或者泄露給其他方。這將不利于審計(jì)人員對(duì)信息的保密,也會(huì)給被審計(jì)單位造成損失。
(4)網(wǎng)絡(luò)的可靠性和穩(wěn)定性。云服務(wù)是通過互聯(lián)網(wǎng)來提供的,因此網(wǎng)絡(luò)的可靠性和穩(wěn)定性是必要的。數(shù)據(jù)在網(wǎng)絡(luò)傳輸?shù)倪^程中很可能受到攻擊,進(jìn)而影響審計(jì)人員獲取數(shù)據(jù)的真實(shí)完整。雖然在云計(jì)算中,當(dāng)一個(gè)節(jié)點(diǎn)無法工作的時(shí)候可以將數(shù)據(jù)傳輸?shù)搅硪粋€(gè)節(jié)點(diǎn)進(jìn)行工作,但是也不能完全避免所有節(jié)點(diǎn)都不能工作的情況,如果網(wǎng)絡(luò)傳輸中斷,審計(jì)工作就無法繼續(xù)展開。
相關(guān)審計(jì)單位應(yīng)避免重復(fù)發(fā)布政策法規(guī)、通知文件,應(yīng)實(shí)現(xiàn)信息共享。如果政策法規(guī)存在錯(cuò)誤,給國家造成浪費(fèi)損失時(shí),對(duì)追責(zé)對(duì)象的認(rèn)定就會(huì)很困難,在我國政府部門職責(zé)設(shè)置不清晰的情況下,資源整合后各部門間更可能會(huì)互相推諉,審計(jì)處理處罰權(quán)的落實(shí)就更加難上加難了。
電子政務(wù)云下由于許多資源實(shí)現(xiàn)了整合,很多政府部門都可以從云上獲取資源,如何劃分訪問、下載、分析資源的權(quán)限是一個(gè)難題。在我國現(xiàn)有政治體制下,存在嚴(yán)重的部門混亂,管理重疊的問題,要?jiǎng)澐謾?quán)限,首先要明確相應(yīng)的管理職責(zé),所以審計(jì)人員很難評(píng)價(jià)內(nèi)部控制權(quán)限設(shè)置是否合理。
電子政務(wù)云的“云”需要由第三方供應(yīng)商提供,政府單位的資源存儲(chǔ)在供應(yīng)商處,要測試內(nèi)部控制就需要得到供應(yīng)商的允許,但目前還沒有相關(guān)的法律法規(guī)授予審計(jì)人員測試“云”上內(nèi)部控制的權(quán)限。要對(duì)被審計(jì)單位內(nèi)部控制進(jìn)行測試就必須準(zhǔn)確劃分相應(yīng)單位的內(nèi)部控制,但云中的內(nèi)部控制系統(tǒng)是一個(gè)綜合系統(tǒng),審計(jì)人員很難對(duì)單個(gè)用戶內(nèi)部控制測試,也不可能對(duì)云計(jì)算中的所有用戶內(nèi)部控制進(jìn)行評(píng)審后得出被審計(jì)企業(yè)內(nèi)部控制是否有效的結(jié)論。
電子政務(wù)云的實(shí)施需要被審計(jì)單位現(xiàn)有的業(yè)務(wù)盡可能遷移到云平臺(tái)上,在這個(gè)過程中存在以下風(fēng)險(xiǎn):一是安全性風(fēng)險(xiǎn)。業(yè)務(wù)遷移過程中可能受到黑客攻擊,刪除、篡改數(shù)據(jù)或者程序。二是內(nèi)容連貫性和完整性風(fēng)險(xiǎn)。業(yè)務(wù)遷移過程中被審計(jì)單位有意或無意的遺漏或刪除部分信息,破壞原有的連貫性和完整性。三是功能風(fēng)險(xiǎn)。新文件格式對(duì)原文件格式可能不兼容,需要對(duì)檢索界面進(jìn)行修改,原文件格式的一些信息增值在遷移過程中丟失等。另外還可能存在有些信息暫時(shí)不能遷移,需要做好云平臺(tái)與現(xiàn)有平臺(tái)銜接工作,或者遷移的信息在云平臺(tái)上無法穩(wěn)定運(yùn)行需要回退等風(fēng)險(xiǎn)。在信息轉(zhuǎn)移過程中審計(jì)人員需要獲取信息是否被準(zhǔn)確完整轉(zhuǎn)移,未被轉(zhuǎn)移的信息是否適當(dāng)?shù)茸C據(jù),由于之前沒有該類審計(jì)經(jīng)驗(yàn),這對(duì)審計(jì)人員的工作提出了挑戰(zhàn)。
由于供應(yīng)商提供的服務(wù)安全性對(duì)審計(jì)證據(jù)的真實(shí)完整有很大的影響,而云計(jì)算本身又存在一些安全問題,審計(jì)人員還需要對(duì)供應(yīng)商提供的云計(jì)算服務(wù)進(jìn)行審計(jì)。然而在目前實(shí)際工作中,云計(jì)算供應(yīng)商都不允許審計(jì)人員對(duì)其提供的服務(wù)進(jìn)行審計(jì),因此審計(jì)人員只能相信供應(yīng)商提供的信息,增加了審計(jì)的風(fēng)險(xiǎn)。
云計(jì)算是信息技術(shù)領(lǐng)域的新生事物,它的發(fā)展時(shí)間并不長,其理念及技術(shù)還一直在不斷地完善,在運(yùn)用過程中也存在一些安全問題,但是隨著新技術(shù)的不斷出現(xiàn)和原有技術(shù)的不斷改進(jìn),其在包括審計(jì)部門在內(nèi)的政府部門中推廣已經(jīng)成為不可避免的趨勢。相信在不久的將來,政府審計(jì)將依托于云審計(jì)平臺(tái)獲得更廣闊的發(fā)展和創(chuàng)新。
[1]鄧川,楊文鶯.基于云審計(jì)的會(huì)計(jì)師事務(wù)所機(jī)遇、挑戰(zhàn)及對(duì)策[J].財(cái)會(huì)通訊,2012,(10):83-84.
[2]鄧見光,潘曉衡,袁華強(qiáng).云存儲(chǔ)及其分布式文件系統(tǒng)研究[J].東莞理工學(xué)院學(xué)報(bào),2012,(10):41-46.
[3]馮登國,張敏,張妍,徐震.云計(jì)算安全研究[J].軟件學(xué)報(bào),2011,(1):71-83.
[4]高富平.“云計(jì)算”的法律問題及其對(duì)策[J].法學(xué)雜志,2012,(6):7-11.
[5]賀瑤,王文慶,薛飛.基于云計(jì)算的海量數(shù)據(jù)挖掘研究[J].計(jì)算機(jī)技術(shù)與發(fā)展,2013,(2):69-72.
[6]秦榮生.云計(jì)算的發(fā)展及其對(duì)會(huì)計(jì)、審計(jì)的挑戰(zhàn)[J].當(dāng)代財(cái)經(jīng),2013,(1):111-117.
[7]王德政,申山宏,周寧寧.云計(jì)算環(huán)境下的數(shù)據(jù)存儲(chǔ)[J].計(jì)算機(jī)技術(shù)與發(fā)展,2011,(4):81-84.
[8]文峰.云計(jì)算與云審計(jì)——關(guān)于未來審計(jì)的概念與框架的一些思考[J].中國注冊(cè)會(huì)計(jì)師,2011,(2):98-103.
[9]Wang L,Tao J,Kunze M,et al.Scientific cloud computing:Early definition and experience[C]//Proceedings of the 10th IEEE Inter-national Conference on High Performance Computing and Communications,2008:825-830.