李丹 曾慶峰

基于虛擬機快照技術(shù)構(gòu)建ISCA模型實踐教學(xué)設(shè)計

李丹 曾慶峰

本文首先分析建立ISCA模型實踐教學(xué)環(huán)境的必要性和傳統(tǒng)會計電算化教學(xué)中存在的不足。其次，分析虛擬機和其中快照功能為構(gòu)建ISCA實踐教學(xué)環(huán)境從技術(shù)方面提供的可能性。最后，提出實現(xiàn)ISCA模型實踐教學(xué)環(huán)境的實施步驟，并設(shè)計典型案例。

ISCA模型 虛擬機 快照技術(shù) 實踐教學(xué)設(shè)計

一、構(gòu)建ISCA實踐教學(xué)環(huán)境的必要性

ISCA模型是企業(yè)管理信息系統(tǒng)中會計信息系統(tǒng)、健全的信息系統(tǒng)內(nèi)部控制、內(nèi)控審計系統(tǒng)三者的結(jié)合體。

在傳統(tǒng)會計電算化教學(xué)過程中，學(xué)生只學(xué)習(xí)如總賬、報表、工資、固定資產(chǎn)等財務(wù)模塊，教學(xué)內(nèi)容設(shè)計上沒有從企業(yè)集成管理系統(tǒng)、內(nèi)部控制信息化和內(nèi)控審計信息化三者結(jié)合認(rèn)識會計信息系統(tǒng)。學(xué)生無法將內(nèi)控理論和內(nèi)控檢測與評價實踐相結(jié)合，無法深刻體會由于審計監(jiān)督不足、內(nèi)控設(shè)計缺陷或執(zhí)行失效未被發(fā)現(xiàn)，而造成的財務(wù)數(shù)據(jù)不真實、不可靠。

傳統(tǒng)會計電算化教學(xué)中實現(xiàn)ISCA模型實踐教學(xué)環(huán)境存在三點不足：（1）我國企業(yè)的會計信息系統(tǒng)正處于從“信息孤島”向“系統(tǒng)集成”的轉(zhuǎn)型期，不少企業(yè)已運行和正準(zhǔn)備上線ERP系統(tǒng)。但是，傳統(tǒng)會計電算化教學(xué)沒有將財務(wù)模塊和業(yè)務(wù)模塊如營銷模塊、生產(chǎn)模塊等集成，沒有在業(yè)務(wù)流程、會計工作流程、信息流程和內(nèi)控流程集成系統(tǒng)中考慮會計信息系統(tǒng)，這一缺陷導(dǎo)致嵌入在ERP系統(tǒng)中的業(yè)務(wù)自動內(nèi)部控制測試無法列入教學(xué)內(nèi)容。（2）會計電算化教學(xué)賬套準(zhǔn)備數(shù)據(jù)是為完成具體財務(wù)操作業(yè)務(wù)而設(shè)計的，沒有針對某項業(yè)務(wù)內(nèi)部關(guān)鍵控制點測試來設(shè)計實驗準(zhǔn)備數(shù)據(jù)。因為傳統(tǒng)的會計信息系統(tǒng)或者ERP系統(tǒng)提供的備份技術(shù)只能賬套備份，技術(shù)上做不到把某項風(fēng)險控制點實施前數(shù)據(jù)照相備份。而且，備份出來的賬套是靜態(tài)數(shù)據(jù)，看不到產(chǎn)生數(shù)據(jù)時的內(nèi)控環(huán)境。沒有內(nèi)控測試實驗準(zhǔn)備數(shù)據(jù)，無法實現(xiàn)內(nèi)控的實驗設(shè)計。（3）沒有ERP系統(tǒng)內(nèi)控審計的教學(xué)案例。傳統(tǒng)的審計系統(tǒng)難以獲得非財務(wù)化的經(jīng)營業(yè)務(wù)方面的審計資料，無法對與財務(wù)數(shù)據(jù)的相關(guān)業(yè)務(wù)系統(tǒng)運行中的內(nèi)控活動進(jìn)行審計，無法對內(nèi)部控制缺陷進(jìn)行識別、嚴(yán)重性評估、認(rèn)定和應(yīng)對。然而，我國《內(nèi)部控制基本規(guī)范》中的相關(guān)要求是針對“全面內(nèi)部控制”的。也就是說，不僅財務(wù)報告相關(guān)內(nèi)部控制在法規(guī)層面被要求規(guī)范執(zhí)行，而且非財務(wù)報告相關(guān)內(nèi)部控制也要符合標(biāo)準(zhǔn)。

內(nèi)部控制信息化管理和審計信息化是會計學(xué)科和IT技術(shù)相互結(jié)合的過程，是會計管理學(xué)科發(fā)展方向之一。如何培養(yǎng)專業(yè)人才，將先進(jìn)的IT技術(shù)引入教學(xué)，使學(xué)生在操作實踐中懂得IT環(huán)境下內(nèi)控信息化和審計信息化，以實現(xiàn)對會計信息有效控制和監(jiān)督，是一個十分現(xiàn)實和迫切的任務(wù)。人才的培養(yǎng)要有相匹配的教學(xué)實驗環(huán)境，如能從實踐的角度，利用科學(xué)的手段去落實理論研究的成果，將是內(nèi)部控制理論到實踐的有益的補充。因此，建立ISCA模型實踐教學(xué)環(huán)境十分必要。

二、基于虛擬機快照技術(shù)構(gòu)建ISCA模型實驗教學(xué)環(huán)境的可行性

1.虛擬機

虛擬機（Virtual Machine）指通過軟件模擬的具有完整硬件系統(tǒng)功能的、運行在一個完全隔離環(huán)境中的完整計算機系統(tǒng)。虛擬機不是一臺真實的計算機，是通過軟件模擬的計算機系統(tǒng)。真實計算機稱為宿主機，軟件模擬計算機系統(tǒng)稱之為虛擬機。虛擬機是網(wǎng)絡(luò)化、云計算一種主要的應(yīng)用。

一個虛擬機文件就可以構(gòu)建一個集成的ERP系統(tǒng)。虛擬機上集成的ERP系統(tǒng)解決了上述不足中的第一個問題和第三個問題。利用虛擬機技術(shù)構(gòu)建ISCA模型實踐教學(xué)環(huán)境有三個方面：第一，會計信息系統(tǒng)與業(yè)務(wù)系統(tǒng)集成在ERP系統(tǒng)中，ERP系統(tǒng)的核心是集成，是業(yè)務(wù)、財務(wù)、信息和內(nèi)控管理的集成系統(tǒng)；第二，ERP業(yè)務(wù)流程自動化要求有效的業(yè)務(wù)控制，內(nèi)控信息化嵌入在ERP系統(tǒng)中，內(nèi)控信息在虛擬機中實現(xiàn)了可視化；第三，審計和評價ERP內(nèi)控信息系統(tǒng)建設(shè)和執(zhí)行有效性是防范IT風(fēng)險，實現(xiàn)會計信息系統(tǒng)安全、可靠的重要保證?？梢栽谔摂M機構(gòu)建的ERP系統(tǒng)上設(shè)計檢驗內(nèi)控缺陷漏洞或者執(zhí)行無效的內(nèi)控審計案例。

2.快照功能

虛擬機提供快照功能，快照功能是將信息系統(tǒng)運行某時點界面和數(shù)據(jù)像照片底片一樣永久保留下來?？煺展δ芸梢詣討B(tài)保留任何時點數(shù)據(jù)，所以利用快照就可以做到把某項控制實施前一時點界面照相備份，從技術(shù)上解決了上述不足中的第二個問題，即實現(xiàn)針對某項業(yè)務(wù)內(nèi)部控制測試實驗的準(zhǔn)備數(shù)據(jù)。有了內(nèi)控實驗準(zhǔn)備數(shù)據(jù)，就可以設(shè)計ERP系統(tǒng)內(nèi)控管理方面的實驗。同時，快照也解決了第三個問題，快照備份數(shù)據(jù)既可以是符合內(nèi)控要求的實驗數(shù)據(jù)，也可以專門設(shè)計內(nèi)控存在缺陷或執(zhí)行失效的實驗數(shù)據(jù)作為審計案例。在虛擬機上可以隨時點擊快照回放，這樣快照實驗數(shù)據(jù)可以反復(fù)調(diào)用，也就是說內(nèi)控缺陷和漏洞可以反復(fù)再現(xiàn)，反復(fù)測試。保證學(xué)生從實踐中悟到識別和應(yīng)對會計信息系統(tǒng)內(nèi)控舞弊風(fēng)險的審計方法。

三、虛擬機快照技術(shù)構(gòu)建ISCA模型實踐教學(xué)分析

（一）虛擬機快照技術(shù)構(gòu)建ISCA模型實踐教學(xué)的實施步驟

首先，分析嵌入在ERP系統(tǒng)的內(nèi)控風(fēng)險關(guān)鍵控制點。其次，利用虛擬機快照技術(shù)保存關(guān)鍵控制點實驗數(shù)據(jù)作為內(nèi)控測試準(zhǔn)備數(shù)據(jù)。第三，分析系統(tǒng)中的風(fēng)險點、內(nèi)部控制缺陷漏洞和執(zhí)行無效等問題。第四，分析應(yīng)對內(nèi)控信息化舞弊的審計監(jiān)督措施。

（二）利用虛擬機快照技術(shù)構(gòu)建ISCA模型實踐教學(xué)典型案例設(shè)計

本文以用友ERP-U8（V8.61）為例，探討“虛假入庫單”實踐教學(xué)案例設(shè)計。

“虛假入庫單”是指倉庫驗收材料入庫時，運輸部門與倉庫人員串通，截留部分材料私自出售，并以虛假數(shù)據(jù)填制材料入庫單。從審計角度看，涉及存貨完整性和準(zhǔn)確性的認(rèn)定。

1. ERP系統(tǒng)中涉及“入庫單”的內(nèi)控風(fēng)險關(guān)鍵控制點

“入庫單”內(nèi)控風(fēng)險關(guān)鍵控制點是指：一個能夠預(yù)防和消除“入庫單”內(nèi)控風(fēng)險的影響或?qū)⑵錅p少到可接受風(fēng)險水平的控制措施，保證所有應(yīng)當(dāng)記錄的存貨均已記錄，并且設(shè)計入庫的金額和其他數(shù)據(jù)已恰當(dāng)記錄。

在用友ERP-U8系統(tǒng)企業(yè)應(yīng)用平臺中，系統(tǒng)提供關(guān)鍵風(fēng)險控制點如下：

（1）在“采購管理”/“設(shè)置”/“采購選項”設(shè)置里選中“普通業(yè)務(wù)必有訂單”。選中“普通銷售必有訂單”后，采購入庫單不能手工錄入，只能參照訂單生成。這樣倉庫管理員只能按照采購訂單上存貨名稱生成入庫單，存貨名稱不能增加也不能修改，保證入庫單上存貨名稱真實和完整。但是，根據(jù)采購訂單生成的入庫單中入庫數(shù)量是可以修改的。另外，ERP系統(tǒng)提供數(shù)據(jù)權(quán)限設(shè)置功能中記錄級權(quán)限設(shè)置，可以對采購訂單的金額分級錄入管理，操作員記錄級數(shù)據(jù)權(quán)限設(shè)置功能打勾選擇后，只能對單據(jù)制單人一定金額以上有權(quán)限的單據(jù)進(jìn)行操作；對單據(jù)審核人有權(quán)限的單據(jù)進(jìn)行操作，保證采購訂單記錄準(zhǔn)確性。采購訂單準(zhǔn)確是保證入庫單準(zhǔn)確的前提條件。

（2）上述選擇后入庫單必須根據(jù)訂單生成。系統(tǒng)還提供默認(rèn)的單據(jù)生成順序：請購單-采購訂單-到貨單-入庫單-采購發(fā)票-采購結(jié)算-應(yīng)付款審核-應(yīng)付款制單-應(yīng)付會計憑證，按照以上順序入庫單可以根據(jù)到貨單生成。采購發(fā)票根據(jù)入庫單生成，系統(tǒng)內(nèi)控要求入庫單和采購發(fā)票數(shù)量一致，禁止更改采購發(fā)票上數(shù)量。另外，采購訂單、到貨單、入庫單都要經(jīng)過專人審核。ERP系統(tǒng)中提供功能級權(quán)限設(shè)置，路經(jīng)：“系統(tǒng)管理”/“權(quán)限”/“權(quán)限”。利用功能級權(quán)限設(shè)置可以使入庫單的制單人和審核人由不同操作員控制，這樣崗位職責(zé)分離，可以相互監(jiān)督，保證存貨名稱、數(shù)量等數(shù)據(jù)真實、完整。

（3）ERP系統(tǒng)提供數(shù)據(jù)權(quán)限設(shè)置功能，路徑是“系統(tǒng)服務(wù)”/“權(quán)限”/“數(shù)據(jù)權(quán)限分配”。如果限制倉庫管理員查看入庫價格信息，可以利用數(shù)據(jù)權(quán)限設(shè)置中的字段級權(quán)限設(shè)置功能將倉庫管理員價格信息查看權(quán)列為禁用?？梢苑乐箓}庫管理員過度關(guān)注存貨價格，保證入庫金額準(zhǔn)確性。

（4）采購結(jié)算功能，路徑：“采購管理”/“采購結(jié)算”。采購結(jié)算是采購人員根據(jù)采購入庫單、采購發(fā)票核算采購成本。采購結(jié)算生成的采購結(jié)算單，是記載采購入庫單記錄與采購發(fā)票記錄對應(yīng)關(guān)系的結(jié)算對照表，把物流和資金流聯(lián)系在一起。系統(tǒng)中采購發(fā)票數(shù)據(jù)可以和企業(yè)外部供應(yīng)商開具的紙質(zhì)發(fā)票相互核對，核對正確的發(fā)票再和入庫單核對，保證入庫單的完整性。

（5）盤點功能，路徑：“庫存管理”/“盤點業(yè)務(wù)”。盤點表獲得的實物證據(jù)可以計算核對入庫數(shù)量真實和完整。

（6）財務(wù)部門和業(yè)務(wù)部門數(shù)據(jù)核對。如，財務(wù)部門將采購發(fā)票上記載的信息和入庫單相互核對，在審核無誤后辦理付款手續(xù)；再如，財務(wù)部門對存貨核算的信息與倉庫實際盤點的結(jié)果核對分析，以保證財務(wù)存貨核算信息與倉庫實際出入庫情況相符。

2.利用虛擬機快照技術(shù)保存關(guān)鍵控制點實驗數(shù)據(jù)作為內(nèi)控測試準(zhǔn)備數(shù)據(jù)

以“采購結(jié)算”功能為例，說明內(nèi)控測試實驗準(zhǔn)備數(shù)據(jù)備份的操作步驟。

將采購業(yè)務(wù)按順序完成“請購單-采購訂單-到貨單-入庫單-采購發(fā)票”，即完成［采購結(jié)算］前所有操作。然后，點擊虛擬機上快照按鈕備份數(shù)據(jù)，命名為：“快照1：采購結(jié)算前”。

快照1備份數(shù)據(jù)可以向前追溯采購結(jié)算前任何一個關(guān)鍵控制點執(zhí)行情況，例如，觀測制單和審核的操作員是否分工明確，觀測路徑：“系統(tǒng)管理”/“權(quán)限”/“權(quán)限”。再如，可以觀測到采購結(jié)算前的［采購訂單］-［到貨單］-［采購入貨單］-［采購發(fā)票］內(nèi)控管理信息，包括檢查采購訂單是否連續(xù)編號、入庫單是否審核、發(fā)票是否審核等內(nèi)控活動。同時，快照1備份數(shù)據(jù)也可以支持繼續(xù)后面操作，如執(zhí)行“采購結(jié)算”/“自動結(jié)算”，系統(tǒng)自動進(jìn)行入庫單和采購發(fā)票的核對，并自動將應(yīng)付款單據(jù)數(shù)據(jù)傳遞到應(yīng)付款模塊中［審核］和存貨核算模塊中成本核算。系統(tǒng)自動生成的采購結(jié)算單，是記載采購入庫單記錄與采購發(fā)票記錄對應(yīng)關(guān)系的結(jié)算對照表，是內(nèi)部控制管理關(guān)鍵控制點，是內(nèi)控信息嵌入在ERP系統(tǒng)中的一個實例，可防止入庫單數(shù)量少于發(fā)票數(shù)量問題發(fā)生，保證入庫單真實和完整。

3.“虛假入庫單”舞弊操作及審計監(jiān)督措施

“虛假入庫單”操作手段如下：

第一，錄入虛假的采購訂單。由于采購訂單是核對入庫單正確性的關(guān)鍵訂單，所以有可能出現(xiàn)未經(jīng)過授權(quán)的倉庫管理員進(jìn)入采購訂單模塊，或篡改系統(tǒng)的初始設(shè)置。虛假的采購訂單向下游傳遞錯誤數(shù)據(jù)，在大量交易數(shù)據(jù)中，自動系統(tǒng)也會處理那些本身就是錯誤的數(shù)據(jù)，以至于系統(tǒng)無法識別并更正錯誤數(shù)據(jù)，導(dǎo)致系統(tǒng)對入庫交易進(jìn)行了不恰當(dāng)?shù)挠涗洝?/p>

第二，篡改系統(tǒng)入庫單必須參照到貨單生成程序，部分入庫單虛假入庫。

第三，利用盤點時間置后管理漏洞，虛構(gòu)盤點表，虛構(gòu)入庫單。例如，在傳統(tǒng)審計庫存盤點中存在典型問題是：某項存貨是2月份購進(jìn)，6月份全部賣出。傳統(tǒng)庫存盤點時間安排在12月31日，那么對于這項存貨入庫情況無法實施盤點，無法獲取實物證據(jù)，這批貨是否真實、完整，只能依靠書面憑證判斷。

第四，采用多套賬舞弊。按照管理層的意愿，利用系統(tǒng)設(shè)置的超級用戶，凌駕于所有內(nèi)控之上，同時操作真實入庫數(shù)量和少入庫的兩套或多套賬。

審計監(jiān)督要點：

第一，由于原始單據(jù)進(jìn)入計算機自動完成，傳統(tǒng)審計只能審計財務(wù)賬套，而對于生成財務(wù)賬套的業(yè)務(wù)交易數(shù)據(jù)不能直接識別，傳統(tǒng)審計線索在這里中斷、消失了。快照技術(shù)不但備份了財務(wù)數(shù)據(jù)，而且備份了相關(guān)業(yè)務(wù)交易數(shù)據(jù)，如各種單據(jù)、票證等，同時還備份了業(yè)務(wù)執(zhí)行過程和內(nèi)控信息，保留了審計線索。在虛擬機上點擊快照恢復(fù)按鈕可隨時調(diào)用快照備份數(shù)據(jù)，實現(xiàn)審計線索可視化，例如，可以追查是否有人故意對計算機中業(yè)務(wù)數(shù)據(jù)進(jìn)行刪除、剪接。

第二，快照備份數(shù)據(jù)是動態(tài)數(shù)據(jù)，可以用穿行測試的方法，測試［采購結(jié)算］前：［采購訂單］-［到貨單］-［入庫單］-［采購發(fā)票］內(nèi)控執(zhí)行情況。例如，檢查采購訂單、入庫單是否連續(xù)編號。再如，從采購訂單追查入庫單，分析比較入庫單的完整性?？煺諅浞菀部梢岳^續(xù)執(zhí)行［采購結(jié)算］后：［應(yīng)付款審核］-［應(yīng)付款制單］和存貨核算中［正常單據(jù)記賬］-［財務(wù)核算］，和ERP系統(tǒng)真實的生產(chǎn)數(shù)據(jù)對比，發(fā)現(xiàn)內(nèi)控設(shè)計和運行缺陷和漏洞，包括人工控制和計算機程序控制兩方面的缺陷和漏洞，例如，發(fā)現(xiàn)業(yè)務(wù)和財務(wù)接口數(shù)據(jù)是否被篡改。

第三，利用數(shù)據(jù)庫技術(shù)，從實際ERP真實生產(chǎn)數(shù)據(jù)和快照備份數(shù)據(jù)分別導(dǎo)入到大數(shù)據(jù)數(shù)據(jù)庫中，導(dǎo)入數(shù)據(jù)包括采購合同、采購訂單、質(zhì)量檢查、入庫單、發(fā)票、會計賬套等。用大數(shù)鋸分析技術(shù)持續(xù)對比、發(fā)掘兩種數(shù)據(jù)庫數(shù)據(jù)，例如，進(jìn)行關(guān)聯(lián)分析、聚類分析和異常分析。ERP生產(chǎn)數(shù)據(jù)庫導(dǎo)出數(shù)據(jù)和快照備份數(shù)據(jù)對比，快照數(shù)據(jù)相當(dāng)于實時的采集原始數(shù)據(jù)，對比發(fā)現(xiàn)ERP生產(chǎn)導(dǎo)出數(shù)據(jù)是否被截取、被篡改，檢查入庫單導(dǎo)出數(shù)據(jù)安全性、一致性、完整性。又因為快照數(shù)據(jù)實現(xiàn)了審計線索的可視化，違規(guī)操作形成的異常數(shù)據(jù)能更加直觀地顯現(xiàn)出來，同時可以動態(tài)分析“入庫單”內(nèi)控管理執(zhí)行情況。

第四，保留企業(yè)一年或連續(xù)三年中每月的快照備份，這樣就可以獲得追溯審查ERP系統(tǒng)中存貨入庫情況的真實性數(shù)據(jù)。如果某月有采購入庫，在存貨未售出之前確定盤點時間，庫存盤點可以全程錄像作為實物證據(jù)。實物證據(jù)和快照備份的庫存數(shù)據(jù)相互印證，保證入庫數(shù)據(jù)完整性。另外，實行雙人管庫制度，兩名管庫員對庫存操作實行雙重快照備份，這樣可以核對兩名庫管員是否對庫內(nèi)物品同進(jìn)庫、同在庫，防止某位倉庫管理員嵌入非法程序，打印出虛假入庫單提供給審計人員。

第五，針對多套賬問題，快照不是只對一套賬數(shù)據(jù)備份，而是備份了整個運行環(huán)境，那么多套賬也在備份的快照中，審計人員可以對比多套賬，發(fā)現(xiàn)存有虛假入庫的賬套。

第六，快照備份數(shù)據(jù)中包含權(quán)限設(shè)置及變更情況。通過查看快照備份中的“系統(tǒng)管理”/“權(quán)限”設(shè)置，基礎(chǔ)設(shè)置中基礎(chǔ)檔案設(shè)置、數(shù)據(jù)權(quán)限設(shè)置、工作流程設(shè)置，分析權(quán)限分工情況， 保證請購、審批、詢價、確定供應(yīng)商、訂立與審議采購合同、到貨驗收、采購入庫、付款審批等不相容職責(zé)相分離，保證ERP系統(tǒng)中的賬號均在經(jīng)過審批和授權(quán)的情況下被使用，防止倉庫人員故意篡改系統(tǒng)記錄，從錄入信息的源頭控制數(shù)據(jù)的真實性和可靠性。持續(xù)的快照備份可以做到定期審閱用戶賬號的創(chuàng)建、修改和刪除信息，特別是可以定期查看系統(tǒng)日志，監(jiān)督特權(quán)賬號和超級用戶賬號的使用情況。

四、結(jié)束語

虛擬機是云計算的一種應(yīng)用，虛擬機建立的ISCA模型實踐教學(xué)環(huán)境可以為云會計、內(nèi)控信息化管理、內(nèi)控云審計培訓(xùn)提供支持。隨著移動互聯(lián)網(wǎng)的發(fā)展，未來虛擬機也可以移植在手機中，一部手機就可以成為移動的ISCA模型實驗主機，也可以成為移動會計和審計實驗室。

作者單位：北京服裝學(xué)院商學(xué)院北京科技大學(xué)計算機通信學(xué)院

主要參考文獻(xiàn)

1.楊周南.論會計管理信息化的ISCA模型.會計研究.2003（10）

2.陳瀟怡，歐陽電平. 企業(yè)內(nèi)控信息化實施的規(guī)范化方法研究—基于領(lǐng)域分析與形式化方法.會計研究. 2013（3）

3.楊有紅，李宇立.內(nèi)部控制缺陷的識別、認(rèn)定與報告.會計研究.2011（3）

4.韓新毓. 全面風(fēng)險管理視角下的ERP 采購流程風(fēng)險及控制. 會計之友.2013（8）

北京服裝學(xué)院教育教學(xué)改革一般項目“《稅法》課程間接稅改革實踐教學(xué)案例設(shè)計”（項目編號：JG-1410）。創(chuàng)新團隊項目編號：2014T-02:基于管理會計視角的紡織服裝企業(yè)職位資本研究