王媛媛

摘要：推進審計信息化建設是信息化環(huán)境下提升內部審計工作效率的必然選擇。設計、執(zhí)行和維護有效的內部控制，并評價其有效性是公司董事會等高級管理層的責任。文章以企業(yè)內部審計信息化、內部控制自我評價和報告工作為背景，闡述內部控制審計與內部控制、內部控制審計與信息系統(tǒng)審計的區(qū)別與聯系，并結合作者所在單位在內部控制審計信息化建設中的實踐經驗，提出建立信息技術內部控制審計體系的建議。

關鍵詞：信息技術；內部控制；內部控制審計；信息系統(tǒng)審計

一、背景

信息技術的快速發(fā)展及廣泛使用，在促進企業(yè)經濟效益增長和技術進步的同時，也給企業(yè)和廣大投資者帶來了更大的風險，安然、世通、施樂等公司重大財務舞弊案件的曝光，使得內部控制審計越來越多地受到國內外學者和內部控制審計工作者的重視。雖然自1991年開始，美國反舞弊性財務報告委員會發(fā)起組織（簡單COSO委員會）就進行了關于內部控制的研究，但直到2002年，由參議院銀行委員會主席薩班斯和眾議院金融服務委員會主席奧克斯利聯合提出的以“遵守證券法律以提高公司披露的準確性和可靠性，從而保護投資者及其他目的”為宗旨的《薩班斯-奧克斯利法案》的出臺才推動了內部控制審計工作的發(fā)展，SOX法案中指出“公司管理層要對本企業(yè)的內部控制進行評價，注冊會計師要對被審計單位內部控制的有效性進行審計并發(fā)表意見?！盨OX法案的頒布與實施在一定程度上提高了大股東及廣大中小投資者的信心，與此同時，歐盟、英國等國家也對各自的資本市場監(jiān)管法規(guī)進行了修訂。在國內，1999年修訂的《會計法》第一次從立法的角度對企業(yè)建立內部控制進行了要求。隨后，為了提高會計信息質量、保護資產的安全完整、確保有關法律法規(guī)和規(guī)章制度的貫徹執(zhí)行等，財政部規(guī)定從2001年6月起所有公司均應建立健全和有效實施本單位的內部會計控制體系，并制定了《內部會計控制規(guī)范》基本規(guī)范及貨幣資金等7項內部會計控制規(guī)范。2006年在全球內部控制審計大熱潮的推動下，由財政部等5部委聯合發(fā)起成立的“企業(yè)內部控制標準委員會”先后出臺了《企業(yè)內部控制基本規(guī)范》、《企業(yè)內部控制配套指引》等文件，上海和深圳證券交易所也分別頒布了《上市公司內部控制指引》，根據相關文件和制度要求，上市公司要對本企業(yè)的內部控制進行評價，形成的內部控制自我評價報告與公司年度財務報表一同對外披露。同時，要求自2011年1月1日起我國境內外同時上市的公司開始實施企業(yè)內部控制審計指引，2012年1月1日起施行范圍擴大至滬深交易所的主板上市公司。由此可見，在理論與實務方面，美歐等國家要早于我國，對我國企業(yè)內部控制審計的實踐具有一定的指導借鑒作用，但由于國內企業(yè)大多對內部控制審計認識不到位，因而在實務中仍存在很多問題，如內部控制審計機構不獨立、審計人員專業(yè)勝任能力不足等。同時，伴隨信息技術在企業(yè)各領域的廣泛使用，“觸手可見”的審計資料越來越少，因此，如何利用信息技術開展內部控制審計工作意義重大。

本文以企業(yè)內部控制審計管理工作實踐為視角，對筆者所在企業(yè)在利用信息技術建立內部控制審計體系中的做法和困難進行分析，并對如何更好的建立信息技術內部控制審計體系提出建議。

二、內部控制審計及相關理論辨析

（一）內部控制審計與內部控制的涵義與區(qū)別

對于內部控制的涵義，1949年美國會計師協會（AICPA）曾將其界定為“企業(yè)為保護資產完整、會計信息準確、提高經營效率及制度執(zhí)行而制定的方法與措施”。1992年COSO委員會在《內部控制-整體框架》（Internal Control-Integrated Framework）中指出“內部控制是指由企業(yè)董事會、經理層和員工設計并執(zhí)行，旨為特定目標實現提供合理保證的過程。目標具體包括財務報告真實可靠、企業(yè)合法合規(guī)經營、經營的效率和效果?！本C上，內部控制是企業(yè)自我監(jiān)督的重要手段，是企業(yè)各個業(yè)務流程的操作規(guī)范，目的在于提高經營管理水平。

內部控制審計是對內部控制的再控制，是評價、監(jiān)督被審計單位內部控制設計及執(zhí)行有效性的過程，實踐中又分為注冊會計師視角下的內部控制審計和企業(yè)內部管理視角下的內部控制審計。其中，注冊會計師視角下的內部控制審計是指注冊會計師接受被審計單位董事會委托對被審計單位內部控制的設計與運行有效性進行審計并發(fā)表審計意見的過程，目前我國的上市公司均需按照《企業(yè)內部控制審計指引》的要求聘請注冊會計師進行內部控制審計；基于企業(yè)內部管理視角下的內部控制審計，其實質是屬于企業(yè)的一種自我評價活動，由企業(yè)內部人員（內部審計人員及業(yè)務流程負責人）進行的自我測試、審計，目的在于發(fā)現并整改內控執(zhí)行缺陷，促進公司內部管控水平提升。

可見，內部控制與內部控制審計兩者在職能和目標上是不同的。

（二）內部控制審計與信息系統(tǒng)審計

根據國際信息系統(tǒng)審計與控制協會（ISACA）的定義，信息系統(tǒng)審計是“搜集并評價審計證據的過程，以判斷信息系統(tǒng)是否能夠有效保證資產安全、數據完整及高效地使用組織資源實現被審計單位的目標。”從ISACA對信息系統(tǒng)審計內容的規(guī)定來看，信息系統(tǒng)審計包括信息系統(tǒng)建設生命周期管理、信息資產保護、災難恢復計劃等；從信息系統(tǒng)審計工作實踐上來看，信息系統(tǒng)審計包括信息安全審計、軟硬件管理審計等。而在傳統(tǒng)內部控制審計工作中，審計人員一方面需要對信息系統(tǒng)進行一般控制審計與應用控制審計，以判斷支持企業(yè)日常工作的信息系統(tǒng)是否安全并得到有效控制，另一方面還需要運用計算機輔助審計技術，以高效地分析、處理和驗證從各個系統(tǒng)中獲取的數據。

可見，雖然兩者均屬于審計，但是屬于兩種不同類型的工作。

三、構建信息技術內部控制審計體系的探索與實踐

伴隨著公司信息化進程的不斷發(fā)展，信息系統(tǒng)遍布公司的各個業(yè)務流程，為了促進公司提高內部控制管理水平，公司管理層十分重視對各業(yè)務領域的審計項目開展。在此背景下，公司利用信息技術進行內部控制審計的工作得到極大的支持，并形成了以“內部控制審計系統(tǒng)”為中心的信息技術內部控制審計體系，具體內容包括內部控制審計系統(tǒng)、持續(xù)審計系統(tǒng)及計算機輔助審計。

（一）構建實時的全過程內部控制審計監(jiān)督體系，發(fā)揮內部審計免疫系統(tǒng)功能

1. 內部控制審計系統(tǒng)的開發(fā)背景

作為境外上市公司，相對于國內其它公司而言，公司較早的執(zhí)行了COSO內部控制基本規(guī)范，為了確保公司內部控制的設計有效，公司對各領域進行了流程劃分及流程控制點細分，并按照國家法律法規(guī)、公司業(yè)務規(guī)范等要求對各控制點的操作流程等進行描述，經過不斷修訂形成了較為完善的內部控制矩陣，該矩陣的構建為公司內部控制審計系統(tǒng)的建設提供了基礎。然而，完善的內部控制制度體系離不開公司上下的一貫執(zhí)行，由于公司業(yè)務繁多，如何實時的對內部控制的執(zhí)行有效性進行評價成了難點。因此，公司以控制點為單元，按照各控制點的發(fā)生頻率及涉及單位下發(fā)樣本采集工單，通過將內部控制矩陣固化到系統(tǒng)中的方式來實現對各控制點執(zhí)行的有效性進行準時實時監(jiān)督的目的。

2. 利用內部控制審計系統(tǒng)開展內部控制測試的工作程序及方法

與外部審計人員開展內部控制測試類似，利用內部控制審計系統(tǒng)開展內部控制測試工作也需要先對控制點描述的準確性進行檢驗，即通過查閱資料、訪談等審計手段確認當前的內部控制程序是否能夠對重大差錯、風險的發(fā)生起到防范作用，并且是否與當前的實際情況相符；并在內部控制設計有效性得到認可的情況下，通過進行穿行測試等來判斷某一業(yè)務是否按照內部控制要求的程序得到一貫的執(zhí)行，也可通過審閱已完成業(yè)務的過程記錄、函證、觀察、訪談等方式確定內部控制是否執(zhí)行有效。

3. 內部控制審計系統(tǒng)運行中的難點及成效

在利用內部控制審計系統(tǒng)開展內控測試的過程中，可根據審計目的的不同劃分為對關鍵控制點的測試和對所有控制點的全面測試。但無論哪種測試，都需要測試人員及控制點責任人員配合完成，配合的效果直接影響測試結論的準確性。另一方面，由于系統(tǒng)中測試樣本提供的人為性、隨意性，在對某一控制點的缺陷認定方面存在一些困難。盡管如此，內部控制審計系統(tǒng)不但滿足了審計人員開展非現場審計及審計資料共享的要求，也通過系統(tǒng)交辦、承辦、反饋等環(huán)節(jié)，實現了部門間對內部控制有效執(zhí)行的整體推進，同時，內部控制審計系統(tǒng)的測試結論也為公司內部控制自我評價提供重要依據。

（二）推動審計部門與其他部門間信息交換，實現持續(xù)審計監(jiān)督服務

1. 持續(xù)審計系統(tǒng)的產生

根據管理層的關注重點及業(yè)務部門的審計需求開展各類審計工作是公司內部審計機構的職責，但針對某一高風險領域如何進行持續(xù)的審計監(jiān)督，成為審計實踐中亟待解決的問題。此外，為了研究審計發(fā)現問題產生的原因及更有效的發(fā)現問題，需要對大量的原始數據進行調取，數據分析與建模也被更多地應用于審計程序中。經過對實踐工作進行總結，公司通過將數據獲取、數據分析、審計發(fā)現及報告等系統(tǒng)化，實現了對某些領域的持續(xù)審計系統(tǒng)監(jiān)督。

2. 信息系統(tǒng)持續(xù)審計中的難點及成效

由于利用信息技術開展持續(xù)審計工作可實現對審計發(fā)現問題及審計報告的自動生成功能，因此，內部審計機構的工作重點更多的是利用審計報告結果發(fā)現問題突出的單位并向管理層報告，同時，持續(xù)的與業(yè)務部門就審計發(fā)現問題進行溝通確認也成了工作難點。但信息技術的融入對內部審計工作效率的提高及非現場審計目標的實現起到了極大的促進作用。

（三）運用計算機審計工具，有效提升審計效率

同國內大多數企業(yè)一樣，公司在利用計算機執(zhí)行和完成某些審計程序和任務的過程中，并未利用專門的輔助審計軟件進行項目審計，主要是在審計業(yè)務中利用電子表格、數據庫及字處理軟件等幫助審計人員計算、復算、復核、分析審計數據，以節(jié)約審計時間、增加準確性。這也是公司在各項目開展中使用最為廣泛的審計手段之一。

四、建立信息技術內部控制審計體系的建議

（一）做好內部控制審計信息化建設的整體布局，提高系統(tǒng)的開放性和可拓展性

內部控制審計信息化建設是公司信息化發(fā)展的重要組成部分，認真做好審計信息化建設的規(guī)劃及組織實施可避免信息化建設發(fā)展不均衡、低水平重復建設等諸多問題。此外，由于多數公司信息系統(tǒng)的數據口徑各不相同，增強電子數據的通用性和規(guī)范性，建立與之相適應的數據采集轉換接口，對提高系統(tǒng)的適用性意義重大。

（二）建立內部控制審計信息化標準，提高利用信息技術進行內部控制審計工作的規(guī)范性

內部控制審計信息化在促進內部控制行為規(guī)范的同時，也須對內部控制審計系統(tǒng)的設計與開發(fā)、運行與維護、審計程序及審計證據的搜集與使用、審計人員應具備的資格等方面做出明確規(guī)定，并在建設和實踐的相互作用中，不斷完善信息化技術內部控制審計理論。

（三）拓寬信息化人才培養(yǎng)渠道，提高內部審計人員整體信息化素質

其一，引入一些既熟悉信息技術又精通審計的復合型人才到內部審計隊伍中，補充信息化審計人才缺口。其二，有針對性地開展各種業(yè)務培訓，促進現有內部審計人員更好地掌握信息化環(huán)境下的現代審計技術和方法。其三，加強部門間橫向交流，特別是與信息專業(yè)人才的交流，通過實踐鍛煉、借調、交流，不斷提升內部審計人員的計算機審計開發(fā)與運用水平。

參考文獻：

[1]閆夢然.我國企業(yè)內部控制審計問題研究[D].財政部財政科學研究所，2013.

[2]張海霞.企業(yè)內部控制審計研究[D].山西財經大學，2012.

[3]葉常青、仇棟良、于鐵軍、李勉、陳偉波、丁朝霞.基于數據挖掘、聯網審計和在線審計的內部審計信息化建設—來自廣州市公安局內部審計信息化建設的實踐[J].全國內部審計理論研討優(yōu)秀論文集，2013.

[4]陳冬梅、劉彥軍、王紅霞、裴浩帆、張國剛、王曉輝、李兵、潘國輝.企業(yè)內部審計信息化建設研究[J].全國內部審計理論研討優(yōu)秀論文集，2013.

[5]焦學文.證券公司內部審計信息化發(fā)展現狀及趨勢[J].審計與理財，2014（05）.

[6]李晟璐.高校會計信息系統(tǒng)內部控制體系構建[J].財會通訊，2015（35）.

[7]張瑕.基于注冊會計師視角的內部控制審計問題研究[D].安徽財經大學，2013.

（作者單位：中國移動通信集團內蒙古有限公司）