ERPERPRP環境下內部審計亟待改進

梁建銳

中國石化借助ERP網絡化的管理平臺，把內控職責和崗位授權e化在ERP系統中，形成了規范的“線上”內控體系，對生產、銷售等經營業務實施了精細化管理，實現了物流、資金流、信息流的三流合一，同時給內部審計帶來很大挑戰。

ERP對內部審計的影響

一是對內部審計環境的影響。信息技術的應用使中國石化的內部經營管理發生了質的變化，企業所有的工作流程都按照面向客戶、面向信息網絡、面向軟件應用的要求進行了重組，一部分內部控制點已建立于系統的應用程序中，由計算機自動執行各種檢驗、核對、判斷、監督以及對系統各功能實用的權限控制等。ERP環境下的審計線索不能滿足傳統審計的需要。在手工會計中，會計憑證、會計賬簿、會計報表等審計線索主要是反映在書面上的，每筆業務都有一個完整的審計線索。審計人員可利用這些書面材料從原始憑證查起，通過對報表之間、報表與賬簿之間會計數據的鉤稽關系，審查憑證賬簿所反映的經濟內容的合法性與業務處理的正確性。而在ERP環境下，會計人員只需錄入原始數據，中間會計處理由計算機按程序自動完成，就能自動生成財務報表、總賬、明細賬，傳統的審計線索中斷消失，取而代之的是存有電子數據處理信息的硬盤、軟盤等，審計中即使發現可疑現象，對其進行審計也比較困難。

二是對內部審計內容與審計重點的影響。針對ERP系統的計算機審計越來越重要，尤其是對計算機的安全審計。在ERP系統中，由于會計事項由計算機按程序自動進行處理，發生在原有手工會計系統中的計算或過賬錯誤的機會相應減少了。但如果ERP系統的應用程序出錯或被人為篡改，則計算機只會按指定的程序以同樣錯誤的方式處理有關的會計事項，增加了嵌入非法程序的風險，由此造成國有資產不明流失等嚴重問題，后果將十分嚴重。因此，在ERP環境下，審計內容更加廣泛，無形中加大了審計的工作難度。ERP系統環境下企業各部門所依據的是同一數據庫提供的信息，信息錄入的某一環節出現錯誤，將會產生連鎖反應。所以原始資料成為審計的重點。審計工作應由事后評價向事前防范轉變，合規審計向風險審計轉變。實施ERP后，審計對象和審計線索發生了變化，應在原有的審計標準和準則基礎上建立與ERP環境相適應的新的審計標準和準則。

三是對內部審計技術和審計人員素質要求的影響。在手工會計條件下，對會計資料的審計一般采用審閱、核對、分析、比較和函證等方法。這些審查工作都是由人工執行的。在ERP系統環境下，由于大量的證據都存儲在肉眼看不到的存儲介質上，對這些證據，審計人員只能利用計算機技術進行取證。因此，內審人員除了要具有過硬的業務素質外，還應能理清ERP各個子系統數據的來龍去脈，掌握ERP系統的使用平臺和網絡環境，熟悉數據庫技術，這樣才能全面地把握審計的總體情況并對內部控制進行有效的評價。

四是對內部控制審計的影響。手工會計中，內部控制的測試是看得見、摸得著的。而實施ERP后，大部分控制措施都是以程序的形式建立在有關系統中，系統的內控功能是否恰當有效，會直接影響系統輸出數據的真實和準確。

五是對內部審計取證的影響。在中國石化總部層次，報表是真正傳統意義上完整的會計報表，是一級核算。二級及二級以下單位作為利潤中心或成本中心，在ERP系統中相當于車間，其會計報表是不完整的。ERP系統會計報表取數來源復雜，通過系統接口將相關數據導出后，一部分直接形成會計報表，另一部分需進一步填列才能完成。總部是管理單位，二級單位是真正意義上的經營單位，審計必須以二級單位為基礎。審計人員通過會計報表了解被審計單位的資產、負債、所有者權益等總體情況以及根據報表數據進一步分析被審計單位的經營狀況頗為不易。ERP系統大量業務由系統集成處理，系統自動產生電子憑證（集成憑證），種類繁多、數量龐大，給審計數據的調閱和審計證據的采集帶來了更大的難度。

ERP環境下的審計風險

ERP系統帶來了新的審計風險。以財務報表審計為例，其風險主要表現在以下方面：

一是電子數據可能被篡改和丟失，存在固有風險。采用電算化，財務人員和審計人員往往會假定提供的數據是準確的，這可能存在很大的審計風險。手工系統中，紙質的信息易于辨認、追溯，而在計算機系統中，由于存儲介質的改變，財務數據可能由于斷電、軟件版本升級等原因而導致不正確，也可能被審計單位出于某種目的破壞和修改財務數據庫，且不留蛛絲馬跡，從而影響審計結果。另外像計算機病毒、電源故障、操作失誤、程序處理錯誤和網絡傳輸故障也會造成實際數據與電子賬面數據不相符，增加了固有風險的可能性。

二是系統內部控制的變化，導致控制風險增加。在手工條件下，內部控制一般表現為對人的控制，主要是利用紙質信息進行手工核對和檢查，責任容易明確，結果也比較直觀。在ERP環境下，內部控制轉變為對人和機器的雙重控制，以對計算機控制為主，審計人員主要從程序控制和制度控制兩方面來測試與評價。若被審計單位內控制度不健全，或監控不嚴，計算機數據和程序的修改完全可以不留痕跡地進行，加大了審計控制風險。

三是審計線索更易于減少或消失，增大檢查風險。檢查風險取決于審計程序設計的合理性和執行的有效性。手工系統中，會計人員對各項經濟業務的會計記錄都是以紙質形式存放，審計人員可以通過這些書面記錄加以審計，審計線索清晰。在ERP環境下，會計人員對各項經濟業務的記錄由紙面信息變成了只有計算機才能識別的代碼，對審計人員而言，磁質代碼無異于在審計對象面前增加了一道無形的墻，看不見，摸不著，傳統的審計追蹤審查已不適用，審計的切入點更多是依靠自己的經驗和判斷，客觀依據的不足，導致審計檢查風險增大。目前對于ERP系統，企業審計人員普遍都不太熟悉，缺乏對整個系統及各個模塊系統、全面的認識，運用ERP進行查詢操作時往往不知道從哪里取數，嚴重影響了審計效率。審計人員一般只能通過ERP系統提供的查詢功能取數據，在某種程度上增加了審計風險。

改進內部審計的對策

企業內部審計要適應和應對ERP的新環境，降低審計風險，提高審計效率，主要應從以下方面入手：

一是做好審計風險的控制和評估。ERP的實施使審計從對憑證賬簿核對為主的詳細審計發展成為以評價內部控制制度為基礎的抽樣審計。因此，在ERP環境下進行審計要先對內部控制進行符合性測試、穿行測試，了解整個系統運行情況，做到總體把握，心中有數。審計人員可以模擬或監督被審計單位人員就某一業務數據在ERP系統中進行錄入，并查看其最終結果。如可以銷售訂單為主線，任意選擇一個銷售訂單，來跟蹤系統中的材料采購、入庫、生產領用、產成品完工入庫、銷售出庫等方面的執行、授權情況、數據流轉等方面的信息，對照財務總賬模塊的相應數據，來驗證物流信息在財務處理模塊中傳遞及核算的正確性、內控制度執行的有效性。

二是加大對審計人員新技術、新業務、新技能、新管理思維的培訓，提高業務素質。企業可適當配備一些熟悉ERP系統的人員作為內審人員，并對這些人員進行內部審計業務培訓，同時加大對原有內部審計人員ERP系統知識和計算機知識的培訓力度，盡快提高內審人員隊伍的能力和整體素質。

三是不斷調整和優化審計工作流程。企業ERP系統的實施是一個不斷優化的過程，它必須建立在與之相適應的業務流程的基礎上。因此，按規范化信息處理的要求對現有的內部審計業務流程進行重新設計，就成為實施ERP的關鍵環節之一。

四是明確ERP環境穩定后內審工作的新方向。ERP系統上線后，原先許多由內部審計人員完成的內部稽核的功能可以由系統來完成，內部審計可以有更多的精力來著眼于強化企業管理、加強內部控制方面的審計工作，提高審計工作的質量與含金量，與國際內部審計工作接軌。