論會計系統的信息審計

廈門大學管理學院 莊明來

一、引言

長期以來，在應用信息技術（IT）過程中，人們總是過多關注其中的技術（T），而缺少對其中的信息（I）給予足夠的重視，然而，當人們欣喜地看到IT使會計信息的相關性得以加強之際，又更應當為會計信息的可靠性所受到的威脅深感擔憂。為此，COSO的風險管理框架、SOX法案、CIBIT等一系列IT控制規范相繼出臺，而國際信息系統審計與控制協會（ISACA）發布的諸多標準、指南和程序更是直接將焦點對準組織的信息資產的安全之上。我國《企業內部控制基本規范》和《企業內部控制應用指引18——信息系統》等規范文件的發布，強調信息化環境下的會計信息的安全性與可靠性，隨后，財政部于2009年發布的《關于全面推進我國會計信息化工作的指導意見》中，提出未來5~10年會計信息化首要的工作目標，是要建立健全會計信息化法規體系和會計信息化標準體系。國內外諸多IT控制與審計制度的不斷涌現，充分說明在構建會計信息化標準化體系之中，當務之急是建立會計信息的生產與傳遞嚴密的控制與審計標準體系，為此，筆者在梳理國內外信息審計基本理論的基礎上，分析信息審計在會計系統中應用的必要性，進而提出會計系統應用信息審計的若干思考，以求這一工具與方法在我國會計系統中早日得以應用。

二、信息審計研究概述

對信息審計的研究，主要集中在信息審計的基本概念、基本目標及信息審計的主要內容等方面。

（一）信息審計的基本概念 目前，信息審計內涵尚未有一個被理論界認同的概念。美國信息學家D.Ellis（1993）首次將信息審計定義為：“審查已有的信息管理系統，找出問題，提供解決問題的備選方案”（任玉珍，2009），試圖將信息審計與信息系統審計合二而一，以求尋找解決問題的方案。布徹南（Buchanan，1998）和吉伯（Gibb）則將信息審計界定為：“對組織信息資源和信息流進行發現、控制和評估，以實施、維護或改進組織的信息管理的過程”，這一定義將信息審計的內容確定為信息資源與信息流兩大部分至今影響至深。奧那（Orna，2004）則將信息審計的對象拓展為人、文檔和信息，并認為，信息審計是通過對一個組織中的人、文檔等的查證，系統地檢查信息產生、利用和流動的情況，進而確定其支持目標。英國信息管理協會（Aslib）拓展了信息審計的內容，指出它是參考組織的人員和已有文獻，對組織的信息資源、信息流和信息需求等方面進行的系統檢查，以確定其對組織目標的貢獻程度。我國學者婁策勤和高策（2009）則結合當前新的信息環境和信息理論，將信息審計看作是一種管理工具，認為它是一種發現、解決組織信息管理缺陷的管理工具。黃亦西（2005）也指出，信息審計是為了充分開發信息價值，通過對組織的信息流和信息資源的調查、評估，從而識別組織的信息需求，確定組織的信息環境，并制定相應政策的過程。

必須強調的是，信息審計中的“信息”是一個廣義信息的概念，包括嚴格意義上的信息和數據兩類。筆者認為，處于IT廣泛應用的今天，信息與數據的細分必不可少，它對人們研究信息審計的對象、內容和范圍至關重要，因此，筆者將對應于數據審計的信息審計稱為狹義信息審計，以括號注明“狹義”。而將涵蓋數據、信息的審計視為廣義信息審計。

（二）信息審計的基本目標 美國學者查菲（Chaffey）和伍德（Wood，2008）指出，信息審計是用來評價當前信息質量和管理行為的水平，即“是什么”的問題。它也可作為一種狀態分析的工具，用以協助構建信息政策和評價信息戰略的目標是否已經實現，將信息審計看成是信息質量與管理不可或缺的工具。賴茂生（2005）認為，信息審計的目的是為了實施、維護或提高組織機構的信息管理。胡善勤則從IT視角出發，指出用以記錄網絡上各計算機行為的信息審計，其目標有兩個：一是可定期對各種網絡行為進行采集、統計和分析等，發現存在的漏洞并及時修補；二是在發生安全事故后可以進行信息分析，找到事故原因，進而采取相應的措施。可見，信息審計的根本目標，主要在于提升信息質量，由于信息質量的優劣首先取決于信息資源對企業實現目標所作的貢獻，故而在當前情況下，信息審計所面對的必然是企業的IT系統（如ERP系統），基于IT視角可使人們進一步明確信息審計目標，并為企業IT環境確定信息審計的內容與范圍。

（三）信息審計的主要內容 隨著IT應用的深入，眾多學者認為，不應把信息審計看成是一種選擇，而是達到確定信息資源的價值、功能和用途，以便充分開發其戰略價值的必要步驟。信息審計包括信息資源和信息需求兩大內容，但它是否也應包括信息流則是眾說紛紜。鑒于信息流審計和信息流程重組中的眾多理論和流程具有相似性，有些學者認為信息流審計不應歸屬于信息審計范疇之內（高策，2009）。筆者認為，處于IT應用的初始階段，將信息流納入信息審計的主要內容，對于企業的系統信息流程的標準化與規范化建設具有重要的意義。這是因為，信息流與企業組織流、業務流密切相關，面對網絡環境，企業流程再造的本質就是實施三者的同步發展。而從企業ERP系統應用層面來看，信息資源、信息流與信息需求三者不能單獨割裂開來，只有將信息流與信息需求、信息資源同步考察，才能對企業的信息管理水平加以客觀地評價，并提出相應的改進意見。

信息審計對象應當涵蓋信息圖譜中的數據、信息和知識三個部分，但對我國企業而言，當前的數據審計與信息審計（狹義）首當其沖，只有這二者真正得以成功實施，并取得一定實效之后，知識審計才可望順利進行，為此，筆者重點分析數據審計與信息審計（狹義）的具體內容。

表1 基于信息圖譜的信息審計內容分析

從企業經營的業務內容看，信息審計的對象可細分為采購、生產、銷售、會計等各子系統的數據審計與信息審計（狹義），這樣才能根據各子系統的數據特點與具體內容，對各類信息資源、信息流和信息的使用提出針對性的信息管理評價意見。不難想象，那種既想獲取企業信息審計的客觀公正的評價意見，又不涉足各業務內容深入考察的做法，將難以實現審計目標。

三、信息審計在會計系統中的地位與作用

會計的價值并非來自于技術，而是取決于會計信息的質量，會計信息的增值首先是通過信息流的改善以降低資源的需求量，通過高質量信息的共享對決策提供支持。為此，采用信息審計以保證會計信息的高質量，也就使會計系統信息管理與控制新增了一道堅實的屏障。

（一）會計系統信息審計與財務報表審計并行不悖 財務報表審計的目標是對財務報表是否按照適用的會計準則和相關會計制度的規定編制，是否在所有重大方面公允反映被審計單位的財務狀況、經營成果和現金流量兩大方面發表審計意見，以提高財務報表的可信賴程度。而對會計系統而言，作為IT時代的必然產物的信息審計，其審計對象首先是以財務為主的信息資源，以確保該信息資源的價值、功能和用途，進而實施、維護或改進組織的信息管理的過程。雖然兩者都有保證信息高質量的目標，但審計內容與審計方法卻大相徑庭。而從兩種審計的審計對象看，雖然都是針對企業的信息資源，但信息審計的范圍要寬泛得多，它不僅包括企業的貨幣、財務等定量信息，而且還包含企業的非貨幣、非財務等定性信息。財務報表審計必須對被審單位財務報表的會計準則和制度的遵行性，對財務狀況、經營成果和現金流量的公允性發表審計意見。而信息審計則是從對企業信息資源、信息流程和信息需求等內容的價值、功能和用途加以評價，發表審計意見。前者注重企業核心信息的合規性，后者則注重企業信息管理質量的提升。從時空上來看，前者注重對所產生財務信息的結果進行評價，而后者則是對信息管理過程進行評價。盡管信息審計之初衷在于整個企業，但在我國首先在會計系統中加以施行，則是綱舉目張之舉。

（二）會計系統信息審計與信息系統審計異曲同工 企業信息化的實踐證明，那種認為只要企業應用信息系統或相應的信息技術就能實現信息化、提高企業信息管理水平的認識有失偏頗，企業信息化建設中的根本因素是信息資源建設問題。目前普遍存在的企業信息資源存量絕對值不足、信息需求匹配度不高、信息資源利用率低、信息資源成本高收益低等弊端。因此，信息審計的當務之急，是要對企業財務信息資源進行控制和評估，以實施、維護或改進企業信息管理的水平。

盡管有學者將信息審計對象界定為信息管理系統，但近20年來信息審計的實踐及諸多研究成果表明，審計信息管理系統的任務非信息系統審計莫屬，信息審計盡管與信息系統審計有著千絲萬縷的聯系，但兩者的審計目標、對象、范圍、內容卻有許多不同。Ron.Weber（1999）指出，信息系統審計的目標在于判斷被審的信息系統是否能夠保證信息資產的安全、數據的完整以及高效地利用組織的資源并有效地實現組織目標的過程，它主要通過獲取和評價所收集的證據來保證這一判斷的客觀公允性。信息系統是其審計對象，獲取和評價所收集的證據是其手段與方法。而信息審計的審計對象是數據與信息（狹義），評價產生信息的被審系統則是其手段與方法。兩者相輔相成、優勢互補的同步，可以從不同途徑保證會計系統和信息的高效與高質。

（三）會計系統信息審計與IT環境共生互動 自20世紀90年代初期以來，越來越多的企業流程已經將大型信息系統納入其中。由于這一技術轉變，數據和信息相對于產品的重要性正在凸顯。目前很大一部分企業價值已經不在資產負債表之內，在使用大量知識和信息的領域，差異越發明顯，以至于越來越多的人想拋棄已經接受的簿記原則（杰普.布勒姆等，2008）。可見，會計系統的信息資源與信息需求面臨著重新確認等問題，而亨茨爾（Henczel，2001）所提出的，信息審計是通過識別組織的信息需求，從而有效地確定組織當前信息環境的過程，這一將識別信息需求作為信息審計的主要內容的觀點，對重新認識會計系統的信息需求具有十分重要的意義。會計的發展取決于兩個因素，一是環境的影響；二是用戶對會計的信息需求，信息技術的飛速發展，促使會計系統與這一技術環境的共生和互動關系日趨明顯，而經濟全球化的競爭態勢又驅使會計信息不能局限于眼前以財務為主的經濟信息的支持。因此，會計系統面臨著信息資源與信息需求的信息審計。

會計信息要力求增值，無疑應當對其數據與信息的采集、處理與生成的基本流程逐一進行分析和提煉，以便求得各流程、工序的精益求精。同時，由于目前大中型企業紛紛使用ERP系統，因而使會計子系統與其他子系統的數據聯系越來越密切，而其會計子系統中的管理會計、內部審計等子系統與財務會計子系統的無縫連接越發凸顯，為此，針對數以萬計存儲于企業數據倉庫之中的信息資源文件重新進行梳理與管理勢在必行。而從審計的角度看，IT環境需要IT治理和IT控制，這是因為這一環境所帶來的系統、流程、技術等錯綜復雜的高風險局面，許多大公司由于難以應對這一高風險局面而陷入信息危機與信息犯罪的旋渦之中。作為信息安全保證的必備工具與方法手段，信息審計在當前會計系統的安全控制不足的狀況下尤為必要。

四、信息審計在會計系統中應用的若干思考

盡管會計系統相對于企業其他子系統具有較為嚴格的信息生產程序、流程和規范，但面對與ERP系統諸多子系統的日益交融局面，會計子系統的數據與信息的管理產生許多問題，如缺少對信息的集中化管理，致使某些有用信息過于分散而難以被決策者獲取與使用，又如信息過載使得信息用戶難以騰出足夠的時間從紛繁復雜的信息中選擇其所需要的信息等。誠如信息審計專家H.Botha和J.A.Boon所指出的，需要對信息審計進行更多的研究，在實踐中測試更多的方法，使信息專家能夠開發出可以放心使用的可靠信息審計方法。筆者認為，當務之急是在對信息審計的必要性取得共識的基礎上，探討會計系統信息審計的主體與內容、審計方法、審計頻率與審計重點等問題，以使信息審計在我國早日應用。

（一）會計系統信息審計的主體與內容 本質上說，企業信息審計是企業內部審計的一個有機組成部分，其規劃、實施、完善的組織協調工作主要應由企業的內部審計機構為主體加以實施，在聘請外部專家參與信息審計的基礎上，輔以企業內外部的相關審計人員來完善審計工作。但由于當前企業信息審計力量不足、缺乏專業勝任能力的人員，故應形成由企業內部審計人員與信息主管人員為主的專業團隊。

如前所述，會計系統的信息審計包含會計數據審計與會計信息審計（狹義），從實務上看，前者的審計重點是會計數據的保護、采集、存儲、記錄和處理規范的管理，而后者的審計重點則是對會計系統所產出的財務報告和提供決策支持信息的管理。從理論研究內容上看，會計數據的審計應當研究會計數據的來源，數據的檢索與分析，以及基于信息需求而對會計憑證和賬簿等數據的采集、整理及記錄規則等方面的管理。而會計信息審計的研究重點則是與流程、選擇合適信息系統、信息獲取及使用、各類會計信息對相應流程的重要程度，以及與會計信息需求的目標相適應的信息體系的構建等。

（二）信息審計的審計方法 作為人造系統，會計這一應用系統的信息審計應以信息技術為手段，圍繞企業各應用子系統的應用過程與應用結果，以及系統安全的合理性、過程行為的合法性、結果數據的真實性，進行客觀、適時的監測與審核，將各種違規、可疑事件及時發出警報，并提交改進信息管理的審計報告。

信息審計與信息系統審計同為內部審計的組成部分，但其各自的審計方法不盡相同，亨茨爾（Henczel，2001）強調信息審計是一個循環的過程，包括計劃、數據收集、數據分析、數據評價、建議交流以及實施這樣一個定期重復的過程。目前比較成熟的信息審計方法有信息地圖法、集成審計法、信息流法和亨茨爾（Henczel）法等多種（婁策勤、高策，2009），針對會計系統的特點，筆者認為選用信息流法和亨茨爾（Henczel）法為宜。信息流法既重視信息資源的識別，又能同時對企業信息流進行分析，這正是目前我國會計系統信息審計起步伊始所必須的。而亨茨爾法則是在分析信息流法和集成審計法的基礎上，提出了較為科學的信息審計7大步驟，即計劃籌備審計計劃和準備，通過案例分析取得高層支持；數據收集通過調研建立組織信息資源數據庫；數據分析對收集到的數據進行標準化分析；數據評估進行數據判讀，提出建議；建議交流報告信息審計結果，交流意見；實施建議開展信息審計建議改革項目；二次審計使信息審計經常化、規律化。對會計系統而言，信息流中的電子憑證審核、記賬憑證形成、賬簿登錄、銀行對賬和報表編制等沿用手工會計流程的做法，能否符合信息管理與用戶信息需求，十分有必要在信息審計過程中進行重新審視與評價。

由于當前尚未形成標準化的信息審計方法體系，因此在實際中，許多信息審計項目多采用了傳統的財務審計方法，如成本/效益方法等，這給信息審計實踐造成了很大的困惑和混亂，有的學者主張應將財務審計人員的經驗與信息審計實踐相融合，盡早開發出一套適用于信息審計方法體系（任玉珍，2009）。筆者認為，借鑒財務審計的基本方法與經驗，固然是信息審計的實現途徑之一，但信息審計方法不能落入財務報表審計方法之中，否則將有可能影響到信息審計任務的完成，兩者的審計目標相去甚遠，因而其審計方法也必然有很大的不同。鑒于信息系統審計與信息審計所具備的諸多共性，借鑒日益成熟的信息系統審計中的信息流程審計與數據審計的方法不失為一種事半功倍的做法。

（三）會計系統信息審計的頻率與重點 會計系統的信息審計，首先要明確信息用戶對會計信息需求，其次是要對目前可使用信息與信息用戶所需要的信息進行信息資源差異對比分析，進而根據當前狀況提出消除上述差異解決方案，并制定信息提供與信息流程再造的行動計劃。從以上的審計過程看，會計系統信息審計的頻率與該系統的使用狀況相聯系，即信息審計頻率與系統使用時間相對應，會計系統一旦受到升級或改進，信息審計就應當緊隨其后加以進行。然而，應當注意的是，在信息資源、信息流和信息需求三大信息審計內容中，與系統升級或改進聯系最緊的當屬信息流。因此，信息審計的頻率可以因審計內容而定，一旦會計系統的信息流受到改變，就必須對其實施審計，而信息資源與信息需求則可采用定期審計的方法，根據企業經營決策與競爭的需求，定期實施會計系統的數據審計與信息審計（狹義）。

信息審計包括數據審計與信息審計（狹義），對會計系統而言，數據審計應用研究的重點是會計數據的保護、采集、存儲、記錄和處理規范等方面，而其理論研究的重點則是會計數據的來源、會計數據的檢索與分析、會計憑證和賬簿等數據的作用，以及這些數據處理過程中的規范要求。而信息審計（狹義）應用研究的重點是會計系統所產出的財務報告和提供決策支持的信息，其理論研究的重點則是與流程、選擇合適信息系統、信息獲取及使用、各類會計信息對相應流程的重要程度，以及會計信息需求的目標等相關。

五、結論

疾速形成的網絡化與無紙化等信息化環境，促使會計系統的信息審計成為必然，而作為信息化助推器的信息審計，其審計目標、審計內容和審計方法等又確立了其在會計系統中數據與信息安全保障體系中的重要地位。伴隨著我國信息審計理論研究的開展，信息審計的成功應用可望水到渠成。屆時，信息審計與信息系統審計的并駕齊驅，必然為我國會計系統信息的可靠與相關、信息管理的高質與高效提供強有力的支持。

［1］任玉珍：《信息審計的內容框架分析》，《農業網絡信息》2009年第7期。

［2］婁策勤、高策：《信息審計方法比較研究》，《圖書情報工作》2009年第1期。

［3］黃亦西：《信息審計與知識審計的比較研究》，《情報雜志》2005年第10期。

［4］賴茂生：《信息資源管理的技術方法》，http://irm.impku.edu.en/ownload/e07.pdf，2005-12-17。

［5］胡善勤：《網絡信息審計的設計與實現》，吉林大學2008年工學碩士論文。

［6］高策：《企業信息審計研究》，華中師范大學2009年碩士學位論文。

［7］戴維.查菲、史蒂夫.伍德著，趙蘋、陳守龍譯：《企業信息管理：用信息系統改進績效》，中國人民大學出版社2008年版。

［8］［荷］杰普.布勒姆、梅農.范多恩、皮亞士.米托爾著，程治剛、張翎、張勁譯：《SOX環境下的IT治理》，東北財經大學出版社2008年版。

［9］Buchanan，S.and Gibb，F.The information audit：an integrated strategic approach.International journal of information management，1998.

［10］Orna E.Information Strategy in Practice.Aldershol：Gower，2004.

［11］Ron Weber，Information Systems Control and Audit，Prentice-Hall Inc，1999.

［12］Susan Henczel.The Information Audit as a First Step Towards Effective Knowledge Management.Information Outlook，2001.