ERP系統(tǒng)中持續(xù)審計的數(shù)據(jù)審計技術(shù)探析

　　【摘要】 在企業(yè)信息化程度不斷提高的背景下，如何對企業(yè)ERP系統(tǒng)中大量業(yè)務(wù)數(shù)據(jù)進行有效的審計成為傳統(tǒng)審計方式難以克服的一個核心問題。文章針對企業(yè)ERP系統(tǒng)的特點對持續(xù)審計的數(shù)據(jù)審計技術(shù)及其應(yīng)用進行了深入探析，認為該技術(shù)能夠很好地解決上述問題。
　　【關(guān)鍵詞】 持續(xù)審計； 數(shù)據(jù)審計技術(shù)； ERP； 系統(tǒng)控制審計審查文件
　　
　　一、引言
　　由于企業(yè)信息化程度的不斷提高以及企業(yè)規(guī)模的不斷壯大帶來的信息量激增，傳統(tǒng)審計很難及時有效地分析處理大量的業(yè)務(wù)數(shù)據(jù)，因此，需要一種技術(shù)能夠?qū)ζ髽I(yè)ERP系統(tǒng)中的業(yè)務(wù)數(shù)據(jù)進行快速有效的審計鑒證，而持續(xù)審計（Continuous Audit，以下簡稱CA）的數(shù)據(jù)審計技術(shù)具備這種能力。
　　所謂CA，國內(nèi)外學(xué)者提出過很多觀點，最早提出CA概念的是AT&T的Bell實驗室的科學(xué)家Vasarhelyi和Halper（1991），他們開發(fā)了CA的首個實例系統(tǒng)CPAS（Continuous Process Auditing System），該系統(tǒng)主要服務(wù)于內(nèi)部審計；Rezaee et al.（2001）認為CA是在無紙化和實時會計信息系統(tǒng)的環(huán)境中收集電子審計證據(jù)的一個系統(tǒng)過程，該過程以對財務(wù)狀況發(fā)表公正客觀的意見為目標(biāo)；Alles et al. 2006）的論文拓寬了CA的范疇，從CA的本質(zhì)出發(fā)強調(diào)了CA不僅是一種技術(shù)，更為關(guān)鍵的是CA滿足了內(nèi)部審計對企業(yè)范圍內(nèi)數(shù)據(jù)和交易的全程監(jiān)控和縮短了交易事項與鑒證之間在時間上的延遲。何芹（2007）認為持續(xù)審計強調(diào)審計過程的持續(xù)性和審計實施的即時性，是一種例外事項基礎(chǔ)的審計，強調(diào)“自上而下”與“自下而上”方法的結(jié)合以及審計活動的整合性。
　　CA的有效實現(xiàn)關(guān)鍵依賴于CA的數(shù)據(jù)審計技術(shù)，本文就此展開論述。
　　
　　二、CA的數(shù)據(jù)審計技術(shù)
　　CA的數(shù)據(jù)審計技術(shù)可分為三類：1.在ERP系統(tǒng)實際運行時，可以運用測試數(shù)據(jù)對ERP系統(tǒng)進行評估的審計技術(shù)；2.在ERP系統(tǒng)實際運行時，可以從中選擇一些事務(wù)進行審查的審計技術(shù)；3.ERP系統(tǒng)實際運行時，可以跟蹤或映射ERP系統(tǒng)變化狀態(tài)的審計技術(shù)。
　　根據(jù)這種分類方法，本文分析了CA三種主要的數(shù)據(jù)審計技術(shù)：
　　（一）集成測試技術(shù)（ITF）
　　集成測試是在ERP系統(tǒng)文件中設(shè)立的假想實體，針對這個實體，在系統(tǒng)中運用審計測試數(shù)據(jù)進行測試，以此來驗證處理的真實性、準(zhǔn)確性和完整性。例如，如果是一個薪資系統(tǒng)，就在數(shù)據(jù)庫里設(shè)置一個虛構(gòu)的人物；如果是庫存系統(tǒng)，就虛構(gòu)一種貨物；如果是電子數(shù)據(jù)交換系統(tǒng)，就與其他組織的審計部門合作并且在數(shù)據(jù)庫中設(shè)立虛構(gòu)的實體；然后使用測試數(shù)據(jù)來更新這些虛構(gòu)的實體。這些數(shù)據(jù)將包含在通常的產(chǎn)品數(shù)據(jù)中輸入到ERP系統(tǒng)中去。
　　1.實現(xiàn)ITF的方法
　　實現(xiàn)ITF的方法有兩種：第一，測試數(shù)據(jù)的輸入方法；第二，有兩種針對虛構(gòu)實體輸入數(shù)據(jù)的方法。
　　第一種方法是對提交給所測試系統(tǒng)的在線輸入事務(wù)進行標(biāo)識。ERP系統(tǒng)應(yīng)當(dāng)能夠識別這些經(jīng)過標(biāo)識的事務(wù)并且同時更新ERP系統(tǒng)主文件記錄和虛構(gòu)實體。識別ITF事務(wù)的方法如下：（1）在源文檔中用一個特定的數(shù)據(jù)項來說明；（2）在ERP系統(tǒng)中嵌入審計模塊來識別；（3）在ERP系統(tǒng)中嵌入一個采樣模塊，該模塊根據(jù)一定的采樣策略對ITF事務(wù)進行標(biāo)識。
　　將在線事務(wù)標(biāo)識為ITF事務(wù)后不僅易于使用，而且可以用系統(tǒng)日常處理的典型事務(wù)來進行測試。但也存在兩個問題：首先，使用在線數(shù)據(jù)意味著系統(tǒng)的局限性得不到測試；其次，包含在系統(tǒng)中用來識別那些經(jīng)過標(biāo)識的事務(wù)并對其進行特殊處理的代碼，可能會對系統(tǒng)的正常運行造成影響。例如增加系統(tǒng)的響應(yīng)時間或破壞數(shù)據(jù)完整性。
　　第二種數(shù)據(jù)輸入方法是設(shè)計新的測試事務(wù)并將它們與在線事務(wù)一起輸入到ERP系統(tǒng)中去，通過將虛構(gòu)實體的唯一標(biāo)識符作為這些事務(wù)的鍵值來將其標(biāo)識為ITF事務(wù)。這種方法有兩個優(yōu)點：首先，可以基于測試數(shù)據(jù)計劃來生成測試數(shù)據(jù)。這樣Ynkwce0Mtq0dGi2FqQ8gDw==測試數(shù)據(jù)就能更全面地覆蓋ERP系統(tǒng)的執(zhí)行路徑。其次，無需對ERP系統(tǒng)進行修改以標(biāo)識ITF事務(wù)，也無需對ITF事務(wù)進行特殊處理。不過，測試數(shù)據(jù)計劃的制定需要消耗較多的時間和人力。
　　2.消除集成測試事務(wù)影響的方法
　　ERP系統(tǒng)中的ITF事務(wù)將會影響到輸出結(jié)果，除非通知客戶并手工對系統(tǒng)輸出作出調(diào)整，否則必須消除ITF事務(wù)對系統(tǒng)的影響。
　　有三種方法可以消除ITF事務(wù)的影響。
　　第一，修改ERP系統(tǒng)以標(biāo)識ITF事務(wù)并在任何可能影響用戶的處理中忽略它們。這種方法由于需求明確，易于實現(xiàn)，同時審計活動對用戶來說是透明的。
　　第二，提交額外的事務(wù)來抵消ITF事務(wù)的影響。這種方法的優(yōu)點是簡單且無需修改系統(tǒng)，不過也存在問題：（1）必須在ITF事務(wù)對輸出造成影響之前就提交，否則就無法對用戶透明；（2）為了維持數(shù)據(jù)完整性，必須確保這些額外事務(wù)能夠正確執(zhí)行。但是，由于有時很難確定受到事務(wù)影響的所有記錄，因此也就無法正確地設(shè)定相應(yīng)的反向事務(wù)。
　　第三，提交不重要的數(shù)據(jù)減小ITF事務(wù)本身對系統(tǒng)的影響。這樣，事務(wù)的影響并不是真的消除了，只是它們對用戶的影響非常小。這種方法的優(yōu)點是簡單不必修改系統(tǒng)。
　　（二）快照與延伸記錄
　　對于那些復(fù)雜的或大型的系統(tǒng)來說，跟蹤系統(tǒng)中不同的執(zhí)行路徑是很困難的，快照技術(shù)在ERP系統(tǒng)中的各個關(guān)鍵控制點嵌入程序模塊以獲取事務(wù)經(jīng)過這些點時的映像。為了驗證事務(wù)在這些點的處理情況，這些映像包括處理前映像和處理后映像；然后通過比較這兩種映像，來判斷在該點的事務(wù)處理的真實性、準(zhǔn)確性和完整性。
　　實現(xiàn)快照技術(shù)需要解決三個問題：首先，依據(jù)控制點的重要性來決定是否設(shè)置快照，同時應(yīng)當(dāng)考慮對性能的影響；其次，決定何時進行快照，既可以不斷地對重要的事務(wù)進行快照，也可以在特定事務(wù)進入系統(tǒng)前，對其進行標(biāo)識；再次，由嵌入的軟件在系統(tǒng)中根據(jù)標(biāo)識，有選擇地進行快照，還可以基于采樣計劃對各種事務(wù)進行快照；最后，決定所獲取的快照數(shù)據(jù)的報告內(nèi)容。嵌入的軟件應(yīng)當(dāng)提供足夠的標(biāo)識和時間信息，才能夠判斷快照對應(yīng)的事務(wù)、快照的順序和時間。
　　快照技術(shù)有一種變型，稱為延伸記錄技術(shù)。這種技術(shù)并不是為每一個快照保持一條記錄，而是在事務(wù)流經(jīng)快照點時，將快照記錄在同一條記錄上，并隨著事務(wù)的進行，不斷延伸該記錄。延伸記錄的優(yōu)點是，所有與一個事務(wù)相關(guān)的數(shù)據(jù)都保存在同一個地點，因此也就方便進行審計評估工作。
　　可以將快照和延伸記錄技術(shù)與ITF技術(shù)相結(jié)合以提供更廣泛的審計線索。ITF提供了一條主記錄，可以針對它用各種類型的事務(wù)進行測試。而快照和延伸記錄技術(shù)則為每一類事務(wù)提供一條其在ERP系統(tǒng)中處理過程的審計線索。
　　（三）系統(tǒng)控制審計審查文件（System Control Audit Review File，SCARF）
　　SCARF技術(shù)是四種持續(xù)審計技術(shù)中最復(fù)雜的一種。它要求在ERP系統(tǒng)中嵌入審計模塊以持續(xù)監(jiān)控系統(tǒng)中的事務(wù)。這些審計模塊被設(shè)置在預(yù)設(shè)的地點以收集事務(wù)信息或重要的系統(tǒng)事件。所收集的信息寫入一個特定的審計文件——SCARF主文件；然后通過檢查包含在其中的信息，確定需要對系統(tǒng)的哪個方面進行跟蹤。
　　實施SCARF的兩個步驟：
　　1.確定SCARF收集的信息
　　SCARF嵌入審計軟件的性質(zhì)和控制點取決于所要收集的信息類型，信息類型如表1所示：
　　
　　由于SCARF嵌入式審計軟件的完整性對于由SCARF收集來的線索的可靠性很重要，應(yīng)當(dāng)仔細考慮如何保護軟件的內(nèi)容和完整性。應(yīng)當(dāng)將這些源代碼保存在庫文件中并且只允許得到授權(quán)的訪問，應(yīng)用程序使用調(diào)用語句而不是直接包含嵌入式審計軟件的源代碼，相關(guān)文檔也應(yīng)當(dāng)妥善地加以保存，應(yīng)當(dāng)仔細考慮如何對這些軟件進行維護。
　　2.SCARF報告系統(tǒng)的結(jié)構(gòu)
　　SCARF報告系統(tǒng)的結(jié)構(gòu)由以下三方面決定：（1）確定如何更新SCARF文件；（2）選擇所要使用的排序編碼和報告格式；（3）選擇報告的時機。
　　如果要把SCARF和ITF以及快照和延伸記錄技術(shù)結(jié)合起來使用，就應(yīng)當(dāng)確保上述決策與其他技術(shù)的決策相符。
　　有一種更新SCARF文件的方法是讓每一個ERP系統(tǒng)創(chuàng)建一個臨時的SCARF工作文件；然后在適當(dāng)?shù)臅r候拷貝到SCARF主文件。這種方法很簡單，但在臨時的SCARF工作文件被拷貝到主文件中以前，會存在數(shù)據(jù)片斷，這些數(shù)據(jù)片斷可能會妨礙到SCARF的有效性，因為它妨礙了對SCARF數(shù)據(jù)的及時分析。為了避免數(shù)據(jù)片斷的問題，可以讓SCARF系統(tǒng)并發(fā)地更新SCARF主文件。由于要處理并發(fā)操作的問題，一般通過使用數(shù)據(jù)庫管理系統(tǒng)予以解決。
　　應(yīng)當(dāng)仔細考慮SCARF使用的排序編碼，如果沒有適當(dāng)?shù)呐?strong style="display:none;">0d7f71f6bab2ef895d35adf8a2f52118b3b4532db5c4e6eeaec70e2effeadebd序編碼，就無法有效地組織SCARF數(shù)據(jù)供審計使用。缺乏適當(dāng)?shù)膱蟾娓袷剑瑫y以解釋SCARF系統(tǒng)提交的數(shù)據(jù)。SCARF系統(tǒng)會采集大量的數(shù)據(jù)，如果不能有效地組織數(shù)據(jù)并進行摘要，就可能會忽略那些表明錯誤和違規(guī)的數(shù)據(jù)。
　　在大多數(shù)情況下，必須確定SCARF數(shù)據(jù)收集的時間間隔，即報告周期的長短取決于所收集的審計線索的重要性和產(chǎn)生審計報告的成本。
　　
　　三、結(jié)語
　　CA的數(shù)據(jù)審計技術(shù)能夠極大地提高傳統(tǒng)審計的質(zhì)量和效率，促進審計模式的進步和革新，這種影響是持續(xù)而深遠的。隨著信息技術(shù)的發(fā)展，會有更多適合企業(yè)審計需求和更為智能化的審計技術(shù)出現(xiàn)，從而不斷提升企業(yè)的管理水平和增強企業(yè)的競爭力。
　　
　　【參考文獻】
　　［1］ Michael G. Al