信息化條件下內部控制審計風險探析

□廖亮亮 葉松勤（博士） 王 婷

（1財政部財政科學研究所 北京100872 2中國人民大學商學院北京100872 3中央財經大學會計學院 北京 100081）

隨著信息技術的快速發展，政府和企事業主管部門的管理工作日益趨向集約化和信息化，逐步構建起統一的信息化管理平臺，審計風險經受著來自信息化的巨大沖擊。因此，內部控制審計必須重視信息系統環境下的審計風險的特殊性，找到與企業相適應的審計風險分析方法，以改善內部控制審計的效率和效果。內部控制審計作為一種與企業內部控制系統評價緊密相聯的審計方法，就必須要與企業具體的信息系統復雜程度相適應。

一、信息化條件下內部控制審計的現狀

（一）內部控制環境的現狀

信息技術使公司內部控制環境發生了許多變化：首先，內部控制層次明顯減少，崗位更加精簡。信息化條件下，信息技術減少了信息在傳統組織的信道傳輸中的延遲、失真以及噪音干擾，擴大了信息發布的范圍，增進了組織各層次人員的信息傳遞與交流。其次，公司內部控制設計更強調以人為本、人機結合的原則，增強了員工識別風險的能力、發現問題與解決問題的能力、與其他業務人員協同配合的能力。信息技術在企業中的廣泛應用，不僅改變了傳統手工數據處理方式，而且觸發了企業管理模式、作業流程的變革。主要表現在組織結構、內部協調兩個方面。（1）組織結構的變化。現代企業組織結構的特征表現為組織結構的網絡化、虛擬化、扁平化，這使企業內部控制層次明顯減少，精簡了崗位，明確了責任，提高了效率。在相對穩定的環境中，層級結構是效率較高的組織形式。但目前這種組織形式卻越來越不能適應環境的發展變化，具體表現為：一是企業組織規模越來越龐大，難以有效運作。二是外部環境的變化，要求企業必須快速應變，具備極強的適應性。（2）內部協調的變化。信息技術應用改變企業信息孤島的狀況，企業中的各種信息都集中存儲在企業數據庫系統內，并不斷實時更新。這些先進的系統為企業成員提供了很好的溝通條件。另外，企業通過信息化途徑構建與利益相關者相聯系的互動機制，使組織的經營管理人員可以實時獲取企業內部與外部信息，并及時進行傳達，實現相關信息的高效利用。

（二）風險評估過程的現狀

在公司信息化環境下，業務流程的自動化降低了業務處理過程中源于人員疏漏或舞弊的風險。但系統的開放性、信息的分散性、數據的共享性使系統從封閉集中狀態走向開放，帶來了業務流程和信息系統的新風險。公司的運營管理越來越依賴于信息系統，如果信息系統失靈或崩潰，重要信息被竊，將會給公司帶來不可估量的損失。在信息技術環境下，風險變得更加復雜，其危害性也更加嚴重。

（三）信息溝通和審計線索的現狀

一個良好的信息溝通系統要有全方位的信息溝通管道。企業需要按某種形式辨識并取得來自企業內部及外部的信息，并在組織內部進行溝通，以使員工清楚地獲取有關其控制責任的信息，履行其責任。開放的信息系統為內部員工、管理者以及顧客、供應商等外部團體提供了開放的溝通渠道，有利于內部溝通與外部溝通的進行，從而使信息的傳遞與反饋更為高效，但也更加復雜多變。審計線索對審計來說極其重要。傳統的手工會計系統，審計線索包括憑證、日記賬、分類賬和報表。而在信息技術環境下，從業務數據的具體處理過程到報表的輸出都由計算機按照程序指令完成，數據均保存在磁性介質上，從而會影響到審計線索。無紙張記錄使審計人員用肉眼無法直接看到這些數據如何記錄。

（四）審計技術、方法及內容的現狀

隨著信息技術的廣泛應用，計算機輔助審計技術應運而生。它是一種利用計算機和相關軟件，使審計測試工作實現自動化的技術。計算機輔助審計技術可以在以下方面使審計工作更富效率和效果：（1）將現有手工執行的審計測試自動化。（2）在手工方式不可行的情況下執行測試或分析。雖然電算化下人工審查技術仍有必要，但計算機輔助審計效率更高。它不僅能夠提高審閱大量交易的效率，而且計算機使審閱工作更具效果。在信息化條件下，審計內容也發生了相應的變化。在信息化的會計系統中，各項會計事項都是由計算機按照程序進行自動化處理的。信息系統的特點及固有風險決定了信息化條件下審計的內容包括對信息化系統的處理和相關控制功能的審查。

二、信息化條件下內部控制審計存在的風險問題

（一）企業內部信息系統的環境可能存在安全問題

任何機構的內部控制環境均離不開信息系統的安全政策、標準和指南。信息系統安全政策是對機構在信息系統的控制與安全方面的全面描述。首先，該政策應該指明由誰負責該政策的執行。安全政策應要求機構為其硬件、軟件以及數據提供足夠的物理與邏輯安全控制，以防受到未授權訪問或者故意損壞、破壞和更改。其次，該政策應指明具體的控制手段。信息技術安全政策通常包括五個部分：（1）目標和責任；（2）系統采購和開發；（3）訪問終端；（4）設備與信息安全；（5）服務部門方案。

信息系統安全標準是由高級管理人員制定的最低標準、規則構成的集合，以確保信息系統安全政策的實現。至于審計，信息系統安全標準為管理人員提供一個基準或底線，可以照此對單個信息系統控制的適當性進行評估。管理人員需要確保標準適用于現存系統，如果標準不適用，內部控制審計風險將會增加。

信息系統安全指南同樣由高級管理人員制定，用于確保信息系統安全政策的實現。在為單獨的信息系統控制提供詳細的規范方面，指南與標準在格式上是相似的，其不同之處在于實現上。比如，對于具有信息系統安全指南而無標準的機構，審計人員可能把指南作為基準來衡量其信息系統控制是否適當。當審計人員向負責該系統的管理人員提出控制的改進建議時，由于這些管理人員不把指南看作是必須執行的部分，因此審計人員就會遇到變革的阻力，與之相關的內部控制審計風險將會加大。

（二）企業戰略目標在信息系統中的傳達過程可能產生風險

在信息系統中，企業戰略目標被細分成各部門、各項目或各階段的具體目標。只有通過信息系統在企業內部和外部進行快速而有效的傳達，才能保證系統目標的實現。在企業內部，與經營活動相關的目標主要是通過會計信息的傳遞而進行有效的傳達，同時，其他相關目標的傳達也與此相關，并相互影響。會計信息是財務管理目標所需信息的主要來源，財務會計所強調的相關性使會計信息與財務管理的關聯性增加。企業外部的會計信息使用者使用會計信息的目的是為便于把資源投入企業進行決策，而這些決策又最終影響企業的財務管理活動。因此，企業戰略目標在信息系統中的傳達不可避免地與會計信息系統有效性密切相關，企業戰略目標在信息系統中的低效傳達將影響會計信息系統的風險。

（三）計算機處理與控制的性質可能帶來風險

在信息技術環境下，傳統的手工控制越來越多地被自動化控制所替代。自動控制能為企業帶來以下好處：（1）有效處理大流量交易及數據；（2）系統、數據庫及操作系統的相關安全控制可以實現有效的職責分離；（3）可以提高信息的及時性、正確性，并使信息變得更易獲取；（4）可以提高管理層對企業業務活動及相關政策的監督水平。同時，對自動控制的依賴也可能給企業帶來下列重大錯報風險：（1）信息系統或相關系統程序可能會對數據進行錯誤處理，可能會去處理那些本身就錯誤的數據；（2）自動信息系統、數據庫及操作系統的相關安全控制如果無效，會增加對數據信息非授權訪問的風險，導致系統內部數據和系統對非授權交易及不存在交易的記錄遭到破壞；（3）數據丟失風險或數據無法訪問風險；（4）不適當的人工干預，或人為繞過自動控制。

（四）與企業信息化條件相關的風險偏好可能加大審計風險

在影響審計判斷的因素中，執行者的風險偏好是影響的第一要素。以往的審計模式，在操作規范上更側重于程序化，而現代審計多是企業信息化條件下的風險導向審計，將審計工作的重心放在了審計主體對風險的評估上。由于評估結果決定了是否承接業務，以及業務承接后如何在技術上規避風險，所以這種新的審計模式使注冊會計師在進行專業判斷時，有了更大的彈性。但判斷的空間越大，受審計主體偏好的影響就越大，同時，實行信息系統的企業多將復雜的風險評估過程轉嫁給審計人員，因而風險偏好的影響也就越突出。

三、信息化條件下內部控制審計風險的評估策略

（一）評價相關人員及信息系統

評價內部審計人員、內部控制評價人員和其他相關人員的專業勝任能力和客觀性，以及信息系統的適當性，可以有效地降低相關審計風險。隨著計算機、網絡等信息技術在會計中的廣泛應用，一些傳統的核對、計算、存儲等內部會計控制方式都被計算機輕而易舉地替代。審計人員應當測試內部控制設計和運行的有效性，考慮其是否擁有與信息技術相關的知識和經驗或者是否利用專家的工作。如果某項控制設計和運行由擁有必要授權和專業勝任能力的人員按照規定的程序與要求執行，能夠實現控制目標，表明該項控制的設計是有效的，相關的控制存在重大缺陷的風險較低；如果企業內部審計人員、內部控制評價人員的信息技術知識和經驗較豐富并且較多客觀地利用這些知識和經驗工作，或者雖未有相關知識和經驗但較多地利用具有勝任能力專家的工作并且客觀地評價這些工作過程和結果，那么當外部審計人員利用這些人員的工作時，相關內部控制審計風險較低。

（二）選擇自上而下的方法

選擇自上而下的方法并考慮相關的信息系統控制，審計人員可以逐步找到風險的來源。外部審計人員應當按照自上而下的方法，即從企業層面控制到業務層面控制順序，考慮企業的信息系統的適當性和風險。當在識別和評價企業層面的控制風險時，應當把握重要性原則，至少應當關注：（1）與內部信息系統環境相關的控制風險；（2）針對董事會、經理層凌駕于信息系統控制之上的風險而設計的控制；（3）企業的風險評估過程；（4）對內部信息傳遞和財務報告流程的控制；（5）對控制有效性的內部控制監督和自我評價。外部審計人員測試業務層面控制相關的風險時，應當把握重要性原則，重點對企業生產經營活動中的重要業務與事項的控制進行測試，關注信息系統在處理一般業務時的一致性和與特定業務相關的特定控制。外部審計人員應當綜合運用詢問、觀察、檢查、穿行測試和重新執行等方法識別與業務層面相關的控制風險。

（三）有效而又準確地評價控制缺陷

根據已有的信息系統流程，通過有效地評價控制缺陷，可以進一步識別和評價相關風險。在評價內部控制缺陷時，審計人員應首先檢查已有的信息系統流程的缺陷，查明缺陷是設計缺陷還是運行缺陷，以此追本溯源，進一步全面地識別相關的控制風險。在識別控制缺陷成因后，審計人員還應當評價其識別的各項內部控制缺陷與信息系統的相關程度，以評價其嚴重程度，考慮其屬于重大缺陷、重要缺陷還是一般缺陷，以此進一步評價相關風險的嚴重程度。在確定一項內部控制缺陷或多項內部控制缺陷的組合是否構成重大缺陷時，審計人員應當評價信息系統補償性控制的影響。在進一步識別或評價相關風險時，如果存在以下跡象時，審計人員應當考慮可能存在較高的內部控制審計風險：（1）董事、監事和高級管理人員舞弊。（2）企業更正已經公布的財務報表。（3）審計人員發現當期財務報表存在重大錯報而內部控制運行過程中未能發現該錯報。（4）企業審計委員會和內部審計機構對內部控制的監督無效。（5）組織結構、業務流程和業務單元復雜多變。（6）企業內部控制最近發生較大變化。（7）相關法律法規和行業狀況發生較大變化。（8）企業內部和外部缺乏有效的溝通。（9）由于賬務的規模和性質具有特殊性而易于發生重大錯報。（10）企業的經營成果、現金流量或財務狀況與前期相比發生較大變化。（11）企業的信息系統與企業的具體情況不相適應。

（四）加強內部控制審計報告環節及后續環節的風險控制

做好審計的綜合分析工作，強化精品意識，提升審計報告的層次和水平是提高審計報告質量的關鍵。應做好以下四方面質量控制：一是對審計的發現進行深加工，防止問題定性表面化；二是審計報告立意要高，防止內容庸俗化；三是審計結論要客觀準確，防止言而無據；四是審計意見和建議要有可操作性，防止純理論化。審計人員對會計電算化系統進行符合性測試和實質性測試后，除對被審計單位會計報表的合理性、公允性、一貫性發表意見，做出審計結論外，還要對被審計單位的會計電算化系統的處理功能和內部控制進行評價，提出改進意見。在信息化條件下，由于審計記錄載體的轉變，對審計證據、審計檔案的質量控制提出了新要求。一是實行電子數據保存使用責任制度。二是加快審計檔案信息化建設。目前我國境內的會計師事務所還沒有專門的風險管理部門，絕大多數也沒有專門的風險管理制度，在風險管理方面一般采取三級復核制度，但三級復核還僅限于傳統意義上會計重要、重大問題的復核，對于風險的控制還只停留于初級定性判斷階段。從長遠考慮，本文建議，會計師事務所應該結合三級復核制度建立一套全面有效的風險管理制度，同時建立風險管理檔案，成立風險管理部門，設置風險績效考核指標。