云計算環境下的云審計系統設計與風險控制

焦 鈺 管亞梅

云計算環境下的云審計系統設計與風險控制

焦 鈺 管亞梅

云計算的產生，使更多形式的商業模式應運而生，同時也對傳統的會計審計行業產生了影響。將云計算技術運用到審計行業當中，則產生了云審計，通過數據的云存儲，使得各種審計資源通過“云”來協同。論文對云審計系統設計進行研究和對其所產生的風險進行分析，并相應的提出解決建議，并分析了未來云審計的研究方向。

云計算 云審計 系統設計 風險控制

一、研究背景的提出

云計算被認為是繼大型計算機、個人計算機、互聯網之后，IT產業的第四次革命。隨著經濟事業和IT技術的迅速發展，以及人們對資源管理的需要，云計算越來越深入人們的日常生活中。現在云計算已被運用到各個領域，如云物聯、云安全、云存儲、云游戲等。由于我國審計開始逐步信息化，將云計算技術運用到審計當中，使得云審計的出現成為必要（周遲2015）。在云計算的基礎上搭建平臺，通過將數據存儲到云中，各種審計信息在云中呈現數字化狀態。審計人員可以通過云審計系統應用，從“云”中了解審計信息，來實施相應的審計程序，使審計資源利用率大大提升，審計信息在“云”中達到了交流和共享的目的。在云審計過程中，審計人員只需將審計證據、被審單位和審計問題關聯起來并進行信息化處理，這樣縮短了審計時間和減少了審計工作量，提高了審計效率（秦榮生2014）。云審計提高了審計人員勞動效率，審計軟件技術水平也得到了提高，有助于提高我國注冊會計師競爭力，使我國注冊會計師行業處于國際前沿（文峰2011）。但是由于我們對云審計的認識還存在著缺陷，在有些方面考慮不周到，所以出現了許多問題需要我們解決，如開發成本高、數據安全性以及在執行審計任務過程中會產生的問題。為了能更好的利用云計算技術來為審計人員提供更科學、有效率的審計過程，需要設計更好的審計系統。以云計算環境下的基礎設施服務（IaaS），平臺服務（PaaS）和軟件服務（SaaS）為基礎，研究分析云計算環境下的審計風險，構建云審計系統的基本框架，使云計算技術更好協助審計工作。美國執業會計師協會和跨行業志愿者組成的云審計組織等正在努力開發統一界面，目的是為了能讓云計算供應商實現關鍵功能的自動化，這些功能主要包括審計、聲明、評估和擔保等。美國NIST主要為美國聯邦政府提供云架構，并且對云計算提供相關的安全和部署策略，包括制定云標準、云接口、云集成和云應用開發接口等。

我國國家審計署在2002年將金審工程列為國家電子政務重點啟動的12個重要業務系統之一。金審工程實際上是審計信息化，通過運用計算機技術全面檢查被審計單位的活動。金審工程采用的審計模式主要是現場審計模式和聯網審計模式等，并取得了顯著的成效。在2014年國務院印發的《國務院關于加強審計工作的意見》提出要加快推進審計信息化，創新電子審計技術，從而提高審計效率、節約審計時間，使得各部門、單位都能實施安全性、可靠性和經濟性的審計。隨著《2015-2020年中國云計算產業發展前景與投資戰略規劃分析報告前瞻》的落實，云計應算技術開始用于各行各業，云計算產業鏈、行業生態環境基本穩定，在解決各行各業的方案當中取得了很好的效果。

二、云審計系統的定義和組成

（一）云審計系統的定義

王帆，聶曼曼（2014）認為云審計系統是審計人員通過所獲得的數據，依據審計對象的基本特征，如應具備的性質、數量、時間或空間狀態等，通過設定計算、判斷和限制條件建立起的數學或邏輯表達式，用于對被審單位的資產安全、數據完整、被審單位目標的實現程度、組織資源使用的效率等進行驗證。魏祥健（2015）認為云審計是審計在云端的一個系統集合。它至少應包括三個方面的內容：一是依托第三方服務商提供的或專業建設的“云計算”基礎平臺，對審計數據進行采集、存儲、傳輸，并保障數據的安全；二是利用云計算專業技術對審計數據進行處理，實現審計手段智能化；三是審計資源通過云來協同，實現審計工作業務協同，促進信息共享及溝通，保證審計過程質量的一個審計信息系統。云審計系統簡單的來講就是云計算和審計的構成。

圖1 云審計系統定義

（二）云審計系統的組成

解決信息系統審計風險已經成為當前審計工作的重心，然而構建更先進的審計系統模型能夠幫助準確評估信息系統風險并有利于審計質量的提高（李向前，康燕，張宏2013）。云計算的服務模式為基礎設施服務（IaaS）、平臺服務（PaaS）和軟件服務（SaaS）（B Iyer，JC Henderson2010），由于云審計是由于云計算技術運用到審計當中，云計算技術可以為云審計提供計算能力、存儲空間和各種軟件服務，所以云審計系統的構成與云計算服務模式差不多，并以此為基礎來建立。

1、基礎設施服務（IaaS）

主要為審計機關提供了統一的基礎設施服務，其中包括存儲、網絡、安全等其他資源。基礎設施層IaaS服務是PaaS和SaaS服務的重要基礎，是實現PaaS和SaaS服務的基本保障（魏祥健2015）。利用IaaS服務可以將全國各地的數據中心統一管理，審計人員只需通過嚴格的審計流程就可以對“云”中的數據進行采集、交換和存儲。這種服務可以節省費用，提高審計資源利用率并且安全可靠。依靠這種服務模式構建出“國家審計云中心+省級審計云中心”兩級模式（圖二）（牛艷芳，薛巖，孟祥雨2014）。

2、平臺服務（PaaS）

是指將軟件研發的平臺作為一種服務，以SaaS模式提交給用戶。因此，PaaS也是SaaS模式的一種應用。PaaS對數據進行存儲和管理并提供業務開發服務。客戶可以通過PaaS平臺來創建、測試和部署應用和服務。

3、軟件服務（SaaS）

主要提供應用軟件，例如審計實施軟件、審計管理系統和審計決策系統等，將所有的軟件安放在云平臺上，審計人員可以通過網絡來使用這些軟件。將SaaS服務和審計業務相結合，數據中心會提供審計業務數據，還應提供審計綜合信息、審計專家經驗以及相關法律法規等。這樣審計人員只需要通過網絡就可以很方便的擁有更多的數據信息來進行審計作業。

圖2 “國家審計云中心+省級審計云中心”兩級模式

這三種服務模式對于云審計系統來說是必不可少的部分，通過對數據的收集、存儲、處理和管理，并提供軟件讓審計人員能搜集到更多的審計資源來進行審計作業，縮短了審計人員執行審計業務的時間并提高了審計工作質量。除此之外，我們對于云審計系統還應加強信息安全服務，對云審計系統進行定期的檢查，查找其是否存在漏洞及其是否存在安全隱患，對于所出現的安全問題要及時解決。對于云審計平臺中的數據也要定期檢查，例如時效性的數據要及時更新，檢查是否出現對數據的篡改等情況。這樣有利于對審計人員提供更可靠、更安全的數據。

三、云計算環境下的云審計風險

審計風險是由固有風險，控制風險和檢查風險構成，那么顯而易見，云審計也有云審計的各種風險，構成了云審計風險。什么叫云審計風險，簡單來說，這個風險更多著重落在了“云”上，由于這是互聯網和審計結合的產物，它一定會擁有互聯網和審計的多重風險，一般來看，具體是數據的安全風險、云計算環境的控制風險以及程序風險。。

（一）數據的安全風險

數據是一種資源，為人所用，從而產生價值，對于云計算環境下的審計工作，數據的安全性是要放在首位的，不單單只是審計項目的一些財務信息，還有各個審計單位的審計方法都會被存儲在云中，因此對于云計算環境下的數據保密工作一定能夠要做好。因為這些數據的采集，加工處理，傳輸使用都借助了云服務，這實際上削弱了各單位對數據的控制，安全隱患也變大了。而第三方那個供應商違背職業道德甚至違背法律利用這些數據來牟利的可能性也大大增加，不當的審計信息披露會給企業和審計單位造成無法挽回的惡劣影響。另外，涉及互聯網的數據，很大程度上會遭受莫名的黑客攻擊，造成數據全部流失，這種情況下，數據的再恢復工作將會十分艱難，更是阻礙了審計工作的進度，降低了審計效率。以上都是這幾點都是潛在的風險。

（二）內部控制風險

隨著云計算環境的成熟，它逐漸走入各大單位，很多大企業都開始運用云審計系統，這種轉變也改革了企業內部控制形式。在固有風險、控制風險、檢查風險這三種風險中，企業能夠通過自己的內部控制系統來降低控制風險，一個好的審計項目，是能夠擁有優秀的內控系統來把控制風險降到最低。同理，在運用云審計系統的過程中，有效把控內部風險，對發展云審計系統在企業內的運用大有裨益。當然企業運用云審計系統存在以下問題，太注重把控互聯網風險，從而忘記了企業內部的控制風險也是非常重要的一環，忽略內控建設，意味著企業的審計漏洞會非常多并且很難完善，大大降低了云審計系統的使用效率。當然，一方面，由于云審計系統的固有特性，企業很難在短時間內，以最少的成本來有效把控內部風險，比如員工職責分離，監督的有效運用等，是比較困難的，而另一方面，審計單位對企業云審計的內控也需要耗費大量人力物力來進行評估，這些都增加了云審計風險。

（三）審計程序固有風險

在審計人員進行審計的時候，他們會通過各種審計程序來進行判斷，通過自己獲得的審計證據來判斷，在實施審計程序的時候，審計風險就無法避免的產生了。因為云審計依附于互聯網，因此實施審計程序獲取審計證據也要通過互聯網進行，因為審計數據在互聯網上的流動性很強，并且整個數據都存儲在云上，一時半會難以迅速有效的定位審計數據，致使獲取審計證據的時間變長，也由于審計證據儲存的環境是共享的云環境，第三方供應商也無法確保提供的審計數據是全面完整的，數據的難以追蹤或許就是云審計過程中審計數據欠缺說服力而產生的云審計風險。

四、云審計系統運用的案例分析

云審計依賴于網絡技術，將所有需要的審計信息都存儲在“云”中，審計人員只可以通過網絡來了解審計信息，其中也包括了審計人員的賬號信息，所以網上的信息安全非常重要。CSDN擁有全球最大中文IT社區，也是國內最大的程序員網站，為用戶提供交流學習等服務。在2011年12月份，CSDN的用戶數據庫遭到黑客攻擊，有600余萬用戶的賬號信息及郵箱密碼被黑客在網上公開。經排查，金山毒霸員工疑為隱私泄露源頭，金山深陷“泄密門”。隨后，CSDN"密碼外泄門"持續發酵，天涯、世紀佳緣等網站相繼被曝用戶數據遭泄密。天涯網于12月25日發布致歉信，稱天涯4000萬用戶隱私遭到黑客泄露。后有專家進行分析指出該事件的發生是由于SQL注入漏洞，黑客通過對網站系統中出現的漏洞進行SQL注入攻擊，從而獲得數據庫的訪問權限，獲得賬號及密碼。SQL注入漏洞普遍存在于互聯網中，是由于程序開發員的疏忽或在對產品測試時未發現的隱藏的問題。所以云審計系統的程序員應提高自身技術，減少技術漏洞，對于系統中的潛在漏洞也應該及時發現和解決。可以設計新的加密法使得數據遭到泄露時依然能夠保證安全，如密鑰加密法、二次加密法和分組混合加密法（郭平，但光祥2012）。沒有無漏洞的系統，也沒有無漏洞的網絡，正因為如此保證信息安全很重要，如果審計信息遭到泄露可能會遭到不法分子的利用，并且會威脅到審計人員的人身安全，審計人員和程序人員需要尋找最佳的解決方案將危險降到最低，甚至杜絕這種危險。

在2016年5月份，Salesforce.com遭到電力故障導致宕機，恢復時丟失了4小時數據。此次宕機影響了北美的14個站點，影響了灣區的大量用戶，灣區歷來被稱為Salesforce.com的后院，同時，部分北美的用戶也受到影響。據了解Salesforce客戶數據的丟失并不是因為數據中心停電造成的，而是由于宕機后工作人員試圖恢復停電時候4個小時的數據，但是由于操作失誤，使得這4小時的數據沒有被恢復，反而丟失了。Salesforce沒有容災，而是采用數據備份來恢復數據，但是居然還失敗了。Salesforce其實在解決方案上有很多，但為何還是導致數據丟失，這值得思考。在云審計系統上也應該采取應災措施，審計信息都是存儲在“云”中，萬一發生由于突發狀況導致的審計數據丟失，在恢復數據時應該有多種方案可供選擇，定期檢查災備，使災備可用、可靠，而不是使其成為擺設。設計好容災方案，使得云審計系統在應對突發狀況時也能很好的解決，保證了審計業務的連續性。

五、云審計系統風險的防范

云審計系統既存在優勢又存在風險，對于云審計系統存在的風險有以下幾點建議：

（一）采用新技術構建云審計系統安全體系

對云審計系統要定期檢查，找出漏洞和其所存在的安全隱患，并對其進行修復。對系統中的審計資料采用加密技術，以防止第三方惡意篡改數據。設計好應災方案，并且保證方案有效可行，以應對云審計系統的突發狀況。在安全功能、性能等方面進行強化，滿足個性化和層次化的需求，吸引更多的用戶使用（林闖等 2013）。

（二）加快對云審計方面的法律法規的建設

保證審計數據的嚴謹性，對于惡意篡改審計數據的人員要嚴懲不貸，增加審計人員和程序員的法律知識，提高審計人員和程序員的法律意識。為了方便數據的收集與存儲，也要制定相應的云審計標準，要使其制度化、規范化，讓審計證據更加安全可靠。

（三）謹慎選擇云供應商

對于審計人員要采用統一的身份認證登錄，使用加密法以保證審計人員賬號信息的安全，要采用新技術加強對云審計系統的安全風險管理。被審單位傳輸的“云”中的審計數據要保證其及時性、有效性和完整性，使審計人員按時進行審計任務。

（四）建設風險導向型的云審計模式

向傳統審計模式取經，設計建設互聯網上風險導向型的審計模式。各行各業在互聯網發展的大趨勢下，都爭先恐后的投入使用云計算技術，這中間行業內容千差萬別，行業準則不盡相同，面對相比于傳統審計行業更加復雜的審計現狀，這要求審計人員能夠對云審計風險進行多角度深層次的分析和規避。這要求審計人員面對審計數據不能馬虎了事，要秉承正確的職業道德深入分析審計數據，對云審計風向進行更加全面的分析的評估。從而有提高防范與控制云審計風險的效率，增強控制云審計風險的效果。進行云審計風險評估的過程中，審計人員要分析并確定高風險的地方，對這個范圍內的審計數據進行分析和判斷，注重數據的有效性和及時性，對數據進行多方面的分析，包括時間空間上的分析。

（五）進行云審計的創新

在新型的審計模式，即云審計的發展下，審計的客觀公正正進一步的提高，審計人員慢慢從用自身知識經驗進行判斷向依靠真實的審計數據來進行決斷。如果能夠開發新型的云審計技術，那么審計人員從流動性較強的審計數據中分析審計情況，獲得審計證據的過程將方便許多。加強云審計創新，首先要創新云審計模型和方法，通過對以往經驗的總結與反思，創造更適合審計行業的審計模式，同時，也要密切關注互聯網動態，開發研制云審計軟件，提高審計軟件的運行效率，多方面分析審計數據。加強數據分析的層次性和復雜性，方便審計人員或許審計結果和審計證據。提高審計質量。進行云審計創新，不僅僅需要前線創新人員的鉆研，也需要國家的大力支持，巨大的研發創新成本呢都需要國家有關部門的相助，此外，國家有關部門也應提供人才支持，更好的推動云審計的創新。

［1］周遲.云審計在社會審計中的運用研究——基于風險導向審計的視角.中國內部審計.2015（1）86-90

［2］秦榮生.大數據、云計算技術對審計的影響研究.審計研究.2014（6）23-28

［3］文峰.云計算與云審計——關于未來審計的概念與框架的一些思考.中國注冊會計師.2011（2）98-103

［4］王帆，聶曼曼.互聯網云審計系統運行機理與評價體系.中國注冊會計師.2014（7）119-124

［5］魏祥健.云審計—概念與系統框架.財會月刊.2015（13）62-65

［6］.李向前，康燕，張宏．固定資產投資計算機審計實施系統設計與運用探討.審計研究.2013（3）34-41

［7］魏祥健.云計算環境下的云審計系統設計與風險控制.會計之友.2015（1）101-105

［8］牛艷芳，薛巖，孟祥雨.云計算環境下的審計業務模式變革研究.審計與經濟研究.2014（4）95-103

［9］侯炳輝等.信息系統評價體系及評價方法.中國管理科學.1993（3）26-35

［10］姜梅.社會保障基金聯網審計的應用研究.審計研究.2007（4）33-37

［11］李璐.信息化條件下大型審計項目的實施.審計月刊.2009（8）4-6

［12］勵景源.專家審計系統的基本框架.上海立信會計學院學報.2006（2）53-58

［13］劉榮.淺析“大數據”時代的內部審計應對策略.中國內部審計.201（55）42-46

［14］羅忠蓮.社保基金聯網審計的應用困境及對策研究.會計之友.2012（5）22-27

［15］牛艷芳，薛巖，孟祥雨.云計算環境下的審計業務模式變革研究.南京審計學院學報.2014（4）95-103

［16］秦榮生.大數據、云計算技術對審計的影響研究.審計研究.2014（11）23-28

System Construction and Risk Control of Cloud Auditing based on the Cloud Calculation Environment

JIAO Yu,GUAN Ya-mei
Accounting School,Nanjing University of Finance&Economics,Nanjing 210023

The emergence of cloud computing has created more forms of business models,at the same time,it also has an impact on the traditional accounting and auditing industry.The use of cloud computing technology in the audit industry results cloud audit,through the cloud storage of data,so that a variety of audit resources could coordinate through the"cloud".This paper studies the design of cloud audit system and analyzes its risks,and puts forward corresponding solutions,and analyzes the future research direction of cloud audit.

Cloud Calculation,Cloud Auditing,System Construction,Risk Control

F239

A

本文受國家社會科學基金《基于霧霾治理視角的碳減排優化模式與碳審計研究》（15BGL060）；本文受江蘇高校優勢學科建設工程資助項目（工商管理學科）（PAPD）；江蘇高校品牌專業建設工程資助項目（會計學）基金資助

管亞梅，女，南京財經大學會計學院教授，博士，碩士生導師，研究方向：會計審計理論與實務；江蘇南京，210023

焦鈺，女，上海財經大學會計學院碩士研究生，研究方向：會計審計理論與實務；上海，200433