信息系統(tǒng)一般控制審計（上）

編者按

在信息化環(huán)境下，企業(yè)運(yùn)用信息技術(shù)編制財務(wù)報表，設(shè)計和執(zhí)行內(nèi)部控制。注冊會計師在對企業(yè)的財務(wù)報表進(jìn)行審計時，必須考慮信息技術(shù)的影響。同時，信息化也對注冊會計師的審計技術(shù)和方法帶來革命性變化。為了幫助注冊會計師應(yīng)對信息化帶來的挑戰(zhàn)，中國注冊會計師協(xié)會資助普華永道中天會計師事務(wù)所研究編寫了《信息系統(tǒng)環(huán)境下的財務(wù)報表審計》一書，即將出版。本刊約請作者加以摘編，分期連載，以饗讀者。

注冊會計師在完成信息系統(tǒng)審計工作計劃之后，就要進(jìn)入信息系統(tǒng)審計的執(zhí)行工作。我們將對信息系統(tǒng)審計的執(zhí)行工作從信息系統(tǒng)一般控制、應(yīng)用控制和數(shù)據(jù)三個領(lǐng)域分別闡述。

信息系統(tǒng)一般控制是整個信息系統(tǒng)審計的基礎(chǔ)和內(nèi)核，對被審計單位的應(yīng)用控制和數(shù)據(jù)保駕護(hù)航，對整個財務(wù)報表產(chǎn)生普遍性的影響。如果信息系統(tǒng)一般控制沒有得到有效設(shè)計或運(yùn)行，依賴于其上的自動控制和手工控制就如建立在沙灘上的城堡，無法對財務(wù)報表提供有效的支撐。因此，如果信息系統(tǒng)一般控制和應(yīng)用控制均在審計范圍內(nèi)，我們一般應(yīng)該先安排執(zhí)行信息系統(tǒng)一般控制的審計工作。在大致確保一般控制整體有效的前提下，再進(jìn)行相關(guān)的應(yīng)用控制審計的執(zhí)行工作。如果一般控制整體無效或部分無效，我們需要評估無效的控制點對依賴其上的應(yīng)用控制的影響，確認(rèn)是否仍然可以依賴該應(yīng)用控制點，以及在此背景下該應(yīng)用控制點的審計策略和方法是否需要有所調(diào)整。

表1 信息系統(tǒng)建設(shè)生命周期各階段的主要審計風(fēng)險

表2 風(fēng)險與控制目標(biāo)、COBIT5模型及常見控制措施的對應(yīng)關(guān)系

簡言之，應(yīng)用控制是否有效并可以被依賴、以及如何測試將在很大程度上取決于一般控制的有效性。因此，信息系統(tǒng)一般控制審計在整個審計過程中具有舉足輕重的作用。

一、系統(tǒng)建設(shè)

（一）系統(tǒng)建設(shè)活動中與審計相關(guān)的特定風(fēng)險

注冊會計師在執(zhí)行財務(wù)報表審計時，需要考慮被審計單位的信息系統(tǒng)建設(shè)活動可能對審計工作產(chǎn)生的影響。例如，信息系統(tǒng)建設(shè)活動是否與財務(wù)報表相關(guān)？相關(guān)程度如何？如果新建的信息系統(tǒng)與財務(wù)報表不相關(guān)（如工程輔助設(shè)計系統(tǒng)），注冊會計師并不需要將其納入審計范圍。反之，注冊會計師需要進(jìn)一步考慮系統(tǒng)建設(shè)活動中與財務(wù)報表審計相關(guān)的特定風(fēng)險，如表1所示。

（二）系統(tǒng)建設(shè)活動的重點關(guān)注領(lǐng)域

注冊會計師應(yīng)當(dāng)根據(jù)對被審計單位信息技術(shù)環(huán)境的了解、財務(wù)報表對信息技術(shù)的依賴程度，以及可能使財務(wù)報表產(chǎn)生重大錯報的信息技術(shù)相關(guān)風(fēng)險評估情況，確定對財務(wù)報表認(rèn)定有直接或間接影響的信息系統(tǒng)。如果被審計單位的系統(tǒng)建設(shè)活動涉及以下幾類信息系統(tǒng)，注冊會計師通常需要 予以關(guān)注：

表3 確定系統(tǒng)建設(shè)審計領(lǐng)域控制測試時的考慮

表4 系統(tǒng)建設(shè)審計領(lǐng)域常見審計發(fā)現(xiàn)及其影響

1. 財務(wù)系統(tǒng)：通常涵蓋總賬、固定資產(chǎn)、應(yīng)收賬款、應(yīng)付賬款等模塊，是被審計單位日常會計核算的基礎(chǔ)應(yīng)用系統(tǒng)。其功能定位決定了這類信息系統(tǒng)對財務(wù)報表認(rèn)定具有直接影響。因此，如果被審計單位在審計期間進(jìn)行了財務(wù)系統(tǒng)的開發(fā)活動，注冊會計師通常應(yīng)當(dāng)將財務(wù)系統(tǒng)納入信息系統(tǒng)審計范圍，并對與該系統(tǒng)開發(fā)相關(guān)的風(fēng)險和控制的設(shè)計與執(zhí)行給予充分的考慮和評估。

2. 報表平臺：通常包括三類，一類是專門執(zhí)行合并報表編制的平臺，能夠根據(jù)配置自動執(zhí)行合并抵消，并出具合并層面的財務(wù)報表，如Oracle Hyperion產(chǎn)品；第二類是從業(yè)務(wù)系統(tǒng)抽取數(shù)據(jù)生成報表，供財務(wù)人員做賬時查詢；第三類是支持企業(yè)對外報送信息的系統(tǒng)，如根據(jù)稅務(wù)法律法規(guī)，專門生成符合報稅格式和規(guī)范的財務(wù)報表。如果注冊會計師確定這類信息系統(tǒng)對財務(wù)報表認(rèn)定具有直接影響，通常應(yīng)當(dāng)將其納入信息系統(tǒng)審計范圍。

3. 業(yè)務(wù)系統(tǒng)：通常是支撐被審計單位生產(chǎn)經(jīng)營活動開展的事務(wù)處理與管控系統(tǒng)，具體表現(xiàn)形式多樣。如制造業(yè)企業(yè)的ERP系統(tǒng)，零售企業(yè)的POS系統(tǒng)、進(jìn)銷存系統(tǒng)、客戶關(guān)系管理系統(tǒng)，商業(yè)銀行的貸款系統(tǒng)，電商的訂單處理系統(tǒng)等。值得注意的是，在現(xiàn)代企業(yè)中，業(yè)務(wù)端與財務(wù)端在信息技術(shù)的推動下逐漸融合，如SAP、Oracle等ERP產(chǎn)品，財務(wù)相關(guān)的功能往往作為ERP系統(tǒng)的一個模塊而存在；或者系統(tǒng)之間存在著自動化的接口，財務(wù)系統(tǒng)通過接口與業(yè)務(wù)系統(tǒng)同步數(shù)據(jù)并進(jìn)行賬務(wù)處理；或者業(yè)務(wù)系統(tǒng)能夠生成相關(guān)的報表，供財務(wù)人員查詢并做會計核算和賬務(wù)處理。在這樣的信息技術(shù)運(yùn)用環(huán)境中，業(yè)務(wù)系統(tǒng)應(yīng)當(dāng)被認(rèn)為對財務(wù)報表認(rèn)定具有直接影響，通常應(yīng)當(dāng)將其納入信息系統(tǒng)審計范圍。

表5 統(tǒng)變更流程各階段主要任務(wù)

表6 系統(tǒng)變更各階段的主要審計風(fēng)險

表7 風(fēng)險與控制目標(biāo)、COBIT5模型及常見控制措施的對應(yīng)關(guān)系

4. 工作流系統(tǒng)：通常能夠根據(jù)用戶角色和權(quán)限，以及工作流的配置和定義，自動觸發(fā)并處理各類工作請求。常見的形式是辦公自動化系統(tǒng)。注冊會計師需要謹(jǐn)慎對待此類系統(tǒng)，并評估工作流處理的對象對于財務(wù)報表認(rèn)定是否具有直接或間接影響。例如，主營業(yè)務(wù)的采購或銷售合同條款的錄入與審批在辦公自動化系統(tǒng)中執(zhí)行，審批通過后，合同條款自動經(jīng)由數(shù)據(jù)接口同步進(jìn)入ERP系統(tǒng)作為采購或銷售事務(wù)結(jié)算的依據(jù)，在這種情形下，辦公自動化系統(tǒng)處理的對象對于財務(wù)報表認(rèn)定具有直接的影響。還有一類工作流系統(tǒng)，處理信息系統(tǒng)相關(guān)的工作請求，如系統(tǒng)變更、后臺數(shù)據(jù)更正等。雖然與被審計單位開展的生產(chǎn)經(jīng)營活動并不直接相關(guān)，但卻是信息系統(tǒng)一般控制的基礎(chǔ)管控平臺，注冊會計師通常應(yīng)當(dāng)予以充分考慮。

（三）系統(tǒng)建設(shè)審計領(lǐng)域相關(guān)控制的一般要素

注冊會計師需要確定財務(wù)報表審計對信息系統(tǒng)的依賴程度，并在此基礎(chǔ)上對納入審計范圍的信息系統(tǒng)的系統(tǒng)建設(shè)領(lǐng)域相關(guān)控制進(jìn)行了解、評估和驗證，系統(tǒng)建設(shè)審計領(lǐng)域相關(guān)控制的一般要素包括：

1. 對開發(fā)和實施活動的控制和管理；

2. 項目啟動；

3. 系統(tǒng)分析與設(shè)計；

4. 編碼開發(fā)與配置；

5. 測試與質(zhì)量保證；

6. 數(shù)據(jù)清洗、轉(zhuǎn)換與遷移；

7. 程序?qū)嵤?/p>

8. 記錄和培訓(xùn)；

9. 職責(zé)分離。

系統(tǒng)建設(shè)各階段面臨的財務(wù)報表審計相關(guān)特定風(fēng)險與控制目標(biāo)、COBIT5模型及常見控制措施的對應(yīng)關(guān)系如表2所示。

表8 確定系統(tǒng)開發(fā)審計領(lǐng)域內(nèi)部控制測試時的考慮

（四）系統(tǒng)建設(shè)審計領(lǐng)域控制測試的執(zhí)行

根據(jù)《中國注冊會計師審計準(zhǔn)則第1211號——通過了解被審計單位及其環(huán)境識別和評估重大錯報風(fēng)險》，注冊會計師應(yīng)當(dāng)根據(jù)被審計單位的特定信息技術(shù)環(huán)境，對財務(wù)報表重大錯報風(fēng)險進(jìn)行識別，了解并評價與財務(wù)報表審計相關(guān)的內(nèi)部控制。就系統(tǒng)建設(shè)審計領(lǐng)域的內(nèi)部控制而言，識別和了解與企業(yè)財務(wù)報告相關(guān)的內(nèi)部控制，并確定控制測試的性質(zhì)、時間安排和范圍,通常需要關(guān)注內(nèi)容見表3。

必須指出的是，以上考慮并非在任何情況下均適用，也并不能完全涵蓋所有情況。注冊會計師需要結(jié)合被審計單位的信息技術(shù)環(huán)境和特定風(fēng)險做出職業(yè)判斷。

在執(zhí)行系統(tǒng)建設(shè)領(lǐng)域的審計工作時，注冊會計師需要充分考慮其審計發(fā)現(xiàn)對企業(yè)財務(wù)報表審計是否存在直接影響，并據(jù)此評估對審計程序的性質(zhì)、時間安排和范圍的影響。系統(tǒng)開發(fā)審計領(lǐng)域常見的審計發(fā)現(xiàn)及其影響列示見表4。

二、系統(tǒng)變更

信息系統(tǒng)建設(shè)完成后，系統(tǒng)進(jìn)入運(yùn)行維護(hù)期。在這個時期，對于信息系統(tǒng)進(jìn)行維護(hù)目的修復(fù)、更新或者增強(qiáng)，即可視為系統(tǒng)變更。從變更的方式上來看，系統(tǒng)變更又可以分為兩類，即代碼級變更和配置級變更。前者是通過直接更改程序代碼而后重新編譯軟件的方式對系統(tǒng)進(jìn)行修復(fù)、更新或者增強(qiáng)；而后者則是通過更改配置項目的方式實現(xiàn)系統(tǒng)變更。

（一）系統(tǒng)變更的階段和主要任務(wù)

系統(tǒng)變更的最根本特點是針對已經(jīng)存在的信息系統(tǒng)而進(jìn)行的。系統(tǒng)變更也可以劃分為若干個相對獨(dú)立的階段，每個階段的名稱及其主要任務(wù)如表5所示。

（二）系統(tǒng)變更活動對財務(wù)報表編制和審計的影響

注冊會計師需要考慮被審計單位的信息系統(tǒng)變更可能對審計工作產(chǎn)生的影響。最根本的問題是，被審計單位的信息系統(tǒng)變更是否與財務(wù)報表相關(guān)？具體相關(guān)程度如何？是否會對信息系統(tǒng)應(yīng)用控制產(chǎn)生影響？如果發(fā)生變更的信息系統(tǒng)與財務(wù)報表不相關(guān)，注冊會計師并不需要將其納入審計范圍。如果有充分證據(jù)證明，自上一次測試后，與財務(wù)報告相關(guān)的信息系統(tǒng)沒有發(fā)生變化，則注冊會計師也可以考慮相應(yīng)減少或省去對系統(tǒng)變更控制的測試。反之，注冊會計師需要進(jìn)一步考慮系統(tǒng)變更活動中與財務(wù)報表審計相關(guān)的特定風(fēng)險，如表6所示。

（三）系統(tǒng)變更審計領(lǐng)域的相關(guān)控制

系統(tǒng)變更審計領(lǐng)域相關(guān)控制是圍繞系統(tǒng)變更活動的一系列程序或機(jī)制，它們能夠確保對系統(tǒng)程序和相關(guān)技術(shù)基礎(chǔ)組件的變更是經(jīng)過請求、授權(quán)、執(zhí)行、測試和實施的，以達(dá)到管理層的應(yīng)用控制目標(biāo)。系統(tǒng)變更審計領(lǐng)域的相關(guān)控制要保證系統(tǒng)變更是在經(jīng)過充分測試并獲得管理層的適當(dāng)授權(quán)后，才由適當(dāng)?shù)娜藛T實施到企業(yè)的生產(chǎn)環(huán)境中。

表9 系統(tǒng)變更審計領(lǐng)域常見審計發(fā)現(xiàn)及其影響

系統(tǒng)變更審計領(lǐng)域相關(guān)控制的一般要素包括：

1. 對系統(tǒng)變更活動的整體管理；

2. 對變更請求的規(guī)范、授權(quán)與跟蹤；

3. 編碼開發(fā)；

4. 測試和質(zhì)量保證；

5. 程序?qū)嵤?/p>

6. 記錄和培訓(xùn)；

7. 職責(zé)分離。

系統(tǒng)變更各階段面臨的財務(wù)報表審計相關(guān)特定風(fēng)險，與控制目標(biāo)、COBIT5模型及常見控制措施的對應(yīng)關(guān)系如表7所示。

（四）系統(tǒng)變更審計領(lǐng)域的測試

根據(jù)《中國注冊會計師審計準(zhǔn)則第1211號——通過了解被審計單位及其環(huán)境識別和評估重大錯報風(fēng)險》，在風(fēng)險導(dǎo)向?qū)徲嬆Ｊ较拢詴嫀煈?yīng)當(dāng)根據(jù)被審計單位的特定信息技術(shù)環(huán)境，對財務(wù)報表重大錯報風(fēng)險進(jìn)行識別，了解并評價與財務(wù)報表審計相關(guān)的內(nèi)部控制。

就系統(tǒng)變更審計領(lǐng)域的內(nèi)部控制而言，識別和了解與企業(yè)財務(wù)報告相關(guān)的內(nèi)部控制，并確定控制測試的性質(zhì)、時間安排和范圍通常需要關(guān)注的內(nèi)容如表8所示。

必須指出的是，以上考慮要點并非在任何情況下均適用，也并不能完全涵蓋所有的情況。注冊會計師需要結(jié)合被審計單位的信息技術(shù)環(huán)境和特定風(fēng)險做出職業(yè)判斷。

在執(zhí)行系統(tǒng)變更審計領(lǐng)域的審計工作時，注冊會計師需要充分考慮其審計發(fā)現(xiàn)對企業(yè)財務(wù)報表審計是否存在直接的影響，并據(jù)此評估對財務(wù)審計程序的性質(zhì)、時間安排和范圍的影響。我們將系統(tǒng)變更審計領(lǐng)域常見的審計發(fā)現(xiàn)及其影響列示如表9。