信息技術輔助審計工作（下）

編者按

在信息化環(huán)境下，企業(yè)運用信息技術編制財務報表，設計和執(zhí)行內部控制。注冊會計師在對企業(yè)的財務報表進行審計時，必須考慮信息技術的影響。同時，信息化也對注冊會計師的審計技術和方法帶來革命性變化。為了幫助注冊會計師應對信息化帶來的挑戰(zhàn)，中國注冊會計師協(xié)會資助普華永道中天會計師事務所研究編寫了《財務報表審計中對信息系統(tǒng)的考慮》一書，已經(jīng)出版。本刊約請作者加以摘編，分期連載，以饗讀者。

一、CAATs工具的選擇

（一）常見CAATs工具的類型

常見的計算機輔助審計工具包括以下幾類：

1. 通用類軟件：Microsoft Office系列軟件，其中使用最為廣泛的為Microsoft Word，Microsoft Excel以及Microsoft Access；

2.專業(yè)審計軟件：A C L，IDEA等；

3. 數(shù)據(jù)庫軟件：Microsoft SQL Server，MySQL，Oracle等；

4.數(shù)據(jù)統(tǒng)計分析軟件：MATLAB，SAS，R等；

5.數(shù)據(jù)分析及展示軟件：Tableau，Qlik View等。

審計人員應當選擇適當?shù)墓ぞ咭詰獙Σ煌膶徲媹龊稀?/p>

對于大量數(shù)據(jù)的處理，根據(jù)不同的情況，可以選擇Microsoft Excel，Microsoft Access、專業(yè)審計軟件或者各類數(shù)據(jù)庫軟件；如果涉及數(shù)據(jù)未來的預測或是統(tǒng)計分析，可以選用Microsoft Excel或者各類數(shù)據(jù)統(tǒng)計分析軟件；如果為了在大量交易中發(fā)現(xiàn)異常記錄，則可以選擇專業(yè)的統(tǒng)計或可視化軟件進行數(shù)據(jù)分析，或者使用專業(yè)審計軟件中的功能（例如本福特定律）發(fā)現(xiàn)異常的數(shù)據(jù)。

在實際業(yè)務操作中，專業(yè)審計軟件和數(shù)據(jù)處理是系統(tǒng)審計專家所執(zhí)行的計算機輔助審計工作中最為普遍的一種。一方面，財務審計團隊對于數(shù)據(jù)處理的需求相比其它類型的工作要多；另一方面，除了Microsoft Excel外其它的數(shù)據(jù)處理工具的使用均需要一定的技術能力。

（二）各類數(shù)據(jù)處理軟件的特點

通用類軟件相比其他軟件易于操作，僅需要有限的知識技能儲備即可上手使用，是使用最為廣泛的工具，但此類軟件能夠處理的數(shù)據(jù)量較小。

Microsoft Excel作為數(shù)據(jù)處理程序，能夠通過內置的函數(shù)對數(shù)據(jù)進行核算分析，同時對于擁有一定編程知識的用戶，可以使用VBA設計相應的宏（Macro），實現(xiàn)復雜的數(shù)據(jù)處理過程。Excel的優(yōu)勢在于操作簡便易于上手，而其缺點也很明顯，單頁的數(shù)據(jù)容量為100萬條左右，大量數(shù)據(jù)的處理將占用系統(tǒng)內存與CPU資源，影響計算機的使用。

Microsoft Access能夠導入不同格式的數(shù)據(jù)文件，通過簡單的SQL語句對數(shù)據(jù)進行處理。相比Excel，Access在處理數(shù)據(jù)條數(shù)上沒有限制，通?？商幚頂?shù)據(jù)條目數(shù)大于Excel，但由于Access存在文件大小和其他的限制（如文件不能大于2GB），因此依然無法處理大量的數(shù)據(jù)。

數(shù)據(jù)庫軟件能夠處理大量的數(shù)據(jù)，但對于導入數(shù)據(jù)的格式有嚴格要求，同時需要使用結構化查詢語言（Structured Query Language，簡稱SQL）進行數(shù)據(jù)處理，因此對于使用此類軟件的人員有著較高的技術要求。數(shù)據(jù)庫既是數(shù)據(jù)審計的工具也是數(shù)據(jù)審計的對象。目前傳統(tǒng)企業(yè)主要使用的是關系型數(shù)據(jù)庫。隨著互聯(lián)網(wǎng)的興起，大數(shù)據(jù)時代來臨，部分互聯(lián)網(wǎng)企業(yè)為了快速存儲處理大數(shù)據(jù)而使用非關系型數(shù)據(jù)庫，例如NoSQL。目前在數(shù)據(jù)處理過程中，審計人員依然會選擇關系型數(shù)據(jù)庫對數(shù)據(jù)進行處理，但審計人員仍然應當熟悉NoSQL等非關系型數(shù)據(jù)庫，一方面便于理解數(shù)據(jù)提取的邏輯，同時在未來也存在此類新型數(shù)據(jù)庫取代關系型數(shù)據(jù)庫作為數(shù)據(jù)處理工具的可能。

表1 軟件的使用情形

數(shù)據(jù)統(tǒng)計分析軟件主要用于基于統(tǒng)計學的數(shù)據(jù)分析，在財務審計過程中需要使用該類軟件的情景較少。同時該類軟件對于使用者也有著較高的要求，并且此類型中的不同軟件均有著特定的使用語言。

專業(yè)審計軟件擁有強大的功能，能夠記錄數(shù)據(jù)的修改日志并保留完整的審計軌跡，生成可靠的審計證據(jù)，為審計人員底稿記錄提供便利，因此此類軟件更適用于專業(yè)的審計從業(yè)者。同時，專業(yè)審計軟件有著不同的使用語言，對于使用者有著很高的要求，目前專業(yè)審計軟件主要在各大會計師事務所使用。

可以按照表1所示的依據(jù)進行工具選擇。

（三）大數(shù)據(jù)環(huán)境下的新型審計工具

此類工具主要由會計師事務所研發(fā)，目前主要用于日記賬的審計工作。該工具采用了新一代技術來識別高風險交易及低效的流程。

很多人認為日記賬能夠被高層所凌駕。他們能夠繞過企業(yè)的控制，脫離正常的業(yè)務而創(chuàng)建修改日記賬，并且掩蓋錯誤及舞弊。該工具能夠被用來發(fā)現(xiàn)這種高層凌駕的風險。

該工具能夠利用一系列的算法幫助審計人員高風險的交易以及財務與系統(tǒng)中的低效流程。該工具適用于任何系統(tǒng)，并且能夠應對不同規(guī)模的企業(yè)。

該工具目前主要的算法是用于識別異常高/低頻交易、異常高/低頻操作用戶、異常高/低頻會計科目、異常金額憑證等。其不僅用于分析財務中的高風險交易，同時也能對較為冗余的人員、合作方進行識別，提升運營效率。

日記賬審閱是審計反舞弊的關鍵工作，但傳統(tǒng)的方式已經(jīng)無法滿足針對海量日記賬的監(jiān)管。該工具采用新一代的技術改善了這一情況，使得企業(yè)能夠實現(xiàn)實時的監(jiān)控。

通過使用該工具，審計人員可以通過查詢日記賬揭示科目、個人用戶、日期、日記賬類型、金額間的關系及模式。

它不僅是審計人員發(fā)現(xiàn)風險識別舞弊的工具，也能夠幫助企業(yè)管理人員進行內部監(jiān)管提升效率。

在大數(shù)據(jù)時代下，目前此類工具只是一種嘗試。在未來，更加開放的工具將能夠實現(xiàn)對各類海量業(yè)務數(shù)據(jù)的分析，既為審計提供便利，也為企業(yè)帶來價值。

二、特殊行業(yè)中CAATs的使用

在互聯(lián)網(wǎng)行業(yè)興起的大環(huán)境下，針對此類行業(yè)的審計成為了新的課題。雖然目前各個行業(yè)均逐步邁向信息化，CAATs也在各行各業(yè)的審計工作中都有應用，但互聯(lián)網(wǎng)行業(yè)的特殊性使其在審計過程中更加依賴CAATs，對其要求也更高。

互聯(lián)網(wǎng)行業(yè)與實體產(chǎn)業(yè)不同，互聯(lián)網(wǎng)行業(yè)中交易的商品、提供的服務可能并不涉及實物，也不存在相應的紙質憑證，交易及其實質均體現(xiàn)于業(yè)務系統(tǒng)中的數(shù)據(jù)。

業(yè)務數(shù)據(jù)的準確性、完整性與真實性是基于互聯(lián)網(wǎng)行業(yè)的重點審計領域。由于業(yè)務數(shù)據(jù)量巨大，常規(guī)的審計抽樣已經(jīng)無法滿足此類企業(yè)審計的要求。審計人員必須依賴業(yè)務數(shù)據(jù)分析發(fā)現(xiàn)異常交易，獲取系統(tǒng)數(shù)據(jù)的審計信心。

由于各個企業(yè)業(yè)務模式不同，相應的業(yè)務數(shù)據(jù)分析方法也應當根據(jù)行業(yè)及被審計企業(yè)的具體情況進行設計，以下我們的方法介紹僅為了拓展注冊會計師在審計中的思考方向及考慮方面，案例也無法覆蓋所有業(yè)務情形。

除了針對一般行業(yè)需要執(zhí)行的測試外，審計人員還可以使用以下方法重點對業(yè)務數(shù)據(jù)的真實性、完整性進行測試：

1. 依據(jù)系統(tǒng)中業(yè)務數(shù)據(jù)所統(tǒng)計得到的應收賬款數(shù)與外部支付渠道的對賬

通?；ヂ?lián)網(wǎng)企業(yè)（例如在線交易平臺或網(wǎng)絡游戲企業(yè)）為用戶設置了相應的賬戶，用戶需要通過各種渠道進行充值，方能在線完成交易。該測試用于驗證企業(yè)所發(fā)生的交易均存在相應的資金流入，也是互聯(lián)網(wǎng)企業(yè)審計中少量能夠與外部數(shù)據(jù)進行核對的測試。理想情況下，該測試應當針對每筆交易進行對賬測試。該測試通常認為是互聯(lián)網(wǎng)企業(yè)審計中其它數(shù)據(jù)測試的基礎，因為該測試可能是唯一與現(xiàn)實實物（即資金流入）相掛鉤的測試。

該測試同樣存在局限性，例如外部支付渠道可能僅包含一段時間內的交易總金額，因此無法進行每筆交易的對賬測試，同時對于交易實質的真實性也無法識別。

2. 業(yè)務數(shù)據(jù)的交易實質檢查

即使完成了第一步測試，確認業(yè)務數(shù)據(jù)于外部支付渠道的金額一致，審計人員仍然僅能夠確保每筆交易記錄并非通過修改數(shù)據(jù)進行偽造，而無法確保交易實質的真實性。這是由于存在企業(yè)模擬交易操作而產(chǎn)生虛構交易數(shù)據(jù)的可能性，虛構交易并非虛構數(shù)據(jù)，其交易與實際業(yè)務操作一致，因此系統(tǒng)將其視為正常的交易數(shù)據(jù)。通常虛構交易的用戶為互聯(lián)網(wǎng)企業(yè)的內部員工或外部合作方。由于互聯(lián)網(wǎng)行業(yè)的用戶主要為通過唯一ID進行識別的個人用戶，但即使針對用戶存在互聯(lián)網(wǎng)實名制的合規(guī)要求，系統(tǒng)仍然無法直接識別每筆交易的對象，判斷交易的真實性。

如果存在完善的第三方數(shù)據(jù)，例如支付寶明細賬單，在業(yè)務數(shù)據(jù)與外部數(shù)據(jù)對賬的過程中，審計人員可以核對業(yè)務發(fā)生的用戶與外部支付用戶的一致性，由此發(fā)現(xiàn)存在的異常代為支付的情況。此種方法依然受限于外部對賬單的形式。

針對在線交易平臺，如果企業(yè)系統(tǒng)能夠記錄每筆交易的用戶IP地址，審計人員可以通過匹配交易發(fā)生IP地址的對應城市與物流信息發(fā)現(xiàn)異常的交易。此種方法能夠很好的將交易數(shù)據(jù)與實物進行匹配，但也有其局限性，例如用戶通過代理或者VPN訪問網(wǎng)站進行交易，系統(tǒng)IP地址記錄的是局域網(wǎng)IP等。

以上方法均是借助系統(tǒng)數(shù)據(jù)與外部用戶標識進行逐筆匹配，是最為直接的異常發(fā)現(xiàn)方式，但在大部分場合無法完全奏效，因此審計人員仍然需要使用其它數(shù)據(jù)分析的方法識別數(shù)據(jù)異常的高風險領域。

審計人員需要識別可能存在虛構交易的數(shù)據(jù)。借助CAATs，審計人員可以以各個維度提取交易數(shù)據(jù)進行分析。

按照時間維度提取交易數(shù)據(jù)，審計人員可以檢查企業(yè)的交易是否滿足行業(yè)的周期性變化，例如電商行業(yè)在雙十一期間的交易量會出現(xiàn)明顯的峰值，游戲行業(yè)在游戲大版本更新時會出現(xiàn)峰值等。若將時間維度提取數(shù)據(jù)的精度提高（例如精確到分鐘、秒甚至毫秒級別），則審計人員可以檢查企業(yè)是否存在同一時刻的大量交易，此類交易可能是由機器軟件定時模擬正常用戶所進行的交易。利用時間維度進行的數(shù)據(jù)分析可以采用箱線圖等統(tǒng)計圖例進行分析，發(fā)現(xiàn)異常的數(shù)據(jù)。

審計人員由此判斷異常交易發(fā)生的高風險月份，重點對該月的交易進行分析。

按照用戶維度提取交易數(shù)據(jù)，審計人員可以檢查是否存在異常交易的用戶。這種測試方法要求審計人員對行業(yè)及企業(yè)業(yè)務有較為深刻的理解，通常由審計人員分析一些具有代表性的指標進行異常用戶分析，例如退貨退款比率異常的用戶、交易頻率異常的用戶、資金消費與資金流入比率異常的用戶等。退貨退款比率異?？赡苁怯捎谄髽I(yè)內部人員的虛構交易或外部人員的欺詐交易；交易頻率異常及資金消費與資金流入比率異?？赡苁怯捎谄髽I(yè)內部人員或企業(yè)的外部推廣公司為實現(xiàn)推廣效果而產(chǎn)生的大量虛擬交易。

有時為了更加全面分析用戶，審計人員需要結合多項指標同時對用戶進行分析，此時數(shù)據(jù)可視化能夠大大增加審計人員分析的效率，并且更為精準發(fā)現(xiàn)異常。

隨著人工智能的發(fā)展，神經(jīng)網(wǎng)絡也逐漸成為一種異常用戶分析的方法?，F(xiàn)階段受制于訓練數(shù)據(jù)的匱乏，審計領域尚未出現(xiàn)成熟的神經(jīng)網(wǎng)絡模型。但未來隨著技術的逐步發(fā)展，神經(jīng)網(wǎng)絡也將會成為一種主流的數(shù)據(jù)審計方法。

3. 業(yè)務數(shù)據(jù)內部勾稽關系的驗證

互聯(lián)網(wǎng)行業(yè)的審計雖然均依賴系統(tǒng)中的數(shù)據(jù)，而缺乏現(xiàn)實實物進行參照比較，但其業(yè)務數(shù)據(jù)內部存在千絲萬縷的聯(lián)系，并且存在互相之間的勾稽關系。例如：電商平臺的交易數(shù)據(jù)、發(fā)貨數(shù)據(jù)及物流數(shù)據(jù)間存在互相匹配關聯(lián)的關系；平臺內用戶的余額、充值金額及消費金額也存在著期初+充值-消費=期末的勾稽關系。由于互聯(lián)網(wǎng)行業(yè)業(yè)務數(shù)據(jù)量大、數(shù)據(jù)庫結構復雜，企業(yè)人為對交易數(shù)據(jù)的修改可能會破壞數(shù)據(jù)內部的勾稽關系。因此在審計過程中內部數(shù)據(jù)的自洽能夠獲得一定的審計信心。

4. 會計估計的驗證

互聯(lián)網(wǎng)行業(yè)中由于存在各類的虛擬商品以及虛擬貨幣，在會計處理過程中往往需要基于業(yè)務數(shù)據(jù)得出相應的會計估計，例如網(wǎng)絡游戲虛擬物品攤銷的期限、用戶長期未使用沉淀資金確認收入的時點等。通常企業(yè)本身會訂立相應的會計估計，審計人員需要依據(jù)對于業(yè)務的理解而建立相應的模型驗證會計估計使用的恰當性。通過CAATs，審計人員能夠通過分析用戶的登錄與消費情況，測算玩家的生命周期驗證網(wǎng)絡游戲虛擬物品攤銷的期限；通過對于期后資金的使用情況及用戶的登錄情況，審計人員能夠測算沉淀人員及資金的回流率，判斷沉淀期限的合理性。如果沒有CAATs，審計人員在會計估計的判斷上將會手足無措無據(jù)可依。

5. 行業(yè)對標及趨勢分析

互聯(lián)網(wǎng)行業(yè)中各個細分行業(yè)有著相似的業(yè)務模式，在一些關鍵指標上也極為相似。審計人員應當對企業(yè)的關鍵指標進行計算，并與行業(yè)的平均數(shù)據(jù)進行比較，分析差異及可能存在的舞弊情況。例如：月均每賬戶充值金額ARPU值、付費轉化率、留存率、付費用戶數(shù)、活躍用戶數(shù)、下載激活量、充值消耗比等。

除了行業(yè)對標，企業(yè)自身相關指標存在著趨勢的一致性，審計人員也應當關注，檢查是否存在互相矛盾的因素。例如：電商平臺的網(wǎng)站訪問量、交易量趨勢一致；網(wǎng)絡游戲行業(yè)網(wǎng)站訪問量、新增付費用戶數(shù)、活躍用戶數(shù)、游戲下載激活量、充值量、消費量的趨勢一致性。

行業(yè)對標及趨勢分析雖然與財務數(shù)據(jù)的審計沒有直接的相關性，但由于互聯(lián)網(wǎng)行業(yè)的特殊性，審計人員應當考慮相關的測試以減少數(shù)據(jù)舞弊的風險。

一方面，CAATs作為工具為審計帶來了相應的便利，同時審計的測試方法也為CAATs的使用及數(shù)據(jù)的真實性帶來支持。

三、CAATs的局限

計算機輔助審計工具使得審計工作變得更加高效，然而CAATs也存在著一些局限，例如：

1. 由于CAATs主要是針對數(shù)據(jù)的審計工作，交易信息存在事先被修改或導出后認為篡改的風險，以至于審計人員無法發(fā)現(xiàn)異常結果；

2. 針對時點數(shù)據(jù)的測試，可能由于測試執(zhí)行的時間與數(shù)據(jù)時點不同而導致無法追溯審計期間的數(shù)據(jù)狀態(tài)，影響測試結果；

3. 對于業(yè)務規(guī)則及運算處理邏輯的誤解可能導致審計人員使用錯誤邏輯進行數(shù)據(jù)提取與測試，得到錯誤的結論；

4. 如果審計人員采用腳本進行數(shù)據(jù)處理，后續(xù)審計人員通常使用之前的腳本進行處理，腳本未妥善保存或簡單使用以往腳本而不考慮業(yè)務與系統(tǒng)的變化均可能造成審計人員數(shù)據(jù)處理得到錯誤的結論。

審計人員應當執(zhí)行相應的工作應對以上風險，例如：

1. 執(zhí)行信息系統(tǒng)與數(shù)據(jù)的相關的測試，降低交易信息被人為篡改的風險；

2. 參與或監(jiān)控數(shù)據(jù)提取的過程，第一時間獲取導出的數(shù)據(jù)，確保數(shù)據(jù)導出后未經(jīng)過修改；

3. 提前安排審計計劃，要求客戶提前備份時點數(shù)據(jù)或是在相應時點執(zhí)行腳本提取數(shù)據(jù)；

4. 謹慎分析測試邏輯及測試結果；

5. 每年對數(shù)據(jù)處理腳本進行歸檔，并且按照更新的業(yè)務邏輯，修改歷年使用的腳本。