基層審計機關信息系統審計初探

基層審計機關信息系統審計初探

一、信息系統審計的涵義無論哪種定義我們都可以看出，信息系統審計是傳統審計的深化，其目的在于有效地監控信息系統的風險。信息系統審計更加強調系統的觀點，審計對象包括整個信息系統環境以及與此有關的業務在內的以網絡及計算機為核心的信息系統。而審計過程比傳統審計更加簡單，掩蓋了信息系統從規劃、開發、運行、維護到報廢的整個生命周期的過程。

二、開展信息系統審計的必要性信息系統的牢靠性、安全性、有效性和效率成為制約信息系統質量的重要因素，我們現在普遍開展的計算機幫助審計，是在基于認可了信息系統安全、牢靠，數據真實的狀況下，實行有關數據后進展數據分析，審計人員并未對信息系統進展審計，僅對它產生的財務數據、業務數據進展審查。那么信息系統是否安全、牢靠呢？其運行結果是否真實有效呢？在答復這些問題之前，審計結論的牢靠性就要受到質疑，審計風險也就在所難免。信息系統審計作為一種可以確保信息系統的安全、牢靠及高效運行的新的審計模式受到世界各國的普遍重視，隨著我國以“信息化帶開工業化”戰略的全面實施，國民經濟信息化被提到了前所未有的高度，加快進展我國的信息系統審計事業具有重要意義。

首先，信息系統審計是審計機關維護國家信息安全的重要手段。新任審計長劉家義屢次指出，作為經濟社會運行的“免疫系統”，維護國家安全是審計工作的第一要務。信息安全是國家經濟安全的一個重要方面。當前信息化條件下，政府機關通過信息系統和計算機網絡運行了大量的國家資源，開展信息系統審計，確保這些系統的安全穩定，維護國家信息安全。

其次，信息系統審計是新形勢下防范審計風險的必定要求。由于信息系統的快速進展和單位業務量的不斷擴大，很多我們審計過程中需要的取證材料都是通過計算機系統直接生成的，而如何確保這些系統直接生成的材料是百分之百正確的，如何確保審計機關不是“假賬真查”，如何確保系統自身的產品（信息資源）是牢靠的，不能僅僅依靠被審計單位的承諾來解決，而是要通過開展信息系統審計，來降低和防范審計風險，提高審計質量。

第三，信息系統審計是查處打擊新型犯罪手段的重要途徑。由于計算機和通信技術的不斷普及，我們對信息系統的依靠越來越嚴峻。在一些特別的行業，如銀行、保險、電信行業，假如離開信息系統，正常工作將無法開展。但同時，利用信息系統漏洞而進展的計算機犯罪行為屢有發生，這更加引起我們對信息系統內部掌握、合理授權等安全性、牢靠性的關注。開展信息系統審計，能夠幫忙被審計單位完善信息系統的運行，同時，對利用信息系統進展計算機犯罪也具有強大的震懾作用。

三、當前制約基層審計機關開展信息系統審計的因素

為適應經濟社會的不斷進展，目前基層多數單位在財務核算等內部治理上均開頭使用計算機信息系統。如何克制審計資源的缺乏，積極有效地開展基層信息系統審計工作，已經成為基層審計機關面臨的一個新問題。筆者認為，制約基層審計機關開展計算機信息系統審計主要有五大因素：

一是對信息系統審計的觀念轉變不到位。信息系統審計不僅是審計手段和審計對象的轉變，更是對傳統審計在思維方式上的轉變。一方面，對信息系統審計的熟悉和定位不到位，對信息系統的理解還停留在計算機幫助審計或幫助審計軟件開發及應用的層次上，尚未全面樹立制度根底審計和風險審計的理念。信息系統審計不是計算機幫助審計，其對象就是信息系統本身。計算機幫助審計是一種審計手段，而信息系統審計就是一種審計模式，通過對信息系統整個生命周期過程的審計，來對系統的安全性、有效性和牢靠性做出合理的評價。另一方面，對開展信息系統審計存在“等、靠、看”的思想。由于對信息系統審計這樣一個新生事物，理論和實踐的熟悉程度還不是特別成熟，常規性審計工作主要包含財政財務收支、經濟責任、固定資產投資審計等，審計觀念仍局限在查錯糾弊上，審計習慣于“就賬審賬”，同時審計思路難以連接，會造成不知如何下手，從而引起畏難心情，望而卻步，寄盼望上級審計機關先進展合理的實踐和探究，形成一套有效的閱歷和方法，在這根底上再開展信息系統審計，導致基層審計機關對于信息系統審計的開展仍處于“等、觀、望”的狀態。

二是審計人才培育尚未形成機制。開展信息系統審計，需要熟識、精通審計專業和計算機專業的高端復合型人才。包含兩個方面的人才，一種是精通審計、擔當過大型工程主審且熟識計算機應用的高級審計師；另一種是精通計算機（例如注冊信息系統審計師CISA）或者嫻熟把握數據庫有關技術、信息系統掌握以及軟件工程等學問，同時又熟識審計原理和審計實務的計算機專業人才。目前基層審計機關的業務骨干大多為財會和審計專業。雖然經過計算機強化培訓審計機關會用計算機的人越來越多，但信息系統審計不僅要“會用”還要“精通”；不僅要精通計算機學問，還要會將審計思路轉變成計算機審計方法，現有審計人員素養很難滿意。針對這種狀況，基層審計機關有的是直接引進計算機專業人才想取而代之，但從實際引入的計算機專業人才來看，如何將審計思路提煉成計算機語言并融合于信息系統審計中，照舊需要審計機關后期的不斷培訓。

三是計算機軟硬件設施存在缺乏。一方面，在硬件設備購置上，目前基層審計機關經費重點保障計算機幫助審計、信息化辦公治理和聯網審計的硬件投入；而信息系統審計要承載運行的大量數據，往往依靠一般筆記本或配置較高的臺式機是難以奏效的，引入小型效勞器對經費緊急的基層審計機關來說難免捉襟見肘。另一方面，被審計單位信息系統應用參差不齊。從基層被審計單位軟件應用狀況看：各種軟件各行其道，同一個品牌的諸如用友、金蝶等財務軟件都有很多個版本，每個版本系統自身不簡單，但難在小而多；另有局部垂管單位和業務性強、業務量大的單位，其業務信息系統是由省統一布置，其信息化程度高但又不能實施信息系統審計，基層審計機關往往只能獵取終端數據，測試數據的運行幾乎不行能。

四是開展信息系統審計的法律法規依據不充分。當前，審計機關開展信息系統審計所依靠的法律法規主要有《審計法》和《國務院辦公廳關于利用計算機信息系統開展審計工作有關問題的通知》（國辦發［2023］88號）等。但是，《審計法》第三十一條和三十二條，僅明確審計機關對被審單位運用電子計算機治理財政和財務收支電子數據系統（即會計信息系統）進展審計，而對與被審單位治理和決策等有關其它信息系統的審計，則未予以明確。在現代信息系統審計中，不僅跳出了傳統概念上的賬冊、憑證，甚至跳出了計算機電子數據，開頭對計算機系統內部掌握設置、內部評價標準進展探究，但由于缺少法律支撐，被審計單位對開展信息系統安全審計所需的數據字典、程序開發文檔等核心文檔時，常遭到對方以涉及企業商業隱秘等種種理由而拒絕，而審計機關又沒有準確的法律依據強制要求供應，導致信息系統審計開展困難。

五是信息系統審計相關審計準則和操作指南不完善。由于我國開展信息系統審計正處于起步階段，對審計機關如何開展信息系統審計尚在積極探究中。信息系統審計缺少具備實際指導意義的相關審計準則和操作指南。因此，目前尚沒有一個完整的、成熟的具有示范作用的審計案例，而信息系統審計查出問題定性簡單、依據難找，也缺少具備實際指導意義的相關信息系統審計準則和操作指南。信息系統審計準則和審計指南的缺失，不利于標準和指導信息系統審計實踐，不利于衡量和評價信息系統審計工作質量，也不利于防范和躲避信息系統審計風險。

四、基層審計機關加快開展信息系統審計的對策建議

針對上述問題，筆者認為，基層審計機關在推動信息系統審計工作的時候，只有充分運用現有條件，從“小”處入手，以小搏大，逐步推動，方是良策。

一是選擇恰當的審計方法。目前推行信息系統審計主要有四種方式：獨立式、全結合式、結合式和倒推式。各基層審計機關要充分了解自身的實際狀況，充分學習了解各種系統審計方法，不能盲目推行獨立式和全結合式。要以倒推式為起點，結合式為進展，獨立式和全結合式為最終目標，有規劃、有步驟地逐步推動信息系統審計工作。專項資金類審計工程被審計單位大多采納自行開發的軟件，因而更具備開展信息系統審計的條件。如某地實施的《地方稅務征管信息系統審計工程》，審計人員從一個抵扣項的“小”字段動身，見到其對減免稅的“大”影響。實施過程中，不貪大求洋，采納最簡潔的倒推式審計方法，最終確認應退未退減免稅近千萬元的問題。而《J市新型農村合作醫療計算機治理系統審計工程》，審計人員則從身份證號這樣一個“小”事項動身，倒推出該系統參保人員信息輸入未予掌握，導致一人多保的問題。以“小”事項見“大”系統，提醒出了資金治理的“大”問題和“大”漏洞。

二是逐步積存審計資源。從這兩個勝利的信息系統審計案例來看，工程的實施一旦取得階段性的成果，審計人員對于被審計的信息系統就會更加熟識，自信念就會更強，也逐步累積了閱歷，為今后的審計奠定了根底。“小”的審計成果促進了信息系統審計工作“大”的進展。在硬件設施的配備上，一方面要在經費供應上保障信息系統審計，逐步改善硬件設施，以點帶面，推動信息系統審計工作；另一方面要充分發揮基層審計人員的主觀能動性，對數據量過大又不能直接采集或運行的，可通過數據分割的方式來解決；對內存不夠、計算運行時間過長等問題，可采納換人不停機的方式來解決。

三是加強審計溝通溝通。首先加大審計系統內部溝通。可以結合審計特點舉辦信息系統審計相關學問的培訓班和審計案例觀摩講座，以勝利的案例來挑開信息系統審計神奇的面紗。準時總結勝利的閱歷，排解審計人員的畏難心情。進一步標準審計操作、完善審計內容、統一審計處理，逐步形成操作性較強的指導意見和應用標準。其次加強與被審計單位的溝通。要讓被審計單位充分感受電子化治理的便利，以推廣會計電算化為根底，推廣信息系統治理。要讓被審計單位逐步了解并承受信息系統審計工作，從而轉變觀念，制造更加寬松的審計環境。

四是充分利用現有人才。首先連續加強對審計人員計算機學問的系統培訓。目前各基層審計機關根本都已經具備肯定數量的審計業務與計算機水平均比擬突出的業務骨干，要連續進展系統培訓，逐步培育出自己的“信息系統審計師”。其次要進一步加強審計機關之間需要業務學習與溝通，了解相互存在的困難，溝通彼此解決的方法，特殊是勝利案例的閱歷共享。通過溝通和資源共享，提高基層審計系統的整體水平。

五是形成良好審計氣氛。信息系統審計的開展并不能僅僅依靠一兩個計算機業務骨干，而是要全員發動，全員參加，才能把信息系統審計這篇文章做好。首先，領導重視是關鍵。對于縣級審計機關而言，只有領導重視了，信息系統審計才有發芽的土壤，才能有更多的審計人員參加進來，才能有更好的硬件軟件保障。其次，轉變思想觀念。當前，要