內部基礎及審計 5

《內部審計學：理論與實務》第13章數字經濟時代下內部審計轉型CONTENTS第一節大數據與內部審計第二節人工智能與內部審計第三節區塊鏈與內部審計第四節云計算與內部審計01學習目標學習目標了解大數據、人工智能、區塊鏈、云計算等的定義、特征。熟悉大數據、人工智能、區塊鏈、云計算等對內部審計的影響。掌握大數據、區塊鏈及云服務相關審計要點。掌握人工智能相關審計內容。02素養目標素養目標擁抱數字技術變革，理解大數據、人工智能、區塊鏈技術等給內部審計帶來的歷史機遇，培養開拓創新、與時俱進的進取精神，主動適應數字中國建設對審計人才提出的新要求。在技術應用中保持清醒的倫理思考和風險意識，認識到技術是工具、人才是根本，培養在數智化轉型中堅守審計獨立性、客觀性的核心價值理念，致力于成為推動內部審計事業高質量發展的中堅力量。03導讀【導讀】對于內部審計來說，大數據代表著巨大的機遇盡管人們認識到大數據技術等具有強大的力量，但在內部審計工作中有效利用這些技術仍存在一定的困難。德勤風險與財務咨詢負責人尼爾·懷特（NeilWhite）指出，隨著數據呈指數級增長以及廉價新技術不斷涌現，新的業務見解和價值持續產生，當下正是內部審計人員為組織創造更多價值的最佳時機。通過擴大分析程序的應用范圍，內部審計人員能夠以更堅定的信心實現審計目標，并進一步提升審計效率。德勤針對全球1200多名CAE進行的問卷調查結果顯示，約70%的受訪者處于大數據分析生命周期的初始或發展階段，僅有7%處于高級階段。大多數受訪者表示，他們在審計的現場工作中應用了分析程序。然而，懷特認為，分析程序能夠在審計范圍界定環節或審計準備階段帶來更多價值。應用分析程序可以讓審計人員從數據中獲取更多有價值的信息，從而為實現審計目標提供有力支撐。調查表明，大數據技術為內部審計提供了重要發展機遇，大數據技術的使用預計將增加。58%的受訪者預計未來的3~5年將在至少50%的審計工作中使用大數據技術，37%的受訪者希望在至少75%的審計工作中使用大數據技術。調查還顯示，大數據技術在內部審計工作應用方面也面臨諸多障礙：一方面存在人才短缺和能力不足問題。目前內部審計人員中精通大數據技術的人員稀少，他們的技能重點仍放在應用傳統審計技術和制定審計程序上，大數據技術的應用和大數據分析技能有待進一步提升。另一方面，獲取高質量數據存在困難。04第一節大數據與內部審計第一節大數據與內部審計一、大數據與內部審計的關系二、大數據相關審計內容一、大數據與內部審計的關系（一）大數據的內涵（二）大數據技術對審計的影響（三）內部審計在大數據項目中的實踐路徑（一）大數據的內涵1.大數據的定義2.大數據的特征3.大數據技術的主要類型1.大數據的定義大數據是指數量巨大、種類多、生成速度快和價值密度高的數據。大數據范圍廣泛，包括組織內部數據（如交易數據、客戶投訴數據）、行業數據（如每種產品的客戶采用率等）、社會數據（如交通數據、經濟數據）、自然界數據（如地震震級、位置和頻率）等。移動設備、物聯網傳感設備、航空（遙感）設備、軟件日志記錄工具、射頻識別設備等均可用來收集數據。2.大數據的特征大數據有五個特定的屬性，即“5V”屬性：數量（volume）、種類（variety）、速度（velocity）、價值（value）和可視化（visualization）。因此，大數據的基本特征為數據量巨大，數據類型多樣且復雜，數據創建、處理及分析速度快，潛在價值巨大。具體分析如下：（1）數量。這里具體指的是可用的數據量。目前正在生成的數據量是巨大的。據IBM統計，全球每天產生2.5艾字節的數據。這些海量數據對內部審計工作產生的最明顯的影響是大大提高了審計覆蓋率。（2）種類。大數據類型多樣、來源廣泛。數據類型包括結構化、非結構化和半結構化數據。數據既可由組織內部生成，也可由外部創建。結構化數據是指按預定義的數據關系模型存儲的數據，通常以表格、樹狀結構或其他關系模型形式呈現。組織內存儲的結構化數據在關系數據庫（甚至包括一些遺留的分層數據庫或平面文件數據庫）中維護。這種存儲方式便于進行重復查詢、統計分析。由于明確了數據所有權，并且供應商提供數據庫問題解決方案，因此結構化數據通常比非結構化數據更容易管理和控制。非結構化數據是指未按預先定義的數據關系模型存儲的數據。非結構化數據種類繁多，包括文本、照片、音頻、視頻等。非結構化數據的使用量正在增長，并且在組織中愈發普遍。然而，由于其具有難以預測的性質，通常更難以管理。半結構化數據介于結構化數據和非結構化數據之間，無預定義的固定模式，兼具靈活性和可讀性。其可通過內置的標簽、標記或格式對內容進行描述和分類。（3）速度。這里具體指的是創建、處理、存儲和分析數據的速度。具備更快的速度，意味著可以在頻繁、可重復和可持續的基礎上進行持續審計。盡管持續審計的概念已經存在多年，但過去受限于技術條件，難以有效實施。如今，與大數據相關的軟件和硬件技術的發展正逐步將持續審計從理論構想變成現實。（4）價值。大數據的潛在價值巨大。企業雖擁有大量數據，但其中能發揮價值的是非常小的一部分，企業可利用大數據技術深入挖掘數據的潛在價值。（5）可視化?？梢暬侵敢詧D形或圖表等格式呈現數據，從而使決策者更輕松且高效地做出決策?！局R拓展】數據存儲概念：數據倉庫與數據湖數據倉庫是指專門為分析和報告數據而設計的數據存儲庫。數據倉庫通常是存儲多個來源的信息的關系數據庫。數據從包含事務數據的操作系統轉移到數據倉庫，這些數據涵蓋了有關一個或多個主題的完整信息。為了實現數據從操作系統到數據倉庫的高效移動，數據提取、轉換和加載（ETL）工具被配置并應用其中。數據按照數據倉庫要求的格式和結構被加載，并且數據倉庫中的數據通常經過了聚合處理。數據湖逐漸成為備受青睞的支持大數據存儲和數據發現的工具。數據湖與數據倉庫的相似之處在于，它們存儲不同來源的大量數據，也存儲來自源系統的附加數據。在數據倉庫的數據聚合過程中，一些數據的粒度信息往往會丟失，但數據湖能保留這些通常會在聚合中丟失的粒度信息。這種特性使得數據湖能夠提供具有足夠粒度級別的所有可用數據元素的大數據解決方案，從而能夠執行更為完整的分析。此外，數據湖有助于組織靈活地解決意外問題，因為它可以隨時維護所有數據。3.大數據技術的主要類型大數據技術主要可分為四種類型：數據獲取和存儲技術、數據挖掘技術、數據分析技術和數據可視化技術。每一類技術都與特定的工具相關聯，在實際應用中，需要根據所需的大數據技術選擇適合的工具。（1）數據獲取和存儲技術。大數據技術具有獲取、存儲和處理大數據的功能。它由允許用戶存儲數據以便于訪問的基礎設施組成。隨著大數據技術的發展，能夠存儲和處理數據的計算系統應運而生。以集中式和分布式計算系統為例，集中式計算系統先將數據存儲在中央計算機上再在該計算機上進行處理；分布式計算系統則是通過由網絡連接起來的不同計算機存儲和處理大數據。如ApacheHadoop等不僅可以存儲數據，還能借助各類應用程序來處理數據。與從分布式計算系統中提取數據并進行分析相比，使用集中式計算系統直接分析數據更具優勢。當數據都集中在一處并在一個平臺進行分析時，公司內的所有用戶都可以方便快捷地訪問數據，并將數據分析結果應用到日常工作中。（2）數據挖掘技術。數據挖掘是指從原始數據中提取有價值的模式和趨勢信息。如RapidMiner、Presto等工具可以將非結構化數據和結構化數據轉化為可用信息。（3）數據分析技術。數據分析是指清理數據并將其轉換為可用于推動業務決策的信息。在數據挖掘完成后，用戶可使用ApacheSpark和Splunk等工具構建模型和進行預測分析。（4）數據可視化技術。數據可視化是指將數據通過視覺形式呈現出來。對于面向數據的工作角色，數據可視化有助于其向利益相關者提供有關組織盈利能力和運營狀況的建議，其魅力在于能夠用簡單的圖表表述復雜的數據。（二）大數據技術對審計的影響1.對審計范圍與審計證據的影響2.對審計技術與方法的影響3.對審計項目管理的影響1.對審計范圍與審計證據的影響一方面，大數據技術使審計范圍進一步擴大。傳統審計受審計資源和審計技術的限制，審計范圍較為局限。借助海量的大數據信息和智能分析技術（如機器人流程自動化（RPA）），內部審計人員能夠識別出更多高風險領域，并將其納入審計范圍。另一方面，大數據技術豐富了審計證據來源。借助大數據技術，內部審計人員獲取的信息更加多樣，能夠以較便利的方式獲取并快速分析外部宏觀信息、中觀行業信息以及自然空間地理數據、音頻、視頻及文本等微觀信息。2.對審計技術與方法的影響一方面，審計范圍的擴大、審計證據的豐富使得審計技術從抽樣審計向全面詳細審計轉變。另一方面，審計周期上，借助大數據技術，持續審計和自動化審計成為可能。3.對審計項目管理的影響首先，大數據技術提高了審計工作效率。例如，內部審計人員使用大數據分析程序進行細節測試中的自動核對，能夠快速獲得審計分析結果，從而節省了審計分析時間，提高了工作效率。利用節約的時間，內部審計人員可安排其他審計項目，從而優化審計資源的配置。其次，大數據技術改變了審計項目團隊的技能結構需求。大數據技術的廣泛應用使得IT人員成為審計團隊不可或缺的組成部分，同時對內部審計人員IT技術素養提出了更高要求。（三）內部審計在大數據項目中的實踐路徑在大數據項目實施前，內部審計人員需將大數據在組織內所發揮的作用納入風險評估與審計規劃范疇。若經評估發現風險較高，內部審計人員可制訂恰當計劃，確保全面覆蓋與大數據相關的風險及對應的控制措施。在此過程中，內部審計人員有機會向董事會闡述組織大數據項目的風險與挑戰，以及潛在的重大機遇。通常，內部審計人員會通過多次審計來擴大對大數據的覆蓋范圍，而非僅開展單一的、獨立的大數據審計。在大數據項目實施中，與其他大型項目一樣，內部審計人員應考慮通過正式或非正式的方式，如提供咨詢、進行實施前或實施后審查等參與其中。同時，內部審計人員還應重點關注數據的使用方式，以及組織依據大數據分析結果所采取的行動。在大數據項目實施后，由于組織已對數據進行獲取、整合與集成，內部審計人員通過調用數據倉庫或數據湖中的數據開展工作，相較于針對眾多源系統進行操作，可顯著提升工作效率。內部審計人員在組織的大數據項目中發揮關鍵作用，且隨著項目的開展其角色會發生動態變化。二、大數據相關審計內容與大數據相關的審計領域包括：項目治理；技術可用性和性能；安全和隱私；數據質量、管理和報告。（一）項目治理審計（二）技術可用性和性能審計（三）安全和隱私審計（四）數據質量、管理和報告審計（一）項目治理審計對大數據項目缺乏適當的管理支持、資金投入或治理等可能會使組織面臨很大的風險，甚至無法實現戰略目標。項目治理審計內容包括：（1）資金是否能滿足業務需求。組織需選擇適當的融資模式以保障大數據項目的初始設計和實施以及正在進行的活動（如在整個生命周期內，為可持續生產提供支持資源和技術維護的活動）有充足的資金。（2）大數據項目目標是否契合企業戰略。大數據項目的目標應與企業的戰略保持高度一致。（3）是否設計了關于大數據項目的績效指標。組織應設計、實施并監控定量和定性指標，以證明項目的價值。（4）是否建立一個專門的管理實體來管理大數據項目。（5）業務部門和IT部門之間是否達成一致的服務協議，以明確描述和衡量績效預期。（6）是否記錄、分析業務和技術要求。（7）管理層是否制定大數據戰略，從而為整個組織的問題解決提供方案。（8）在批準業務案例之前，管理層是否進行概念驗證，以確認大數據系統設計符合戰略目標。（9）是否明確各種角色和責任。組織應為內部的數據治理角色和職責編制并維護職責分配矩陣，清晰界定數據所有者、管理員、外部專家的角色和職責以及依賴大數據解決方案和報告的業務合作伙伴的角色和職責。（10）是否提供必要的資源來部署和維護大數據項目。一方面，組織需引入具有必要技能和經驗的合適人才，以保障該項目取得成功；另一方面，組織要根據不斷變化的技術需求，定期執行技能評估。（11）是否采用第三方供應商管理規范對大數據供應商進行管理。（二）技術可用性和性能審計無效的技術解決方案或配置可能會導致負面的客戶體驗、系統可用性降低或技術性能下降，進而使組織面臨風險，甚至無法實現戰略目標。技術可用性和性能審計內容包括：（1）IT運營的結構是否支持大數據服務級別預期。應與適當的業務合作伙伴達成一致，明確各項支持細節，如是否需要全天候支持以及對最終用戶問題做出回應的時間等。（2）是否記錄并遵循數據生命周期政策和程序。數據存儲和保留要求及程序應記錄在案，以確保數據的適當存儲、保留和銷毀。（3）大數據系統是否被納入維護范圍。（4）大數據系統是否包含在變革管理戰略中。（5）大數據系統是否包含在補丁管理策略中。（6）大數據系統的構建或配置是否滿足業務需求的復雜性。（7）系統和支持工具是否配置為可向支持人員提供自動通知。（8）報告工具是否靈活、直觀且易于使用，是否提供培訓輔助工具。（9）大數據系統的配置是否允許在不犧牲性能的情況下實現靈活性和可擴展性。（10）是否定期進行性能測試，并修復缺陷。（11）是否正確管理大數據系統的生命周期。（12）是否定期評估IT一般控制措施。（三）安全和隱私審計無效的信息安全標準和配置可能導致對數據未經授權的訪問、對數據的不當修改以及違反法規遵從性等問題。安全和隱私審計包括信息安全管理審計、數據安全管理審計、數據隱私審計、第三方訪問管理審計等。1.信息安全管理審計2.數據安全管理審計3.數據隱私審計4.第三方訪問管理審計1.信息安全管理審計（1）組織內部是否制訂網絡安全計劃，以抵御內部和外部威脅。（2）是否建立強化的安全基線配置，確保大數據系統及其基礎設施擁有一致、安全的運行環境。（3）是否禁止或適當控制能夠繞過操作系統、網絡和應用程序控制的系統實用程序。（4）是否對審計工具的訪問和使用進行了分段和限制，以防止泄露、誤用或破壞日志數據。是否檢查日志數據以識別可疑活動。（5）所有基于云的服務是否都被批準用于該組織數據的存儲等。（6）在實施基于云計算或其他第三方計算的解決方案之前，IT部門是否評估相關服務的安全性，其能否有效解決有關共享基礎設施、外部托管系統和供應商訪問數據的問題。（7）補丁管理過程是否被詳細記錄和有效實施，以確保系統及時使用經批準的最新補丁進行修補。2.數據安全管理審計（1）是否只有經過授權的業務用戶才能訪問大數據系統中的數據和報告，且訪問權限與其工作職責一致。（2）是否只有一小部分經過授權的技術用戶有權訪問大數據系統，包括操作系統、數據庫和應用程序。（3）是否對最終用戶報告工具進行適當配置，以確保只有經授權才能查看敏感數據。（4）是否定期審查大數據系統的訪問權限，以確保其適當性。3.數據隱私審計（1）是否對數據進行盤點和分類，以確保組織的關鍵數據（包括需要保護的個人信息）得到適當的保護。（2）在將個人身份信息和其他敏感數據從生產環境復制到開發或測試環境之前，是否對其進行消毒或加密。（3）事件響應流程是否被記錄、批準和實施，以確保數據泄露事件能得到適當處理。4.第三方訪問管理審計在授予對數據和信息系統的訪問權限之前，是否評估供應商的信息訪問要求；管理層是否評估供應商對相關供應商管理規定的遵從情況。（四）數據質量、管理和報告審計數據質量問題或不準確的報告可能導致不準確的管理報告和有缺陷的決策。數據質量、管理和報告審計內容包括：（1）是否制定大數據管理政策和程序，以確保數據質量。（2）是否制定相關政策和程序，以確保從第三方獲得的數據符合數據質量標準。（3）是否制定相關政策和程序，以確保報告的準確性。（4）是否應根據業務需求授予用戶對報告的訪問權限。（5）報告工具和程序是否具備靈活性，能否支持臨時報告的生成。（6）是否定期對用戶進行培訓，以最大限度地提高報告的實用性。（7）產品和服務的供應商是否符合業務需求。實施大數據項目既具有潛在好處，也具有巨大的風險和挑戰。內部審計人員必須幫助組織識別、理解和應對相關風險。05第二節人工智能與內部審計第二節人工智能與內部審計一、人工智能與內部審計的關系二、人工智能相關審計內容一、人工智能與內部審計的關系（一）人工智能的定義（二）內部審計人員在組織實施人工智能項目中的作用（一）人工智能的定義人工智能（AI）是計算機科學的一個重要領域。它借助信息技術使智能機器像人一樣開展工作和做出反應，具體涵蓋決策制定、問題解決、感官模擬、學習、規劃以及視覺感知和語音識別等。它在識別模式和異常值方面效用顯著。人工智能既可以用來提升人類的參與程度，也可以替代某些人類工作。例如，人工智能能夠分析區塊鏈上的實時交易數據和其他信息，模擬人類進行分類、記錄、分析和決策等。人工智能算法多樣，研究領域包含自然語言處理（NLP）、圖像識別、機器人等。機器學習是人工智能的核心領域。機器學習使用神經網絡從大量數據中“學習”，這些神經網絡是模仿人腦決策過程的程序結構。它們由互連的節點層組成，節點從數據中提取特征并對數據所表達的內容進行預測。機器學習有不同的分類方法。根據是否需要人工參與，機器學習可分為有監督學習、半監督學習和無監督學習。其中，深度學習為機器學習中無監督學習的一種，由于它不需要人工參與，可以實現大規模機器學習，因而應用廣泛。人工智能是由算法驅動的，而算法是由大數據推動的，所以一個組織在開展人工智能相關工作之前，應該有一個強大的大數據基礎。（二）內部審計人員在組織實施人工智能項目中的作用對于在人工智能領域尚處于探索階段的組織，內部審計人員應積極參與人工智能項目，為項目的成功實施提供建議和見解。然而，為了避免對獨立性和客觀性造成實際損害，內部審計人員不應負責人工智能流程、政策或程序的設計。對于已經在某些方面應用了人工智能的組織，無論是將人工智能應用到日常運營中（如在生產線上使用機器人），還是將其整合到產品或服務中（如零售商根據消費者的購買歷史為其推薦個性化產品），內部審計人員都應發揮如下作用：（1）為與人工智能底層算法、算法所基于的數據可靠性相關的風險管理提供保證。（2）確保組織在使用人工智能時可能出現的道德和倫理問題得到解決。（3）為人工智能治理這一領域提供保證。（4）評估人工智能活動是否達到了目標。（5）了解組織的人工智能戰略目標，以及為實現這些目標而實施的過程。內部審計人員被視為值得信賴的顧問，可以積極支持組織采用人工智能來改進業務流程。內部審計人員應運用系統、規范的方法來評估和提高與人工智能相關的風險管理、控制和治理流程的有效性。【知識拓展】運用人工智能的機遇與風險1.運用人工智能的機遇2.運用人工智能的風險1.運用人工智能的機遇（1）縮短數據處理周期。（2）用完全可重復的機器動作代替人類操作來減少錯誤。（3）將時間密集型活動替換為效率更高的活動（過程自動化），減少勞動時間和成本。（4）在有潛在危險的情況下用機器人或無人機代替人類執行任務。（5）做出較為精準的預測（如特定市場商品銷售預測、流行病和自然災害預警）。（6）提高組織收入和擴大市場份額。2.運用人工智能的風險（1）人工智能中可能存在未知的人類偏見。（2）人工智能中可能存在人類邏輯錯誤。（3）對人工智能的不充分測試和監督可能導致道德問題。（4）人工智能產品和服務若存在缺陷可能導致組織財務或聲譽受損。（5）客戶或其他利益相關者可能不接受或采用組織的人工智能計劃。（6）如果組織不投資人工智能，可能被競爭對手搶占市場份額。（7）人工智能投資（包括基礎設施建設、研發和人才獲取）可能無法產生可接受的投資回報率?！景咐亢贤c憑證智能審計中國移動作為大型中央企業，業務范圍廣，客戶數量多，擁有下屬單位50余家，每年對外簽訂的合同和需處理的憑證數量超百萬份。其開發的合同智能審計產品和憑證智能審計產品有效提高了工作效率。具體如下：合同智能審計產品的核心能力包括合同文檔識別、合同關鍵信息提取。其中，合同文檔識別，是指利用深度學習技術構建文檔分類器，從檔案系統、合同系統的電子化歸檔資料中自動識別出合同文本；合同關鍵信息提取，是指利用深度學習技術構建關鍵信息識別模型，自動從合同文本中提取出甲乙方信息、合同金額、質保期、知識產權條款及歸屬、違約條款、合同標的、付款計劃等多項關鍵信息，并將其轉化為結構化信息進行存儲。一種重要的合同智能審計產品是合同智能審計模型，它是指基于大數據技術，將合同關鍵信息與報賬平臺、采購系統、智慧審計系統中的相關結構化信息進行關聯分析，并自動出具審計結果的審計模型。例如，每份合同人工審計需20分鐘，人工全量審計需167名審計人員工作一年，而機器全量審計僅需0.5天，成效顯而易見。目前已上線的合同智能審計模型，在實際審計中可以發現合同關鍵要素缺失、預付款比例約定過高、未達質保期提前支付款項、合同預付款比例超過公司規定等傳統數據審計無法發現的問題，有效擴展了數據審計監督范圍。中國移動每年的報賬單數據量超千萬，其中增值稅發票（包括專票、普票）、火車票是全國范圍內格式統一的票據，也是公司成本費用報賬單中的主要票據。憑證智能審計產品可有效替代審計人員現場翻閱賬本。以每年500萬份憑證進行估算，假設人工審計需5分鐘/份，人工全量審計需210名審計人員工作一年，而機器全量審計僅需25天。目前已上線的憑證智能審計模型，在實際審計中可以發現違規業務招待、連號發票拆分報賬規避審批、發票與合同收款方不一致等傳統數據審計無法發現的問題。二、人工智能相關審計內容人工智能相關審計包括人工智能戰略審計、人工智能治理審計和人工智能人為因素審計三部分。（一）人工智能戰略審計（二）人工智能治理審計（三）人工智能人為因素審計（一）人工智能戰略審計組織的人工智能戰略通常是其大數據戰略的自然延伸。組織在制定人工智能戰略時，應明確人工智能活動的預期結果及其與組織目標的關系，同時考量自身的人工智能技術能力、約束和發展愿望。人工智能戰略的執行需要組織內各部門的協作，尤其需要專業技術人員的支持。人工智能戰略審計主要包括網絡彈性審計和人工智能能力審計。1.網絡彈性審計組織抵御、應對和從網絡攻擊中快速恢復的能力變得越來越重要。內部審計部門需具備在組織內快速建立網絡安全防護體系的能力，持續監控人工智能與網絡安全風險，并及時向高級管理層和董事會說明組織所面臨的風險級別及應對此類風險的措施和方法。2.人工智能能力審計組織有必要為員工填補人工智能的知識空白，包括讓員工了解人工智能的工作原理、面臨的風險和機遇，明確人工智能結果是否符合預期、如何采取糾正措施等。（二）人工智能治理審計人工智能治理涉及用于指導、管理和監控組織的人工智能活動的結構、流程和程序。治理結構和形式因組織的具體特征不同而有所不同。人工智能治理審計包括以下內容：1.問責、責任和監督審計2.數據質量審計3.數據架構和基礎設施審計4.人工智能績效審計1.問責、責任和監督審計在評估人工智能的問責、責任和監督情況時，內部審計人員可以利用三線模型。這三道線，連同高級管理層、董事會、外部審計人員和監管機構，都在人工智能領域發揮著重要作用。內部審計人員應深入了解各方的角色，以及如何與這些角色互動。表13-2人工智能問責、責任與監督審計目標與程序2.數據質量審計用于構建人工智能算法的數據的完整性、準確性和可靠性至關重要。為了使人工智能項目取得成功，組織需要獲取大量高質量的數據，這些數據既包括定義明確且具有標準化格式的結構化數據，也涵蓋非結構化數據（如社交媒體帖子）。非結構化數據由于具有不斷變化和不可預測的特性，通常更難管理，因而有必要開發新的解決方案來管理和分析這些數據，以保證數據質量。表13-3人工智能數據質量審計目標與程序3.數據架構和基礎設施審計人工智能的數據架構和基礎設施可能與大數據技術的架構和基礎設施相同或相近。它包括以下因素：可訪問數據的信息隱私和安全；數據生命周期中所有權和使用權的界定。組織應關注軟件開發的三個主要領域，以確保人工智能集成的成功。一是數據集成，即在將人工智能整合到組織的應用程序和系統之前，必須集成多個不同來源的數據；二是應用程序現代化，即需要定期更新軟件，且更新頻率應適當加快；三是員工教育，即軟件開發人員、項目經理和其他技術人員需要緊跟機器學習和技術“堆棧”（即運行人工智能需要的軟件和組件）的最新發展動態。3.數據架構和基礎設施審計表13-4人工智能數據架構和基礎設施審計目標與程序4.人工智能績效審計內部審計的定位對于組織衡量人工智能績效至關重要。在規劃階段，內部審計人員可以為績效指標的制定提供建議，從而為管理層和董事會提供充分、可靠、相關和有用的信息。但內部審計人員不得包辦制定人工智能績效指標。在已實施人工智能的組織中，內部審計人員應提供與人工智能相關第一道線和第二道線的保證（詳見第五章）。表13-5人工智能績效審計目標與程序（三）人工智能人為因素審計人為因素是指人為錯誤帶來的風險，這種風險會影響人工智能實現預期結果。人工智能人為因素審計包括算法倫理審計和黑匣子審計。1.算法倫理審計2.黑匣子審計1.算法倫理審計人類開發的算法可能包含人為錯誤和偏見（有意或無意），這些因素會影響算法的性能。在開展人工智能人為因素審計時應注重以下幾點：識別和管理人工智能設計中存在的無意人為偏差風險；確認人工智能是否已經過有效測試，以確保結果反映最初的目標；雖然人工智能技術具有復雜性，但仍需確保其具備透明性，以保證其被合法、合乎道德和負責任地使用。2.黑匣子審計黑匣子通常指內部機制不透明、對用戶隱藏或保持神秘的復雜電子設備。一般而言，它可以是任何具有神秘或未知內部功能或機制的事物。隨著組織中人工智能活動變得更加復雜，黑匣子數據所帶來的挑戰也越來越大。表13-6黑匣子審計目標與程序【國際視野】IIA人工智能審計框架內部審計在人工智能領域的作用，是幫助組織評估、理解和傳達人工智能在短期、中期、長期對組織價值所產生的影響。為更好地履行職責，內部審計人員應利用IIA人工智能審計框架。IIA人工智能審計框架包括三大部分，即人工智能戰略審計、人工智能治理審計和人工智能人為因素審計；涉及八個要素，即網絡彈性審計，人工智能能力審計，問責、責任和監督審計，數據質量審計，數據架構和基礎設施審計，人工智能績效審計，算法倫理審計，黑匣子審計。IIA人工智能審計框架將幫助內部審計人員以系統和規范的方式開展人工智能咨詢和保證服務。無論組織的人工智能技術是內部開發還是第三方開發，內部審計人員都應及時向董事會和高級管理層提出專業建議，協調第一道線和第二道線，并為人工智能的風險管理、治理和控制提供保證?！緦崉諢狳c】Meta因人工智能技術受到審查Meta（原名Facebook）在人工智能領域所面臨的挑戰，已然受到了廣泛報道與關注。作為一家規模龐大的社交網絡巨頭，Meta基于算法驅動的技術存在被不當利用甚至濫用的風險，因而受到了審查。具體如下：2016年秋季，知名新聞機構ProPublica報道指出，廣告商能夠借助Meta的廣告定位工具將特定種族群體排除在廣告受眾之外。這種行為極有可能違反了聯邦住房和民權相關法規。2017年10月，在拉斯維加斯大規模槍擊案發生后，Meta（與谷歌一同）傳播了關于該事件的虛假信息。這引發了公眾對于社交媒體平臺在信息傳播方面責任與監管的深度擔憂。面對諸多質疑與審查，Meta在2017年9月20日做出了積極回應。Meta首席運營官（COO）謝麗爾·桑德伯格宣布了三項具有針對性的糾正措施：其一，Meta正在全面澄清其廣告政策，并嚴格收緊執法程序。這一舉措旨在確保任何違反Meta社區標準的內容，都無法被用來進行廣告精準投放。這一政策調整與IIA人工智能審計框架中的治理要求緊密相關。其二，Meta正在加強對其自動化流程的人工審查和監督。這與IIA人工智能審計框架的倫理要求高度契合。其三，Meta正在制訂一項計劃，以鼓勵Meta用戶舉報其廣告系統中的潛在濫用行為。這與IIA人工智能審計框架中的績效衡量要求密切相關。通過用戶舉報，管理層能夠及時獲取廣告系統中的異常信息，從而有效監測人工智能活動的績效。同時，這些舉報信息也將為未來的全球展望和見解報告提供重要依據。MetaCOO的回應充分體現了對IIA人工智能審計框架的積極踐行。借助IIA人工智能審計框架，內部審計人員能夠為組織提供全方位的咨詢和保證服務，幫助組織準確區分真實與虛假信息，并有效化解與人工智能相關的報告、運營和合規風險。06第三節區塊鏈與內部審計第三節區塊鏈與內部審計一、區塊鏈的定義與特征二、區塊鏈相關審計內容一、區塊鏈的定義與特征（一）定義（二）特征（一）定義區塊鏈是一種在計算機網絡節點之間共享的分布式數據庫。數據以區塊為單位進行記錄，且各個區塊通過密碼學方法相互連接。這使得任何單個區塊的內容一旦被記錄，就無法被篡改，否則將引發其后續所有區塊的變動。區塊鏈數據庫使用點對點網絡和分布式時間戳服務器進行自主管理，將數據存儲在通過密碼學連接在一起的區塊中。正因如此，不同類型的信息可以存儲在區塊鏈上。區塊鏈可用于永久記錄任意數量的數據，涵蓋商業交易、選舉投票、產品庫存、房屋契約等各類數據，應用場景十分廣泛。區塊鏈主要組成內容包括：基礎設施（硬件）；網絡（節點發現、信息傳播和驗證）；共識（工作量證明、權益證明）；數據（區塊、交易）；應用程序（智能合約/去中心化應用程序）。（二）特征區塊鏈的特征包括：（1）分布式存儲。區塊鏈與典型數據庫的不同之處在于存儲信息的方式。區塊鏈是一種分布式共享數據庫，數據的多個副本被保存在多個機器上，并且它們必須全部匹配才能說明數據有效。（2）去中心化。區塊鏈是去中心化的，數據庫中的數據分布在多個網絡節點（運行區塊鏈軟件的計算機或設備）之間。這種分布式使得參與者能夠獨立且便捷地驗證和審核交易記錄，所有用戶共同擁有對數據的控制權，因此任何個人或團體都不能單獨掌控數據。（3）無法更改。區塊鏈上任何數據的變動都會導致其所在區塊的哈希值發生變化。由于每個區塊都包含前一個區塊的哈希值，因此其中一個數據的更改將導致后續所有區塊哈希值的變化。一旦發現哈希值不匹配，網絡將拒絕被更改的區塊。這種去中心化的特性使得區塊鏈上的輸入數據不可逆轉，能保持數據的真實度。例如，如果有人試圖更改數據庫某一實例中的一條記錄，其他節點的副本將阻止其發生。這樣，網絡中的任何單個節點都無法擅自更改其中保存的信息?！緦崉諢狳c】區塊鏈電子發票應用2018年8月，在深圳市稅務局的指導下，騰訊聯合高燈科技共同開出的全國首張區塊鏈電子發票落地深圳。2021年，由深圳市稅務局主導推進的《基于區塊鏈技術的電子發票應用推薦規程》國際標準（以下簡稱國際標準）正式獲得電子電氣工程師學會標準協會（IEEE-SA）確認并發布，該標準成為全球首個基于區塊鏈的電子發票應用國際標準。目前，我國存在一票多報、真假難驗、報銷流程長等問題，區塊鏈技術無疑能為發票流轉降本增效。區塊鏈電子發票擁有防篡改、可追溯等優勢，能實現發票從開具到報銷的全流程可信，可有效防范假發票、完善發票監管流程，并使涉費信息更加安全，因此它可以幫助稅務機關做到無界、跨界監控，實現稅收業務高效治理。區塊鏈電子發票作為“區塊鏈+稅務”領域應用的先行試點，已取得了一定的發展成果。國際標準由深圳市稅務局、國家電網、公安部第三研究所、騰訊等近10家單位參與發起，是國內稅務系統首個國際標準。其定義了基于區塊鏈的電子發票應用參考框架，提出了技術和安全要求，并給出了典型的應用場景描述。【實務熱點】銀行函證區塊鏈服務平臺在目前的審計實務中，絕大部分銀行函證還是需要手工辦理的紙質函證。一份函證在流轉過程中，需要經過會計師事務所、被審計單位、商業銀行等十多個節點，且均通過手工操作處理，這樣很容易導致函證內容被替換或篡改的情況，進而為企業財務造假提供可乘之機。同時，函證通過郵寄方式傳遞，不僅時效性差，還增加了各參與方的費用成本。2021年底，中國注冊會計師協會與中國銀行業協會合作建設的銀行函證區塊鏈服務平臺正式投入應用。各銀行業金融機構及會計師事務所陸續接入該平臺并實際開展業務。自2022年1月1日起，已接入平臺的會計師事務所可通過平臺向銀行發送電子函證申請。平臺與銀行及會計師事務所采用應用程序編程接口（API）直連方式對接，實現了函證申請、分發、授權、回函等全流程線上化處理，最大限度地減少了會計師事務所、銀行和被審計單位的人工操作，增強了各業務環節的風險管控，降低了數據錯漏、泄密和舞弊風險。銀行函證區塊鏈服務平臺既滿足了會計師事務所的需求，又規范了金融機構的函證業務，還解決了各方對函證質量的關切。業內人士普遍認為，相較于紙質函證平均5~15天的回函時長，銀行函證區塊鏈服務平臺的應用顯著提高了函證處理效率，有效消除了傳統函證模式中的弊端，降低了會計師事務所、銀行等關聯方的人工介入程度，降低了數據錯漏和舞弊風險。為貫徹落實《關于進一步規范財務審計秩序促進注冊會計師行業健康發展的意見》（國辦發〔2021〕30號）的要求，在財政部的領導下，中國注冊會計師協會將組織協調行業資源，繼續為平臺建設工作提供技術和業務支持，進一步推進與銀行函證相關的工作，切實提升銀行函證的規范化、集約化、數字化水平。二、區塊鏈相關審計內容依據內部控制五要素，與區塊鏈相關的審計內容包括如下方面。（一）內部環境要素審計（二）風險評估要素審計（三）控制活動要素審計（四）信息與溝通要素審計（五）內部監督要素審計（一）內部環境要素審計與區塊鏈相關的內部環境要素風險點包括：（1）區塊鏈可能被不道德地利用。由于區塊鏈上進行交易的各方具有偽匿名性，且區塊鏈具有開放性，因此不法分子可能利用區塊鏈進行不道德的活動。（2）缺少問責。區塊鏈的去中心化和缺乏中央系統或監督機構導致各方行為缺乏有效約束，容易出現“無人管理”的局面，也難以確定責任主體。缺乏問責制，是一個與治理相關的嚴重缺陷。每個區塊鏈都有獨特的治理結構，需要對其運行狀況和效率進行監控。（3）倡導使用區塊鏈的行為可能會被組織的員工、客戶、顧問和監督者視為是負面的。（4）區塊鏈的新穎性和復雜性使得很難找到具備相應能力的人員進行管理，而且很難保證或評估其對能力的承諾。區塊鏈可提升自動化水平，意味著更多的任務可以自動完成，人們的職責和人力資源能力要求可能會發生巨大變化。管理和治理人員也可能缺乏專業知識，難以有效監督區塊鏈的使用。（一）內部環境要素審計基于以上可能的風險點，內部環境要素審計內容如下：（1）是否制定了行為準則，以規范區塊鏈中各方的行為，并制定了解決違規問題的指導方針。實施私有區塊鏈或創建聯盟區塊鏈的組織可以制定此類行為準則和機制，以驗證每個成員對道德和誠信的承諾；同時，通過行為準則執行問責制，及時報告、解決、糾正任何偏差。組織也可以考慮聘請獨立的外部第三方來進行監督，并驗證各方對既定行為準則的遵守情況。（2）是否明確制定了針對外包服務提供商的行為準則、責任和權限的規定。盡管與外包服務提供商相關的許多活動發生在區塊鏈之外，但如果與這些活動相關的不可靠數據進入區塊鏈，也可能會帶來嚴重后果。（3）是否制定了與盡職調查相關的政策，包括與了解客戶程序、反洗錢程序、出具系統與組織控制報告以及用于管理區塊鏈內各方行為等相關的政策。（4）是否評估與組織獲取或建立區塊鏈相關專業知識的能力，以確保區塊鏈的有效實施以及實施后技術的適當使用和更新。隨著技術的迅速發展，應持續評價和監測這些能力。（5）是否建立了跨學科團隊。團隊成員應包括區塊鏈專家和受技術實施影響的業務部門（如IT、會計、財務、運營和內部審計）及人員。該團隊的工作應該貫穿整個計劃、開發和實現過程。（6）是否明確了區塊鏈技術的責任和權限的程度或級別，是否考慮了職責分離問題。（7）是否為區塊鏈設立明確的報告線。這包括確定爭端解決管轄權和相互商定的程序。（二）風險評估要素審計風險評估要素審計內容如下：（1）是否制定了區塊鏈的應用目標，以實現適當的會計記錄和有效的財務報告。（2）是否制定了風險評估程序，并考慮到區塊鏈對組織各方面的影響。在實施區塊鏈之前執行這種風險評估程序也有助于評估與該技術相關的潛在收益和成本。（3）是否制定了更新程序，以跟上區塊鏈業務和監管環境的變化。（4）是否建立了與區塊鏈相關的治理和變更控制流程，以部署新的或修改現有的智能合約或對區塊鏈進行更改。（5）是否制定了入侵風險識別措施。應聯合部署預防控制和偵查控制，以防止入侵者訪問信息系統?；蛘咴诎l生入侵時，在最初的防御層被破壞后，快速檢測并阻止進一步的訪問。（6）是否開展了針對網絡安全的風險識別與評估工作。應采取一種結構化方法來進行網絡安全風險的識別和評估，包括評估組織與區塊鏈網絡中的其他成員如何識別并解決共同的網絡安全風險。（三）控制活動要素審計1.節點審查2.共識協議審查3.私鑰審查4.智能合約審查1.節點審查區塊鏈網絡中的每臺計算機都被稱為一個“節點”，這些節點存儲數據庫副本、執行事務驗證、準備要添加到鏈中的數據或執行其他服務。節點審查內容如下：（1）是否有足夠數量的節點投入工作，以最大限度地減少某些人合作攻擊系統的機會。確保計算能力適當地分布在所有節點上，可防止共識協議被操縱。（2）網絡中不同節點的區塊鏈數據是否具有可用性。（3）從網絡不同節點獲取的數據是否具有一致性。（4）在同意向鏈中添加數據之前，節點是否正在執行相關驗證操作。2.共識協議審查共識協議主要包括工作量證明、權益證明或股份授權證明等。共識協議審查內容包括：（1）適當的節點是否被授權參與共識。（2）協議是否被適當設計并能夠有效運行。（3）是否合理設計了遵守協議的激勵措施、不遵守協議的懲罰措施，以減少欺詐行為。3.私鑰審查組織應該采取措施來管理對其私鑰的訪問。私鑰審查內容包括：（1）是否進行了適當的職責分離，以確保批準區塊鏈交易的人員沒有能力在組織的賬簿和記錄中記錄交易。（2）若公司聘請第三方托管人協助進行密鑰管理或直接管理資產，是否對托管方的交易批準（或簽名）情況進行審查。4.智能合約審查智能合約審查內容包括：（1）智能合約設計的適當性和實施的有效性。跟蹤合約變更和更新情況，并確保有適當的文檔和歷史記錄以便執行問責制。（2）智能合約的輸入控制情況。（3）關于智能合約的及時警報和異常報告。這些警報和異常報告通常用于確保一切事項按計劃進行，并及時向相關方報告偏離和偏差。（四）信息與溝通要素審計由于人們對區塊鏈的全部功能和作用尚不明確，因此可能會產生一種錯誤認識，即認為區塊鏈上的信息始終是正確且可用的。事實上，區塊鏈僅能保障輸入信息的完整性，“垃圾進，垃圾出”的現象依然存在。信息與溝通要素審計內容包括：（1）是否與關鍵利益相關者（包括負責治理的利益相關者）溝通了如何使用區塊鏈以及使用該技術可能帶來的收益和風險。盡管區塊鏈的設計初衷是優化交易執行和記錄過程，提供可實時驗證的交易信息，但仍然存在數據不可靠的風險。（2）董事會和審計委員會是否掌握了履行相關監督職責所需的信息。（3）是否為區塊鏈網絡成員提供一種報告任何問題的方法，如設立舉報熱線等。（4）是否制定了溝通制度，確保與區塊鏈使用相關的操作和其他更改或更新信息傳達給適當的人員，以便他們能夠理解并履行其內部控制相關職責。（5）是否根據區塊鏈的使用情況確定所需的新信息要求，以支持內部控制的運作。（6）是否開發了數據分析程序，用于從區塊鏈中識別和獲取相關高質量數據信息。（五）內部監督要素審計內部監督要素審計內容包括：（1）使用計算機技術連續監控區塊鏈技術的應用情況，并驗證內部控制的組成部分是否存在并發揮作用。（2）評估區塊鏈的獨特方面，如共識協議、智能合約和私鑰，以及與區塊鏈的持續健康、治理和整體可靠性相關的因素。（3）監控與外包服務提供商制定的服務協議，并審查外包服務提供商提供的報告。如果與這些外包關系相關的不可靠數據進入區塊鏈，可能會對區塊鏈運行結果造成嚴重損害，甚至引發災難性后果。（4）確定負責執行控制措施的責任人，并建立商定的政策和程序，以便及時溝通缺陷，并在發現缺陷時采取糾正措施。07第四節云計算與內部審計第四節云計算與內部審計一、云計算與云服務審計的定義二、云服務相關審計內容一、云計算與云服務審計的定義（一）云計算的定義（二）云服務審計的定義（一）云計算的定義云計算是云服務提供商將計算資源和服務通過互聯網提供給云服務客戶使用的模式。其中，計算資源包括硬件資源（如服務器、存儲設備和網絡設備等）和軟件資源（如操作系統、數據庫和應用程序等）。云計算的內涵廣泛，包括云計算角色和活動、云部署模型、云能力類型和云服務類別等。云計算的主要角色如下：（1）云服務客戶（CSC）：是為了使用云服務而建立業務關系的一方。（2）云服務提供商（CSP）：是提供云服務的一方。（3）云服務合作伙伴（CSN）：是在交付或使用云服務時支持CSC或CSP或兩者活動的一方。云部署模型依據用戶權限的不同，可分為私有云、公有云、混合云和多云。云能力類型是指所能提供的服務的類型，包括三種：基礎設施云、平臺云、應用程序云。云服務的三種基本模式包括：軟件即服務（SaaS）、平臺即服務（PaaS）、基礎設施即服務（IaaS）。其中，SaaS模式下，用戶不需要安裝軟件，通過云服務提供商的網絡界面即可享受云服務。PaaS模式下，云服務提供商提供應用程序開發和部署所需的平臺和工具，用戶可以通過云平臺進行應用程序的開發、測試、部署和托管。IaaS模式下，云服務提供商提供計算、存儲、網絡等基礎設施，用戶通過云平臺使用這些資源來構建、配置和運行自己的應用程序，無須自行購買基礎設施。（二）云服務審計的定義云服務審計是指審計人員對一個或多個云服務的提供和使用情況進行檢查和評價的活動。云服務審計涉及云特性、云部署、交叉方面以及相關的管理和安全功能等。二、云服務相關審計內容（一）云服務安全審計（二）云服務隱私審計（三）云服務績效審計（一）云服務安全審計云服務安全審計的審計客戶涵蓋CSC、CSP或CSN。云服務安全審計內容包括云服務規劃與需求分析、供應商選擇與合同簽署、云服務平臺開發測試與交付、云計算平臺的安全管理、云計算平臺的遷移與部署、云計算平臺的安全運維、云計算服務關閉與數據遷移等方面。其中，云計算平臺的安全管理審計需考慮的事項有：（1）審查CSC的責任矩陣，根據CSP的安全授權要求對其進行驗證，并重點審核標識為CSC責任的安全控制。（2）審查CSC云服務的“配置”安全。這些配置與CSP提供的選項相關聯。（3）審查用于用戶認證的數字身份。云系統中的每個用戶都應是通過共享媒介進行身份驗證的“遠程”用戶。（4）審查個人身份信息或云服務中其他敏感數據的存儲和管理情況。由于數據的管理與數據暴露的風險是相匹配的，因此，對于高度敏感的數據，加密密鑰不應由CSP同時負責存儲和管理。（5）在遵守組織政策和法規要求的情況下，審查CSC的應急計劃如何受到云計算的影響。（二）云服務隱私審計能否設計和實施適當的隱私審計在一定程度上取決于所處地區的法律法規和政策要求。對于全球性組織來說，采用整體性的、全球統一的方法，既能滿足合規性又能限制敏感信息的使用，是恰當的。云服務隱私審計首先重點從組織的隱私數據體系結構和數據分類入手。其中，數據分類需考慮以下因素：組織如何跟蹤敏感數據；組織對數據保護的影響評估；數據管理權限；數據接收方的映射；組織如何以合約方式指定服務供應商，以及如何處理資料特別是個入資料；受托方查閱及處理資料的情況。其次，審計人員需根據數據保護主管部門發布的準則和相關標準，評估云服務和云服務提供商的業務在保護個人身份信息方面是否合法合規。（三）云服務績效審計云服務績效審計旨在評估CSC的成本管理情況，因為其與云服務的性能目標相關?？冃徲嬁梢宰鳛榘踩珜徲嫽螂[私審計的一部分?？冃徲嬆繕撕蛢热菰斠姷谄哒隆翱冃徲嫛薄Ｋ伎寂c討論1.簡述IIA人工智能審計框架的內容。2.簡述與區塊鏈技術相關的關鍵風險點有哪些。3.云服務審計的主要內容有哪些？【案例分析】南控集團基于DeepSeek的采購審計智能化1.采購審計概述2.使用傳統審計方法開展采購審計的難點3.應用DeepSeek開展采購審計的過程1.采購審計概述采購審計作為企業內部審計的重要構成部分，在確保企業采購活動的合規性、透明度以及提高效率方面發揮著關鍵作用。南控集團作為一家大型制造業企業，年采購規模高達200億元，業務范圍涉及原材料、設備、工程服務等多個領域。隨著企業規模的擴大和業務復雜度的提升，傳統采購審計方法正面臨前所未有的挑戰。南控集團的采購審計工作主要聚焦于采購全流程的監督與評估，包括采購需求合理性分析、供應商資質審查、招標過程監督、合同條款審核以及標后績效評估等。其核心目標在于確保采購活動具備經濟性、效率性和效果性，同時有效防范采購過程中的各類風險，如圍標串標、價格操縱、質量隱患等。在數字化轉型浪潮的推動下，南控集團于2023年開始嘗試將大語言模型技術應用于采購審計工作。經過多方比較與細致測試，集團最終選定將DeepSeek作為技術支撐平臺，由此開啟了采購審計智能化的創新實踐。2.使用傳統審計方法開展采購審計的難點（1）專業知識壁壘難以突破。南控集團的采購業務涉及多個專業領域，涵蓋特種設備、精密儀器、化工原料等，這對審計人員的專業知識儲備提出了極高要求。在實際工作中，審計人員常常陷入專業判斷困境。例如，在某高端數控機床采購項目中，審計人員由于缺乏機械制造專業知識，難以精準判斷技術參數設置的合理性，對可能存在的技術偏向性條款識別不足。同樣，在評估供應商資質時，審計人員往往只能依賴表面資料，難以深入