信息技術正在擴展審計的內涵與外延。與早期的審計相比,現代審計的“對象”、“目標”以及“目的”已經發生了很大的變化,以行為、過程和系統等為審計主體的“非信息審計”變得越來越重要。我國在相關審計法規的指引下,信息系統審計實踐也正在如火如荼的開展,但通過對相關案例的分析可以發現,信息系統審計實踐存在不少的問題。本文就某航空公司的收入結算系統審計項目進行案例分析,透視信息系統審計實踐存在的問題,并對政策制定提供相關的建議。
一、某航空公司的信息系統審計項目
某航空公司的審計項目是2005年的重點審計項目之一,其目的是要為實現“真實、合法、效益”的審計目標奠定基礎。開展信息系統審計是抓住該集團特點,培育項目亮點,把這個項目做成精品的重要舉措之一。信息系統到底怎么審,怎么評價,審計人員想到找一條別人走過的路子,照貓畫虎。但查閱信息系統審計的相關資料,看到的基本上是國外對信息系統審計的理解與做法,與我們的審計有較大的差別,如果直接硬套過來,只能是東施效顰;詢問相關的專業人員,大家都沒有類似的經驗。經過幾次討論,審計組決定首先找對某航空公司信息系統實施管理的規則發展部、信息技術中心兩個部門的領導進行一次深談,聽聽他們對A航空公司信息系統的評價,希望從中理出一些思路,再進一步確定具體工作方案。與被審計單位部門領導談話進行得比較順利,審計人員也漸漸理出了自己的工作思路:企業的信息系統體現的是企業的管理理念。這次信息系統審計應該主要抓住以下方面:首先是該航空集團信息系統的規劃、建設、管理與整個公司的發展是否相適應,信息系統資源的整合是否能夠跟上公司其他資源高速整合的步伐;其次是公司信息系統的功能是否能夠滿足業務特點的要求;再次是結合在數據審計中發現的大量數據問題,特別是數據整理中再現的問題,來考察信息系統中存在的問題。但在實際問題的處理過程中也存在著諸多困難,無現成的案例和信息系統審計規范可借鑒。為了確保審計目標的實現,審計組開展了信息系統審計。在系統審計的探索中,審計人員根據調查了解的情況,在數據分析的基礎上,通過跟蹤被審計單位的業務過程和數據處理流程,發現了被審計單位收入結算系統中存在的非法銷售暗扣處理模塊,具體信息系統審計過程包括:一是數據分析,發現問題線索;二是通過數據對比,求證問題線索;三是跟蹤業務過程,發現暗扣代碼文件;四是跟蹤數據處理流程,發現暗扣模塊。最終通過對某航空公司收入結算系統的審計發現,進入系統的原始數據由面額逐步轉變為毛額和凈額,系統以最后的凈額與代理人結算,并生成運輸報告傳遞到財務系統確認收入,從而實現了航空公司暗扣銷售和凈額結算。至此,該信息系統審計項目也宣告結束。
二、案例分析
由上述案例過程可知,我國對企業信息系統審計還處于探索階段,在審計實務中到底如何開展信息系統審計還缺乏有說服力的案例和行之有效的辦法,更不要說具有可操作性的完整的信息系統審計規范體系。總體來講,筆者認為從上述案例可以反映出當前我國信息系統審計規范體系還存在著如下幾個方面的缺陷。
(一)沒有完整可借鑒的由權威機構制定的信息系統審計規范
信息系統審計規范是信息系統審計經驗的總結,是對審計活動內在規范的反映,審計人員按照信息系統審計規范所確定的程序、步驟、技術和方法開展工作,能夠少走彎路,提高信息系統審計效率,保障信息系統審計工作科學、有序、高效地運行,全面實現信息系統審計目標,降低信息系統風險,同時也可降低財務審計、績效審計以及環境審計等風險。而上述案例也說明我國信息系統審計尚處于探索階段,在信息系統審計實踐中缺乏有說服力的案例,根本談不上完善的信息系統審計規范體系,而在國外卻存在如ISACA這樣的機構去提供完整的信息系統審計準則、指南和審計程序,至2010年4月其已經發布了16項基本準則,41項審計指南和11項作業程序。因此,國家相關部門應整合信息系統審計規范制定的實踐與理論資源,在借鑒國外信息系統審計規范的基礎上,推進我國信息系統審計規范體系制定的進程。
(二)信息系統審計的開展缺乏計劃,不存在后續審計階段
對信息系統的審計是一個過程,包括信息系統審計計劃、實施、審計報告以及后續審計階段,而在上述案例中,對信息系統的審計是一個摸索的過程,根本談不上信息系統審計計劃。凡事預則立,不預則廢。無論是國家審計,還是注冊會計師審計,同樣需要制定信息系統審計計劃。《內部審計具體準則第28號——信息系統審計》中指出,內部審計人員在執行信息系統審計之前,需要確定審計目標并初步評估審計風險,估算完成信息系統審計或專項審計所需的資源,確定重點審計領域及審計活動的優先次序,明確審計組成員的職責,并以此制定信息系統審計計劃,除此之外第28號具體準則沒有作詳細深入的闡述。在ISACA的審計準則體系中,關于審計計劃的基本準則有審計計劃(S5)、審計計劃中風險評估的運用(S11)和審計重要性(S12);審計指南有信息系統審計中的重要性概念(G6)、審計計劃中風險評估的運用(G13)以及信息系統審計的計劃(G15);審計程序中有信息系統風險評估(P1)等可供借鑒與參考,并且ISACA對審計計劃的相關準則、指南和程序進行了詳細深入的闡述,以利于引導和約束審計人員的審計行為。
審計報告的簽署并不意味著信息系統審計的終結。上述案例不存在后續審計階段,這與缺乏信息系統審計規范的指導是分不開的。在ISACA的審計準則體系中,后續審計方面的準則包括基本準則后續工作(S8)以及審計指南后續工作(G35)等。根據ISACA審計標準,審計人員對于在信息系統審計中發現信息系統的重大問題和漏洞,并提出改進意見后,可對被審單位所采取的糾正措施及效果進行后續審計。如果審計建議如期落實,則實現了信息系統審計的目標,也意味著信息系統審計意見得到了被審計單位的認可;如果審計建議沒有落實,應耐心聽取被審計人員的反饋意見,對于落實的難點問題,審計部門應反映給高級管理層,請其協助落實。此外,對于不切實際的審計建議,審計組成員應該分析原因,以利于下一次審計項目的改進。因此,后續審計階段對于信息系統審計同樣重要,而在上述審計案例中,對A航空公司收入結算系統的審計根據不存在后續審計階段。
(三)信息系統審計出于“真實、合法、效益”的審計目標
我國開展的信息系統審計與西方的信息系統審計在目標上存在著差異,我國審計部門開展信息系統審計主要是為“真實、合法、效益”的審計目標服務的,主要關注信息系統影響被審計單位的合法經營、財務核算、經營效益等方面的問題,還沒有達到審查信息系統安全、可靠、有效和效率以及能否有效地使用組織資源、實現組織目標的層次。因此,對于信息系統審計,在很大程度上主要是根據數據審計的需要開展。隨著企業信息化、政務信息化等的發展,信息系統的安全審計、生命周期審計以及軟硬件審計等變得越來越重要,其重要程度在很多時候已經超過了出于“真實、合法、效益”審計目標的信息系統審計。我國信息系統審計及規范的發展不能只是停留在“真實、合法、效益”審計目標的基礎上,這樣只能限制信息系統審計的范圍,我國的信息系統審計實踐也沒有辦法拓展到對信息安全保護、軟件系統開發以及商業流程評估及風險管理等的審計實踐上來。
(四)缺乏信息系統審計項目的質量控制準則
我國在信息系統審計項目方面的質量控制準則尚處于空白狀態。雖然國家審計署、中注協和內部審計協會都頒布了一些關于審計質量控制的準則或規范,但這些規范不是針對財務審計的,就是針對會計師事務所質量控制的,而專門針對信息系統審計項目的質量控制基本上還處于空白狀態。因此,上述案例在信息系統審計過程中,基本上不存在任何質量控制措施,這也對我國提出了盡早制定與頒布信息系統審計質量控制方面相關的規范。否則,在信息系統審計市場上將出現一個一般化的“格雷欣法則”,即劣等品驅逐優等品,其結果是出現賣方與買方勾結,按照買方的要求設計信息系統內部控制規范(劉杰,2010)。一般化的“格雷欣法則”也不利于我國信息系統產品市場和信息系統審計市場的規范。
三、啟示及政策建議
通過上述對某航空公司收入結算系統審計案例的分析可知,我國信息系統審計實踐尚處于起步階段,還存在著諸多問題。為規范信息系統審計行為,加強對信息系統審計實踐的指導,信息系統審計規范的制定與發布是關鍵。信息系統審計規范是一種公共品,政府機構或相關職業團體在信息系統審計規范制定過程中扮演著重要的角色。因此,筆者認為我國政府應從如下幾個方面作出努力。
一是以《2004至2007年審計信息化發展規劃》與《審計署2008至2012年信息化發展規劃》中提出的整合審計資源思想為契機,抽調中國注冊會計師協會、國家審計署以及中國內部審計協會相關信息系統審計制定的人力、物力和財力,成立專門的信息系統審計規范制定機構。
二是在借鑒國外諸如ISACA以及IIA等信息系統審計資源的基礎上,吸引我國信息系統審計實踐中已經發布并實踐的信息系統審計操作規則,結合我國信息系統審計實踐,出臺完整、系統的信息系統審計規范體系。完善、系統的信息系統審計規范有利于指導信息系統審計人員在審計計劃、審計實施、審計報告以及后續審計階段的審計行為。同時,信息系統審計目前屬于非強制性審計的范疇,審計質量控制準則往往容易被忽視,而忽視審計質量控制準則的制定與發布在某種程度上會導致信息系統審計市場上“格雷欣法則”的出現。因此,在信息系統審計規范體系中,不應忽視信息系統審計質量控制準則的制定與發布。
三是在信息系統審計規范體系制定的過程中,應將信息系統審計規范應用的范圍擴展,不能僅僅服務于財務審計。如果僅僅服務于財務審計,則制定與發布的信息系統審計規范不能很好地服務于信息系統生命周期審計、軟硬件審計、信息系統安全審計等其他信息系統審計活動。
四是加強信息系統審計實踐案例的調查研究,從信息系統審計實踐中總結出一些典型信息系統審計案例,用以指導和規范信息系統審計人員的審計行為,防止信息系統審計實踐人員在從事信息系統審計活動時,陷入不知所措的境地。
