劉立軍
中國人民銀行長沙中心支行
信息化環境其實就是一種計算機數據處理環境，它由計算機硬件、系統軟件和應用軟件所組成的計算機系統，以及有關的組織、管理制度所構成。這種環境既有計算機的成份也有手工的成份，既可以是單機環境也可以是網絡環境。隨著計算機技術的迅猛發展和計算機在央行各業務領域的廣泛應用與普及，內審人員所面臨的審計環境由原來的手工處理和部分計算機處理逐步轉向了全面的計算機處理。雖然信息化環境并未改變央行內部審計的總體目標，卻改變了業務的處理和存儲方式，影響到了為達到適當的內部控制而采用的組織形式和程序。它對內部審計人員、內部審計的內容、程序和手段等都已產生了影響，已引起了越來越多內部審計工作者的重視和關注。本文從分析信息化環境對央行內部審計的影響因素入手，結合實際，提出了一些應對措施和方法，以達拋磚引玉之功效。
一、信息化環境對央行內部審計的影響
隨著央行各項業務的信息化，極大地提高了業務處理的實時性、正確性和可靠性，大大降低了人為干擾因素，提高了央行管理水平和工作效率。同時隨著業務書寫的電子化、信息傳送的數據化、支付手段的現代化，也引起了審計線索和內容、審計技術、內部控制等發生了一系列重大變化。作為審計人員，只有了解信息化環境對審計工作的影響，才能作出恰當的審計結論。信息化環境對審計實務的影響主要表現在以下幾個方面：
1、對審計線索的影響。審計線索對審計來說是極為重要的。審計工作中，審計人員正是通過跟蹤審計線索，審核有關業務和收集審計證據的。而審計的過程，實質上就是不斷收集、鑒定和綜合運用審計證據的過程。在傳統方式下，每筆業務都有一個完整的審計線索，業務處理的每一環節都有文字記錄，都有經辦人簽字，審計線索十分清楚。審計人員可以從業務開始一直追蹤到結果，也可以從結果開始一直追溯到業務的開始，從而形成了順查、逆查等審計方法。而在信息化環境下,隨著業務數據無紙化和網絡化的深入,原始業務數據進入計算機后，中間的處理由計算機自動完成，傳統的審計線索在這里中斷或消失，使業務數據之間的直接對應關系變得更加模糊、復雜，特別是支付系統、中央銀行會計集中核算系統、國庫橫向聯網系統和支票影像截留技術等的推廣應用，原有紙制審計證據逐漸減少，甚至消失。代之的是存有數據處理資料的磁盤、磁帶、光盤等，這些磁性介質上的信息肉眼無法識別，只有借助計算機。一方面增加了審計調查取證的難度，另一方面也從心理上給審計人員造成了壓力。
2、對審計內容的影響。信息化的特點及固有的風險決定了審計的內容應包括對計算機處理和控制功能的審查。即應對系統的開發與設計、業務軟件的程序、數據文件以及內部控制的審計等。要求審計人員要參與系統的設計、調試、檢驗和驗收，除了對系統處理業務的合法、合規、安全可靠等方面及時發現問題之外，特別要從審計角度審查系統的可審性、審計線索的設置等。而這些審查內容在目前的央行內審中是很少涉及的。
3、對內部控制的影響。傳統手工業務處理程序強調的是不相容崗位相互分離與牽制，以及對業務處理的授權控制，其安全可以通過健全的內部控制制度得以保證。在信息化環境下，各種業務信息的處理和存儲高度集中于計算機系統，內部控制更多地依賴于系統自身的實時控制。手工處理過程中的某些崗位分工和相互牽制被系統權限管理取而代之，如系統操作員、管理員、維護員等權限的設置與管理。同時在信息化環境下計算機信息系統和網絡隨時都可能遭遇計算機病毒和黑客的攻擊，這些不是內部控制所能完全控制的，需要建立許多全新的安全控制，這些控制除了央行內部的管理制度和信息系統程序控制外，還包括外部網及網上交易的安全控制。如何識別、研究、審查和評價這些安全控制，又成了審計的難題。
4、對審計技術手段的影響。在傳統審計方式下，審計人員大多數情況下是進行實地審計，采用審閱、核對、分析、比較和驗證等方法，所有審計工作由手工操作完成。而信息化環境下，各種業務信息的處理和存儲高度集中于計算機系統，業務發生后只要業務人員執行相應的功能，業務便自動處理完畢。為有效防控風險，要求審計工作必須隨時、隨地進行，實時、即時提供審計信息，而不能按照傳統的審計工作要求，定期提供審計信息。因此，它要求審計人員利用計算機進行審計。即通過適當的身份驗證與授權，及時審查央行各業務系統的處理信息，及時收集審計證據，并作出可靠的審計結論。而目前央行已運行的100多個業務和管理信息系統，幾乎沒有哪個系統有審計接口或內置了審計程序，也沒有開發出適用于央行內部審計的審計軟件。
5、對審計標準和審計準則的影響。信息化環境下，由于審計線索、審計內容以及審計技術手段等發生了一系列的變化，我們以往在審計工作中逐步建立起的一系列審計標準和準則已不完全適用于變化了的情況，需要建立新的審計標準和準則指導審計工作實踐。如對信息化環境下審計人員的一般要求、信息系統安全可靠評價標準、信息系統內部控制準則等。
6、對審計立法的影響 。信息化環境下，審計工作同樣要依法進行，對業務信息處理是否合規合法等的判斷必須以有關法律法規和規章制度為依據。而目前的法律法規，以及央行的規章制度都只適應于傳統書面記錄形式，信息化時代就必須建立與之相適應的法律法規和規章制度。如電子證據的無形性和易篡改性造成了審計證據確定的困難；電子簽名因不同于手書簽名而導致法律上難以認定；電子合同的瞬間完成使得合同簽訂和生效時間的確定存在爭議等等。這在一定程度上使得審計工作尤其是合法性審計無法可依，亟需立法加以明確。
7、對審計風險的影響。信息化環境下，傳統的崗位職責被打破，內部控制制度發生了變更和轉移，安全已不是內部控制所能完全控制的，審計風險包括固有風險、控制風險和檢查風險日益復雜化。一是病毒和黑客的入侵隨時可威脅信息系統數據和網絡的安全，審計的固有風險增大。二是由于在計算機中可人為篡改數據而不留痕跡，同時對如何確認沒有白紙黑字和簽字蓋章的電子信息，以及網上信息傳遞的保密等問題，控制風險更難確定，檢查風險加大。三是審計的主要證據來自系統和網絡，屬間接證據，其可靠性依賴網絡內部制度的健全有效性，審計人員僅僅通過?，F的審計測定程序，難以作出完整和準確的評價，檢查風險增加。同時由于審計人員缺乏對信息系統和網絡的全面認識和理解、審計證據的可靠性問題、審計信息技術本身的不成熟性，以及審計人員對于技術的過分依賴性，對各種數據的來龍去脈、勾稽關系難以做出合理的審計判斷，也大大增加了審計檢查風險。
8、對審計人員的影響。不管計算機如何發展、技術如何先進，在審計工作中，起決定作用的仍然是審計人員。從審計方案的制定到審計程序的確定，從審計技術選擇到審計方法的采用，都必須由審計人員操作和指揮。在信息化環境下，為更好地履行審計監督、鑒證和評價職能，審計人員不僅要具有豐富的業務、審計知識和技能，熟悉各項審計依據，而且還應掌握計算機知識及其應用技術，掌握數據處理和管理技術，對被審計對象計算機軟硬件系統有充分的了解，能根據審計過程所出現的種種問題，即時編寫出各種測試、審查程序模塊。這對審計人員的綜合素質提出了更高的要求。
二、信息化環境下加強央行內部審計工作的對策
信息化環境下，央行各項業務信息載體、業務數據生成途徑和方式、審計軌跡、管理和控制方法等都發生了變化，給傳統的內部審計產生了很大沖擊。為使央行內部審計適用央行業務信息化的發展要求，現結合央行實際，提出如下對策與建議，供參考。
1、制定和完善相關的內部審計法規。在信息化環境下,現有的一些審計法規呈現出滯后性,對信息化審計缺乏可操作性。法律上最有效的證據是記錄業務發生的原件,但在法律上能否接受計算機的電子信息包括電子簽名即無紙化信息作為有效的證據,已成為一個國際性的問題。無紙化的電子信息能否作為審計檢查的有效證據,也是亟待解決的問題。要解決這一問題就必須制定和完善相關的審計法規、標準和準則,對電子信息的有效性進行明確的界定,使信息化審計切實做到有法可依。同時我們也要根據相關的審計法規、標準和準則，結合央行實際，及時制定和完善央行內部審計的操作程序和內部控制指引，統一規定信息化環境下內部審計人員應具備的基本條件、職業要求和內部審計的內容、標準和方法，切實提高內審工作的科學性和可操作性。
2、整合業務系統，完善審計環節。信息化環境下，業務處理是實時進行的。尤其是網絡化系統，在同一時間可能有多個用戶執行同一項功能、調用同一個數據文件，而系統只記錄下最終結果。若審計時只對靜態系統進行審查，不進行有關運行程序、數據文件的聯機實時審計，有時就難以發現存在的問題。通過計算機網絡系統實時、動態、全面收集被審對象在業務處理過程中各項指標的變動情況及相關信息，對被審對象日常運營進行動態、實時、持續全過程的監控。這既是國際審計發展的趨勢，也是防控審計風險的重要途徑。目前，央行運行的100多個業務和管理信息系統，除開發了一個中央銀行會計集中核算系統的事后監督程序外，幾乎沒有哪個系統有審計接口或內置了審計程序。因此，我們建議人民銀行總行在全面清理央行各業務管理和核算系統的基礎上，從風險控制需要出發，對其進行有效整合，開發與各業務處理系統和管理信息系統的審計接口，形成數據共享的全方位立體信息系統，便于內審對各項業務核算系統進行前期介入。
3、加快審計軟件開發，逐步實現審計手段現代化。隨著央行業務信息化的迅猛發展,審計對象的信息化水平越來越高,審計線索、內容等已發生了一系列重大變化，傳統的審計手段已越來越不適應審計工作發展的需要。央行體制改革后，央行各級內審部門進行了有益探索，開發了一些審計軟件，但由于沒有與業務系統對接，作用不是很明顯。在信息化環境下內審要掌握監督的主動權、制高點,就必須加快內審的信息化建設，把軟件開發和應用作為審計信息化建設的突破口，廣泛利用現代化計算機技術，盡快組織力量開發各種內部審計實用操作軟件，逐步實現與各業務信息處理系統審計接口的對接，形成具有輔助決策支持的內審綜合管理信息系統，打造實時審計平臺，實現對風險的實時預警和預測。一是建立審計信息數據采集子系統。主要負責通過審計接口，實時采集被審對象各項業務現場數據信息，并按有關數據交換的格式匯集到內審綜合管理信息系統。二是建立內審數據處理子系統。主要負責進行數據交換處理，向上傳輸數據，向下或同級接收和反饋數據，并進行數據分類匯總處理等，并建立起完備的歷史數據庫和實時數據庫。三是建立業務指標監控子系統。通過該子系統，審計人員可以根據需要及時調閱所有的可讀和可視信息記錄資料，對系統功能設計、安全防范以及各項業務的真實性、合規性及風險隱患等進行實時有效的檢查，從而簡化審計手續，降低審計成本，提高審計速度和質量。四是建立審計風險分析預警子系統。建立起一套敏感性強的實時監控指標和風險預警指標，通過系統對現場檢查和非現場監控取得的數據進行計算、對比和衡量，分析被審對象業務運行狀況、風險狀況，客觀評價被審對象的風險等級，自動生成審計報告，對可能出現的業務風險實時進行預警預測。五是建立監控指標體系子系統。如關鍵指標、審計風險檢測指標、實時監控指標、日報指標、旬報指標、月報指標、季報指標、年報指標、審計風險評價標準以及國際上公認的各種量化監控指標。六是建立實時審計綜合信息查詢子系統。主要負責實時采集與實時審計有關業務應用系統的動態信息，供有關人員進行綜合查詢，為輔助決策提供可靠的信息來源。
4、加強對內部控制的審計，做到一般控制審查和應用控制審查相結合。在手工處理環境下，央行內部控制的重點就是人及其處理的業務。而信息化環境下，業務處理過程包括了手工處理、計算機系統處理、人與計算機進行交互處理這幾部分，央行內部控制的重點變成了人及其處理的業務、人機交互處理過程、計算機系統業務處理過程和不同系統之間信息的傳遞過程，內部控制的重點和環節發生了很大變化。只有對信息系統的內部控制實施審計，才能了解內部控制運行狀況并由此確定后續實質性測試的重點和審計程序。信息環境下，一般控制是對信息系統中組織、開發、操作、管理等系統運行環境所進行的控制，通常以制定規章制度、網絡安全軟件和程序控制形式體現。應用控制是對信息系統的某一具體處理過程施加的控制，主要以程序的形式體現。審計時，應該在對系統一般控制做出評價的基礎上，通過讀原程序、模擬數據上機測試、上機處理實際業務、采用審計軟件等方式測試系統的安全性、控制程序的正確性和有效性，找出控制的薄弱環節，分析潛在的風險因素，對風險加以預防。
5、提高審計風險的防范能力。一是要完善信息化環境下審計質量控制考核管理辦法，并對央行內部審計活動的質量進行考核管理。同時建立健全內部審計責任追究制度和審計結果公告制度，進一步規范審計操作行為，提高審計效率和質量。二是針對信息化環境的特點，審計人員要參與系統的開發和設計，對控制過程存在的問題及時提出建議，使被審對象計算機處理環境建立充分有效的內部控制。三是要加強對信息系統管理部門、維護部門和使用部門以及網絡管理員、系統管理員、數據庫管理員、軟硬件維護人員、系統操作人員、檔案保管人員及機房管理人員進行安全意識教育及監督管理。
6、加強對審計人員的培養。信息化環境對審計人員的素質提出了更高的要求，為使審計人員跟上信息技術的前進步伐，適應信息化環境下的內部審計工作，我們必須采取多種方式加強對審計人員的培養，不斷豐富和完善審計人員的知識結構，提高審計人員的履職能力。一是健全審計人員業務培訓與再教育機制，加快審計人員業務、審計、計算機及網絡和應用技術知識的更新。二是要大力開展計算機輔助審計技術的培訓，提高審計人員的計算機操作水平和審計軟件使用水平，使審計人員能廣泛開展計算機輔助審計，并不斷創新審計方法。三要強化審計人員對數據庫程序的學習,直接對數據庫中的數據進行采集和轉換,并利用查詢語句對業務數據進行分析和整理。
