对企业信息系统审计的若干思考
来源:bob体彩官网 发布时间:2024-07-12 23:25:37
在今年3月召开的全国金融工作会议中,提出金融机构要从多方面采取一定的措施,确保资金投向实体经济。而作为国家的经济细胞——企业的健康长远发展是促进国家经济健康发展、抵御全球金融危机的重要保障。目前,国有经济对GDP的贡献率约占30%左右,国有企业现在仍是我们国家的国民经济的支柱。中央企业、地方国有企业作为引领中国经济发展的主力军,在推动中国经济又好又快的发展中有着不可推卸的责任与义务。
在当今竞争非常激烈和快速变化的商业环境中,企业面临严峻的挑战,传统的企业管理模式产生变革,信息技术正在渗透到企业业务环境的所有的环节,信息化慢慢的变成了企业的中枢,影响到企业的生存与发展,其中以ERP为代表的企业信息系统的高度集成逐渐开始兴起。从逻辑上讲,如果被审计对象全面采用信息系统,而审计人员又没有对信息系统来了解和审计,那么这种审计得出结论的可靠性就要受到质疑。国家审计在这方面所面临的问题日渐严峻,“不搞计算机审计,我们就会失去审计的资格”慢慢的变成了审计界的共识,作为国家审计机关,对被审计单位的信息系统来进行审计已迫在眉睫。
按照现行信息系统审计实践,企业信息系统审计的组织方式大致上可以分为结合式和独立式。结合式的信息系统审计和独立式的信息系统审计关注点不一样,现阶段由于独立式的信息系统审计项目还不多,结合式的信息系统审计是实践中最常见的组织方式。
1.业务电子数据或信息系统可信度需要。在审前调查时,“审计组认为被审计单位所使用的软件或者信息系统有几率存在瑕疵或者缺陷,进而可能对于电子数据的真实性、完整性产生重要影响时,应当建议在审计实施方案中增加检查信息系统的内容。”
业务电子数据的真实是开展审计的前提,审计组在编制审计方案前,应根据审计项目的规模和性质,安排适当的人员和时间,对被审计单位的有关情况做考察。如果被审计单位的信息系统存在很明显错误或缺陷,则应该要依据错误和缺陷的详细情况,对信息系统开展可信度审计。
2.业务数据审计的需要。在审计的过程中,发现一些规律性和倾向性的问题,分析后发现若根本原因是信息系统不设定控制,完全由人为控制导致的情况。这种类型应该放弃对信息系统本身的审计(因为系统绝对没控制),转为数据式审计。例如某企业未购置ERP SRM模块(供应链关系管理),没有完整的招投标管理功能,招投标主要是通过人工管理,审计人员通过数据整理、转换、筛选等常规数据审计方法,最后发现该公司违规(标书)向少于三家的单位发出投标邀请书,合同金额共计50758.19万元。
由于独立式的企业信息系统审计是单纯的信息系统审计,并不伴随着财务审计同时进行。审计人员为对某信息系统的安全、可靠、有效和效率性以及信息系统是不是满足组织目标进行独立评价,能够直接进行独立式的信息系统审计,并根据所获得审计证据得出审计结论。
从目前来看,独立式的企业信息系统审计一般适用于一些信息化程度比较高的行业的信息系统的审计,特点是信息系统很复杂,财务业务集成度比较高,最终用户比较多,数据比较集中,信息化程度比较高,因此相应的信息化风险也比较高。其中需要我们来关注的是这一些信息系统的绩效审计,这也是信息系统独立审计的一大优点和特色。
1.信息系统绩效审计的需要。当企业信息化发展水平达到某些特定的程度后,信息系统的绩效问题逐渐引起了人们的关注。ERP项目实施过程十分昂贵和复杂。而且,由于软件的复杂性和封闭式集成,一旦实施后很难改变。另外,ERP在项目实施过程中,经常会期望企业改变商业运作模式以适应其软件。一些超大型公司能够投入巨资进行软件的客户化,但是对于中等规模的企业,复杂的项目实施,往往会将客户拖入无休止的泥潭。例如国内一汽大众的SAP ERP的累计实施投资已经过亿元,但实施效果实际上并不理想。之后又选用了与SAP的ERP “配套” 的CRM(客户关系管理)供应商SIEBEL软件, 其CRM系统实施了几年, 至今效果不佳。因此基于IT投资项目的潜在高风险,对IT投资项目开展绩效审计很有意义。
2.信息系统安全审计的需要。企业对信息系统的依赖性逐渐增强,信息系统中处理和存储的信息其中相当部分信息是重要的战略资源并有保密要求的。如金融机构的核心业务系统,电信运行系统,铁路、飞机的调动运营系统等。这些关系国计民生的行业的信息系统如果出现安全事故,将给社会带来不可估量的损失,甚至威胁着国民经济的正常运行和国家安全。因此,对企业信息系统开展安全审计具有很重要的意义。
现阶段的企业信息系统审计还不适合开展独立式审计,主要瓶颈包括几个维度:一是囿于法律的障碍,现在还不能只针对企业的信息系统来进行审计立项,二是审计人员知识结构和技术能力还未达到可以独立开展信息系统审计,三是特派办审计人力资源匮乏,一方面人员力量不足,另一方面基本每个项目都需要计算机专业技术人员的支持,四是“两张皮”的问题依然严峻,不适合开展独立信息系统审计。
一是深入研究Oralce、SAP两家公司的ERP产品,充分的利用事务所IT审计结果。目前在国外独立式的信息系统审计慢慢的变成了一种职业,在我国一些大型的事务所也已经逐步开展独立式信息系统审计,并取得了一定的成效。从审计实践中发现,事务所IT审计有很多地方可以让我们借鉴。
二是利用信息系统审计的优势,开展效益审计。信息系统审计在审计中的优势我们大家都认为包括两个方面:一是数据审计,主要优点是总体数据的分析效果好,如总体分析和统计、某项指标的趋势变化分析,数据审计重点应放在分析业务数据上;二是信息系统本身的效益审计。信息系统耗费了国家和企业大量的人力、物力和财力建造而成,国家和人民迫切地需要对这些系统运行的安全、可靠、有效和效率等进行评价,信息系统审计能够很好的满足这一要求。
三是适当考虑项目计划安排,促进信息系统审计的发展。我国信息系统审计还处在初级阶段,项目的安排对信息系统审计的发展和指导起到至关重要的作用。一方面不是所有的企业审计都适合采用信息系统审计的方式。在企业信息系统审计项目的选择过程中,应考虑企业的信息化发展水平、企业的财务、业务与信息化的结合程度以及企业信息化的风险等相关因素,来加以考虑。另一方面应综合考虑项目安排对信息系统审计的指导与发展。我们统计了一下近2年审计署企业审计项目安排,并对企业所属行业进行了对比。从结果来看,2010年至2011年,共开展企业审计项目22个,其中制造业占50.00%,建筑业占18.18%,采矿业、电力及煤气的生产和供应业、信息传输业各占9.09%,交通运输、仓储及邮政业占4.55%。
总的来说被审计单位行业较为分散,各审计项目之间缺乏借鉴意义;同一特派办负责项目所属行业较为分散,信息系统审计缺乏延续性。
四是积极地推进政策法规、指导意见的改革和完善。目前,国外在私人企业和政府部门的信息系统审计方面积累许多经验,并制定了相应的信息系统审计准则和指南,但是针对国有企业信息系统审计的研究较少。信息系统审计中除信息系统安全法规外,如在电子证据法规等别的方面缺乏相关国家法律和法规、政策依据的支持,取证难度较大。此次我们在执行信息系统审计中,明显感觉政策依据不足,主要只使用了被审单位内部规定和国家推荐标准(GB/T),法律层面不高,缺乏强制性。同时具体执行的指导意见相对较粗犷,缺乏对具体操作的要求和规范。因此我们大家都认为一方面要积极地推进审计依据的建设与完善,另一方面要推进指导意见或标准的改革和发展。(徐磊)
主办单位:中华人民共和国审计署办公厅技术支持:审计署计算机技术中心 网站电线