行業(yè)信息化專題信息系統(tǒng)一般控制審計(jì)（下）

編者按

在信息化環(huán)境下，企業(yè)運(yùn)用信息技術(shù)編制財(cái)務(wù)報(bào)表，設(shè)計(jì)和執(zhí)行內(nèi)部控制。注冊(cè)會(huì)計(jì)師在對(duì)企業(yè)的財(cái)務(wù)報(bào)表進(jìn)行審計(jì)時(shí)，必須考慮信息技術(shù)的影響。同時(shí)，信息化也對(duì)注冊(cè)會(huì)計(jì)師的審計(jì)技術(shù)和方法帶來(lái)革命性變化。為了幫助注冊(cè)會(huì)計(jì)師應(yīng)對(duì)信息化帶來(lái)的挑戰(zhàn)，中國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)資助普華永道中天會(huì)計(jì)師事務(wù)所研究編寫了《信息系統(tǒng)環(huán)境下的財(cái)務(wù)報(bào)表審計(jì)》一書，即將出版。本刊約請(qǐng)作者加以摘編，分期連載，以饗讀者。

本文擬從系統(tǒng)運(yùn)行和維護(hù)、系統(tǒng)訪問(wèn)權(quán)限兩個(gè)角度，探討信息系統(tǒng)一般控制審計(jì)。

一、系統(tǒng)運(yùn)維

（一）系統(tǒng)運(yùn)維活動(dòng)中與審計(jì)相關(guān)的特定風(fēng)險(xiǎn)

注冊(cè)會(huì)計(jì)師在執(zhí)行企業(yè)財(cái)務(wù)報(bào)表審計(jì)時(shí)，需要考慮被審計(jì)單位的信息系統(tǒng)變更活動(dòng)可能對(duì)財(cái)務(wù)報(bào)表審計(jì)工作產(chǎn)生的影響。注冊(cè)會(huì)計(jì)師需要進(jìn)一步考慮系統(tǒng)運(yùn)維活動(dòng)中與財(cái)務(wù)報(bào)表審計(jì)相關(guān)的特定風(fēng)險(xiǎn)，主要體現(xiàn)在以下幾個(gè)方面（如表1所示）。

（二）系統(tǒng)運(yùn)維審計(jì)領(lǐng)域相關(guān)控制

系統(tǒng)運(yùn)維審計(jì)領(lǐng)域相關(guān)控制是圍繞系統(tǒng)運(yùn)維活動(dòng)的一系列程序或機(jī)制，它們能夠確保信息系統(tǒng)是根據(jù)管理層的應(yīng)用控制目標(biāo)運(yùn)行的，確保運(yùn)行中發(fā)生的問(wèn)題得到及時(shí)的識(shí)別和解決，從而保證事務(wù)處理的準(zhǔn)確性和完整性。系統(tǒng)運(yùn)維審計(jì)領(lǐng)域的相關(guān)控制要保證系統(tǒng)的事務(wù)處理作業(yè)的運(yùn)行與數(shù)據(jù)的備份是在受控的環(huán)境中執(zhí)行的，任何運(yùn)行中產(chǎn)生的異常也會(huì)得到及時(shí)處理。

系統(tǒng)運(yùn)維審計(jì)領(lǐng)域相關(guān)控制的一般要素包括：

1. 對(duì)系統(tǒng)運(yùn)維活動(dòng)的整體管理；

2. 事務(wù)處理活動(dòng)管理；

3. 問(wèn)題管理；

4. 機(jī)房/數(shù)據(jù)中心運(yùn)維管理。

系統(tǒng)運(yùn)維各階段面臨的財(cái)務(wù)報(bào)表審計(jì)相關(guān)特定風(fēng)險(xiǎn)，與控制目標(biāo)、COBIT5模型及常見(jiàn)控制機(jī)制的對(duì)應(yīng)關(guān)系如下（如表2所示）。

（三）系統(tǒng)運(yùn)維審計(jì)領(lǐng)域控制測(cè)試的執(zhí)行

根據(jù)《中國(guó)注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1211號(hào)——通過(guò)了解被審計(jì)單位及其環(huán)境識(shí)別和評(píng)估重大錯(cuò)報(bào)風(fēng)險(xiǎn)》，在風(fēng)險(xiǎn)導(dǎo)向?qū)徲?jì)模式下，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)根據(jù)被審計(jì)單位的特定信息技術(shù)環(huán)境，對(duì)財(cái)務(wù)報(bào)表重大錯(cuò)報(bào)風(fēng)險(xiǎn)進(jìn)行識(shí)別，了解并評(píng)價(jià)與財(cái)務(wù)報(bào)表審計(jì)相關(guān)的內(nèi)部控制。

就系統(tǒng)運(yùn)維審計(jì)領(lǐng)域的內(nèi)部控制而言，識(shí)別和了解與企業(yè)財(cái)務(wù)報(bào)告相關(guān)的內(nèi)部控制，并確定控制測(cè)試的性質(zhì)、時(shí)間安排和范圍通常需要關(guān)注以下內(nèi)容（如表3所示）。

必須指出的是，以上考慮要點(diǎn)并非在任何情況下均適用，也并不能完全涵蓋所有的情況。注冊(cè)會(huì)計(jì)師需要結(jié)合被審計(jì)單位的信息技術(shù)環(huán)境和特定風(fēng)險(xiǎn)做出職業(yè)判斷。

在執(zhí)行系統(tǒng)運(yùn)維審計(jì)領(lǐng)域的審計(jì)工作時(shí)，注冊(cè)會(huì)計(jì)師需要充分考慮其審計(jì)發(fā)現(xiàn)對(duì)企業(yè)財(cái)務(wù)報(bào)表審計(jì)是否存在直接的影響，并據(jù)此評(píng)估對(duì)財(cái)務(wù)審計(jì)程序的性質(zhì)、時(shí)間安排和范圍的影響。我們將系統(tǒng)運(yùn)維審計(jì)領(lǐng)域常見(jiàn)的

審計(jì)發(fā)現(xiàn)及其影響列示如下（如表4所示）。

表2 風(fēng)險(xiǎn)與控制目標(biāo)、 COBIT5模型及常見(jiàn)控制機(jī)制的對(duì)應(yīng)關(guān)系

表3 確定系統(tǒng)運(yùn)維審計(jì)領(lǐng)域內(nèi)部控制測(cè)試時(shí)的考慮

表6 風(fēng)險(xiǎn)與控制目標(biāo)、COBIT5模型及常見(jiàn)控制機(jī)制的對(duì)應(yīng)關(guān)系

表7 確定訪問(wèn)權(quán)限審計(jì)領(lǐng)域內(nèi)部控制測(cè)試時(shí)的考慮

二、訪問(wèn)權(quán)限

（一）訪問(wèn)權(quán)限領(lǐng)域中與審計(jì)相關(guān)的特定風(fēng)險(xiǎn)

注冊(cè)會(huì)計(jì)師在執(zhí)行企業(yè)財(cái)務(wù)報(bào)表審計(jì)時(shí)，需要考慮被審計(jì)單位的信息系統(tǒng)變更活動(dòng)可能對(duì)財(cái)務(wù)報(bào)表審計(jì)工作產(chǎn)生的影響。注冊(cè)會(huì)計(jì)師需要進(jìn)一步考慮訪問(wèn)權(quán)限管控中與財(cái)務(wù)報(bào)表審計(jì)相關(guān)的特定風(fēng)險(xiǎn)，主要體現(xiàn)在以下幾個(gè)方面（如表5所示）。

（二）訪問(wèn)權(quán)限審計(jì)領(lǐng)域相關(guān)控制

訪問(wèn)權(quán)限審計(jì)領(lǐng)域相關(guān)控制是圍繞系統(tǒng)訪問(wèn)權(quán)限的一系列程序或機(jī)制，它們能夠確保對(duì)應(yīng)用程序和數(shù)據(jù)的訪問(wèn)權(quán)限是基于對(duì)用戶真實(shí)身份的正確認(rèn)定而賦予的，從而保證事務(wù)處理的準(zhǔn)確性和完整性。訪問(wèn)權(quán)限審計(jì)領(lǐng)域的相關(guān)控制要保證，對(duì)于程序和數(shù)據(jù)的訪問(wèn)是處于有序受控的環(huán)境之中。

訪問(wèn)權(quán)限審計(jì)領(lǐng)域相關(guān)控制的一般要素包括：

1. 對(duì)訪問(wèn)權(quán)限活動(dòng)的整體管理；

2. 應(yīng)用層面訪問(wèn)權(quán)限管理；

3. 數(shù)據(jù)層面訪問(wèn)權(quán)限管理；

4. 操作系統(tǒng)層面訪問(wèn)權(quán)限管理；

5.計(jì)算機(jī)網(wǎng)絡(luò)層面訪問(wèn)權(quán)限管理；

表8 訪問(wèn)權(quán)限審計(jì)領(lǐng)域常見(jiàn)審計(jì)發(fā)現(xiàn)及其影響

6. 物理層面訪問(wèn)權(quán)限管理。

訪問(wèn)權(quán)限各階段面臨的財(cái)務(wù)報(bào)表審計(jì)相關(guān)特定風(fēng)險(xiǎn)，與控制目標(biāo)、COBIT5模型及常見(jiàn)控制機(jī)制的對(duì)應(yīng)關(guān)系如下（如表6所示）。

（三）訪問(wèn)權(quán)限審計(jì)領(lǐng)域控制測(cè)試的執(zhí)行

根據(jù)《中國(guó)注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1211號(hào)——通過(guò)了解被審計(jì)單位及其環(huán)境識(shí)別和評(píng)估重大錯(cuò)報(bào)風(fēng)險(xiǎn)》，在風(fēng)險(xiǎn)導(dǎo)向?qū)徲?jì)模式下，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)根據(jù)被審計(jì)單位的特定信息技術(shù)環(huán)境，對(duì)財(cái)務(wù)報(bào)表重大錯(cuò)報(bào)風(fēng)險(xiǎn)進(jìn)行識(shí)別，了解并評(píng)價(jià)與財(cái)務(wù)報(bào)表審計(jì)相關(guān)的內(nèi)部控制。

就訪問(wèn)權(quán)限審計(jì)領(lǐng)域的內(nèi)部控制而言，識(shí)別和了解與企業(yè)財(cái)務(wù)報(bào)告相關(guān)的內(nèi)部控制，并確定控制測(cè)試的性質(zhì)、時(shí)間安排和范圍通常需要關(guān)注以下內(nèi)容（如表7所示）。

必須指出的是，以上考慮要點(diǎn)并非在任何情況下均適用，也并不能完全涵蓋所有的情況。注冊(cè)會(huì)計(jì)師需要結(jié)合被審計(jì)單位的信息技術(shù)環(huán)境和特定風(fēng)險(xiǎn)做出職業(yè)判斷。

在執(zhí)行權(quán)限審計(jì)領(lǐng)域的審計(jì)工作時(shí)，注冊(cè)會(huì)計(jì)師需要充分考慮其審計(jì)發(fā)現(xiàn)對(duì)企業(yè)財(cái)務(wù)報(bào)表審計(jì)是否存在直接的影響，并據(jù)此評(píng)估對(duì)財(cái)務(wù)審計(jì)程序的性質(zhì)、時(shí)間安排和范圍的影響。我們將權(quán)限審計(jì)領(lǐng)域常見(jiàn)的審計(jì)發(fā)現(xiàn)及其影響列示如下（如表8所示）。

簡(jiǎn) 訊

中國(guó)注冊(cè)會(huì)計(jì)師行業(yè)團(tuán)委會(huì)在京召開

2018年5月4日下午，中國(guó)注冊(cè)會(huì)計(jì)師行業(yè)團(tuán)委召開會(huì)議，學(xué)習(xí)貫徹習(xí)近平新時(shí)代中國(guó)特色社會(huì)主義思想和黨的十九大精神、習(xí)近平總書記在北京大學(xué)師生座談會(huì)上的重要講話精神，傳達(dá)學(xué)習(xí)團(tuán)中央有關(guān)精神，部署推進(jìn)2018年行業(yè)團(tuán)建工作。中國(guó)注冊(cè)會(huì)計(jì)師行業(yè)黨委副書記梁立群同志出席會(huì)議并講話，中國(guó)注冊(cè)會(huì)計(jì)師行業(yè)團(tuán)委書記馮毅同志主持會(huì)議。

會(huì)議指出，行業(yè)團(tuán)的工作要以習(xí)近平新時(shí)代中國(guó)特色社會(huì)主義思想為指導(dǎo)，認(rèn)真學(xué)習(xí)貫徹黨的十九大精神，牢牢把握行業(yè)團(tuán)建工作的階段性特征和時(shí)代要求，把握行業(yè)團(tuán)委的功能定位，把握行業(yè)團(tuán)員青年的特點(diǎn)，緊緊圍繞政治性、先進(jìn)性、群眾性要求，創(chuàng)新方式方法，始終把思想政治建設(shè)擺在首位，引導(dǎo)團(tuán)員青年忠于祖國(guó)、忠于人民，立鴻鵠志、做奮斗者，求真學(xué)問(wèn)、練真本領(lǐng)，知行合一、做實(shí)干家；始終堅(jiān)持圍繞和服務(wù)中心工作，圍繞促進(jìn)青年成長(zhǎng)成才來(lái)開展工作，培養(yǎng)中國(guó)特色社會(huì)主義事業(yè)的建設(shè)者和接班人；始終注重機(jī)制建設(shè)，積極打造行業(yè)團(tuán)建項(xiàng)目品牌和活動(dòng)開展的長(zhǎng)效機(jī)制，建立健全與青年切身利益和成長(zhǎng)相關(guān)的激勵(lì)機(jī)制，健全行業(yè)團(tuán)建工作抓手，夯實(shí)行業(yè)團(tuán)建工作“省級(jí)抓、抓省級(jí)”的工作機(jī)制。

會(huì)議審議通過(guò)了中國(guó)注冊(cè)會(huì)計(jì)師行業(yè)團(tuán)委會(huì)議制度和議事規(guī)則、委員分工安排、2018年青年文明號(hào)開放周活動(dòng)安排，對(duì)下一步工作進(jìn)行研究部署。