1、IS審計：信息時代審計業務的發展孟秀轉 孫強（北京聯合大學 應用文理學院，北京100083）（中國信息系統審計與控制專業委員會（籌） 北京 100846）摘要 電子商務的推廣，使得人們越來越關注電子數據的完整性與可靠性，信息使用者急需有可以信任的機構，為其提供電子數據及產生電子數據的信息系統的可靠性保證。這種需要促使新的審計業務即IS審計的產生。IS審計是一個獲取并評價證據，以判斷計算機系統是否能夠保證資產的安全、數據的完整以及有效率地利用組織的資源并有效果地實現組織目標的過程。加入WTO后，我國注冊會計師面臨巨大的挑戰，開展IS審計業務不失為我國注冊會計師事業發展的一次絕佳機會。我國注冊會計

2、師協會應加大宣傳，提高人們對IS審計的關注，引導并培育市場；加強注冊會計師信息技術知識的培訓；研究制訂我國的IS審計執業規范體系，推動我國IS審計的發展。關鍵詞 信息系統；審計；控制；鑒證中圖分類號 文章標識碼 A 文章編號 信息技術的高速發展與廣泛應用改變著商業環境，改變著信息的產生與處理方式，從而改變著信息使用者對信息的要求，而這一切必然影響并改變著審計鑒證業務的范圍、內容與方法，給注冊會計師行業帶來了新的問題與挑戰。理論界在密切關注著信息技術條件下審計業務的發展。有學者提出計算機審計，電算化審計，但基本上停留在對會計信息系統的審計上，延伸手工會計信息系統審計，尚未全面探討信息時代給審計業

3、務帶來的深刻變化。筆者將從IS（information system）審計的產生動因分析入手，提出審計業務的發展方向IS審計，并介紹國外最新IS審計理論，在此基礎上提出信息時代我國注冊會計師審計業務發展的若干建議。1 IS審計產生動因及其發展 IS審計是一個獲取并評價證據，以判斷計算機系統是否能夠保證資產的安全、數據的完整以及有效率地利用組織的資源并有效果地實現組織目標的過程。我們可以從分析信息技術帶來的一系列變化找出信息系統審計產生的動因。1.1 IS審計產生的動因分析信息技術帶來的商務環境的改變 20世紀50年代以來，隨著信息技術的高速發展與廣泛應用，特別是電子商務的推廣，信息技術正成為當

4、今企業環境中最重要的資源之一。誰擁有最準確、最及時的信息，誰就會贏得競爭的勝利。獲取信息的能力正成為企業的核心競爭能力之一。為此企業掀起了一波又一波的電子商務浪潮。如圖1所示：圖中顯示每一浪都比前一浪更進步、更大，伴隨著每一浪潮的是電子商務技術和實務的更廣泛應用。第一浪主要是80年代和90年代初的電子數據交換實務，現在已讓位給第二浪，如今許多公司已踏上追趕第三浪的征程了。收稿日期 2002-07-11作者簡介 孟秀轉，女，河北深州人，北京聯合大學應用文理學院講師，數量經濟學碩士，注冊會計師，主要從事統計、審計、投資的教學與研究。孫強，男：信息系統審計師、微軟認證系統工程師、思科認證網絡工程師，

5、主要研究方向：電子商務、IT治理、信息系統審計與控制。第一浪潮傳統 第二浪潮電子 第三浪潮 一個新的EDI 商務 電子社會 ·下訂單 第一浪潮中的要素 第二浪潮中要素加上：·發貨通知 加上： ·無現金交易·開發票 · 電子購物 ·智能代理的廣泛應用·檢查庫存 ·銀行與金融機構 ·連續不斷的測試代理·早已建立關系 ·與虛擬的陌生人交易·增強信息的共享 圖1 電子商務的三次浪潮（資料來源：電子商務的安全與風險管理 于軍譯）在第一浪中電子交易僅僅出現在早已建立關系的商業伙伴之間。第

6、二浪中電子交易能發生在虛擬的陌生人之間，因此要求向更廣泛的人群（潛在的客戶）提供公司的信息。無現金交易與智能代理將是第三浪的主題。商務環境正日益數字化、信息化。1.1.2 電子商務對價值鏈的影響傳統價值鏈通常將信息系統的數據描述為在最初階段的供應商輸入到最終階段的客戶輸出的依次流動，而信息時代，電子商務使公司在價值鏈的許多環節都與客戶和供應商分享信息。圖2描述了一種新的以客戶為中心的價值鏈觀念。公司的信息系統就是將這一過程連接在一起的“粘合劑”。這個以客戶為中心的價值鏈使客戶幾乎能在任何環節進入公司的信息系統，以隨時掌握其訂貨的動向。圖2所示的以客戶為中心價值鏈，還需要將公司采購信息系統與公司

7、供應商的信息系統相連。供應商需要登錄到自己的下一級供應商的信息系統以便能為自己的客戶提供最佳服務，這樣以來網絡使各公司可以將其供應鏈徹底融為一體。1.1.3 價值鏈帶來信息使用者對信息要求的改變 信息使用者既包括企業管理者、交易伙伴也包括投資人，在信息時代，誰先掌握最及時最可靠的信息，誰就可以贏得市場。他們對信息的關注不再只是財務報表所反映的過去的信息，而是更多關注公司的實時信息以便及時做出更為科學的決策。因此信息使用者有著強烈的愿望需要有一個獨立、客觀、公正的第三方為其提供所需信息的質量審查，以合理保證其信息的完整性、可靠性。電子商務以及價值鏈的轉變改變了傳統的審計業務。當企業開始與新的貿易

8、伙伴交換數據進行交易時，貿易伙伴及其交易處理系統的可靠性都必須得到評估。當供應鏈管理中各個過程和步驟，如庫存需求計劃、購貨訂單、銷售訂單、運貨單和現金支出等，通過電子商務信息系統被電子化處理時，審查交易數據和評估其完整性及可靠性則成為必要。社會的需要促使新的審計業務IS審計的產生。它不僅僅是應用計算機技術進行審計（即傳統EDI審計或計算機輔助審計），更重要的是對包括財務管理信息系統在內的所有信息系統本身的安全性、保密性、完整性及其實現企業目標的有效性進行的審計。1.2 IS審計的發展IS審計的發展是伴隨著信息技術的發展而發展的。在數據處理電算化的初期，由于人們對計算機在數據處理中的應用所產生的

9、影響沒有足夠的認識，認為計算機處理數據準確可靠，不會出現錯弊，因而很少對數據處理系統進行審計，主要是對計算機打印出的一部分資料進行傳統的手工審計。隨著計算機在數據處理系統中應用的逐步擴大，利用計算機犯罪的案件不斷出現，使審計人員認識到要應用計算機輔助審計技術對電子數據處理系統本身進行審計，即EDI審計。同時隨著社會經濟的發展，審計對象、范圍越來越大，審計業務也越來越復雜，利用傳統的手工方法已不能及時完成審計任務，必須應用計算機輔助審計技術（CAATs）進行審計。80年代、90年代信息技術的進一步發展與普及，使得企業越來越依賴信息及產生信息的信息系統。人們開始更多的關注信息系統的安全性、保密性、

10、完整性及其實現企業目標的效率、效果，真正意義的IS審計才出現。隨著電子商務的全球普及，IS的審計對象、范圍及內容將逐漸擴大，采用的技術也將日益復雜。到目前為止，IS審計在全球來看，還是一個新的業務，從美國五大會計師事務所的數據看1990年擁有IS審計師12名到近百名，1995年已有500名，到2000年時，IS審計師正以40%50%的速度增加，說明IS審計正逐漸受到重視。IS審計的主要推動者是美國ISACA（信息系統審計與控制協會），成立于1969年，在全球建有100多個分會，推出了一系列IS審計準則、職業道德準則等規范性文件，并開展了大量的理論研究，COBIT（Control Objecti

11、ves for Information and Related Technology ）已出版了第三版。但是迄今為止仍存在一些問題有待研究，比如：1989年David Dunmore提出的“1）信息系統審計真是一個職業嗎？2）信息系統審計的業務范圍是什么？”等問題，到現在仍然在討論。2 IS審計的理論基礎及其基本業務IS審計不僅僅是傳統審計業務的簡單擴展，信息技術不單影響傳統審計人員執行鑒證業務的能力，更重要的是公司和信息系統管理者都認識到信息系統是組織最有價值的資產，和傳統資產一樣需要控制，組織同時需要審計人員提供對信息資產控制的評價。因此IS審計是一門邊緣性學科，跨越多學科領域。2.1 I

12、S審計的理論基礎如圖3所示，IS審計是建立在四個理論基礎之上的。1）傳統審計理論。 傳統審計理論為IS審計提供了豐富的內部控制理論與實踐經驗，以保證所有交易數據都被正確處理。同時收集并評價證據的方法論也在IS審計中廣泛應用，最為重要的是傳統審計給IS審計帶來的控制哲學，即用批判的眼光審視信息系統在保護資產安全、保證信息完整，并能有效率 、有效果地實現企業目標的能力。2）信息系統管理理論。 信息系統管理理論是一門關于如何更好地管理信息系統的開發與運行過程的理論，它的發展提高了系統保護資產安全、保證信息完整，并能有效率 、有效果地實現企業目標的能力。3）行為科學理論。計算機信息系統有時會因為人的問

13、題而失敗，比如對系統不滿的用戶故意破壞系統及其控制。因此審計人員必須了解哪些行為因素可能導致系統失敗。這方面行為科學特別是組織學理論解釋了組織中產生的“人的問題”。4）計算機科學。計算機科學本身的發展也在關注如何保護資產安全、保證信息完整，并能有效率 、有效果地實現企業目標。但是技術是一把雙刃劍，計算機科學的發展可以使審計人員降低對系統元件可靠性的關注，但是如果技術被不懷好意的人員利用，就增加了審計人員的審計難度。 圖3 IS審計的理論基礎IS審計傳統審計信息系統管理計算機科學行為科學2.2 IS審計的基本業務根據國外IS審計實踐，IS審計有以下基本業務：1）系統開發審計，包括開發過程的審計、

14、開發方法的審計，為IT籌劃指導委員會及變革控制委員會提供咨詢服務；2）主要數據中心、網絡、通訊設施的結構審計，包括財務系統和非財務系統的應用審計；3）支持其他審計人員的工作：為財務審計人員與經營審計人員提供技術支持和培訓；4）為組織提供增值服務：為MIS人員提供技術、控制與安全指導；推動控制自評程序的執行；5）軟件及硬件供應商及外包服務商提供的產品及服務質量是否與合同相符審計；6）災難恢復系統審計；7）計算機運行及應用開發測試；8）局域網的安全審計；9）網站的信譽審計；10）全面控制審計等。IS審計業務將隨著信息技術的發展而發展，為滿足信息使用者不斷變化的需要而增加新的服務內容。隨著電子交易的

15、普及，網絡會計必然代替傳統會計，鑒證傳統會計報表的傳統審計業務也將被IS審計包容。3 我國注冊會計師開展IS審計業務的幾點思考美國在計算機進入實用階段時就開始提出系統審計（SYSTEM AUDIT），從成立電子數據處理審計協會（EDPAA后更名為ISACA）以來，從事系統審計活動已有30多年歷史。日本的系統審計是從80年代開始，1983年通產省公開發表了系統審計標準，并在全國軟件水平考試中增加了"系統審計師"一級的考試，著手培養從事系統審計的骨干隊伍。近幾年東南亞各國也開始制定EDI法規，成立專門機構開展系統審計業務，并制定技術標準。我國在1999年頒布了獨立審計準則第20

16、號計算機信息系統環境下的審計，但更多的是關注會計信息系統。在信息時代，面對加入WTO后開放的會計市場，我國注冊會計師面臨巨大的挑戰，開展IS審計業務不失為我國注冊會計師事業發展的一次絕佳機會。3.1 我國注冊會計師開展IS審計業務機遇與挑戰3.1.1 機遇我國廣闊的市場是我們最大的機遇。2002在中國，每十天左右就會有一個預算為500萬元以上的ERP項目招投標，一年的項目在5070個左右；預算為100萬元至500萬元的ERP項目在60100個左右；預算為100萬元的項目在100150個左右。有些項目是企業自籌資金，有些項目是國家資金支持。 國家經貿委將利用國債資金支持大中型企業的管理信息化。政

17、府的引導資金帶來了企業實施ERP的具體部署，200多家企業大部分表示將在38個月實施ERP，ERP項目費用在500萬元以上。從1999年起，在全國普遍實行了政府上網工程，到2001年，全國絕大多數鄉級以上政府都設有站點，并通過網站，向社會發布信息，有的還開始提供在線服務。2000底，中國各式電子商務公司超過500家，中國電子商務市場規模將從2000年的87.3億美元增長到2004年的546.3億美元。網上銀行、網絡證券交易也出現在我們的生活中。大規模的信息化建設，對信息系統的安全、有效、保密以及其提供的信息的真實、完整等提出了鑒證要求， 因此我們擁有極大的IS審計需求市場。其次，IS審計在全球

18、來看也是一項新業務，它的審計準則、規范、審計方法等還不成熟，有待進一步研究，我們有機會與世界強國在同一水平起跑，積極參與IS審計研究，參與規則的制訂，為我國IS審計爭得有利地位。第三，我國注冊會計師審計業務單一、事務所之間在有限的報表審計領域低層次競爭，過分依賴這一單一業務，甚至影響到注冊會計師的獨立性。發展IS審計業務，無疑為注冊會計師找到了一個新的利潤增長點。3.1.2 挑戰我們有機遇但挑戰也非常嚴峻。首先，加入WTO 后我國會計市場的開放，國際著名會計師事務所紛紛搶灘中國，他們的業務量一般占到市場的80%-90%，在IS審計方面更甚，IS審計的許多準則都是由他們制訂的，而國內會計師事務所

19、基本沒有IS審計業務，在這方面他們已經搶占了先機。我國注冊會計師若想站穩國內市場，必須充分認識到開展IS審計業務的緊迫性，奮起直追。其次，我們注冊會計師的知識結構無法滿足IS審計業務發展的要求。我們注冊會計師考試僅包括會計、審計、稅法、經濟法、成本與財務管理五部分，根本沒有信息技術知識的要求，這是一個嚴重的知識結構缺陷，在信息時代是無法生存的。此外，受觀念落后的制約，我國目前計算機審計最多停留在計算機輔助審計與會計信息系統審計層面上，對非財務信息系統幾乎沒有關注。3.2 我國注冊會計師開展IS審計的幾點建議21世紀是信息時代，我國注冊會計師必須把握時代的脈搏，努力開創新的業務領域。首先，加大對

20、信息及信息系統資產的安全、完整、有效地實現組織目標的宣傳，提高人們對IS審計的關注，引導并培育市場。其次，加強注冊會計師信息技術知識的培訓。IS審計人員一般都應具備全面的計算機軟硬件知識，對網絡和系統安全有獨特的敏感性，并且對財務會計和單位內部控制有深刻的理解。美國Journal of Accountancy雜志1996年1月刊登了題為注冊會計師應了解的15項主要技術，美國注冊會計師協會（AICPA）以后每年公布注冊會計師應關注的技術問題。2002年公布最關注的10大技術問題是：1）商業與財務報表應用軟件；2）培訓和技術競爭力；3）信息安全和控制；4）服務質量；5）恢復；6）通訊技術-寬帶應用

21、；7）遠程連接工具；8）基于WEB的應用軟件；9）個人信息技術應用產品；10）消息應用軟件。我國注冊會計師要加強信息技術的后續教育。此外，我國注冊會計師協會應該組織力量研究制訂我國的IS審計執業規范體系，在吸取傳統審計業務開展的經驗與教訓基礎上做好IS審計的推動與管理工作。參考文獻1、瑪麗蓮.格林斯坦 電子商務的安全與風險管理M. 謝淳 譯 北京：華夏出版社，2001.2、張金城.計算機信息系統控制與審計M .北京：北京大學出版社，2002.3、Lucy R. IS Auditing: The State of the Profession Going Into the 21st Centur

22、yJ. IS Audit & Control Journal, 1999，（4）.4、Bagranoff N.，Vedrzyk V. The Changing Role of IS Audit Among the Big Five US-Based Accounting Firms J. IS Control Journal， 2000，（5）.IS Auditing: the Opportunity in Information Age for AuditorMeng Xiuzhuan(College of Applied Sciences and Humanities of BeijingUnionUniversity,Beijing 100083,China)Abstract: With the expansion of electronic commerce, people pay more and more attention to the reliability of electronics data. The information users urgently need the dependable organization to