1、 精選公文范文管理資料 IT環境下審計風險判斷行為存在的三種偏好一、引言風險的存在是客觀的，但風險的判斷是主觀的。IT 環境下的審計風險亦是如此。如何從主觀角度入手，減少審計風險判斷偏誤，提高審計風險判斷績效成為研究的重點。傳統的以認知心理學為基礎的 IT 環境下審計判斷行為研究表明審計判斷績效受知識、能力、經歷等要素的影響。但以認知心理學為基礎的研究忽視了審計行為的社會性。在與社會的交互作用中，審計人員的風險判斷行為受時代背景的影響。因此，現存的在 IT 環境下進行風險判斷的社會心理特征將映射在審計人員身上，并影響其審計風險判斷行為。那么，現存的在 IT 環境下進行風險判斷的社會心理特征是什

2、么？ 不同心理特征對應的審計行為是什么？ 這正是本文要探究的問題。二、文獻回顧在審計文獻中，對 IT 環境下的審計判斷行為的研究主要包括兩個方面： 一是對審計風險判斷行為結果的研究。此類研究大多采用統計分析和比較分析法，如 Wright 等（ 2002）1通過對會計師事務所專家的調查，識別專家在審計 ERP 系統時的重點關注的風險點； Hunton 等（ 2004）2通過對IT 審計專家和財務審計專家比較研究，發現財務審計專家在 IT 環境下進行審計判斷時會低估風險，即存在過度自信的跡象； 二是對影響行為的因素的研究。此類研究大多采用因素分析法。現有的研究是以認知心理學為基礎，通過對不同類型審

3、計人員的不同類別知識（ 如 IT 知識、業務流程知識、一般的審計知識等） 和經歷（ 如 IT 經歷、財務審計經歷等） 的統計，分析影響 IT 環境下審計風險判斷行為的關鍵因素。例如，Viator 和 Curtis （ 1998）3發現與 IT 相關的培訓和經歷是影響審計判斷結果的關鍵因素，Curtis 和 Viator （ 2000）4的進一步研究表明與業務流程知識相關的 IT 培訓和IT 經歷更有助于 IT 環境下的內部控制風險判斷，其重要性程度毫不遜色于會計知識和經歷。錢玲（ 2004）5的研究表明 IT 環境下的審計判斷績效受到計算機和財務審計兩個領域的共同影響，但計算機領域的影響要更多

4、些。計算機經歷和計算機知識對內部控制風險判斷有顯著影響，但是兩者之間沒有顯著差異。然而目前對影響 IT 環境下審計判斷行為的因素的研究主要以認知心理學為理論基礎，關注的是專業領域的知識、經歷、能力（ 認知能力、心理特質等） 對審計人員判斷績效的影響（ Viator 和 Cur-tis 19983; Curtis 等，20096; Leader,20047; Wilkinson,20048; 錢玲，20045） .認知心理學采用信息加工模型研究個體的認知過程。但這種建立在個體心理假定上的認知模型忽視了行為活動的社會性，有一定的局限性。與認知心理學同為心理學的主干的社會心理學研究的是人（ 包括個體

5、與群體） 在與社會交互作用中的社會心理現象及其從屬的社會行為。社會心理受群體結構、群體環境等因素的制約。它會影響群體（ 包括個體） 的行為。在 IT 環境下，人們在判斷由 IT 引發的風險時有哪些社會心理特征？ 這些心理特征是否也體現在審計人員身上？ 并影響其審計風險判斷行為？ 如果能識別出審計人員群體中某一社會心理活動規律及其影響因素，那就可以借助群體的變化來改變個體的觀念或行為習慣，從而提高審計判斷的績效。這比直接一個個地去改變個體要有效得多。三、理論基礎與研究假設（ 一） 理論基礎風險判斷包括對風險產生的原因和對風險造成的結果的判斷，而前者是后者的基礎。風險的起因不同，對應的風險控制措施

6、也不同。準確識別風險來源和評價相應的風險控制效果是審計人員正確判斷被審單位剩余風險和審計風險的基礎。對于 IT 環境下風險的來源，不同的群體有不同的觀點。歸納和描述不同觀點背后的社會心理特征需要借鑒技術社會學領域的研究成果。在技術社會學的文獻中，人們探討的核心是社會變革的決定因素。風險是變革的產物，因此變革的決定因素即為風險的來源。在技術社會學史上，人們在對技術所引發的社會變革的決定因素的判斷中出現了三種認知范式： 技術決定論、技術的社會構建論、技術社會互構論。人們對 IT 環境下企業變革的決定因素的研究也沿襲了這三種認知范式。Markus（ 1988）9、Desanctis 和 Poole（

7、 1994）10依據人們對 IT 環境下企業變革的決定因素的不同選擇，歸納出三個學派： 決策制定學派、制度學派、社會技術學派。第一，決策制定學派。該學派沿襲技術決定論的觀點，將 IT 視為企業變革的決定因素和變革產物-風險的決定因素。當企業導入 IT 之后，如果因 IT 沒有實現預期目標而給企業帶來風險，決策制定學派的研究者會將此風險歸因于 IT 技術設計失敗，或是技術執行中出錯造成的。他們認為這些由 IT 技術產生的風險需要通過技術的手段來控制。第二，制度學派。該學派沿襲技術社會構建論的觀點，將組織（ 企業） 視為引發風險的決定因素。IT 利益相關者的權力和政治行為在 IT 的設計、開發、實

8、施中所扮演的角色的不同以及利益沖突是引發風險的決定因素。此學派認為在應對由 IT 引發的企業風險時，IT 不是根本性的手段，組織手段才是控制風險的關鍵。例如建立一套合理的組織制度以平衡利益相關者之間的沖突可以更有效地控制IT 風險。第三，社會技術學派。該學派沿襲技術社會互構論的觀點，認為除了技術因素和組織因素，運行IT 所引發的企業風險還取決于 IT 結構和組織結構的相互作用過程，即 IT 與組織的互構因素。因此IT 所引發的企業風險需要綜合利用技術手段和組織手段予以集成控制。（ 二） 研究假設思想指導行為。Markus（ 1988）9與 Desanctis 和 Poole（ 1994）10的

9、研究結論揭示了不同研究群體對 IT 環境下風險的決定因素的識別和控制存在三種偏好。這三種認知偏好和行為偏好也同樣存在于審計人員的認知和行為中。因此可以按照此標準將審計人員劃分為三個子群體。第一，體現決策制定學派心理特征的審計人員。此類審計人員認為 IT 技術因素是風險的驅動因素，因此在評價被審單位對相關風險的控制績效時，更多的是針對技術控制實施評價。Adebayo 等（ 2008）11在一項判斷電子審計證據能否勝任審計證據質量要求的行為學研究中發現，部分審計人員判斷電子證據是否可靠的依據是產生電子證據的 IT 在技術上是否可靠。此類審計人員將 IT 技術視為風險的決定因素。第二，體現制度學派心

10、理特征的審計人員。此類審計人員認為組織因素是 IT 環境下風險的驅動因素，他們在評價被審單位對 IT 風險的控制績效時重點關注組織控制。Adebayo 等（ 2008）11研究發現部分審計人員雖然也會檢驗 IT 的可靠性，但不會將其作為審計重點。他們重視的是對組織可靠性的測試。他們認為如果組織控制是有效的，那么 IT 的可靠性就會得到保障，電子證據就自然有證明力。總之，他們審計時主要依據財務審計準則，執行傳統的審計方法，并把審計重點放在實質性測試上。此類審計人員將組織因素視為風險的決定因素。第三，體現社會技術學派心理特征的審計人員。此類審計人員認為技術因素和組織因素相互作用地共同影響 IT 環

11、境下的審計風險。依據社會技術學派的“調試性結構理論”將 IT 與組織互構因素分解為 IT 利益相關者、IT 流程、業務流程三個子元素（ Desanctis 和 Poole,199410; 鄭煦平，200912） .Adebayo（ 2008） 等11的研究結果表明存在部分審計人員，他們不但將技術因素、組織因素都列為判斷電子證據可靠性的依據，同時還強調技術與組織互構過程也是左右此風險的關鍵因素。因此，本文假設： 在 IT 環境下，不同的審計人員在判斷 IT 環境下的審計風險時存在三種類型的心理特征和行為偏好，分別與決策制定學派、制度學派、社會技術學派的心理特征和行為偏好相對應。四、研究設計（ 一

12、） 研究方法選擇在審計判斷的研究中，案例分析方法、實驗方法或調查問卷法是常用方法。案例分析法適用于定性研究； 實驗方法需要在受控的環境下進行； 調查問卷法則是在自然情景下進行。本研究是針對 IT環境下審計人員的審計判斷行為的定量分析，它要回答“是什么”的問題。由于實驗方法難以操控研究所需的環境因素的變化。因此在自然狀態下進行的調查問卷法更適用于本研究（ Pinsonneault 和Kraemer,1993） .同時，在信息系統領域，調查問卷研究方法也是常用的量化研究方法之一。因此，本文選擇調查問卷研究方法。（ 二） 問卷指標設計和統計方法行為體現思想。審計人員的不同行為偏好背后隱含不同的社會心

13、理特征。根據技術社會學領域的理論，IT 環境下審計風險判斷行為差異的焦點是審計人員對引發 IT 風險的三個決定因素所賦權重的差異。因此本研究將技術因素、組織因素、技術與組織互構因素具體化為三類代表性指標，并將其隨機組成調查問卷。被調查者各自獨立對每個指標的重要性程度評分。采用聚類分析方法依據被調查者的評價值分布情況，對審計人員行為偏好自動分類。自動分類結果將驗證理論假設是否有效。由于問卷調查的對象是我國注冊會計師，為了增加問卷的可理解性，指標的設計和表達都優先參照“中國注冊會計師審計準則”（ 以下簡稱審計準則） .1. 指標選擇第一，技術因素的指標。技術因素由技術風險和技術控制構成。技術風險包

14、括技術結構風險和技術精神風險（ Desanctis 和 Poole,1994）10,技術控制包括硬件控制與軟件控制。審計準則第 1211、1231 號中強調的技術因素大多是關于計算機程序和數據文件的安全性風險和控制技術，包括應用層面和 IT 基礎設施服務層面。如訪問授權、系統設計、信息處理和存儲等相關環節上。通過專家訪談和小樣本實驗，最后確定“被審單位的防病毒軟件是否及時升級”、“ 信息系統是否存在設計漏洞”、“企業信息系統的訪問安全控制”、“企業信息系統是否有恰當的災難恢復計劃”為四個代表技術因素的指標。第二，組織因素的指標。組織因素包括組織風險和組織控制。組織風險的根源是組織中的沖突和不協

15、調（ Desanctis 和 Poole,1994） .因此將“組織中各部門之間的利益沖突程度”作為組織因素的代表性指標之一。組織控制是緩解組織風險的有效手段，而內部控制環境是評價組織控制效果的關鍵指標。審計準則第 1211 號將內部控制定義為“控制環境包括治理職能和管理職能，以及治理層和管理層對內部控制及其重要性的態度、認識和措施”.因此代表內部控制環境的“企業公司治理的特征”和“管理者的理念與經營風格”作為組織因素的另外兩個代表性指標。第三，IT 與組織互構因素的指標。IT 與組織互構因素包含 IT 利益相關者、IT 流程、業務流程三個子要素。因此將互構因素分化為兩個子互構指標： （ 1）

16、 IT 流程與業務流程的互構指標。IT 流程無法支持業務流程運作會帶來無效的訪問、數據檢測缺失等。這會導致收入確認不恰當、存貨估價異常等，甚至是經營中斷的風險（ Wright 等，2002） .審計準則第 1211 號第 98 條“IT 戰略與經營戰略不協調”和第 36 條“信息技術的運用及其可能導致的被審計單位信息系統與業務流程難以融合等風險”特別強調了此類風險。（ 2） IT 利益相關者和流程（ 包括 IT 流程和業務流程） 的互構指標。IT 利益相關者與流程的相互支持包括整體層面和個體層面。影響整體層面互構的關鍵因素為企業信息文化、IT 治理（ 鄭煦平，2009） .IT 治理的可操作性

17、衡量指標是各個領域高層管理人員的參與度與認同度（ Janvrin 等，2009） .因此，“企業信息文化的特征”和“在制定 IT 戰略時，各個領域的高層管理人員的參與程度與認同程度”入選調查指標。影響個體層面互構的關鍵因素是用戶的 IT 技術接受度和所受的教育培訓。Davis（ 1989） 的“技術接受度模型”和 Seddon（ 1997） 的“信息系統成功模型”表明用戶滿意度是衡量用戶對 IT 接受度的最終指標。因此，“信息系統使用者對信息系統軟件的滿意度”成為衡量 IT 與組織互構風險的調查指標之一。提升用戶的 IT 技術接受度，減少抵制 IT 風險的關鍵是讓員工接受的專業教育和培訓（ W

18、right 等，2002） .因此，“信息系統使用者所接受的與 IT 相關的教育和培訓的程度”成為另一個代表性指標。研究設計是將三種類型的指標混合起來編制成問卷。問卷的變量及其代表性指標的最終設置如表 1 所示,其中變量 X10、X11、X12、X13代表技術性因素，變量 X3、X5、X9代表組織性因素，變量 X1、X2、X4、X6、X7、X8代表技術與組織互構因素。問卷中每個變量提供 6 個級別的重要性程度予以選擇，對應的分值為 1 6 分，即“重要-6 分”“部分重要-5 分”、“輕微的重要-4 分”、“輕微的不重要-3分”、“部分不重要-2 分”、“不重要-1 分”.2. 統計方法-聚類

19、分析法 聚類分析法是將樣本或變量進行分類的一種多元統計分析法（ 柯惠新，等，2005）15.本研究是根據樣本的多個指標變量的數據值對樣本進行聚類分析。此種自然分類結果較傳統分類結果更全面、客觀。本文選擇變差平方和法進行聚類分析，也叫沃德法。3. 樣本與數據來源 本次調查問卷的發放對象是隨機抽取參加由中國注協主辦的執業會員后續教育培訓的注冊會計師（ 培訓地點： 廈門國家會計學院） .由于培訓是由全國各地會員自主報名參加的，因此在樣本上具有較好的隨機性。本次調查共發放 163 份問卷，回收 133 份，有效問卷為 121 份。問卷的有效回收率為 74. 23%.五、研究結果和分析（ 一） 調查問卷

20、的信度和效度分析評價問卷設計質量的工具是問卷中量表的信度檢驗和效度檢驗。第一，信度檢驗。檢驗結果表明問卷的 Cronbachs 系數為 0. 868.此系數大于 0. 7 說明此問卷的信度檢驗符合要求。第二，效度檢驗。效度是指使用的測量工具能夠正確衡量出研究者所欲了解的事物的程度。效度檢驗具體又可分為內容效度與結構效度。（ 1） 內容效度。內容效度是檢驗由概念到測量指標的推導過程是否符合邏輯。依照 Straub（ 1989） 的評價標準，本研究是借鑒技術社會學領域的研究結論進行問卷設計，有嚴謹的理論基礎，具有較高的內容效度。（ 2） 結構效度。“效度分析最理想的方法是利用因子分析來測量量表的結

21、構效度。”（ 柯惠新等，2005）15,統計結果中主成分因子的 KMO 值為0. 847.這表明問卷調查數據適合做因子分析。表 2 的主成分因子分析表是問卷量表的因子分析結果。落在因子 1 上的是 X10、X11、X12、X13四個技術因素指標，因子載荷在 0. 782 0. 841 之間； 落在因子2 上的是 X1、X2、X4、X6、X7、X8六個互構因素指標，因子載荷在 0. 550 0. 864 之間； 落在因子 3 上的是X3、X5、X9三個組織因素指標，因子載荷在0. 689 0. 868 之間。統計結果顯示3 個主成分因子包含13個自變量 68. 599%的信息。因此本研究的問卷測

22、量指標基本滿足結構效度的要求。（ 二） 問卷調查結果分析。在聚類分析中，分類對象可以是樣本也可以是變量。本文采用的是對樣本進行分類。問卷調查的樣本通過聚類分析法被自動劃分為三類。表3“三類人員的各個要素指標均值和不同類的同一指標均值相互之間差異的顯著性結果”揭示了各類審計人員對不同要素指標的判斷均值，以及不同類審計人員在同一要素指標上均值之間差異的 T - Test 檢驗結果。從表 3 的統計分析結果可以得出以下幾點結論：第一，類型一與類型二的比較分析。（ 1） 在技術與組織互構因素指標 X4、X6,以及技術因素指標X10、X11上類型一的均值大于類型二的均值，并存在顯著性差異。由此可見相對于

23、類型二，類型一的注冊會計師更重視考慮技術與組織互構因素和技術因素對 IT 環境下審計風險的影響。（ 2） 在組織因素指標上，類型一與類型二沒有顯著性差異，都重視此因素的影響。第二，類型一與類型三的比較分析。（ 1） 在全部的技術與組織互構因素指標以及組織因素指標X3、X5上，類型一的均值顯著大于類型三的均值。即相對于類型三，類型一更重視考慮技術與組織互構因素和組織因素對 IT 風險的影響。（ 2） 在技術因素指標 X10、X11上，類型一與類型三沒有顯著性差異，所認定的重要性水平都較高。雖然在變量 X12上的 T 檢驗值小于0. 1,但各自均值為5. 49 與5. 75,都屬于“部分重要”水平

24、。因此兩類人員都重視技術因素的影響。第三，類型二與類型三的比較分析。（ 1） 在技術因素指標 X10、X11、X12上，類型三的均值顯著大于類型二的均值。（ 2） 在組織因素指標 X3、X5上，類型二的均值顯著性大于類型三的均值。由以上兩點可得類型二更偏好選擇組織因素，類型三更偏好選擇技術因素。（ 3） 在技術與組織互構因素指標上，雖然兩類在 X2、X8上存在顯著性差異，但在此類指標上，類型二和類型三的均值都屬于“輕微的不重要”和“部分不重要”的范圍。因此，可知類型二和類型三都不重視技術與組織互構因素。綜合聚類分析結果，可得出以下結論： （ 1） 劃分入類型二的注冊會計師在判斷 IT 環境下的

25、審計風險時偏好考慮組織性因素，對于技術性因素和技術與組織互構因素則考慮的較少。因此，歸屬于類型二的注冊會計師在 IT 環境下的心理特征和行為偏好與制度學派的觀點接近，即傾向于組織決定論；（ 2） 劃分入類型三的注冊會計師在 IT 環境下偏好考慮技術性因素，對于組織性因素和技術與組織互構因素則考慮的較少。因此，歸屬于類型三的注冊會計師在 IT 環境下的心理特征和行為特征更接近于決策制定學派的觀點，即傾向于技術決定論。（ 3） 劃分入類型一的注冊會計師在 IT 環境下能綜合考慮技術性因素、組織性因素以及技術與組織互構因素。因此，歸屬于類型一的注冊會計師在 IT 環境下的心理特征和行為偏好接近于社會

26、技術學派觀點，即傾向于技術社會互構論。六、結論及展望實證結果驗證了經由理論分析得出的研究假設，即在 IT 環境下，審計人員在判斷審計風險時存在三種行為偏好和社會心理特征。它們分別與支持技術決定論的決策制定學派、支持組織決定論的制度學派、支持技術社會互構論的社會技術學派的行為偏好和心理特征相一致。本文對審計人員在IT 環境下的社會心理特征的識別不是研究的結束。相反，它為后續研究打開了新的窗口。認知心理學和社會心理學同為心理學的主干。但認知心理學研究強調知識的作用，因此基于認知心理學的傳統研究旨在尋找更有利于提高 IT 環境下審計判斷績效的關鍵性知識。有針對性地提高審計人員對這些關鍵性知識的掌握程

27、度可以更有效地降低 IT 環境下的審計風險。傳統研究的弊端在于忽視了審計行為的社會性，此局限性使其在提升審計人員的判斷績效上貢獻有限。本研究是從社會心理學視角指出審計判斷行為具有社會性，同時借助技術社會學領域的研究成果歸納出 IT 環境下審計風險判斷行為背后的社會心理特征，并得到了調查研究結果的實證檢驗。社會心理學新視角的研究是對當前研究的補充。對審計人員的社會心理活動的規律的掌握有助于預見審計人員的社會行為和解決由社會行為引起的審計風險問題。后期可以對影響審計人員社會心理活動的因素展開進一步研究，尋找糾正審計人員的主觀認知偏差，提高審計判斷績效的可操作性指標。參考文獻：1 Wright S,

28、A M Wright. Information System Assurance for Enterprise Resource Planning Systems: UniqueRisk ConsiderationsJ. Journal of Information Systems,2002,（ 16） : 99 - 113.2 Hunton J E,A M Wright,S Wright. Are Financial Auditors Overconfident in their Ability to Assess RisksAssociated with Enterprise Resour

29、ce Planning Systems? J. Journal of Information Systems,2004,（ 2 ） : 7- 28.3 Viator R E,M B Curtis. Computer Auditor Reliance on Automated and Non - automated Controls as a Func-tion of Training and ExperienceJ. Journal of Information Systems,1998,（ 1） : 19 30.4 Curtis M B,R E Viator. An Investigatio

30、n of Multidimensional Knowledge Structure and Computer AuditorPerformanceJ. Auditing: A Journal of Practice & Theory,2000,（ 2） : 83 103.5 錢玲。 電算化審計判斷研究-經歷、知識、能力和電算化審計判斷業績的實證研究M. 上海： 上海財經大學出版社，2004:15.6 Curtis M B,J G Jenkins,J C Bedard,D R Deis. Auditors Training and Proficiency in Information S

31、ystems:A Research SynthesisJ. International Journal of Accounting Information Systems,2009,（ 9） : 104 - 121.7 Leader B. Discussion of IT Assurance CompetenciesJ. International Journal of Accounting Information Sys-tems,2004,（ 2） : 275 - 279.8 Wilkinson D. The CICAs IT Competency ModelJ. International Journal of Accounting Information Systems,2004,（ 2） : 245 - 250.9 Markus M L,D Robey.