审计方法和思路创新研究

1、审计方法和思路创新研究医院数据式审计思路及方法探索舟山市审计局董旭东摘要：数据式审计是应对被审计单位海量数据及复杂的数据管理方式 而发展起来的一种全新的审计模式，它可能代表着信息化环境下计算 机审计的真正未来。本文介绍了我国计算机审计的发展轨迹、数据式审计产生的背景 及特点，重点论述了数据式审计模式下医院审计应有的审计业务流程 及审计内容，提出了医院数据式审计模式下的审计思路及方法体系。 关键词：医院；数据式审计；思路和方法引言随着信息技术的广泛应用，尤其是被审计单位会计核算及业务管 理信息化水平的不断提高，单位传统的内部控制、业务管理及相应的 纸质载体正逐渐被数字、网络技术所取代，审计面临着

2、作业环境变化 和审计对象外延扩展等多重挑战，传统审计思路、审计方法及审计组 织实施方式也同样面临着新的考验。从这几年的审计实践看，有些被审计单位如医院、金融机构、社 保、公积金等信息化管理水平已经达到相当高的程度，业务和管理活 动产生的海量数据及复杂的数据管理方式，已在相当程度上提升了审 计“准入”的门槛。数据式审计便是应对这时代变化而发展起来的种全新的审 计模式。但不能回避的是，我们在数据式审计的理论研究和方法创新上尚 处于起步阶段，方法体系和业务框架尚不清晰、技术运用及经验总结 还不成熟、审计从业人员素质参差不齐。因此，加强数据式审计的理 论研究和方法创新是审计面对挑战的必然选择，也是审计

3、事业持续发 展的必由z路。本文将结合医院计算机审计的实践，在数据式审计产生的背景、 发展脉络、特点及医院数据式审计业务流程、思路方法等几个方面作 一些探索。1数据式审计的发展脉络1.1法律法规进程国内计算机审计始于上世纪80年代末，是随着会计电算化的发 展应运而生的一种审计辅助手段。1996年，审计署颁布审计机关计算机辅助审计办法，明确了 计算机辅助审计的内容和范围、计算机辅助审计人员的资格、计算机 辅助审计的注意事项等。2001年，国务院办公厅发出了关于利用 计算机系统开展审计工作的通知，强调了审计机关有权检查被审计 单位运用计算机管理财政、财务收支的信息系统。2006年，修订后 的中华人民

4、共和国审计法第三十一条、三十二条规定，审计机关 有权要求被审计单位按照审计机关的规定提供运用电子计算机储存、 处理的财政收支、财务收支电子数据和必耍的电子计算机技术文档， 有权检查被审计单位运用电子计算机管理财政收支、财务收支电子数 据的系统。这些从根本上为审计机关开展计算机审计扫清了法律障 碍。1. 2计算机审计的技术发展轨迹国家审计署于上世纪80年代末开始应用计算机审计，它所耍解 决的主要问题是在会计电算化环境下，财务数据的采集转换及账户重 建。从技术层面分析，当时的计算机审计本质上是传统手工审计的辅 助和技术延伸，起到的主要作用是“进得了门，打得开账”。进入20世纪后，随着信息技术的飞速

5、发展，尤其是计算机、网 络、办公自动化及数据库技术的广泛、深入应用，审计作业环境和审 计对象发生了深刻的变化。一方面，被审计单位财务及管理活动的记 录载体由纸质逐渐演变为“虚拟”；另一方面，被审计单位财务和管 理活动产生的数据呈爆炸式增长。这都需要审计机关有全新的审计理 念和方法去应对数字化时代的挑战。2005年，石爱中副审计长在国内首次提出数据式审计模式理念, 将审计对象从传统审计的财务资料扩展为信息系统、业务数据、财务 数据及外部数据。他认为，数据式审计模式可能代表了信息化环境下 计算机审计的真正未来。1. 3数据式审计的概念石爱中、孙俭在初释数据式审计模式（审计研究2005年4 期）中把

6、数据式审计模式分为数据基础审计模式和数据式系统基础审 计模式。其中：将数据作为审计对象的审计方式定义为数据基础审计 模式，将信息系统一并纳入审计对象的审计方式定义为系统基础审计 模式。与传统的审计模式相比，数据式审计模式（本文所称的数据式审 计均指数据式系统基础审计）是以信息系统内部控制测评为基础，通 过对电子数据的采集、清洗、转换、验证和分析利用，來实现审计目 标的审计方式。2数据式审计的特点数据式审计是信息化环境下发展起来的一种全新理念的审计模 式，它直接利用计算机“底层”数据，不仅包括传统的财务数据，也 包括业务数据、管理数据以及外部相关数据，甚至还包括信息管理系 统本身。在这种审计模式

7、下，审计人员能够获得比以往更多的审计信 息，能够更加充分自由的运用技术手段，达到传统审计方式无法达到 的效果。2. 1数据式审计扩大了审计线索范围与传统审计不同，数据式审计将信息系统及相关电子数据纳入审 计对象，使审计人员的审计查证工作不再局限于账表凭证，可以自由 地运用多种“底层”数据参与审计分析，极大地扩展了审计线索的范 围，为提高审计质量和审计深度创造了技术条件。2. 2数据式审计使多条件筛选成为可能数据式审计可以借助数据分析工具设置多条件选项，对目标数据 实施多角度的分析验证，既可以实现财务资料内部各数据的比对分 析，也可以实现管理数据与财务数据之间、外部数据与内部数据之间 的比对分析

8、，筛选出符合预设条件的审计疑点，这是传统审计难以想 象和实现的。2. 3数据式审计大幅提高审计人员对重要审计事项的命中率传统审计是建立在内控制度测试基础上的抽样审计，是以局部推断整体的一种审计方法，因此传统审计受样本数量及可承受审计风险 等因素影响，审计人员的审计视野难免受到一定程度的局限，影响审计关注的广度和重要审计事项的命中率。数据式审计在技术上拥有宏观“掌控”的天然属性，可以运用分析模型或算法较为轻松地把握审计对彖的整体状况，可以帮助审计人员从宏观的角度做出相应的分析和判断，确定审计重点、制定针对性的审计策略。这种技术手段上的特性，决定了数据式审计可以较好地帮助审计 人员正确确定审计重点

9、，提高重要审计事项的命屮率。3医院数据式审计的业务流程和重点内容审计业务流程是规范审计行为，确保实现审计目标的重耍保证。 只有设计并遵循合理、科学的审计业务流程，审计人员才能收集到具 有充分证明力的审计证据，并对审计事项作出正确的评价。传统审计模式下，国家审计的一般审计业务流程包括：审计项目 计划、审计准备、审计实施、审计终结四个阶段。其屮，审计项目计 划是审计机关工作年度开始之前，对计划期内的审计项耳和专项审计 调查做出的统一安排。而审计准备、审计实施和审计终结则是审计人 员及审计组在接到具体审计任务后必须执行的业务规范。数据式审计作为一种全新的审计模式，在审计对象、技术手段、 审计方式等方

10、面与传统审计有显著的区别，需要有一个量身定做的数 据式审计业务流程，来正确规范和引导数据式审计工作。下面是医院数据式审计模式下，审计业务流程和主要工作内容。3.1医院数据式审计的准备阶段审前调查是收集被审计单位基本资料、评估审计作业环境的一个重要环节，是顺利进入审计实施阶段的一项基础性工作。数据式审计 模式下，审前调查应该了解医院信息（财务）系统的硬软件配置情况、 信息系统开发情况、系统功能、业务与财务系统的关联性、系统权限 管理等，并釆集相关数据和系统初步测评。3. 1.1信息和财务系统调查3.1. 1.1操作系统和应用软件。了解医院计算机操作系统及应用 软件的名称、版本、开发商等，索取用户

11、手册。3. 1.1.2数据库系统。了解医院数据库系统的名称、版本，重点t解系统数据导入/导出管理功能，索取数据字典、技术文档。3. 1.1.3财务管理软件。了解医院财务管理软件的名称、版本、 开发商，了解软件的主要功能及数据备份/导出方式及数据格式，索取 用户手册。3.1.1. 4业务流程和权限设置。可以采用问询、观察、模拟操作 等方法了解医院各部门的业务流程及权限管理的实际效果，可以使用文 字、图形等方式进行记录。3. 1. 2信息系统初步测评审计准备阶段应该对医院的信息系统进行初步测试，对其系统的 安全性、可靠性作出初步评价，以便对系统产生数据的准确性、完整 性有个基本的把握，为下一步制定

12、审计方案、确定审计重点提供依据。3. 1. 3数据采集、验证、清洗和转换3.1.3.1数据采集、验证。医院业务数据一般较为庞大，数据采 集时应根据审计范围和内容有明确的选择性和目的性，盲目采集不但会 增加数据采集时间，也会降低后续分析效率，同时也要充分考虑审计 可能的需求，避免被动。数据采集后应及时用总记录数、总金额等方法进行验证，确保采 集的数据准确、完整地进入下个审计流程。3. 1. 3. 2数据清洗和转换。采集到的源数据中可能存在若干不符 合审计要求的数据，比如值缺失、数值为空等，必须利用sql等工具 进行数据清洗，并及时对清洗后的数据进行再次验证。对数据类型、格式不一致等需耍转换的数据

13、，可以用sql等工具 进行数据转换，达到符合审计分析的要求，并及时对转换后的数据进 行再次验证。3. 1. 4数据的初步分析数据转换完成后，审计组应对数据进行初步分析，重点了解数 据结构及审计关注的关键表、字段等空间分布，并生成基础性中间表, 为审计方案的制订和审计重点、审计分工的确定提供依据。3. 1. 5数据式审计的方案编制目前，尚未出台数据式审计模式下审计方案的编制规范，但从数 据式审计本身的特点出发，审计方案除应具备传统审计方案的基本耍 素外，还可以包括：数据的保密责任、数据切割方案、查询分析语句 复核制度等。3. 2医院数据式审计的实施阶段3. 2. 1信息系统测评进入审计实施阶段后

14、，审计组应对医院信息系统进行更为全面的 测试。与传统的内控制度测试不同，信息系统测试分为一般控制测试 和应用控制测试。3.2.1. 1 一般控制测试。一般控制测试是对信息系统的基础性测 试，它主耍包括组织控制测试、安全控制测试、软硬件控制测试等。医院数据式审计实务中，我们在一般控制测试中重点对药品调价 生效机制进行了测试，审计人员采用观察法发现了信息系统不能防范 超权限调价行为，揭示了一般控制体系中的组织控制上的系统缺陷。3.2. 1.2应用控制测试。应用控制测试主要是对系统输入、输岀 及处理正确性和可靠性的测试。在应用控制测试屮，重点对系统能否 智能甄别公费药方中的自费药品进行了测试，审计人

15、员采用模拟法又 发现了系统在这方面的问题。3. 2. 2数据分析及外部数据利用医院数据式审计应该根据审计方案确定的范围、内容和目标分步 实施，包括生成基础性中间、分析性中间表，进行财务数据与业务数 据的分析复核。此外，还应该结合审计查证的进度和深度，有针对性地采集医保、 低保及物价等相关部门的外部数据，开展对医保、药品价格等政策执 行情况的审计。3. 2. 3审计签证数据式审计的查证结果与传统审计的查证结果一般总与财务资 料存在一一对应关系不同，它可能出现查证结果无法与财务资料直观 复核的现象，需要采用有别于传统审计签证的方式。譬如，在药品价格违规审计中，审计组通过sql语句筛选出上万 条违规

16、药品出售记录。如果用传统的审计签证办法会带来非常多的困 难，一是审计签证单的附件清单非常多，二是财务部门难以核对。审计组采用了现场查询演示、联合签证的办法，先是召集医院信 息、财务及药品管理部门负责人，由信息部门负责人确认审计人员编 写的sql查询语句的正确性及筛选结杲的准确性，再市药品管理部门 负责人核对电子清单，最后在财务部门负责人见证的情况下，三方在 审计签证单上签证确认。3. 3医院数据式审计终结阶段医院数据式审计实施结束后，应对经验和方法进行梳理总结，数 据整理后应上传服务器归档。3. 3. 1审计事项和方法梳理、总结当前数据式审计尚处探索阶段，技术运用及经验总结还不成熟， 因此在数

17、据式审计实施结束后对已经实施过的审计事项和方法进行 梳理和总结十分必要。审计组应就每一个审计事项编写审计思路、分析模型及相应的语 句或算法，供其他审计人员借鉴利用，也为审计复核部门提供复核参 考。3. 3. 2数据规划和方法固化医院信息系统大都由医院自行委托软件公司开发，系统开发软 件、数据库支撑软件及数据结构等可能各不相同，在一个医院开展数 据式审计后所取得的成功经验和做法很难直接移植到其它项目上。在审计署尚未制订统一的医院数据规化前，各地审计机关可以先 行尝试制定本地区的医院数据规化，在此基础上固化相应的数据式审 计事项和方法，使数据式审计方法可以直接移植和利用。3. 3. 3审计数据打包

18、上传审计项目完成后，审计组应将包括中间表、分析模型、查询语句 等在内的重要审计资料及时上传归档。4医院数据式审计模式下的审计思路和方法4. 1数据式审计模式下的审计思路审计思路是指引审计人员开展审计活动的行为指南，数据式审计 思路就是信息化环境下，指引审计人员合理组织、运用数据，正确把 握审计方向和重点的行为准则。因此，研究和正确运用数据式审计思路对提升审计工作质量和深 度，提高审计工作效率具有非常重要的意义。在审计实践活动中，指引审计人员开展审计工作的审计思路不能 是僵化的、固定不变的，审计人员应该根据作业环境和审计对象的具 体特点及吋调整审计思路，以便取得最佳的审计成效。4. 1. 1以业

19、务流程为导向的数据式审计思路以业务流程为导向的数据式审计思路是沿着被审计单位的业务 流程来制定审计方法的一种工作策略，具有“全景”式的宏观视野， 需要大量“调用”业务数据参与审计分析，非常适合信息化环境下的 审计工作，是较为常用的数据式审计思路。在医院数据式审计实务屮，我们将药品材料采购作为流程的起 点，将收费结账作为业务流程的终点。沿着这条业务流程，审计组首 先在数据库中确定采购、验收、入库、定价、调价、报损、领用、医 嘱、结账等关键数据表的空间位置，并研究和分析各数据表之间的相 关性，生成数据式审计所需的屮间表，结合审计目标和审前调查获取 的其它信息确定审计方向和重点，使审计工作具有非常强

20、的针对性和 准确性。4. 1. 2以部门的既有职责为导向的数据式审计思路以部门职责为导向的数据式审计思路是在全面调查被审计单位“事权”的基础上制定审计方法的一种工作策略，比较适用于信息系 统测评安全性、可靠性较低的被审计单位，它对“伪装”数据具有较 好的识别能力，在传统审计手段的配合下能够发现严重的违规违纪问 题。以部门职责为导向的数据式审计思路还常被用于被审计单位业 务主流程之外的业务审计，譬如，医院医政部门管理的欠费病人审计, 能起到立竿见影的效果。4. 1. 3以法律法规符合性为导向的数据式审计思路以法律法规符合性为导向的数据式审计思路是以被审计单位政 策执行情况为着力点来制定审计方法的

21、一种工作策略，比较适用于政 策性强的行业和部门，也可以用于被审计单位业务中有较强政策要求 的某项业务，譬如，医院数据式审计中的药价审计、医保政策执行审 计等。在数据式审计实务中，三种审计思路并非具有唯一性，可以根据 审计作业环境、审计对象及审计目标不同而适当选择，甚至可以在单 一审计事项屮综合运用。4. 2医院数据式审计方法应用数据分析是数据式审计的核心方法，通过建立审计分析模型对 数据进行核对、检查、复算、判断等操作，从而发现审计线索。在审计实务屮，审计人员需要根据不同的审计对象和不同的审计 目标来创建适用的审计分析模型。4. 2. 1根据业务逻辑关系创建审计分析模型一般情况下，被审计单位的

22、经济规律及管理模式在一定时期内具 有相对的固定性，反映在业务数据表中，其数据表之间的逻辑关系相 对稳定。审计人员可以根据这些业务数据间的逻辑关系创建审计分析 模型，通过对这些数据表的深度挖掘，发现和揭示违规违纪问题。譬如，在医院数据式审计中，审计人员通过医院药库与收费部门 之间存在的药品数量、单价、金额之间的逻辑关系，建立审计分析模 型，成功地发现了医院存在的自费药品串换成公费药品的违规问题。4. 2. 2根据法律法规的规定创建审计分析模型在政策性比较强的单位或部门审计时，审计人员可以根据法律法 规的规定创建审计分析模块，将法律法规的相关规定转换为筛选、分 组、统计的条件，展开政策符合性审计。

23、譬如，在医院数据式审计中，审计人员根据药品价格政策创建药价分析模块，发现了大量违反药价政策的违规问题。4. 2. 3根据数据的勾稽关系创建审计分析模型对具备严密勾稽关系的数据表还可以根据勾稽关系创建审计分析模型，对审计事项进行复核等。譬如，对资产负债表、统计表的复核等。4. 2. 4根据审计人员的职业判断创建审计分析模型在数据式审计实践中，往往存在业务数据不充分、数据被“伪装”或政策界限不明确等情况，难以用上面3种方式创建审计分析模型。经验丰富的审计人员可以根据职业判断，有针对性创建审计分析模型，可以有效地解决数据式审计实务的问题。譬如，在医院中药材定价审计中，由于国家中药材定价政策比较 模糊

24、，难以用以上3种方法创建审计分析模型。审计人员根据市场调 查并参考一般商品毛利率，创建了中药材定价分析模型，筛选出一批 定价偏高，何结论能被医院接受的违规药品。5展望数据式审计是一种全新的审计模式，是以信息系统内部控制测评 为基础，通过对电子数据的采集、清洗、转换、验证和分析利用，来 实现审计目标的审计方式。它将审计对象从传统审计的财务资料扩展为信息系统、业务数 据、财务数据及外部数据，使审计人员能更自由地运用被审计单位数 据库中的“底层”数据，极大地提升了审计质量和深度。虽然，数据式审计理论研究和方法创新当前仍处于起步阶段，方 法体系和业务框架还不清晰、技术运用及经验总结也不够成熟，但这 几年各地的数据式审计实践，正丰富着它的内涵，推动着这项全新审 计模式的发展壮大。同时我们也看到，数据式审计模式在发展道路上还存在一些障 碍