基层审计机关信息系统审计初探

基层审计机关信息系统审计初探

一、信息系统审计的涵义无论哪种定义我们都可以看出，信息系统审计是传统审计的深化，其目的在于有效地监控信息系统的风险。信息系统审计更加强调系统的观点，审计对象包括整个信息系统环境以及与此有关的业务在内的以网络及计算机为核心的信息系统。而审计过程比传统审计更加简单，掩盖了信息系统从规划、开发、运行、维护到报废的整个生命周期的过程。

二、开展信息系统审计的必要性信息系统的牢靠性、安全性、有效性和效率成为制约信息系统质量的重要因素，我们现在普遍开展的计算机帮助审计，是在基于认可了信息系统安全、牢靠，数据真实的状况下，实行有关数据后进展数据分析，审计人员并未对信息系统进展审计，仅对它产生的财务数据、业务数据进展审查。那么信息系统是否安全、牢靠呢？其运行结果是否真实有效呢？在答复这些问题之前，审计结论的牢靠性就要受到质疑，审计风险也就在所难免。信息系统审计作为一种可以确保信息系统的安全、牢靠及高效运行的新的审计模式受到世界各国的普遍重视，随着我国以“信息化带开工业化”战略的全面实施，国民经济信息化被提到了前所未有的高度，加快进展我国的信息系统审计事业具有重要意义。

首先，信息系统审计是审计机关维护国家信息安全的重要手段。新任审计长刘家义屡次指出，作为经济社会运行的“免疫系统”，维护国家安全是审计工作的第一要务。信息安全是国家经济安全的一个重要方面。当前信息化条件下，政府机关通过信息系统和计算机网络运行了大量的国家资源，开展信息系统审计，确保这些系统的安全稳定，维护国家信息安全。

其次，信息系统审计是新形势下防范审计风险的必定要求。由于信息系统的快速进展和单位业务量的不断扩大，很多我们审计过程中需要的取证材料都是通过计算机系统直接生成的，而如何确保这些系统直接生成的材料是百分之百正确的，如何确保审计机关不是“假账真查”，如何确保系统自身的产品（信息资源）是牢靠的，不能仅仅依靠被审计单位的承诺来解决，而是要通过开展信息系统审计，来降低和防范审计风险，提高审计质量。

第三，信息系统审计是查处打击新型犯罪手段的重要途径。由于计算机和通信技术的不断普及，我们对信息系统的依靠越来越严峻。在一些特别的行业，如银行、保险、电信行业，假如离开信息系统，正常工作将无法开展。但同时，利用信息系统漏洞而进展的计算机犯罪行为屡有发生，这更加引起我们对信息系统内部掌握、合理授权等安全性、牢靠性的关注。开展信息系统审计，能够帮忙被审计单位完善信息系统的运行，同时，对利用信息系统进展计算机犯罪也具有强大的震慑作用。

三、当前制约基层审计机关开展信息系统审计的因素

为适应经济社会的不断进展，目前基层多数单位在财务核算等内部治理上均开头使用计算机信息系统。如何克制审计资源的缺乏，积极有效地开展基层信息系统审计工作，已经成为基层审计机关面临的一个新问题。笔者认为，制约基层审计机关开展计算机信息系统审计主要有五大因素：

一是对信息系统审计的观念转变不到位。信息系统审计不仅是审计手段和审计对象的转变，更是对传统审计在思维方式上的转变。一方面，对信息系统审计的熟悉和定位不到位，对信息系统的理解还停留在计算机帮助审计或帮助审计软件开发及应用的层次上，尚未全面树立制度根底审计和风险审计的理念。信息系统审计不是计算机帮助审计，其对象就是信息系统本身。计算机帮助审计是一种审计手段，而信息系统审计就是一种审计模式，通过对信息系统整个生命周期过程的审计，来对系统的安全性、有效性和牢靠性做出合理的评价。另一方面，对开展信息系统审计存在“等、靠、看”的思想。由于对信息系统审计这样一个新生事物，理论和实践的熟悉程度还不是特别成熟，常规性审计工作主要包含财政财务收支、经济责任、固定资产投资审计等，审计观念仍局限在查错纠弊上，审计习惯于“就账审账”，同时审计思路难以连接，会造成不知如何下手，从而引起畏难心情，望而却步，寄盼望上级审计机关先进展合理的实践和探究，形成一套有效的阅历和方法，在这根底上再开展信息系统审计，导致基层审计机关对于信息系统审计的开展仍处于“等、观、望”的状态。

二是审计人才培育尚未形成机制。开展信息系统审计，需要熟识、精通审计专业和计算机专业的高端复合型人才。包含两个方面的人才，一种是精通审计、担当过大型工程主审且熟识计算机应用的高级审计师；另一种是精通计算机（例如注册信息系统审计师CISA）或者娴熟把握数据库有关技术、信息系统掌握以及软件工程等学问，同时又熟识审计原理和审计实务的计算机专业人才。目前基层审计机关的业务骨干大多为财会和审计专业。虽然经过计算机强化培训审计机关会用计算机的人越来越多，但信息系统审计不仅要“会用”还要“精通”；不仅要精通计算机学问，还要会将审计思路转变成计算机审计方法，现有审计人员素养很难满意。针对这种状况，基层审计机关有的是直接引进计算机专业人才想取而代之，但从实际引入的计算机专业人才来看，如何将审计思路提炼成计算机语言并融合于信息系统审计中，照旧需要审计机关后期的不断培训。

三是计算机软硬件设施存在缺乏。一方面，在硬件设备购置上，目前基层审计机关经费重点保障计算机帮助审计、信息化办公治理和联网审计的硬件投入；而信息系统审计要承载运行的大量数据，往往依靠一般笔记本或配置较高的台式机是难以奏效的，引入小型效劳器对经费紧急的基层审计机关来说难免捉襟见肘。另一方面，被审计单位信息系统应用参差不齐。从基层被审计单位软件应用状况看：各种软件各行其道，同一个品牌的诸如用友、金蝶等财务软件都有很多个版本，每个版本系统自身不简单，但难在小而多；另有局部垂管单位和业务性强、业务量大的单位，其业务信息系统是由省统一布置，其信息化程度高但又不能实施信息系统审计，基层审计机关往往只能猎取终端数据，测试数据的运行几乎不行能。

四是开展信息系统审计的法律法规依据不充分。当前，审计机关开展信息系统审计所依靠的法律法规主要有《审计法》和《国务院办公厅关于利用计算机信息系统开展审计工作有关问题的通知》（国办发［2023］88号）等。但是，《审计法》第三十一条和三十二条，仅明确审计机关对被审单位运用电子计算机治理财政和财务收支电子数据系统（即会计信息系统）进展审计，而对与被审单位治理和决策等有关其它信息系统的审计，则未予以明确。在现代信息系统审计中，不仅跳出了传统概念上的账册、凭证，甚至跳出了计算机电子数据，开头对计算机系统内部掌握设置、内部评价标准进展探究，但由于缺少法律支撑，被审计单位对开展信息系统安全审计所需的数据字典、程序开发文档等核心文档时，常遭到对方以涉及企业商业隐秘等种种理由而拒绝，而审计机关又没有准确的法律依据强制要求供应，导致信息系统审计开展困难。

五是信息系统审计相关审计准则和操作指南不完善。由于我国开展信息系统审计正处于起步阶段，对审计机关如何开展信息系统审计尚在积极探究中。信息系统审计缺少具备实际指导意义的相关审计准则和操作指南。因此，目前尚没有一个完整的、成熟的具有示范作用的审计案例，而信息系统审计查出问题定性简单、依据难找，也缺少具备实际指导意义的相关信息系统审计准则和操作指南。信息系统审计准则和审计指南的缺失，不利于标准和指导信息系统审计实践，不利于衡量和评价信息系统审计工作质量，也不利于防范和躲避信息系统审计风险。

四、基层审计机关加快开展信息系统审计的对策建议

针对上述问题，笔者认为，基层审计机关在推动信息系统审计工作的时候，只有充分运用现有条件，从“小”处入手，以小搏大，逐步推动，方是良策。

一是选择恰当的审计方法。目前推行信息系统审计主要有四种方式：独立式、全结合式、结合式和倒推式。各基层审计机关要充分了解自身的实际状况，充分学习了解各种系统审计方法，不能盲目推行独立式和全结合式。要以倒推式为起点，结合式为进展，独立式和全结合式为最终目标，有规划、有步骤地逐步推动信息系统审计工作。专项资金类审计工程被审计单位大多采纳自行开发的软件，因而更具备开展信息系统审计的条件。如某地实施的《地方税务征管信息系统审计工程》，审计人员从一个抵扣项的“小”字段动身，见到其对减免税的“大”影响。实施过程中，不贪大求洋，采纳最简洁的倒推式审计方法，最终确认应退未退减免税近千万元的问题。而《J市新型农村合作医疗计算机治理系统审计工程》，审计人员则从身份证号这样一个“小”事项动身，倒推出该系统参保人员信息输入未予掌握，导致一人多保的问题。以“小”事项见“大”系统，提醒出了资金治理的“大”问题和“大”漏洞。

二是逐步积存审计资源。从这两个胜利的信息系统审计案例来看，工程的实施一旦取得阶段性的成果，审计人员对于被审计的信息系统就会更加熟识，自信念就会更强，也逐步累积了阅历，为今后的审计奠定了根底。“小”的审计成果促进了信息系统审计工作“大”的进展。在硬件设施的配备上，一方面要在经费供应上保障信息系统审计，逐步改善硬件设施，以点带面，推动信息系统审计工作；另一方面要充分发挥基层审计人员的主观能动性，对数据量过大又不能直接采集或运行的，可通过数据分割的方式来解决；对内存不够、计算运行时间过长等问题，可采纳换人不停机的方式来解决。

三是加强审计沟通沟通。首先加大审计系统内部沟通。可以结合审计特点举办信息系统审计相关学问的培训班和审计案例观摩讲座，以胜利的案例来挑开信息系统审计神奇的面纱。准时总结胜利的阅历，排解审计人员的畏难心情。进一步标准审计操作、完善审计内容、统一审计处理，逐步形成操作性较强的指导意见和应用标准。其次加强与被审计单位的沟通。要让被审计单位充分感受电子化治理的便利，以推广会计电算化为根底，推广信息系统治理。要让被审计单位逐步了解并承受信息系统审计工作，从而转变观念，制造更加宽松的审计环境。

四是充分利用现有人才。首先连续加强对审计人员计算机学问的系统培训。目前各基层审计机关根本都已经具备肯定数量的审计业务与计算机水平均比拟突出的业务骨干，要连续进展系统培训，逐步培育出自己的“信息系统审计师”。其次要进一步加强审计机关之间需要业务学习与沟通，了解相互存在的困难，沟通彼此解决的方法，特殊是胜利案例的阅历共享。通过沟通和资源共享，提高基层审计系统的整体水平。

五是形成良好审计气氛。信息系统审计的开展并不能仅仅依靠一两个计算机业务骨干，而是要全员发动，全员参加，才能把信息系统审计这篇文章做好。首先，领导重视是关键。对于县级审计机关而言，只有领导重视了，信息系统审计才有发芽的土壤，才能有更多的审计人员参加进来，才能有更好的硬件软件保障。其次，转变思想观念。当前，要