信息系统内部控制审计初探

　　随着社会信息化进程的迅速推进，信息系统成为不少被审单位内部管理与控制的关键工具。因此，信息系统的可靠性、安全性已经直接影响着审计工作效率和质量。在此背景下，《审计署2006至2010年审计工作发展规划》提出“逐步开展对关系国计民生的重大行业、部门的联网审计和信息系统审计，全面提高计算机应用水平”。日前，令狐安副审计长在南京特派办调研时指出：系统审计应成为今后审计工作的一个重点。

　　信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。从该定义可以看出，其审计内容及方法是通过对系统内部控制的审计，来判断和评价系统的安全性、完整性、效果和效率等方面。通常，信息系统内部控制可分为一般控制和应用控制。下面结合我们在失业保险基金、养老保险基金、公路养路费等多个审计项目中尝试信息系统内部控制审计的实践，就相关审计内容与方法谈一下肤浅的认识。

　　一、信息系统的一般控制及审计方法

　　信息系统的一般控制是指为合理保证信息系统安全、可靠的控制措施。包括组织控制、操作控制、系统开发和维护控制、硬件和系统软件控制、灾难恢复控制。目前，被审计对象一般是在日常运行的信息系统，因而，我们重点是对信息系统的组织控制、操作控制和灾难恢复控制进行审计，判断信息系统的安全性、可靠性。

　　1.组织控制。组织控制主要是通过不相容职责的分离来实现。审计内容包括：系统管理人员及操作人员是否有明确的管理制度及明确的职责权限、数据库管理人员是否不审批和处理经济业务、系统管理人员和操作人员是否不能接触有关应用程序文件、业务处理中不相容职能是否分离等。审计可以采用查阅被审单位相关内控制度和检查信息系统中操作用户权限表等方法。如在养路费审计项目中，使用该方法发现信息系统中部分用户的不相容的操作权限未予分离，征费员既有收费等征收管理的权限，又有车辆类型管理、费率设置、修改缴费标准等权限。

　　2.操作控制。操作控制是用来控制信息系统的操作，以保证信息系统仅用于经授权的用途和只有经授权的人员才能操作信息系统。审计内容包括：系统的操作日志设置及管理情况、操作人员是否经过授权、在人员岗位变更时，操作权限是否妥善地进行、密码保护措施等。审计可以采用检查操作用户权限与被审单位内控制度、现场观察实际操作用户和分析系统的操作日志等方法。如在养路费项目中，使用该方法发现存在操作人员使用其他用户进行操作信息系统的情况，操作控制不严，有3名协管员于2005年10月至2006年6月期间，擅自使用领导的用户名及密码先后8次私自减免5辆汽车养路费滞纳金。

　　3.灾难恢复控制。灾难恢复控制是在系统遭受无法抗拒的、突如其来的灾难时，为了将灾害的损失降低最小的程度所采取的措施。审计内容与方法主要是检查系统备份制度及执行情况、灾难发生后的应急恢复安排等。

　　二、信息系统的应用控制及审计方法

　　信息系统的应用控制是设计用来合理地保证系统在特定的应用方面能够正确地完成数据的记录、处理和报告功能，包括输入控制、处理控制和输出控制。通过对系统的应用控制功能审计，检查应用系统本身是否存在漏洞和功能缺陷，评价信息系统的可靠性、效果和效率等方面。

　　1.输入控制。输入控制确保输入数据的合法、准确和完整，包括：数据正确地存储、业务数据没有丢失、增加、重复和改变、错误的业务数据能够被拒绝、改正并及时地重新提交处理。审计可以采用以下方法检查系统输入控制。

　　（1）面谈法、观察法。审计人员采用与操作人员座谈、现场观察系统输入控制，可以初步了解系统输入控制情况。

　　（2）测试数据法。审计人员设计一些虚拟数据，提交系统进行处理，以测试系统输入控制是否存在。如在社保审计中，审计人员通过测试数据法，发现存在参保人员重复开户问题，系统输入控制不严，进而发现重复征收失业保险费、养老保险费等问题。

　　（3）数据验证法。主要是通过检查数据之间逻辑关系验证输入数据的正确性和保存数据的完整性，包括业务数据与财务数据对比验证和业务数据间主表与明细表核对。如在养路费审计中通过数据库主表与明细表数据的核对和检查，审计发现系统对部分业务数据保存不够完整和正确：部分养路费滞纳金减免记录在减免明细表中记录不完整、部分养路费缴费记录存在缴费总表与缴费明细表记录不符。又如在养老保险基金审计中通过对养老保险系统保存的地税征收的养老保险费数据与地税部门实际征收的数据比较核对，发现系统保存的地税征收的养老保险费不够正确和完整，原因在于地税部门没有提供标准格式的征收养老保险费情况的电子数据，社保部门通过手工将地税征收的养老保险费数据输入系统。

　　2.处理控制。处理控制确保系统按规定对数据进行处理，包括：能够对经济业务进行正常处理；业务数据在处理过程中没有丢失、增加、重复或不恰当的改变；处理中错误能够发现并得到及时更正。审计可以采用以下方法检查系统应用控制。

　　（1）抽样数据法。审计人员从被审单位抽样若干经济业务数据，检查信息系统处理结果是否正确，以确定系统控制是否有效的执行。如在被征地人员养老保障审计中，审计人员通过对不同类型参保人员个人账户计息情况抽样审核，发现部分个人账户计息不正确。

　　（2）平衡模拟法。审计人员模拟被审单位对实际数据的处理要求设计一个程序，将被审计单位的真实数据用审计人员的程序重新处理一遍，检查信息系统控制功能是否有效。如在养路费审计中，通过该方法发现：一是信息系统对征费吨位10吨以上的运营货车没有根据交通运输业征收营业税有关“征费吨位10吨以上部分减半征收”的规定分段计算计算营业税，而是按全部减半的方式计算营业税，导致少征营业税。二是信息系统对原由自行申报纳税的单位营运车辆过户转让给个体运营户后，没有重新调整新的征费标准，而是继续使用了原来的征费标准，导致漏征营业税。

　　3.输出控制。输出控制确保系统处理结果的完整性和正确性、输出结果提交给有权使用的人员。可采用面谈法、观察法和系统文档审阅法、平衡模拟法等审计方法检查系统输出控制。如在失业保险金审计中，通过与系统管理员、操作人员座谈及系统文档审阅等，发现系统控制功能存在欠缺：系统没有根据缴费记录自动计算失业金享受类型及期限的功能，实际操作中由手工计算失业金享受类型及期限后输入系统，然后审计人员按照法律法规的要求设计程序对业务数据进行复算，发现存在超期限、超标准发放失业保险金问题；又如在养路费审计中，发现信息系统部分查询功能不够全面：养路费滞纳金减免查询，只能根据时间段进行查询，不能根据减免审批人员查询滞纳金减免情况，不利于被审计单位内部监督。