计算机环境下审计风险的特征与对策研究
来源： 朱文
2004-09-01
普通
会计系统电脑化的趋势，促使传统审计方法和技术作出相应的变革，但由于目前注册会计师对计算机会计系统的认识有限，在具体审计过程中往往仍然采用传统的审计方法实施审计，这无疑给审计工作带来了更多的风险。本文讨论计算机环境下审计风险的特征，并提出控制风险的相应对策。一、计算机环境下审计风险的特征
根据1983年美国注册会计师协会发布的第47号审计标准说明（SAS 47），审计风险模型为：审计风险AR=固有风险IR×控制风险CR×检查风险DR.
审计风险可能因客户的会计系统使用计算机和内部控制电脑化而呈现出新的特征，审计师就应重新规划审计程序，采取相应的对策和辅助审计软件进行审计。
1、固有风险的特征。固有风险是指假定不存在相关内部控制时，某一帐户或交易类别单独或连同其他帐户、交易类别产生错报或漏报的可能性。具体表现为：
（1）电子化会计数据存在被滥用、篡改和丢失的可能性。手工系统中，纸质介质上的信息易于辨认、追溯。而在计算机系统中，由于存贮介质的改变，一旦用户非法透过计算机系统的“防火墙”，极易破坏和修改电子数据，且不留蛛丝马迹；计算机病毒、电源故障、操作失误、程序处理错误和网络传输故障也会造成实际数据与电子帐面数据不相符，增加了固有审计风险的可能性。
（2）电子数据存在易于减少或消失审计线索的可能性。手工系统中，会计处理的每一步都有文字记录和经手人签名，审计线索清晰；但在计算机系统中，从原始数据的录入到报表的自动生成，几乎勿需人工干预，传统的审计线索不复存在，为审计师追查审计线索带来了极大困难。
（3）原始数据的录入存在错漏的可能性。计算机系统下，大量的记帐凭证仍靠人工录入，表面上机制帐、证、表的相互平衡，可能掩盖了人工录入的错漏。
2、控制风险的特征。控制风险是指某一帐户或交易类别或连同其他帐户、交易类别产生错报或漏报，而未能被内部控制防止、发现或纠正的可能性。具体表现为：
（1）有意或无意使设置权限密码实现职责分工的约束机制有失效的可能性。手工系统下，通过建立岗位责任中心达到内部控制的目的。在计算机系统下，一是通过划分操作员的责任范围，设置权限和密码实现人员分工；二是通过软件设计划分若干子系统或功能模块设置不同的责任中心。由于权限设置的重叠或跨责任中心越权设置，使这一控制措施有可能形同虚设。
（2）网络传输和数据存贮故障或软件的不完善，有使会计数据出现异常错误的可能性。手工系统下，这种可能性几乎不存在；而在计算机系统下，这种可能性难以通过有效的内控制度消除，必须靠先进的硬、软件平台以及会计软件本身的自我保护，减少出现异常错误的机率。就多数会计软件看，对数据录入的一致性和正确性控制，会计数据处理的安全性和连续性控制，软件设计还是比较慎密的。但对集成化程度较高的企业级管理软件，数据的共享性和一致性还不尽人意。另外某些网络平台在实际应用中问题还是不少。
（3）会计软件对现金和银行存款的收付业务缺乏实时有效的控制手段。对于企业内部发生的现金和银行存款收付业务，多数软件是通过人工填制记帐凭证，从帐务系统入口录入到电脑，部分软件虽通过出纳系统实时地录入，但可能与凭证数据不同步；对于银行存款的收付业务，不仅数据难以实时同步，而且存在双方数据不一致的可能性。
3、检查风险的特征。检查风险是指某一帐户或交易类别或连同其他帐户、交易类别产生错报或漏报，而未能被实质性测试发现的可能性。具体表现为：
（1）会计软件的更新换代，增加了历史文件难以提取的可能性。对帐户或交易的重大实质性测试往往离不开企业的历史数据。由于软件版本的更新、平台的迁移，难以从往年帐套里提取这些历史数据，迫使审计师不得不从浩如烟海的文档中收集整理历史数据。这不仅降低了审计效率，而且带来了更多的检查风险。
（2）内部控制主要依赖软件本身，增加了难以全面检查测试的可能性。手工系统下，对内部控制的测试看得见、摸得着；而在计算机系统下，内部控制融汇于软件之中，肉眼无法觉察，这就要求审计师有必要设计一些正常有效的业务数据和一些例外业务数据（不完整的、无效的、不合理的、不合逻辑的），来检查测试软件的控制能力。由于多数审计师不是电脑专家，要在有限的审计时间里设计面面俱到的测试数据是不现实的。为此，笔者认为对软件本身的审计检查可纳入软件开发或评审之中，审计师在审计实务中，重点是测试数据的完整性以及操作权限的分配和应用情况。
根据以上讨论，计算机系统下审计风险有其特有的表现形式，注册会计师面临着新的风险。然而审计环境的变化并不能改变注册会计师的审计责任，注册会计师仍应保持应有的执业谨慎，并采取适当的审计程序使风险控制在可接受的水平上。
二、降低审计风险的对策
1、降低固有风险的对策。可以通过加强内外部安全机制、完善软件功能、改进数据录入技术，降低审计固有风险。
（1）加强内外部安全控制机制，降低会计数据被滥用、篡改和丢失的可能性。首先是配备可靠的硬件设备，如增加防火墙设备，增加数据加密及路由加密设备，增加备份硬盘等；其次，获取后续支持软件，如会计软件版本更新的支持、加密算法更新的支持等；再次，建立安全的运行环境，为会计系统建立一个相对开放且安全级别较高的专用局域网，合理设置多层加密关口和防火墙；最后是完善管理制度。
（2）完善软件的设计，降低减少或消失审计线索的可能性。一是完善操作日记的设计，只有打印存档后才允许删除；二是设置强制备份，如跨期操作必须做备份；三是取消反过帐、反结帐功能，设计报表与帐套数据的关联，并记录报表已打印的次数；四是非经授权不可擅自修改报表的取数公式。
（3）改进数据录入技术，降低数据录入错误的可能性。一是设计磁性单据，尽量采取扫描录入；二是对重要的原始凭证，利用多媒体技术扫描压缩存盘，便于事后调阅；
三是尽量使用自动转帐功能，保持数据的正确完整。
2、降低控制风险的对策。一般来说，控制措施包括制度控制和程序控制，这里主要就权限密码、降低数据异常错误和联网传输问题，谈一些具体措施。
（1）分配设置责任中心和操作权限密码，降低约束机制失效可能性。首先是系统管理员为不同岗位的会计人员设置不同的操作权限和口令；其次是经授权后的各用户应定期修改自己的密码；最后是严格控制跨责任中心设置操作权限。
（2）提高网络通信效率和效果，降低软件出现异常错误的可能性。一是选取性能优良的网络操作平台和网络传输配套设备；二是选择基于优良数据库开发平台的会计软件；三是提高软件使用者的计算机应用水平。
（3）建立企业与银行之间的网络连接，降低数据不一致的可能性。对企业内部的收付业务借助磁性单据扫描录入，依靠软件的智能化同步自动生成记帐凭证；对与银行间的业务，建立广域网连接，实时传送，保证数据同步和一致。
3、降低检查风险的对策。从被审计单位的角度看，应主动与审计师沟通，统一历史文件的存贮格式；从审计者的角度看，面对新的审计环境，应采取更有效的审计程序和审计方法。
（1）统一文件存贮的格式，降低历史文件难以打开阅读的可能性。一是对不同时期版本的会计软件，采取统一的文件格式存贮，以便于审计师使用辅助审计软件打开审查；二是制定会计软件行业标准，统一数据格式和外部接口。
（2）设计一套有针对性的审计检查程序，使检查风险降到最低。一是检查被审计单位的权限设置，审查操作日志，发现疑点；二是检查被审单位的报表取数公式，重新生成一次并与被审计单位提供的比较；三是查阅销售的原始合同，或利用辅助审计软件整理汇总，并与电子帐面数据核对；四是检查帐实是否相符，这里既指传统意义上的帐实相符，也指计算机系统下各子系统之间的数据相符；五是检查凭证记录的真实性、资产及负债的合理性、期末交易的归属期、内部管理控制制度的完备性和会计政策的一贯性。
根据1983年美国注册会计师协会发布的第47号审计标准说明（SAS 47），审计风险模型为：审计风险AR=固有风险IR×控制风险CR×检查风险DR.
审计风险可能因客户的会计系统使用计算机和内部控制电脑化而呈现出新的特征，审计师就应重新规划审计程序，采取相应的对策和辅助审计软件进行审计。
1、固有风险的特征。固有风险是指假定不存在相关内部控制时，某一帐户或交易类别单独或连同其他帐户、交易类别产生错报或漏报的可能性。具体表现为：
（1）电子化会计数据存在被滥用、篡改和丢失的可能性。手工系统中，纸质介质上的信息易于辨认、追溯。而在计算机系统中，由于存贮介质的改变，一旦用户非法透过计算机系统的“防火墙”，极易破坏和修改电子数据，且不留蛛丝马迹；计算机病毒、电源故障、操作失误、程序处理错误和网络传输故障也会造成实际数据与电子帐面数据不相符，增加了固有审计风险的可能性。
（2）电子数据存在易于减少或消失审计线索的可能性。手工系统中，会计处理的每一步都有文字记录和经手人签名，审计线索清晰；但在计算机系统中，从原始数据的录入到报表的自动生成，几乎勿需人工干预，传统的审计线索不复存在，为审计师追查审计线索带来了极大困难。
（3）原始数据的录入存在错漏的可能性。计算机系统下，大量的记帐凭证仍靠人工录入，表面上机制帐、证、表的相互平衡，可能掩盖了人工录入的错漏。
2、控制风险的特征。控制风险是指某一帐户或交易类别或连同其他帐户、交易类别产生错报或漏报，而未能被内部控制防止、发现或纠正的可能性。具体表现为：
（1）有意或无意使设置权限密码实现职责分工的约束机制有失效的可能性。手工系统下，通过建立岗位责任中心达到内部控制的目的。在计算机系统下，一是通过划分操作员的责任范围，设置权限和密码实现人员分工；二是通过软件设计划分若干子系统或功能模块设置不同的责任中心。由于权限设置的重叠或跨责任中心越权设置，使这一控制措施有可能形同虚设。
（2）网络传输和数据存贮故障或软件的不完善，有使会计数据出现异常错误的可能性。手工系统下，这种可能性几乎不存在；而在计算机系统下，这种可能性难以通过有效的内控制度消除，必须靠先进的硬、软件平台以及会计软件本身的自我保护，减少出现异常错误的机率。就多数会计软件看，对数据录入的一致性和正确性控制，会计数据处理的安全性和连续性控制，软件设计还是比较慎密的。但对集成化程度较高的企业级管理软件，数据的共享性和一致性还不尽人意。另外某些网络平台在实际应用中问题还是不少。
（3）会计软件对现金和银行存款的收付业务缺乏实时有效的控制手段。对于企业内部发生的现金和银行存款收付业务，多数软件是通过人工填制记帐凭证，从帐务系统入口录入到电脑，部分软件虽通过出纳系统实时地录入，但可能与凭证数据不同步；对于银行存款的收付业务，不仅数据难以实时同步，而且存在双方数据不一致的可能性。
3、检查风险的特征。检查风险是指某一帐户或交易类别或连同其他帐户、交易类别产生错报或漏报，而未能被实质性测试发现的可能性。具体表现为：
（1）会计软件的更新换代，增加了历史文件难以提取的可能性。对帐户或交易的重大实质性测试往往离不开企业的历史数据。由于软件版本的更新、平台的迁移，难以从往年帐套里提取这些历史数据，迫使审计师不得不从浩如烟海的文档中收集整理历史数据。这不仅降低了审计效率，而且带来了更多的检查风险。
（2）内部控制主要依赖软件本身，增加了难以全面检查测试的可能性。手工系统下，对内部控制的测试看得见、摸得着；而在计算机系统下，内部控制融汇于软件之中，肉眼无法觉察，这就要求审计师有必要设计一些正常有效的业务数据和一些例外业务数据（不完整的、无效的、不合理的、不合逻辑的），来检查测试软件的控制能力。由于多数审计师不是电脑专家，要在有限的审计时间里设计面面俱到的测试数据是不现实的。为此，笔者认为对软件本身的审计检查可纳入软件开发或评审之中，审计师在审计实务中，重点是测试数据的完整性以及操作权限的分配和应用情况。
根据以上讨论，计算机系统下审计风险有其特有的表现形式，注册会计师面临着新的风险。然而审计环境的变化并不能改变注册会计师的审计责任，注册会计师仍应保持应有的执业谨慎，并采取适当的审计程序使风险控制在可接受的水平上。
二、降低审计风险的对策
1、降低固有风险的对策。可以通过加强内外部安全机制、完善软件功能、改进数据录入技术，降低审计固有风险。
（1）加强内外部安全控制机制，降低会计数据被滥用、篡改和丢失的可能性。首先是配备可靠的硬件设备，如增加防火墙设备，增加数据加密及路由加密设备，增加备份硬盘等；其次，获取后续支持软件，如会计软件版本更新的支持、加密算法更新的支持等；再次，建立安全的运行环境，为会计系统建立一个相对开放且安全级别较高的专用局域网，合理设置多层加密关口和防火墙；最后是完善管理制度。
（2）完善软件的设计，降低减少或消失审计线索的可能性。一是完善操作日记的设计，只有打印存档后才允许删除；二是设置强制备份，如跨期操作必须做备份；三是取消反过帐、反结帐功能，设计报表与帐套数据的关联，并记录报表已打印的次数；四是非经授权不可擅自修改报表的取数公式。
（3）改进数据录入技术，降低数据录入错误的可能性。一是设计磁性单据，尽量采取扫描录入；二是对重要的原始凭证，利用多媒体技术扫描压缩存盘，便于事后调阅；
三是尽量使用自动转帐功能，保持数据的正确完整。
2、降低控制风险的对策。一般来说，控制措施包括制度控制和程序控制，这里主要就权限密码、降低数据异常错误和联网传输问题，谈一些具体措施。
（1）分配设置责任中心和操作权限密码，降低约束机制失效可能性。首先是系统管理员为不同岗位的会计人员设置不同的操作权限和口令；其次是经授权后的各用户应定期修改自己的密码；最后是严格控制跨责任中心设置操作权限。
（2）提高网络通信效率和效果，降低软件出现异常错误的可能性。一是选取性能优良的网络操作平台和网络传输配套设备；二是选择基于优良数据库开发平台的会计软件；三是提高软件使用者的计算机应用水平。
（3）建立企业与银行之间的网络连接，降低数据不一致的可能性。对企业内部的收付业务借助磁性单据扫描录入，依靠软件的智能化同步自动生成记帐凭证；对与银行间的业务，建立广域网连接，实时传送，保证数据同步和一致。
3、降低检查风险的对策。从被审计单位的角度看，应主动与审计师沟通，统一历史文件的存贮格式；从审计者的角度看，面对新的审计环境，应采取更有效的审计程序和审计方法。
（1）统一文件存贮的格式，降低历史文件难以打开阅读的可能性。一是对不同时期版本的会计软件，采取统一的文件格式存贮，以便于审计师使用辅助审计软件打开审查；二是制定会计软件行业标准，统一数据格式和外部接口。
（2）设计一套有针对性的审计检查程序，使检查风险降到最低。一是检查被审计单位的权限设置，审查操作日志，发现疑点；二是检查被审单位的报表取数公式，重新生成一次并与被审计单位提供的比较；三是查阅销售的原始合同，或利用辅助审计软件整理汇总，并与电子帐面数据核对；四是检查帐实是否相符，这里既指传统意义上的帐实相符，也指计算机系统下各子系统之间的数据相符；五是检查凭证记录的真实性、资产及负债的合理性、期末交易的归属期、内部管理控制制度的完备性和会计政策的一贯性。
