关键词：IT审计师 计算机审计 网络审计
一、引言
信息系统审计师，也称IT审计师或IS审计师，是指一批专家级人士，既通晓信息系统的软件、硬件、开发、运营、维护、管理和安全，又熟悉管理的核心要义，能够利用规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行审计、检查、评价和改造。IT审计师是由“国际信息系统审计与控制协会（ISACA）”认证的。ISACA是国际上惟一的信息系统审计师专业组织。会员被称为信息系统审计师，也就是我们通常所说的IT审计师，其主要从事的工作包括：向客户提供与信息系统相关的服务，在财务审计中对被审计单位的信息系统的了解、测试和评价以及计算机辅助审计技术的运用等方面。一般的IT审计师都具备全面的计算机软硬件知识，对网络和系统安全有独特的敏感性，并且对财会和单位内部控制有深刻的理解。
随着计算机技术在管理中的广泛运用，传统的控制、管理、检查和审计技术都受到巨大的挑战，国际公司、专业咨询公司和高级管理顾问都将控制风险，特别是控制计算机环境风险和信息系统运行风险作为管理咨询和服务的重点。几乎所有的大型跨国公司，由于普遍使用大型管理信息系统，都非常重视对信息系统安全性和稳定性的控制。这就常常需要高薪聘请国际信息系统审计师（简称IT审计师）进行内部审计。因此，IT审计师已经成为全球范围最抢手的高级人才之一。
二、IT审计师的出现迎合了计算机审计的发展
计算机审计的发展一般要经过绕过计算机审计，穿过、利用计算机审计，网络审计三个阶段。其中前两个阶段属于计算机桌面审计系统。绕过计算机审计是指将计算机处理系统看作是一个“黑箱”。根据被审对象对计算机数据处理系统输入的原始数据，通过手工操作，将处理结果于计算机处理系统的输出进行对比，检查其是否一致，属于计算机审计的初级阶段。穿过计算机审计是对计算机数据处理系统进行审计，包括系统目的与功能需求是否达到，系统与系统设计是否先进、和实用，程序设计是否正确可靠，内部控制是否健全、可靠，管理制度是否严密、有效，文件资料是否齐全、完整等。利用计算机审计是为实施审计专门开发计算机程序，检验被审单位电子计算机程序的可靠性。网络审计是指综合运用计算机网络及其相关技术手段对网络经济及网络系统进行审查的新型审计，是计算机桌面审计系统发展的高级阶段。
随着目前电子商务等网络经济的发展和完善，网络审计势在必行。网络审计的模式，从审计的客体角度方面，是建立在网络基础上，对被审单位一定时期内全部或部分经济活动，特别是正在发展中的电子商务、电子、网络财务、网络会计等进行审计的计算机系统。它包括两个方面：其一是对被审系统开发过程进行审计；其二是对被审系统运行过程及其结果进行审计。目前计算机审计的发展大多还处在只是对被审系统运行结果进行审计，或进一步对被审系统运行过程进行审计，这样的审计是建立在假定被审系统安全、可靠基础上的。而实际上这种假定是否合理，是应当予以验证的，这种验证也就是要对被审系统的安全性、稳定性、有效性进行审计、检查、评价和提出改造建议。而这也正是IT审计师的主要工作，并且这部分工作也是一直上溯到被审系统开发过程的。因此，IT审计师的出现正好迎合了网络审计模式的需要。IT审计师虽然主要源于信息系统安全而产生，其主要工作也含有较高的计算机技术因素，但就发展来看，IT审计师的出现迎合了计算机审机的发展趋势，昭示着计算机审计不久将随着电子商务、网络财务等的全面展开而逐步发展到网络审计阶段，未来的IT审计师们也将成为网络审计的“主力军”。从这个角度上讲，IT审计师也是计算机审计发展的必然产物。
三、IT审计师在网络审计的重要作用
计算机审计发展到网络审计后，计算机审计的主要将包括网络安全技术与内部控制系统的审计、系统开发审计、程序审计、数据文件审计等四个部分。通过分析可以发现，这四个部分的内容，不同程度地与IT审计师相关联，IT审计师在其中将起重要的作用。
（一）网络安全技术与内部控制系统的审计
从Internet诞生起，信息和网络的安全性就成为关注的一个焦点。在Internet发展的每一个阶段，安全问题也都是基础性的、关键性的因素。对于网络审计，其首先遇到的也是网络的安全性测试问题。与安全性相应的还有网络系统的内部控制的测试问题，网络系统的内部控制包括一般控制和应用控制两个方面。一般控制包括组织控制、软件开发、硬件和系统软件控制、系统安全控制、维护控制和文档控制等方面的审查与测试。应用控制包括输入控制、处理控制、输出控制。IT审计师的主要工作就是利用标准、规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行测试、检查、评价和改造。IT审计师首先关注信息系统的安全性，没有安全就没有一切，IT审计师会采用各种来测试系统的安全性，并对来自内部和外部的安全隐患提出相应对策；IT审计师还要审查信息系统的稳定性，没有长期稳定性，信息系统就无法承担起激烈竞争的压力，IT审计师会提出一系列对策保证客户信息系统的万无一失；IT审计师还要鉴别信息系统的有效性，最安全和最稳定的系统不一定是最有效的系统，而效率不高的系统就会消耗大量的资源，一般情况下，一说到信息系统建设，大家都觉得是工程师或程序员的事，事实上，这是非常错误的观点。一个好的系统，在安全和稳定的前提下，必须最大程度符合企业经营流程的特点，经济、有效地解决问题和提供信息。要做到这一点，信息系统开发和维护过程中，就必须有大量的经营管理人员参与， 设计出最优的信息流转路径。如果不重视信息系统的有效性，其危害同样是巨大的。一方面由于其繁琐和复杂，导致内部业务人员不会用、不想用或使用不当；另一方面使用过程中的差错又会导致稳定性和安全性方面的问题。显然，要对信息系统的安全、稳定和有效进行监控，就不单纯是某类技术人员能够完成的任务，经过专业训练，经验丰富的信息系统审计师将在这一领域发挥重要的作用。信息系统审计师的突出特点就是兼通技术和管理，能够利用规范的审计手段，比较客观和冷静地分析、评价企业现有信息系统的运行，并从专业的角度提出建议。
通过以上分析我们看到，IT审计师的工作中实际上已经包含了网络安全技术与内部控制审计的内容。进一步从IT审计师的服务对象分析，IT审计师主要是为以下几类对象服务：
软件供应商。特别是经济管理类的集成软件供应商，需要信息系统审计师参与产品设计、规划和检测，并对客户现有信息系统进行评价，提出改造设想。全球所有重要的ERP和CRM产品供应商都聘请大量信息系统审计师。
管理咨询机构。20世纪90年代以后，管理咨询的重点已经逐步为提供一揽子解决方案，其中信息系统的配置，就是解决方案成功的基础。国际知名的管理咨询机构中，有50%以上的员工熟悉信息技术，其中20%拥有信息系统审计师资格。
师审计师事务所，是信息系统审计师最早的落脚点，“五大”国际会计公司超过30%的收入来自于风险管理部门。这个部门的最主要工作就是监控客户的信息系统风险和运营风险，同时为客户提供ERP或CRM的安装、维护和培训。会计师审计师事务所中传统财务报表审计也越来越离不开信息系统审计师的贡献。没有他们的工作，评估内部控制风险和固有风险将成为一句空话。人们常常看到，“五大”会计公司里，最年轻的合伙人或经理，往往都是信息系统审计师，因为这是一项年轻人的工作。
跨国公司。作为信息系统最集中的用户，跨国公司急需大量信息系统审计师，一方面参与信息化建设的过程，另一方面时刻保持对分支机构的信息监控。还有一种最新迹象表明，跨国公司内部审计部门也在大量招聘信息系统审计师，以加强内部的监督和牵制。
大型国有企业和上市公司。这些机构往往有雄厚的财力来实现管理的信息化、保证生产经营的稳定性，他们对信息系统审计师的要求和跨国公司类似。
（二）系统开发审计
系统开发过程一般分为：系统初步调查和可行性、系统详细调查和系统、系统总体设计、系统详细设计、程序编制、程序调试、系统调试、系统转换、平行操作试验、系统评审、系统维护和评价等过程。系统开发审计是事前审计，实际上是审计人员参与系统的全过程。主要监督审查下列：（1）系统的功能是否恰当、完备，能否满足用户商务活动的需要；（2）系统的数据流程、处理是否符合有关商贸法规；（3）系统是否建立了恰当的程序控制，以防止或发现无意的差错或有意的舞弊；（4）系统是否保留充分的审计线索，保证了商务系统的可审性；（5）系统的安全保密措施和管理制度是否健全，能否保证系统安全可靠地运行；（6）系统的文档资料是否全面、完整。这部分和IT审计师的工作内容实际也是相适应的。因为IT审计师正是参与一个系统分析、设计和调试运行全过程的“保健医生”，并且IT审计师最关注系统的安全、稳定、有效。
（三）程序审计和数据文件审计
应用程序是信息系统的核心，其是否遵守国家财经法规和政策，对业务的处理是否合规、合法、正确等，均体现于应用程序。可以手工对应用程序直接进行审查，也可以使用机辅助方法，也可以通过数据在程序上的运行间接测试。电算化会计信息系统中，实质性测试的对象是数据文件。对数据库或数据文件的审计主要目的是为确保数据的完整性与正确性等。对数据文件的实质性测试包括：对各账户余额和发生额直接进行检查；对会计数据进行分析性复核，旨在对数据文件进行实质性测试；测试一般控制措施或应用控制的符合性。可以使用不处理数据文件的实质性测试方法、处理实际数据文件的实质性测试方法及处理虚拟数据文件的实质性测试方法。这两部分内容没有IT审计师的技术支持，一般审计人员也难胜其任。
四、结论
由上可知，审计业务发展至今，传统财务审计工作只是审计中一个特别小的组成部分。审计师最重要工作之一，是发现被审计单位最重大的风险隐患，在认定其持续经营的基础上，再对财务报表的真实、公允性发表审计意见。如果审计师认为被审计单位的信息系统是业务运转的平台，是风险高发区，那么对信息系统的安全、稳定和有效的评价就成为审计的基础和重点。当然，对信息系统的审计和对财务事项的审计，手段有所不同，但基本的程序和原理都是一样的。同时计算机审计的主要内容均和IT审计师有重要关联，IT审计师是开展计算机审计工作的重要推动力量。因此，我们在培养高级审计人才时，应注重IT审计师知识结构，在数学体系上增设以下内容：信息系统审计程序；信息系统的管理计划和组织；技术基础和操作实务；信息资产的保护；灾难恢复和业务持续计划；业务应用系统的开发、取得、实施和维护；业务过程的评价和风险管理等。
参考：
1.刘威，强清。关于计算机审计与IT审计师关系问题的探讨。财贸研究，2003（1）
【关键词】 IT审计； 财务共享服务模式； 大数据； 云会计
【中图分类号】 F232 【文献标识码】 A 【文章编号】 1004-5937（2016）24-0128-04
一、引言
财务共享服务模式是依托大数据、云计算等信息新技术以财务业务流程再造为基础的分布式管理模式，目的是优化组织结构、提升核算流程效率、降低财务核算成本以及为企业创造价值，其站在市场视角为内外部客户提供专业化财务服务。在财务共享服务模式下，集团企业将日常的、共同的、分散的、大量的、重复的、可标准化的财务会计流程从下属分公司剥离出来，统一交给财务共享中心进行处理[1]，实现了业务处理、数据存储的集中，同时也增加了IT风险。IT风险[2]已经成为企业的“经营风险”，包含IT环境风险、IT管理风险、IT技术风险和IT平台风险等。大数据时代基于财务共享服务模式的IT审计目的是为了找出并解决财务共享的IT风险，依托大数据、云计算等信息新技术，通过对大数据进行采集、处理、分析以发现问题。
IT审计一直受到诸多学者的重视，曹立明[3]分析了IT审计本质、目标与方法，认为IT审计是会计信息化的内在要求，并对会计信息化IT审计的目标、内容和实施条件进行分析，最后对会计信息化IT审计面临的问题进行了阐述。覃宪姬等[4]以广州地铁IT审计为例，在分析了广州地铁信息系统审计现状的基础上，构建了广州地铁IT审计框架并对其具体内容、实施步骤、审计策略以及审计方法进行了阐述。柳芳[5]从ERP系统安全性风险、业务流程风险和ERP系统管理风险入手，对ERP固有风险进行了分析并提出了相应的IT审计对策。李有华[6]将企业IT风险分为IT战略风险、IT项目风险、IT安全风险、IT服务风险、IT合规风险，并在此基础上对IT审计的内容、标准、范围、方法和制度进行了分析。
综观上述文献，大多数文献都基于传统信息系统，并从传统审计手段的角度出发对IT审计的框架、发展与实施进行研究。在大数据时代，财务共享服务模式成为大型集团企业的首要选择，其IT架构更多地运用到云计算技术，并需要大数据进行技术支撑。审计人员在财务共享服务模式下进行IT审计时将更多地运用大数据审计[7]手段进行IT审计，从数据的角度发现疑点，以减轻审计工作量，提高审计工作效率。有鉴于此，本文从大数据的角度对财务共享服务模式下IT审计的特点进行分析，梳理其数据流程，在此基础上构建IT审计框架模型，并对其实施流程进行阐述。
二、大数据时代基于财务共享服务模式的IT审计框架
（一）财务共享服务模式下IT审计的特征分析
一般认为IT内部控制包含组织层面的IT控制、一般控制和应用控制三个层面[6]，审计人员通常以此为基础展开IT审计工作。财务共享服务模式下的IT审计需要充分结合财务共享IT架构特征，其IT审计范围如图1所示。同时，三个层面的IT审计在财务共享服务模式下也出现了有别于传统企业IT审计的特点。
1.组织层面的IT审计
组织层面的IT审计主要检查财务共享IT架构的设计是否合理，以及是否得到有效实施，其核心内容是管理层控制。集团企业建立财务共享服务模式的战略目标清晰，即降低财务核算成本，其IT战略规划应当以实现该目标为前提，并以此为基础进行IT部门与职能的设置。财务共享服务模式下组织层面IT审计应当对财务共享IT战略规划、IT部门与职能的设置是否符合财务共享战略目标进行检查，并对其实施的有效性进行审计。
2.一般控制层面的IT审计
一般控制层面的IT审计是为了确保IT系统运行的可持续性，能够为应用控制提供支撑，审计对象包含软硬件平台、网络等。财务共享服务模式下集团企业将财务核算业务集中，借助移动互联网、云计算等信息新技术实现了财务核算流程再造和数据的集中存储，其IT技术风险应当得到审计人员的重视。财务共享服务模式下一般控制层面的IT审计应当对数据安全、基础设施更新、访问安全和网络安全等主要风险点进行审计。
3.应用控制层面的IT审计
应用控制层面的IT审计主要检查业务系统层面所设计、执行的IT控制是否能够确保整个系统具有可信性，以及是否能够完成相关数据的产生、记录、传递、处理、分析和报告等功能。财务共享服务模式下集团公司、各分子公司的ERP、HR、OA等其他业务系统需要和财务共享中心实现数据对接与共享，为财务核算系统提供数据支撑，其间数据的产生、记录、传递、处理、分析和报告都是IT审计的关键风险点。财务共享服务模式下应用控制层面的IT审计应当对财务核算流程的设计与实施、业务系统与财务共享中心的数据对接、登录权限等内容进行重点关注。
（二）IT审计程序流程框架
COBIT（Control Objectives for Information and related Technology）即信息系统和技术控制目标，是一种用于“IT审计”的知识体系，由美国信息系统审计与控制协会（ISACA）于1996年首次提出并于2005年更新到COBIT 5.0。目前COBIT已经成为众多国家的政府部门、企业对IT的计划与组织、采购与实施、服务提供与服务支持、监督与控制等进行全面考核与认可的业界标准。由于COBIT 5.0具有普适性，因此财务共享服务模式下的IT审计可以此为基础构建IT审计流程框架。在大数据技术背景下基于财务共享服务模式的IT架构与传统IT架构有所区别，在构建IT审计流程框架时应当充分考虑到这一点。
财务共享服务模式下的IT审计流程框架包含IT审计指南和IT审计流程两部分。其中IT指南是参考COBIT 5.0得出的IT审计标准，在IT审计过程中起着指导作用，包含关键审计因素、流程能力模型、风险控制模型、IT技术可信评估和IT审计知识库等内容。IT审计流程则包含制定审计目标、风险评估、制定审计计划、设计审计程序、执行审计程序和出具审计报告六个流程，如图2所示。
（三）IT审计数据流程框架
在财务共享服务模式的IT审计中，审计大数据的产生、传递、处理和分析贯穿整个审计过程。为了充分利用大数据技术提高审计效率，审计机构可以历史数据、互联网数据等组成的大数据为基础构建审计数据中心，并建立IT审计知识库，帮助审计人员进行高效的IT审计。在审计过程中，审计人员可以通过IT审计知识库中的IT审计知识对审计对象的关键风险点进行重点关注，通过大数据审计方式对审计对象提供的相关大数据进行审计。待审计人员出具审计报告后，可将该审计项目的主要风险点、测试方式以及实质性程序等相关审计数据反馈到审计数据中心以完善IT审计知识库，形成IT审计的数据闭环，如图3所示。
三、大数据时代基于财务共享服务模式的IT审计流程
大数据时代基于财务共享服务模式的IT审计应当是一个包含审计大数据产生、传递、归集和使用的闭环系统，在审计过程中应当由IT审计指南对IT审计的计划、实施进行指导。
（一）制定审计目标
审计人员在进行财务共享服务模式下的IT审计时，应当充分考虑该模式下的特点，结合财务共享的IT战略规划，明确审计的时间、目标和范围。集团企业建立财务共享服务模式的战略目标为降低财务核算成本，为了实现该目标，其IT架构应当满足技术可信、内部控制有效、数据平台安全等基本要求，也是财务共享服务模式下IT审计的主要目标。在不同性质的IT审计中，审计人员可以按照实际的审计需求选择不同的侧重点来制定满足实际需要的审计目标。例如内部审计中，审计人员进行IT审计时更多地关心财务共享服务模式下的应用控制制度建设是否合理、是否得到有效实施；社会审计中，审计人员进行IT审计时则更加在意通过财务共享服务模式是否能够提供真实可靠的财务信息。
（二）风险评估
财务共享服务模式的IT架构相较于传统IT更多地使用了大数据、云计算等技术，因此财务共享服务模式下IT审计的审计风险与以往所有差别，例如审计人员在IT技术层面可能无法对IT技术风险有足够的了解，可以通过权威的第三方IT咨询机构获取该审计项目中财务共享下IT技术的评估报告，即IT审计指南中的IT技术可信评估。除了IT技术风险外，审计人员还应当充分考虑财务共享服务模式下独特的审计环境，结合财务共享服务模式下的业务流程再造，对财务共享中心内部控制制度建设情况进行评估，得出可能的其他审计风险以及风险发生的可能性，通过建立二维风险矩阵的方式对风险进行定性和定量的评估。
（三）制定审计计划
根据风险评估的结果，在考虑企业IT管理框架、人力资源配置等因素的基础上，审计人员应当充分结合财务共享服务模式下财务处理流程标准化程度高、业务量饱和以及财务核算成本低等特点，分别制定总体审计计划和具体审计计划，包括确定审计目的、审计范围、人力调配以及审计策略等内容。需要注意的是，财务共享服务模式下运用了大数据技术，传统审计手段很难进行有效的IT审计，应当在审计计划中明确使用大数据审计等审计手段。
（四）设计审计程序
财务共享服务模式下的IT审计程序包含IT管理层控制、IT一般控制和IT应用控制三部分。大数据技术在该步骤得到广泛运用，审计人员可以通过大数据爬虫获取互联网数据，从财务共享数据中心获取集团大数据，然后使用数据驱动测试、数据挖掘、数据多维分析等方法对大数据进行分析，实施审计程序。同时，审计人员也可以使用IT审计知识库比对其他财务共享IT审计项目，辅助确定IT审计中的主要风险点。
1.IT管理层控制
审计人员在进行IT管理层控制时可以结合COSO内部控制框架与财务共享实施情况设计调查问卷，向分子公司总经理、集团财务部员工、财务共享中心负责人等发放。然后可以根据问卷结果与财务共享负责人或IT管理层进行访谈，以评价集团企业在财务共享服务模式下IT管理层控制的有效性。
2.IT一般控制
审计人员在进行IT一般控制时可以采取问卷调查、访谈、穿行测试等方式，也可以直接通过第三方IT咨询机构获取企业IT技术评估报告，以确认该审计项目中财务共享服务模式数据安全、基础设施更新、访问安全和网络安全等主要风险处于可接受范围内，不需要整改。
3.IT应用控制
审计人员在进行IT应用控制时可能更多地会运用大数据审计的方法获取审计证据，例如对采集到的大数据进行清洗后通过SQL查询、大数据挖掘和多维分析等方法寻找审计疑点，或通过黑盒测试法进行数据驱动测试以发现IT系统运行中存在的问题。除了大数据审计的方法外，穿行测试与控制测试也能帮助审计人员找出应用控制设计与执行中存在的问题。
（五）执行审计程序
按照设计好的审计程序进行下一步工作，审计人员需要结合风险评估结果对财务共享服务模式三个层面进行控制测试，根据实际需求实施实质性程序，通过大数据审计、穿行测试等审计手段得出审计证据，并将从中得出的主要控制风险告之相关人员，记录测试和交流沟通的结果。
（六）形成审计意见，出具管理层建议
按照得到的审计证据，结合最初制定的审计目标得出最后的审计结果，并根据审计结果当中的所发现的问题向管理层出具审计意见和提供建议，在与管理层进行沟通后取得其对管理建议的相关回复。
出具审计结果后审计人员应当将相关数据反馈到IT审计知识库以形成新的IT审计知识，完成审计大数据闭环。
四、结语
财务共享服务模式的建设需要大数据、云计算等技术支撑，但同时也改变了其IT审计的审计环境。本文基于财务共享服务模式的特点构建了该模式下IT审计的审计流程框架并对其具体流程进行了分析，以期对财务共享服务模式下的IT审计提供理论指导，帮助集团企业降低或规避其财务共享服务模式下的IT风险。
【参考文献】
[1] 王德宇.财务共享服务与企业管理研究[J].山东社会科学，2015（5）：160-163.
[2] 周常兰.IT风险控制整合框架的构建――风险控制四维整合框架的引入与扩展[J].经济体制改革，2014（2）：102-106.
[3] 曹立明.论IT审计与会计信息化[J].中国注册会计师，2012（12）：108-113.
[4] 覃宪姬，陈瑜，佟柱.信息系统审计的透视与思考――基于广州地铁审计案例的分析[J].中国内部审计，2014（8）：62-69.
[5] 柳芳.基于ERP系统固有风险的IT审计对策[J].中国内部审计，2013（12）：67-69.
[6] 李有华.企业IT审计方法研究及应用[J].中国内部审计，2013（10）：63-65.
［关键词］ IT；风险管理；责任主体；合规
doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 06. 022
［中图分类号］ F272.35 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）06- 0045- 03
1 问题的提出
信息技术迅猛发展和深入应用使得企业的日常运营越来越依赖于IT系统，企业信息化的规划、实施、运行维护等各阶段都存在着各种风险，IT相关风险正成为管理层、监管部门重点关注的对象，IT内部控制与风险管理也逐渐成为企业内部控制与风险管理的重要组成部分。对于当前我国企业而言，谁应该成为IT风险管理的责任主体，董事会、IT战略委员会、IT监管部门、内部审计部门、外部审计、风险管理部门、IT日常管理部门等在IT风险管理中各承担哪些责任，我国企业在当前IT风险管理相关部门设置情况如何，为了弄清上述我国企业IT及其风险管理的责任主体的相关问题，笔者在理论分析和问卷调查的基础上，整理了相关的调查数据，统计并分析了我国企业在责任主体设置方面的分布特征。
2 IT风险管理责任主体的最新理论框架
与IT风险管理责任主体研究有关的最新的综合性理论框架为国际信息系统审计与控制协会（ISACA）于2009年12月颁布的IT风险管理框架。ISACA在IT风险管理框架中，定义了IT相关风险管理的一系列主体，并指出了各主体应在某一方面或某几个方面负责或承担责任。就某一特定方面而言，只有一个主体为负责部门，其他主体或承担部分责任，或没有责任。当然，该框架也说明由于每个企业的组织机构与职能部门设置情况并不完全相同，作为理论框架，只是提供原则性的指导，没有必要与某一具体企业的组织机构与职能部门完全一致，因此，在该框架中，对每个责任主体的定义只是进行了简洁描述。IT风险管理框架下的IT风险管理责任主体及承担的责任如表1所示。
资料来源：ISACA，Risk IT Framework，USA，2009．12．
3 我国企业IT风险管理相关的主要责任部门及责任探讨
如上述框架所述，不同企业的组织机构与职能部门设置情况并不完全相同，就我国而言，近年来，各方面的监管层出台了大量的规范，如《企业内部控制基本规范》、《中央企业全面风险管理指引》、《信息技术服务运维通用要求》、《商业银行信息科技风险管理指引》、《证券公司信息技术管理规范》等等，都对IT的相关风险做出了明确的规定及要求，企业已经进入了“合规年代”。当前我国企业的IT风险管理的责任部门主要包括：IT战略委员会、IT监管部门、IT日常管理部门、内部审计部门和风险管理部门。
其中，IT战略委员会应由企业的最高管理层及管理执行层包括IT管理和业务管理有关部门负责人、管理技术人员组成，定期召开会议，就企业的企业战略与IT战略的驱动与设置等议题进行讨论并做出决策，为企业IT及其风险管理提供导向与支持。IT监管部门分为企业外部和企业内部。
企业外部监管部门主要包括工业与信息化部、财政部、审计署、证监会、银监会等政府机构，从各自负责的领域对企业信息技术的相关方面提出监管标准和要求。企业内部的IT监管部门主要负责公司信息技术方面的评价、监督以及合规方面的检查。
“建立有效、健全的信息系统内部控制制度”这一责任的主要承担部门是IT日常管理部门。外部审计员对董事会负责的，协助董事会的专业委员会来确认和分析技术风险的程度，包括企业内部网与因特网在内的任何直接或间接影响财务报表或其他至关重要资料的数据或处理系统。
内部审计员协助董事会的专业委员会执行IT实务和系统的控制检查，并向委员会推荐合适的改进措施用于参考和实施。IT风险是企业风险管理体系至关重要的组成部分，与企业其他风险管理程序类似，需要运用企业风险管理的相关原则与方法，结合IT活动的特点，执行风险管理程序。
风险管理部门需要指导并参与IT相关风险管理，即识别风险、分析风险、制订IT风险工作计划、跟踪风险、应对风险，并借助于定期、不定期的检查风险防范措施的落实情况，通报检查结果，将风险管理过程纳入到日常管理中。
4 对我国企业IT风险管理相关责任部门设置的现状调查与分析
笔者于2010年7月-2010年9月进行了多次调查，调查形式分为现场纸质问卷以及远程网络问卷，其中，在2010年用友技术大会、2010年国资企业IT能力建设高峰论坛、2010年中国信息安全年会上共发放现场纸质问卷165份，回收114份，有效问卷数为97份，现场纸质问卷的有效回收率为58．79％，在线发送远程网络问卷调查邀请60次，在线回收数据14份，剔除不完整问卷2份，有效问卷数为12份，远程网络问卷的有效回收率为20％，最终用于数据分析的有效样本数为109份。
4.1 样本企业IT风险管理责任部门设置的总体情况
如表2所示，从企业来看，IT日常管理部门的设置最为普遍，有97％的企业设置了IT日常管理部门；内部审计部门设置情况较好，有82％的企业设置了内部审计部门；风险管理部门的设置情况一般，有不到七成的企业具有风险管理部门；IT战略委员会的设置情况最差，仅有不到六成的企业具有IT战略委员会。这一结果表明：我国部分企业还没有把IT纳入战略层面考虑的范畴，还停留在操作层面的IT日常管理工作上，作为传统的内部控制监督与检查部门，内部审计部门已成为绝大多数企业的常设机构，一半多的企业具有了较强的风险管理意识并将风险管理部门作为常设机构。
4.2 不同类别企业IT风险管理相关部门设置的情况
笔者按照不同经济成分企业、不同规模企业、不同上市状况企业进行了分组统计和比较，结果如表3所示。
表4表明，总体上看，三资企业类的企业IT风险管理相关部门设置情况最好，比重均为第一。其次为中央国有企业，民营企业与集体企业部门设置情况较差。具体来看，除了个别民营企业外，样本企业均有IT日常管理部门。地方国有企业最不重视IT战略委员会的职能，民营企业最不重视内部审计部门、风险管理部门的设置。无论是企业还是子公司，规模大的企业IT风险管理相关部门设置比例明显高于中小规模的企业。总体上看，无论是企业还是子公司，有香港或海外上市公司的企业IT风险管理相关部门设置比例都是最高的，除IT监管部门外，仅有大陆上市公司的企业IT风险管理相关部门设置比例第二，无上市公司的企业设置比例最低。
4.3 被调查者对企业高层应讨论IT哪些风险的看法
为了了解被调查者对企业高层应讨论IT哪些风险的看法，笔者在问卷中设计了一道多项选择题“IT的哪类风险应由企业高层会议讨论”，列出了IT投资风险、系统建设风险、系统运行维护风险三类风险，以及“都不是”与“不确定”两个选项。调查结果如表4所示。
结果表明，选择“都不是”的仅有15％，选择“不确定”的仅有8％，两者相加的比重为23％，即有将近八成的被调查者认为高层应讨论IT相关风险，这一结果说明绝大多数被调查者均认识到IT相关风险不仅是公司操作层、战术层应关注的，还应上升到战略层进行讨论。在三类风险中，被调查者认为高层应讨论IT系统建设风险的比重最大（为40％），认为应讨论IT投资风险的接近40％，说明投资风险与系统建设风险是应上升到战略层考虑的风险，而系统运行维护风险往往是战术层或操作层考虑的风险。
5 结论与建议
当前我国企业的IT风险管理的主要责任部门包括：IT战略委员会、IT监管部门、IT日常管理部门、内部审计部门和风险管理部门。我国企业IT日常管理部门的设置最为普遍，但当前我国部分企业还没有把IT纳入战略层面考虑的范畴，还停留在操作层面的IT日常管理工作上，作为传统的内部控制监督与检查部门，内部审计部门已成为绝大多数企业的常设机构。从规模特性来看，特大型企业IT风险管理相关部门设置比例明显高于非特大型的企业。从上市情况来看，有香港或海外上市公司的企业IT风险管理相关部门设置比例都是最高。被调查者认为投资风险与系统建设风险是应上升到战略层考虑的风险，而系统运行维护风险往往是战术层或操作层考虑的风险。
由此，笔者提出如下建议：
（1）要建立健全IT风险管理的组织机构，其中的重点是建立IT战略委员会，发挥IT战略委员会在战略层面IT风险管理中的作用。此外，还应重视建立风险管理部门，把全面风险管理作为专业职能部门的职责，在指导全部关键资产的风险治理机制方面发挥指导作用。
（2）做好相关人员的培训工作，风险管理意识方面，要加强对相关人员风险意识的培养，树立IT投资的成本效益观念。提高各部门负责人的战略风险意识。知识能力方面，要加强企业内部的复合型人才培养和队伍建设工作，企业自身才是IT风险管理的主体，应该注意培养自己的人才队伍，学习如何识别、收集、评估、主动控制IT风险方面的系统化知识和专业化的方法。
主要参考文献
［作者简介］王会金（1962― ），男，浙江东阳人，南京审计学院副校长，教授，博士，从事信息系统审计研究。
［摘 要］当前，我国急需一套完善的中观信息系统审计风险控制体系。这是因为我国的中观经济主体在控制信息系统审计风险时需要一套成熟的管理流程，且国家有关部门在制定信息系统审计风险防范标准方面也需要完善的控制体系作为支撑。在阐述COBIT与数据挖掘基本理论的基础上，借鉴COBIT框架，构建中观信息系统审计风险的明细控制框架，利用数据挖掘技术有针对性地探索每一个明细标准的数据挖掘路径，创建挖掘流程，建立适用于我国中观经济特色的信息系统审计风险控制体系。
［关键词］中观信息系统审计；COBIT框架；数据挖掘；风险控制；中观审计
［中图分类号］F239.4 ［文献标识码］A ［文章编号］10044833(2012)01001608
中观信息系统审计是中观审计的重要组成部分，它从属于中观审计与信息系统审计的交叉领域。中观信息系统审计是指IT审计师依据特定的规范，运用科学系统的程序方法，对中观经济主体信息系统的运行规程与应用政策所实施的一种监督活动，旨在增强中观经济主体特定信息网络的有效性、安全性、机密性与一致性[1]。与微观信息系统相比，中观信息系统功能更为复杂，且区域内纷乱的个体间存在契约关系。中观信息系统的复杂性主要体现在跨越单个信息系统边界，参与者之间在信息技术基础设施水平、信息化程度和能力上存在差异，参与者遵循一定的契约规则，依赖通信网络支持，对安全性的要求程度很高等方面。中观信息系统审计风险是指IT审计师在对中观信息系统进行审计的过程中,由于受到某些不确定性因素的影响,而使审计结论与经济事实不符，从而受到相关关系人指控或媒体披露并遭受经济损失以及声誉损失的可能性。中观信息系统审计风险控制的研究成果能为我国大型企业集团、特殊的经济联合体等中观经济主体保持信息系统安全提供强有力的理论支持与实践指导。
一、 相关理论概述与回顾
（一） COBIT
信息及相关技术的控制目标（简称COBIT）由美国信息系统审计与控制协会（简称ISACA）颁布，是最先进、最权威的安全与信息技术管理和控制的规范体系。COBIT将IT过程、IT资源及信息与企业的策略及目标联系于一体，形成一个三维的体系框架。COBIT框架主要由执行工具集、管理指南、控制目标和审计指南四个部分组成，它主要是为管理层提供信息技术的应用构架。COBIT对信息及相关资源进行规划与处理，从信息技术的规划与组织、采集与实施、交付与支持以及监控等四个方面确定了34个信息技术处理过程。
ISACA自1976年COBIT1.0版以来，陆续颁布了很多版本，最近ISACA即将COBIT5.0版。ISACA对COBIT理论的研究已趋于成熟，其思路逐步由IT审计师的审计工具转向IT内部控制框架，再转向从高管层角度来思考IT治理。大多数国际组织在采纳COSO框架时，都同时使用COBIT控制标准。升阳电脑公司等大型国际组织成功应用COBIT优化IT投资。2005年，欧盟也选择将COBIT作为其审计准则。国内学者对COBIT理论的研究则以借鉴为主，如阳杰、张文秀等学者解读了COBIT基本理论及其评价与应用方法[23]；谢羽霄、黄溶冰等学者尝试将COBIT理论应用于银行、会计、电信等不同的信息系统领域[45]。我国信息系统审计的研究目前正处于起步阶段，因而将COBIT理论应用于信息系统的研究也不够深入。王会金、刘国城研究了COBIT理论在中观信息系统重大错报风险评估中的运用，金文、张金城研究了信息系统控制与审计的模型[1，6]。
（二） 数据挖掘
数据挖掘技术出现于20世纪80年代，该技术引出了数据库的知识发现理论，因此，数据挖掘又被称为“基于数据库的知识发现(KDD)”。1995年，在加拿大蒙特利尔召开的首届KDD & Date Mining 国际学术会议上，学者们首次正式提出数据挖掘理论[7]。当前，数据挖掘的定义有很多，但较为公认的一种表述是：“从大型数据库中的数据中提取人们感兴趣的知识。这些知识是隐含的、事先未知的潜在有用信息，提取的知识表现为概念、规则、规律、模式等形式。数据挖掘所要处理的问题就是在庞大的数据库中寻找有价值的隐藏事件，加以分析，并将有意义的信息归纳成结构模式，供有关部门在进行决策时参考。”[7]1995年至2010年，KDD国际会议已经举办16次；1997年至2010年，亚太PAKDD会议已经举办14次，众多会议对数据挖掘的探讨主要围绕理论、技术与应用三个方面展开。
目前国内外学者对数据挖掘的理论研究已趋于成熟。亚太PAKDD会议主办方出版的论文集显示，2001年至2007年仅7年时间共有32个国家与地区的593篇会议论文被论文集收录。我国学者在数据挖掘理论的研究中取得了丰硕的成果，具体表现在两个方面：一是挖掘算法的纵深研究。李也白、唐辉探索了频繁模式挖掘进展，邓勇、王汝传研究了基于网络服务的分布式数据挖掘，肖伟平、何宏研究了基于遗传算法的数据挖掘方法[810]。二是数据挖掘的应用研究。我国学者对于数据挖掘的应用研究也积累了丰富的成果，并尝试将数据挖掘技术应用于医学、通讯、电力、图书馆、电子商务等诸多领域。2008年以来，仅在中国知网查到的关于数据挖掘应用研究的核心期刊论文就多达476篇。近年来，国际软件公司也纷纷开发数据挖掘工具，如SPSS Clementine等。同时，我国也开发出数据挖掘软件，如上海复旦德门公司开发的Dminer,东北大学软件中心开发的Open Miner等。2000年以来，我国学者将数据挖掘应用于审计的研究成果很多，但将数据挖掘应用于信息系统审计的研究成果不多，且主要集中于安全审计领域具体数据挖掘技术的应用研究。
二、 中观信息系统审计风险控制体系的构想
本文将中观信息系统审计风险控制体系（图1）划分为以下三个层次。
（一） 第一层次：设计中观信息系统审计风险的控制框架与明细控制标准
中观信息系统审计的对象包括信息安全、数据中心运营、技术支持服务、灾难恢复与业务持续、绩效与容量、基础设施、硬件管理、软件管理、数据库管理、系统开发、变革管理、问题管理、网络管理、中观系统通信协议与契约规则等共计14个主要方面[11]。中观信息系统审计风险控制体系的第一层次是根据COBIT三维控制框架设计的。这一层次需要构架两项内容：（1）中观信息系统审计风险的控制框架。该控制框架需要完全融合COBIT理论的精髓，并需要考虑COBIT理论的每一原则、标准、解释及说明。该控制框架由14项风险防范因子组成，这14个因子必须与中观信息系统审计的14个具体对象相对应。框架中的每一个因子也应该形成与自身相配套的风险控制子系统，且子系统应该包含控制的要素、结构、种类、目标、遵循的原则、执行概要等内容。（2）中观信息系统审计风险的明细控制标准。控制框架中的14项风险防范因子需要具备与自身相对应的审计风险明细控制规则，IT审计师只有具备相应的明细规范，才能在中观信息系统审计实施过程中拥有可供参考的审计标准。每个因子的风险控制标准的设计需要以COBIT三维控制框架为平台，以4个域、34个高层控制目标、318个明细控制目标为准绳。
（二） 第二层次：确定风险控制框架下的具体挖掘流程以及风险控制的原型系统
第一层次构建出了中观信息系统审计风险控制的明细标准Xi（i∈1n）。在第一层次的基础上，第二层次需要借助于数据挖掘技术，完成两个方面的工作。一是针对Xi，设计适用于Xi自身特性的数据挖掘流程。这一过程的完成需要数据资料库的支持，因而，中观经济主体在研讨Xi明细控制标准下的数据挖掘流程时，必须以多年积累的信息系统控制与审计的经历为平台，建立适用于Xi的主题数据库。针对明细标准Xi的内在要求以及主题数据库的特点，我们就可以选择数据概化、统计分析、聚类分析等众多数据挖掘方法中的一种或若干种，合理选取特征字段，分层次、多角度地进行明细标准Xi下的数据挖掘实验，总结挖掘规律，梳理挖掘流程。二是将适用于Xi的n个数据挖掘流程体系完善与融合，开发针对本行业的中观信息系统审计风险控制的原型系统。原型系统是指系统生命期开始阶段建立的，可运行的最小化系统模型。此过程通过对n个有关Xi的数据挖掘流程的融合，形成体系模型，并配以详细的说明与解释。对该模型要反复验证，多方面关注IT审计师对该原型系统的实际需求，尽可能与IT审计师一道对该原型系统达成一致理解。
（三） 第三层次：整合前两个步骤，构建中观信息系统风险控制体系
第三层次是对第一层次与第二层次的整合。第三层次所形成的中观信息系统风险控制体系包括四部分内容：（1）中观信息系统审计风险控制框架；（2）中观信息系统审计风险控制参照标准；（3）中观信息系统审计风险控制明细标准所对应的数据挖掘流程集；（4）目标行业的中观信息系统审计风险控制的原型系统。在此过程中，对前三部分内容，需要归纳、验证、总结，并形成具有普遍性的中观审计风险控制的书面成果；对第四部分内容，需要在对原型系统进行反复调试的基础上将其开发成软件，以形成适用于目标行业不同组织单位的“软性”成果。在设计中观信息系统风险控制体系的最后阶段，需要遵循控制体系的前三部分内容与第四部分内容相互一致、相互补充的原则。相互一致表现在控制体系中的框架、明细控制标准、相关控制流程与原型系统中的设计规划、属项特征、挖掘原则相协调；相互补充表现在控制体系中的框架、明细控制标准及相关控制流程是IT审计师在中观信息系统审计中所参照的一般理念，而原型系统可为IT审计师提供审计结论测试、理念指导测试以及验证结论。 三、 COBIT框架对中观信息系统审计风险控制的贡献
（一） COBIT框架与中观信息系统审计风险控制的契合分析
现代审计风险由重大错报风险与检查风险两个方面组成，与传统审计风险相比，现代审计风险拓展了风险评估的范围，要求考虑审计客体所处的行业风险。但从微观层面看，传统审计风险与现代审计风险的主要内容都包括固有风险、控制风险与检查风险。COBIT框架与中观信息系统审计风险控制的契合面就是中观信息系统的固有风险与控制风险。中观信息系统的固有风险是指“假定不存在内部控制情况下，中观信息系统存在严重错误或不法行为的可能性”；中观信息系统的控制风险是指“内部控制体系未能及时预防某些错误或不法行为，以致使中观信息系统依然存在严重错误或不法行为的可能性”；中观信息系统的检查风险是指“因IT审计师使用不恰当的审计程序，未能发现已经存在重大错误的可能性”。IT审计师若想控制中观信息系统的审计风险，必须从三个方面着手：（1）对不存在内部控制的方面，能够辨别和合理评价被审系统的固有风险；（2）对存在内部控制的方面，能够确认内部控制制度的科学性、有效性、健全性，合理评价控制风险；（3）IT审计师在中观信息系统审计过程中，能够更大程度地挖掘出被审系统“已经存在”的重大错误。我国信息系统审计的理论研究起步较晚，IT审计师在分辨被审系统固有风险，确认控制风险，将检查风险降低至可接受水平三个方面缺乏成熟的标准加以规范，因此我国的中观信息系统审计还急需一套完备的流程与指南 当前我国有四项信息系统审计标准，具体为《审计机关计算机辅助审计办法》、《独立审计具体准则第20号――计算机信息系统环境下的审计》、《关于利用计算机信息系统开展审计工作有关问题的通知》（88号文件）以及《内部审计具体准则第28号――信息系统审计》。。
图2 中观信息系统审计风险的控制框架与控制标准的设计思路
COBIT框架能够满足IT审计师的中观信息系统审计需求，其三维控制体系，4个控制域、34个高层控制目标、318个明细控制目标为IT审计师辨别固有风险，分析控制风险，降低检查风险提供了绝佳的参照样板与实施指南。COBIT控制框架的管理理念、一般原则完全可以与中观信息系统审计风险的控制实现完美契合。通过对COBIT框架与中观信息系统审计的分析，笔者认为COBIT框架对中观信息系统审计风险控制的贡献表现在三个方面（见图2）：（1）由COBIT的管理指南，虚拟中观信息系统的管理指南，进而评价中观主体对自身信息系统的管理程度。COBIT的管理指南由四部分组成，其中成熟度模型用来确定每一控制阶段是否符合行业与国际标准，关键成功因素用来确定IT程序中最需要控制的活动，关键目标指标用来定义IT控制的目标绩效水准，关键绩效指标用来测量IT控制程序是否达到目标。依据COBIT的管理指南，IT审计师可以探寻被审特定系统的行业与国际标准、IT控制活动的重要性层次、IT控制活动的目标绩效水平以及评价IT控制活动成效的指标，科学地拟定被审系统的管理指南。（2）由COBIT的控制目标，构建中观信息系统的控制目标体系，进而评价中观信息系统的固有风险与检查风险。COBIT的控制目标包括高层域控制、中层过程控制、下层任务活动控制三个方面，其中，高层域控制由规划与组织、获取与实施、交付与支持以及监控四部分组成，中层控制过程由“定义IT战略规划”在内的34个高层控制目标组成，下层任务活动控制由318个明细控制目标组成。COBIT的控制目标融合了“IT标准”、“IT资源”以及被审系统的“商业目标”，为IT审计师实施中观信息系统审计风险控制提供了层级控制体系与明细控制目标。IT审计师可以直接套用COBIT的控制层级与目标拟定中观信息系统管理与控制的层级控制体系以及明细控制目标，然后再进一步以所拟定的明细控制目标作为参照样板，合理评判中观信息系统的固有风险与控制风险。中观信息系统中“域”、“高层”、“明细”控制目标的三层结构加强了IT审计师审计风险控制的可操作性。（3）由COBIT的审计指南，设计IT审计师操作指南，进而降低中观信息系统审计的检查风险。COBIT的审计指南由基本准则、具体准则、执业指南三个部分组成。基本准则规定了信息系统审计行为和审计报告必须达到的基本要求，为IT审计师制定一般审计规范、具体审计计划提供基本依据。具体准则对如何遵循IT审计的基本标准，提供详细的规定、具体说明和解释，为IT审计师如何把握、评价中观经济主体对自身系统的控制情况提供指导。执业指南是根据基本标准与具体准则制定的，是系统审计的操作规程和方法，为IT审计师提供了审计流程与操作指南。
（二） 中观信息系统审计风险控制体系建设举例――构建“设备管理”控制目标体系
前文所述，中观信息系统审计的对象包括“信息安全”等14项内容，本文以“硬件管理”为例，运用COBIT的控制目标，构建“硬件管理”的控制目标体系，以利于IT审计师科学评价“硬件管理”存在的固有风险与控制风险。“设备管理”控制目标体系的构建思路参见表1。
注：IT标准对IT过程的影响中P表示直接且主要的，S表示间接且次要的；IT过程所涉及的IT资源中C表示涉及；空白表示关联微小。
表1以“设备管理”为研究对象，结合COBIT控制框架，并将COBIT框架中与“设备管理”不相关的中层控制过程剔除，最终构建出“设备管理”控制的目标体系。该体系由4个域控制目标、21个中层过程控制目标、149个明细控制目标三个层级构成，各个层级的关系见表1。（1）第一层级是域控制，由“P.设备管理的组织规划目标”、“A.设备管理的获取与实施目标”、“DS.设备管理的交付与支持目标”以及“M.设备管理的监控目标”构成；（2）第二层级是中层过程控制，由21个目标构成，其中归属于P的目标5个，归属于A的目标3个，归属于D的目标9个，归属于M的目标4个；（3）第三层级是下层任务活动控制，由149个明细目标构成，该明细目标体系是中层过程控制目标（P、A、DS、M）针对“IT标准”与“IT资源”的进一步细分。IT标准是指信息系统在运营过程中所应尽可能实现的规则，具体包括有效性、效率性、机密性等7项；IT资源是指信息系统在运营过程中所要求的基本要素，具体有人员、应用等5项。根据表1中“有效性”、“人员”等“IT标准”与“IT资源”合计的12个属项，每个具体中层控制目标都会衍生出多个明细控制目标。例如，中层控制目标“DS13.运营管理”基于“IT标准”与“IT资源”的特点具体能够演绎出6项明细控制目标，此7项可表述为“DS13-01.利用各项设备，充分保证硬件设备业务处理与数据存取的及时、正确与有效”，“DS13-02.充分保证硬件设备运营的经济性与效率性，在硬件设备投入成本一定的情况下，相对加大硬件设备运营所产生的潜在收益”，“DS13-03.硬件设备保持正常的运营状态，未经授权，不可以改变硬件的状态、使用范围与运营特性，保证设备运营的完整性”，“DS13-04.设备应该在规定条件下和规定时间内完成规定的功能与任务，保证设备的可用性”，“DS13-05.硬件设备运营的参与人员必须具备较高的专业素质，工作中遵循相应的行为规范”以及“DS13-06.工作人员在使用各项硬件设备时，严格遵循科学的操作规程，工作中注意对硬件设备的保护，禁止恶意损坏设备”。上述三个层级组成了完整的“硬件设备”控制目标体系，若将中观信息系统审计的14个对象都建立相应的控制目标体系，并将其融合为一体，则将会形成完备的中观信息系统审计风险控制的整体目标体系。
四、 数据挖掘技术对中观信息系统审计风险控制的贡献
（一） 数据挖掘技术与中观信息系统审计风险控制的融合分析
中观信息系统是由两个或两个以上微观个体所构成的中观经济主体所属个体的信息资源，在整体核心控制台的统一控制下，以Internet为依托，按照一定的契约规则实施共享的网状结构式的有机系统。与微观信息系统比较，中观信息系统运行复杂，日志数据、用户操作数据、监控数据的数量相对庞杂。因而，面对系统海量的数据信息，IT审计师针对前文所构建的明细控制目标Xi下的审计证据获取工作将面临很多问题，如数据信息的消化与吸收、数据信息的真假难辨等。而数据挖掘可以帮助决策者寻找数据间潜在的知识与规律，并通过关联规则实现对异常、敏感数据的查询、提取、统计与分析，支持决策者在现有的数据信息基础上进行决策[12]。数据挖掘满足了中观信息系统审计的需求，当IT审计师对繁杂的系统数据一筹莫展时，数据挖掘理论中的聚类分析、关联规则等技术却能为中观信息系统审计的方法提供创新之路。笔者认为，将数据挖掘技术应用于前文所述的明细控制目标Xi下审计证据筛选流程的构建是完全可行的。恰当的数据挖掘具体技术，科学的特征字段选取，对敏感与异常数据的精准调取，将会提高中观信息系统审计的效率与效果，进而降低审计风险。
（二） 中观信息系统审计风险控制目标Xi下数据挖掘流程的规划
数据挖掘技术在中观信息系统审计风险控制中的应用思路见图3。
注：数据仓库具体为目标行业特定中观经济主体的信息系统数据库
中观信息系统审计明细控制目标Xi下数据挖掘流程设计具体可分为六个过程：（1）阐明问题与假设。本部分的研究是在一个特定的应用领域中完成的，以“中观信息系统审计风险明细控制目标Xi”为主旨，阐明相关问题、评估“控制目标Xi”所处的挖掘环境、详尽的描述条件假设、合理确定挖掘的目标与成功标准，这些将是实现“控制目标Xi下”挖掘任务的关键。（2）数据收集。图3显示，本过程需要从原始数据、Web记录与日志文件等处作为数据源采集数据信息，采集后，还需要进一步描述数据特征与检验数据质量。所采集数据的特征描述主要包括数据格式、关键字段、数据属性、一致性，所采集数据的质量检验主要考虑是否满足“控制目标Xi”下数据挖掘的需求，数据是否完整，是否存有错误，错误是否普遍等。（3）数据预处理。该过程是在图3的“N.异构数据汇聚数据库”与“U.全局/局部数据仓库”两个模块下完成的。N模块执行了整合异构数据的任务，这是因为N中的异构数据库由不同性质的异构数据组合而成，数据属性、数据一致性彼此间可能存在矛盾，故N模块需要通过数据转换与数据透明访问实现异构数据的共享。U模块承载着实现数据清理、数据集成与数据格式化的功能。“控制目标Xi”下的数据挖掘技术实施前，IT审计师需要事先完成清理与挖掘目标相关程度低的数据，将特征字段中的错误值剔除以及将缺省值补齐，将不同记录的数据合并为新的记录值以及对数据进行语法修改形成适用于挖掘技术的统一格式数据等系列工作。（4）模型建立。在“V.数据挖掘与知识发现”过程中，选择与应用多种不同的挖掘技术，校准挖掘参数，实现最优化挖掘。“控制目标Xi”下的数据挖掘技术可以将分类与聚类分析、关联规则、统计推断、决策树分析、离散点分析、孤立点检测等技术相结合，用多种挖掘技术检查同一个“控制目标Xi”的完成程度[12]。选择挖掘技术后，选取少部分数据对目标挖掘技术的实用性与有效性进行验证，并以此为基础，以参数设计、模型设定、模型描述等方式对U模块数据仓库中的数据开展数据挖掘与进行知识发现。（5）解释模型。此过程在模块“W.模式解释与评价”中完成，中观信息系统审计风险领域专家与数据挖掘工程师需要依据各自的领域知识、数据挖掘成功标准共同解释模块V，审计领域专家从业务角度讨论模型结果，数据挖掘工程师从技术角度验证模型结果。（6）归纳结论。在“Z.挖掘规律与挖掘路径归纳”中，以W模块为基础，整理上述挖掘实施过程，归纳“控制目标Xi”下的挖掘规律，探究“控制目标Xi”下的挖掘流程，整合“控制目标Xi”（i∈1n）的数据挖掘流程体系，并开发原型系统。
（三） 数据挖掘流程应用举例――“访问控制”下挖掘思路的设计
如前所述，中观信息系统审计包括14个对象，其中“网络管理”对象包含“访问管理”等多个方面。结合COBIT框架下“M1.过程监控”与“IT标准-机密性”，“访问管理”可以将“M1-i.用户访问网络必须通过授权，拒绝非授权用户的访问”作为其控制目标之一。“M1-i”数据挖掘的数据来源主要有日志等，本部分截取网络日志对“M1-i”下数据挖掘流程的设计进行举例分析。
假设某中观信息系统在2011年4月20日18时至22时有如下一段日志记录。
（1） “Sep 20 19:23:06 UNIX login［1015］：FAILED LOGIN 3 FROM(null) FOR wanghua”
（2） “Sep 20 19:51:57 UNIX―zhangli［1016］：LOGIN ON Pts/1 BY zhangli FROM 172.161.11.49”
（3） “Sep 20 20:01:19 UNIX login［1017］：FAILED LOGIN 1 FROM(null) FOR wanghua”
（4） “Sep 20 20:17:23 UNIX―wanyu ［1018］：LOGIN ON Pts/2 BY wanyu FROM 172.161.11.342”
（5） “Sep 20 21:33:20 UNIX―wanghua ［1019］：LOGIN ON Pts/5 BY wanghua FROM 191.34.25.17”
（6） “Sep 20 21:34:39 UNIX su(pam――unix)［1020］:session opened for user root by wanghua (uid=5856)”
… … …
选取上述日志作为数据库，以前文“控制目标Xi”下数据挖掘的6个过程为范本，可以设计“M1-i.用户访问网络必须通过授权，拒绝非授权用户的访问”下的审计证据挖掘流程。该挖掘流程的设计至少包括如下思路：a.选取“授权用户”作为挖掘的“特征字段”，筛选出“非授权用户”的日志数据；b.以a为基础，以“LOGIN ON Pts BY 非授权用户”作为 “特征字段”进行挖掘；c.以a为基础，选取“opened … by …”作为“特征字段”实施挖掘。假如日志库中只有wanghua为非授权用户，则a将会挖出（1）（3）（5）（6），b会挖出（5），c将会挖掘出（6）。通过对（5）与（6）嫌疑日志的分析以及“M1-i”挖掘流程的建立，IT审计师就能够得出被审系统的“访问控制”存在固有风险，且wanghua已经享有了授权用户权限的结论。
参考文献：
［1］王会金，刘国城.COBIT及在中观经济主体信息系统审计的应用［J］.审计研究，2009(1):5862.
［2］阳杰，庄明来,陶黎娟.基于COBIT的会计业务流程控制［J］.审计与经济研究，2009（2）：7886.
［3］张文秀，齐兴利.基于COBIT的信息系统审计框架研究［J］.南京审计学院学报，2010(5):2934.
［4］谢羽霄,邱晨旭.基于COBIT的电信企业信息技术内部控制研究［J］.电信科学,2009(7):3035.
［5］黄溶冰,王跃堂.商业银行信息化进程中审计风险与控制［J］.经济问题探索,2008(2):134137.
［6］金文,张金城.基于COBIT的信息系统控制管理与审计［J］.审计研究，2005(4):7579.
［7］陈安,陈宁.数据挖掘技术与应用［M］.北京：科学工业出版社，2006.
［8］李也白,唐辉.基于改进的PE-tree的频繁模式挖掘算法［J］.计算机应用，2011(1):101104.
［9］邓勇,王汝传.基于网格服务的分布式数据挖掘［J］.计算机工程与应用,2010(8):610.
［10］肖伟平,何宏.基于遗传算法的数据挖掘方法及应用［J］.湖南科技大学学报，2009(9):8286.
［11］孙强.信息系统审计［M］.北京：机械工业出版社，2003.
［12］苏新宁,杨建林.数据挖掘理论与技术［M］. 北京：科学技术出版社,2003.
Risk Control System of MesoInformation System Audit:From the Perspective of COBIT Framework of Date Mining Technology
WANG Huijin
（Nanjing Audit University, Nanjing 211815, China）
［关键词］ it审计；挑战；策略
随着信息技术的兴起，信息系统已经渗透到社会生活的方方面面，它在给人们带来便利与效益的同时，也带来了很多负面影响，如计算机犯罪案件的频频发生等，系统安全问题日益严峻。于是一个不容回避的问题——我国企业如何有效地开展信息技术审计（information technology audit，以下简称it审计），保证信息系统安全，摆在我们面前。本文拟对此进行探讨。
一、it审计的定义及其特点
it审计是指对信息系统从计划、研发、实施到运行维护各个过程进行审查与评价的活动，以审查企业信息系统是否安全、可靠、有效，保证信息系统得出准确可靠的数据。由以上定义可知，it审计的目标是保证it系统的可用性、安全性、完整性和有效性，最终达到强化企业内部控制的目的。
该审计过程具有以下特点：
1.it审计是一个过程。它通过获取的证据判断信息系统是否能保证资产的安全、数据的完整和组织目标的实现，它贯穿于整个信息系统生命周期的全过程。
2.it审计的对象综合且复杂。it审计从纵向（生命周期）看，覆盖了信息系统从开发、运行、维护到报废的全生命周期的各种业务；从横向（各阶段截面）看，它包含对软硬件的获取审计、应用程序审计、安全审计等。it审计将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。
3.it审计拓宽了传统审计的目标。传统审计目标仅仅包括“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”；但it审计除了上述目标外，还包括信息资产的安全性、数据的完整性及系统的可靠性、有效性和效率性。
4.it审计是一种基于风险基础审计的理论和方法。it审计从基于控制的方法演变为基于风险的方法，其内涵包括企业风险管理的整体框架，如内部环境的控制、目标的设定、风险事项的识别、风险的评估、风险的管理与应对、信息与沟通以及对风险的监控。
二、我国it审计面对的挑战
it审计和传统审计相比具有的上述特点是吸引我国众多企业引入it审计的重要原因，但是这种方法的应用又会给企业提出巨大的挑战。
1.传统审计线索的消失。在手工会计环境下，审计线索主要来自于纸质原始凭证、记账凭证、会计账簿和会计报表，这些书面数据之间的勾稽关系使得数据若被修改可辨识出修改的线索和痕迹，这就是传统审计线索的基本特征。但是现在计算机网络信息系统中这些数据直接记录在磁盘和光盘上，无纸张记录，审计人员用肉眼无法直接看到这些数据如何记录，且非法修改删除原始数据也可以不留篡改的痕迹，从而为舞弊人员作案留有可乘之机。尽管许多审计机构要求已实现会计信息化的企业将所有原始凭证、记账凭证、账簿、报表打印输出，使用绕开计算机系统的审计方法，并以打印出的证、账、表作为基本审计的线索和依据。但是如果原始数据在业务发生时就被有意篡改，则其派生的记账凭证金额和账户余额及报表数据也一定会出错，打印出的数据也不能作为审计证据。因此即使打印出所有电子数据，传统审计线索也会在计算机信息系统下完全消失。
2.计算机信息系统的数据安全面临挑战。手工信息处理的环境下，审计人员无须将数据和会计信息的安全性问题作为审计的重要内容，但是在it审计的工作中，网络电子交易数据的安全是关系到交易双方切身利益的关键问题，也是企业计算机网络应用中的重大障碍和审计的首要问题。例如计算机病毒的破坏、黑客用 ip地址欺骗攻击网络系统来获取重要商业秘密、内部人员的计算机舞弊、数据丢失等，都是传统审计从未涉及的，但又是it审计的重点，这对当前我国的审计工作无论是操作系统，还是制度建立等众多方面都是一个很大的挑战。
3.it审计专业人才匮乏，适应it审计事业发展的人才培养和管理机制还有待建立和健全。由于it审计固有的复杂性，这项工作需要具备会计、审计、组织管理和计算机、网络技术等综合知识的人才，而且工作人员需要对内部控制和审计有深刻的理解，对信息和网络技术有敏锐的捕捉能力，在我国获得注册信息系统审计师资格的人数远远不能满足信息系统审计业务的需求。
三、我国it审计应对策略
面对上述挑战，我们应当多方位、多角度制订措施，使it审计工作更好地为我国企业发展做出贡献。具体措施如下：
1.审计线索的重建。根据计算机网络系统容易在不同地方同时形成相同“原本”数据的特点，可以重建电子审计线索：在电子化的原始数据形成时，同时在审计机构（包括内审机构）和关系紧密（签字确认）的部门形成原始数据的“原本”，或在不同部门各自形成相关的数据库（特别应当包括数量、金额和单价等主要数据项），这样不仅可以相互监督和牵制，还给计算机审计提供可信的审计线索。这种保留审计线索的方法，一方面成为有力的控制手段，另一方面可从审计线索中发现疑点。这种方法主要是应用专用的审计比较软件，同时将几个部门的同一种数据库进行自动比较形成有差异的数据记录文件，详细审查相关的数据文件和访问有关的当事人，从而取得有力的审计证据。上述比较审计方法是在不同部门同时形成业务数据文件的情况下应用，如果企业业务数据分离存放，如销售合同与销售发票、提货单在不同的部门保存，这种实质性测试也可采用比较审计法，应用专用的审计软件，结合相关的几个业务数据文件进行比较，查出有错误疑点的记录。
2.确保信息系统的信息安全。为了保证信息系统的信息安全，it审计工作人员要在审计过程中评价企业的防火墙技术、网络系统的防病毒功能、数据加密措施、身份认证和授权的应用实施情况，通过面谈实地审查企业安全管理制度建立和执行的情况，查看企业是否为了预防计算机病毒，对外来的软件和传输的数据经过病毒检查，业务系统是否严禁使用游戏软件，以及是否配置了自动检测关键数据库的软件，使异常及时被发现；检测企业是否为了防范黑客入侵，网络交易的数据库采用离散结构，同时在不同的指定网点（如在交易的双方）形成完整的业务数据备份供特殊使用（如审计和监控）；此外it审计人员还要注意检查企业的信息系统岗位责任实施、安全日志制度，审查有关计算机安全的国家法律和管理条例的执行情况。
3.建立一支完备的it审计专业人才队伍。it审计的发展必须有一大批专业化的it审计人才，这就要求我们要采取短期培训和长期培养、操作层面上的培训与高层次人才的培养、在职人员培训与未来人才培养相结合的方法将这支队伍逐渐发展起来。此外我国可以从现有的审计队伍中选拔人员进行专门的信息系统审计培训，并考虑在注册会计师的资格考试和审计师职称考试中逐步加入计算机、信息系统和网络技术等与信息系统审计有关的内容，以及加强对从事信息化咨询的it技术人员的会计与审计知识的培训。为了培养未来审计人员，应在高校会计、审计专业教学计划中增加信息技术和电子商务等内容，也可以考虑在高校中开设信息系统审计专业，直接培养信息系统审计专业人才。
当前我国it审计正处于起步阶段，和传统审计相比，it审计的显著特点决定了其势在必行，但是一种新的方法的引入和实施必定会给企业和审计人员带来巨大的挑战，面对种种挑战我们应采取积极措施，迎难而上，使it审计工作不断发展完善。
主要参考文献
［1］张茂燕． 论我国的信息系统审计［d］． 厦门:厦门大学，2005.
［2］陈朝.我国信息化建设中信息系统审计问题研究［d］．长春：东北师范大学， 2006.
［3］邓少灵． 企业it审计的框架［j］．中国审计，2002（1）.
［4］李健，朱锦淼，王晓兵． it审计——人民银行内审面临的新挑战［j］．金融理论与实践，2003（6）.
［5］李朝阳，胡昌振． 计算机审计系统的防护方法［j］．航空计算技术，2002（1）.
［关键词］ it审计；挑战；策略
随着信息技术的兴起，信息系统已经渗透到社会生活的方方面面，它在给人们带来便利与效益的同时，也带来了很多负面影响，如计算机犯罪案件的频频发生等，系统安全问题日益严峻。于是一个不容回避的问题——我国企业如何有效地开展信息技术审计（information technology audit，以下简称it审计），保证信息系统安全，摆在我们面前。本文拟对此进行探讨。
一、it审计的定义及其特点
it审计是指对信息系统从计划、研发、实施到运行维护各个过程进行审查与评价的活动，以审查企业信息系统是否安全、可靠、有效，保证信息系统得出准确可靠的数据。由以上定义可知，it审计的目标是保证it系统的可用性、安全性、完整性和有效性，最终达到强化企业内部控制的目的。
该审计过程具有以下特点：
1.it审计是一个过程。它通过获取的证据判断信息系统是否能保证资产的安全、数据的完整和组织目标的实现，它贯穿于整个信息系统生命周期的全过程。
2.it审计的对象综合且复杂。it审计从纵向（生命周期）看，覆盖了信息系统从开发、运行、维护到报废的全生命周期的各种业务；从横向（各阶段截面）看，它包含对软硬件的获取审计、应用程序审计、安全审计等。it审计将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。
3.it审计拓宽了传统审计的目标。传统审计目标仅仅包括“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”；但it审计除了上述目标外，还包括信息资产的安全性、数据的完整性及系统的可靠性、有效性和效率性。
4.it审计是一种基于风险基础审计的理论和方法。it审计从基于控制的方法演变为基于风险的方法，其内涵包括企业风险管理的整体框架，如内部环境的控制、目标的设定、风险事项的识别、风险的评估、风险的管理与应对、信息与沟通以及对风险的监控。
二、我国it审计面对的挑战
it审计和传统审计相比具有的上述特点是吸引我国众多企业引入it审计的重要原因，但是这种方法的应用又会给企业提出巨大的挑战。
1.传统审计线索的消失。在手工会计环境下，审计线索主要来自于纸质原始凭证、记账凭证、会计账簿和会计报表，这些书面数据之间的勾稽关系使得数据若被修改可辨识出修改的线索和痕迹，这就是传统审计线索的基本特征。但是现在计算机网络信息系统中这些数据直接记录在磁盘和光盘上，无纸张记录，审计人员用肉眼无法直接看到这些数据如何记录，且非法修改删除原始数据也可以不留篡改的痕迹，从而为舞弊人员作案留有可乘之机。尽管许多审计机构要求已实现会计信息化的企业将所有原始凭证、记账凭证、账簿、报表打印输出，使用绕开计算机系统的审计方法，并以打印出的证、账、表作为基本审计的线索和依据。但是如果原始数据在业务发生时就被有意篡改，则其派生的记账凭证金额和账户余额及报表数据也一定会出错，打印出的数据也不能作为审计证据。因此即使打印出所有电子数据，传统审计线索也会在计算机信息系统下完全消失。
2.计算机信息系统的数据安全面临挑战。手工信息处理的环境下，审计人员无须将数据和会计信息的安全性问题作为审计的重要内容，但是在it审计的工作中，网络电子交易数据的安全是关系到交易双方切身利益的关键问题，也是企业计算机网络应用中的重大障碍和审计的首要问题。例如计算机病毒的破坏、黑客用 ip地址欺骗攻击网络系统来获取重要商业秘密、内部人员的计算机舞弊、数据丢失等，都是传统审计从未涉及的，但又是it审计的重点，这对当前我国的审计工作无论是操作系统，还是制度建立等众多方面都是一个很大的挑战。
3.it审计专业人才匮乏，适应it审计事业发展的人才培养和管理机制还有待建立和健全。由于it审计固有的复杂性，这项工作需要具备会计、审计、组织管理和计算机、网络技术等综合知识的人才，而且工作人员需要对内部控制和审计有深刻的理解，对信息和网络技术有敏锐的捕捉能力，在我国获得注册信息系统审计师资格的人数远远不能满足信息系统审计业务的需求。
三、我国it审计应对策略
面对上述挑战，我们应当多方位、多角度制订措施，使it审计工作更好地为我国企业发展做出贡献。具体措施如下：
1.审计线索的重建。根据计算机网络系统容易在不同地方同时形成相同“原本”数据的特点，可以重建电子审计线索：在电子化的原始数据形成时，同时在审计机构（包括内审机构）和关系紧密（签字确认）的部门形成原始数据的“原本”，或在不同部门各自形成相关的数据库（特别应当包括数量、金额和单价等主要数据项），这样不仅可以相互监督和牵制，还给计算机审计提供可信的审计线索。这种保留审计线索的方法，一方面成为有力的控制手段，另一方面可从审计线索中发现疑点。这种方法主要是应用专用的审计比较软件，同时将几个部门的同一种数据库进行自动比较形成有差异的数据记录文件，详细审查相关的数据文件和访问有关的当事人，从而取得有力的审计证据。上述比较审计方法是在不同部门同时形成业务数据文件的情况下应用，如果企业业务数据分离存放，如销售合同与销售发票、提货单在不同的部门保存，这种实质性测试也可采用比较审计法，应用专用的审计软件，结合相关的几个业务数据文件进行比较，查出有错误疑点的记录。
2.确保信息系统的信息安全。为了保证信息系统的信息安全，it审计工作人员要在审计过程中评价企业的防火墙技术、网络系统的防病毒功能、数据加密措施、身份认证和授权的应用实施情况，通过面谈实地审查企业安全管理制度建立和执行的情况，查看企业是否为了预防计算机病毒，对外来的软件和传输的数据经过病毒检查，业务系统是否严禁使用游戏软件，以及是否配置了自动检测关键数据库的软件，使异常及时被发现；检测企业是否为了防范黑客入侵，网络交易的数据库采用离散结构，同时在不同的指定网点（如在交易的双方）形成完整的业务数据备份供特殊使用（如审计和监控）；此外it审计人员还要注意检查企业的信息系统岗位责任实施、安全日志制度，审查有关计算机安全的国家法律和管理条例的执行情况。
3.建立一支完备的it审计专业人才队伍。it审计的发展必须有一大批专业化的it审计人才，这就要求我们要采取短期培训和长期培养、操作层面上的培训与高层次人才的培养、在职人员培训与未来人才培养相结合的方法将这支队伍逐渐发展起来。此外我国可以从现有的审计队伍中选拔人员进行专门的信息系统审计培训，并考虑在注册会计师的资格考试和审计师职称考试中逐步加入计算机、信息系统和网络技术等与信息系统审计有关的内容，以及加强对从事信息化咨询的it技术人员的会计与审计知识的培训。为了培养未来审计人员，应在高校会计、审计专业教学计划中增加信息技术和电子商务等内容，也可以考虑在高校中开设信息系统审计专业，直接培养信息系统审计专业人才。
当前我国it审计正处于起步阶段，和传统审计相比，it审计的显著特点决定了其势在必行，但是一种新的方法的引入和实施必定会给企业和审计人员带来巨大的挑战，面对种种挑战我们应采取积极措施，迎难而上，使it审计工作不断发展完善。
主要参考文献
［1］张茂燕． 论我国的信息系统审计［d］． 厦门:厦门大学，2005.
［2］陈朝.我国信息化建设中信息系统审计问题研究［d］．长春：东北师范大学， 2006.
［3］邓少灵． 企业it审计的框架［j］．中国审计，2002（1）.
［4］李健，朱锦淼，王晓兵． it审计——人民银行内审面临的新挑战［j］．金融理论与实践，2003（6）.
［5］李朝阳，胡昌振． 计算机审计系统的防护方法［j］．航空计算技术，2002（1）.
流程的概念很多,ISO/IEC9000将之定义为一组将输入转化为输出的相互关联或相互作用的活动。企业由流程构成,Kaplan(2001)将企业定义为是一系列相互关联的活动或流程的集合,或是一个价值链。在IT环境下,流程可理解为“角色加活动”,即将流程描述为一个为实现特殊目的而合作且互相影响的角色的集合。早期人们对企业流程的理解大多局限于传统的业务领域;当IT逐渐与业务融合,并成为企业所有经营活动的驱动引擎时,流程的范围开始拓展,此时的IT流程与业务流程需要实现动态整合,即IT活动被看作是业务,并执行与业务相同的管理方式。因此,IT环境下的企业业务流程应该是广义的,同时包含IT流程和业务流程。美国公众公司会计监督委员会的第5号审计准则就指出,作为理解重大流程的一部份,审计师应理解IT如何影响公司的交易流程。
有些大的会计公司为了强调经营风险的审计方法,修改它们的审计辅助软件,以围绕业务流程组织审计证据,而不是按照传统的交易循环组织证据。关注业务流程的审计软件系统(Business-Process-Focused,BPF)通过价值链组织被审单位的信息;而传统的关注交易循环的审计软件系统(Transaction-Circle-Focused,TCF)是按照交易分类组织被审单位的信息。O''''DonnellE和JrJosephJSchultz(2003)的研究结果表明使用BPF软件的审计人员能识别出更多的风险情形,并将风险估计在恰当的水平;而使用TCF软件的审计人员对风险的识别和估计都较差。因此他们认为不同的信息组织形式会影响审计人员的决策判断。造成这种结果的原因在于业务流程关注事件之间的关联性,它通过情景引导记忆;而传统的交易循环关注的是交易分类,它通过语义引导记忆。因此,关注业务流程可降低任务的复杂性和认知难度。随后其他的研究人员也发现围绕业务流程开展内部控制的评估任务更为有效。
二、IT环境下基于流程的审计风险判断方法
为了协助审计人员运用自上而下的风险导向审计方法,国际审计和鉴证准则委员会于2005年制定了“在整个审计
过程中运用职业判断对重大错报风险进行更准确评估的框架和模型”。具体步骤如下:(1)了解企业及其环境(包括内部控制),识别风险,并在报表层次考虑交易性质、账户余额、披露;(2)将发现的风险与认定层次可能发生的错误与舞弊相联系;(3)考虑风险的重要性;(4)考虑风险的发生概率。这个风险判断思路也同样适用于IT环境。因此借鉴自上而下的审计方法,将流程作为IT风险判断的中间环节,改进了的IT环境下的审计风险判断方法具体实施步骤如下:
1.了解企业及其环境(包括内部控制)。我国2006出台的《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》列举了影响重大错报风险的因素:行业状况、监管环境以及其他外部因素,企业性质,目标和性质以及相关的经营风险,财务业绩的衡量和评级,内部控制。在IT环境下,识别和评价企业层面的风险和风险控制的有效性时,需特别考虑:(1)IT利益群体的风险及对IT利益群体控制的有效性,如IT治理;(2)企业层面的IT控制,如与IT相关的控制环境、风险评估、信息与沟通、监控、教育和培训等方面。
2.确定财务报告流程的核心要素。根据企业层面的风险评估结果识别重大账户、重要披露及与之相关联的认定。
3.识别关键业务流程。审计人员首先要识别与上述重大账户、重要披露、认定相关联的关键流程及流程所包括的主要交易,同时识别流程中易发生错误和舞弊的关键点(控制点)。为了判断业务流程能否实时预防或检测错误和舞弊,审计人员要识别出需要被测试的控制点,由于业务流程大多基于IT,因此要确定这些控制点哪些是依赖IT的,然后识别并证实关键的IT功能。
4.确定与IT功能相对应的应用系统的范围。详细列出与这些IT功能相关的应用系统和与之关联的子系统,包括交易应用系统和支持性应用系统。交易应用系统在处理组织内的数据时通常提供以下功能:(1)通过借贷关系记录交易的价值数据;(2)作为财务、经营和法规数据存放的仓库;(3)能够生成各种财务和管理报告,包括销售订单、客户发票、供应商发票以及日记账的处理。支持性应用系统并不参与交易的处理,但方便了业务活动的进行,如Email程序、传真软件、设计软件等。
然后IT审计人员与财务审计人员合作,从列示的子系统中识别出支持授权、复杂计算、维护重要账户(如存货、固定资产、贷款等)的完整性的重要应用系统。应用系统是否重要,需要考虑:交易量(交易量越多,应用系统越关键)、交易金额(金额越大,应用系统越关键)、运算的复杂性(运算越复杂,应用系统越关键)、数据和交易的敏感度(敏感度越大,应用系统越关键)。为应用系统提供IT服务,或者支持应用系统关键环节的IT一般流程即为需要进行IT一般控制测试的范围。
5.识别管理和驱动这些重大应用系统的IT流程。识别所有支持这些应用系统的基础设施,包括数据库、服务器、操作系统、网络,以及与之相关联的IT流程。判断这些IT流程的风险和相关的控制目标。识别出需要被测试的IT一般控制,进而判断其是否符合控制目标。控制测试结果将影响与之相关的IT应用控制的评价、业务流程的风险评价。对这些流程和系统进行风险和控制评估后,就可以制定风险控制矩阵。
6.评价IT控制、分析业务流程风险。结合对IT一般控制的评估结果和对业务流程中IT应用控制的评估结果,就可以分析关键业务流程的IT风险控制情况。此时的IT控制测试和人工控制测试要结合起来予以考虑,即将二者作为一个整体的测试对象。业务流程的风险是与业务流程所关联的一系列交易活动、账户群的余额、列报(包括披露)认定层次重大错报风险相联系的,因此,业务流程风险的评价结果构成了认定层次重大错报风险评估的直接基础。
7.评估电子证据证明力、设计实质性测试程序。审计人员可根据上述步骤的风险评估结果判断某一业务流程的电子审计证据的证明力并设计与业务流程有关的账户群的实质性测试程序。
通过上述7个步骤,审计人员可以将IT环境下的企业风险因素与报表层次和认定层次的重大错报风险相链接,同时也为电子审计证据证明力(即检查风险的判断)提供了依据。
参考文献:
[1]顾晓安,基于业务循环的审计风险评估专家系统研究[J].会计研究,2006(4):23-29.
[2]O''''DonnellE,JrJosephJSchultz.TheInflueceofBusiness-Process-FocusedAuditSupportSoftwareonAnalyticalProceduresJudgements[J].Auditing:AJournalofPractice&Theory.2003,22(2):265-279.
摘 要 本文在分析商业银行实施信息技术审计的必要性的基础上，给出了信息技术审计的内涵，并结合笔者多年的银行信息技术审计工作的经验，提出了当前中国商业银行信息技术审计体系的框架，并对信息技术的一般控制审计及应用控制审计做了详尽阐述。
关键词 信息技术审计（ITA） 商业银行 审计体系
在现代金融系统中，商业银行扮演着极其重要的角色，而中国的商业银行在中国的金融体系乃至国民建设中都发挥着举足轻重的作用。在信息技术高速发展的今天，几乎每一个银行业务的处理都离不开信息系统，因此对信息系统的高可用性、高安全性有着非常高的要求。同时信息技术的发展与应用已经决定着商业银行的业务发展方向、模式以及创新能力，直接形成银行的核心竞争力。银行IT建设已经成为银行在市场竞争中的一项关键资源，因此对银行IT的风险控制与管理已经非常的重要，对商业银行的信息技术审计（ITA）提出新的要求。
一、商业银行IT审计的必要性
（一）IT审计是商业银行信息技术应用的必然结果
商业银行从最开始手工账务处理，到今天的信息技术覆盖到银行的方方面面。针对国内商业银行，据相关的数据统计，硬件网络平台已经实现了100%的应用，软件应用已经覆盖了80%以上的商业银行业务。从传统的手工处理，到今天的网上银行、手机银行等，商业银行对信息系统依赖性的日益增强，犯罪分子利用网络对银行信息系统攻击和破坏是益增多，必须要求对商业银行的信息基础建设及信息系统进行审计。
（二）IT审计是商业银行IT风险控制的必然要求
当前银行信息系统所采用IT技术与信息系统软硬件本身存在着大量的脆弱性，如硬件故障、系统漏洞、意外灾祸都会造成银行系统不能正常工作。国外相关统计数据表明，一些银行系统失效的风险损失占到总风险损失的10%-20%。如2009年1月下旬，某银行综合业务系统发生故障，造成综合业务系统故障时间约11个小时，导致整个银行不能对外营业，客户服务中断达4个小时，这种系统带来风险不仅给银行带来经济上的损失，而且直接关系到银行的声誉风险。
（三）IT审计既是银行信息化建设的必然保障，也有利于商业银行业务运营风险的防范
由于我国商业银行IT建设的起步较晚基础薄弱，同时在IT建设之初又缺乏系统、统一的规划，致使我国商业银行信息系统的建设缺乏标准性、前瞻性、规划性，重复建设严重，数据不完整或难以统一，甚至系统建好后发现不能满足要求而闲置等垢病。IT审计可以从IT建设规划，IT组织架构等方面加以评价或监督，推动银行信息化建设环境的治理。另一方面，由于银行业务经营风险很大程度上已经转移到信息系统的风险控制上，因此需要对信息系统的有效性进行评价，包括信息资产的保密性、完整性和可用性。
（四）IT审计也是商业银行审计发展的必然要求
随着信息技术在银行的应用，银行不实行IT审计，审计的内容不全面，审计风险也无法控制。而我国绝大多数银行现在IT审计都处于摸索试验的阶段，IT审计的基础相当薄弱，有些银行对IT风险监管缺乏独立性、系统性、全面性，这些都要求银行加快IT审计的步伐。
二、商业银行IT审计的内涵
到目前为止，国际上对IT审计定义也未形成统一标准的概念。一般来说国外的IT审计始于20世纪60年代的美国，从其发展历程来看，大概经历了三个阶段。最初是电子数据处理（EDP）审计，满足对财务电算化系统进行审计的需要，然后经历了以信息系统审计（ISA）为中心审计阶段，到今天逐渐形成独立的信息技术审计（ITA）。
而国内IT审计起步比较晚，还处于探索阶段，大家的认识也不统一，观念上仍存在若干模糊概念。纵观我国商业银行IT审计发展历程及做的IT审计项目，有以下几个方面特点：其一，认为IT审计就是对信息系统的审计（ISA），即对“计算机化的系统进行审计”，其审计对象、审计范围都有其局限性。其二，认为IT审计是审计人员利用计算机对财务数据进行审计，或者是等同于审计信息化，即运用IT手段或审计工具辅助传统审计或对传统审计进行深化。其三，将IT审计定义为IT运营环境的风险控制，包括IT基础环境安全、网络安全、信息安全等内容。在当前形势下，必须对IT审计形成一个统一、规范的认识，这才有利于IT审计工作的开展和IT风险的防范，也将为 IT审计形成行业规范和建立准则奠定基础。
综合众多观点以及IT审计在我国的实施情况，笔者结合多年在商业银行IT审计经验，认为IT审计（Information Technology Audit，简称ITA）是根据公认的标准和指导规范，对企业的信息技术应用和全体信息资产的安全、效率、潜在风险进行评价，从而保证整体IT资源能促进企业战略目标的实现，推动企业的可持续发展。商业银行的IT审计不仅是评价银行IT基础设施、系统稳定安全的运行，同时涵盖系统的建设、系统对业务的支持、以及IT环境建设及IT治理等方面。
三、商业银行中IT审计体系框架及主要内容
当银行业务的处理已经高度依赖于信息系统的稳定运行的今天，信息科技风险的防范，需要从一个更宏观的角度，对商业银行信息技术建立一个整体有效的监控体系。笔者结合多年商业银行IT审计的工作内容，以及对银行所面临的IT风险思考，提出商业银行IT审计体系框架应当是覆盖了银行IT的基础建设、保障、安全，信息系统整个生命周期中的全部活动和资源，以及信息系统的应用领域。与商业银行信息技术的建设不同，银行IT 审计更关注潜在可能风险、风险的规避、管理和控制等。其主要内容一般可以分为两个大的方面，即IT一般控制审计与IT应用控制审计。
（一）IT一般控制审计
IT一般控制审计主要包括以下几个方面的内容：IT环境治理的审计、IT基础建设的审计、IT系统开发建设过程的审计等。其具体的审计内容见表1：
（二）IT应用控制审计
IT应用控制审计可以分为两方面的内容：
1．信息系统审阅：审计人员参与到信息系统的整个开发过程，在系统的需求论证、系统的基本架构、系统与系统之间关系与影响、开发过程中对主要业务流程控制点、测试与交付等重大控制点发表自己独立专业的意见，为保证系统能满足业务要求和符合企业战略发展提供独立意见。
2．信息系统应用控制审计：审计人员应当对已开发的系统以第三方身份进行独立审计，尤其是对开发过程中无独立的风险部门参与实施的系统。信息系统应用控制审计的内容包括输入输出控制、计算的准确性、系统接口及数据转换的安全性与一致性、访问权限的控制与设计、系统流程对业务流程的表达与控制等，用来评价信息系统是否能准确的对业务提供支持，有效的防范操作风险，同时不产生额外的风险，并且随着业务的发展提出系统持续改进的意见。
四、结语
商业银行IT审计既是银行信息技术应用与审计发展到一定阶段的共同产物，同时也是银行控制自身风险的必然要求。中国商业银行实施IT审计任重而道远，这既有赖于中国商业银行IT治理环境与文化的建立，更有赖于中国IT审计人才的储备及成长，它不仅要求IT审计人员懂得IT技术本身，更应当懂得银行业务，同时还得有现代企业风险控制的意识。
参考文献：
[1]Ron Weber. Information Systems Control and Audit. Prentice Hall Inc. 1999.
[2]ISACA. Information System and Control Association. Review Technical Information Manual.
[3]胡晓明.基于IT治理的我国信息系统控制与审计体系构建思考.科学管理研究.2008(9).
[4]王倩.浅谈商业银行IT审计发展对策.财经论坛.2008(3).
购物车(0)