信息化环境下开展风险导向审计探讨

中内协网 www.ciia.com.cn 点击次数:14
内容摘要：近年来，内部审计的环境随着全球一体化经营理念、全球性金融危机的冲击正在发生着巨大变化。信息时代战略联盟、跨国公司和虚拟组织的出现，必然对内部审计产生深刻影响。为了在信息化环境下更好地开展风险导向审计，我们有必要了解审计风险的概念、风险导向审计产生的背景和探讨信息化环境下如何利用最新在线实时数据挖掘审计技术开展风险导向审计活动。
关键词：审计风险  风险导向审计  信息化环境与数据挖掘
一、审计风险的现状
审计风险，对外部审计而言是指审计人员通过实施审计程序，未能发现被审查对象中存在的重大错报、漏报，而发表不恰当审计意见的可能性；对内部审计来说，由于内部审计的工作范围不仅仅对财务信息发表意见，而且涉及到组织内部生产经营管理的各个领域，所以审计风险应该理解为：内部审计组织由于实施审计程序，对被审查的业务活动和单位发表不恰当审计意见，给组织或内部审计部门带来不利局面的可能性。
事实上，自系统导向审计模式代替早期的账项导向审计模式，在对内部控制制度进行符合性测试的基础上，大量使用测试和抽样技术那一刻起，依据审计样本作出的审计结论和提出的审计意见就很可能出现偏差，审计风险就已经存在了。近年来，随着信息技术的高速发展、计算机互联网络信息系统的不断普及，审计作为信息的验证者，工作的方法与手段也随之发生前所未有的改进与变化。审计职业界亦颁发和修订了一系列准则用来降低审计风险，提高审计质量。
与此同时，世界各国控告审计人员的诉讼案件却急剧增加，全球著名四大会计事务所之一的德勤曾因“古井贡集团5910万元的漏税事件”、“创维集团香港上市财务作假”、“中芯国际案件中涉嫌套汇”、“科龙年报中的5.1亿元的销售收入造假说”以及去年初“上海航天机电股份有限公司指称，其审计服务公司德勤在提供审计服务的过程中，所提供的审计报告与实际情况不符，客观上促成其出纳人员挪用公司巨额资金，造成直接损失629万元”等事件被上市公司一次次诉上法庭。审计已处于诉讼爆炸时代。究其原因：
1.由于全球化金融危机的爆发、欧洲债务危机的不断蔓延造成企业经营风险的加剧；由于企业间的恶性竞争，导致企业的不稳定性成倍增长，许多著名企业破产倒闭。这对于实施审计的审计职业界自身来说，承载的审计责任和审计风险也同时增加。
2. 随着经济全球化的快速来临，战略联盟的建立、跨国公司和虚拟组织的出现，促使审计对象日益复杂和扩大，使得审计结论的正确性越来越难以保证。
3.审计职业是一种令人羡慕具有较高社会地位和较高收入的职业，地位和责任是相辅相成的，审计地位和责任的提高必然伴随着审计风险的增加。
4.审计风险的出现一般最终体现在法律诉讼案件的判决中。而法庭的判决大多倾向于原告一边，从而作出对审计人员不利的判决。
二、风险导向审计成为现代审计的必然趋势。
审计风险存在是客观的，然而，存在审计风险并不说明就存在风险导向审计，只有在审计风险发展到一定程度，审计人员必须在审计成本与审计风险之间寻找平衡点，并将对审计风险的评价作为一切审计工作的出发点并贯穿于审计过程的始终时，风险导向审计顺应了这种需要才可谓真正产生。
所谓风险导向审计，是指以被审单位的风险评估为基础，综合分析评审影响被审计单位经济活动的各因素，并根据量化的风险水平确定实施审计的范围、重点、性质、程度和时间，进而进行实质性审查的一种审计方法。具体地说：
（1）风险导向审计是以审计风险的分析与控制为出发点，促使审计人员更加重视社会对审计的要求和研究，使有限的审计资料发挥更大的社会效益。
（2）风险导向审计要求审计人员对被审单位的内部控制充分了解和评价，在此基础上，分析、判断被审计单位的风险及其风险程度，把审计资源集中于高风险领域，针对不同风险因素状况、程度采取相应的审计策略。
（3）风险导向审计侧重于对会计信息质量的鉴证。在保证审计质量要求的前提下，统筹符合性测试、分析性检查方法的运用，尽可能地灵活运用各种审计手段，提高审计工作效率，通过对被审组织的风险进行分析性测试来确定实质性测试的程度，然后加强对高风险点的实质性测试、将审计的剩余风险降到最低水平。
（4）风险导向审计以统一的模式，依据事物的内在逻辑，统筹审计证据决策中的主要因素，其考虑的因素较制度基础审计更为全面，这就进一步提高了审计工作科学化、规范化水平。
风险导向审计是继账项导向审计、系统导向审计之后，在审计实务界采用的一种全新的现代审计模式，其根本目标是将审计风险降低到审计人员和社会都可以接受的水平。这种审计模式由于适应了市场经济高度不确定性和人们对审计期望值不断提高的要求，从一开始就显示出其强大的生命力，它代表了现代审计的最新趋势。
三、现代信息技术发展对内部审计的影响
信息时代，由于网络化的发展，电子商务和网上实体的出现，使经济交易、资本决策可在瞬间完成，整个过程呈现出无纸化，由此产生的交易以电子帐簿形式储存，而经济的信息化、网络化、虚拟化，使得网上交易非常普遍，审计人员单凭肉眼难以获得所需的审计线索，交易程序的变革，交易过程的无纸化，必然对内部审计产生如下影响：
1.无纸化交易导致审计线索难以把握。信息社会现代企业交易的方式主要是通过网上来完成的，过程大致如下：首先通过服务器设立网站，建立网上交易系统，并开通实体或虚拟营业部门的网上委托交易主站；然后通过浏览器，将有关信息以超文本标准语言格式传递，并与政策、财政、税务、银行建立关联，提供网上共享的交易平台；最后公司通过网络信息取到指令后，就可以进行实时交易，同时进行结算与支付，完成网络清算。整个过程快捷、简单，对传统的审计程序和方法提出了挑战。
2.在线数据处理导致内部控制评价重点转移。在信息化环境下，公司交易系统的应用程序完全集中在服务器上，通过浏览器执行程序、传递数据。数据来源的广泛性、数据的集中性，使得传统组织控制弱化，数据的共享性使得企业内部的控制重点转向系统的安全性控制，尽管网上公司普遍采用防火墙、身份认证、信用认证、加密钥等程序化控制技术和手段，但网络经营风险仍然存在，如何鉴别、评价系统安全性控制风险已成为现代内部审计重要任务。
3.多样化交易方式导致现代内部审计方法改变。现代多样化的交易方式和技术手段使得数据传送呈实时性和动态性，这在客观上要求对这些无形化的“网络会计实体”进行适时审计，否则，时过境迁，面对无书记录的经济业务，审计人员难以作为。
因此，传统的事后审计与就地审计方式将逐渐被在线的、实时的、动态的、事前、事中等方式所取代。审计人员在审计过程中，必须根据网络“即时互动”的特点，采用多样化审计方式，才能获取真实可靠的审计证据，为顾客提供高效优质的专业服务，这时在线审计方法应运而生。
四、在线审计从根本上满足了风险导向审计要求
信息时代，强调实时审计。审计人员可以充分利用各种成熟的审计软件在线实时验证数据的准确性、完整性、真实性、合理性和及时性。它们可以保证经济业务在价值偏离预先设定的范围时触发警报，还可以利用信息系统从网络上寻找特定的信息、状态或事件。比如，一个对应收账款执行分析性程序的软件系统在警报出现时，会通过电子邮件向审计人员发送一份例外报告，同时还可以与客户进行销售验证，并将确认函发送给有关审计人员，提醒有关审计人员及时进行跟踪。这些互动、实时的特性使得审计人员能快速地评价审计结果、调整最初的审计计划和检验新的假设，从而降低审计风险，提高审计效率和效果。通过网络开展在线实时审计具体来说有以下特点：
1.开展在线实时审计，可以提高审计工作效率，降低审计成本。在线审计的对象是以数据为基础的财务及其它经济资料，通过信息系统进行高速、正确地运算，既提高了数据工作的准确性，也使审计人员从冗长乏味的计算工作中解脱出来。审计人员可以在较短的时间里正确抓取并筛选出所需要的数据，然后据以分析可能存在的问题，从而大大节约人力和审计时间，增大了发现问题的可能性。
2.开展在线实时审计，可以帮助审计人员快速有效地取得审计所需要的基础资料，以便从中发现有关的违规违纪的线索和疑点。
3. 开展在线实时审计，可以在一定程度上打消极个别员工存在的违规违纪操作或违法分子的侥幸心理，可以对原始信息生成、处理过程的相关人员起到威慑作用，从而从源头上堵住漏洞，防范事故隐患。
4. 开展在线实时审计时，审计人员与被审计人员不见面，主要利用数据软件进行远程取证、数据分析、结果判断做出审计结论，因此可以大大降低审计成本，减少人为造成的影响审计独立性因素，从而保证内部审计的权威性。
综上所述，实时在线审计是随着现代信息处理手段和传递方式的发展而发展起来的一种全新审计方式。它所具有的全面性、时效性、低成本、高质量等特点与优势从根本上满足了现代环境下开展风险导向审计的基本要求。
五、利用数据挖掘技术开展实时在线审计
信息技术的高速发展引起了人类社会全面而深刻的变革，使人类由工业社会迈向信息社会。在信息社会，几千年来形成的信息传达方式、人际间的沟通方式和社会管理组织方式等诸多方面，都发生了极大的变化。目前，信息技术正在向数据集中化、交易联网化、管理信息化方向发展，实现了数据共享和异地远程交易便捷化，为企业管理集中和科学运营奠定了基础。信息化建设也加大了企业的运作风险，信息技术的应用弱化了传统的证据轨迹，信息技术的不断更新带来了管理的脆弱性，导致舞弊活动具有更强的隐蔽性和更加复杂的技术性。
以银行业为例，中国银行广东开平分行前后三任行长把大量银行资金转移到海外，总金额将近40亿元，在长达10年的时间里竟然一直没有被人发现，案发后三名嫌疑人先后逃往海外，给国家造成了巨大损失；中国银行哈尔滨分行河松街支行原行长高某勾结他人，通过地下钱庄挪用3亿元银行存款，涉案总金额超过10亿元；河北邯郸农业银行的金库盗窃案涉案金额5100万元，是案犯通过电子转账去购买彩票。相似的利用信息系统犯罪的案例在各个行业、企业当中不断出现。
伴随着信息系统的广泛应用，防范舞弊、降低风险的要求也越来越高。在这样的环境下，一方面审计人员通过传统的手工翻账已完全不能满足工作要求，迫切需要发展对电子数据的审计技术，另一方面被审计单位的信息化程度的不断提高，信息系统本身的不完善以及通过修改信息系统程序作弊的情况，促使审计人员选择实时在线审计方法对信息系统进行审计成为必然。
但是，开展实时在线审计，面对着网络数据流量的日益激增，网络数据库中海量的数据，如何从中寻找出一定的数据特征，发现可疑数据，以便对程序和用户行为做出更精确的描述，来适应风险导向审计的需要，降低审计风险和审计成本，提高审计工作质量和效率，是审计人员目前亟待解决的难题，而数据挖掘技术的出现使这个重要课题迎刃而解。
开展实时在线审计时，在信息系统中嵌入数据挖掘技术，可以在大规模网络环境下进行审计数据挖掘；可以增强系统的智能性，并提高整个系统的运行效率；可以对原始信息生存、处理过程的复杂问题进行过滤；可以自动地从海量的数据中寻找到有价值的审计信息，提高对风险的预测能力，实现全过程的动态监督，安全、稳定而隐蔽，为及时防范和化解风险提供科学的依据，最大限度地保证审计质量。由此可见，在风险导向审计中利用数据挖掘技术能够使实时在线审计达到事半功倍。
六、信息化环境下利用在线实时数据挖掘审计技术开展风险导向审计
2003年10月，国际审计和鉴证准则委员会（IAASB）对现行审计风险准则进行了一系列的重大修订，发布了三个最新国际审计风险准则，即审计风险=重大错报风险×检查风险。其中重大错报风险是指财务报表在审计前存在重大错报的可能性，检查风险是审计人员审计后认为财务报表不存在重大错报漏报的可能性。由此可见，审计风险存在是客观和无法避免的，它存在于审计的每一个程序之中。
（一）开展风险导向审计的一般程序
开展风险导向审计的程序一般如下：
1.调查了解有关情况，评估确认预期审计风险水平：审计人员运用各种方法对被审单位进行调查了解，如召开座谈会、口头询问、问卷、查阅有关年度档案资料，走访有关部门，进行实地考察等以评估确认预期审计风险水平。
2.对报表进行分析性测试、评估固有风险，确定范围。
3.对审计范围内的会计报表项目进行控制风险评估。
4.确定检查风险及重要性水平，并据以编制审计方案。
5.实质性审查。
6.根据实质性审查结果，得出审计结论。
将实质性审查检查出的有错报漏报的报表项目错漏金额同该项目的重要性水平进行比较，若前者比后者大，则应确认项目有重要错报、漏报。原则上，若为故意舞弊，涉及合同义务的履行或影响收益变动趋势的，尽管其错漏金额可能未达到重要性水平，也应将其视为重要的错报漏报，在审计报告中加以反映。
（二）利用在线实时数据挖掘技术开展风险导向审计
利用在线实时数据挖掘审计技术开展风险导向审计活动与上面简单介绍的风险导向审计一般程序相比，前者不仅能简化上列某些过程、缩减审计时间，适应信息化环境的变化，更能提高审计人员评估审计风险和及时发现舞弊的能力。下面主要阐述信息化环境下如何利用在线实时数据挖掘技术开展风险导向审计活动情况：
1.评估被审计单位，即了解被审计单位及其环境，包括内部控制，确认预期审计风险水平。审计人员首先可以利用数据挖掘技术从被审计单位的数据库中提取以前年度财务报表，会计政策的选择和运用；经营、战略目标以及相关经营风险；企业性质；行业状况、监管环境及其他外部因素等，接着，根据财务报表分析以及企业性质、行业状况，用分类和预测的方法确定企业风险水平较高或较低。然后，通过演化分析技术分析历年数据和经济指数，评估企业风险的可接受水平，通过关联分析，确定各类风险诱因，如：财务比率、企业评分等级、内部控制等，以风险诱因为标准，最后确定各审计范围的风险水平。重点关注以下因素：
（1）被审计单位的性质、经营环境、经营条件、经营活动的复杂性、财务状况及其发展前景，包括所在行业及经济趋势等。
（2）被审计单位以前年度接受审计的情况。
（3）被审计单位管理层的品德、能力和处事风格；管理层遭受的异常压力；重要岗位人员的变动情况，经营活动中运用估计和判断的程度等。
（4）内部控制设计及执行情况、容易受损失或被挪用的现金、存货等实物资产的经济业务。
2.内控制度的符合性测试。许多数据挖掘审计软件可用于内控测试的风险评估。在国外，由于很多企业都已采用COSO控制模型，一些公司或组织设计了相应的审计软件包，包括德勤的Visual Assurance、国际内审协会的COSO软件、Patrol400等。这类审计软件可以用于持续监控企业活动，近似于自动审计。审计人员借助这些软件可以发现高风险交易，编制例外事项报告，以及跟踪趋势变化，查处舞弊。特别是这些审计软件包还能记录计算机使用痕迹，以测试某些控制环节，如密码的启用以及保密文件的浏览等。还有的审计软件如Risk Ranking Advisor可以在各类Windows操作系统下运行，协助审计人员完成内控制度的符合性测试，为审计计划、执行和管理提供较为全面的技术方法，帮助审计人员进行风险评估，包括事前和事后审计风险的评估。
3.实质性测试审计。通常情况下，全面审查被审计对象是不可能的，只能用适当的抽样方法选取总体的一部分作为样本并对此审查。如果样本之外有重大错漏，则审计人员很有可能做出错误的审计结论。抽样审计这种客观局限性是造成审计风险的重要原因。在线实时数据挖掘作为一种先进的信息技术，能够帮助审计人员在较短的时间里筛选出原先并不明显的代表性样本，增强样本的代表性，一定程度上降低了审计风险，而且审计效率显著提高。在控制测试阶段和实质性测试阶段都可以采用数据挖掘技术帮助选择样本。
（1）控制测试阶段：为测试各控制环节的执行情况，可以用数据挖掘技术将具有相似特征的会计交易分组。以批准材料采购这一控制环节为例，通过分组分析可以非常迅速、非常清楚地发现以下各种情况：由非授权人批准的交易（属越权代理）；授权人变动的交易（如某个利润中心的业务按规定始终有甲签字授权，但有几笔交易变成由乙授权，属例外情况）；不属于任何组别的交易（离群交易）；始终按规定授权人批准而发生的交易（正常交易）等等。
（2）实质性测试阶段：根据内部控制制度实际存在的强点和弱点，评价控制制度的有效性，并确定进一步实施实质性测试的范围。以应付账款的测试为例，运用数据挖掘技术将具有相似特征的会计数据分离，可以发现下列各种情况：金额明显异于其他月份的应付账款；重复记账的应付账款；与总账、明细账金额不等的同一笔应付账款；资产负债表日前日后的应付账款；重复发生非常规交易的应付账款，如每月底购买相同金额的资产等等。
在实质性测试时，审计人员可以运用在线实时数据挖掘审计技术对被审计单位的财务数据及经营数据进行分组分析或关联规则分析，从中发现存在的问题或异常现象，大大减少主观判断的风险，缩小审计范围，降低审计成本，提高审计风险报警事件的准确性。
七、实时在线数据挖掘技术对风险导向审计的影响
信息化环境下实时在线数据挖掘技术作为风险导向审计工作的一种手段，可以从两方面影响审计风险：
1.一方面， 风险导向审计工作中运用数据挖掘技术是为了在某种程度上降低检查风险，以将审计风险控制在一定的范围内。因为数据挖掘技术可以对组织的海量数据进行全面详查，审计覆盖率提高，这就解决了风险导向审计模式下抽样审计的片面性；减少了因评价内部控制得出“控制看起来有效”的审计结论，从而决定审计的范围、程序和时间等资源分配所无法避免的审计风险；数据挖掘技术对数据特有的“洞察力”使得审计人员对于异常数据更加敏感，更加有助于审计人员发现被审单位的漏洞，从而可以极大地降低审计风险。
2.另一方面，作为一种数据处理手段，数据挖掘技术具有多种技术方法，无论是孤立点检测、分类还是神经网络、聚类等都不可避免地存在因为方法本身而影响审计风险的问题。因为各种技术方法都有其一定的精度以及对审计项目的适应问题。方法的精度往往是有限的，而且还应考虑到方法的成本与所带来的效益之间的权衡，过分追求方法的精度往往是一种浪费。更重要的是，过分地依赖它，其有限的精度问题将不可避免地给审计测试造成一定程度的风险。
利用在线实时数据挖掘审计技术对海量数据进行审计并控制审计风险，已显示出传统审计方法无法比拟的巨大优势，是信息化环境下开展风险导向审计技术中的重要手段，我们有理由相信，随着信息技术的迅猛发展，其在审计实践中所具有的广阔前景不容忽视。（作者：中航雷达与电子设备研究院审计部 方慧娟）
参考文献：
[1] 贝利（美）、格拉姆林（美）、里姆蒂（美）著，王光远等译，《内部审计思想》,中国时代经济出版社，2006.1
[2] 刘三昌等著，《企业内部审计技术》，中国经济出版社，2004.5
[3] 董大胜著，《审计技术方法》，中国时代经济出版社2004.1
[4] 胡春元著，《审计风险研究》，东北财政大学出版社，1997.1
[5] 《内部审计具体准则第15号—分析性复核》；《内部审计具体准则第17号—重要性与审计风险》；《内部审计具体准则第18号—审计抽样》
（来源：审计署网站）