一、信息系統(tǒng)環(huán)境下注冊(cè)會(huì)計(jì)師的審計(jì)風(fēng)險(xiǎn)

　　我國(guó)《注冊(cè)會(huì)計(jì)師法》第21條規(guī)定了注冊(cè)會(huì)計(jì)師的審計(jì)責(zé)任：“注冊(cè)會(huì)計(jì)師執(zhí)行審計(jì)業(yè)務(wù)，必須按照?qǐng)?zhí)行準(zhǔn)則、規(guī)則確定的工作程序出具報(bào)告”。中國(guó)獨(dú)立審計(jì)準(zhǔn)則對(duì)注冊(cè)會(huì)計(jì)師的審計(jì)責(zé)任也做了詳細(xì)的規(guī)定：注冊(cè)會(huì)計(jì)師的審計(jì)責(zé)任是指注冊(cè)會(huì)計(jì)師按照獨(dú)立審計(jì)準(zhǔn)則的要求出具審計(jì)報(bào)告，并對(duì)發(fā)表的審計(jì)意見(jiàn)負(fù)責(zé)。由于基本會(huì)計(jì)數(shù)據(jù)及其他管理數(shù)據(jù)的龐大以及審計(jì)成本的限制，現(xiàn)代審計(jì)多采用評(píng)價(jià)內(nèi)部控制基礎(chǔ)上的抽樣審計(jì)以獲得支持財(cái)務(wù)報(bào)表的證據(jù)。在信息系統(tǒng)條件下，審計(jì)基礎(chǔ)數(shù)據(jù)更加龐大和復(fù)雜，內(nèi)部控制的內(nèi)容與方法也發(fā)生了巨大變化，獲取基礎(chǔ)審計(jì)數(shù)據(jù)，評(píng)價(jià)新的內(nèi)部控制結(jié)構(gòu)的效力與證據(jù)之間的聯(lián)系，這些都構(gòu)成了對(duì)注冊(cè)會(huì)計(jì)師的極大挑戰(zhàn)。

　　我國(guó)2004年發(fā)布的《獨(dú)立審計(jì)具體準(zhǔn)則第20號(hào)——計(jì)算機(jī)信息系統(tǒng)環(huán)境下的審計(jì)》明確指出，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)充分關(guān)注計(jì)算機(jī)信息系統(tǒng)環(huán)境對(duì)被審計(jì)單位會(huì)計(jì)信息及內(nèi)部控制的影響。2006年發(fā)布的《中國(guó)注冊(cè)會(huì)計(jì)師審計(jì)準(zhǔn)則第1633號(hào)電子商務(wù)對(duì)財(cái)務(wù)報(bào)表審計(jì)的影響》第十八條指出，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)關(guān)注審計(jì)單位是否運(yùn)用適當(dāng)?shù)陌踩A(chǔ)架構(gòu)和相關(guān)控制；第32條也指出，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)考慮被審計(jì)單位實(shí)施的信息安全政策和控制措施，是否足以防止未經(jīng)授權(quán)修改會(huì)計(jì)系統(tǒng)或會(huì)計(jì)記錄，或修改向會(huì)計(jì)系統(tǒng)提供數(shù)據(jù)的系統(tǒng)?！秶?guó)際審計(jì)準(zhǔn)則15——電子數(shù)據(jù)處理環(huán)境下的審計(jì)》明確指出，當(dāng)在一個(gè)電子數(shù)據(jù)處理的環(huán)境下進(jìn)行審計(jì)時(shí)，審計(jì)人員應(yīng)當(dāng)對(duì)約定計(jì)劃中的計(jì)算機(jī)因硬件、軟件和處理系統(tǒng)有充分的了解，并且要了解電子數(shù)據(jù)對(duì)內(nèi)部控制的研究與評(píng)價(jià)和對(duì)審計(jì)程序?qū)嵤┑挠绊?，包括?jì)算機(jī)輔助審計(jì)技術(shù)。但我國(guó)的獨(dú)立審計(jì)具體準(zhǔn)則和國(guó)際審計(jì)準(zhǔn)則都沒(méi)有給出審計(jì)測(cè)試的具體評(píng)價(jià)標(biāo)準(zhǔn)，注冊(cè)會(huì)計(jì)師在評(píng)價(jià)計(jì)算機(jī)信息系統(tǒng)的安全、正確及有效性方面遇到了很大的困難。

　　以上情況表明，雖然注冊(cè)會(huì)計(jì)師可能無(wú)需對(duì)信息系統(tǒng)和信息活動(dòng)提出鑒證結(jié)論和咨詢意見(jiàn)，但必須考慮信息系統(tǒng)和信息活動(dòng)對(duì)被審計(jì)單位的影響與重大錯(cuò)報(bào)的風(fēng)險(xiǎn)。因此，注冊(cè)會(huì)計(jì)師在面對(duì)復(fù)雜的信息系統(tǒng)時(shí)必須考慮借用有效的IT標(biāo)準(zhǔn)來(lái)對(duì)被審計(jì)系統(tǒng)進(jìn)行評(píng)價(jià)。當(dāng)前國(guó)際上普遍應(yīng)用的IT相關(guān)標(biāo)準(zhǔn)眾多，但有關(guān)信息系統(tǒng)管理及如何對(duì)信息系統(tǒng)進(jìn)行審計(jì)的標(biāo)準(zhǔn)相對(duì)比較少，對(duì)審計(jì)人員來(lái)說(shuō)，COBIT對(duì)審計(jì)人員具有更強(qiáng)的針對(duì)性，其執(zhí)業(yè)規(guī)范和操作指南對(duì)審計(jì)人員提供了重要參考價(jià)值的標(biāo)準(zhǔn)。

　　二、COBIT概述

　　COBIT（Control Objectives for Information and Related Technolo-gy）是信息系統(tǒng)審計(jì)及控制協(xié)會(huì)（Information Systems Audit andControl Association，ISACA）指定的關(guān)于信息技術(shù)安全及控制的通用標(biāo)準(zhǔn)，COBIT實(shí)質(zhì)上已經(jīng)成為國(guó)際公認(rèn)的最權(quán)威的信息技術(shù)管理、控制和審計(jì)的標(biāo)準(zhǔn)。

　　COBIT控制目標(biāo)體系是一個(gè)較完整的信息系統(tǒng)管理和控制的參考模型，通過(guò)將COBIT應(yīng)用到信息系統(tǒng)的開(kāi)發(fā)和實(shí)施環(huán)境中，管理人員、開(kāi)發(fā)人員和審計(jì)人員可以在強(qiáng)化和評(píng)估信息系統(tǒng)的管理和控制時(shí)獲得依據(jù)。COBIT主要包括六個(gè)部分的內(nèi)容：執(zhí)行概要、系統(tǒng)框架、管理指南、詳細(xì)控制目標(biāo)、審計(jì)指南、實(shí)施工具集等。執(zhí)行概要圍繞著IT控制與企業(yè)經(jīng)營(yíng)目標(biāo)之間的關(guān)系說(shuō)明了CO-B17的基本概念和原理，使得COBIT與企業(yè)活動(dòng)緊密相連，具有現(xiàn)實(shí)的指導(dǎo)意義；系統(tǒng)框架介紹了COBIT的領(lǐng)域、IT過(guò)程和高層控制目標(biāo)，指出了每個(gè)控制目標(biāo)對(duì)信息的要求和主要對(duì)哪些信息系統(tǒng)資源產(chǎn)生影響，可以成為審計(jì)人員選擇審計(jì)程序和方法的主要依據(jù)；管理指南主要闡述企業(yè)對(duì)內(nèi)部IT的控制情況的自我評(píng)價(jià)，提高和改進(jìn)IT過(guò)程的措施以及對(duì)IT過(guò)程性能的監(jiān)控，是企業(yè)內(nèi)部審計(jì)的重要參考依據(jù)之一，也是注冊(cè)會(huì)計(jì)師借助于內(nèi)部審計(jì)報(bào)告來(lái)評(píng)估IT控制的重要證據(jù)；詳細(xì)控制目標(biāo)介紹了COBIT的IT過(guò)程所包括的詳細(xì)控制目標(biāo)，是評(píng)價(jià)IT管理和過(guò)程的具體參考標(biāo)準(zhǔn)；審計(jì)指南從信息管理人員和審計(jì)人員的角度說(shuō)明了如何實(shí)施對(duì)IT控制的檢查，提出了具體的審計(jì)方法；實(shí)施工具集主要包括管理認(rèn)知、IT控制診斷、實(shí)施指南、常見(jiàn)問(wèn)題、COBIT案例研究等工具，為快速學(xué)習(xí)和運(yùn)用COBIT提供豐富的素材。

　　三、COBIT信息評(píng)價(jià)標(biāo)準(zhǔn)對(duì)注冊(cè)會(huì)計(jì)師的指導(dǎo)意義

　　企業(yè)的財(cái)務(wù)報(bào)表反映了一系列有關(guān)該企業(yè)財(cái)務(wù)狀況的管理當(dāng)局認(rèn)定，注冊(cè)會(huì)計(jì)師的任務(wù)是確定這些財(cái)務(wù)報(bào)表的公允表述。為了完成這一任務(wù)，注冊(cè)會(huì)計(jì)師制定了審計(jì)目標(biāo)，確定了達(dá)到這一目標(biāo)而需要執(zhí)行的審計(jì)程序，并為證實(shí)或否定管理當(dāng)局認(rèn)定收集證據(jù)。管理當(dāng)局對(duì)會(huì)計(jì)報(bào)表的認(rèn)定可以歸結(jié)為五類：存在或發(fā)生；完整性；權(quán)力和義務(wù)；估價(jià)或分?jǐn)?；表達(dá)與披露。在這些認(rèn)定的基礎(chǔ)上，注冊(cè)會(huì)計(jì)師在具體的審計(jì)實(shí)務(wù)中產(chǎn)生了總體合理性、真實(shí)性、完整性、所有權(quán)、估價(jià)、截止、機(jī)械準(zhǔn)確性、披露、分類等一般審計(jì)目標(biāo)。由此可見(jiàn)，管理認(rèn)定在注冊(cè)會(huì)計(jì)師的具體審計(jì)行為具有非常重要的指導(dǎo)意義。

　　實(shí)際上，財(cái)務(wù)報(bào)表就是信息，注冊(cè)會(huì)計(jì)師對(duì)財(cái)務(wù)報(bào)表的合法性、公允性、一貫性發(fā)表的審計(jì)意見(jiàn)就是對(duì)相關(guān)信息進(jìn)行鑒證，在鑒證過(guò)程中，注冊(cè)會(huì)計(jì)師必須對(duì)信息系統(tǒng)本身的安全性、保密性、完整性及其實(shí)現(xiàn)企業(yè)目標(biāo)的有效性進(jìn)行審計(jì)。在對(duì)信息系統(tǒng)的審計(jì)中，信息的評(píng)價(jià)標(biāo)準(zhǔn)在指導(dǎo)具體的IS審計(jì)行為中具有管理認(rèn)定對(duì)注冊(cè)會(huì)計(jì)師審計(jì)類似的指導(dǎo)意義。COBIT提出的如下表的信息評(píng)價(jià)標(biāo)準(zhǔn)值得注冊(cè)會(huì)計(jì)師借鑒。為使信息達(dá)到標(biāo)準(zhǔn)，信息系統(tǒng)的組織規(guī)劃、信息獲取和系統(tǒng)實(shí)施、服務(wù)與支持、信息系統(tǒng)監(jiān)控都要有一套合理的控制目標(biāo)和標(biāo)準(zhǔn)，這就成為注冊(cè)會(huì)計(jì)師對(duì)信息系統(tǒng)輸，出的財(cái)務(wù)報(bào)告發(fā)表意見(jiàn)的具體審計(jì)目標(biāo)。COBIT把以上目標(biāo)以34個(gè)IT過(guò)程方式進(jìn)行了描述，就產(chǎn)生了34個(gè)高級(jí)控制目標(biāo)，并成為審計(jì)人員進(jìn)行審計(jì)評(píng)價(jià)時(shí)的參考標(biāo)準(zhǔn)。

　　四、信息系統(tǒng)環(huán)境下注冊(cè)會(huì)計(jì)師的行為選擇

　　（一）一般控制與應(yīng)用控制的符合性測(cè)試評(píng)價(jià)在信息系統(tǒng)環(huán)境下，注冊(cè)會(huì)計(jì)師的審計(jì)不管采用繞過(guò)計(jì)算機(jī)的審計(jì)還是通過(guò)計(jì)算機(jī)的審計(jì)，都需對(duì)內(nèi)部控制進(jìn)行測(cè)試。信息系統(tǒng)中建立了許多新的控制措施，許多內(nèi)部控制是建立在計(jì)算機(jī)的程序中。信息系統(tǒng)條件下的內(nèi)部控制包括一般控制和應(yīng)用控制，注冊(cè)會(huì)計(jì)師可參考COBIT標(biāo)準(zhǔn)來(lái)識(shí)別、研究、審查、評(píng)價(jià)這些新的內(nèi)部控制。如果注冊(cè)會(huì)計(jì)師對(duì)信息技術(shù)和COBIT的標(biāo)準(zhǔn)不熟悉，聘任IT審計(jì)師或信息系統(tǒng)專家一同工作可能是最好的選擇。此外，查閱內(nèi)部審計(jì)報(bào)告和征詢內(nèi)部審計(jì)人員的意見(jiàn)、查閱和分析管理報(bào)告、軟件控制測(cè)試等也可作為內(nèi)部控制測(cè)試的輔助方法選擇。

　　（二）業(yè)務(wù)與信息風(fēng)險(xiǎn)的評(píng)價(jià)信息系統(tǒng)的附加業(yè)務(wù)風(fēng)險(xiǎn)主要來(lái)源于信息系統(tǒng)的安全，尤其在IT業(yè)務(wù)外包、電子商務(wù)、ERP（企業(yè)資源計(jì)劃）和BPR（企業(yè)過(guò)程重組）、網(wǎng)絡(luò)金融環(huán)境下。在對(duì)這些單位實(shí)施審計(jì)時(shí)，注冊(cè)會(huì)計(jì)師必須注重對(duì)相關(guān)合同的審查，要評(píng)價(jià)系統(tǒng)提供方或服務(wù)提供方的技術(shù)水平、服務(wù)能力和未來(lái)業(yè)務(wù)的可持續(xù)性，并審查系統(tǒng)的形成和服務(wù)過(guò)程。

　?。ㄈ┚W(wǎng)絡(luò)環(huán)境的測(cè)試越來(lái)越多的組織采用網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)系統(tǒng)具有責(zé)任分散、系統(tǒng)風(fēng)險(xiǎn)加大、控制內(nèi)容復(fù)雜化、系統(tǒng)資源多樣化的特點(diǎn)。對(duì)于網(wǎng)絡(luò)系統(tǒng)，注冊(cè)會(huì)計(jì)師應(yīng)將系統(tǒng)安全性作為審計(jì)的第一目標(biāo)，一般來(lái)說(shuō)，注冊(cè)會(huì)計(jì)應(yīng)該采用計(jì)算機(jī)輔助審計(jì)工具和技術(shù)CAATTs，更多依賴內(nèi)部審計(jì)人員提供的證據(jù)，不斷更新審計(jì)測(cè)試的方法和內(nèi)容，進(jìn)一步加強(qiáng)對(duì)數(shù)據(jù)的完整性檢驗(yàn)。

　?。ㄋ模?shù)據(jù)文件的實(shí)質(zhì)性測(cè)試信息系統(tǒng)環(huán)境下的數(shù)據(jù)記錄龐大，紙質(zhì)原始憑證由于聯(lián)機(jī)數(shù)據(jù)采集而不復(fù)存在，注冊(cè)會(huì)計(jì)師在實(shí)質(zhì)性測(cè)試中應(yīng)采用計(jì)算機(jī)的數(shù)據(jù)式審計(jì)模式。信息系統(tǒng)環(huán)境下系統(tǒng)高集成度、數(shù)據(jù)的一致性，為利用多種計(jì)算機(jī)軟件工具提高審計(jì)效率創(chuàng)造了極好的條件，注冊(cè)會(huì)計(jì)師可利用比較成熟的數(shù)據(jù)挖掘技術(shù)、聯(lián)機(jī)分析處理（OLAP）、審計(jì)模型構(gòu)建和共享技術(shù)來(lái)廣泛獲取審計(jì)線索和搜集審計(jì)證據(jù)。注冊(cè)會(huì)計(jì)師審計(jì)的重點(diǎn)轉(zhuǎn)移到企業(yè)的明細(xì)信息，審計(jì)團(tuán)隊(duì)更緊密的合作成為必然，審計(jì)模型和審計(jì)經(jīng)驗(yàn)成為被更多注冊(cè)會(huì)計(jì)師共享的資源。