作者：尹经纬
【关键词】会计信息系统 审计 数据有效性 内部控制
【摘 要】本文根据财务报表审计对会计信息系统数据的要求，先给出数据有效性的定义分析，然后分析了影响会计信息系统数据安全有效的几个方面，初步探讨了解决数据有效性威胁的一些方法。
一、数据有效性的定义
在目前的财务报表审计工作中，审计人员在了解被审计单位及其环境之后，实施控制测试程序和实质性测试程序，而在实施实质性测试的时候，会先从被审计单位的会计信息系统中采集所有与审计相关的数据，假设审计人员能够采集与被审计单位的会计信息系统中的数据完全一致。但是由于会计信息系统本身所固有的风险性，会使得其产生大量的数据不正确，或者不真实可靠，这将使审计的风险大大增加，产生事务所可能无法接受的风险，这时候就不应该继续审计工作。所以，在审计工作实施之前，应当把分析被审计单位会计信息系统所产生数据的有效性作为应当执行的程序。
数据有效性是指体现审计需求的程度。审计中利用会计信息系统所产生的数据的主要目的是为了取得审计证据，支持其关于审计事项的判断或结论。据此，我将会计信息系统的数据有效性定义为以下几个方面：可验证性、可理解性、可分析性、正确性、完整性和惟一性。
二、数据有效性的影响因素分析
会计信息系统由计算机硬件及其环境，计算机网络，系统管理软件和应用软件组成。影响被审计数据的有效性主要是会计信息系统的风险性。会计信息系统的风险是指由于各种不确定因素的影响，系统输出的会计信息与真实信息发生背离的可能性。会计信息系统既给会计工作带来了高效率，同时也带来了一些手工条件下所没有的风险。种种安全隐患在会计信息系统中突出表现在以下四个方面：
（一）系统环境
系统环境因素主要是指会计信息系统的硬件和软件、系统开发以及自然环境等方面的因素。
1．硬件和软件
在硬件和软件方面由于硬件失灵、逻辑线路错误等而造成信息传递或处理中的失真，或由于网络软件自身的程序、后门程序、通信线路不稳定等因素都为系统的安全带来诸多隐患，使系统面临病毒和黑客的攻击。
2．系统开发
在系统开发方面，主要表现为没有按科学的方法架构网络、开发系统和设计程序，系统未经测试和调试等，而致使财务信息面临被窃取的安全隐患。
3．自然环境
在自然环境方面，火灾、水灾、风灾、地震等都有可能造成系统的安全问题。
（二）管理制度方面
传统会计系统非常强调对业务活动的使用授权批准和职责性、正确性与合法性，在会计信息系统下，原来使用的靠账簿之间互相核对实现的差错纠正控制已经不复存在，光、电、磁介质也不同于纸张介质，它所载信息能不留痕迹地被修改和删除，使企业内部会计控制面临失效的安全隐患。因此，在会计信息系统下管理制度方面的影响要素主要包括会计信息系统的建设组织、管理制度、人员配备、内部审计机制等。
1．建设组织
在组织方面，存在职责不分、没有监督机构等问题。
2．管理制度
在管理制度方面，存在没有健全的管理制度，或者是有章不循、有规不依等问题。
3．人员配备
在人员配备方面，存在企业没有对网络会计系统以足够的重视，没有配备足够的人员，尤其是没有配备足够的系统安全人员的问题。
4．内部审计机制
在内部审计机制方面，存在没有建立有效的内部审计机制，或者建立的内部审计机制没有坚持执行等问题。
（三）数据处理方面
在会计信息系统中，需要财务部门集中输入的记账凭证可由各部门的多台计算机同时输入。这虽然提高了整个账务处理的工作效率，也遵循了会计数据输入的及时性原则。但毕竟会计数据的数量是庞大的，数据处理会出现多种错误。一是输入环节录入错误信息，使用无效代码，击错功能键，丢失数据，重复输入，没有将数据存盘等。二是处理环节使用了错误程序，使用了错误的数据文件以及丢失数据文件和程序等。这些使会计档案面临保存失效的安全隐患。
（四）人员素质方面
其安全隐患主要包括：
第一，人员配备方面没有配备足够的系统安全人员。使用与管理人员培训不够，业务素质偏低，容易产生错误操作，从而对计算机会计信息系统安全构成威胁；
第二，责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能使安全风险增强；
第三，内部人员道德风险，主要指企业内部人员对会计信息的管理不善、非法篡改、破坏和不正当泄密等，造成资料损坏或丢失，为犯罪造成可乘之机。
三、针对数据有效性的威胁审计人员应当采取的措施
国际上知名的会计师事务所都已经意识到会计信息系统所带来的审计风险，并且让信息系统审计师协助审计小组工作。审计小组应该首先了解：会计信息系统的一般控制和应用控制，被审计单位是否配备了合格的系统安全管理人员。然后请专家（即信息系统审计师）根据审计对会计信息数据的需求，实施一定的信息系统审计方法来测试会计信息系统产生数据的有效性，以达到降低审计风险的目的。
（一）应当了解的情况
审计人员应该了解会计信息的一般控制和应用控制。
1．一般控制
一般控制作为会计信息系统的主要控制手段之一，涉及面很广，从人员管理到计算机软硬件及运行环境的管理等，具体包括以下几个方面：
（1）组织控制
指为保证会计信息系统责任和义务而采取的控制。具体包括：建立管理的组织机构，选择、监督、培训人员，职责分工并授权，计算机应用系统建立的组织，以及会计信息内控制度计划、引导、管理。
（2）系统开发与维护控制
具体包括：系统开发计划控制，编程与软件测试控制，系统维护及功能改进的控制以及日常运行管理维护，文档资料的控制。
（3）软件与硬件的控制
具体包括：硬件系统控制，软件系统控制，网络系统控制。
（4）安全控制
主要涉及计算机系统的环境安全、设备保护以及安全保密制度。
（5）操作控制
主要涉及使用计算机系统的一整套管理制度，包括计算机系统操作规程和守则，上机日记，保密制度等。
2．应用控制
应用控制的目的是保证计算机系统数据处理的完整性、一致性、准确性和安全性。一般分为输入控制，处理控制和输出控制。
（1）输入控制
其目的是保证经审批的经济业务数据准确输入计算机系统。输入控制与组织控制是相辅相成的，业务审批应在电算部门之外。
（2）处理控制
其目的是保证会计信息系统按程序设计的要求进行数据处理。一般通过计算机程序加以执行。
（3）输出控制
其目的是保证会计信息系统处理结果能正确的输出，任何未经授权的人不能取得计算机系统内的数据。
上述介绍的是在会计信息系统环境下系统完整的内部控制体系。对一个企业来说，实际情况是，其内控往往并不能包括全部，如一些单位的应用软件是购买的，对软件的开发过程的内控实际上是无法控制的。因此，审计人员在实际测试工作中，还要针对每个企业实际情况制定具体的测试方案，进行符合性测试和实质性测试，并对其会计信息系统的内控做出评价，然后根据测试结果决定是否依赖或部分依赖会计信息系统下的内控制度制定，并制定相应的审计策略，同时对内控制度存在的重大缺陷提出管理建议。
（二）信息系统审计师实施的主要测试方法
审计通过检查系统状态是否正常或是否符合包括系统和组织策略在内的安全需求来支持对操作的保障。
1．自动工具
对安全特征的人工检查是一项费时的重要工作。自动工具使得对大型计算机系统的各种安全错误的检查成为可能。它可以用来发现各种威胁和漏洞，如不适当的访问控制、脆弱口令、缺乏完整性的系统软件，或没有及时更新和修补的软件。有两种类型的自动工具：一种是主动工具，它是通过破解系统来发现系统缺陷的工具；另一种是被动工具，它是用来检查系统和通过系统状态推断系统所存在问题的工具。
2．内部控制审计
审计可以对己经部署的控制进行检查以确定它们是否有效。审计者通常会对计算机和非计算机的控制进行分析，其技术包括询问、观察、测试（包括控制本身及其数据）。审计还可以发现非法活动、错误、反常行为和法律法规的执行疏漏。
3．安全检查表
计算机安全可以通过检查表的方式对系统进行审计。安全计划对系统中包括管理、操作和技术在内的主要安全要求进行概括。审计者也可以自己开发出合适形式的检查表。
4．系统日志的检查
定期对系统产生的日志进行检查可以发现安全问题，包括超越系统权限的在非正常时间内访问系统的企图。
5．报警和阻断
报警子系统发现和警示非授权的操作或企图，并报知系统管理员。阻断响应则是对非授权的操作进行阻止，对非授权的操作所引起的操作结果进行恢复。
四、小结
综上所述，在会计信息系统条件下开展财务报表审计工作，必须要充分认识并考虑会计信息系统所潜在的风险，并且实施相应的审计程序，以合理保证会计信息系统产生数据的有效性，达到降低拟信赖该系统所带来的审计风险。
参考文献：
[1] 李荣梅，陈良民．企业内部控制与审计[M]．经济科学出版社，2004，（8）．
[2] 刘汝焯．计算机审计技术和方法［M］．清华大学出版社，2004，（6）．
[3] 唐勇军，时薛原．网络环境下的会计信息内部控制研究［J］．财会通讯，2003，（10）．
[4] 袁树民．电算化审计［M］．上海财经大学出版社，1996，（6）．
[5] （美）James A Hall著．李丹，刘济平译．信息系统审计与鉴证［M］．中信出版社，2003，（11）．
期刊库（http://www.zgqkk.com），是一个专门从事期刊推广、投稿辅导的网站。
本站提供如何投稿辅导，寻求投稿辅导合作，快速投稿辅导，投稿辅导格式指导等解决方案：省级投稿辅导/国家级投稿辅导/核心期刊投稿辅导//职称投稿辅导。
【免责声明】本文仅代表作者本人观点，与投稿辅导_期刊发表_中国期刊库专业期刊网站无关。投稿辅导_期刊发表_中国期刊库专业期刊网站站对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考，并请自行承担全部责任。
646779424(普刊)
913775405(普刊)
867306987(核心)
271374912(核心)
