关键词：IT投资；审计决策；审计意见；审计收费
一、引言
随着信息化浪潮推动市场经济主体快速步入大数据时代，企业日益注重信息技术（informationtechnology，IT）的投资与运用，其中企业资源管理计划（enterprise resource planning，ERP）是企业重要的IT投资之一。ERP技术融合了先进的IT技术与管理思想，针对企业管理中存在的问题对企业业务流程进行再造，运用IT技术整合协调贯穿于企业经营过程中的信息流以提高管理水平。企业ERP类IT投资不但改变了企业经营管理方式，还使得审计环境发生了显著变化。IT审计环境可能对审计人员面临的审计风险产生影响，其采取的审计方法、审计范围也随之发生变化，从而对其审计决策产生影响。对于事务所而言，最重要的外部审计决策表现在审计收费与审计意见两个方面。IT投资对外部审计决策产生了什么影响？究竟会通过何种路径影响审计收费与审计意见？本文对此展开研究。已有审计理论主要从企业和审计师特征这两个层面来构建审计费用和审计意见模型，而在企业特征层面很少有研究将企业信息技术因素纳入其中。本文把企业IT投资作为企业层面的信息技术特征，将其纳入审计费用和审计意见的模型中，能够丰富IT审计环境下的审计理论研究，拓展对审计师决策影响因素的研究。此外，在风险导向审计模式下，审计师的风险识别能力以及决策行为会对审计质量产生重要影响，通过研究我国企业IT投资对审计师决策的影响，有助于了解我国审计师在面对IT审计环境时的风险识别能力与风险管理战略。本文的后续内容安排如下：第二部分是文献回顾与研究假设，第三部分是研究设计与数据来源，第四部分是实证检验与分析，最后是研究结论与启示。
二、文献综述和研究假设
（一）文献综述现有关于IT投资对企业运营管理影响的研究文献较多，一方面主要考察IT投资达到预期效果的重要影响因素，另一方面则主要考察IT投资对公司业绩的影响。较多证据表明企业IT投资不仅能够改善经营业绩与加强成本管理，而且能够改善管理层经营决策所需要依赖的信息环境，提高企业信息透明度和精确性，增强高级经理人投资决策行为的科学性［1］。Morris和Laksmana（2011）发现IT投资企业报告了更少的内控缺陷［2］。IT投资会提高企业日常管理业务活动所需信息的及时性、完整性和透明度［3］，改善管理层对未来的盈余预测质量［1］。然而，关于IT投资对上市公司会计审计活动影响的研究仍然较少。Brazel和Dang（2008）发现实施ERP类IT投资企业的会计盈余信息质量下降［4］，但Morris和Laksmana（2010）在研究设计中控制了内生性问题后，发现IT投资企业盈余信息质量有所提高［5］。张子余等（2016）在控制内生性问题后，发现没有任何证据反映我国企业IT投资会降低会计盈余信息质量，有微弱证据表明盈余信息质量有所提高［6］。关于ERP系统对审计费用与审计意见的影响，Han等（2015）认为IT投资增加了审计风险，提高了风险溢价；以CI（computer intelligence）数据库2000～2009年的美国公司为样本，他们发现企业IT投资与审计费用正相关，在IT审计环境下持续经营审计意见的概率降低［7］。综上，我国企业IT投资对外部审计决策影响的实证研究较为匮乏，不利于理解IT投资对我国企业外部审计决策的影响路径与机理，不利于理解我国会计师事务所在面临IT审计环境时所采取的风险管理策略。为此本文展开相应研究，本文与以往研究的显著不同之处在于：国外相关研究认为IT投资会增加审计风险，从而提高风险溢价与审计收费；而本文则揭示了我国企业IT投资对审计决策行为的影响路径与影响机理在于：IT审计环境下外部审计收费的提高不是由于重大错报风险变化引起的，而是由于追加审计程序以及学习成本增加，造成审计效率降低引起的。
（二）研究假设如果外部审计的重大错报风险加大，出于法律与自身信誉风险的考虑，审计师在出具审计意见时会更加谨慎，出具非标准审计意见的概率会提高［8］；反之，审计人员出具清洁审计意见的概率不会降低。因此，在风险导向型审计模式下，审计师要审慎评估企业的重大错报风险，需要对审计的固有风险与控制风险分别进行识别与评估。首先，需要对控制风险进行识别和评估。如果在业务流程再造过程中，IT系统中恰当植入关键控制点，会降低外部审计的控制风险；反之，如果ERP系统没有较好整合系统与植入关键控制点，IT投资企业存在较多内控缺陷，外部审计控制风险将可能提高。Morris（2011）发现ERP类IT投资企业报告更少的内控缺陷［2］；曾建光（2012）发现IT投资能降低两种内部控制实施成本———企业管理层与员工之间以及股东与管理层之间的监督成本［9］；张子余等（2016）认为我国企业IT投资能提高财务报告内控有效性［6］。据此我们倾向于认为IT投资并没有提高我国上市公司的控制风险。其次，评估重大错报风险还需要对固有风险进行识别和评估。企业IT投资能通过对被审计单位的经营环境以及舞弊动机产生影响，从而影响审计固有风险。第一，当被审计单位的经营成果和财务状况较差时，其固有风险水平较高；反之，当IT投资改善了企业经营业绩时，其固有风险会随之降低。而有较多经验证据表明企业IT投资会对其经营业绩改善产生积极影响［10］［11］。第二，当被审计单位存在有提供虚假会计报表动机时，固有风险相对较大。企业IT系统投资不仅为财务报告编制提供基础，还为各部门业绩考核与评价提供重要业绩数字，数字篡改会引发企业内部业绩评价部门相关人员的激烈争议。此外黄志忠和张娟（2012）还认为IT系统中数据更改需要高层授权，不精心设计容易导致系统崩溃［12］，对系统崩溃的担忧以及业绩考核相关部门对业绩数字的高度关注，这两种力量有利于制约被审计单位提供虚假报表的动机。因此，我们倾向于认为企业IT投资不会提高审计的固有风险。最后，如果IT系统本身存在明显系统缺陷，在ERP系统设计与运行过程中，操作者有意或无意造成的缺陷所产生的安全漏洞会增加外部审计的固有风险，某一环节问题可能波及其他相关联的诸多环节，此时被审计单位的固有风险可能增加。但我们不倾向于认为现在较为成熟的ERP类IT投资会存在明显安全漏洞与系统缺陷。尽管如此，基于上述诸多方面的分析，我们谨慎提出下列竞争性假设：假设1：在其他条件不变情况下，对于实施ERP类IT投资企业，审计师出具清洁审计意见的概率会降低（不会降低）。外部审计的审计收费首先会受到审计人员可接受的检查风险变化的影响。当其他条件不变时，如果IT投资使得企业的重大错报风险增加，此时审计人员可接受的检查风险程度降低，需要增加审计程序，审计费用增加。反之，如果IT投资使得企业的重大错报风险减少，此时审计人员可接受的检查风险程度提高，不需要增加审计程序与审计费用。外部审计的审计收费还会受到审计效率的影响。当IT系统提高了数据输入的及时性，降低了数据输入错误率时，审计工作效率提高，审计费用降低。然而，当企业进行IT投资时，审计师需要扩大审计范围，增加新的审计程序，这将降低审计效率，增加审计费用；审计师在面对IT审计环境时需要学习新的IT审计知识，学习在IT审计环境下专业审计判断的能力，增加的学习成本降低了审计效率，提高了审计费用。基于以上分析，我们提出下列竞争性假设：假设2：在其他条件不变情况下，我国企业IT投资会提高（不会提高）审计收费。
三、研究设计、数据来源与模型设定
（一）研究设计与数据来源为控制其他不可观测因素对被解释变量的影响，我们采用对照组方法进行研究，给IT投资企业寻找配对样本，将没有进行IT投资的配对样本与进行IT投资的上市公司样本混合在一起进行检验，对照组研究方法能够解决遗漏重要变量带来的内生性问题以及估计偏误问题。譬如，近十几年来审计监管逐渐加强，对事务所审计决策产生了影响，如果只运用IT投资样本进行检验，很容易将审计监管变化因素与企业IT投资带来的变化混为一谈。运用对照组方法进行研究，首先选取2003年1月1日至2010年12月31日在年报中首次公开披露实施ERP类IT投资的非金融类上市公司，然后给每家当年实施IT投资的企业寻找没有进行IT投资的配对样本。本文按照不放回抽样方法抽取配对样本，给IT投资企业按照行业相同、年度相同、总资产规模最接近原则寻找配对样本，每个配对样本的总资产在IT投资企业资产规模的正负20％以内。表1列示了成功配对的361组IT投资公司与配对样本的描述统计量，IT投资公司与配对公司资产规模的描述统计量非常接近。我们保留IT投资企业与配对样本在IT投资企业投资前三年与后三年的数据，研究样本时间的跨度是2000～2013年。其中，年报来源于巨潮资讯网以及新浪财经公告，内部控制指数来源于迪博内部控制与风险管理数据库，其他变量数据均来自CSMAR数据库。本文使用的统计软件是sta－ta12．0。为了避免极端值的影响，对连续型变量在上下1％水平上进行了Winsorize处理。
（二）模型设定我们采用如下logit回归模型对研究假设1进行检验。模型（1）中被解释变量是表示清洁审计意见的哑变量CleanOpin，变量定义见表2。CleanOpin＝k1IT＿post×ERP＋k2IT＿post＋k3control＋εit（1）为了检验假设2，本文在Simunic（1980）、Ke等（2014）的研究基础上构建了如下固定效应模型［13］［14］。模型（2）中被解释变量是审计费用Ln（AF）。Ln（AF）＝β1IT＿post×ERP＋β2IT＿post＋β3control＋εit（2）另外，本文参考Simunic（1980）与Ke等（2014）的相关研究［13］［14］，控制了影响审计收费与审计意见的其他因素，最终将上市公司规模（SIZE）、业务复杂程度（ARINV、FOROPS）、财务风险（LIQ、LEV）、盈利能力（ROE、LOSS、CFO）、审计师特征（BIG4）等作为控制变量，各变量定义见表2。四、实证检验与分析（一）描述性统计表3列示了主要变量的描述统计量。与已有研究一致，将审计费用取对数，取对数后的均值为13．213，标准差是0．646。审计意见的平均值为0．953，说明绝大多数公司被出具了清洁审计意见（不附加任何说明段的无保留审计意见）。内部控制指数得分的最小值是0，最大值是999．75，均值是679．66，符合得分分布特征。应收账款存货与总资产的比值（ARINV）的最小值为1．4％，最大值为73％，样本间差异较大。流动比率（LIQ）的平均值为1．743，表明样本公司短期偿债能力较好。资产负债率（LEV）的平均值为0．485，表明样本公司资本结构整体合理。聘请国际“四大”事务所的样本企业仅占6．7％。净资产收益率（ROE）的均值为6．2％，表明样本公司净资产收益水平一般。
（二）回归分析表4列示了我国企业IT投资对清洁审计意见影响的logit模型的回归结果，（Ⅰ）为不考虑控制变量的logit模型估计结果，交叉项IT＿post×ERP的系数为0．387，在10％显著性水平上大于0，意味着我国企业在IT投资后被出具清洁审计意见的概率提高。（Ⅱ）为考虑控制变量的logit模型混合回归结果，（Ⅲ）为考虑控制变量的面板logit随机效应模型估计结果，这两种情况下交叉项IT＿post×ERP的系数虽然都大于0但并不显著，表明我国企业在IT投资前后被出具清洁审计意见的概率无显著变化。控制变量LEV与LOSS的系数在1％水平上显著小于0，与现有研究结果一致，资产负债率越高的企业以及亏损企业获取清洁审计意见的概率显著降低。总之，表4表明在其他因素保持不变时，我国上市公司在IT投资前后被出具清洁审计意见的概率并没有显著变化。接下来利用模型（2）来检验我国企业IT投资对外部审计收费的影响。Hausman检验发现固定效应模型优于随机效应模型，因此采用固定效应模型来控制与被解释变量相关的不可观测的公司层面因素。表5列出了相应的检验结果。（Ⅳ）为不考虑控制变量时的估计结果，交叉项IT＿post×ERP的系数为0．072，在1％显著性水平上大于0，意味着我国企业在IT投资后审计费用显著提高。（Ⅴ）为考虑控制变量时固定效应模型的估计结果，交叉项IT＿post×ERP的系数为0．052，仍然在1％显著性水平上大于0。另外，表5两种回归中IT＿post的估计系数都在1％水平上显著大于0，意味着对应的非IT投资企业审计费用也随时间显著提高。原因可能在于，对于没有进行IT投资的配对企业，逐年的通货膨胀物价因素也使得事务所审计收费显著提高。在控制变量中，SIZE、BIG4的系数在1％水平上都显著大于0，这表明被审计单位规模越大以及由四大会计师事务所进行审计时，审计费用显著提高。
（三）稳健性检验在稳健性检验中，我们将来源于迪博内部控制与风险管理数据库的内部控制指数作为被解释变量，考察企业IT投资对内控有效性的影响，检验结果见表6。表6采用随机效应模型进行检验，是因为Hausman检验发现随机效应模型优于固定效应模型。（Ⅵ）列示了不考虑控制变量时的回归结果，交叉项IT＿post×ERP的系数为11．951，在5％显著性水平上大于0，我国企业IT投资后内控有效性显著提高。（Ⅶ）列示了考虑控制变量的回归结果，交叉项IT＿post×ERP的系数不显著，这表明当其他因素保持不变时，我国上市公司在IT投资前后内控有效性水平无显著变化。除此之外，我们重新定义审计意见，设置变量OPINION：当审计意见为标准无保留意见时O－PINION取值为4，审计意见为无保留意见加事项段时OPINION取值为3，审计意见为保留意见或保留意见加事项段时OPINION取值为2，审计意见为无法发表意见时OPINION取值为1，审计意见为否定意见时OPINION取值为0。然后运用ordinal logit模型进行检验，结论与表4保持一致，这说明我国企业IT投资后被出具更好审计意见的概率无显著变化。另外，在前面本文是按照年度相同、行业相同、资产接近的原则进行配对，其中行业是根据字母行业编码选择相同行业，现在我们根据更加细分的字母加两位数字行业编码进行行业配对，为227个IT投资公司成功配对了227个没有进行IT投资的上市公司。运用新的样本，我们按照表4～6的分析顺序再次进行相关检验，研究结论保持不变。
（四）对重大错报风险的分析根据上述检验结论我们对重大错报风险展开进一步分析，重大错报风险分为财务报告层次的重大错报风险与认定层次的重大错报风险。首先，考察我国企业IT投资是否会影响财务报告整体层次的重大错报风险。通常，如果企业财务报告整体层次的重大错报风险显著增加，此时出具清洁审计意见的概率会降低。该命题的逆否命题为“如果企业出具清洁审计意见的概率没有显著降低，则企业财务报告整体层次的重大错报风险没有显著增加”。由于原命题和逆否命题是等价命题，逆否命题也应当为真命题。根据本文发现的“企业IT投资后被出具清洁审计意见的概率没有显著降低”，可推断我国企业IT投资后财务报告整体层次的重大错报风险无显著增加，这与张子余等（2016）发现的盈余信息质量无显著变化的证据保持一致［6］。其次，还需要考察我国企业IT投资是否会影响认定层次的重大错报风险。认定层次的重大错报风险细分为控制风险与固有风险。控制风险取决于内部控制设计与运行的有效性，根据本文的分析结果———我国企业IT投资后的内控有效性水平无显著变化，可知我国上市公司IT投资后的控制风险无显著变化。王立彦等（2007）、张露等（2013）均发现企业ERP投资对经营业绩改善有积极作用［10］［11］。当ERP类IT投资改善了企业经营业绩时，其固有风险会随之降低。因此，我们认为IT投资没有提高控制风险与固有风险，没有提高我国上市公司认定层次的重大错报风险。综上，本文认为我国上市公司的IT投资不会提高财务报告层次的重大错报风险，也不会提高认定层次的重大错报风险。我国企业IT投资没有影响重大错报风险，意味着我国企业IT投资后外部审计费用显著提高的原因不在于重大错报风险增加。外部审计面对企业新的IT审计环境时需要重新设计或追加审计程序以及增加IT审计学习成本，这会降低审计效率、提高审计费用。
四、研究结论与启示
本文实证检验了我国企业IT投资与外部审计决策之间的关系，研究发现：（1）我国企业在IT投资后被出具清洁审计意见的概率无显著变化，与张子余等（2016）发现的我国企业IT投资后盈余信息质量没有显著变化的证据相吻合［6］。（2）我国企业IT投资后外部审计的内部控制有效性水平没有降低，与曾建光（2012）发现的内部成本降低的逻辑保持一致［9］。（3）我国上市企业在IT投资后的外部审计费用有显著提高。根据上述研究结论可理解会计师事务所在面对新的IT审计环境时的风险管理策略包括：提高审计收费，调整审计程序，客观出具审计意见。从对影响路径的深入分析中可知，我国企业IT投资对外部审计的影响机理在于：首先，我国上市公司的IT投资没有降低内控有效性水平，没有提高外部审计的控制风险，重大错报风险无显著变化，企业在IT投资后被出具清洁审计意见的概率没有显著变化；其次，外部审计费用显著提高的原因不在于重大错报风险所带来的审计风险提高，而在于追加审计程序以及IT审计学习成本的增加，两者降低了审计效率，提高了审计费用。关于进一步的研究，我们认为可以运用调查问卷等形式，深入考察事务所对IT审计环境下重大错报风险的分析检查判断过程。基于本文分析可得出以下启示：第一，企业IT投资后在流程再造过程中需要合理设置内控关键控制点，将内部控制关键控制点合理嵌入ERP系统运行中，以进一步提高内控有效性，降低外部审计的控制风险。第二，与系统供应商保持紧密联系，加强对IT系统缺陷的后期维护。系统供应商作为系统的生产者，对该系统的缺陷以及运作流程了解较多，系统使用者应该与供应商加强沟通，以降低IT系统的固有风险。第三，会计事务所需要不断加强对IT审计人员的培训学习，学习与研究如何运用大数据背景下的IT审计技术，提高审计效率，降低审计收费，以提高事务所的核心竞争力。
参考文献：
［1］Dorantes，C．A．，Li，C．，Peters，G．F．，Richardson，V．J．The Effect of Enterprise Systems Implementation on theFirm Information Environment［J］．Contemporary Accounting Research，2013，30（4）：1427—1461．
［2］Morris，J．J．The Impact of Enterprise Resource Planning（ERP）Systems on the Effectiveness of Internal Con－trols over Financial Reporting［J］．Journal of Information Systems，2011，25（1）：129—157．
［3］Klaus，H．，Rosemann，M．，Gable，G．G．What Is ERP？［J］．Information Systems Frontiers，2000，2（2）：141—162．
［4］Brazel，J．F．，Dang，L．The Effect of ERP System Implementations on the Management of Earnings andEarnings Release Dates［J］．Journal of Information Systems，2008，22（2）：1—21．
［5］Morris，J．J．，Laksmana，I．Measuring the Impact of Enterprise Resource Planning（ERP）Systems on EarningsManagement［J］．Journal of Emerging Technologies in Accounting，2010，7（1）：47—71．
［6］张子余，杨慧，李常安．我国企业IT投资对财务报告内控实施成本与盈余信息质量的影响研究［J］．审计研究，2016，（5）：98—103．
［7］Han，S．，Rezaee，Z．，Xue，L．，et al．The Association between Information Technology Investments and AuditRisk［J］．Journal of Information Systems，2015，30（1）：93—116．
［8］Lennox，C．S．Audit Quality and Auditor Size：An Evaluation of Reputation and Deep Pockets Hypotheses［J］．Journal of Business Finance ＆Accounting，1999，26（7—8）：779—805．
［9］曾建光，王立彦，徐海乐．ERP系统的实施与成本———基于中国ERP导入期的证据［J］．南开管理评论，2012，（3）：131—138．
［10］王立彦，张继东．ERP系统实施与公司业绩增长之关系———基于中国上市公司数据的实证分析［J］．管理世界，2007，（3）：116—121．
［11］张露，黄京华，黎波．ERP实施对企业绩效影响的实证研究———基于倾向得分匹配法［J］．清华大学学报（自然科学版），2013，（1）：117—121．
［12］黄志忠，张娟．ERP实施、信息质量与公司绩效———基于中国上市公司的经验证据［J］．当代会计评论，2012，3（2）：1—13．
［13］Simunic，D．A．The Pricing of Audit Services：Theory and Evidence［J］．Journal of Accounting Research，1980，18（1）：161—190．
目前，现代企业经营越来越依赖信息系统，信息系统管理信息、处理业务以及存储大量的数据。也迫切需要对信息化管理现状进行全面的审计，以分析评估存在的问题，提出解决方案，完善IT风险控制，保障各信息系统的规范运作，降低信息化风险，提高业务运营的经济性和有效性。IT审计虽然区别于财务审计，运营审计等常规审计，但其审计方法论仍不可能脱离常规审计所用的方法论。也就是必须对审计目标，审计范围，审计计划等等均需进行清晰阐述，并在实施IT审计后，出具具有充分、适当的审计证据支持的IT审计报告。
一般来说，实现全面的IT审计，应当从审计对象的整个生命周期领域、审计对象及组织层次来开展。
一.IT审计范围
进行IT审计的对象包括但不限于以下领域：1.管理组织与制度；2.项目管理流程规范性 ，包括应用系统的开发、测试与上线管理；3.基础设施及运维管理；4.信息安全管理；
IT审计涉及的应用系统包括但不限于以下领域：1.生产系统；2.营销系统；3.办公自动化系统；
IT审计涉及的组织层次包括但不限于以下领域：1.高层决策者；2.中层管理者；3.技术部门员工；4.业务部门员工。
二.IT审计具体实施
ELC（entity level control）控制。关注客户在IT治理方面的相关组织架构是否合理，管理制度是不是健全，具体的审计程序就是获取客户的组织结构图，及一些比较虚的总纲类的书面管理制度如《IT管理制度》等等。
系统开发和变更。关注系统开发和系统后续变更实施中的控制，具体的审计程序首先就是获取系统开发及变更相关的管理制度，该文原载于中国社会科学院文献信息中心主办的《环球市场信息导报》杂志http：//总第522期2013年第39期-----转载须注名来源如调阅《系统开发制度》《系统变更管理制度》，二是关注系统开发过程的合理性，如是否经过了需求提出、可行性研究、领导层审批，系统上线之前是否经过了充分的测试，获取一些内控痕迹和表单，如《××系统需求报告》、《××系统可行性报告》、《××系统立项审批单》、《××系统单元测试报告》、《××系统集成测试报告》、《××系统上线审批单》，《变更审批单》，采取抽样后穿行测试。
操作系统及数据库控制。关注操作系统和数据库的控制，如登录时密码控制强度、敏感操作的权限分配、日志的保存。
应用系统控制。关注应用系统控制的合理性。如银行使用的综合业务系统（有的叫核心业务系统）、国际结算系统、大小额系统、信贷管理系统等等，关注其安全配置和用户权限。
接口控制与信息安全。关注其数据准确性、完整性、以及组织级的网络管理的相关制度，如防火墙的架构，内外网分离程度等。
三.IT审计依据
IT审计依据的来源基本上业界都有很充分的理论依据以及最佳实践，以下IT控制标准、法律法规、行业最佳实践都可作为IT审计的依据。
IT标准、规范及最佳实践； 企业内控框架-COSO；IT治理-COBIT、ISO 38500；IT规划与架构设计-Zachman、TOGAF、FEA；IT应用系统开发与运维-软件开发规范、CMMI、ISO9126；IT基础设施生命周期管理-网络、主机、安全等设备管理规范；IT服务管理-ITIL、ISO20000；IT项目控制-PMP、Prince2、项目监理规范；信息安全管理-ISO27001、ISO27002；业务连续性计划-BS25999、ANSI/NFPA 1600；IT应用控制-输入控制、处理控制及输出控制；IT资源协同-EAI、SOA、共享中心等……
目前，信息系统的正常运行已经成为银行业务正常运营的最基本条件之一，信息科技在有力提升银行核心竞争力的同时，信息科技风险也愈发突出和集中，信息科技风险控制已成为银行业风险管理的重要内容，而IT审计作为银行业风险管理体系的重要组成部分，其重要性和必要性已经日益得到银行业管理层的关注。
IT与其他如财务审计等不同之处，主要在于审计框架是否全面。审计过程仍遵循常规审计步骤，包括审计策划、审计准备、审计对象调查、实施审计、审计发现复核及沟通、审计报告六大步骤。
【关键词】信息科技 内部审计 信息化
2000年以来，继四大行成功完成数据大集中后，各股份制商业银行纷纷加入数据大集中的行列，“科技兴行”、“科技引领”等理念不断冲击人们对商业银行信息系统的固有认识，电子银行渠道持续拓展，商业银行的业务流转也越来越依赖于信息系统的支撑。这些变化一方面使得信息科技在商业银行中的作用不断凸显，另一方面也使得商业银行的信息科技风险进一步放大。
继2006年中国银监会《银行业金融机构信息系统风险管理指引》将信息科技风险纳入商业银行风险管理范畴后，2009年银监会又正式《商业银行信息科技风险管理指引》（下文简称《指引》），进一步加强商业银行信息科技风险管理。2012年银监会宣布设立信息科技监管部，负责银行业信息科技监管督导和风险防范，信息科技风险监管工作不断细化、深入。监管部门对信息科技风险管理的日趋重视，客观上提高了商业银行信息科技风险管理工作的重视程度。
一、信息科技内部审计范围
《指引》提出了商业银行IT风险管理的“三道防线”，即IT管理、IT风险管理和IT风险审计。IT风险审计作为第三道防线分为内部审计、外部审计两方面。按照《指引》要求，银行内部审计部门应当设立足够资源与具有专业能力的IT内部审计人员，并独立于银行的日常活动。商业银行IT内部审计应该包括以下三方面：
（一）专项审计
专项审计是指对IT安全事件进行的调查、分析和评估。涉及重要业务系统、信息安全或审计部门认为必要的特殊事件都有必要展开IT专项审计。
（二）全面审计
应定期实施全行范围内的IT内部审计，应充分考虑业务性质、规模及复杂度，区分总行信息部门（数据中心）、分行、支行等各个层级，制定全覆盖的IT内部审计计划。
（三）重要项目审计
在进行大规模系统开发时，内部审计部应对系统开发的整个生命周期进行控制。包括项目前期的可行性研究、需求分析，项目开发，项目正式上线后的业务及运维。实际操作中，可以根据项目情况，对各项目里程碑展开相应的审计工作。
可以看出，IT内部审计既有全面审计，也有专项审计，还包括重大项目审计，涵盖了银行IT的方方面面。
二、信息科技内部审计面临的困难
内部审计部门应当从上述三个方面入手，检查评估商业银行信息科技系统和内控机制的充分性和有效性，提出整改意见并检查整改意见的落实情况。近年来，商业银行根据《指引》做了大量工作，但是在信息科技内部审计方面仍然存在诸多困难。
（一）缺乏IT审计人才
银行普遍存在着IT审计岗位编制不足、IT审计人员招聘培养困难、IT审计人员专业技术能力不强等情况。IT审计力量的薄弱，极大地影响了IT内部审计的成效，甚至会出现IT内部审计过分依赖信息科技部门的尴尬局面。
（二）缺乏IT审计方法及规范
缺少规范的IT审计方法论，缺乏对整个银行信息系统的全局认识，在IT内部审计中会存在不知道审什么、不知道怎么审，不容易把握IT内部审计的重点，无法触及部分风险隐患。
（三）缺乏IT审计方向
现阶段银行的IT内部审计都是为了满足监管要求，没有站在业务驱动的角度，缺少为“科技引领”提供保驾护航的力度。
三、商业银行如何加强IT内部审计
面对上述困难与挑战，银行应当充分认识IT内部审计对银行的重要作用，内部审计部门主动加强与信息科技部门的共同协作，加强IT审计专业队伍的建设。
1.管理层及信息科技部应当认识到，IT内部审计作为IT风险审计的重要一环，是IT风险管理的重要组成部分，应当重视内部IT审计部门及岗位的建立，充分发挥其积极作用。对IT内部审计的有效管理，可及时评价IT整体风险管理的水平，可对开发项目进行事中控制，分析IT事件原因、提出整改意见并监督落实。信息科技部应该认识到，IT内部审计不是故意“挑错找茬”，它可以积极发现IT潜在的管理疏漏，有效降低IT风险发生概率，提高IT全员的风险意识和认知。
2.内部审计部门应当加强与信息科技部的沟通与协助，可以进行各种形式的、有益的探索与尝试。比如，在IT风险源的制定与风险库的建立方面充分发挥信息科技的能动性，甚至以信息科技部的意见为主。在此基础上，内部审计部通过各类IT事件的分析、IT专项审计等手段不断来丰富完善风险源。比如，加强与信息科技部的沟通，由其讲解IT最新技术发展、整体架构、变更管理与运行维护等，提高自身的专业技术水平及对本行IT工作的了解。比如，加强与信息科技部的沟通，从审计及监管的角度向管理层反映IT发展中亟待解决的难题，解决信息科技的实际困难。
3.银行应当加强IT审计队伍的建设。在内部审计部内设专门的IT审计岗，有条件的银行可以设立独立的IT审计部门。不仅要学习审计的方法论、沟通技巧，还要积极学习相关的信息技术，专业的IT审计人才应当掌握较为全面的信息技术，对银行IT的各方面都要有所涉猎。加强IT审计人才的培养和储备。
展望未来，银行信息科技内部审计不能局限于应对监管需求，而应立足于银行战略与业务需求，立足于解决信息科技的各种困难。银行应当将信息科技内部审计当成信息科技风险审计最重要的一环，建立完善的信息科技内部审计管理体系，并将之纳入银行整体风险管理体系中。银行应当充分认识信息科技内部审计的重要作用，有意识地引导与加强信息科技部门与内部审计部门的合作共赢，加强信息科技审计专业队伍建设，确保信息科技内部审计真正实现价值，为信息科技的发展提供保障，为银行的发展保驾护航。
课题组组长：史可山，人行南平市中心支行行长;
课题组成员：陈崇跃，徐克勋，朱燕涛，张杏英;
执笔：陈崇跃，朱燕涛。
摘要：随着信息科技的发展，人民银行系统对IT的依存度日增，信息系统风险也接踵而至，内部审计面临新的挑战，IT治理势在必行。为此，本课题组在分析了人行传统的内审已不能适应IT时代审计使命要求的基础上，提出了改革人行内部审计并以此深化央行IT治理的若干建议。
关键词：中央银行;内部审计;IT治理
中图分类号：F830文献标识码：A文章编号：1006-1428(2007)12-0088-02
随着人民银行各项业务与管理活动对IT依存度的日益提高，IT风险渐露端倪，人民银行内审从体制､手段和方式等均面临与IT发展程度相对应的新挑战，央行内审呼唤与IT治理相适应的改革。
一､加强人民银行IT审计促进央行IT治理的必要性。
IT治理大意指合理利用IT资源与适当管理IT相关风险的一种管理模式与机制。IT治理最重要的任务就是保证信息技术与各项业务的有效结合，促进组织收益最大化与风险的最有效控制。如同企业(公司)治理包括了内控管理及其内部审计等制度安排，“IT治理”也涵盖IT审计､信息安全审计､IT服务管理等内容。“IT审计”既是IT治理的组成部分，也是IT治理的促进因素。“IT审计”不仅对信息系统(IS)及其管理制度，还包括对内审自身的IT化建设行使“监督､评价与咨询”职责。
人民银行具有类似商业银行等现代企业的组织架构与业务体系，在管理上同样适用和更需引入“企业治理”与“IT治理”机制。人民银行在组织架构上设立了分支行机构，在业务上也有“存贷款”､“中间业务”､“黄金外汇储备与买卖”等经营性品种。因此人民银行的“业务”系统及其“应用系统”也更为庞大与复杂，日常运营越来越依赖于信息技术的支撑。在这种背景下，人民银行信息系统运行的有效性与潜藏的风险更加不容忽视，建立健全人民银行系统的IT治理及其IT内审机制十分迫切。
二､人民银行系统IT治理与IT审计的现状
在IT治理方面，人民银行表现明显滞后：一是尚未编制出一套适应我国国情的央行IT治理蓝图或规划;二是尚未建立与人民银行组织结构和业务体系及IT应用水平相适应的IT治理组织框架和制度体系;三是尚未建设和培育一支既掌握IT知识又谙熟央行业务的IT治理复合型或“两栖”的人才队伍;四是作为IT治理重要组成部分的IT审计､IT风险控制等监督与保障机制尚不成熟和健全，影响了人民银行IT治理的深化。
在IT审计方面，人民银行信息系统仍没有突破传统内审的窠臼。具体问题与原因：
一是IT审计的理论缺失。IT审计是审计理论的新兴领域，当前有关它的研究尚不够深入，阐述与定义尚不统一，也给IT审计制度的建设和IT审计的实践带来一定程度的混乱。
二是IT审计的制度缺失。人民银行内审司虽制定了《计算机信息系统监督检查工作暂行规定》､《计算机信息系统内部审计规程》等制度，但不是真正意义上的“IT审计”，仅处于信息系统(IS)审计层次，属于一般内控操作制度范畴。
三是IT审计的标准缺失。目前却仍未规划与制定出一套能与国际接轨的抑或有中国特色的IT审计标准与具体行业准则，使目前的IT审计没有明确的方向与标准的轨道。
四是IT审计的队伍缺失。首先，在组织体系上IT审计人员配置不足与结构不合理。其次，人员综合素质不高，既掌握IT知识又熟悉央行业务､懂得金融法律的人力资源十分匮乏。第三，未建立IT审计复合型人才培育机制，使现有人员IT审计素质不能得到应有的提高。
五是IT审计的手段缺失。即IT审计本身缺少信息技术硬件与软件的武装与支持。首先是内审部门计算机及其网络工具与设施配备不足，使目前所开展的IT审计仍停留于现场的､被动的､事后的传统审计形式。其次是业务审计的IT辅助审计应用软件缺乏，内审人员面对全面“数字化”的审计对象，只能望洋兴叹。第三是当前的业务应用系统在设计､开发之初就未考虑接受审计因素，内审人员实施IT审计时没有“合法”接口与取证手段。这些均极大地困扰与制约着IT审计的开展与发展。
三､改革央行内审深化IT治理的政策建议
1､加强IT审计及IT治理的理论研究，为新形势下的央行内审改革提供理论基础。2004年，人行内审司同ITGov(中国IT治理研究中心)合作开展了“IT治理与IS审计模型研究”，对国际通用的IT治理框架和信息系统审计标准“信息与相关技术控制目标”(COBIT)进行了研究，取得初步成果。但是，近年来类似的内审科研仍然偏少，成果不多。当前，国外在这方面的研究与探索均较深入，硕果累累，可以很好借鉴。
2､改革传统的人行内审体制，架构与IT治理相适应的新型内审模式。IT审计的目标是通过实施审计，维护､促进或增强人民银行计算机信息系统合规性､安全性､可靠性､有效性。人民银行已构建了强大的信息传输网络，作为内部审计主要对象的央行业务系统实现了数据大集中，人民银行分支机构业务运营与管理的内涵与外延也发生重大变化，不同层次的央行机构IS更存在鲜明的差异。这就要求央行对传统的内部审计架构进行新的设计，如构建“重心上移､机构下派”的内审新体系。借鉴西方中央银行组织治理模式并与央行IT治理机制相适应，在强调内部审计独立性的同时，注意与IS开发､应用部门的协调一致。采用更灵活的内审方式，如引入市场经济国家“内审社会化”或“内审外包”做法，对人民银行的部分IT审计项目可委托有资质的社会组织开展;提升手段，改革传统的现场审计与人力审计模式，利用计算机网络系统和审计辅助系统实施以“信息技术对抗信息技术”的“非现场审计”和“机器审计”，等等。
3､树立现代内部审计理念，实现内审由合规性监督向评价与咨询服务转变。审计的目的是确保整个组织活动的有效性､效率性､合规性､安全性，使组织“价值增值”。内审由于IT手段的利用及对IS的审计，使内审目标的实现更加可能。因此，人民银行的IT审计不应停滞在查错纠弊的监督阶段，而应要求审计人员树立服务意识，为被审对象提供咨询服务，当好参谋。
4､加快编制我国央行IT治理规划，建立适应人民银行体制的IT审计标准体系和框架。“信息系统审计和控制联合会”(ISACA)已制定了“面向过程的信息系统审计和评价的标准”(COBIT)，国际内部审计师协会(IIA)将其作为国际通用的IT审计标准。作为我国央行的人民银行内审也应积极借鉴标准，制定一套适合我国央行特色的IT审计标准与规范，为IT审计开展评价､咨询等活动提供尺度与准绳。
5､开展对新系统开发的审计，实现IS事后审计向全过程审计转变。即在新系统的立项､开发､测试和验收阶段，内审人员就参与其中，对程序开发到应用的全过程从审计的角度进行审慎监督;对系统的审计由事后转变为全过程监督。同时各业务部门在正式培训､推广使用新系统时，应邀请同级审计部门参加培训学习。对新系统开发审计时，应对新系统的今后可审计操作性提出要求，防止系统出现“拒审”等情况的发生。
6､加强IT审计队伍建设，提高央行内审从业人员综合素质。一是吸收计算机专业人员，把他们培养成审计人员;二是对现有审计人员开展IT知识培训和继续教育，培养成IT审计师;三是建立激励机制，推行IT审计师持证上岗制度，鼓励内审人员学习和钻研计算机知识，考取国家计算机资格等级证书，有条件的通过国际IT审计师资格认证。
(七)加强计算机辅助审计软件开发与应用，推进IT审计信息化建设。
参考文献：
[1]《内部审计思想》 (美)Andrew D．Bailey， (美)Audrey A．Gramling， (美)Sridnar Ramamoorti著;王光远等译，中国时代经济出版社，2006;1
[2]仲安妮．IT审计直面差距找准定位促跨跃．金融时报，2006-8-22
关键词：IT审计师 计算机审计 网络审计
一、引言
信息系统审计师，也称IT审计师或IS审计师，是指一批专家级人士，既通晓信息系统的软件、硬件、开发、运营、维护、管理和安全，又熟悉管理的核心要义，能够利用规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行审计、检查、评价和改造。IT审计师是由“国际信息系统审计与控制协会（ISACA）”认证的。ISACA是国际上惟一的信息系统审计师专业组织。会员被称为信息系统审计师，也就是我们通常所说的IT审计师，其主要从事的工作包括：向客户提供与信息系统相关的服务，在财务审计中对被审计单位的信息系统的了解、测试和评价以及计算机辅助审计技术的运用等方面。一般的IT审计师都具备全面的计算机软硬件知识，对网络和系统安全有独特的敏感性，并且对财会和单位内部控制有深刻的理解。
随着计算机技术在管理中的广泛运用，传统的控制、管理、检查和审计技术都受到巨大的挑战，国际公司、专业咨询公司和高级管理顾问都将控制风险，特别是控制计算机环境风险和信息系统运行风险作为管理咨询和服务的重点。几乎所有的大型跨国公司，由于普遍使用大型管理信息系统，都非常重视对信息系统安全性和稳定性的控制。这就常常需要高薪聘请国际信息系统审计师（简称IT审计师）进行内部审计。因此，IT审计师已经成为全球范围最抢手的高级人才之一。
二、IT审计师的出现迎合了计算机审计的发展
计算机审计的发展一般要经过绕过计算机审计，穿过、利用计算机审计，网络审计三个阶段。其中前两个阶段属于计算机桌面审计系统。绕过计算机审计是指将计算机处理系统看作是一个“黑箱”。根据被审对象对计算机数据处理系统输入的原始数据，通过手工操作，将处理结果于计算机处理系统的输出进行对比，检查其是否一致，属于计算机审计的初级阶段。穿过计算机审计是对计算机数据处理系统进行审计，包括系统目的与功能需求是否达到，系统与系统设计是否先进、和实用，程序设计是否正确可靠，内部控制是否健全、可靠，管理制度是否严密、有效，文件资料是否齐全、完整等。利用计算机审计是为实施审计专门开发计算机程序，检验被审单位电子计算机程序的可靠性。网络审计是指综合运用计算机网络及其相关技术手段对网络经济及网络系统进行审查的新型审计，是计算机桌面审计系统发展的高级阶段。
随着目前电子商务等网络经济的发展和完善，网络审计势在必行。网络审计的模式，从审计的客体角度方面，是建立在网络基础上，对被审单位一定时期内全部或部分经济活动，特别是正在发展中的电子商务、电子、网络财务、网络会计等进行审计的计算机系统。它包括两个方面：其一是对被审系统开发过程进行审计；其二是对被审系统运行过程及其结果进行审计。目前计算机审计的发展大多还处在只是对被审系统运行结果进行审计，或进一步对被审系统运行过程进行审计，这样的审计是建立在假定被审系统安全、可靠基础上的。而实际上这种假定是否合理，是应当予以验证的，这种验证也就是要对被审系统的安全性、稳定性、有效性进行审计、检查、评价和提出改造建议。而这也正是IT审计师的主要工作，并且这部分工作也是一直上溯到被审系统开发过程的。因此，IT审计师的出现正好迎合了网络审计模式的需要。IT审计师虽然主要源于信息系统安全而产生，其主要工作也含有较高的计算机技术因素，但就发展来看，IT审计师的出现迎合了计算机审机的发展趋势，昭示着计算机审计不久将随着电子商务、网络财务等的全面展开而逐步发展到网络审计阶段，未来的IT审计师们也将成为网络审计的“主力军”。从这个角度上讲，IT审计师也是计算机审计发展的必然产物。
三、IT审计师在网络审计的重要作用
计算机审计发展到网络审计后，计算机审计的主要将包括网络安全技术与内部控制系统的审计、系统开发审计、程序审计、数据文件审计等四个部分。通过分析可以发现，这四个部分的内容，不同程度地与IT审计师相关联，IT审计师在其中将起重要的作用。
（一）网络安全技术与内部控制系统的审计
从Internet诞生起，信息和网络的安全性就成为关注的一个焦点。在Internet发展的每一个阶段，安全问题也都是基础性的、关键性的因素。对于网络审计，其首先遇到的也是网络的安全性测试问题。与安全性相应的还有网络系统的内部控制的测试问题，网络系统的内部控制包括一般控制和应用控制两个方面。一般控制包括组织控制、软件开发、硬件和系统软件控制、系统安全控制、维护控制和文档控制等方面的审查与测试。应用控制包括输入控制、处理控制、输出控制。IT审计师的主要工作就是利用标准、规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行测试、检查、评价和改造。IT审计师首先关注信息系统的安全性，没有安全就没有一切，IT审计师会采用各种来测试系统的安全性，并对来自内部和外部的安全隐患提出相应对策；IT审计师还要审查信息系统的稳定性，没有长期稳定性，信息系统就无法承担起激烈竞争的压力，IT审计师会提出一系列对策保证客户信息系统的万无一失；IT审计师还要鉴别信息系统的有效性，最安全和最稳定的系统不一定是最有效的系统，而效率不高的系统就会消耗大量的资源，一般情况下，一说到信息系统建设，大家都觉得是工程师或程序员的事，事实上，这是非常错误的观点。一个好的系统，在安全和稳定的前提下，必须最大程度符合企业经营流程的特点，经济、有效地解决问题和提供信息。要做到这一点，信息系统开发和维护过程中，就必须有大量的经营管理人员参与， 设计出最优的信息流转路径。如果不重视信息系统的有效性，其危害同样是巨大的。一方面由于其繁琐和复杂，导致内部业务人员不会用、不想用或使用不当；另一方面使用过程中的差错又会导致稳定性和安全性方面的问题。显然，要对信息系统的安全、稳定和有效进行监控，就不单纯是某类技术人员能够完成的任务，经过专业训练，经验丰富的信息系统审计师将在这一领域发挥重要的作用。信息系统审计师的突出特点就是兼通技术和管理，能够利用规范的审计手段，比较客观和冷静地分析、评价企业现有信息系统的运行，并从专业的角度提出建议。
通过以上分析我们看到，IT审计师的工作中实际上已经包含了网络安全技术与内部控制审计的内容。进一步从IT审计师的服务对象分析，IT审计师主要是为以下几类对象服务：
软件供应商。特别是经济管理类的集成软件供应商，需要信息系统审计师参与产品设计、规划和检测，并对客户现有信息系统进行评价，提出改造设想。全球所有重要的ERP和CRM产品供应商都聘请大量信息系统审计师。
管理咨询机构。20世纪90年代以后，管理咨询的重点已经逐步为提供一揽子解决方案，其中信息系统的配置，就是解决方案成功的基础。国际知名的管理咨询机构中，有50%以上的员工熟悉信息技术，其中20%拥有信息系统审计师资格。
师审计师事务所，是信息系统审计师最早的落脚点，“五大”国际会计公司超过30%的收入来自于风险管理部门。这个部门的最主要工作就是监控客户的信息系统风险和运营风险，同时为客户提供ERP或CRM的安装、维护和培训。会计师审计师事务所中传统财务报表审计也越来越离不开信息系统审计师的贡献。没有他们的工作，评估内部控制风险和固有风险将成为一句空话。人们常常看到，“五大”会计公司里，最年轻的合伙人或经理，往往都是信息系统审计师，因为这是一项年轻人的工作。
跨国公司。作为信息系统最集中的用户，跨国公司急需大量信息系统审计师，一方面参与信息化建设的过程，另一方面时刻保持对分支机构的信息监控。还有一种最新迹象表明，跨国公司内部审计部门也在大量招聘信息系统审计师，以加强内部的监督和牵制。
大型国有企业和上市公司。这些机构往往有雄厚的财力来实现管理的信息化、保证生产经营的稳定性，他们对信息系统审计师的要求和跨国公司类似。
（二）系统开发审计
系统开发过程一般分为：系统初步调查和可行性、系统详细调查和系统、系统总体设计、系统详细设计、程序编制、程序调试、系统调试、系统转换、平行操作试验、系统评审、系统维护和评价等过程。系统开发审计是事前审计，实际上是审计人员参与系统的全过程。主要监督审查下列：（1）系统的功能是否恰当、完备，能否满足用户商务活动的需要；（2）系统的数据流程、处理是否符合有关商贸法规；（3）系统是否建立了恰当的程序控制，以防止或发现无意的差错或有意的舞弊；（4）系统是否保留充分的审计线索，保证了商务系统的可审性；（5）系统的安全保密措施和管理制度是否健全，能否保证系统安全可靠地运行；（6）系统的文档资料是否全面、完整。这部分和IT审计师的工作内容实际也是相适应的。因为IT审计师正是参与一个系统分析、设计和调试运行全过程的“保健医生”，并且IT审计师最关注系统的安全、稳定、有效。
（三）程序审计和数据文件审计
应用程序是信息系统的核心，其是否遵守国家财经法规和政策，对业务的处理是否合规、合法、正确等，均体现于应用程序。可以手工对应用程序直接进行审查，也可以使用机辅助方法，也可以通过数据在程序上的运行间接测试。电算化会计信息系统中，实质性测试的对象是数据文件。对数据库或数据文件的审计主要目的是为确保数据的完整性与正确性等。对数据文件的实质性测试包括：对各账户余额和发生额直接进行检查；对会计数据进行分析性复核，旨在对数据文件进行实质性测试；测试一般控制措施或应用控制的符合性。可以使用不处理数据文件的实质性测试方法、处理实际数据文件的实质性测试方法及处理虚拟数据文件的实质性测试方法。这两部分内容没有IT审计师的技术支持，一般审计人员也难胜其任。
四、结论
由上可知，审计业务发展至今，传统财务审计工作只是审计中一个特别小的组成部分。审计师最重要工作之一，是发现被审计单位最重大的风险隐患，在认定其持续经营的基础上，再对财务报表的真实、公允性发表审计意见。如果审计师认为被审计单位的信息系统是业务运转的平台，是风险高发区，那么对信息系统的安全、稳定和有效的评价就成为审计的基础和重点。当然，对信息系统的审计和对财务事项的审计，手段有所不同，但基本的程序和原理都是一样的。同时计算机审计的主要内容均和IT审计师有重要关联，IT审计师是开展计算机审计工作的重要推动力量。因此，我们在培养高级审计人才时，应注重IT审计师知识结构，在数学体系上增设以下内容：信息系统审计程序；信息系统的管理计划和组织；技术基础和操作实务；信息资产的保护；灾难恢复和业务持续计划；业务应用系统的开发、取得、实施和维护；业务过程的评价和风险管理等。
参考：
1.刘威，强清。关于计算机审计与IT审计师关系问题的探讨。财贸研究，2003（1）
【关键词】 IT审计； 财务共享服务模式； 大数据； 云会计
【中图分类号】 F232 【文献标识码】 A 【文章编号】 1004-5937（2016）24-0128-04
一、引言
财务共享服务模式是依托大数据、云计算等信息新技术以财务业务流程再造为基础的分布式管理模式，目的是优化组织结构、提升核算流程效率、降低财务核算成本以及为企业创造价值，其站在市场视角为内外部客户提供专业化财务服务。在财务共享服务模式下，集团企业将日常的、共同的、分散的、大量的、重复的、可标准化的财务会计流程从下属分公司剥离出来，统一交给财务共享中心进行处理[1]，实现了业务处理、数据存储的集中，同时也增加了IT风险。IT风险[2]已经成为企业的“经营风险”，包含IT环境风险、IT管理风险、IT技术风险和IT平台风险等。大数据时代基于财务共享服务模式的IT审计目的是为了找出并解决财务共享的IT风险，依托大数据、云计算等信息新技术，通过对大数据进行采集、处理、分析以发现问题。
IT审计一直受到诸多学者的重视，曹立明[3]分析了IT审计本质、目标与方法，认为IT审计是会计信息化的内在要求，并对会计信息化IT审计的目标、内容和实施条件进行分析，最后对会计信息化IT审计面临的问题进行了阐述。覃宪姬等[4]以广州地铁IT审计为例，在分析了广州地铁信息系统审计现状的基础上，构建了广州地铁IT审计框架并对其具体内容、实施步骤、审计策略以及审计方法进行了阐述。柳芳[5]从ERP系统安全性风险、业务流程风险和ERP系统管理风险入手，对ERP固有风险进行了分析并提出了相应的IT审计对策。李有华[6]将企业IT风险分为IT战略风险、IT项目风险、IT安全风险、IT服务风险、IT合规风险，并在此基础上对IT审计的内容、标准、范围、方法和制度进行了分析。
综观上述文献，大多数文献都基于传统信息系统，并从传统审计手段的角度出发对IT审计的框架、发展与实施进行研究。在大数据时代，财务共享服务模式成为大型集团企业的首要选择，其IT架构更多地运用到云计算技术，并需要大数据进行技术支撑。审计人员在财务共享服务模式下进行IT审计时将更多地运用大数据审计[7]手段进行IT审计，从数据的角度发现疑点，以减轻审计工作量，提高审计工作效率。有鉴于此，本文从大数据的角度对财务共享服务模式下IT审计的特点进行分析，梳理其数据流程，在此基础上构建IT审计框架模型，并对其实施流程进行阐述。
二、大数据时代基于财务共享服务模式的IT审计框架
（一）财务共享服务模式下IT审计的特征分析
一般认为IT内部控制包含组织层面的IT控制、一般控制和应用控制三个层面[6]，审计人员通常以此为基础展开IT审计工作。财务共享服务模式下的IT审计需要充分结合财务共享IT架构特征，其IT审计范围如图1所示。同时，三个层面的IT审计在财务共享服务模式下也出现了有别于传统企业IT审计的特点。
1.组织层面的IT审计
组织层面的IT审计主要检查财务共享IT架构的设计是否合理，以及是否得到有效实施，其核心内容是管理层控制。集团企业建立财务共享服务模式的战略目标清晰，即降低财务核算成本，其IT战略规划应当以实现该目标为前提，并以此为基础进行IT部门与职能的设置。财务共享服务模式下组织层面IT审计应当对财务共享IT战略规划、IT部门与职能的设置是否符合财务共享战略目标进行检查，并对其实施的有效性进行审计。
2.一般控制层面的IT审计
一般控制层面的IT审计是为了确保IT系统运行的可持续性，能够为应用控制提供支撑，审计对象包含软硬件平台、网络等。财务共享服务模式下集团企业将财务核算业务集中，借助移动互联网、云计算等信息新技术实现了财务核算流程再造和数据的集中存储，其IT技术风险应当得到审计人员的重视。财务共享服务模式下一般控制层面的IT审计应当对数据安全、基础设施更新、访问安全和网络安全等主要风险点进行审计。
3.应用控制层面的IT审计
应用控制层面的IT审计主要检查业务系统层面所设计、执行的IT控制是否能够确保整个系统具有可信性，以及是否能够完成相关数据的产生、记录、传递、处理、分析和报告等功能。财务共享服务模式下集团公司、各分子公司的ERP、HR、OA等其他业务系统需要和财务共享中心实现数据对接与共享，为财务核算系统提供数据支撑，其间数据的产生、记录、传递、处理、分析和报告都是IT审计的关键风险点。财务共享服务模式下应用控制层面的IT审计应当对财务核算流程的设计与实施、业务系统与财务共享中心的数据对接、登录权限等内容进行重点关注。
（二）IT审计程序流程框架
COBIT（Control Objectives for Information and related Technology）即信息系统和技术控制目标，是一种用于“IT审计”的知识体系，由美国信息系统审计与控制协会（ISACA）于1996年首次提出并于2005年更新到COBIT 5.0。目前COBIT已经成为众多国家的政府部门、企业对IT的计划与组织、采购与实施、服务提供与服务支持、监督与控制等进行全面考核与认可的业界标准。由于COBIT 5.0具有普适性，因此财务共享服务模式下的IT审计可以此为基础构建IT审计流程框架。在大数据技术背景下基于财务共享服务模式的IT架构与传统IT架构有所区别，在构建IT审计流程框架时应当充分考虑到这一点。
财务共享服务模式下的IT审计流程框架包含IT审计指南和IT审计流程两部分。其中IT指南是参考COBIT 5.0得出的IT审计标准，在IT审计过程中起着指导作用，包含关键审计因素、流程能力模型、风险控制模型、IT技术可信评估和IT审计知识库等内容。IT审计流程则包含制定审计目标、风险评估、制定审计计划、设计审计程序、执行审计程序和出具审计报告六个流程，如图2所示。
（三）IT审计数据流程框架
在财务共享服务模式的IT审计中，审计大数据的产生、传递、处理和分析贯穿整个审计过程。为了充分利用大数据技术提高审计效率，审计机构可以历史数据、互联网数据等组成的大数据为基础构建审计数据中心，并建立IT审计知识库，帮助审计人员进行高效的IT审计。在审计过程中，审计人员可以通过IT审计知识库中的IT审计知识对审计对象的关键风险点进行重点关注，通过大数据审计方式对审计对象提供的相关大数据进行审计。待审计人员出具审计报告后，可将该审计项目的主要风险点、测试方式以及实质性程序等相关审计数据反馈到审计数据中心以完善IT审计知识库，形成IT审计的数据闭环，如图3所示。
三、大数据时代基于财务共享服务模式的IT审计流程
大数据时代基于财务共享服务模式的IT审计应当是一个包含审计大数据产生、传递、归集和使用的闭环系统，在审计过程中应当由IT审计指南对IT审计的计划、实施进行指导。
（一）制定审计目标
审计人员在进行财务共享服务模式下的IT审计时，应当充分考虑该模式下的特点，结合财务共享的IT战略规划，明确审计的时间、目标和范围。集团企业建立财务共享服务模式的战略目标为降低财务核算成本，为了实现该目标，其IT架构应当满足技术可信、内部控制有效、数据平台安全等基本要求，也是财务共享服务模式下IT审计的主要目标。在不同性质的IT审计中，审计人员可以按照实际的审计需求选择不同的侧重点来制定满足实际需要的审计目标。例如内部审计中，审计人员进行IT审计时更多地关心财务共享服务模式下的应用控制制度建设是否合理、是否得到有效实施；社会审计中，审计人员进行IT审计时则更加在意通过财务共享服务模式是否能够提供真实可靠的财务信息。
（二）风险评估
财务共享服务模式的IT架构相较于传统IT更多地使用了大数据、云计算等技术，因此财务共享服务模式下IT审计的审计风险与以往所有差别，例如审计人员在IT技术层面可能无法对IT技术风险有足够的了解，可以通过权威的第三方IT咨询机构获取该审计项目中财务共享下IT技术的评估报告，即IT审计指南中的IT技术可信评估。除了IT技术风险外，审计人员还应当充分考虑财务共享服务模式下独特的审计环境，结合财务共享服务模式下的业务流程再造，对财务共享中心内部控制制度建设情况进行评估，得出可能的其他审计风险以及风险发生的可能性，通过建立二维风险矩阵的方式对风险进行定性和定量的评估。
（三）制定审计计划
根据风险评估的结果，在考虑企业IT管理框架、人力资源配置等因素的基础上，审计人员应当充分结合财务共享服务模式下财务处理流程标准化程度高、业务量饱和以及财务核算成本低等特点，分别制定总体审计计划和具体审计计划，包括确定审计目的、审计范围、人力调配以及审计策略等内容。需要注意的是，财务共享服务模式下运用了大数据技术，传统审计手段很难进行有效的IT审计，应当在审计计划中明确使用大数据审计等审计手段。
（四）设计审计程序
财务共享服务模式下的IT审计程序包含IT管理层控制、IT一般控制和IT应用控制三部分。大数据技术在该步骤得到广泛运用，审计人员可以通过大数据爬虫获取互联网数据，从财务共享数据中心获取集团大数据，然后使用数据驱动测试、数据挖掘、数据多维分析等方法对大数据进行分析，实施审计程序。同时，审计人员也可以使用IT审计知识库比对其他财务共享IT审计项目，辅助确定IT审计中的主要风险点。
1.IT管理层控制
审计人员在进行IT管理层控制时可以结合COSO内部控制框架与财务共享实施情况设计调查问卷，向分子公司总经理、集团财务部员工、财务共享中心负责人等发放。然后可以根据问卷结果与财务共享负责人或IT管理层进行访谈，以评价集团企业在财务共享服务模式下IT管理层控制的有效性。
2.IT一般控制
审计人员在进行IT一般控制时可以采取问卷调查、访谈、穿行测试等方式，也可以直接通过第三方IT咨询机构获取企业IT技术评估报告，以确认该审计项目中财务共享服务模式数据安全、基础设施更新、访问安全和网络安全等主要风险处于可接受范围内，不需要整改。
3.IT应用控制
审计人员在进行IT应用控制时可能更多地会运用大数据审计的方法获取审计证据，例如对采集到的大数据进行清洗后通过SQL查询、大数据挖掘和多维分析等方法寻找审计疑点，或通过黑盒测试法进行数据驱动测试以发现IT系统运行中存在的问题。除了大数据审计的方法外，穿行测试与控制测试也能帮助审计人员找出应用控制设计与执行中存在的问题。
（五）执行审计程序
按照设计好的审计程序进行下一步工作，审计人员需要结合风险评估结果对财务共享服务模式三个层面进行控制测试，根据实际需求实施实质性程序，通过大数据审计、穿行测试等审计手段得出审计证据，并将从中得出的主要控制风险告之相关人员，记录测试和交流沟通的结果。
（六）形成审计意见，出具管理层建议
按照得到的审计证据，结合最初制定的审计目标得出最后的审计结果，并根据审计结果当中的所发现的问题向管理层出具审计意见和提供建议，在与管理层进行沟通后取得其对管理建议的相关回复。
出具审计结果后审计人员应当将相关数据反馈到IT审计知识库以形成新的IT审计知识，完成审计大数据闭环。
四、结语
财务共享服务模式的建设需要大数据、云计算等技术支撑，但同时也改变了其IT审计的审计环境。本文基于财务共享服务模式的特点构建了该模式下IT审计的审计流程框架并对其具体流程进行了分析，以期对财务共享服务模式下的IT审计提供理论指导，帮助集团企业降低或规避其财务共享服务模式下的IT风险。
【参考文献】
[1] 王德宇.财务共享服务与企业管理研究[J].山东社会科学，2015（5）：160-163.
[2] 周常兰.IT风险控制整合框架的构建――风险控制四维整合框架的引入与扩展[J].经济体制改革，2014（2）：102-106.
[3] 曹立明.论IT审计与会计信息化[J].中国注册会计师，2012（12）：108-113.
[4] 覃宪姬，陈瑜，佟柱.信息系统审计的透视与思考――基于广州地铁审计案例的分析[J].中国内部审计，2014（8）：62-69.
[5] 柳芳.基于ERP系统固有风险的IT审计对策[J].中国内部审计，2013（12）：67-69.
[6] 李有华.企业IT审计方法研究及应用[J].中国内部审计，2013（10）：63-65.
［关键词］ IT；风险管理；责任主体；合规
doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 06. 022
［中图分类号］ F272.35 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）06- 0045- 03
1 问题的提出
信息技术迅猛发展和深入应用使得企业的日常运营越来越依赖于IT系统，企业信息化的规划、实施、运行维护等各阶段都存在着各种风险，IT相关风险正成为管理层、监管部门重点关注的对象，IT内部控制与风险管理也逐渐成为企业内部控制与风险管理的重要组成部分。对于当前我国企业而言，谁应该成为IT风险管理的责任主体，董事会、IT战略委员会、IT监管部门、内部审计部门、外部审计、风险管理部门、IT日常管理部门等在IT风险管理中各承担哪些责任，我国企业在当前IT风险管理相关部门设置情况如何，为了弄清上述我国企业IT及其风险管理的责任主体的相关问题，笔者在理论分析和问卷调查的基础上，整理了相关的调查数据，统计并分析了我国企业在责任主体设置方面的分布特征。
2 IT风险管理责任主体的最新理论框架
与IT风险管理责任主体研究有关的最新的综合性理论框架为国际信息系统审计与控制协会（ISACA）于2009年12月颁布的IT风险管理框架。ISACA在IT风险管理框架中，定义了IT相关风险管理的一系列主体，并指出了各主体应在某一方面或某几个方面负责或承担责任。就某一特定方面而言，只有一个主体为负责部门，其他主体或承担部分责任，或没有责任。当然，该框架也说明由于每个企业的组织机构与职能部门设置情况并不完全相同，作为理论框架，只是提供原则性的指导，没有必要与某一具体企业的组织机构与职能部门完全一致，因此，在该框架中，对每个责任主体的定义只是进行了简洁描述。IT风险管理框架下的IT风险管理责任主体及承担的责任如表1所示。
资料来源：ISACA，Risk IT Framework，USA，2009．12．
3 我国企业IT风险管理相关的主要责任部门及责任探讨
如上述框架所述，不同企业的组织机构与职能部门设置情况并不完全相同，就我国而言，近年来，各方面的监管层出台了大量的规范，如《企业内部控制基本规范》、《中央企业全面风险管理指引》、《信息技术服务运维通用要求》、《商业银行信息科技风险管理指引》、《证券公司信息技术管理规范》等等，都对IT的相关风险做出了明确的规定及要求，企业已经进入了“合规年代”。当前我国企业的IT风险管理的责任部门主要包括：IT战略委员会、IT监管部门、IT日常管理部门、内部审计部门和风险管理部门。
其中，IT战略委员会应由企业的最高管理层及管理执行层包括IT管理和业务管理有关部门负责人、管理技术人员组成，定期召开会议，就企业的企业战略与IT战略的驱动与设置等议题进行讨论并做出决策，为企业IT及其风险管理提供导向与支持。IT监管部门分为企业外部和企业内部。
企业外部监管部门主要包括工业与信息化部、财政部、审计署、证监会、银监会等政府机构，从各自负责的领域对企业信息技术的相关方面提出监管标准和要求。企业内部的IT监管部门主要负责公司信息技术方面的评价、监督以及合规方面的检查。
“建立有效、健全的信息系统内部控制制度”这一责任的主要承担部门是IT日常管理部门。外部审计员对董事会负责的，协助董事会的专业委员会来确认和分析技术风险的程度，包括企业内部网与因特网在内的任何直接或间接影响财务报表或其他至关重要资料的数据或处理系统。
内部审计员协助董事会的专业委员会执行IT实务和系统的控制检查，并向委员会推荐合适的改进措施用于参考和实施。IT风险是企业风险管理体系至关重要的组成部分，与企业其他风险管理程序类似，需要运用企业风险管理的相关原则与方法，结合IT活动的特点，执行风险管理程序。
风险管理部门需要指导并参与IT相关风险管理，即识别风险、分析风险、制订IT风险工作计划、跟踪风险、应对风险，并借助于定期、不定期的检查风险防范措施的落实情况，通报检查结果，将风险管理过程纳入到日常管理中。
4 对我国企业IT风险管理相关责任部门设置的现状调查与分析
笔者于2010年7月-2010年9月进行了多次调查，调查形式分为现场纸质问卷以及远程网络问卷，其中，在2010年用友技术大会、2010年国资企业IT能力建设高峰论坛、2010年中国信息安全年会上共发放现场纸质问卷165份，回收114份，有效问卷数为97份，现场纸质问卷的有效回收率为58．79％，在线发送远程网络问卷调查邀请60次，在线回收数据14份，剔除不完整问卷2份，有效问卷数为12份，远程网络问卷的有效回收率为20％，最终用于数据分析的有效样本数为109份。
4.1 样本企业IT风险管理责任部门设置的总体情况
如表2所示，从企业来看，IT日常管理部门的设置最为普遍，有97％的企业设置了IT日常管理部门；内部审计部门设置情况较好，有82％的企业设置了内部审计部门；风险管理部门的设置情况一般，有不到七成的企业具有风险管理部门；IT战略委员会的设置情况最差，仅有不到六成的企业具有IT战略委员会。这一结果表明：我国部分企业还没有把IT纳入战略层面考虑的范畴，还停留在操作层面的IT日常管理工作上，作为传统的内部控制监督与检查部门，内部审计部门已成为绝大多数企业的常设机构，一半多的企业具有了较强的风险管理意识并将风险管理部门作为常设机构。
4.2 不同类别企业IT风险管理相关部门设置的情况
笔者按照不同经济成分企业、不同规模企业、不同上市状况企业进行了分组统计和比较，结果如表3所示。
表4表明，总体上看，三资企业类的企业IT风险管理相关部门设置情况最好，比重均为第一。其次为中央国有企业，民营企业与集体企业部门设置情况较差。具体来看，除了个别民营企业外，样本企业均有IT日常管理部门。地方国有企业最不重视IT战略委员会的职能，民营企业最不重视内部审计部门、风险管理部门的设置。无论是企业还是子公司，规模大的企业IT风险管理相关部门设置比例明显高于中小规模的企业。总体上看，无论是企业还是子公司，有香港或海外上市公司的企业IT风险管理相关部门设置比例都是最高的，除IT监管部门外，仅有大陆上市公司的企业IT风险管理相关部门设置比例第二，无上市公司的企业设置比例最低。
4.3 被调查者对企业高层应讨论IT哪些风险的看法
为了了解被调查者对企业高层应讨论IT哪些风险的看法，笔者在问卷中设计了一道多项选择题“IT的哪类风险应由企业高层会议讨论”，列出了IT投资风险、系统建设风险、系统运行维护风险三类风险，以及“都不是”与“不确定”两个选项。调查结果如表4所示。
结果表明，选择“都不是”的仅有15％，选择“不确定”的仅有8％，两者相加的比重为23％，即有将近八成的被调查者认为高层应讨论IT相关风险，这一结果说明绝大多数被调查者均认识到IT相关风险不仅是公司操作层、战术层应关注的，还应上升到战略层进行讨论。在三类风险中，被调查者认为高层应讨论IT系统建设风险的比重最大（为40％），认为应讨论IT投资风险的接近40％，说明投资风险与系统建设风险是应上升到战略层考虑的风险，而系统运行维护风险往往是战术层或操作层考虑的风险。
5 结论与建议
当前我国企业的IT风险管理的主要责任部门包括：IT战略委员会、IT监管部门、IT日常管理部门、内部审计部门和风险管理部门。我国企业IT日常管理部门的设置最为普遍，但当前我国部分企业还没有把IT纳入战略层面考虑的范畴，还停留在操作层面的IT日常管理工作上，作为传统的内部控制监督与检查部门，内部审计部门已成为绝大多数企业的常设机构。从规模特性来看，特大型企业IT风险管理相关部门设置比例明显高于非特大型的企业。从上市情况来看，有香港或海外上市公司的企业IT风险管理相关部门设置比例都是最高。被调查者认为投资风险与系统建设风险是应上升到战略层考虑的风险，而系统运行维护风险往往是战术层或操作层考虑的风险。
由此，笔者提出如下建议：
（1）要建立健全IT风险管理的组织机构，其中的重点是建立IT战略委员会，发挥IT战略委员会在战略层面IT风险管理中的作用。此外，还应重视建立风险管理部门，把全面风险管理作为专业职能部门的职责，在指导全部关键资产的风险治理机制方面发挥指导作用。
（2）做好相关人员的培训工作，风险管理意识方面，要加强对相关人员风险意识的培养，树立IT投资的成本效益观念。提高各部门负责人的战略风险意识。知识能力方面，要加强企业内部的复合型人才培养和队伍建设工作，企业自身才是IT风险管理的主体，应该注意培养自己的人才队伍，学习如何识别、收集、评估、主动控制IT风险方面的系统化知识和专业化的方法。
主要参考文献
