本文作者：黄晶作者单位：江汉油田钻井一公司审计科

“信息系统审计”是近些年来在中国出现的一个新名词，目前还没有一个明确的概念。而在国外，尤其是在美国、日本、英国、加拿大等发达国家，信息系统审计已经发展到相当程度，信息系统审计的理念也已深入人心。国际信息系统审计领域的权威专家RonWeber对信息系统审计的定义，即信息系统审计就是“收集并评估证据，以判断一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。在计算机没有出现之前，信息系统是以人为基础的，信息的收集、处理、传递和存储都是由人来完成的。随着计算机的出现以及信息技术的进步，以计算机为基础的信息系统也得到了不断发展，并且主要应用于经济管理活动之中。企业以信息系统和信息技术为基础，改变自己的财务、经营管理等活动，以此来更好地实现企业的目标。在这一过程中，传统的手工审计方式受到了极大的影响，同时，企业的信息化也引发了很多企业和社会的问题。正是这些影响和问题促使信息系统审计不断发展。

1审计对象的发展导致了审计人员必须开展信息系统审计

在信息技术向人们工作、生活的每一个角落发起全面冲击的大潮中，信息技术不仅改变着人们的行为方式，同时也改变着人们的思维方式。而审计这个以鉴证财务信息的真实、公允为目的的行业则不可避免地受到信息技术飞速发展所带来的冲击与挑战。目前油田企业不仅仅是会计实现了电算化管理，在采购、销售、保管等业务环节也都实现了计算机管理，如早在前几年油田分公司已全面推行使用了新型企业管理模式的企业资源管理系统———ERP系统，2011年油田管理局存续公司全面推行使用了中石化集团公司会计集中核算系统。这些都迫使我们为了规避审计风险，确保审计质量而必须加快信息系统审计的步伐。企业的管理及信息处理经历了手工处理、会计系统计算机化、企业信息系统集成化三个比较突出的阶段。在最初的手工处理阶段，企业内部的信息最初是以手工处理的方式进行，一个企业的会计部门，通过不同岗位之间的分工协作，将企业在日常经营活动中产生的财务资料进行加工处理，形成企业内部和外部需要的各种会计信息。在这种情况下的审计方式毫无疑问是手工的形式，审计的对象也是人和纸质文档；20世纪90年代中期以后，在会计系统计算机化阶段，会计电算化工作在我国得到大规模的普及，企业的会计信息系统已经全面实现了计算机管理。这时的审计人员已经开始意识到计算机审计的重要性，但对计算机审计的认识还停留在对电子数据的采集和分析阶段，实际上是运用计算机进行辅助审计，充分发挥了计算机的运算功能，在提高审计效率、发现审计线索起到了很大的作用；20世纪90年代后期至今，油田企业已逐步进入了企业信息系统集成化阶段，会计电算化已逐步走向成熟，而企业的信息化建设并没有就此止步，以ERP、MRP－Ⅱ为代表的企业信息系统的高度集成逐渐开始兴起。这时的企业信息系统不仅仅是一个个孤立的系统，而是集财务、人事、供销、生产为一体的综合性的信息系统，财务信息只是这个系统所处理信息的一部分，单独的财务系统已不存在。在这种情况下，审计人员只有对整个系统进行全面了解，才能把握审计对象的总体情况，避免审计风险，将审计成果最大化。从企业信息化的发展历史可以看出，由于审计人员所面临的审计对象的不断变化，促使审计方式也随之改变，信息系统审计也就在这种历史背景下应运而生。

2开展信息系统审计面临的问题

2．1审计观念的转变

观念问题也就是认识问题。如果不转换审计观念，将审计目标仅仅局限为查错纠弊，势必将信息系统审计与当前中心工作对立起来。把审计仅仅理解为“查账”，则对信息系统审计的理解也只能停留在计算机辅助审计或辅助审计软件开发及应用的层次上。比如在ERP环境下，部分审计人员认为只需将所需的数据从ERP系统中导出，然后按照旧的工作思路和方法进行核对，不加分析，不加判断，继续按照旧环境下容易出现的错误及舞弊为起点进行审计，其结果可能是既浪费时间又没有成效。因为许多核对工作ERP系统已经能自动完成，仅仅数据的正确并不能表示被审单位信息系统中权限管理、参数的设置及修改控制等是否存在问题。对此，我们应改变现有的工作思路和审计观念，只有全面树立系统基础审计或风险基础审计的观念，才能理解信息系统审计的重要意义。审计中发现的很多错弊，都是由于管理上出了漏洞，也就是系统出了问题。如通过对油田分公司中部分单位进行内部审计时就发现存在个别管理人员随意将自己在管理系统中的用户名和密码给他人使用的现象，最终导致管理上出现了较大漏洞。一个管理完善的、控制良好的系统，应该能够防止、发现或纠正自身存在的问题。审计的任务就是帮助和促进被审计者建立、健全这种机制，而不应该是代替被审计者去履行他们的“管理责任”或“会计责任”。

2．2信息系统审计的专业人才的缺乏

开展信息系统审计不仅仅需要审计人员在业务方面有很强的能力，并且在计算机数据库理论、实务操作、设计等方面有很高的要求，即需要一批既掌握现代审计理论与实务，又了解计算机、网络技术并且通晓被审计单位业务的复合型专业人才。但从目前的人员数量和知识结构上看，还远远达不到要求。一方面受现有人员的知识结构和年龄结构限制，审计人员的计算机应用水平参差不齐，影响了审计信息化工作的整体推进。另一方面，虽然油田企业近几年为内部审计人员举办了ERP培训班、AIS培训班等大型培训，使大部分内审人员通过强化培训迅速掌握了审计现场必备的计算机操作、网络审计等基本技能，但由于因存续公司与上市公司审计人员的权限分配、业务性质等原因导致部分审计人员在实际审计工作中不同程度在出现了对先进的ERP、AIS系统学而不用，专而不精的现象，信息系统审计整体作用发挥不够明显。

2．3行业标准与实务指南

信息系统审计发展到一定阶段，必须由行业组织出面将实践经验加以总结，并把有关概念、工作流程和技术方法固定、统一起来，形成行业的标准和规范。这将是信息系统审计进一步发展的基础。这也是所有行业发展的共同规律。没有标准和规范，所有的实践活动只能局限在较低水平。

3信息系统条件下油田企业内部审计的实施

3．1对被审计单位的信息系统的可靠性和内部控制进行评价

内部审计人员应关注油田相关信息系统并从以下几点对被审计单位内部控制、系统的安全可靠性开展审查。一是调查信息系统的使用范围，网络安全和数据的备份等情况，以保证信息系统财务数据的安全、完整。重点可进行硬件及环境控制审查，即对存档的系统设计文本中有关硬件的资料进行审查，定期检查硬件设备并依据针对计算机管理程序有关要求测试硬件的可靠性；运行审查，即对计算机在输入、处理、输出过程中的运行情况审查；修改方式及保密措施审查等。二是对信息系统的内部控制情况进行初步的调查和评价，重点是权限管理、参数表的设置和修改控制等是否有效，信息系统的使用者和系统的开发者是否分离，被审计单位对交易录入的原始数据是否实施相应的控制，信息系统的数据流和业务流程是否吻合；三是通过系统日志等文件分析一些重大事件的原因，分析对整体信息系统的影响。

3．2充分利用计算机网络开展审计

迄今为止，油田企业内部单位的会计核算都实现了计算机管理，80％以上的单位（包括其下属的三级单位）全部使用的是国产的财务或管理软件（部分已具备了网络财务功能）。有的建立了内部网络管理和信息系统，实现了数据共享。这为网络审计软件的开发和审计网络的建设奠定了基础，也为开展信息系统审计提供了良好的工作平台。比如：油气田企业每年都要发生大量的采购行为，对此进行审计监督，降低采购成本，已成为内部审计的重要任务。而在完成这一任务过程中，审计人员对价格信息的采集和分析确认至关重要，借助的重要手段之一就是利用包容大量信息的互联网络、借助计算机、互联网和通讯等技术。由于油气田企业已于2002年实行了网上采购，内部审计部门要实现对物资采购业务电子化交易和结算业务的全过程审计、监督，就可以充分利用网络获得拟购买的劳务或产品的性能、价格、厂家的资质等经济信息，结合其他审计方法，对采购行为经济与否作出恰当的评价。再比如进行工程成本审计，审计人员同样也可以利用网络取得有关建筑材料、设备、机电仪表等价格信息，可计算出较合理的材料差价和工程造价。

3．3全面开展会计电算化系统审计

随着油气田企业管理的进步和内部监督约束机制的完善，内部审计工作的重点也从常规审计转向管理及效益等经营审计。审计人员在开展此类业务时，可通过进行科学抽样审计，利用项目测试辅助审计软件，输入运行参数，再读入拟抽取样本的数据库，确定抽样字段后，由计算机自动完成样本抽取、计算等工作，从而确定审计重点。如资产真实性审计，即可通过计算机抽样，再对样本实物进行重点跟踪盘查。同时在油气田企业开展管理和效益审计，审计人员仅凭对会计资料的审查，很难发现生产经营过程中存在深层次问题，无法准确评价与所审计的经济活动相关的内部控制的有效性。因此，要达到审计目的，就必须将与企业经营活动相关的信息流、资金流与物资流紧密结合，进行统计、比较、分析，找出存在经营风险的关键部位。我们知道，要完成这些工作，依靠手工操作，其工作量是难以想象的，而且不能保证较高的质量，但计算机的应用可以有效解决这一难题。编制审计辅助软件，将与审计项目相关的会计数据等信息拷贝或输入，再由计算机进行汇总、计算、分析，优选重点实施审计。

4促进油田企业开展信息系统审计的关键因素

在信息技术条件下，面对审计环境所发生的深刻变化，油田企业内部审计依靠传统的审计手段、技术和方法已经很难开展信息系统审计。

现阶段加快内部审计网络化、电算化建设是油田企业迫在眉睫的任务，在企业内部实现信息系统审计，也是油田内部审计适应网络经济和电子商务发展、追赶发达国家企业内部审计发展水平以及与国际惯例接轨的必然趋势。

首先，需要解决的问题是实现审计理念的转变。内部审计人员的审计理念要由主要是以财务审计为重点的传统审计理念向以内部控制审计、风险导向审计为重点的现代审计理念转变。在油田企业管理网络化、数字化迅速发展的环境下，内部审计人员要逐步向重点关注、开展油田内部控制审计、风险导向审计、经济效益审计、社会责任审计、人力资源审计以及环境审计的这一主要趋势转变。应全面树立系统基础审计或风险基础审计的观念，对信息系统审计的理解不应只停留在计算机辅助审计或辅助审计软件开发及应用的层次上，而是要通过信息系统审计帮助和促进被审计者确定信息化的目标和内容，选择合适的信息系统。

其次，加强内审队伍素质的提高是油田开展信息系统审计的重要保障。当前油田企业高素质内部审计人才的缺乏是制约信息技术条件下内部审计发展的关键环节，要解决好这个问题，应积极培养和引进既有丰富会计、审计知识和经验又具备一定层次计算机及网络知识和技能的内部审计复合型人才，加强开展油田现有内部审计人员计算机知识和技能的培训力度，创造条件对审计人员进行计算机知识、会计电算化系统控制及计算机审计技术方法等方面的培训，使审计人员能比较全面地掌握审计软件的使用、维护等技能，从而有效地利用计算机、网络技术完成审计任务。同时油田企业在注重普及计算机、网络知识的同时，应积极培养具有复合型知识结构的计算机审计系统开发和维护人员，吸收计算机专业技术人员加入到审计队伍，改变内部审计专业人员的知识和构成结构。

第三，应进一步加大审计系统对计算机设备和网络系统的投资，加快油田审计机关计算机硬件和计算机使用环境的建设。从油田内部审计的长远发展出发，各级主管部门应进一步对开展信息系统审计所必须具备的软、硬件建设给予足够的重视，从经费到人员都给予积极支持，采取有效措施，建立扶持计算机辅助审计软件开发的机制、审计部门内部局域网和审计资料库的建设，以促进内部审计事业的现代化。