计算机审计概述.pptx

《计算机审计概述.pptx》由会员分享，可在线阅读，更多相关《计算机审计概述.pptx（31页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、北京师范大学出版社第十三章 计算机审计 n 学习目标学习目标 ：通过本章的学习：通过本章的学习,我们需要掌握我们需要掌握 n 信息系统审计的基本业务内容信息系统审计的基本业务内容n 计算机审计的几种主要技术；计算机审计的几种主要技术；n 计算机审计的基本方法；计算机审计的基本方法；n 计算机信息系统内部控制的审计；计算机信息系统内部控制的审计；n 计算机信息系统功能的审计；计算机信息系统功能的审计；n 计算机信息系统数据文件的审计；计算机信息系统数据文件的审计；1北京师范大学出版社13.1 计算机审计的发展13.1.1 计算机审计的相关概念 n 一般认为，计算机审计既包括审计单位使用信息一般认

2、为，计算机审计既包括审计单位使用信息技术进行审计，也包括对被审计单位使用的计算技术进行审计，也包括对被审计单位使用的计算机信息系统所进行的审计。换言之，只要审计单机信息系统所进行的审计。换言之，只要审计单位和被审计单位两方中有一方使用信息技术进行位和被审计单位两方中有一方使用信息技术进行审计和数据处理，都可以称作计算机审计。审计和数据处理，都可以称作计算机审计。2北京师范大学出版社13.1.1 计算机审计的相关概念(续）n 计算机审计也有一个动态发展的过程，最早的计算机审计主要是基于计算机审计也有一个动态发展的过程，最早的计算机审计主要是基于财务报表审计展开的，而其应用技术也主要以计算机技术为

3、主，随着财务报表审计展开的，而其应用技术也主要以计算机技术为主，随着时代的发展，计算机审计已经发展为面向信息系统的审计，其应用技时代的发展，计算机审计已经发展为面向信息系统的审计，其应用技术也在不断扩展，例如目前的网络技术的应用。术也在不断扩展，例如目前的网络技术的应用。 3北京师范大学出版社13.1.1 计算机审计的相关概念(续）n 网络审计网络审计 ：网络审计主要包括电子商务审计与网誉审计等内容。：网络审计主要包括电子商务审计与网誉审计等内容。n 信息系统审计与网络审计是计算机审计发展过程中的具体表现形式。信息系统审计与网络审计是计算机审计发展过程中的具体表现形式。计算机审计是一个广义的概

4、念，计算机审计是一个广义的概念， 4北京师范大学出版社 13.1.2 计算机审计的发展n 国外计算机审计的发展国外计算机审计的发展 n 1974年美国会计师协会年美国会计师协会(AICPA)发布了发布了 EDP对审对审计人员研究和评价内部控制的影响计人员研究和评价内部控制的影响 计算机处理计算机处理对检查财务报表的影响对检查财务报表的影响 n 从从1984年开始，国际审计准则实务委员会就陆续批年开始，国际审计准则实务委员会就陆续批准发布与计算机审计有关的审计准则，例如，准发布与计算机审计有关的审计准则，例如，国国际审计准则际审计准则15 电子数据处理环境下的审计电子数据处理环境下的审计（198

5、4年年2月）、月）、国际审计准则国际审计准则16 计算机辅助审计技术计算机辅助审计技术（1984年年10月）和月）和国际审计准则国际审计准则20 电子数据处理电子数据处理环境对会计制度和有关的内部控制研究与评价的影环境对会计制度和有关的内部控制研究与评价的影响响（1985年年6月）月） 5北京师范大学出版社13.1.2 计算机审计的发展（续）n 国际会计准则委员会（国际会计准则委员会（IASC）于）于1999年年 12月发月发布了布了互联网上的财务报告互联网上的财务报告（Internet Financial Reporting）的研究报告。）的研究报告。 n 澳大利亚审计与鉴证准则委员会（澳大

6、利亚审计与鉴证准则委员会（Australian Audit and Assurance Standard Board，AASB）于）于1999年颁布了审计指导声明（年颁布了审计指导声明（AGS）1050与电子方式呈报财务报告相关的审计问与电子方式呈报财务报告相关的审计问题题。 6北京师范大学出版社13.1.2 计算机审计的发展（续）n 英国审计职业委员会（英国审计职业委员会（APB）2001年年1月颁布了月颁布了网上发布审计报告网上发布审计报告公告公告n 美国注册会计师协会（美国注册会计师协会（AICPA）下属的审计准则委员会）下属的审计准则委员会(APB)于于2001年发布第年发布第94号准

7、则号准则IT对对CPA评价内部控制的影响评价内部控制的影响 n 2000年年3月，国际审计实务委员会月，国际审计实务委员会(IAPC)通过了与计算机信息系统环通过了与计算机信息系统环境有关的境有关的4项项IAPS的征求意见稿的征求意见稿 7北京师范大学出版社13.1.2 计算机审计的发展（续）n 国内计算机审计的发展国内计算机审计的发展 ：1993年年9月，审计署发布了月，审计署发布了审计署关于计审计署关于计算机审计的暂行规定算机审计的暂行规定，提出电算化会计信息系统审计的基本标准。，提出电算化会计信息系统审计的基本标准。1996年底，审计署发布了年底，审计署发布了审计机关计算机辅助审计办法审

8、计机关计算机辅助审计办法，明确，明确规定了计算机辅助审计的基本内容与范围，计算机辅助审计人员的资规定了计算机辅助审计的基本内容与范围，计算机辅助审计人员的资格，以及计算机辅助审计应注意事项。格，以及计算机辅助审计应注意事项。8北京师范大学出版社13.1.2 计算机审计的发展（续）n 1999年年6月，财政部发布了月，财政部发布了独立审计准则第独立审计准则第20计算机信息系统环境下的审计计算机信息系统环境下的审计 n 2001年年12月月16日，国务院办公厅发布了日，国务院办公厅发布了关于利用关于利用计算机信息系统开展审计工作有关问题的通知计算机信息系统开展审计工作有关问题的通知 n 2004年

9、审计署发布了年审计署发布了审计信息化工作指导意见审计信息化工作指导意见 n 2006年年2月月15日，财政部在京举行会计审计准则体系日，财政部在京举行会计审计准则体系发布会，发布了发布会，发布了39项企业会计准则和项企业会计准则和48项注册会计项注册会计师审计准则师审计准则9北京师范大学出版社13.2 计算机审计技术 n 对于计算机信息系统的审计，尽可能采用信息技术对于计算机信息系统的审计，尽可能采用信息技术进行审计可以最大程度地降低审计风险。当然，这进行审计可以最大程度地降低审计风险。当然，这种采用信息技术去对计算机信息系统进行的审计需种采用信息技术去对计算机信息系统进行的审计需要比采用传统

10、审计技术要复杂得多。目前采用的主要比采用传统审计技术要复杂得多。目前采用的主要技术有：模拟数据测试、整合测试工具（要技术有：模拟数据测试、整合测试工具（ITF）、）、并行模拟、审计软件、嵌入式审计程序、扩展记录、并行模拟、审计软件、嵌入式审计程序、扩展记录、抽点转储、跟踪、审核系统文档、控制流程图、制抽点转储、跟踪、审核系统文档、控制流程图、制图等几种。限于篇幅，以下主要介绍测试数据、并图等几种。限于篇幅，以下主要介绍测试数据、并行模拟、审计软件和嵌入式审计等技术。行模拟、审计软件和嵌入式审计等技术。10北京师范大学出版社13.2.1 模拟数据测试技术 n 模拟数据测试技术模拟数据测试技术包括

11、设计一组有效数据和无效包括设计一组有效数据和无效数据的输入。在计算机处理这些数据之前，这些数据的输入。在计算机处理这些数据之前，这些模拟数据事先由人工加以设计，并应由人脑通过模拟数据事先由人工加以设计，并应由人脑通过计算机等方法确定其的处理结果。然后再将这些计算机等方法确定其的处理结果。然后再将这些模拟数据输入到计算机信息系统之中，运行该系模拟数据输入到计算机信息系统之中，运行该系统后将其与先前人脑计算的处理结果核对，如果统后将其与先前人脑计算的处理结果核对，如果结果一致，说明该计算机处理是正确的，否则就结果一致，说明该计算机处理是正确的，否则就说明可能是计算机处理有问题。说明可能是计算机处理

12、有问题。n 不足不足 ：一是其运行结果总是难以满足审计人员的：一是其运行结果总是难以满足审计人员的要求；二是难以消除模拟数据及其运行结果对被要求；二是难以消除模拟数据及其运行结果对被审计系统的影响审计系统的影响 11北京师范大学出版社13.2.2 并行模拟技术n 所谓并行模拟技术，则是指采用测试的应用程序所谓并行模拟技术，则是指采用测试的应用程序或审计软件去处理真实数据，将处理结果同被审或审计软件去处理真实数据，将处理结果同被审单位原有的处理结果相核对的一种并行技术。单位原有的处理结果相核对的一种并行技术。n 与模拟数据测试数据技术不同的是，并行模拟技与模拟数据测试数据技术不同的是，并行模拟技

13、术采用的是术采用的是“真数据、测试软件真数据、测试软件”做法，而模拟做法，而模拟数据测试技术则是数据测试技术则是“测试数据，真实软件测试数据，真实软件”在被在被审单位信息系统运行的做法。审单位信息系统运行的做法。 n 为了保证并行模拟结果的可信度，测试程序或审为了保证并行模拟结果的可信度，测试程序或审计软件进行模拟运行的业务选用时间应当是能够计软件进行模拟运行的业务选用时间应当是能够反映被审单位完整业务类型的期间反映被审单位完整业务类型的期间 12北京师范大学出版社13.2.3 审计软件技术n 目前审计软件一般具有法规查询、数据转换、账表生成、账证抽样、目前审计软件一般具有法规查询、数据转换、

14、账表生成、账证抽样、工作底稿、审计报告生成、信息输出等功能模块。工作底稿、审计报告生成、信息输出等功能模块。 n 随着智能化技术应用的深入，人工智能审计软件辅助审计可望实现。随着智能化技术应用的深入，人工智能审计软件辅助审计可望实现。 n 在许多国外会计公司中，正在研究一种工作将神经网络与专家系统合在许多国外会计公司中，正在研究一种工作将神经网络与专家系统合二而一的审计软件包，使得智能技术能够更好地为审计服务。二而一的审计软件包，使得智能技术能够更好地为审计服务。13北京师范大学出版社13.2.4 嵌入式审计技术n 对于那些具有高风险的应用程序，采用嵌入式审计模块（程序）特别对于那些具有高风险

15、的应用程序，采用嵌入式审计模块（程序）特别有效。所谓嵌入式审计模块，是指为了审计用途而修改计算机程序的有效。所谓嵌入式审计模块，是指为了审计用途而修改计算机程序的一种审计技术。其审计处理的对象只有真实数据而无测试数据。嵌入一种审计技术。其审计处理的对象只有真实数据而无测试数据。嵌入式审计模块（程序）能够使易于消失的或无法采用事后分析的文档得式审计模块（程序）能够使易于消失的或无法采用事后分析的文档得到更多的监控与验证。由于其采用嵌入式，因而使审计人员在任何时到更多的监控与验证。由于其采用嵌入式，因而使审计人员在任何时候都可采集到样本资料，并且在系统的正常运行过程中进行数据采集。候都可采集到样本

16、资料，并且在系统的正常运行过程中进行数据采集。14北京师范大学出版社13.3 计算机审计方法13.3.1 绕过计算机的审计方法 n 绕过计算机的审计方法在绕过计算机的审计方法在20世纪世纪60年代初期国外年代初期国外审计界十分盛行。审计界十分盛行。 所谓绕过计算机，就是将计算所谓绕过计算机，就是将计算机信息系统看作是一个机信息系统看作是一个“黑箱黑箱”，审计时不考虑，审计时不考虑这一这一“黑箱黑箱”所发挥的作用，而是令计算机把全所发挥的作用，而是令计算机把全部会计凭证、账簿和报表打印出来，再按传统的部会计凭证、账簿和报表打印出来，再按传统的手工审计的方法进行审计。手工审计的方法进行审计。n 优

17、点：对审计人员的计算机水平要求不高优点：对审计人员的计算机水平要求不高 n 缺点：可能存在许多审计风险，影响审计师恰当缺点：可能存在许多审计风险，影响审计师恰当与公允判断与公允判断 15北京师范大学出版社13.3.1 绕过计算机的审计方法（续）n 如何完善这种审计方法如何完善这种审计方法 ：n 过实地运行被审单位的计算机信息系统，从中观察系统可能存在的问过实地运行被审单位的计算机信息系统，从中观察系统可能存在的问题及其对输出结果的影响题及其对输出结果的影响 n 通过实地运行被审单位的计算机信息系统，可以观察到系统运行过程通过实地运行被审单位的计算机信息系统，可以观察到系统运行过程内部控制的实施

18、状况内部控制的实施状况 16北京师范大学出版社 13.3.2 穿透计算机的审计方法 n 穿透计算机的审计，就是指直接对计算机信息系统的输入、处理与输穿透计算机的审计，就是指直接对计算机信息系统的输入、处理与输出全过程进行审查评价的审计方法。出全过程进行审查评价的审计方法。 n 穿透计算机审计，才可能从根本上解决计算机信息系统审计难、风险穿透计算机审计，才可能从根本上解决计算机信息系统审计难、风险大的问题。大的问题。n 穿透计算机审计，关键是要有审计软件的开发与应用，使用审计软件穿透计算机审计，关键是要有审计软件的开发与应用，使用审计软件对被审单位进行审计，可以达到事半功倍。穿透计算机审计是未来

19、审对被审单位进行审计，可以达到事半功倍。穿透计算机审计是未来审计采用的主要方法计采用的主要方法 17北京师范大学出版社13.3.3 利用计算机的审计方法n 利用计算机的审计方法利用计算机的审计方法,也称为计算机辅助审计法。也称为计算机辅助审计法。计算机辅助审计可以定义为，以计算机为工具，计算机辅助审计可以定义为，以计算机为工具，使用适当的计算机软件，辅助审计人员完成审计使用适当的计算机软件，辅助审计人员完成审计任务的行为的一种方法。任务的行为的一种方法。 n 穿透计算机审计，主要是面对被审单位的计算机穿透计算机审计，主要是面对被审单位的计算机信息系统所进行的审计，而计算机辅助审计范围信息系统所

20、进行的审计，而计算机辅助审计范围则不仅局限于对一个系统的审计，它可以包括审则不仅局限于对一个系统的审计，它可以包括审计单位办公自动化。计单位办公自动化。 n 利用计算机审计利用计算机审计 的方式：实时联系方式的方式：实时联系方式 ；软件联；软件联系方式系方式 18北京师范大学出版社13.4 计算机信息系统内部控制的审计 n 我国我国独立审计具体准则第独立审计具体准则第20号号计算机信息计算机信息系统环境下的审计系统环境下的审计 要求注册会计师在研究和评要求注册会计师在研究和评价一般控制时，应当考虑被审单位的组织与管理价一般控制时，应当考虑被审单位的组织与管理控制、应用系统开发和维护控制、计算机

21、操作控控制、应用系统开发和维护控制、计算机操作控制、系统软件控制，以及数据与程序控制等主要制、系统软件控制，以及数据与程序控制等主要因素。同时要求注册会计师在研究和评价应用控因素。同时要求注册会计师在研究和评价应用控制时，应当考虑输入控制、计算机处理与数据文制时，应当考虑输入控制、计算机处理与数据文件控制和输出控制等主要因素等。件控制和输出控制等主要因素等。 审计人员对内审计人员对内部控制的审查与评价一般按三个步骤进行，即初部控制的审查与评价一般按三个步骤进行，即初步了解、符合性测试和内部控制的评价。步了解、符合性测试和内部控制的评价。19北京师范大学出版社13.4.1 内部控制的初步了解与描

22、述n 审计人员通过询问、实地观察、查阅系统的文档资料，以及对一些基审计人员通过询问、实地观察、查阅系统的文档资料，以及对一些基本业务处理过程的跟踪，最后以文字描述、调查表和流程图等方法对本业务处理过程的跟踪，最后以文字描述、调查表和流程图等方法对初步了解的情况加以详细记载。特别应当了解的是企业对网络安全控初步了解的情况加以详细记载。特别应当了解的是企业对网络安全控制是如何进行的，其有效性达到何种程度。同时，被审单位的信息系制是如何进行的，其有效性达到何种程度。同时，被审单位的信息系统管理制度的制定与实施情况，也应当纳入审计人员初步了解的范围统管理制度的制定与实施情况，也应当纳入审计人员初步了解

23、的范围之中。之中。20北京师范大学出版社 13.4.2 符合性测试n 一般控制的测试一般控制的测试 n 应用控制的测试应用控制的测试 21北京师范大学出版社13.4.3对内部控制的评价 n 当符合性测试完成之后，审计人员可以对被审单当符合性测试完成之后，审计人员可以对被审单位的内部控制是否达到应有的控制目标以及是否位的内部控制是否达到应有的控制目标以及是否存在重大缺陷提出评价意见。存在重大缺陷提出评价意见。n 一般控制的审查结果如何，将影响以下的实质性一般控制的审查结果如何，将影响以下的实质性测试的计划。一般地说，如果内部控制健全，控测试的计划。一般地说，如果内部控制健全，控制质量高，其控制风

24、险就越小，因而其后的实质制质量高，其控制风险就越小，因而其后的实质性测试的工作量就少，反之，如果内部控制失控、性测试的工作量就少，反之，如果内部控制失控、内部控制的薄弱环节多，气候的实质性测试的工内部控制的薄弱环节多，气候的实质性测试的工作量就要增大。作量就要增大。22北京师范大学出版社13.5 计算机信息系统功能的审计n 所谓计算机信息系统功能，是指计算机信息系统的处理功能和控制功所谓计算机信息系统功能，是指计算机信息系统的处理功能和控制功能。其中的处理功能，也即是信息系统的输入、处理与输出等对经济能。其中的处理功能，也即是信息系统的输入、处理与输出等对经济业务处理过程所具的功能，而控制功能

25、则是指保证系统安全运行所建业务处理过程所具的功能，而控制功能则是指保证系统安全运行所建立的各个程序化的控制功能。由此可以看到，计算机信息系统功能的立的各个程序化的控制功能。由此可以看到，计算机信息系统功能的审计，也就包括对计算机信息系统的处理功能和控制功能进行的审计。审计，也就包括对计算机信息系统的处理功能和控制功能进行的审计。23北京师范大学出版社13.5.1 系统合法性与完整性的审查n 会计信息系统合法性审查会计信息系统合法性审查 ：在我国实施商品化会计核算软件评审的：在我国实施商品化会计核算软件评审的时期内，我国有近时期内，我国有近300个软件通过财政部门组织的评审个软件通过财政部门组织

26、的评审n 会计信息系统的完整性会计信息系统的完整性 ：它包括三个方面：一是信息系统应处于正：它包括三个方面：一是信息系统应处于正常的运行状态常的运行状态 ；是在正常运行状态下，信息系统对业务活动有数据；是在正常运行状态下，信息系统对业务活动有数据电文信息、附属信息和系统环境信息的完整记录电文信息、附属信息和系统环境信息的完整记录 ；三是电子记录必；三是电子记录必须在业务活动的当时或即后制作须在业务活动的当时或即后制作 24北京师范大学出版社13.5.2 系统处理功能运行正确性和完整性审查n 在一个会计软件在一个会计软件,特别是一个特别是一个ERP软件之中软件之中,系统处系统处理功能的设置绝非几

27、个功能模块的简单组合理功能的设置绝非几个功能模块的简单组合n 如如SAP R3的会计子系统首先从模块设计入手，将的会计子系统首先从模块设计入手，将会计核算、财务管理和管理会计融为一体。对于会计核算、财务管理和管理会计融为一体。对于各处理功能模块的正确性审查，就要审阅系统设各处理功能模块的正确性审查，就要审阅系统设计说明书，实地检查各功能模块的运行过程，并计说明书，实地检查各功能模块的运行过程，并通过检查各功能模块的处理结果，判断处理功能通过检查各功能模块的处理结果，判断处理功能的正确性。在审计会计核算子系统之际，则要根的正确性。在审计会计核算子系统之际，则要根据会计凭证、账簿和会计报表之间的勾

28、稽关系的据会计凭证、账簿和会计报表之间的勾稽关系的正确性判断系统运行的可信度。正确性判断系统运行的可信度。25北京师范大学出版社 13.5.3 系统安全控制的有效性审查 n 系统安全控制，包括计算机信息系统自身的控制系统安全控制，包括计算机信息系统自身的控制和系统对网络技术的应用的控制两个方面和系统对网络技术的应用的控制两个方面 n 被审单位的计算机信息系统的功能的合法性，系被审单位的计算机信息系统的功能的合法性，系统处理功能运行正确性和完整性，以及系统安全统处理功能运行正确性和完整性，以及系统安全控制的有效性等方面的审查至关重要。三者的审控制的有效性等方面的审查至关重要。三者的审查缺一不可。

29、而要对计算机信息系统的各项功能查缺一不可。而要对计算机信息系统的各项功能详加审查，又必须采用各项计算机审计技术，诸详加审查，又必须采用各项计算机审计技术，诸如上一节所介绍的模拟数据测试、并行模拟测试、如上一节所介绍的模拟数据测试、并行模拟测试、审计软件以及嵌入式审计等技术。审计软件以及嵌入式审计等技术。 26北京师范大学出版社136 计算机信息系统数据文件的审计 1361数据文件审计的基本内容 n 计算机信息系统数据文件的审查一般列入实质性计算机信息系统数据文件的审查一般列入实质性测试的范畴之中。实质性测试是针对被审单位信测试的范畴之中。实质性测试是针对被审单位信息所进行的测试，而符合性测试则

30、一般是针对被息所进行的测试，而符合性测试则一般是针对被审单位系统所进行的测试，两者的作用点不同。审单位系统所进行的测试，两者的作用点不同。 n 实质性测试一般分为三个步骤：首先将数据文件实质性测试一般分为三个步骤：首先将数据文件转入审计用计算机内；其次是将被审单位的数据转入审计用计算机内；其次是将被审单位的数据内容转换为审计软件可以识别的数据内容；第三内容转换为审计软件可以识别的数据内容；第三是采用详细或抽样的方法对转换后的数据文件进是采用详细或抽样的方法对转换后的数据文件进行审计。行审计。27北京师范大学出版社13.6.2 电子记录形式与内容的可靠性认定n 电子记录形式上的可靠性的认定电子记

31、录形式上的可靠性的认定 n 电子证据内容可靠性的认定电子证据内容可靠性的认定 28北京师范大学出版社13.7 计算机审计报告的基本内容13.7.1 不同审计期的计算机审计报告n 如果注册会计师所面对的是在被审年度第一次使如果注册会计师所面对的是在被审年度第一次使用会计软件，就必须对该新系统的会计制度与准用会计软件，就必须对该新系统的会计制度与准则顶遵行性进行详细的检查与评价则顶遵行性进行详细的检查与评价 n 如果注册会计师所面对的是已经在过去年度使用如果注册会计师所面对的是已经在过去年度使用的会计软件，并且该会计软件已经在过去审计报的会计软件，并且该会计软件已经在过去审计报告中已作过检查与评价

32、，则该系统的制度与准则告中已作过检查与评价，则该系统的制度与准则的遵行性检查内容就可以有别于前一种检查。根的遵行性检查内容就可以有别于前一种检查。根据自上一次检查与评价之后会计软件是否更新换据自上一次检查与评价之后会计软件是否更新换代的不同情况来确定检查与评价的详略程度代的不同情况来确定检查与评价的详略程度29北京师范大学出版社13.7.2 计算机审计报告的基本内容n 了解信息技术对内部控制产生的特定风险了解信息技术对内部控制产生的特定风险 n 了解与财务报告相关的信息系统了解与财务报告相关的信息系统 n 了解与信息处理有关的控制活动了解与信息处理有关的控制活动 n 关注那些可能表明被审计单位

33、存在重大错报风险关注那些可能表明被审计单位存在重大错报风险 30北京师范大学出版社 13.7.3 计算机审计报告的形成 n 围绕信息技术进行审计的所发现的问题，应当在审计报告中加以披露。围绕信息技术进行审计的所发现的问题，应当在审计报告中加以披露。目前可有两种基本形式：一是作为审计报告的一部分加以披露；二是目前可有两种基本形式：一是作为审计报告的一部分加以披露；二是针对专项内容单独形成相应的审计报告针对专项内容单独形成相应的审计报告n 以澳大利亚国家审计署以澳大利亚国家审计署2005年年12月的月的政府信息技术安全控制审计政府信息技术安全控制审计的审计报告为例，说明计算机审计报告的形成过程与最终的结果。的审计报告为例，说明计算机审计报告的形成过程与最终的结果。31