以計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的應(yīng)用為基礎(chǔ)的企業(yè)信息系統(tǒng)將逐步成為
注冊(cè)會(huì)計(jì)師的主要審計(jì)對(duì)象。對(duì)這種網(wǎng)絡(luò)化的信息系統(tǒng)的審計(jì)需要多種多樣的網(wǎng)絡(luò)審計(jì)技術(shù)，目前，這些審計(jì)技術(shù)都在探索和研究中。本文僅就對(duì)網(wǎng)絡(luò)化環(huán)境下的網(wǎng)絡(luò)數(shù)據(jù)庫、網(wǎng)絡(luò)信息系統(tǒng)軟件和電子簽章三類關(guān)鍵要素的審計(jì)技術(shù)作一簡(jiǎn)要介紹。
一、網(wǎng)絡(luò)交易數(shù)據(jù)庫的審計(jì)技術(shù)
在信息網(wǎng)絡(luò)化的環(huán)境下，會(huì)計(jì)數(shù)據(jù)的無紙化和網(wǎng)絡(luò)數(shù)據(jù)庫化是一種發(fā)展的趨勢(shì)。對(duì)網(wǎng)絡(luò)信息系統(tǒng)的網(wǎng)絡(luò)數(shù)據(jù)庫或數(shù)據(jù)文件的審計(jì)是注冊(cè)會(huì)計(jì)師亟待解決的問題。從傳統(tǒng)的手工審計(jì)習(xí)慣出發(fā)，注冊(cè)會(huì)計(jì)師往往最關(guān)注的是：如何應(yīng)用計(jì)算機(jī)審計(jì)技術(shù)獲取所需的審計(jì)證據(jù)，并對(duì)這些證據(jù)進(jìn)行評(píng)價(jià)，進(jìn)而判斷數(shù)據(jù)是否真實(shí)、可靠、完備和合法合規(guī)。解決這個(gè)問題的方法和技術(shù)很多，本文僅簡(jiǎn)要介紹以下四種技術(shù)。
(一)計(jì)算機(jī)抽樣取證、計(jì)算比較與綜合分析
這項(xiàng)技術(shù)作為審計(jì)軟件中的一個(gè)基本功能程序塊，可被設(shè)計(jì)成靈活的通用程序。注冊(cè)會(huì)計(jì)師在使用時(shí)，根據(jù)需要選擇抽取數(shù)據(jù)的條件和參數(shù)，就可立即獲得所要抽取的業(yè)務(wù)數(shù)據(jù)。這種技術(shù)可用于平時(shí)的監(jiān)督(如
內(nèi)部審計(jì)人員或外部的注冊(cè)會(huì)計(jì)師作為系統(tǒng)的一個(gè)終端用戶)，也可用于外部審計(jì)的年度審計(jì)。傳統(tǒng)審計(jì)中，注冊(cè)會(huì)計(jì)師一般是在一批業(yè)務(wù)發(fā)生后，才來審查這批業(yè)務(wù)是否合規(guī)和真實(shí)。在計(jì)算機(jī)審計(jì)技術(shù)普遍應(yīng)用的今天，注冊(cè)會(huì)計(jì)師可實(shí)時(shí)調(diào)取網(wǎng)絡(luò)系統(tǒng)的業(yè)務(wù)或需要關(guān)注的重大經(jīng)濟(jì)業(yè)務(wù)，以便及時(shí)提出
內(nèi)部控制的建議來保障數(shù)據(jù)的完整性。
1.計(jì)算機(jī)抽樣取證。譬如，對(duì)電子購銷業(yè)務(wù)的審查，要審查的業(yè)務(wù)是賒銷額大于5萬元或售價(jià)低于正常售價(jià)的15%的銷售業(yè)務(wù)；或要審查購入的原材料比標(biāo)準(zhǔn)價(jià)高出5%的業(yè)務(wù)。這些業(yè)務(wù)的條件是根據(jù)需要而定，有時(shí)條件是相當(dāng)復(fù)雜的，用計(jì)算機(jī)進(jìn)行操作往往能提高效率。
2.計(jì)算機(jī)計(jì)算比較和綜合分析。計(jì)算機(jī)按指定的審計(jì)條件從業(yè)務(wù)數(shù)據(jù)庫中抽取的業(yè)務(wù)記錄并直接由計(jì)算機(jī)程序自動(dòng)計(jì)算金額數(shù)據(jù)項(xiàng)的合計(jì)額，并與標(biāo)準(zhǔn)或正常業(yè)務(wù)進(jìn)行比較，反映出差異等必要的信息和可能的線索。同時(shí)，審計(jì)軟件也可對(duì)這些不同的業(yè)務(wù)抽樣審計(jì)進(jìn)行綜合分析得到較綜合的審計(jì)證據(jù)。在此基礎(chǔ)上，注冊(cè)會(huì)計(jì)師可做出判斷和對(duì)被審計(jì)的網(wǎng)絡(luò)信息系統(tǒng)數(shù)據(jù)庫及其系統(tǒng)提出及時(shí)的建議。
(二)利用嵌入實(shí)時(shí)審計(jì)軟件
網(wǎng)絡(luò)信息系統(tǒng)需要經(jīng)常性和實(shí)時(shí)監(jiān)督，注冊(cè)會(huì)計(jì)師一般可設(shè)計(jì)一個(gè)程序塊嵌入被審查的系統(tǒng)中，采集審計(jì)所關(guān)心的關(guān)鍵數(shù)據(jù)。同時(shí)，嵌入的審計(jì)程序本身具有隱蔽性、安全性和穩(wěn)定性，非注冊(cè)會(huì)計(jì)師不能看到這些審計(jì)程序和自動(dòng)形成的審計(jì)數(shù)據(jù)。所以，注冊(cè)會(huì)計(jì)師應(yīng)用這些審計(jì)程序就能自動(dòng)記載所要收集的審計(jì)證據(jù)，還可隨時(shí)調(diào)閱這些證據(jù)文件，并利用這些審計(jì)證據(jù)可適時(shí)判斷系統(tǒng)運(yùn)行情況和提出審計(jì)建議。
用嵌入的程序采集的審計(jì)證據(jù)文件，一般分如下幾種：不合法而進(jìn)入使用有口令的程序(如數(shù)據(jù)修改程序)；未經(jīng)批準(zhǔn)而調(diào)用某數(shù)據(jù)文件；超權(quán)限使用系統(tǒng)；擅自調(diào)閱或修改審計(jì)線索數(shù)據(jù)項(xiàng)或?qū)徲?jì)證據(jù)文件。這項(xiàng)技術(shù)對(duì)于符合性測(cè)試是非常有效的，同時(shí)，在某些特殊的情況下也可用于實(shí)質(zhì)性測(cè)試。由于這種技術(shù)要求在系統(tǒng)設(shè)計(jì)時(shí)，就要把這一嵌入的審計(jì)程序塊結(jié)合進(jìn)去，因此需要在網(wǎng)絡(luò)信息系統(tǒng)軟件設(shè)計(jì)標(biāo)準(zhǔn)中對(duì)這類審計(jì)線索生成的程序進(jìn)行必要的強(qiáng)制規(guī)范。
(三)網(wǎng)絡(luò)數(shù)據(jù)實(shí)時(shí)備份加密技術(shù)
網(wǎng)絡(luò)實(shí)時(shí)備份如同手工開具銷售發(fā)票復(fù)寫幾份一樣，在不同計(jì)算機(jī)硬盤上同時(shí)記錄業(yè)務(wù)發(fā)生的數(shù)據(jù)備份。而且這些備份數(shù)據(jù)中至少有一份是由審計(jì)鑒證機(jī)構(gòu)保存和適當(dāng)加密，以便保持其數(shù)據(jù)的真實(shí)性和可靠性。這種方法也是保留審計(jì)線索的一種重要手段。但這種技術(shù)的應(yīng)用需要預(yù)先建立一個(gè)具備備份能力的網(wǎng)絡(luò)服務(wù)器系統(tǒng)，而且有一套備份數(shù)據(jù)的加密制度。
(四)專設(shè)審計(jì)控制字段
插入審計(jì)控制字段是指利用特殊的控制字段與被查的網(wǎng)絡(luò)信息系統(tǒng)數(shù)據(jù)文件的記錄或業(yè)務(wù)建立一種關(guān)系或?qū)l(fā)生的業(yè)務(wù)的關(guān)鍵數(shù)據(jù)加密并加以存儲(chǔ)，審計(jì)時(shí)根據(jù)這一特征就能容易地收集到所需的審計(jì)證據(jù)。插入控制字段指單獨(dú)設(shè)置一個(gè)字段(數(shù)據(jù)項(xiàng))存放關(guān)系函數(shù)和有關(guān)加密的關(guān)鍵數(shù)據(jù)。這一字段可專門用于審計(jì)鑒證。但是，它可在程序和業(yè)務(wù)編碼設(shè)計(jì)時(shí)結(jié)合在一起，把控制內(nèi)容融合在網(wǎng)絡(luò)信息系統(tǒng)中，以保證控制字段記載的內(nèi)容真實(shí)和可靠。這種控制字段經(jīng)常用于在線業(yè)務(wù)的處理，避免在線操作人員進(jìn)行不合法的數(shù)據(jù)篡改或偽造。如果把審計(jì)控制字段與業(yè)務(wù)編碼、程序設(shè)計(jì)密切聯(lián)系在一起，就可增加一種可靠的應(yīng)用控制手段，當(dāng)然也給審計(jì)提供了方便的審計(jì)線索。這種技術(shù)強(qiáng)調(diào)在系統(tǒng)設(shè)計(jì)時(shí)，注冊(cè)會(huì)計(jì)師應(yīng)當(dāng)充分考慮各種處理特性和修改線索保留的措施，并融合到信息系統(tǒng)的設(shè)計(jì)內(nèi)容中去，以便確保系統(tǒng)數(shù)據(jù)的安全性。
二、網(wǎng)絡(luò)信息系統(tǒng)(軟件)的審計(jì)技術(shù)
注冊(cè)會(huì)計(jì)師對(duì)一個(gè)網(wǎng)絡(luò)信息系統(tǒng)的審計(jì)，不僅要對(duì)其網(wǎng)絡(luò)數(shù)據(jù)庫進(jìn)行審計(jì)，而且要對(duì)其系統(tǒng)的軟件進(jìn)行必要的審計(jì)，才能防止在軟件方面的修改造成的信息虛假。對(duì)網(wǎng)絡(luò)信息系統(tǒng)(軟件)的審計(jì)主要是要評(píng)價(jià)一個(gè)系統(tǒng)的軟件質(zhì)量和功能。因?yàn)檐浖|(zhì)量的好壞直接影響數(shù)據(jù)的安全性和完整性。為確保系統(tǒng)發(fā)揮正常的作用，對(duì)軟件的審計(jì)也是一件重要的工作，尤其是對(duì)軟件的維護(hù)審計(jì)，更是一項(xiàng)經(jīng)常性的工作。這一審計(jì)工作是計(jì)算機(jī)審計(jì)中最難的一種。它需要較熟練的計(jì)算機(jī)軟件開發(fā)和維護(hù)以及編程技術(shù)，通常有業(yè)務(wù)數(shù)據(jù)測(cè)試法、整體數(shù)據(jù)庫模擬測(cè)試、平行模擬技術(shù)、平行運(yùn)行法。
(一)應(yīng)用測(cè)試數(shù)據(jù)審計(jì)網(wǎng)絡(luò)信息系統(tǒng)的異常缺陷和修改
執(zhí)行網(wǎng)絡(luò)信息系統(tǒng)業(yè)務(wù)數(shù)據(jù)測(cè)試，其關(guān)鍵在于設(shè)計(jì)好業(yè)務(wù)測(cè)試數(shù)據(jù)。一般不直接使用用戶的實(shí)際業(yè)務(wù)數(shù)據(jù)。因?yàn)楦鶕?jù)實(shí)際業(yè)務(wù)的數(shù)據(jù)很難檢測(cè)出全部的錯(cuò)誤。日常的業(yè)務(wù)數(shù)據(jù)量雖然很多，可是包括異常的數(shù)據(jù)很少。即使存在有異常的數(shù)據(jù)，注冊(cè)會(huì)計(jì)師要把它找出來也是一件困難的事情。通常測(cè)試用的數(shù)據(jù)是根據(jù)注冊(cè)會(huì)計(jì)師本身和審計(jì)專家的經(jīng)驗(yàn)設(shè)計(jì)的測(cè)試數(shù)據(jù)，這樣可自動(dòng)測(cè)試出網(wǎng)絡(luò)信息系統(tǒng)的缺陷。
(二)利用測(cè)試數(shù)據(jù)對(duì)網(wǎng)絡(luò)上的網(wǎng)絡(luò)信息系統(tǒng)進(jìn)行審計(jì)
注冊(cè)會(huì)計(jì)師在審查并了解計(jì)算機(jī)系統(tǒng)的邏輯過程和控制規(guī)則后，可以準(zhǔn)備一些測(cè)試用的數(shù)據(jù)。在系統(tǒng)中由這些測(cè)試數(shù)據(jù)形成的結(jié)果，可幫助注冊(cè)會(huì)計(jì)師評(píng)價(jià)系統(tǒng)的有效性和可靠性。注冊(cè)會(huì)計(jì)師在設(shè)計(jì)測(cè)試數(shù)據(jù)時(shí)，應(yīng)充分考慮計(jì)算機(jī)系統(tǒng)可能發(fā)生的每一種錯(cuò)誤。例如，在銷售系統(tǒng)中，同一種產(chǎn)品的銷售價(jià)相差20%是不正常的，遠(yuǎn)超信用額度的發(fā)貨也是不正常的業(yè)務(wù)，這些異常業(yè)務(wù)在程序設(shè)計(jì)中可能沒有設(shè)計(jì)控制。
(三)虛擬數(shù)據(jù)嵌入測(cè)試法
虛擬測(cè)試法包括用一套虛擬記錄加到實(shí)際的數(shù)據(jù)庫文件中并運(yùn)行數(shù)據(jù)處理的所有模塊，以發(fā)現(xiàn)輸入控制和程序的邏輯控制的弱點(diǎn)。虛擬業(yè)務(wù)數(shù)據(jù)在測(cè)試后，應(yīng)當(dāng)把這些虛擬的數(shù)據(jù)記錄從實(shí)際的數(shù)據(jù)庫中去除。例如，建立一個(gè)虛似的客戶賬戶，注冊(cè)會(huì)計(jì)師可像普通的客戶那樣從該企業(yè)購買商品并予以記錄。同時(shí)也可發(fā)生賒銷、退貨等業(yè)務(wù)，以觀察系統(tǒng)運(yùn)行是否正常。
把這種測(cè)試法所形成的數(shù)據(jù)記錄也納入實(shí)際的業(yè)務(wù)數(shù)據(jù)庫，可能會(huì)給系統(tǒng)帶來虛增或虛減會(huì)計(jì)賬戶余額。這種虛擬記錄的設(shè)置意味著具有虛假性，因?yàn)樗跈z測(cè)后可及時(shí)刪除或“紅字”沖銷。因此，這些消除虛擬數(shù)據(jù)記錄的方法，在設(shè)計(jì)時(shí)就應(yīng)考慮周全。
(四)審計(jì)軟件測(cè)試法
審計(jì)軟件測(cè)試法是利用注冊(cè)會(huì)計(jì)師開發(fā)的模擬網(wǎng)絡(luò)信息系統(tǒng)程序，并利用被審計(jì)系統(tǒng)的全部的實(shí)際基礎(chǔ)數(shù)據(jù)來測(cè)試系統(tǒng)運(yùn)行，將所得到的測(cè)試結(jié)果與被審計(jì)系統(tǒng)運(yùn)行的結(jié)果進(jìn)行比較分析，推斷其應(yīng)用控制和程序的可靠性。這一測(cè)試不一定對(duì)整個(gè)系統(tǒng)全部模擬，一般選擇一些關(guān)鍵的子系統(tǒng)或關(guān)鍵的子模塊進(jìn)行模擬。
應(yīng)用這項(xiàng)技術(shù)，要求注冊(cè)會(huì)計(jì)師熟悉模擬的系統(tǒng)或子系統(tǒng)的設(shè)計(jì)流程以及輸入數(shù)據(jù)和輸出數(shù)據(jù)。這樣才能編制出確切的模擬測(cè)試軟件。比如，注冊(cè)會(huì)計(jì)師要對(duì)銷售數(shù)據(jù)處理模塊進(jìn)行模擬，特別是對(duì)流轉(zhuǎn)稅的計(jì)算和銷售成本的計(jì)算作為重點(diǎn)的模擬測(cè)試。
三、電子簽章的審計(jì)技術(shù)
傳統(tǒng)的各種商業(yè)文件都需要當(dāng)事人簽章(手寫簽名、蓋圖章等)，注冊(cè)會(huì)計(jì)師很容易辨認(rèn)這種簽章。在計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)環(huán)境下，各種商業(yè)文件都以電子文件的形式存儲(chǔ)、傳遞和處理，傳統(tǒng)的當(dāng)事人簽章形式已經(jīng)失效。適應(yīng)網(wǎng)絡(luò)信息系統(tǒng)的電子簽章的出現(xiàn)，使電子簽章的鑒證也成為審計(jì)的基本內(nèi)容之一，同時(shí)注冊(cè)會(huì)計(jì)師也應(yīng)用電子簽章技術(shù)進(jìn)行審計(jì)。
聯(lián)合國早在20世紀(jì)70年代就由其國際貿(mào)易法律委員會(huì)開始研究電子數(shù)據(jù)的法律證據(jù)問題。1996年12月聯(lián)合國通過了正式的法律范本《電子商務(wù)示范法》，明確指出電子數(shù)據(jù)可作為有效的法律證據(jù)，但必須滿足以下基本條件：電子數(shù)據(jù)的生成、存儲(chǔ)和傳遞過程是可靠的；有關(guān)責(zé)任人(包括交易業(yè)務(wù)的對(duì)方)已以某種加密數(shù)字簽字確認(rèn)(簡(jiǎn)稱電子簽章)；執(zhí)行數(shù)據(jù)專人管理和確保數(shù)據(jù)的完整性等。在美國，2000年10月1日《電子簽章全球與國內(nèi)貿(mào)易法案》正式生效后，按該項(xiàng)法案規(guī)定電子簽章將與普通合同簽字在法庭上具有同等的法律效力。2000年5月，英國電子通信法案開始生效，政府用法律確立了電子簽章的合法地位。
(一)電子簽章的種類
電子簽章可以用于任何一種信息，其中包括保密與非保密信息。但在網(wǎng)上進(jìn)行電子支付和交易電子發(fā)票時(shí)舞弊，仍然是電子商務(wù)信息系統(tǒng)的商家最為頭疼的事。要避免這些舞弊發(fā)生，常常要建立一套健全的內(nèi)部控制制度，同時(shí)還需要外部審計(jì)(鑒證)的監(jiān)督。電子簽章的實(shí)質(zhì)內(nèi)容不是傳統(tǒng)紙張上的簽名和蓋章，而是一種特殊加密的數(shù)據(jù)。電子簽章的基礎(chǔ)是加密技術(shù)。在網(wǎng)絡(luò)信息系統(tǒng)中最常用的電子簽章加密技術(shù)有：
1.公開密鑰的電子簽字。將交易的數(shù)據(jù)文件的關(guān)鍵部分按特定的公開密鑰加密。公開密鑰是交易雙方約定的公共密鑰用于加密，且交易的雙方都有一個(gè)解密密鑰用于還原原文。
2.摘要式的電子簽字。與特定的電子文件捆綁在一起，對(duì)幾個(gè)關(guān)鍵字段進(jìn)行加密。
3.電子郵戳。對(duì)交易的時(shí)間和關(guān)鍵數(shù)據(jù)采用安全加密措施。
4.電子身份卡。證實(shí)一個(gè)用戶的身份，交易雙方都可不必為對(duì)方身份真?zhèn)螕?dān)心，同時(shí)也作為對(duì)網(wǎng)絡(luò)訪問的權(quán)限。電子身份卡是由電子身份認(rèn)證中心簽發(fā)的符號(hào)文件，里面含一些不可修改的加密信息。
(二)對(duì)電子簽章的鑒證和審計(jì)技術(shù)
上述的1和2在現(xiàn)有的網(wǎng)絡(luò)電子簽章中使用比較普遍。實(shí)際上，上述幾種電子簽章技術(shù)也都表現(xiàn)為電子數(shù)據(jù)。凡是電子數(shù)據(jù)就容易復(fù)制，為了保證電子交易關(guān)鍵數(shù)據(jù)和電子簽章的真實(shí)性和可靠性，可采用如下幾種審計(jì)技術(shù)：
1.摘要式實(shí)時(shí)鑒證技術(shù)。審計(jì)機(jī)構(gòu)必須裝備有先進(jìn)的計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備系統(tǒng)，在網(wǎng)絡(luò)上實(shí)時(shí)對(duì)客戶電子簽章的關(guān)鍵業(yè)務(wù)和關(guān)鍵數(shù)據(jù)進(jìn)行采集，并存放在審計(jì)機(jī)構(gòu)的計(jì)算機(jī)服務(wù)器上。同時(shí)，對(duì)這些采集的關(guān)鍵數(shù)據(jù)與網(wǎng)絡(luò)電子商務(wù)信息系統(tǒng)相核對(duì)及實(shí)施有關(guān)審計(jì)步驟，而后可實(shí)時(shí)或定期(按月份)簽發(fā)電子鑒證證書。鑒證中心(如會(huì)計(jì)師事務(wù)所)是一個(gè)權(quán)威的公正的第三方中介機(jī)構(gòu)，保存有交易的關(guān)鍵數(shù)據(jù)和有關(guān)的雙方電子簽章。
2.實(shí)時(shí)備份數(shù)據(jù)技術(shù)。審計(jì)機(jī)構(gòu)配備有高級(jí)的服務(wù)器，與電子商務(wù)網(wǎng)站聯(lián)結(jié)，實(shí)時(shí)同步地記載電子商務(wù)交易的全部數(shù)據(jù)。需要鑒證電子簽章時(shí)就可調(diào)用審計(jì)機(jī)構(gòu)記錄的原始數(shù)據(jù)與之比較，再綜合其他的審計(jì)步驟的結(jié)果，即可形成審計(jì)意見。
3.利用認(rèn)證中心的電子身份卡在線認(rèn)證結(jié)果，可直接鑒證簽字人的真實(shí)性。對(duì)用電子身份卡進(jìn)行簽字的鑒證，一般直接利用簽發(fā)此卡的認(rèn)證中心的認(rèn)證結(jié)果以驗(yàn)證其身份的真實(shí)性。但對(duì)于電子身份卡簽發(fā)的交易數(shù)據(jù)的可靠性仍然需要前兩種的技術(shù)進(jìn)行審計(jì)。
4.實(shí)時(shí)審計(jì)程序嵌入技術(shù)和插入控制字段技術(shù)。在需審計(jì)的數(shù)據(jù)庫中插入加密字段記錄有關(guān)審計(jì)的關(guān)鍵數(shù)據(jù)，以達(dá)到鑒證電子簽字的目的。
