浅议对企业信息系统内部控制测评的方法和策略分析

在信息系统环境下，对企业信息系统内部控制情况进行测评，需要对内部控制进行调查了解、初步评价，评估控制风险、并对其执行情况进行符合性测试，最终提出内部控制测评结果，并利用测评结果确定实质性测试的范围、重点和方法。针对测评过程中发现存在的不足，帮助企业建立起完善和细化相关的流程和制度，以确保公司所有业务策略、规程和业务流程都在自己的掌握之中，并且在合法合规的轨道上运行。　　一、对内部控制情况进行调查了解　　调阅被审单位关于计算机信息系统的各项管理制度和相关文件，对内部控制的健全性和合理性初步了解。审计人员在记录和描述信息系统内部控制制度时可运用的方法很多，一般常见的有以下三种，审计人员可视具体情况而定：　　一是运用书面说明法将调查得到的内部控制制度记录下来，并用文字详细叙述的方法。运用这种方法时，审计人员往往是按着主要经济业务的运行顺序，或每一经济活动的流程环节向有关人员一一询问并予以记录，最后整理结合，形成文字说明材料。书面说明法的优点是可以根据实际情况灵活地选择内容，并且能做出较深入和具体的描述。但这种方法也有局限性，针对经济业务复杂、经济活动环节较多的企业，用书面说明难免冗长。　　二是用调查表将那些与保证信息的正确性和可靠性以及保证资产的完整性有密切关系的事项列作调查对象，设计成标准化的调查表，交由企业有关人员填写，再由审计人员收集调查结果，统一将问题归纳整理。调查表的优点是调查范围明确，省时省力，可以提高评审工作效率；审计人员通过调查表可以抓住企业内部控制中的强点和薄弱环节。但这种方法也有局限性，如果调查表的问题设置不当，就不能客观全面地反映内部控制制度的情况。　　三是流程图法是指用特定的符号和图形来描述某项业务的整个处理过程，用图解的形式将主要经营环节和凭证，记录传递关系直观地表达出来的一种方法。流程图的优点是，可以把文字叙述减少到最低程度，形象直观，能帮助审计人员较快地发现控制系统的薄弱环节。其缺点是，绘制流程图技术不过关，就不能准确地反映被审单位的内部控制制度，就会影响审计工作质量。　　二、对内部控制进行初步评价　　审计人员在完成内部控制制度的描述之后，通过与被审单位相关人员座谈和实地观察，了解硬件配置、软件运行及维护、相关人员操作经验等计算机信息系统使用环境，并根据取得的资料对被审单位的内部控制制度进行评价。　　一是评价内部控制的健全性。评价内部控制的健全性既要从总体的一般控制来评价，又要从具体的应用控制来评价。一般控制是信息系统有可能安全、可靠地运行和处理的前提。如果没有恰当的控制环境，没有强有利的制度保证，不管系统设计的如何好，程序和数据也会被篡改，整个系统的安全就没有保证。因此，一般控制如有缺陷，将对整个信息系统产生普遍的影响，即使应用控制很强，也难以发挥其功能。同样，如果应用控制有缺陷，则会直接影响到数据输入、处理和输出的正确性。　　二是评价内部控制的合理性。评价信息系统内部控制的合理性，主要考虑的布局是否合理，有没有不必要的控制，评价时要特别注意信息系统应用控制中的程序化控制。　　三、对内部控制的执行情况进行符合性测试　　健全的内部控制制度在实际业务处理过程中不一定得到充分执行，因此，应检查被审计单位内部控制过程中形成的文件和记录，包括各种操作日志、软件修改记录、灾难恢复记录等，并对其实际执行情况还要进行符合性测试。可采用以下方法进行符合性测试：　　一是检查证据法。审计人员通过对有关会计资料和文件的审查，来确定内部控制制度是否被遵循以及遵循的程度。　　二是重新测试法。审计人员选择某一项经济业务，按照内部控制制度规定的业务处理程序重新实做一遍，来审查被审单位进行的业务处理程序是否达到理想的效果。　　三是实地观察法。审计人员到业务处理现场实地观察，来考核内部控制的执行是否良好。　　四、提出内部控制测评结果　　在实施完对信息系统内部控制评审后，审计人员要对内部控制作出评价，以确定内部控制是否真正发挥作用。如果认为内部控制没有得到执行，或执行表明内部控制存在重大隐患，那么审计人员应提出评审中是否依赖已有的控制。　　另外，审计人员应当提出一个概括反映信息系统内部控制弱点的属性和程度的总结报告，并将报告列入审计底稿。对报告可以从以下三个方面加以利用：一是确定实质性审计的范围、重点和措施。二是将信息系统的控制弱点纳入审计意见，以便其改进工作。三是为确定具体使用何种计算机辅助审计技术提供依据。　　由此可见，对信息系统内部控制的评审涉及到审计学、信息技术、企业管理、项目管理、服务管理、信息安全学等多学科的知识，要求审计人员具有广阔的知识领域和较高的素质，且目前尚无完整的标准规范可以遵循，这都是我们下一步努力的方向和亟待解决的问题。