信息技术对审计的影响

第一编审计基本原理——第五章信息技术对审计的影响

考情分析

本章介绍了现代审计中的一个重要的内容——信息技术审计，但仅仅涉及到一些基本概念并未深入展开。建议复习中应当结合第7章和8章的相关内容进行掌握。

本章涉及到《中国注册会计师审计准则第1241号——对被审计单位使用服务机构的考虑》，课程内容对此进行了扩展补充，建议进行重点关注及学习。

目录

1.信息技术对企业的影响

2.信息技术对审计的影响

3.对企业利用服务机构的考虑

知识点信息技术对企业的影响

1.信息技术对内部控制的影响

2.三个层面的信息技术控制

PART 01 信息技术对内部控制的影响

1.信息技术的概念

信息技术是指利用电子计算机和现代通信手段实现获取信息、传递信息、存储信息、处理信息、显示信息、分配信息等的相关技术。

2.信息技术和财务报告

信息系统形成的信息质量影响企业编制财务报告、管理企业活动和做出适当的管理决策。

3.有效的信息系统

①识别和记录全部授权交易

②及时、详细记录交易内容，并在财务报告中对全部交易进行适当分类

③衡量交易价值，并在财务报告中适当体现相关价值

④确定交易发生期间，并将交易记录在适当的会计期间

⑤将相关交易信息在财务报告中作适当披露

注册会计师在进行财务报告审计时，如果依赖相关信息系统所形成的财务信息和报告作为审计工作的依据，则必须考虑相关信息和报告的质量。

财务报告相关的信息质量是通过交易的录入到输出整个过程中适当的控制来实现的，所以注册会计师需要在整个过程中考虑信息的准确性、完整性、授权体系及访问限制等四个方面。

4.自动控制的好处

●能够有效处理大流量交易及数据

●自动控制比较不容易被绕过

●相关安全控制可以实现有效的职责分离

●提高信息的及时性、准确性，信息变得更易获取

●可以提高管理层对企业业务活动及相关政策的监督水平

5.信息技术的特定风险

●可能会对数据进行错误处理

●可能会去处理那些本身就错误的数据

●安全控制如果无效，会增加对数据信息非授权访问的风险

●数据丢失风险或数据无法访问风险

●不适当的人工干预，或人为绕过自动控制

随着信息技术的发展，内部控制虽然在形式及内涵方面发生了变化，但内部控制的目标并没有发生改变。

PART 02 三个层面的信息技术控制

三个层面的信息技术控制：公司层面信息技术控制；信息技术一般控制；信息技术应用控制

1.信息技术一般控制

信息系统一般控制是指为了保证信息系统的安全，对整个信息系统以及外部各种环境要素实施的、对所有的应用或控制模块具有普遍影响的控制措施。

信息技术一般控制

●信息技术一般控制通常会对实现部分或全部财务报告认定做出间接贡献。

●有些情况下，信息技术一般控制也可能对实现信息处理目标和财务报告认定做出直接贡献。

当人工控制依赖系统生成的信息时，信息技术一般控制同样重要。

如果注册会计师计划依赖自动应用控制、自动会计程序、或依赖系统生成信息的控制时，他们就需要对相关的信息技术一般控制进行验证。

2.信息技术应用控制

信息技术应用控制是指主要在业务流程层次运行的，与用于生成、记录、处理、报告交易或其他财务数据的程序相关的自动化程序。

信息技术应用控制是设计在计算机应用系统中的，有助于达到信息处理目标的控制。

【例】许多应用系统中包含很多编辑检查来确保录入数据的准确性。编辑检查可能包括：

●格式检查（如日期格式或数字格式）

●存在检查（如客户编码存在于客户主数据文档之中）

●合理性检查（如最大支付金额）

如果录入数据的某一要素未通过编辑检查，那么系统可能拒绝录入该数据或者系统将该录入数据拖入系统生成的例外报告之中，留待后续跟进处理。

信息技术应用控制一般要经过输入、处理及输出等环节。

和人工控制类似，自动系统控制同样关注信息处理目标的要素包括：完整性、准确性、存在和发生等。

应用控制审计关注点

3.公司层面信息技术控制

●信息技术规划的制定；

●信息技术年度计划的制定；

●信息技术内部审计机制的建立；

●信息技术外包管理；

●信息技术预算管理；

●信息安全和风险管理；

●信息技术应急预案的制定；

●信息系统架构和信息技术复杂性。

审计机构针对公司层面信息技术控制往往会执行单独的审计，以评估企业信息技术的整体控制环境，来决定信息技术一般控制和应用控制的审计重点、风险等级、审计测试方法等。

4.三个层面控制的关系

公司层面信息技术控制情况代表了该公司的信息技术控制的整体环境，会影响该公司的信息技术一般控制和信息技术应用控制的部署和落实。

注册会计师在执行信息技术一般控制和信息技术应用控制审计之前，会首先执行配套的公司层面信息技术控制审计，以了解公司的信息技术整体控制环境，并基于此识別出信息技术一般控制和信息技术应用控制的主要风险点以及审计重点。

如果在带有关键的编辑检查功能的应用系统所依赖的计算机环境中发现了信息技术一般控制的缺陷，注册会计师可能就不能依赖上述编辑检查功能按设计发挥作用。

【例】程序变更控制缺陷可能导致未授权人员对检查录入数据字段格式的编辑逻辑进行修改，以至于系统接收不准确的录入数据。

与安全访问权限相关的控制缺陷可能导致数据录入不恰当地绕过合理性检查，而该合理性检查原本应能使系统拒绝处理金额超过最大容差范围的支付操作。

★公司层面信息技术控制是公司信息技术整体控制环境，决定了信息技术一般控制和信息技术应用控制的风险基调。

★信息技术一般控制是基础，信息技术一般控制的有效与否会直接关系到信息技术应用控制的有效性是否能够信任。