会计信息系统审计.ppt

会计信息系统审计.ppt

《会计信息系统审计.ppt》由会员分享，可在线阅读，更多相关《会计信息系统审计.ppt（72页珍藏版）》请在冰点文库上搜索。

Slide1RenminUniversityofChina会计信息系统AccountingInformationSystem第10章会计信息系统审计Slide2RenminUniversityofChina学习目标掌握会计信息系统审计的目标和基本程序。

理解会计信息系统内部控制的作用及计算机辅助审计技术的应用。

了解会计信息系统与审计信息系统之间的关系。

Slide3RenminUniversityofChina主要内容第一节会计信息系统审计概述第二节会计信息系统的主要审计方法第三节审计软件Slide4RenminUniversityofChina第一节会计信息系统审计一计算机信息系统环境及其对审计的影响二会计信息系统审计的目标与内容三会计信息系统审计的基本程序Slide5RenminUniversityofChina一、计算机信息系统环境及其对审计的影响“注册会计师审计的重要会计信息由计算机处理生成的情形”“当一个单位对审计有重要影响的会计信息是由任何类型或大小的计算机处理生成时，就存在计算机信息系统环境，而无论该计算机由本单位操作还是由第三者操作”我国：

国际审计准则：

计算机信息系统环境的定义计算机信息系统环境的定义Slide6RenminUniversityofChina计算机信息系统环境对审计的影响审计线索审计内容审计技术审计方法审计人员Slide7RenminUniversityofChina二、会计信息系统审计的目标与内容鉴证目标系统的合法性系统的安全性数据的完整性管理目标系统的效率性系统的经济性和效益性Slide8RenminUniversityofChina会计信息系统审计的内容对计算机会计信息系统进行审计对内部控制系统的审计对系统开发的审计对系统应用程序的审计对系统数据文件的审计Slide9RenminUniversityofChina计划准备阶段控制测试阶段实质性测试阶段开始检查被审计单位的基本情况检查一般控制和应用控制情况计划符合性测试和实质性测试的程序实施符合性测试评价测试结果确定对内部控制的信赖程度实施实质性测试评价测试结果审计报告签发审计报告结束三、会计信息系统审计的基本程序Slide10RenminUniversityofChina第二节会计信息系统审计的主要方法一会计信息系统审计计划的制定二会计信息系统的内部控制与符合性测试三计算机辅助审计技术与实质性测试Slide11RenminUniversityofChina制定审计计划应关注与了解的方面独立审计具体准则关于“审计计划”的规定制定审计计划时，充分了解信息系统环境下的内部控制了解计算机信息系统的重要性、复杂程序及审计所需信息的可获得性了解计算机信息系统环境，并考虑其对固有风险和控制风险评估的影响Slide12RenminUniversityofChina关于重要性、复杂程度、可获得性计算机信息系统的重要性与会计报表认定的重要性相关计算机信息系统的复杂程度经济业务数量较大，被审计单位感到在处理过程中鉴别和改正错误有困难计算机系统自动生成重要的经济业务或分录，直接进入其他应用。

审计所需信息的可获得性Slide13RenminUniversityofChina制定审计计划的基本程序和步骤了解客户及控制环境了解会计系统了解控制活动制定交易及余额的详细测试计划Slide14RenminUniversityofChina了解客户及控制环境目的便于审计师评估会计系统中电算化部分的范围及复杂性，以及所需的计算机审计专家协助的比重需要获取的信息计算机设备的种类及其结构系统软件的种类计算机处理活动的组织结构（EDP部门的组织结构、人员安排）电算化会计应用的数目及性质（应用的范围和程度）Slide15RenminUniversityofChina了解会计系统目的了解业务经过会计系统中手工部分和电算化部分的路径，并了解计算机介入的性质和程度在重要的会计应用中，需要获取的信息应用的目的计算机应用中输入的来源、容量及形式处理的方式及频率应用中输出的形式及输出的分布Slide16RenminUniversityofChina了解控制活动目的了解系统的一般控制，对一般控制是否有效进行判断，向客户提供服务的机会对一般控制的审核询问或观察客户的EDP部门的职员；检查现存的文件，确定下列事项：

EDP部门内部及EDP与使用者之间的职责是否分离开发的、买入的或变更的程序在执行之前是否经过批准和测试对数据文件的接触是否只限于经过批准的使用者和程序Slide17RenminUniversityofChina交易测试的计划交易类别测试若在重大会计领域应用了电算化，而且交易类别的具体控制目标的实现要依赖于计算机处理的结果，必须在控制风险的评估中考虑EDP控制（应用控制和一般控制）的作用在一般控制有效的基础上，测试EDP的应用控制手工：

从会计应用处理的交易类别中选取样本，应用审计程序证实数据的有效性、完整性、和准确性。

计算机辅助：

测试在会计应用中使用的计算机程序（对程序化会计程序和程序化控制程序的运行进行测试）。

Slide18RenminUniversityofChina余额详细测试的计划余额的直接测试当审计师在年末进行余额的直接测试时，通常不必依赖于计算机当余额的直接测试的范围依赖于与计算机相关的控制程序或在应用期中进行余额的直接测试，则必须对一般控制的有效性进行考虑当审计师决定在对以计算机可读形式存在的客户文件实施余额的直接测试中使用计算机予以辅助时，必须制定更详细的计划Slide19RenminUniversityofChina利用计算机编制审计计划设计审计程序制定检查清单分析风险执行分析性复核程序日程安排和费用预算.Slide20RenminUniversityofChina二、会计信息系统的内部控制与符合性测试会计信息系统的内部控制及其分类一般控制应用控制内部控制的符合性测试及评价Slide21RenminUniversityofChina会计信息系统的内部控制及分类按实施的范围划分一般控制应用控制按控制的意图划分预防性控制检测性控制纠正性控制按控制所采取的手段划分人工控制程序控制Slide22RenminUniversityofChina一般控制目的：

一般控制是计算机信息系统的总体控制；建立对计算机信息系统活动整体控制的框架环境，并对达到内部控制的整体目标提供合理的依赖程序。

一般控制的具体目标：

1.通过一般或特殊的授权规则保证下列活动的开展具备正当的手续：

将原始凭证输入系统内进行处理；设计、实施和使用计算机程序；更改计算机程序；接触和使用计算机主文件和其他重要数据文件；分发系统输出报告等。

2.负责资产保管人员无权接触记录资产情况的信息处理。

3.负责信息处理的人员不负责执行或批准的经济业务。

4.电子数据处理部门内部对不相容职能进行适当分离。

5.电子数据处理部门不能纠正电子数据部门以外的错误。

6.通过适当的沟通方法和程序，使数据处理部门人员和其他部门人员能理解主管人员的一般和特殊授权要求，并保证遵循这些要求。

7.主管人员能够充分地控制授权要求的遵守，以保证违背要求的行为能予以记录、调查和纠正。

Slide23RenminUniversityofChina一般控制的内容组织与管理控制应用系统开发与维护控制计算机操作控制硬件和软件控制系统安全控制数据通讯控制系统文档控制Slide24RenminUniversityofChina组织与管理控制基本目标减少发生错误和舞弊的可能性基本要求权责的划分和职能的分离主要内容电算部门与用户部门的职责分离电算部门内部的职责分离人事控制业务授权Slide25RenminUniversityofChina应用系统开发与维护控制基本目标为保证计算机会计信息系统开发过程中各项活动的合法性和有效进行基本要求系统开发过程中的各项研制、设计、维护活动及由此产生的文档，均应遵循一定标准、规则和要求主要内容1.系统开发标准，以总的方面规定开发活动要求。

2.结构化系统开发方法，系统开发通常采用系统开发生命周期法。

3.项目管理，包括项目计划、项目控制、项目报告。

4.编程规则，程序设计按一定规则进行，能提高系统的可审性。

5.阶段保证，保证系统开发进度和质量的重要措施。

6.系统测试控制，系统实施前检出错误使系统按设计要求可靠运行的控制。

7.系统转换控制，防止在新旧系统转换过程中发生数据遗失、重复等现象。

8.新系统批准程序，确保管理部门对新系统和系统转换计划进行审批。

9.程序变更控制，保证程序改动经严格测试，并得到适当的核准和授权。

10.系统文档，保证所有系统开发资料按规定予以整理和归档。

Slide26RenminUniversityofChina计算机操作控制基本目标通过标准的计算机操作来保证信息处理的高质量、减少差错的发生和未经批准而使用数据和程序的机会具体目标系统仅用于经过批准的目的；仅限于经过批准的人员进行计算机操作；仅使用批准的程序；查出并更正计算机处理中的错误。

主要内容操作计划机房守则操作规程上机日志记录Slide27RenminUniversityofChina硬件和软件控制硬件控制硬件控制的失效会消弱其他控制措施的作用，影响系统的可靠性系统软件控制利用系统软件如操作系统、数据库管理系统实现控制，是电子数据处理系统内部控制机制的一个显著特色应用软件控制确保软件的取得或开发是以经过授权并以有效的方式进行的授权、批准、测试、实施和记录新建和修改应用软件；系统应用软件和记录的存取仅限于经过授权的人员。

Slide28RenminUniversityofChina系统安全控制基本目标防止影响系统安全的因素危及系统的安全，发现系统中的安全问题，并解决这些问题使系统恢复正常的措施及实施主要内容硬件安全控制程序与数据的安全控制环境安全控制防病毒的软件接触系统Slide29RenminUniversityofChina数据通讯控制防火墙技术数据加密技术一次性口令技术回叫机制Slide30RenminUniversityofChina系统文档控制基本目标建立文档管理制度及安全保密制度主要内容专人保管；数据在纳入计算机会计信息系统之前，须经系统主管人员的审检批准；计算机打印输出书面资料，应由输出和审核人员共同签字才是合法的会计档案；会计档案使用时必须经过批准，任何资料的借取都要登记；存储在磁性介质上的文件应有加密保护；系统软件、应用程序和数据文件应复制备份；根据会计档案管理的规定制订文档的保管数量、保管时间、定期备份的间隔期及调用档案的手续等。

Slide31RenminUniversityofChina一般控制的地位一般控制的运用对应用控制的有效性至关重要一般控制的测试和技术手工组织与管理控制系统开发和维护控制计算机辅助审计技术系统应用软件控制手工方法与计算机辅助审计技术相结合计算机操作控制数据和程序控制一般控制的测试的重点系统开发的测试一般控制的研究、评价和风险评估的方法与重点Slide32RenminUniversityofChina应用控制基本目标对会计应用建立具体控制过程，从而确保全部的经济业务都经过授权和记录，并做完整、准确和及时的处理。

具体目标所有经允许处理的数据均应转换到介质上并加以处理，并且处理的结果可通过适当的方式加以输出。

所有输入、转换、处理和输出均应在正常的时间里准确地进行。

所有系统的输出均反映为经批准的有效的经济业务。

Slide33RenminUniversityofChina应用控制的内容输入控制处理控制输出控制Slide34RenminUniversityofChina输入控制控制目标经济业务在计算机处理之前经过适当的批准；经济业务被准确地转换为机器可读形式并记录于计算机数据文件；经济业务没有丢失或不适当地增加、复制、改动；拒绝、改正不适当的经济业务，必要时，及时重新补救。

控制内容数据采集控制数据输入控制Slide35RenminUniversityofChina数据采集控制控制目标确保应用系统在合理授权的基础上完整地收集、正确地编制、安全地传递输入数据控制措施用户部门内部的职责分离标准化的凭证格式制定凭证编制程序凭证审核手续控制凭证更正规程批量控制Slide36RenminUniversityofChina数据输入控制控制目标防止输入数据时的遗漏或重复，检查输入数据是否有错误例：

以记账凭证为主要内容的数据输入控制1）会计科目输入错误，如输入了没有设置的科目或误用其他会计科目；2）借、贷方向输错；3）金额输错，如未计、多计或少计；4）对应关系搞错。

1）设置会计科目代码与名称对照文件；2）设置对应关系参照文件；3）合理性校验；4）平衡校验；5）人工校验；6）重输入控制Slide37RenminUniversityofChina计算机处理与数据文件控制控制目标经济业务（包括系统生成的）由计算机正确地处理；经济业务没有丢失或不适当地增加、复制、改动；计算机处理的错误被及时地鉴别并改正。

控制措施业务时序控制数据有效性检验程序化处理有效性检验错误更正控制断点技术Slide38RenminUniversityofChina输出控制控制目标计算机处理的输出结果准确无误；输出结果仅限于经过批准的人员；输出及时地提供给适当的经过批准的人员。

控制措施输出授权控制；输入过程的控制总数与输出得到的控制总数相核对；审校输出结果，检查正确性、完整性；将正常业务报告与例外报告中有关数据作分析对比；设置输出报告发送登记簿，记录报告发送份数、时间、接受人等事项；制订输出错误纠正和对重要数据进行处理的规定。

Slide39RenminUniversityofChina方法使用者实施的人工控制系统输出控制程序控制测试重点应用系统的处理控制应用控制的研究、评价和评估方法Slide40RenminUniversityofChina内部控制的符合性测试及评价目的评价企业内部控制系统在防止和发现财务报表数据发生重大误述方面的作用，并为确定审计程序、范围和重点提供依据内容一般控制与应用控制内部控制评价与风险评估步骤了解与描述计算机会计信息系统内部控制调查表法、文字表述法、流程图法符合性测试评价内部控制（是否完整有效和可否依赖）Slide41RenminUniversityofChina符合性测试符合性测试检查的重点：

必要的内部控制是否重要？

是否按规定执行？

由谁执行？

符合性测试的步骤确定符合性测试的顺序确定测试对象确定是否有互补测试选择测试工具或技术设计测试数据进行测试分析和评价测试结果Slide42RenminUniversityofChina内部控制评价评价评价计算机会计信息系统内部控制的方法与评价手工会计信息系统内部控制的方法没有本质区别如果审计人员评价系统内部控制为高信赖程度，即控制风险为最低，则可以较多地依赖和利用内部控制，相应减少实质性测试审计程序的数量和范围如果评价内部控制为低信赖程度，即重要内部控制明显失效，应放弃对内部控制的依赖，扩大实质性测试的范围，完善、修正和补充实质性测试程序Slide43RenminUniversityofChina三、计算机辅助审计技术与实质性测试应用程序的审计数据文件的审计Slide44RenminUniversityofChina应用程序的审计目标测试应用系统控制的符合性；通过检查程序运算和逻辑的正确性达到实质性测试的目的。

方法不处理数据的测试方法处理实际数据的程序测试方法处理模拟数据的程序测试方法Slide45RenminUniversityofChina不处理数据的程序测试方法特点审计人员不通过计算机处理的任何数据而是通过审核和分析评审或鉴定意见书、程序流程图、程序编码、程序运行记录、程序运行结果等来达到审计目的。

具体方法计算机会计信息系统是否通过评审或鉴定程序流程图检查法程序编码检查法程序运行记录检查法程序运行结果检查法打印输出测试法Slide46RenminUniversityofChina处理实际数据的程序测试方法特点使用用户单位的计算机程序处理实际数据以确定应用控制可靠性审计人员可以利用已形成的实际数据，无需再设计测试数据，而且用程序处理的结果能表明程序控制的强弱。

具体方法控制处理法控制再处理法嵌入审计程序法平行模拟法标记追踪法Slide47RenminUniversityofChina控制处理法概念审计人员通过程序对实际会计业务的处理进行监控对实际会计业务的处理进行监控，判别程序处理和控制程序处理和控制功能功能是否按设计要求起作用主要优点审计技术简单，对审计人员的计算机专业知识要求不高；若采取突击检查的方式，可保证被审程序与实际使用程序的一致性，从而保证审计结论的可靠性。

主要缺点审计人员对实际业务数据的监督、控制及比较分析，可能影响被审单位正常的数据处理及工作效率；选择的实际业务数据可能不足以评价各种处理和控制功能。

适用条件无需专门的测试环境，适用于难以提供测试环境的网络化信息系统的审计Slide48RenminUniversityofChina控制再处理法概念审计人员在被审单位正常业务被审单位正常业务处理以外的时间处理以外的时间里亲自进行或监督进行，将某批处理过的业批处理过的业务再处理一次务再处理一次，比较两次处理的结果，以确定程序是否被非法篡改、处理和控制功能是否恰当有效。

适用条件只用于再次审计，不可用于首次审计以前处理过的业务数据当前运行的被审程序处理结果以前处理结果比较当前被审程序处理过的业务数据审计人员保存的被审程序副本处理结果当前被审程序的处理结果比较Slide49RenminUniversityofChina控制再处理法主要优点所需测试数据是现成的，审计人员没有必要再根据需要筛选数据；可以在审计人员和被审单位都方便时进行测试，不干扰被审单位的正常业务。

主要缺点有些单位已处理过的业务文件可能只保留很短时间，而主文件可能已经多次更新，难于获取重新处理所需的文件；着重在于对结果的分析，若结果不相同，则要进一步分析原因，因而对控制措施的判断不直接；若结果一致时，由于采集数据的局限性及潜在的被修改的可能性，所以并不一定能据此判定程序控制的有效性。

Slide50RenminUniversityofChina嵌入审计程序法概念审计人员在被审计算机会计信息系统开发设计阶段开发设计阶段，在被审的应用程序中嵌入为执行特嵌入为执行特定审计功能设计的程序定审计功能设计的程序，用来收集审计人员感兴趣的资料，并建一个审计文件建一个审计文件存储这些资料，通过对这些资料的审核确定应用程序处理和控制功能的可靠性。

嵌入程序分类主要在一些特定点上对系统的运行进行实时监控只有在审计人员调用时才起作用实际业务数据文件被审程序（包括嵌入程序段）实际业务处理结果审计文件输出程序审计资料被审单位使用审计人员使用Slide51RenminUniversityofChina嵌入审计程序法主要优点在被审单位处理业务数据的同时获取审计证据，弥补了在数据处理过后进行审计时，难以确认被审程序与实际运行程序一致性的缺陷；审计程序段与系统程序同时运行，因而所进行的测试是经常性的，只要被测试程序开始运行，审计程序段就处理监督状态。

主要缺点审计人员必须事先确定对何种程序进行审计，需要获取何种审计资料，并要据此审计相应的审计程序段，如果应用程序修改，审计程序段可能也要修改；审计人员要参与到被审单位的系统分析与设计，实际上是将审计的重点告知了设计人员。

适用条件审计人员在系统开发阶段对嵌入审计程序的功能提出需求Slide52RenminUniversityofChina实际业务数据文件模拟程序被测试程序处理结果处理结果比较差异报告平行模拟法概念审计人员自己或请计算机专业人员编写与被审应用程序处理和控制功能相同的处理和控制功能相同的模拟程序模拟程序，并用模拟程序处理实际数据模拟程序处理实际数据，将处理结果与被审程序处理结果进行对比，评价被审程序的处理和控制功能是否可靠适用条件一个模拟系统可以用于多个单位的审计，或者审计人员可以低成本取得模拟系统优点能独立地处理实际数据，不依赖于被审计单位的人力和设备，能客观地进行审计评价缺点如果开发的模拟系统比较复杂，则开发难度较大且成本较高Slide53RenminUniversityofChina标记追踪法概念审计人员在被测试的程序中安插一些审计程序段，并事先对输入数事先对输入数据作好标记据作好标记，当带有标记的数据通过审计程序时，将该数据存储起来，等程序运行完毕后，比较处理前和处理后数据的差异。

作用用这种方法来追踪作标记的数据在程序中是如何处理的。

主要优点可列示被审计程序中什么指令已执行以及按何种顺序执行，可查出被审程序中的非法指令。

主要缺点要求审计人员具有编写应用程序的知识，且跟踪并分析结果可能费时费力。

因此，这种方法在实际审计工作中并不常用。

Slide54RenminUniversityofChina处理虚拟数据的程序测试方法特点通过处理事先设计的测试数据来确定应用程序的可靠性。

通过设计少量测试数据，对局部或大部分应用程序进行测试，也可据需要对某特定控制措施进行测试。

测试过程1.设计测试数据；2.手工处理设计好的数据；3.用被测试程序处理已设计好的数据；4.比较上述两种方式处理的结果，并推断应用控制的可靠性。

具体方法测试数据法模拟单位法Slide55RenminUniversityofChina测试数据法概念审计人员根据测试的要求，设计一套模拟业务的数据模拟业务的数据，利用被测试程序对模拟数据进行处理，再将处理结果与应当出现的结果进行核对，以检验应用程序是否可靠。

适用用来测试整个系统的全部应用程序；也可用来测试个别程序；或测试程序中某个或某几个控制措施测试数据正常的、无误的业务数据有错漏、不完整、不合理、不正常的业务数据Slide56RenminUniversityofChina测试数据法的应用实际结果与预计结果的差异系统主文件测试数据应用程序测试的结果审计人员比较预期的结果用户测试数据审计人员测试数据软件生成测试数据Slide57RenminUniversityofChina测试数据法分析主要优点在审计线索间断或不完整的情况下，使用这种方法能对应用程序作出评价；这是一种抽样方法，用于测试处理量大的系统比较经济；使用范围广，对审计人员的计算机知识和技能的要求不高。

主要缺点当全面测试系统或程序时，必须保证测试数据的综合性，否则难以保证能测试到所有的应用控制措施；难以保证被测试的程序就是被审计单位实际使用的程序；测试数据的设计比较困难；如果用测试数据增加、删除、修改文件中的记录，可能破坏被审计单位的主文件。

Slide58RenminUniversityofChina模拟单位法概念审计人员在被审计的计算机会计信息系统中建立一个虚虚拟的实体拟的实体（如车间、某一往来客户），利用被审程序，对该虚构实体数据与实际业对该虚构实体数据与实际业务数据一同处理务数据一同处理，