信息系统审计风险控制研究

时间:2022-08-24 08:44:57

信息系统审计风险控制研究

摘要:近年来,随着互联网时代的到来,使得信息技术日益成熟,但尽管是在互联网技术使用广泛的当下,信息系统的审计风险问题仍然存在。无论是固有风险、控制风险还是检查风险,这些信息系统审计风险,都在一定程度上影响和限制了信息系统的有效运作。COBIT控制理念作为信息系统审计风险控制体系的重要理念,对其起到启示和优化建设作用。

关键词:COBIT;控制理念;信息系统;审计;风险控制

基于COBIT控制理念,COBIT控制理念的控制目标主要分为五点。第一是高效性,通过最高层或最经济的模式,利用现有资源来提供充分的信息,实现信息系统信息对称性的强化。第二是机密性,对于涉及敏感话题的信息予以保护,对于未经授权的信息和话题等进行有效维护,尽可能避免隐私或敏感信息被披露。第三是完整性,通过精准完全的信息,实现有效的商业评价或期望。第四是可用性,在应对商业处理需求时,信息是切实可用的。第五是准时信息可靠性,他们为管理者日常经营管理提供有效的信息基础。COBIT控制理念对信用系统审计风险控制体系的形成有直接贡献。

1信息系统审计风险的类别和特征

1.1固有风险。所谓固有风险,通常是由于企业自身缘故而导致的风险,这部分风险与信息系统审计并没有直接关系。当企业经营管理过程中,企业信息系统没有内部控制,信息系统就可能存在安全隐患,这些安全漏洞会导致企业信息系统面临较大的风险。一般来说,固有风险包括系统设计风险、系统风险和系统环境风险,我们从不同的角度对信息系统本身做出综合分析,系统设计风险,主要是基于信息不对称问题做出考虑。1.2控制风险。所谓控制风险,它与企业信息系统审计业务直接关联,通常是企业信息出现重大错误,内部控制人员却未能及时纠正或防止该错误而导致的风险。在现代化发展过程中,互联网时代的到来,使得各行各业对互联网技术的应用不断增多,信息系统的普及度也日益增广。但尽管是在这样的前提下,部分企业仍然疏于对信息系统数据处理的高度重视,处理流程和控制程序方面存在一定的限制。无论是约束机制失效风险,还是系统数据安全性风险,都会对信息系统本身造成威胁。1.3检查风险。所谓检查风险,它与信息系统审计有直接关联,通常是指信息系统审计人员在加强信息数据筛选和审核时,对于实质性测试工具未发挥有效作用,相关测试程序也未能检查出系统风险。通常来说,当审计人员职业能力水平较低时,他们可能由于信息系统过于复杂,而无法实现有效的安全隐患防范。除此之外,当审计人员出现职业道德问题时,他们也不能在信息系统环境下实现职业操守与职业机密。换言之,审计人员所选择的审计方法和审计程序,并不足以让他们完成相应的审计任务,审计过程中所存在的检查风险就会比较突出。

2信息系统审计风险形成的原因分析

2.1信息化审计环境过于波动。基于目前的发展,信息系统审计风险之所以存在,这主要是由于信息化环境过于波动,在电子数据容易被更改或破坏的前提下,信息系统的审计管理是相对困难的。当审计工作人员需要在现有的信息系统基础上,筛选和整理与信息系统审计风险相关的数据资料,做好有效的数据分析和整理时,一旦他们所获取的电子数据是已被更改或破坏的,信息系统审计证据的采集就会受到限制。尤其是在信息化审计环境过于波动的前提下,信息系统环境风险不断加大,当信息系统的设计本身存在缺陷时,审计工作人员无法根据波动的环境,做好有效的信息筛选,信息系统审计风险由此产生。2.2信息系统审计缺少规范的法律法规。任何行业的发展都需要有相应的法律法规和审计准则为之提供保障,但从目前的发展来看,审计准则只针对一般行业有所限定,对于信息系统却未做出有效的审计管理,相关法律法规也不够健全。在日常加强信息系统审计风险控制与管理过程中,审计工作人员只能按照既定的条例完成相应的审计工作,他们没有办法参照健全的法律法规或审计准则,实现对审计业务执行的规范化操作,此时,部分审计工作人员就由于执业规范性的缺失,出现审计工作质量上的疏忽,信息系统审计风险的加大是显而易见的。2.3审计人员执业水平与信息系统发展。不协调在现代化发展过程中,各行各业都追求德智体美劳全方位发展的优秀人才,信息系统审计人才队伍建设也不例外。但基于当前的发展,审计人员执业水平与信息系统发展不协调,这在很大程度上限制了信息系统审计风险控制的效果。在前期发展过程中,信息系统审计难度较小,审计人员能够以目前已有的执业水平完成相应的审计工作,但在发展进入到中后期时,信息系统审计难度不断加大,审计人员需要提升原有的执业水平,以适应新阶段的新系统发展需求,但从实际发展来看,只有少部分审计人员通过系统地学习提升了个人水准,大部分审计人员的执业水平仍不太协调。2.4审计人员个体知识掌握薄弱。随着信息系统复杂性的加强,信息系统的电子数据处理难度不断加大,审计证据的查找也会面临较大的障碍。尽管在日常发展过程中,审计工作人员能够根据已有的相关城市,通过先进的审计技术来降低检查风险,但在实际运作过程中,部分审计工作人员对会计软件和计算机系统的知识掌握相对薄弱,他们对信息技术的应用也不够灵活,这使得审计风险不断扩大。以三四线城市为例,三四线城市的审计人员就可能由于个人知识掌握薄弱,出现信息系统安全风险和审计软件风险无法应对得当的问题,此时,审计方面的漏洞和错误是较多的。

3COBIT对信息系统审计风险控制体系的影响和冲击

3.1有助于更快地适应波动的信息化审计环境。COBIT控制理念强调了高效性原则,是以最经济的模式,追求最快捷的风险控制效果。COBIT控制理念对信息系统审计风险控制体系形成的影响和冲击体现在,它有助于更快地适应波动的信息化审计环境,让信息系统审计人员能在审计信息系统的相关风险时,对固有风险、控制风险和检查风险等做出逐一判断,并在波动的信息化审计环境下,选定最合适的审计技术和审计计划,进行进一步的方案部署。尤其是在信息化环境波动剧烈的前提下,COBIT控制理念对信息系统审计风险控制体系的强适应性,更是有着明显的影响和冲击。3.2有利于提升对法律法规完善的重视。COBIT控制理念注重机密性原则的保障,它的控制目标就是实现信息的机密处理。COBIT控制理念对信息系统审计风险控制体系形成的冲击,主要是有利于提升对法律法规完善的重视。COBIT控制理念,高度强调对敏感信息或个人私密信息的保护,而由于法律法规方面仍然欠缺对信息系统机密问题的有效维护,在COBIT控制理念的有效冲击下,法律部门也会逐步加强对信息系统审计风险控制体系形成的重视,从法律法规的补充和剔除角度加强法律建设。COBIT控制理念对于提升对法律法规完善的重视自然是功不可没。3.3有助于对团队可用人才的挖掘和培养。各行各业都稀缺优秀人才,COBIT控制理念强调了对有用人才的挖掘。在信息系统审计风险控制体系中,COBIT控制理念强调了对团队可用人才的深度挖掘,保证优质人才能够得以保留。以二线城市为例,二线城市中的审计人员质量介于一线城市和三线城市之间,他们对信息系统审计风险控制体系形成的认知也处于中游位置。在COBIT控制理念的基础上,信息系统审计风险控制将更加注重对可用人才的挖掘,这对审计工作人员执业水平的提高及审计队伍建设都有一定的帮助。3.4促成对信息不对称问题的细致考量。信息不对称问题已成为各行业发展的一大问题。COBIT控制理念强调了对信息可靠性的目标追求,它对信息系统审计风险控制体系的形成所带来的影响,自然也体现在有利于对信息不对称问题的细致考量。从目前的发展来看,部分审计人员对信息可靠性的追求并不强烈,他们只是按照既定的流程完成相应的审计工作,对于审计证据真实可靠与否却未作准确判断。在COBIT控制理念的冲击下,将有更多的人针对信息不对称问题做出考虑,这对信息系统审计风险的控制是有帮助的,部分帮助还是在潜移默化中得以实现的。

4基于COBIT的信息系统审计风险控制体系优化策略

4.1构建高效完整信息系统审计运行制度。要想在后阶段发展过程中,基于COBIT控制理念,加强信息系统审计风险控制体系优化,就应该构建高效完整的信息系统审计运行制度,保证信息化审计环境的适应能够更为迅速。在初期发展阶段,信息系统审计运行制度的构建,只需满足信息系统审计的一般需求即可。但在发展进入到稳定阶段后,相关审计工作人员应当结合COBIT控制理念的要求,尽可能达成COBIT控制理念的高效性控制目标,在信息系统审计运行制度构建过程中,将高效性与完整性予以逐一呈现。需要注意的是,COBIT控制理念的贯彻,并不意味着审计风险控制体系优化无忧无患,相关责任人仍然不能掉以轻心。4.2完善信息系统审计风险控制法规。由于信息系统审计风险控制的法律法规和审计准则不够及时到位,这已在很大程度上限制了信息系统审计风险控制的实际效果,在后阶段发展时,就应该基于COBIT控制理念,加强对信息系统审计风险控制体系优化和提升。法律部门既需要结合信息系统审计风险控制的实际需求,联系审计准则,将信息系统审计风险可能存在的场景等做出主要分析,还应该通过定期更新和完善法律法规的方式,将原有的法律法规进行筛选,保证最终形成的信息系统审计风险控制相关法律法规是与时俱进的。需要说明的是,法律部门在完善相关法律法规时,应当及时向上级部门提出申请,并获取上级部门的有效回馈。4.3组建规范的信息系统审计团队。结合当前的发展,信息系统审计风险控制,之所以会存在一定问题,这主要是由于审计人员的执业水准相对较低,个人知识掌握相对薄弱,这在很大程度上限制了审计人员执业效果的提高。后续发展时,应当尝试组建规范的信息系统审计团队,通过定期培养的方式,加强对审计人员专业素养的培养。对于线上培训模式,可以尝试通过QQ群和微信群等方式,对审计人员进行定期的资料发放和系统跟进。而对于线下培训模式,则可以根据审计人员线上培训的实际效果,对培训效果较差的审计人员进行二次辅导。必要的时候,还可以通过一对一结对帮扶的方式,在组建信息系统审计团队过程中,将COBIT控制理念中的可用性和完整性控制目标应用到位。4.4搭建信息系统审计风险控制交流平台。在移动互联网不断普及的当下,人们应当通过现有的移动通信设备,加强对信息系统审计风险控制交流平台的搭建。结合目前的发展可知,信息系统审计风险控制的难度相对较大,审计工作者个人的知识掌握力度也是受限的。为了在后续发展过程中,进一步提高COBIT控制理念,对信息系统审计风险控制体系形成的影响,就应该结合COBIT控制理念的相关控制目标,努力构建起全员参与的信息系统审计风险控制交流平台。当个别个体的审计风险控制存在问题时,他们可向其他人员提出请教,保证他们能在其他工作人员的帮助下,正确理解审计技术的操作流程,并实现对相关审计工作的有效完成。

5结束语

在互联网技术日益发展的当下,信息不对称现象仍然存在,信息系统审计风险控制体系的形成,成为当下信息系统发展的当务之急。由于COBIT控制理念,对信息系统审计风险控制体系的形成,带来了明显的影响和冲击,它能有助于快速响应信息化审计环境,能有利于提升对法律法规完善的重视,对团队可用人才的培养也高度关注,对于信息系统审计风险控制体系的优化,可基于COBIT控制理念做出考虑及方案设计。

参考文献:

[1]王会金.高校管理信息系统审计及其风险控制问题研究——以WSR方法论与COBIT理论相结合为视角[J].审计与经济研究,2014(05):23-30.

[2]程平,王晓江.基于COBIT标准的云会计AIS审计风险评价指标体系构建[J].会计之友,2016(10):121-125.

[3]樊沙沙.信息系统审计风险应对策略研究[J].对外经贸,2017(08):158-160.

[4]成骏雄.我国信息系统审计技术推广的限制因素探讨[J].中国集体经济,2018(03):150-153.

作者:李晶 单位:浙江财经大学经济与管理实验中心