论计算机会计的内部控制及其审计

　　计算机信息处理环境影响会计内部控制及其审计已是不争的事实，但目前对计算机信息处理环境下内部控制的内容、分类以及如何审计内部控制问题，概念仍然不十分清晰，不少控制措施以及审计方法严重脱离实际，许多问题还有待研究。

　　一、对计算机会计内部控制的再认识

　　西方对计算机会计内部控制的研究大概始于70年代，美国执业会计师协会（AICPA）和EDP审计人员协会从1974年开始先后发表了一系列研究报告或相关的审计准则，国际会计师联合会（IFAC）也在80年代制订了几个有关计算机审计的准则。这些文告或准则一方面肯定了计算机处理对内部控制的影响，强调加强内部控制及其审计的必要性；另一方面则比较一致地将内部控制分为一般控制和应用控制两大类，并据此制定了一套EDP控制标准。

　　我国财政部1994年发布的《会计核算软件基本功能规范》，集中在输入、处理、输出和安全四个方面对会计软件提出规范性要求，实质上涉及的都是内部控制的问题，即会计软件系统所应该实现的控制。而首次涉及计算机会计系统内部控制的审计法规则是1999年7月1日生效的《独立审计具体准则第20号——计算机信息系统环境下的审计》。

　　显然世界各国审计机关对计算机处理环境的内部控制问题都有相当的重视，进行了非常深入的研究。既肯定了计算机处理环境对内部控制的影响，又研究了加强控制的措施，还探讨了审计内部控制的方法。但是，事物总是发展的，随着计算机技术的日新月异，尤其是电子商务和网络财务的出现，前述的这些研究已经显得苍白。我们认为，当前对内部控制的研究存在三个问题：一是对广域网络环境下会计系统的内部控制缺乏研究，二是对内部控制的分类欠科学，三是不少控制措施以及对内部控制的符合性测试方法脱离实际。下面将就这些问题展开讨论。

　　二、网络会计给内部控制提出了新课题

　　网络财务战略一经提出就获得社会的普遍认同，成为业界关注的焦点，引发人们对网络环境下财务与企业管理的思考。网络财务的最闪光之处是通过Internet实现多种远程处理和支持电子商务，而这恰恰给会计内部控制出了难题。

　　我们知道，电子商务和远程处理必然要求会计系统的进一步开放与数据共享，而开放与共享将增加安全控制的难度，信息安全、资金安全都将成为内部控制的焦点。安全威胁既来自企业内部工作漫不经心的员工，也来自心怀不满的职员、外部黑客以及竞争对手。因为网上交易公开化程度较高，操作人员和信息使用者干预系统的机会增大，再加上使用的是公用通讯线路，系统面临的安全隐患也必然增多，从而增大企业经营的风险。例如，不法之徒可能利用网络及安全管理的漏洞窥探用户口令或电子账号，冒充合法用户作案，篡改数据库内容以窃取资产；利用网络远距离窃取企业的商业秘密以换取钱财，或利用网络传播计算机病毒以破坏会计信息系统，甚至摧毁网络节点；此外，由于电子商务处理经济业务的原始记录以电子凭证的方式存在和传递，不法之徒通过改变电子货币账单、银行结算单等，就有可能转移财产的所有权。

　　有鉴于此，网络财务必须实现以下控制目标：

　　1、对远程操作的控制，即实现对远程记账、报账、查账、制表、审计以及网上报税等操作的安全控制。

　　2、对网上支付的控制，即保证支付信息的机密、支付过程的完整、交易双方的合法身份以及互操作性，实现安全支付。

　　3、对电子凭证的控制，即控制电子凭证的正确收发、真伪确认、安全传递和格式转换等问题。

　　以上控制既涉及技术层面，也涉及政府立法和企业内部的制度建设。在技术上要采用公开密匙加密、电子数字签名、电子信封、电子证书等技术，加强对网上输入、输出和传输信息的合法性、正确性控制，在企业内部网与外部公共网之间建立防火墙，对外部访问实行多层认证。在法律上建立电子商务法律法规，规范网上交易、支付、核算行为，并制定网络财务准则和相应的内部控制制度。没有网络安全，就没有网络财务。

　　三、关于内部控制的分类

　　美国执业会计师协会第3号《审计准则公告》、《国际审计准则》第20号以及我国《独立审计具体准则第20号》，都把计算机会计内部控制分为一般控制（General controls）和应用控制（Application controls）两大类，并将前者定义为：（1）电子数据处理的组织和操作的计划；（2）对系统或程序的设计、开发和变动的记录、审核、测试和批准；（3）由制造商在设备内部所设置的控制；（4）对接触设备和数据文件的控制；（5）对系统的运行有影响的其他数据和指令程序的控制。公告把应用控制定义为输入控制、数据处理控制和输出控制。

　　但是，我们认为这种分类方法从其名称和内涵来看，都有值得商榷的地方。

　　1、定义缺乏逻辑性

　　分类是一种手段，目的是便于人们对事物的理解或认识，但这种分类方法并未达到这个目的。首先从其名称来看，分类标准不明确，甚至可以说用的不是同一个标准。因为人们往往习惯于将“一般”来区别“特殊”，而将“应用”与“基础”、“理论”或“系统”等概念相对应。所以将问题分为“一般”和“应用”在逻辑上是不清晰的，实际上不少问题既是“一般”问题，又属“应用”范畴。

　　2、两类控制的内涵不明

　　分类标准的模糊性带来控制内涵不明，到底哪些方面的控制属于一般控制，哪些属于应用控制，人们只能根据强加于人的“定义”来理解。两类控制常常交叉，例如数据输入既因涉及输入而属于应用控制，又因涉及组织和操作而属于一般控制的范畴。又如，对输出资料的保管、操作权限的识别这样一些控制措施，到底属于一般控制还是属于应用控制，人们从字面上就很难区别。此外有些文献还把对经济业务的完整性、有效性、合理性的审查和控制，作为数据处理控制的内容，使控制措施的归属变得更为含混不清。

　　3、企业控制的任务不明确

　　这种分类方法混淆了执行控制的主体，即两类控制中人们难以明确哪些是企业应该做的，哪些是软件开发商的责任。我们知道在手工会计中内部控制都是通过人来执行的，但在计算机会计中除了人这个执行控制的主体之外，许多内部控制方法却要通过计算机系统尤其是会计软件才能实现。例如，应用控制中的输入控制，既包括了用规章制度约束操作人员以保证输入数据的正确，又要靠系统自身的容错功能来识别和纠正输入数据的错误，前者是制度问题而后者则是计算机程序问题。在输出控制中也存在类似的问题，对输出的权限和完整控制应该是软件系统的责任，而输出资料的确认和保管则是会计人员的责任。