一、信息系統環境下注冊會計師的審計風險

　　我國《注冊會計師法》第21條規定了注冊會計師的審計責任：“注冊會計師執行審計業務，必須按照執行準則、規則確定的工作程序出具報告”。中國獨立審計準則對注冊會計師的審計責任也做了詳細的規定：注冊會計師的審計責任是指注冊會計師按照獨立審計準則的要求出具審計報告，并對發表的審計意見負責。由于基本會計數據及其他管理數據的龐大以及審計成本的限制，現代審計多采用評價內部控制基礎上的抽樣審計以獲得支持財務報表的證據。在信息系統條件下，審計基礎數據更加龐大和復雜，內部控制的內容與方法也發生了巨大變化，獲取基礎審計數據，評價新的內部控制結構的效力與證據之間的聯系，這些都構成了對注冊會計師的極大挑戰。

　　我國2004年發布的《獨立審計具體準則第20號——計算機信息系統環境下的審計》明確指出，注冊會計師應當充分關注計算機信息系統環境對被審計單位會計信息及內部控制的影響。2006年發布的《中國注冊會計師審計準則第1633號電子商務對財務報表審計的影響》第十八條指出，注冊會計師應當關注審計單位是否運用適當的安全基礎架構和相關控制；第32條也指出，注冊會計師應當考慮被審計單位實施的信息安全政策和控制措施，是否足以防止未經授權修改會計系統或會計記錄，或修改向會計系統提供數據的系統。《國際審計準則15——電子數據處理環境下的審計》明確指出，當在一個電子數據處理的環境下進行審計時，審計人員應當對約定計劃中的計算機因硬件、軟件和處理系統有充分的了解，并且要了解電子數據對內部控制的研究與評價和對審計程序實施的影響，包括計算機輔助審計技術。但我國的獨立審計具體準則和國際審計準則都沒有給出審計測試的具體評價標準，注冊會計師在評價計算機信息系統的安全、正確及有效性方面遇到了很大的困難。

　　以上情況表明，雖然注冊會計師可能無需對信息系統和信息活動提出鑒證結論和咨詢意見，但必須考慮信息系統和信息活動對被審計單位的影響與重大錯報的風險。因此，注冊會計師在面對復雜的信息系統時必須考慮借用有效的IT標準來對被審計系統進行評價。當前國際上普遍應用的IT相關標準眾多，但有關信息系統管理及如何對信息系統進行審計的標準相對比較少，對審計人員來說，COBIT對審計人員具有更強的針對性，其執業規范和操作指南對審計人員提供了重要參考價值的標準。

　　二、COBIT概述

　　COBIT（Control Objectives for Information and Related Technolo-gy）是信息系統審計及控制協會（Information Systems Audit andControl Association，ISACA）指定的關于信息技術安全及控制的通用標準，COBIT實質上已經成為國際公認的最權威的信息技術管理、控制和審計的標準。

　　COBIT控制目標體系是一個較完整的信息系統管理和控制的參考模型，通過將COBIT應用到信息系統的開發和實施環境中，管理人員、開發人員和審計人員可以在強化和評估信息系統的管理和控制時獲得依據。COBIT主要包括六個部分的內容：執行概要、系統框架、管理指南、詳細控制目標、審計指南、實施工具集等。執行概要圍繞著IT控制與企業經營目標之間的關系說明了CO-B17的基本概念和原理，使得COBIT與企業活動緊密相連，具有現實的指導意義；系統框架介紹了COBIT的領域、IT過程和高層控制目標，指出了每個控制目標對信息的要求和主要對哪些信息系統資源產生影響，可以成為審計人員選擇審計程序和方法的主要依據；管理指南主要闡述企業對內部IT的控制情況的自我評價，提高和改進IT過程的措施以及對IT過程性能的監控，是企業內部審計的重要參考依據之一，也是注冊會計師借助于內部審計報告來評估IT控制的重要證據；詳細控制目標介紹了COBIT的IT過程所包括的詳細控制目標，是評價IT管理和過程的具體參考標準；審計指南從信息管理人員和審計人員的角度說明了如何實施對IT控制的檢查，提出了具體的審計方法；實施工具集主要包括管理認知、IT控制診斷、實施指南、常見問題、COBIT案例研究等工具，為快速學習和運用COBIT提供豐富的素材。

　　三、COBIT信息評價標準對注冊會計師的指導意義

　　企業的財務報表反映了一系列有關該企業財務狀況的管理當局認定，注冊會計師的任務是確定這些財務報表的公允表述。為了完成這一任務，注冊會計師制定了審計目標，確定了達到這一目標而需要執行的審計程序，并為證實或否定管理當局認定收集證據。管理當局對會計報表的認定可以歸結為五類：存在或發生；完整性；權力和義務；估價或分攤；表達與披露。在這些認定的基礎上，注冊會計師在具體的審計實務中產生了總體合理性、真實性、完整性、所有權、估價、截止、機械準確性、披露、分類等一般審計目標。由此可見，管理認定在注冊會計師的具體審計行為具有非常重要的指導意義。

　　實際上，財務報表就是信息，注冊會計師對財務報表的合法性、公允性、一貫性發表的審計意見就是對相關信息進行鑒證，在鑒證過程中，注冊會計師必須對信息系統本身的安全性、保密性、完整性及其實現企業目標的有效性進行審計。在對信息系統的審計中，信息的評價標準在指導具體的IS審計行為中具有管理認定對注冊會計師審計類似的指導意義。COBIT提出的如下表的信息評價標準值得注冊會計師借鑒。為使信息達到標準，信息系統的組織規劃、信息獲取和系統實施、服務與支持、信息系統監控都要有一套合理的控制目標和標準，這就成為注冊會計師對信息系統輸，出的財務報告發表意見的具體審計目標。COBIT把以上目標以34個IT過程方式進行了描述，就產生了34個高級控制目標，并成為審計人員進行審計評價時的參考標準。

　　四、信息系統環境下注冊會計師的行為選擇

　　（一）一般控制與應用控制的符合性測試評價在信息系統環境下，注冊會計師的審計不管采用繞過計算機的審計還是通過計算機的審計，都需對內部控制進行測試。信息系統中建立了許多新的控制措施，許多內部控制是建立在計算機的程序中。信息系統條件下的內部控制包括一般控制和應用控制，注冊會計師可參考COBIT標準來識別、研究、審查、評價這些新的內部控制。如果注冊會計師對信息技術和COBIT的標準不熟悉，聘任IT審計師或信息系統專家一同工作可能是最好的選擇。此外，查閱內部審計報告和征詢內部審計人員的意見、查閱和分析管理報告、軟件控制測試等也可作為內部控制測試的輔助方法選擇。

　　（二）業務與信息風險的評價信息系統的附加業務風險主要來源于信息系統的安全，尤其在IT業務外包、電子商務、ERP（企業資源計劃）和BPR（企業過程重組）、網絡金融環境下。在對這些單位實施審計時，注冊會計師必須注重對相關合同的審查，要評價系統提供方或服務提供方的技術水平、服務能力和未來業務的可持續性，并審查系統的形成和服務過程。

　　（三）網絡環境的測試越來越多的組織采用網絡系統，網絡系統具有責任分散、系統風險加大、控制內容復雜化、系統資源多樣化的特點。對于網絡系統，注冊會計師應將系統安全性作為審計的第一目標，一般來說，注冊會計應該采用計算機輔助審計工具和技術CAATTs，更多依賴內部審計人員提供的證據，不斷更新審計測試的方法和內容，進一步加強對數據的完整性檢驗。

　　（四）數據文件的實質性測試信息系統環境下的數據記錄龐大，紙質原始憑證由于聯機數據采集而不復存在，注冊會計師在實質性測試中應采用計算機的數據式審計模式。信息系統環境下系統高集成度、數據的一致性，為利用多種計算機軟件工具提高審計效率創造了極好的條件，注冊會計師可利用比較成熟的數據挖掘技術、聯機分析處理（OLAP）、審計模型構建和共享技術來廣泛獲取審計線索和搜集審計證據。注冊會計師審計的重點轉移到企業的明細信息，審計團隊更緊密的合作成為必然，審計模型和審計經驗成為被更多注冊會計師共享的資源。