會計信息系統(tǒng)審計中Cobit模型的運用論文
在會計信息系統(tǒng)審計中，內(nèi)部控制長久以來都是這個領(lǐng)域中的探討熱點。20 世紀 90 年代，美國 COSO 委員會發(fā)布的《內(nèi)部控制---整合框架》或 COSO 內(nèi)部控制框架①，一直以來成為多數(shù)發(fā)達國家企業(yè)內(nèi)部控制構(gòu)建和規(guī)范的參照標準。隨著信息技術(shù)的日益更新，尤其是電子商務(wù)的廣泛應(yīng)用，信息技術(shù)已成為現(xiàn)代企業(yè)重點資源之一。未來企業(yè)的生存與發(fā)展，都將以信息系統(tǒng)的使用和發(fā)展作為基礎(chǔ)和依靠。信息技術(shù)的日趨成熟使會計信息系統(tǒng)得以廣泛應(yīng)用，會計信息系統(tǒng)的安全及風(fēng)險管理也因此受到關(guān)注。C obit②框架作為更側(cè)重于 IT 治理和控制的框架，不僅囊括 COSO 內(nèi)控框架中的所有內(nèi)控標準，其以 IT 系統(tǒng)為研究對象的特點，使其能為會計信息系統(tǒng)的審計和內(nèi)控管理提供更具體、更有針對性的指導(dǎo)和啟發(fā)。
一、Cobit 框架概念
1996 年，美國信息系統(tǒng)審計和控制協(xié)會（簡稱 ISA C A ）③首次公布了 C obit框架，我國將其定義為信息及相關(guān)技術(shù)控制目標，是一種最新的信息技術(shù)管理模型[1].通過不斷地發(fā)展與完善，當前這一模型已經(jīng)廣泛應(yīng)用于信息化領(lǐng)域，并漸漸形成了“C obit治理”理念，成為基于 IT 治理概念的，面向信息系統(tǒng)建設(shè)過程的治理實現(xiàn)指南和審計標準。
C obit把 IT 資源、業(yè)務(wù)要求和 IT 過程同企業(yè)的目標與戰(zhàn)略發(fā)展策略緊密結(jié)合起來，構(gòu)成一個三維的體系結(jié)構(gòu)（如圖 1 所示）[2].其中 IT 資源一般包含了應(yīng)用系統(tǒng)、信息、基礎(chǔ)設(shè)施及人在內(nèi)的有關(guān)資源，這是 IT 治理過程中的主要對象；業(yè)務(wù)要求則全面反映企業(yè)的戰(zhàn)略目標，也可理解為企業(yè)為完成業(yè)務(wù)目標對 IT 資源和 IT 過程的要求標準。一般從有效性、高效性、保密性、完整性、可獲取性、符合性及可靠性七個方面來衡量對象的質(zhì)量。IT 過程則是在業(yè)務(wù)要求相適應(yīng)的 C O B IT 的 IT 總體控制目標的導(dǎo)向下，科學(xué)合理地規(guī)劃和處理信息及有關(guān)資源。其為企業(yè)管理的成功提供了集成的 IT 管理模型和信息處理高效改進的對策，更好地符合企業(yè)的發(fā)展需求。IT 資源、IT 過程與業(yè)務(wù)要求以三面立體的模式展現(xiàn)，生動地體現(xiàn)了三者獨立而相互依賴的交互聯(lián)系。
IT 過程一般又認為是框架中的最重要部分。IT過程由三部分構(gòu)成：過程域、過程及活動。其中，不同的“過程域”集合不同的“活動”,“活動”歸屬劃分到哪個“過程域”,根據(jù) IT“活動”配合的是企業(yè)中哪些機構(gòu)的具體職責(zé)。在 C obit中劃分了四個“過程域”:計劃與 組 織 （Planning andenterprise）、獲 取 與 實施（A cquisition and im plem entation）、交付與支持 （D elivery andsupport）及監(jiān)測和評價（M onitoring and evaluation）。
二、C obit 在會計信息系統(tǒng)審計中的應(yīng)用
分析審計發(fā)展歷程得知，控制同審計之間的關(guān)系越來越密切，現(xiàn)代審計一個典型的特征便是在審計過程中，首先需要對被審計單位的內(nèi)部控制進行研究與評價。C obit為企業(yè)提供了新型系統(tǒng)控制的目標與信息標準，同時為企業(yè)提供了信息系統(tǒng)的審計指南。C obit在很大程度上啟示和指導(dǎo)了會計信息系統(tǒng)審計工作。
（一）基于內(nèi)控理念基礎(chǔ)
Cobit框架能夠為會計信息系統(tǒng)審計和內(nèi)部控制提供參照標準，出于其框架概念覆蓋了內(nèi)部控制的思想，同時也顯著體現(xiàn)了 IT管理的重要理念：
1.戰(zhàn)略性聯(lián)合。會計信息系統(tǒng)的規(guī)劃與運轉(zhuǎn)應(yīng)與企業(yè)其他業(yè)務(wù)的運轉(zhuǎn)和需要相結(jié)合匹配，在定位、合作、保持、維護質(zhì)量和價值方面，使信息系統(tǒng)的計劃和過程的組織與業(yè)務(wù)建立起良好關(guān)系。
2.價值傳遞。在過程中，應(yīng)確保會計信息系統(tǒng)通過良性的傳遞流程為業(yè)務(wù)項目或部門提供承諾的服務(wù)和服務(wù)質(zhì)量。傳遞過程中能合理控制成本，最大化地利用資源，完成的任務(wù)能體現(xiàn)信息系統(tǒng)本身的內(nèi)在價值。
3.風(fēng)險管理。無論在哪個層面，信息系統(tǒng)的風(fēng)險管理都應(yīng)充分認識企業(yè)承擔(dān)風(fēng)險的能力、弱化風(fēng)險的要求以及重大風(fēng)險可能帶來的后果。企業(yè)中的會計信息系統(tǒng)和其他功能系統(tǒng)一樣，都應(yīng)有各自的，也應(yīng)有共擔(dān)的風(fēng)險管理責(zé)任，在風(fēng)險管理中擔(dān)當一定角色。
4.資源管理。應(yīng)有側(cè)重性地對會計信息系統(tǒng)及相關(guān)資源進行投資優(yōu)化及妥善管理，尤其關(guān)注信息技術(shù)、應(yīng)用程序、數(shù)據(jù)信息、基礎(chǔ)設(shè)施和專業(yè)人士資源。企業(yè)中高效的 IT 管理往往依賴于相關(guān)專業(yè)技術(shù)知識和專業(yè)基礎(chǔ)設(shè)施的不斷優(yōu)化。
5.業(yè)績評估。應(yīng)有相應(yīng)的`過程控制程序追蹤和監(jiān)控系統(tǒng)策略的執(zhí)行精度、項目的完成進度、資源的使用情況、成果的業(yè)績表現(xiàn)和服務(wù)的交付質(zhì)量等。信息系統(tǒng)的管理機制應(yīng)將這些內(nèi)控目標轉(zhuǎn)化成明確的行動指令和評價標準，方能對信息系統(tǒng)進行科學(xué)合理評估，最終達成內(nèi)控目標。
�。ǘ⿲徲嬶L(fēng)險控制
現(xiàn)階段企業(yè)審計一般是以風(fēng)險為導(dǎo)向的審計，尤其注重對審計風(fēng)險的控制。審計風(fēng)險包括了控制風(fēng)險、固有風(fēng)險與檢查風(fēng)險[3].雖然固有風(fēng)險和控制風(fēng)險與被審計單位有關(guān)，審計人員對此無能為力，但審計人員可以在對固有風(fēng)險和控制風(fēng)險的高低做出評估的基礎(chǔ)上，確定實質(zhì)性測試的性質(zhì)、時間和范圍，以便將檢查風(fēng)險以及總體審計風(fēng)險降低至可接受的水平。C obit中的管理指南、控制目標和審計指南，正好可以指導(dǎo)我們評價信息系統(tǒng)的固有風(fēng)險、控制風(fēng)險和檢查風(fēng)險。例如，管理指南給出了度量信息系統(tǒng)安全、可靠與有效的指標體系，給出了為管理者提供評估標準的度量模型。其中成熟度模型可以幫助確定被審信息系統(tǒng)是否符合行業(yè)和國際標準，通過與行業(yè)和國際標準相比較，審計師可以了解被審計信息系統(tǒng)的固有風(fēng)險水平。而控制目標按照過程域、過程和任務(wù)活動逐步細化，定義了四個域的 34 個高層次控制目標以及 318 個具體控制目標，通過評估被審信息系統(tǒng)在各個層面上是否達到了控制標準，就可以確定信息系統(tǒng)的控制風(fēng)險水平。C obit的審計指南為中介評估機構(gòu)或信息系統(tǒng)審計師對信息系統(tǒng)進行分析、評估和實施審計提供了建議與指導(dǎo)，可以直接使用于信息系統(tǒng)審計。
�。ǘ┐_定審計流程
傳統(tǒng)審計一般按照實施時間的不同劃分為事前審計、事中審計與事后審計，但是會計信息系統(tǒng)審計應(yīng)該根據(jù)信息系統(tǒng)生命周期的不同，將其劃分為系統(tǒng)規(guī)劃與組織過程的審計、系統(tǒng)獲取與實施過程的審計、系統(tǒng)交付與支持過程的審計、系統(tǒng)監(jiān)控過程的審計[4].在信息系統(tǒng)審計中，可借助 C obit的“控制目標匯總表”確定各個 IT過程的具體審計目標。例如，在程序開發(fā)與維護（A I4）這一 IT 過程中，所涉及的 IT 資源包括人員、應(yīng)用、技術(shù)、設(shè)備，這些 IT 資源的有效性、高效性是最重要的控制目標，完整性、符合性和可靠性則是較為次要的控制目標，相應(yīng)地，審查這些控制是否達到標準就是這一過程的具體審計目標。以人員為例，在這一 IT 過程的審計中，審計人員要重點關(guān)注系統(tǒng)開發(fā)人員是否有效（是否有專業(yè)能力，能否勝任系統(tǒng)開發(fā)工作）并保持高效率工作；其次要關(guān)注開發(fā)人員的完整性（即整個開發(fā)團隊的完整性，是否有真正起作用的用戶代表和內(nèi)審人員的參與）、符合性（即隊伍是否穩(wěn)定，人員不會經(jīng)常發(fā)生變動）以及可靠性（即人員的忠誠可信，已簽訂保密協(xié)議等）。
雖然審計具體目標的確定僅僅是審計工作的開端，但是一旦將具體目標確定下來，便能夠進入到下一階段的審計測試。C obit不僅可幫助確定每一 IT 過程的具體審計目標，而且其審計指南建議了每一 IT 過程具體的審計步驟，并對如何開展審計測試提供了操作規(guī)范和方法。
當前，企業(yè)對會計信息系統(tǒng)的依賴性越來越大，大多數(shù)管理者已意識到會計信息系統(tǒng)審計的重要性。同時，會計信息系統(tǒng)審計已成為審計發(fā)展的新動力和新方向。C obit框架與C O SO 框架在結(jié)構(gòu)和理念上有相似性，都采用了立體三維空間呈現(xiàn)結(jié)構(gòu)，這也體現(xiàn)C obit和 C O SO 在思想上有融合和嵌入。C O SO 由于設(shè)計所站視角更高，使用范圍更寬泛，具有普遍的內(nèi)控指導(dǎo)意義，C obit 遵從C O SO 的控制思想，但強調(diào) IT 控制，從這點來看其是 C O SO 的深化和延伸。這也啟示我們，使用 C obit框架進行會計信息系統(tǒng)審計時，在理解 C O SO 內(nèi)控思想的前提下，需掌握基礎(chǔ)的 IT 管理和信息系統(tǒng)知識，具備一定 IT 思維方式和素質(zhì)，方能較好地運用 C obit進行會計信息系統(tǒng)審計，提高審計效率和質(zhì)量。
注釋
�、貱OSO 為全國反虛假財務(wù)報告委員會下屬的發(fā)起委員會（TheCommittee of Sponsoring Organizations of the TreadwayCommission） 的英文縮寫。1992 年 9 月，COSO 委員會發(fā)布《內(nèi)部控制---整合框架》（Internal Control-Integrated Framework） 也稱COSO 內(nèi)部控制框架。
�、贑obit:信息及相關(guān)技術(shù)控制目標，英文 Control Objectivesfor Information and related Technology 的縮寫。
③信息系統(tǒng)審計和控制聯(lián)合會， 英文全稱為：InformationSystems Audit and Control Association（ISACA）。
參考文獻
[1]苗連琦。COBIT:加強會計信息系統(tǒng)的內(nèi)部控制與審計的一個不可或缺的工具[J].中國管理信息化，2012,03（02）：90-93.
[2]王會金。中觀信息系統(tǒng)審計風(fēng)險控制體系研究---以 COBIT框架與數(shù)據(jù)挖掘技術(shù)相結(jié)合為視角[J].審計與經(jīng)濟研究，2012,04（01）：16-23.
[3]張磊。基于 COBIT 的中國人壽信息系統(tǒng)審計框架設(shè)計研究[D].浙江大學(xué)，2014.
[4]魯璐。企業(yè)信息系統(tǒng)審計一般控制應(yīng)用框架探究---基于 COBIT理論[J].財會通訊，2015,04（31）：110-112.
【會計信息系統(tǒng)審計中Cobit模型的運用論文】相關(guān)文章：
1.會計信息系統(tǒng)審計中Cobit模型的運用的論文
2.會計信息系統(tǒng)REA模型重構(gòu)分析論文
4.內(nèi)部審計中的信息系統(tǒng)審計的內(nèi)容
6.風(fēng)險導(dǎo)向?qū)徲嬙谪攧?wù)舞弊審計中的運用分析論文