一、前言
2009年3月6日,溫家寶在《政府工作報告》中指出,2009年要實施總額4萬億元的兩年投資計劃,提高國民經濟整體競爭力。如此大規模的投資短時間內到位,如何保障投資項目的真實、合法?如何監督資金在項目建設、監理、使用全過程中的安全?在信息化條件下,傳統的基礎設施建設項目審計模式面臨著新的挑戰:如何利用計算機技術,實現對大型基礎設施建設項目過程中的資金流進行跟蹤審計,有效提高審計效率并最大程度地避免重大錯報,成為亟待解決的嶄新課題。
目前關于大型基礎設施建設投資已有相關的理論研究與實務應用。(一)理論研究方面逐步從事后審計向全過程跟蹤審計轉變,強調對建設項目全過程進行動態審計,參與投資決策,審計意見直接影響工程進度。目前在國內大型投資項目如T3航站樓項目、汶川抗震救災專項資金審計項目中均已采用,收到了一定的效果。(二)計算機審計技術研究目前還處于初步探討階段,部分學者的研究成果有一定借鑒意義。如Steve Schlarman闡述了企業IT審計風險概念及其運行機理和發展階段。但計算機審計技術尚局限于數據審計,沒有拓展到項目建設的全過程及信息系統。
二、基礎設施建設項目跟蹤審計技術方面存在的問題
隨著全過程跟蹤審計理論及應用的發展,我國開始實施從正式立項到竣工決算的全部建設過程的審計,如北京奧運會財務收支和奧運場館建設項目的跟蹤審計、首機場T3航站樓的全過程跟蹤審計等。全過程跟蹤審計對于防止舞弊、提高質量、降低造價、規避風險有了更好地控制,是一種動態的、事先的、主動的造價控制,但是在技術層面也存在一定的不足之處。
(一)多頭管理,缺乏統一協調機制保障實施
大型工程項目涉及投資、施工、監理、審計、財務等各個部門,各有各的管理權限。跟蹤審計是動態審計,審計主體介入時間較早,切入工程現場的時間較長;而工程項目往往是立體交叉推進,與審計的單維度線索跟蹤進度存在進度差別。通常情況下,審計工作不該影響施工進度,但審計人員要對工程定價預算等內容進行審計,會與相關審批部門產生沖突甚而可能會延誤工期。跟蹤審計是與施工作業同時進行的,隨時可能發現一些問題,隨時需要有關部門和單位予以糾正,如果對審計中的發現仍按常規程序進行,那么有很多事項就會失去糾正時機,跟蹤審計的效果和作用就會減弱。
(二)信息安全審計缺失
被審計單位現有的財務信息、業務信息大都通過會計信息系統或專用的業務信息系統實現了數據的電子化。但被審計單位的信息化給審計人員帶來的挑戰就是如何保障數據的真實性、合法性、完整性、機密性。被審計單位提供的某一時點的電子數據與紙質數據核對不一致的情況時有發生,其中不少都是舞弊行為。為避免“假賬真查”,審計人員首先要對被審計單位的財務信息系統、業務信息系統等進行審計。而目前我國在這方面的審計尚不到位,更多地體現在對數據的關注,對信息系統安全性關注相對較少。
(三)數據審計技術與方法運用的局限性
目前,被審計單位采用的會計信息系統、項目管理信息系統五花八門,對審計人員來講,從被審計單位獲取電子數據、并按照審計要求,快速確定跟蹤審計點,可以達到事半功倍的效果。實現對電子數據中審計線索的篩查、跟蹤是關鍵技術,并且要選擇對工程質量、投資、進度影響較大,且事后不能審計或審計難度較大的內容進行跟蹤審計。而目前審計人員面對被審計單位復雜多樣的信息系統常常是束手無策,無法驗證數據的完整性,無法驗證不同系統獲取數據的可靠性,難以很好地確定跟蹤審計點。
(四)審計人員技術水平欠缺
工程審計涉及的部門多,加之審計人員對專業知識不是很了解,對于工程估價準確性不能得到保證;需要專業人員在建設項目管理、資金管理、概算執行、工程造價控制甚至工程技術等方面具有豐富的審計經驗才能駕輕就熟。同時跟蹤審計涉及及時整改的要求,審計鑒證的意見可能直接影響下一步的工程決策,審計人員介入建設現場、監控招標過程及相關簽證環節,容易代替建設單位的管理職責,間接實現對建設過程中的合同、質量、招標、資金、造價等的管理和控制。
三、大型基礎設施建設項目流程分析
為更好地實施大型基礎設施建設項目審計任務,有必要對大型基礎設施建設項目投資至竣工決算過程中的信息流、數據流進行系統分析(如圖1所示),以更好地確定審計跟蹤的關鍵控制點和審計線索的追蹤。
(一)資金流
在大型基礎設施建設項目審計過程中,常有一些政府或上級投資的項目。這時,項目使用方與投資方之間存在著立項、審批、預算申報及審批、資金撥付等一系列的過程。基礎設施項目審計通常要從立項開始進行全過程審計,跟蹤審計中對內部控制的審計重點可通過這一部分的實施窺得一斑。
(二)信息流
在現代化審計環境中,信息流的傳遞過程是非常關鍵的環節。如圖1所示,大型基礎設施建設項目跟蹤審計涉及到投資方、使用方、施工方、監理方、驗收方、設計方、供應商等多個主體;各個主體均有信息交換,并且信息交換會通過文檔、合同、電子數據等方式保存在各主體。各主體大都實現了財務系統的信息化,業務系統也有采用金算盤、廣聯達等項目管理軟件逐步實現信息化過程。信息化數據在各不同系統中也有勾稽關系。為此,必須清楚了解各信息系統后臺數據存儲方式以及內部控制約束策略的制訂。
四、大型基礎設施建設投資計算機跟蹤審計框架設計
一般意義上的跟蹤審計,只是在數據審計層面實現了部分環節的跟蹤,卻沒有解決信息系統及系統控制方面的跟蹤審計。為了避免盲人摸象式的審計過程,需要建立完善的審計流程及技術體系完善跟蹤審計理論和技術方法。
為了避免多頭管理,統一協調和保障大型基礎設施建設項目審計,有必要建立完善的跟蹤審計策略,從內部控制層面保障系統安全性的實施;為了避免信息系統審計職能的缺失,有必要擴大信息系統審計范圍;為了進一步提高審計人員技術水平,強化信息系統審計技術應用效果,有必要完善數據審計技術、加強跟蹤取證手段。只有從內部控制跟蹤、信息系統跟蹤、數據跟蹤、取證跟蹤四個層面建立審計框架,才能更高效地實現鑒證職能。
(一)內部控制跟蹤審計
建立內部控制的跟蹤審計戰略,從制度審計、系統實施兩個維度進行。
首先,在宏觀管理的制度審計維度上,審計人員要對企業管理制度、內部控制流程進行梳理,將企業組織結構、部門管理權限、人員崗位設計等內容綜合考慮,形成內部控制管理流程圖。重點審計各部門之間的協調管理,明確審計管理設計上的不足及漏洞。
其次,在微觀應用的系統實施維度上,審計人員要對信息流轉進行梳理,畫出企業采用的各種信息系統,明確各系統功能及數據文檔流轉過程,對涉及信息系統的管理人員、各業務崗位職責權限及其功能作用進行分類整理,對系統投入使用之前的角色分配及權限設計進行審計,查找有無權限分配上的不合理,有沒有實現系統對不相容業務的相應控制功能,審計在程序設計環節的控制思想有無得到應用,審計系統開發有無漏洞、有無后門、有無內嵌特別模塊或實現超級管理員權限的內容。
信息系統內部控制的跟蹤審計重點體現在通過日志審計來實現對事件的實時監控和關聯,自動監控策略違反事件、識別并應對違反事件提交合規數據,從而顯示重要IT控制的效果。日志審計需要分析多個系統之間的IT控制,同時對比網絡環境中什么該發生和什么確實在發生之間的認知差距;并且通過對日志顯示的實時安全性事件管理和跟蹤監控,實現對系統內部的身份識別和系統管理監控。并且應該針對使用者、網絡和應用程序事件,審計潛在威脅及快速的回應機制的完整性。通過宏觀的內部控制審計與微觀的系統內部控制審計,可有效地鎖住重大風險領域,有重點、有針對性地進行下一步的跟蹤審計工作,并可協助企業建立嚴格的安全性與規范遵循方案。
(二)信息系統跟蹤審計
為更好地審計電子數據,在內部控制審計基礎上,要對被審計單位的信息系統進行跟蹤審計,以確保對方提供給審計人員的數據真實、合法、有效、完整。信息系統跟蹤審計應采用信息系統審計的一系列標準如ISO27001、COBIT、ITIL等,按照規范化的要求,對信息系統開發、維護、網絡結構、機房環境、災備、IT服務、技術支持、信息資產保護等各方面分別進行跟蹤審計,以獲取被審計單位信息系統不存在重大錯報的合理保證。
(三)數據跟蹤審計
在進行完包含計算機內部控制在內的符合性測試后,要為下一步的實質性測試準備環境,此時需要對被審計單位的數據進行審計。被審計單位的電子數據,首先需要審計人員根據審計需求,對相關數據進行采集、分析、清理、驗證,并與被審計單位提供的數據進行對比分析,以此獲得審計線索。數據跟蹤審計可先執行分析性程序,采用趨勢分析法、比率分析法、結構分析法等對年度數據、行業數據、被審計單位數據進行分類分析,構建系統模型、類別模型和個體模型,采用數據挖掘、多維分析等技術實現對海量數據中審計特征的快速獲取。
(四)計算機跟蹤取證
電子數據的易篡改性、無痕性加大了審計證據的獲取難度。因此,在大型基礎設施建設項目跟蹤審計過程中,更要利用先進的反篡改、反刪除、反修改、反造假技術保證審計證據的安全完整。可利用信息安全檢測軟件、數據恢復軟件、哈希摘要、加密技術等實現對審計證據的獲取和保護。計算機的跟蹤取證技術貫穿大型基建項目跟蹤審計始終。
五、結論
為有效實現對大型基礎設施建設項目的跟蹤審計,對大型建設項目流程進行了初步分析,指出了現階段跟蹤審計中存在的問題,建立了內部控制計算機跟蹤審計、信息系統跟蹤審計、數據跟蹤審計、計算機跟蹤取證四層跟蹤審計框架體系。大型建設項目審計在可以預見的將來,其發展趨勢必然是在全方位的審計監管模式下,利用企業信息化平臺,采用計算機跟蹤審計方法來提高審計效率,提高社會經濟運行的免疫力。
