計(jì)算機(jī)信息處理環(huán)境影響會(huì)計(jì)內(nèi)部控制及其審計(jì)已是不爭(zhēng)的事實(shí)，但目前對(duì)計(jì)算機(jī)信息處理環(huán)境下內(nèi)部控制的內(nèi)容、分類(lèi)以及如何審計(jì)內(nèi)部控制問(wèn)題，概念仍然不十分清晰，不少控制措施以及審計(jì)方法嚴(yán)重脫離實(shí)際，許多問(wèn)題還有待研究。

　　一、對(duì)計(jì)算機(jī)會(huì)計(jì)內(nèi)部控制的再認(rèn)識(shí)

　　西方對(duì)計(jì)算機(jī)會(huì)計(jì)內(nèi)部控制的研究大概始于70年代，美國(guó)執(zhí)業(yè)會(huì)計(jì)師協(xié)會(huì)（AICPA）和EDP審計(jì)人員協(xié)會(huì)從1974年開(kāi)始先后發(fā)表了一系列研究報(bào)告或相關(guān)的審計(jì)準(zhǔn)則，國(guó)際會(huì)計(jì)師聯(lián)合會(huì)（IFAC）也在80年代制訂了幾個(gè)有關(guān)計(jì)算機(jī)審計(jì)的準(zhǔn)則。這些文告或準(zhǔn)則一方面肯定了計(jì)算機(jī)處理對(duì)內(nèi)部控制的影響，強(qiáng)調(diào)加強(qiáng)內(nèi)部控制及其審計(jì)的必要性；另一方面則比較一致地將內(nèi)部控制分為一般控制和應(yīng)用控制兩大類(lèi)，并據(jù)此制定了一套EDP控制標(biāo)準(zhǔn)。

　　我國(guó)財(cái)政部1994年發(fā)布的《會(huì)計(jì)核算軟件基本功能規(guī)范》，集中在輸入、處理、輸出和安全四個(gè)方面對(duì)會(huì)計(jì)軟件提出規(guī)范性要求，實(shí)質(zhì)上涉及的都是內(nèi)部控制的問(wèn)題，即會(huì)計(jì)軟件系統(tǒng)所應(yīng)該實(shí)現(xiàn)的控制。而首次涉及計(jì)算機(jī)會(huì)計(jì)系統(tǒng)內(nèi)部控制的審計(jì)法規(guī)則是1999年7月1日生效的《獨(dú)立審計(jì)具體準(zhǔn)則第20號(hào)-計(jì)算機(jī)信息系統(tǒng)環(huán)境下的審計(jì)》。

　　顯然世界各國(guó)審計(jì)機(jī)關(guān)對(duì)計(jì)算機(jī)處理環(huán)境的內(nèi)部控制問(wèn)題都有相當(dāng)?shù)闹匾暎M(jìn)行了非常深入的研究。既肯定了計(jì)算機(jī)處理環(huán)境對(duì)內(nèi)部控制的影響，又研究了加強(qiáng)控制的措施，還探討了審計(jì)內(nèi)部控制的方法。但是，事物總是發(fā)展的，隨著計(jì)算機(jī)技術(shù)的日新月異，尤其是電子商務(wù)和網(wǎng)絡(luò)財(cái)務(wù)的出現(xiàn)，前述的這些研究已經(jīng)顯得蒼白。我們認(rèn)為，當(dāng)前對(duì)內(nèi)部控制的研究存在三個(gè)問(wèn)題：一是對(duì)廣域網(wǎng)絡(luò)環(huán)境下會(huì)計(jì)系統(tǒng)的內(nèi)部控制缺乏研究，二是對(duì)內(nèi)部控制的分類(lèi)欠科學(xué)，三是不少控制措施以及對(duì)內(nèi)部控制的符合性測(cè)試方法脫離實(shí)際。下面將就這些問(wèn)題展開(kāi)討論。

　　二、網(wǎng)絡(luò)會(huì)計(jì)給內(nèi)部控制提出了新課題

　　網(wǎng)絡(luò)財(cái)務(wù)戰(zhàn)略一經(jīng)提出就獲得社會(huì)的普遍認(rèn)同，成為業(yè)界關(guān)注的焦點(diǎn)，引發(fā)人們對(duì)網(wǎng)絡(luò)環(huán)境下財(cái)務(wù)與企業(yè)管理的思考。網(wǎng)絡(luò)財(cái)務(wù)的最閃光之處是通過(guò)Internet實(shí)現(xiàn)多種遠(yuǎn)程處理和支持電子商務(wù)，而這恰恰給會(huì)計(jì)內(nèi)部控制出了難題。

　　我們知道，電子商務(wù)和遠(yuǎn)程處理必然要求會(huì)計(jì)系統(tǒng)的進(jìn)一步開(kāi)放與數(shù)據(jù)共享，而開(kāi)放與共享將增加安全控制的難度，信息安全、資金安全都將成為內(nèi)部控制的焦點(diǎn)。安全威脅既來(lái)自企業(yè)內(nèi)部工作漫不經(jīng)心的員工，也來(lái)自心懷不滿的職員、外部黑客以及競(jìng)爭(zhēng)對(duì)手。因?yàn)榫W(wǎng)上交易公開(kāi)化程度較高，操作人員和信息使用者干預(yù)系統(tǒng)的機(jī)會(huì)增大，再加上使用的是公用通訊線路，系統(tǒng)面臨的安全隱患也必然增多，從而增大企業(yè)經(jīng)營(yíng)的風(fēng)險(xiǎn)。例如，不法之徒可能利用網(wǎng)絡(luò)及安全管理的漏洞窺探用戶口令或電子賬號(hào)，冒充合法用戶作案，篡改數(shù)據(jù)庫(kù)內(nèi)容以竊取資產(chǎn)；利用網(wǎng)絡(luò)遠(yuǎn)距離竊取企業(yè)的商業(yè)秘密以換取錢(qián)財(cái)，或利用網(wǎng)絡(luò)傳播計(jì)算機(jī)病毒以破壞會(huì)計(jì)信息系統(tǒng)，甚至摧毀網(wǎng)絡(luò)節(jié)點(diǎn)；此外，由于電子商務(wù)處理經(jīng)濟(jì)業(yè)務(wù)的原始記錄以電子憑證的方式存在和傳遞，不法之徒通過(guò)改變電子貨幣賬單、銀行結(jié)算單等，就有可能轉(zhuǎn)移財(cái)產(chǎn)的所有權(quán)。

　　有鑒于此，網(wǎng)絡(luò)財(cái)務(wù)必須實(shí)現(xiàn)以下控制目標(biāo)：

　　1、對(duì)遠(yuǎn)程操作的控制，即實(shí)現(xiàn)對(duì)遠(yuǎn)程記賬、報(bào)賬、查賬、制表、審計(jì)以及網(wǎng)上報(bào)稅等操作的安全控制。

　　2、對(duì)網(wǎng)上支付的控制，即保證支付信息的機(jī)密、支付過(guò)程的完整、交易雙方的合法身份以及互操作性，實(shí)現(xiàn)安全支付。

　　3、對(duì)電子憑證的控制，即控制電子憑證的正確收發(fā)、真?zhèn)未_認(rèn)、安全傳遞和格式轉(zhuǎn)換等問(wèn)題。

　　以上控制既涉及技術(shù)層面，也涉及政府立法和企業(yè)內(nèi)部的制度建設(shè)。在技術(shù)上要采用公開(kāi)密匙加密、電子數(shù)字簽名、電子信封、電子證書(shū)等技術(shù)，加強(qiáng)對(duì)網(wǎng)上輸入、輸出和傳輸信息的合法性、正確性控制，在企業(yè)內(nèi)部網(wǎng)與外部公共網(wǎng)之間建立防火墻，對(duì)外部訪問(wèn)實(shí)行多層認(rèn)證。在法律上建立電子商務(wù)法律法規(guī)，規(guī)范網(wǎng)上交易、支付、核算行為，并制定網(wǎng)絡(luò)財(cái)務(wù)準(zhǔn)則和相應(yīng)的內(nèi)部控制制度。沒(méi)有網(wǎng)絡(luò)安全，就沒(méi)有網(wǎng)絡(luò)財(cái)務(wù)。

　　三、關(guān)于內(nèi)部控制的分類(lèi)

　　美國(guó)執(zhí)業(yè)會(huì)計(jì)師協(xié)會(huì)第3號(hào)《審計(jì)準(zhǔn)則公告》、《國(guó)際審計(jì)準(zhǔn)則》第20號(hào)以及我國(guó)《獨(dú)立審計(jì)具體準(zhǔn)則第20號(hào)》，都把計(jì)算機(jī)會(huì)計(jì)內(nèi)部控制分為一般控制（General controls）和應(yīng)用控制（Application controls）兩大類(lèi)，并將前者定義為：（1）電子數(shù)據(jù)處理的組織和操作的計(jì)劃；（2）對(duì)系統(tǒng)或程序的設(shè)計(jì)、開(kāi)發(fā)和變動(dòng)的記錄、審核、測(cè)試和批準(zhǔn)；（3）由制造商在設(shè)備內(nèi)部所設(shè)置的控制；（4）對(duì)接觸設(shè)備和數(shù)據(jù)文件的控制；（5）對(duì)系統(tǒng)的運(yùn)行有影響的其他數(shù)據(jù)和指令程序的控制。公告把應(yīng)用控制定義為輸入控制、數(shù)據(jù)處理控制和輸出控制。

　　但是，我們認(rèn)為這種分類(lèi)方法從其名稱(chēng)和內(nèi)涵來(lái)看，都有值得商榷的地方。

　　1、定義缺乏邏輯性

　　分類(lèi)是一種手段，目的是便于人們對(duì)事物的理解或認(rèn)識(shí)，但這種分類(lèi)方法并未達(dá)到這個(gè)目的。首先從其名稱(chēng)來(lái)看，分類(lèi)標(biāo)準(zhǔn)不明確，甚至可以說(shuō)用的不是同一個(gè)標(biāo)準(zhǔn)。因?yàn)槿藗兺?xí)慣于將“一般”來(lái)區(qū)別“特殊”，而將“應(yīng)用”與“基礎(chǔ)”、“理論”或“系統(tǒng)”等概念相對(duì)應(yīng)。所以將問(wèn)題分為“一般”和“應(yīng)用”在邏輯上是不清晰的，實(shí)際上不少問(wèn)題既是“一般”問(wèn)題，又屬“應(yīng)用”范疇。

　　2、兩類(lèi)控制的內(nèi)涵不明

　　分類(lèi)標(biāo)準(zhǔn)的模糊性帶來(lái)控制內(nèi)涵不明，到底哪些方面的控制屬于一般控制，哪些屬于應(yīng)用控制，人們只能根據(jù)強(qiáng)加于人的“定義”來(lái)理解。兩類(lèi)控制常常交叉，例如數(shù)據(jù)輸入既因涉及輸入而屬于應(yīng)用控制，又因涉及組織和操作而屬于一般控制的范疇。又如，對(duì)輸出資料的保管、操作權(quán)限的識(shí)別這樣一些控制措施，到底屬于一般控制還是屬于應(yīng)用控制，人們從字面上就很難區(qū)別。此外有些文獻(xiàn)還把對(duì)經(jīng)濟(jì)業(yè)務(wù)的完整性、有效性、合理性的審查和控制，作為數(shù)據(jù)處理控制的內(nèi)容，使控制措施的歸屬變得更為含混不清。

　　3、企業(yè)控制的任務(wù)不明確

　　這種分類(lèi)方法混淆了執(zhí)行控制的主體，即兩類(lèi)控制中人們難以明確哪些是企業(yè)應(yīng)該做的，哪些是軟件開(kāi)發(fā)商的責(zé)任。我們知道在手工會(huì)計(jì)中內(nèi)部控制都是通過(guò)人來(lái)執(zhí)行的，但在計(jì)算機(jī)會(huì)計(jì)中除了人這個(gè)執(zhí)行控制的主體之外，許多內(nèi)部控制方法卻要通過(guò)計(jì)算機(jī)系統(tǒng)尤其是會(huì)計(jì)軟件才能實(shí)現(xiàn)。例如，應(yīng)用控制中的輸入控制，既包括了用規(guī)章制度約束操作人員以保證輸入數(shù)據(jù)的正確，又要靠系統(tǒng)自身的容錯(cuò)功能來(lái)識(shí)別和糾正輸入數(shù)據(jù)的錯(cuò)誤，前者是制度問(wèn)題而后者則是計(jì)算機(jī)程序問(wèn)題。在輸出控制中也存在類(lèi)似的問(wèn)題，對(duì)輸出的權(quán)限和完整控制應(yīng)該是軟件系統(tǒng)的責(zé)任，而輸出資料的確認(rèn)和保管則是會(huì)計(jì)人員的責(zé)任。

　　我們認(rèn)為內(nèi)部控制的分類(lèi)既要概念清晰，又要區(qū)分控制的主體，以便明確責(zé)任，為此，建議將內(nèi)部控制分為管理制度控制和程序系統(tǒng)控制兩大類(lèi)。其中程序系統(tǒng)指計(jì)算機(jī)軟硬件系統(tǒng)，主要是網(wǎng)絡(luò)系統(tǒng)和會(huì)計(jì)軟件。程序系統(tǒng)控制主要是靠軟件本身功能來(lái)實(shí)現(xiàn)的內(nèi)部控制機(jī)制，以實(shí)現(xiàn)系統(tǒng)的自我保護(hù)，主要包括數(shù)據(jù)輸入、內(nèi)部處理、信息輸出、數(shù)據(jù)傳輸和系統(tǒng)安全保護(hù)控制。程序系統(tǒng)控制的責(zé)任者是軟件開(kāi)發(fā)部門(mén)，用戶不應(yīng)負(fù)有責(zé)任。而管理制度控制一般是以管理制度的形式實(shí)行的，主要包括組織、操作、維護(hù)和資料保管等方面。我們也可以進(jìn)一步將管理制度控制分為環(huán)境控制（或基礎(chǔ)控制）和操作控制（或應(yīng)用控制）兩類(lèi)，組織、維護(hù)和資料保管都屬于環(huán)境控制的范疇。顯然制度的制訂和執(zhí)行與計(jì)算機(jī)程序系統(tǒng)無(wú)關(guān)，而是會(huì)計(jì)軟件使用單位的責(zé)任。這種分類(lèi)法的優(yōu)點(diǎn)是分類(lèi)標(biāo)準(zhǔn)明確，容易理解，而且實(shí)現(xiàn)控制的措施和控制的主體是一致的，責(zé)任分明，企業(yè)方面容易清楚自己應(yīng)該怎么辦。

　　四、關(guān)于內(nèi)部控制措施及審計(jì)

　　我們接觸到的幾乎所有教科書(shū)或文獻(xiàn)，不僅將內(nèi)部控制分為一般控制和應(yīng)用控制，而且演繹和解釋具體控制措施以及內(nèi)部控制的審計(jì)方法時(shí)往往脫離實(shí)際，形式繁瑣，又不突出控制重點(diǎn)，主要存在以下問(wèn)題：

　　1、無(wú)法實(shí)現(xiàn)或不合理的控制措施

　　在對(duì)內(nèi)部控制措施的羅列中，有許多是無(wú)法實(shí)現(xiàn)或者是不合理的要求。例如，要求在會(huì)計(jì)軟件中“安裝一個(gè)聯(lián)機(jī)審機(jī)控制器，用來(lái)收集審計(jì)人員感興趣的資料”，要求在程序中設(shè)置斷點(diǎn)以控制“主文件金額數(shù)、記錄計(jì)數(shù)、前一程序指令序號(hào)”，“每一個(gè)操作運(yùn)行結(jié)束后應(yīng)有一份打印輸出”，通過(guò)使用“雙重運(yùn)算、逆運(yùn)算法”檢查錯(cuò)誤等等，都是不合理的甚至根本就無(wú)法實(shí)現(xiàn)的措施。又如對(duì)會(huì)計(jì)軟件系統(tǒng)的開(kāi)發(fā)控制和審計(jì)是否合理，也是值得商榷的。

　　2、無(wú)需過(guò)問(wèn)的控制措施

　　有許多控制措施是計(jì)算機(jī)系統(tǒng)的最基本的功能，并非為會(huì)計(jì)所設(shè)置，審計(jì)人員是無(wú)需過(guò)問(wèn)的。例如，硬件的冗余檢驗(yàn)、奇偶校驗(yàn)、回聲檢驗(yàn)，操作系統(tǒng)的錯(cuò)誤處置、程序保護(hù)、文件保護(hù)，這些控制都是計(jì)算機(jī)系統(tǒng)所必備的功能，不應(yīng)該將它們納入會(huì)計(jì)內(nèi)部控制的范疇，也不應(yīng)該成為審計(jì)的內(nèi)容。其實(shí)對(duì)許多系統(tǒng)保護(hù)措施審計(jì)人員也無(wú)從了解，更談不上審計(jì)。

　　3、對(duì)內(nèi)部控制的審計(jì)內(nèi)容繁瑣

　　許多文獻(xiàn)對(duì)內(nèi)部控制審計(jì)方法的介紹不僅內(nèi)容空洞繁瑣，而且空談許多無(wú)法實(shí)現(xiàn)的審計(jì)方法，嚴(yán)重脫離實(shí)際，使審計(jì)人員不得要領(lǐng)，抓不住審計(jì)的重點(diǎn)。例如，對(duì)系統(tǒng)軟件的測(cè)試是完全沒(méi)有必要的，因?yàn)橄到y(tǒng)軟件一般都比較可靠，而且不會(huì)對(duì)會(huì)計(jì)軟件系統(tǒng)的安全造成威脅。此外，對(duì)會(huì)計(jì)軟件的測(cè)試方法中許多方法從技術(shù)上看是不可行的，從成本效益原則上看也是不合算的。例如，程序流程圖檢驗(yàn)法、程序代碼檢查法都要求審計(jì)人員去閱讀程序代碼以確定會(huì)計(jì)軟件的控制措施是否滿足，這確實(shí)是一種天方夜譚的設(shè)想。又如所謂圖示法要求“利用監(jiān)督程序來(lái)測(cè)定被測(cè)試程序中哪些指令執(zhí)行過(guò)，哪些指令未曾動(dòng)用”，也是很不現(xiàn)實(shí)的方法。

　　鑒于以上原因，我們認(rèn)為當(dāng)前應(yīng)該全面檢討內(nèi)部控制的措施一方面通過(guò)制訂《會(huì)計(jì)軟件基本功能規(guī)范》進(jìn)一步明確會(huì)計(jì)軟件公司的責(zé)任，規(guī)范會(huì)計(jì)軟件產(chǎn)品的程序系統(tǒng)在數(shù)據(jù)輸入、處理、輸出、傳輸和安全保護(hù)的控制功能；另一方面則應(yīng)通過(guò)制訂會(huì)計(jì)基礎(chǔ)工作規(guī)范，明確推行會(huì)計(jì)電算化的單位的控制責(zé)任，規(guī)范必要和切實(shí)可行的控制措施。

　　五、應(yīng)該重視對(duì)內(nèi)部控制的審計(jì)

　　在相當(dāng)長(zhǎng)的時(shí)間里由于人們對(duì)計(jì)算機(jī)會(huì)計(jì)系統(tǒng)比較陌生，內(nèi)部控制措施不明確，審計(jì)方法不得要領(lǐng)，所以審計(jì)人員只得沿用對(duì)手工會(huì)計(jì)的審計(jì)方法，很少能夠?qū)?nèi)部控制進(jìn)行有效的審計(jì)，漏洞較多，不足以確保會(huì)計(jì)系統(tǒng)的安全。因此，提高對(duì)內(nèi)部控制的認(rèn)識(shí)，加強(qiáng)對(duì)其內(nèi)涵和技術(shù)的研究，重視對(duì)內(nèi)部控制的審計(jì)，仍是當(dāng)前會(huì)計(jì)電算化和審計(jì)領(lǐng)域的一個(gè)關(guān)鍵課題。一般情況下審計(jì)人員的責(zé)任主要不是審計(jì)計(jì)算機(jī)和會(huì)計(jì)軟件系統(tǒng)的內(nèi)部控制措施，而是審計(jì)應(yīng)用單位制訂的內(nèi)部控制制度是否健全和真正有效執(zhí)行。計(jì)算機(jī)硬件和系統(tǒng)軟件無(wú)需審計(jì)人員去審計(jì)，而會(huì)計(jì)軟件系統(tǒng)的輸入、處理、輸出和安全控制功能則應(yīng)由專(zhuān)家去評(píng)審。我國(guó)過(guò)去對(duì)會(huì)計(jì)核算軟件的兩級(jí)評(píng)審制度，其實(shí)質(zhì)就是對(duì)會(huì)計(jì)軟件內(nèi)部控制功能的審計(jì)。