CPA-审计-第五章 信息技术对审计的影响

本章属于非重点章节，考试难度不大，偶尔会在客观题和综合题中进行考核，近几年平均分值1分左右。

第五章 信息技术对审计的影响

• 本章考情分析
  • 本章属于非重点章节，考试难度不大，偶尔会在客观题和综合题中进行考核，近几年平均分值1分左右。
  • 2020年考核了单选题。
• 第一节　信息技术对企业财务报告和内部控制的影响
  • 一、信息技术的概念
    • 广义
      • 凡是能扩展人类信息功能的技术，都是信息技术。
    • 狭义
      • 信息技术是指利用电子计算机和现代通信手段实现获取信息、传递信息、存储信息、处理信息、显示信息、分配信息等的相关技术。
  • 二、信息技术对企业财务报告的影响
    • 1.信息系统形成的信息质量影响：（3个方面）
      • （1）企业编制财务报表；
        • 用友
      • （2）管理企业活动；
      • （3）作出适当的管理决策。
    • 2.有效的信息系统实现的功能（5点内容）
      • （1）识别和记录全部经授权的交易；
      • （2）及时、详细记录交易内容，并在财务报告中对全部交易进行适当分类；
      • （3）衡量交易价值，并在财务报告中适当体现相关价值；
      • （4）确定交易发生的期间，并将交易记录在适当的会计期间；
      • （5）将相关交易信息在财务报告中作适当披露。
    • 3.注册会计师在进行财务报表审计时，如果依赖相关信息系统所形成的财务信息和报告作为审计工作的依据，则必须考虑相关信息和报告的质量，而财务报告相关的信息质量是通过交易的录入到输出整个过程中适当的控制来实现的。
      • ★★★★ 必须考虑相关信息和报告的质量
    • 4.注册会计师需要在整个过程中考虑信息的准确性、完整性、授权体系及访问限制等四个方面。
  • 三、信息技术对企业内部控制的影响
    • （一）在信息技术环境下，人工控制与自动控制的关系
      • 1.在信息技术环境下，传统的人工控制越来越多地被自动控制所替代。
      • 2.被审计单位采用信息系统处理业务，并不意味着人工控制被完全取代。
      • 3.信息系统对控制的影响，取决于被审计单位对信息系统的依赖程度。
      • 4.由于被审计单位信息技术的特点及复杂程度不同，被审计单位的手工及自动控制的组合方式往往会有所区别。
    • （二）在信息技术环境下，自动控制能为企业带来以下好处：（共5点）
      • 1.自动控制能够有效处理大流量交易及数据，因为自动信息系统可以提供与业务规则一致的系统处理方法；
        • 京东物流，自动分拣
      • 2.自动控制比较不容易被绕过；
      • 3.自动信息系统、数据库及操作系统的相关安全控制可以实现有效的职责分离；
      • 4.自动信息系统可以提高信息的及时性、准确性，并使信息变得更易获取；
      • 5.自动信息系统可以提高管理层对企业业务活动及相关政策的监督水平。
  • 四、信息技术产生的风险
    • 经营、报告、合规
    • （一）信息技术与内部控制目标
      • 随着信息技术的发展，内部控制虽然在形式及内涵方面发生了变化，但内部控制的目标并没有发生改变，即：（3方面）
      • 1.提高管理层决策制定的效果和业务流程的效率；（经营）
      • 2.提高会计信息的可靠性；（报告）
      • 3.促进企业遵守法律和法规。（合规）
    • （二）信息技术产生的特定风险（共4点）
      • 1.信息系统或相关系统程序可能会对数据进行错误处理，也可能会去处理那些本身就错误的数据；
      • 2.自动信息系统、数据库及操作系统的相关安全控制如果无效，会增加对数据信息非授权访问的风险。
        • 银行卡被盗刷
      • 3.数据丢失风险或数据无法访问风险，如系统瘫痪；
      • 4.不适当的人工干预，或人为绕过自动控制。
  • 五、注册会计师在信息化环境下面临的挑战（8个方面）
    • 1.对业务流程开展和内部控制运作的理解。
    • 2.对信息系统相关审计风险的认识。
    • 3.审计范围的确定。
    • 4.审计内容的变化。
    • 5.审计线索的隐性化。
    • 6.审计技术改进的必要性。
    • 7.有待优化的知识结构。
    • 8.与专业团队的充分协同工作。
• 第二节　信息技术中的一般控制和应用控制测试
  • 对于自动控制，需要从信息技术一般控制审计、信息技术应用控制审计以及公司层面信息技术控制审计三方面进行考虑。
    • 一般控制
      • 宏观
        • win10
        • win7
    • 应用控制
      • 微观
        • word
        • Excel
    • 公司层面
      • 超宏观
        • 温度
        • 湿度
  • 一、信息技术一般控制
    • 操作系统
    • 含义
      • 信息技术一般控制：是指为了保证信息系统的安全，对整个信息系统以及外部各种环境要素实施的、对所有的应用或控制模块具有普遍影响的控制措施。
        • 所有的应用或控制模块
        • 所有的
    • 相关内容
      • 1.信息技术一般控制通常会对实现部分或全部财务报表认定作出间接贡献。
        • 通常
        • 间接贡献
      • 2.在有些情况下，信息技术一般控制也可能对实现信息处理目标和财务报表认定作出直接贡献（原因：确保了应用系统控制和依赖计算机处理的自动会计程序得以持续有效地运行）。
        • 偶尔
        • 直接贡献
      • 3.如果注册会计师计划依赖自动应用控制、自动会计程序、或依赖系统生成信息的控制，他们就需要对相关的信息技术一般控制进行测试。
        • 进行测试
      • 4.信息技术一般控制包括：程序开发、程序变更、程序和数据访问以及计算机运行四个方面。
    • 【补充例题•单选题】（2018年）
      • 下列有关信息技术一般控制的说法中，错误的是（　　）。
      • A.信息技术一般控制只能对实现部分或全部财务报表认定作出间接贡献
      • B.信息技术一般控制对所有应用控制具有普遍影响
      • C.信息技术一般控制包括程序开发、程序变更、程序和数据访问以及计算机运行四个方面
      • D.信息技术一般控制旨在保证信息系统的安全
  • 二、信息技术应用控制
    • 了解和测试
    • 1.信息技术应用控制一般要经过输入、处理及输出等环节。
    • 2.和人工控制类似，系统自动控制关注的要素包括：完整性（系统处理数据的完整性）、准确性（系统运算逻辑的准确性）、存在和发生（信息系统相关的逻辑校验控制）等。
    • 【补充例题•单选题】（2012年）
      • 下列情形中，注册会计师应当测试信息技术一般控制和信息技术应用控制的是（　　）。
      • A.不信赖人工控制或自动化控制，采用实质性方案
      • B.仅信赖人工控制，此类人工控制不依赖系统所生成的信息或报告
      • C.仅信赖人工控制，此类人工控制依赖系统所生成的信息或报告，注册会计师通过实质性程序测试系统生成的信息或报告
      • D.信赖自动化控制
    • 【补充例题•综合题】（2015年）
      • 甲公司是ABC会计师事务所的常年审计客户，A注册会计师负责审计甲公司2014年度财务报表。
      • 资料三：
        • A注册会计师在审计工作底稿中记录了审计计划，部分内容摘录如下：
        • （1）2014年，甲公司使用新的存货管理系统，A注册会计师拟信赖与存货相关的自动化应用控制，确定信息系统审计的范围为：了解和评估系统环境和信息技术一般控制，测试自动化应用控制。
      • 要求：
        • 针对资料三第（1）项，假定不考虑其他条件，指出资料三所列审计计划是否恰当，如不恰当，简要说明理由。
      • 【答案】
        • （1） 否
          • 对拟信赖的存货管理系统，注册会计师仅了解了系统的一般控制，没有了解系统的应用控制；仅测试了系统的自动化应用控制，没有测试系统的一般控制
    • 知识点
      • 了解内控
        • 信息技术系统
      • 1.了解/评估
        • 一般控制/应用控制
          • 必须做的
      • 2.测试
        • 一般控制/应用控制
          • 了解两个，测试两个
      • 以前年度控制好，控制本身没有变化
        • <有可能>本期只测试一般控制
  • 三、公司层面信息技术控制（包括但不限于）
    • 1.信息技术规划的制定；
    • 2.信息技术年度计划的制定；
    • 3.信息技术内部审计机制的建立；
    • 4.信息技术外包管理；
    • 5.信息技术预算管理；
    • 6.信息安全和风险管理；
    • 7.信息技术应急预案的制定；
    • 8.信息系统架构和信息技术复杂性。
  • 四、信息技术一般控制、应用控制与公司层面控制三者之间的关系
    • 1.公司层面信息技术控制是公司信息技术整体控制环境，决定了信息技术一般控制和信息技术应用控制的风险基调；（审计顺序：先公司层面，再一般控制和应用控制）
      • ★★ 先公司层面
    • 2.信息技术一般控制是基础，信息技术一般控制的有效与否会直接关系到信息技术应用控制的有效性是否能够信任。
      • ★★ 一般控制是基础
• 第三节　信息技术对审计过程的影响
  • 一、信息技术对审计的影响
    • （一）总体原则
      • 1.信息技术在企业中的应用并不改变注册会计师：a.制定审计目标、b.进行风险评估和c.了解内部控制的原则性要求，d.审计准则和财务报告审计目标在所有情况下都适用。（未改变）
        • 审计目标
          • 总体目标
            • 发表意见
            • 报告+沟通
          • 具体目标
            • <引申自>认定
        • 进行风险评估
        • 不改变
      • 2.系统的设计和运行对：a.审计风险的评价、b.业务流程和控制的了解、c.审计工作的执行以及d.需要收集的证据的性质都有着直接的影响。（改变）
        • 改变
          • 审计风险的评价
          • 信息系统本身的风险
          • 具体操作
      • 【补充例题•单选题】（2020年）
        • 下列各项中，不受被审计单位信息系统的设计和运行直接影响的是（　　）。
        • A.审计风险的评估
        • B.注册会计师对被审计单位业务流程的了解
        • C.需要收集的审计证据的性质
        • D.财务报表审计目标的制定
    • （二）信息技术对审计过程的影响主要体现在以下五个方面：
      • 1.对审计线索的影响（手工：凭证、账簿、报表；信息技术：数据的存储介质、存取方式以及处理程序等）
      • 2.对审计技术手段的影响
      • 3.对内部控制的影响（形式和内涵发生了变化，而内部控制的目标没有变化）
        • 经营
        • 报告
        • 合规
      • 4.对审计内容的影响（多了两项：a.信息化系统的处理和b.相关控制功能的审查）
      • 5.对注册会计师的影响（复合型人才）
      • 【补充例题•单选题】（2019年）
        • 下列有关信息技术对审计的影响的说法中，错误的是（　　）。
        • A.被审计单位对信息技术的运用不改变注册会计师制定审计目标，进行风险评估和了解内部控制的原则性要求
        • B.被审计单位对信息技术的运用影响注册会计师需要获取的审计证据的性质
        • C.被审计单位对信息技术的运用影响审计内容
        • D.被审计单位对信息技术的运用不影响注册会计师需要获取的审计证据的数量
  • 二、信息技术审计范围的确定
    • 1.如果注册会计师计划依赖自动控制或自动信息系统生成的信息，那么他们就需要适当扩大信息技术审计的范围。
      • ★★★★
      • 人工控制该做什么做什么
      • 对信息系统还需要进行测试
    • 2.注册会计师在确定审计策略时，需要结合以下方面对信息技术审计范围进行适当考虑：（5个方面：客观题）
      • 客观题
      • ★★★★
      • （1）被审计单位业务流程复杂度；
      • （2）信息系统复杂度；
      • （3）系统生成的交易数量和业务对于系统的依赖程度；
      • （4）信息和复杂计算的数量；
      • （5）信息技术环境规模和复杂度等。
      • 记下来、背下来
    • 3.信息技术审计的范围与被审计单位在业务流程及信息系统相关方面的复杂度成正比，在具体评估复杂度时，可以从以下三个方面予以考虑：
      • 成正比
      • （1）评估业务流程的复杂度（比如销售流程、薪酬流程、采购流程等）
      • （2）评估信息系统的复杂度
        • 软件类型
          • 评价复杂度时应考虑的因素
        • 1.商业软件
          • ①系统复杂程度；
          • ②市场份额；
          • ③系统实施和运行所需的参数设置范围；
          • ④客制化程度。
        • 2.自行研发系统
          • ①系统复杂程度；
          • ②距离上一次系统架构重大变更的时间；
          • ③系统变更对财务系统的影响结果以及系统变更之后的运行情况及运行期间。
      • （3）信息技术环境的规模和复杂度（4句话）
        • ★★★★
        • ★★★★
        • ①信息技术环境复杂并不一定意味着信息系统是复杂的，反之亦然。
          • ★★
          • 安个摄像头可以解决
        • ②如果注册会计师计划依赖系统自动控制，或依赖以自动系统生成信息为基础的人工控制或业务流程审阅结果，那么注册会计师也同样需要对信息技术相关控制进行评估。
        • ③在信息技术环境下，审计工作与对系统的依赖程度是直接关联的，注册会计师需要全面考虑其关联关系，从而可以准确定义相关的信息系统审计范围。
        • ④无论被审计单位运用信息技术的程度如何，注册会计师均需了解与审计相关的信息技术一般控制和应用控制。
          • 了解是必须的
          • 因为信息系统属于内控的重要组成不笨
          • 了解内控是必须的，所以了解信息技术也是必须的
      • 【补充例题•单选题】（2016年）
        • 下列有关注册会计师评估被审计单位信息系统的复杂度的说法中，错误的是（　　）。
        • A.信息技术环境复杂，意味着信息系统也是复杂的
        • B.评估信息系统的复杂度，需要考虑系统生成的交易数量
        • C.评估信息系统的复杂度，需要考虑系统中进行的复杂计算的数量
        • D.对信息系统复杂度的评估，受被审计单位所使用的系统类型的影响
  • 三、信息技术一般控制对控制风险的影响（4句话）
    • 1.信息技术一般控制对应用控制的有效性具有普遍性影响。
    • 2.无效的一般控制增加了应用控制不能防止或发现并纠正认定层次重大错报的可能性，即使这些应用控制本身得到了有效设计。
    • 3.如果一般控制有效，注册会计师可以更多地信赖应用控制，测试这些控制的运行有效性，并将控制风险评估为低于“最高”水平。
    • 4.考虑到公司层面信息技术控制是公司的整体控制环境，决定了信息技术的风险基准，因此，注册会计师通常优先评估公司层面信息技术控制和信息技术一般控制的有效性。（先公司层面、再一般控制、最后应用控制）
  • 四、信息技术应用控制对控制风险和实质性程序的影响
    • 如果针对某一具体审计目标，注册会计师能够识别出有效的应用控制，在通过测试确定其运行有效后，注册会计师能够减少实质性程序。
      • 能够减少实质性程序
  • 五、在不太复杂IT环境下的审计——绕过计算机进行审计
    • 需要
      • 了解信息技术一般控制和应用控制
        • 了解
    • 不需要
      • 不测试其运行有效性，即不依赖其降低评估的控制风险水平，更多的审计工作将依赖非信息技术类审计方法。
        • 不测试
  • 六、在较为复杂IT环境下的审计——穿过计算机进行审计
    • 注册会计师更可能需要更多运用各项审计技术和审计工具开展具体的审计工作。
• 第四节　计算机辅助审计技术和电子表格的运用
  • 一、计算机辅助审计技术
    • （一）计算机辅助审计技术的定义
      • 含义
        • 是指利用计算机和相关软件，使审计测试工作实现自动化的技术。
      • 分类
        • 面向系统（测试程序/系统）
          • 平行模拟法、测试数据法、嵌入审计模块法、程序编码审查、程序代码比较和跟踪、快照等方法。
        • 面向数据（分析电子数据）
          • 数据查询、账表分析、审计抽样、统计分析、数值分析等方法。
    • （二）计算机辅助审计技术的应用
      • ★★★★
      • 1.用于实质性程序（最广泛），特别是在与分析程序相关的方面。（用于在交易样本量很大的情况下替代手工测试）
        • 每月一万笔交易
      • 2.用于测试控制的有效性（可以对每一笔交易进行测试，从而确定是否存在控制失效的情况）
        • 没一笔交易进行测试
      • 3.用于辅助对舞弊的检查工作（如：审计非正常的日记账）
    • （三）计算机辅助审计工具：通用类、数据库类、专业工具类
  • 二、电子表格
    • 定义
      • 电子表格：是指利用计算机作为表格处理工具，以实现制表工具、计算工具以及表格结果保存的综合电子化的软件。目前普遍使用的电子表格通常包括excel等软件。
    • 面临的风险
      • 因为电子表格非常容易被修改，并可能缺少控制活动，因此，电子表格往往面临重大的固有风险和错误，比如：
      • 1.输入错误：由错误数据录入、错误引用或其它简单的剪贴功能造成的错误；
      • 2.逻辑错误：创建错误的公式从而生成了错误的结果；
      • 3.接口错误：与其他系统传输数据时产生的错误；
      • 4.其他错误：单元格范围定义不当、单元格参考错误或电子表格链接不当。
• 第五节　数据分析
  • 含义
    • 数据分析：是注册会计师获取审计证据的一种手段，是指注册会计师在计划和执行审计工作时，通过对内部或外部数据进行分析、建模或可视化处理，以发现其中隐藏的模式、偏差或不一致，从而揭示出对审计有用的信息的方法。
      • 分析
      • 建模
      • 可视化处理
  • 作用及其应用
    • 1.数据分析是通过基础数据结构中的字段来提取数据，而不是通过数据记录的格式；
      • 字段
    • 2.分析质量的提高程度取决于以正确方式提取、分析和连接的基础数据；
    • 3.数据分析工具可用于风险分析、交易和控制测试、分析性程序，用于为判断提供支撑并提供见解。
    • 4.一些常规分析工具可以提供审计证据，为会计估计的计算方法是否适当的判断提供支持。
      • 如：账龄分析
    • 5.数据分析工具可以提高审计质量。审计质量不在于工具本身，而是在于分析和相应判断的质量。
      • 不在工具
      • 在于分析和判断的质量
• 第六节　不同信息技术环境下的问题
  • 不同环境
    • 1.网络环境（使用局域网或互联网）
      • 用于处理交易的应用软件和数据文件可能分布于不同位置但互相连接的计算机设备上，由此产生了与内部控制相关的问题。
    • 2.数据库管理系统
      • 数据库管理系统带来了与内部控制相关的问题，包括多重使用者能够访问和修改共享数据的风险。因此，需要实施严格的数据库管理和接触控制，以及数据安全备份制度。
    • 3.电子商务系统
      • （1）交易信息在网上传输，容易被拦截、篡改或不当获取，需要采取相应的安全控制。
      • （2）被审计单位的会计信息系统可能与交易对方的系统相连接，产生了相互依赖的风险。
    • 4.外包安排
      • 1.注册会计师应当实施与服务机构活动相关的下列程序：
        • （1）了解服务机构中与内部控制相关的控制以及针对服务机构活动所实施的控制；
        • （2）获取相关控制运行有效性的证据。
      • 2.注册会计师可通过以下程序获取相关控制运行有效性的证据，包括：
        • （1）了解服务机构注册会计师对服务机构内部控制有效性出具的报告或与控制测试相关的商定程序报告；
        • （2）测试被审计单位对服务机构活动的控制；
        • （3）对服务机构实施控制测试。
      • 3.如果可以获取服务机构注册会计师对服务机构内部控制有效性出具的报告，注册会计师应当评价该报告是否提供了充分、适当的审计证据，以支持注册会计师的意见。
        • 评价报告是否充分试单
      • 在评价时，注册会计师可能考虑下列因素：
        • （1）对控制的测试涵盖的期间及其与管理层评估时间点的关系；
        • （2）对控制的测试涵盖的范围、测试的控制及其与企业控制的关联度；
        • （3）对控制的测试结果，以及服务机构注册会计师对控制运行有效性发表的意见。
        • 评价时
          • 期间
          • 范围
          • 控制
          • 结果
• 本章小结
  • 1.信息技术的概念；
  • 2.信息技术对企业财务报告和内部控制的影响（好处、风险）；
    • 内部控制
      • 内涵和形式改变
      • 目标没有改变
        • 经营
        • 报告
        • 合规
  • 3.注册会计师在信息化环境下面临的挑战（8点）；
  • 4.信息技术公司层面控制、一般控制、应用控制之间的关系；
    • 公司层面
      • 风险基调
    • 一般控制
      • 对应用控制普遍影响
    • 应用控制
  • 5.计算机辅助审计技术的含义及应用；
  • 6.数据分析的含义及应用；
  • 7.不同信息技术环境下的问题。
• 锲而舍之，朽木不折；锲而不舍，金石可镂。