國(guó)際上普遍被采用的ERP系統(tǒng)軟件有SAP、Baan、JDE、Oracle、PeopleSoft、QAD等。盡管國(guó)內(nèi)外各ERP軟件產(chǎn)品在適用企業(yè)規(guī)模、軟件功能、技術(shù)架構(gòu)等方面不盡相同,但它們對(duì)于ERP核心業(yè)務(wù)的功能基本相同,包括:財(cái)務(wù)會(huì)計(jì)、管理會(huì)計(jì)、銷售、采購(gòu)、庫(kù)存管理、物流管理、生產(chǎn)計(jì)劃、設(shè)備管理。一個(gè)典型的ERP系統(tǒng)除了上述功能外,通常還包括項(xiàng)目管理、投資管理、資金管理等輔助功能。ERP系統(tǒng)的應(yīng)用,使得企業(yè)提高了運(yùn)行效率,但同時(shí)又產(chǎn)生了新的審計(jì)風(fēng)險(xiǎn)。
一、ERP系統(tǒng)下的審計(jì)風(fēng)險(xiǎn)
ERP審計(jì)與傳統(tǒng)會(huì)計(jì)審計(jì)相比,其主要的特有風(fēng)險(xiǎn)就在于企業(yè)的ERP系統(tǒng)是否能夠真實(shí)地反映企業(yè)的各項(xiàng)經(jīng)濟(jì)業(yè)務(wù)。
1.固有風(fēng)險(xiǎn)
手工系統(tǒng)中,紙面上的信息易于辨認(rèn)、追溯。而在ERP系統(tǒng)中,由于存儲(chǔ)介質(zhì)的改變,一旦非法用戶透過(guò)計(jì)算機(jī)系統(tǒng)的“防護(hù)墻”,那就極易破壞和修改電子數(shù)據(jù)且不留痕跡;計(jì)算機(jī)病毒、電源故障、操作失誤、數(shù)據(jù)處理錯(cuò)誤和網(wǎng)絡(luò)傳輸錯(cuò)誤也會(huì)造成實(shí)際數(shù)據(jù)和電子賬面數(shù)據(jù)不相符,存在會(huì)計(jì)數(shù)據(jù)被濫用、篡改和丟失的可能,增加了固有的審計(jì)風(fēng)險(xiǎn)。
2.控制風(fēng)險(xiǎn)
在手工條件下,內(nèi)部控制一般表現(xiàn)為對(duì)人的控制,強(qiáng)調(diào)職責(zé)分清,相互牽制,采用的手段主要是利用紙面信息,進(jìn)行手工核對(duì)和檢查,責(zé)任容易明確,結(jié)果也比較直觀。但是在ERP系統(tǒng)中,內(nèi)部控制轉(zhuǎn)變?yōu)閷?duì)人和機(jī)器兩方面的控制,而且主要是對(duì)機(jī)器的控制為主。
ERP系統(tǒng)實(shí)現(xiàn)了從采購(gòu)到付款、訂單的獲取到發(fā)票的開(kāi)出等業(yè)務(wù)集成,實(shí)現(xiàn)了跨職能部門的業(yè)務(wù)處理。在這種情況下,ERP系統(tǒng)中單一的數(shù)據(jù)庫(kù),使過(guò)去跨部門的審批流程得到簡(jiǎn)化和壓縮。壓縮所造成的一個(gè)結(jié)果是,用于企業(yè)內(nèi)部控制的許多審計(jì)線索在ERP系統(tǒng)的引入后消失了。同時(shí),企業(yè)過(guò)去基于文件審批的內(nèi)部控制機(jī)制,也無(wú)法適應(yīng)ERP基于流程的管理需要。更重要的是,由于企業(yè)的業(yè)務(wù)運(yùn)作更加依賴于ERP系統(tǒng),這種依賴和信息系統(tǒng)本身特點(diǎn)所導(dǎo)致的脆弱性,形成了企業(yè)新的業(yè)務(wù)風(fēng)險(xiǎn)。例如,在ERP系統(tǒng)中,通過(guò)對(duì)手工流程的機(jī)器處理,比如審批處理自動(dòng)化等,進(jìn)一步增強(qiáng)了完成各種業(yè)務(wù)流程的效率。但是,在新的業(yè)務(wù)執(zhí)行環(huán)境中,這些審批處理的自動(dòng)化方法將改變企業(yè)內(nèi)部原有的一些風(fēng)險(xiǎn)特征,這時(shí)相應(yīng)的內(nèi)部控制體系就需要重新評(píng)估和設(shè)計(jì)。
(1)電子數(shù)據(jù)存在使審計(jì)線索減少或消失的可能性。傳統(tǒng)會(huì)計(jì)處理的每一步都有文字記錄和經(jīng)手人的簽名,審計(jì)線索清晰。但在ERP系統(tǒng)中,從原始數(shù)據(jù)的錄入到報(bào)表的自動(dòng)生成,幾乎不需要人工干預(yù),傳統(tǒng)的審計(jì)線索不復(fù)存在,為追查審計(jì)線索帶來(lái)了極大的困難。
(2)原始數(shù)據(jù)的錄入存在錯(cuò)漏的可能性。ERP系統(tǒng)下,大量的記賬憑證仍靠人工錄入,如果輸入了錯(cuò)誤的數(shù)據(jù),表面上的機(jī)制憑證、賬簿、報(bào)表還是互相平衡,這就掩蓋了人工錄入的錯(cuò)誤。如果漏輸了數(shù)據(jù),更是無(wú)法察覺(jué)。
(3)有意或無(wú)意使設(shè)置權(quán)限密碼,實(shí)行職責(zé)分工的約束機(jī)制有失效的可能性。在ERP系統(tǒng)中,一是通過(guò)劃分操作員的責(zé)任范圍,設(shè)置權(quán)限和密碼實(shí)現(xiàn)人員分工,二是通過(guò)軟件設(shè)計(jì)劃分若干子系統(tǒng)或功能模塊設(shè)置不同的責(zé)任中心。由于權(quán)限設(shè)置的重疊或跨責(zé)任中心越權(quán)設(shè)置,使這一控制措施有可能形同虛設(shè)。
3.檢查風(fēng)險(xiǎn)
(1)會(huì)計(jì)軟件的更新?lián)Q代,使歷史文件難以提取。對(duì)賬戶或交易的實(shí)質(zhì)性測(cè)試往往離不開(kāi)企業(yè)的歷史數(shù)據(jù),由于軟件版本的更新、平臺(tái)的遷移,難以從往年的賬簿中提取這些歷史數(shù)據(jù),使得審計(jì)不得不從大量的文檔中收集整理歷史數(shù)據(jù)。這不僅降低了審計(jì)效率,而且?guī)?lái)了更多的檢查風(fēng)險(xiǎn)。
(2)內(nèi)部控制主要依賴軟件本身,增加了難以全面檢查測(cè)試的可能性。在ERP系統(tǒng)中,內(nèi)部控制融于軟件中,肉眼無(wú)法察覺(jué),這就需要設(shè)計(jì)測(cè)試數(shù)據(jù)來(lái)測(cè)試軟件的控制能力。而要在有效的時(shí)間內(nèi)設(shè)計(jì)出面面俱到的測(cè)試數(shù)據(jù)是不現(xiàn)實(shí)的,因而增加了檢查風(fēng)險(xiǎn)。
(3)反映經(jīng)濟(jì)業(yè)務(wù)的真實(shí)性。
由于ERP系統(tǒng)中的財(cái)務(wù)(FIS)模塊與其他功能模塊之間信息高度共享,因此企業(yè)各項(xiàng)經(jīng)濟(jì)活動(dòng)所產(chǎn)生的對(duì)企業(yè)財(cái)務(wù)狀況的影響幾乎可以實(shí)時(shí)地得到反映。而系統(tǒng)中如果存在程序錯(cuò)誤,則系統(tǒng)是不可信的,不能正確反映企業(yè)的經(jīng)濟(jì)業(yè)務(wù),使得企業(yè)資產(chǎn)、負(fù)債及損益的核算結(jié)果失真。如不能及時(shí)發(fā)現(xiàn)該類錯(cuò)誤,則將帶來(lái)極大的審計(jì)風(fēng)險(xiǎn)。
二、防范ERP系統(tǒng)下的審計(jì)風(fēng)險(xiǎn)的對(duì)策
為了有效地降低審計(jì)風(fēng)險(xiǎn),實(shí)行無(wú)紙化商業(yè)活動(dòng)以及無(wú)紙化數(shù)據(jù)庫(kù)環(huán)境下的審計(jì),ERP系統(tǒng)審計(jì)將更依賴于對(duì)電子數(shù)據(jù)信息流程的評(píng)價(jià)證據(jù),而不是繞過(guò)計(jì)算機(jī)審計(jì),我們可以采用以下對(duì)策:
1.關(guān)注ERP會(huì)計(jì)信息系統(tǒng)對(duì)檢查方法的影響
(1)檢查線索的改變。檢查線索指在業(yè)務(wù)處理中對(duì)文件更新情況的記錄。它留下的有關(guān)文件的所有操作痕跡,是審計(jì)人員把握每一項(xiàng)會(huì)計(jì)數(shù)據(jù)的來(lái)龍去脈,并進(jìn)一步對(duì)其進(jìn)行審查的有效途徑。在手工方式下,憑證、賬簿和報(bào)表等各種檢查線索,都是嚴(yán)格按照一定的標(biāo)準(zhǔn)填寫與登記的,是可見(jiàn)性的文字和數(shù)字記錄。審計(jì)人員可以從原始憑證開(kāi)始,對(duì)會(huì)計(jì)業(yè)務(wù)進(jìn)行追蹤,一直到會(huì)計(jì)報(bào)表為止(順查法);也可以從最后的會(huì)計(jì)報(bào)表開(kāi)始,追根溯源,一直追溯到原始憑證(逆查法)。在ERP系統(tǒng)中,會(huì)計(jì)數(shù)據(jù)的存儲(chǔ)介質(zhì)和存儲(chǔ)方式發(fā)生了變化,會(huì)計(jì)數(shù)據(jù)的生成方式、傳遞方式也發(fā)生了變化,原有的檢查線索改變了形式或干脆消失了。如聯(lián)機(jī)實(shí)時(shí)系統(tǒng)中許多數(shù)據(jù)來(lái)自外部系統(tǒng)的直接轉(zhuǎn)入,失去了原始的文字記錄。磁性介質(zhì)中存儲(chǔ)的資料必須要借助于一定的計(jì)算機(jī)硬件和軟件才能讀取。磁性介質(zhì)上保存的數(shù)據(jù)可能被篡改而不會(huì)留下痕跡。由于更新頻率快,有些資料還可能是暫存的,很快要被覆蓋掉。同時(shí),很多內(nèi)部的運(yùn)算可能不留痕跡和線索。
(2)會(huì)計(jì)系統(tǒng)內(nèi)部控制的改變。在ERP系統(tǒng)中,內(nèi)部控制的重點(diǎn)由會(huì)計(jì)人員和會(huì)計(jì)業(yè)務(wù)部門轉(zhuǎn)移到電子數(shù)據(jù)處理部門,財(cái)會(huì)人員對(duì)交易活動(dòng)的直接監(jiān)督減少了,原內(nèi)部控制體系難以適應(yīng)這種變化。計(jì)算機(jī)數(shù)據(jù)處理的集中性、連貫性,使大部分職權(quán)分割的控制作用近于消失,數(shù)據(jù)存儲(chǔ)載體的改變及其共享程度的提高,又使手工會(huì)計(jì)中的賬簿控制體系失去原有的作用。在這種情況下,內(nèi)部控制一方面要加強(qiáng),另一方面要采用新的方式。電算化方式下,內(nèi)部控制按實(shí)施環(huán)境可分為一般控制和應(yīng)用控制。一般控制是普遍適用于計(jì)算機(jī)數(shù)據(jù)處理的控制,包括組織控制、操作控制、系統(tǒng)安全控制等。應(yīng)用控制是在運(yùn)用計(jì)算機(jī)進(jìn)行會(huì)計(jì)數(shù)據(jù)處理過(guò)程中所實(shí)施的內(nèi)部控制,包括輸入控制、處理控制及輸出控制。
(3)檢查內(nèi)容的改變。在ERP系統(tǒng)中,因?yàn)橛?jì)算機(jī)處理的一貫性和穩(wěn)定性,大大減少了手工處理下的某些錯(cuò)誤。但如果系統(tǒng)的應(yīng)用程序中存在錯(cuò)誤或被人非法篡改,則會(huì)引起嚴(yán)重問(wèn)題。因此,除了要對(duì)內(nèi)部控制及數(shù)據(jù)文件的檢查外,還要對(duì)計(jì)算機(jī)系統(tǒng)中的程序文件進(jìn)行審查,即對(duì)系統(tǒng)的可靠性進(jìn)行測(cè)試。另外,新的信息技術(shù)的涌現(xiàn)也不斷帶來(lái)新問(wèn)題,針對(duì)這些新的課題,審計(jì)人員也必須研究對(duì)策。
