資質(zhì)認(rèn)證已通過
使用流程挖掘執(zhí)行內(nèi)部控制測(cè)試——可能出錯(cuò)的地方
摘要：根據(jù)薩班斯?-?奧克斯利法案（SOX）第404條，審計(jì)師評(píng)估公司的內(nèi)部控制系統(tǒng)并確定可能出現(xiàn)的問題至關(guān)重要。流程挖掘可以成為幫助審計(jì)人員執(zhí)行內(nèi)部控制測(cè)試的強(qiáng)大工具。此外，存儲(chǔ)在事件日志中的信息還可以提供與相關(guān)管理決策相關(guān)的審計(jì)證據(jù)。
作者：Tiffany Chiu, PhD, Helen L. Brown-Liburd, PhD, CPA (inactive) and Miklos A. Vasarhelyi, PhD
流程挖掘通過自動(dòng)分析公司IT系統(tǒng)中記錄的事件日志，提供了一種收集審計(jì)證據(jù)的新方法。換句話說，公司的業(yè)務(wù)流程和員工所采取的行動(dòng)按時(shí)間順序記錄在事件日志中以供分析。審計(jì)師可以在審計(jì)過程中使用流程挖掘，尤其是在財(cái)務(wù)報(bào)告內(nèi)部控制測(cè)試中使用這種方法。具體而言，我們使用采購到付款周期作為事件日志，來分析如何為審計(jì)人員提供有助于進(jìn)行此類測(cè)試的特別信息的示例。
一、什么是流程挖掘？
流程挖掘使用戶能夠使用事件日志分析公司的業(yè)務(wù)流程。事件日志提供審計(jì)線索，捕獲每個(gè)用戶的操作以及執(zhí)行的每個(gè)業(yè)務(wù)流程。如圖所示圖表1，事件日志包含基本信息，包括流程實(shí)例、活動(dòng)、資源和時(shí)間戳。圖表2顯示使用公司IT系統(tǒng)創(chuàng)建采購訂單的員工的示例事件日志。除了解存儲(chǔ)在事件日志中的信息之外，了解“變量”也很重要。流程挖掘中的變量是一組具有相同路徑的過程實(shí)例。例如，如果流程實(shí)例X和流程實(shí)例Y都具有路徑，則它們將分組到同一變量中。將流程實(shí)例分組為變量允許審計(jì)員觀察事件日志中頻繁且不常見的路徑;然后，他們可以根據(jù)公司的業(yè)務(wù)規(guī)則區(qū)分標(biāo)準(zhǔn)和非標(biāo)準(zhǔn)路徑。
圖表1 存儲(chǔ)在事件日志中的信息
圖表2樣本事件日志
假設(shè)該公司采購到付款路徑的標(biāo)準(zhǔn)程序是“創(chuàng)建采購訂單→簽名→貨物收據(jù)→發(fā)票收據(jù)→發(fā)不→付款”，而非標(biāo)準(zhǔn)的采購到付款路徑是“創(chuàng)建采購訂單→貨物收據(jù)→發(fā)票收據(jù)→發(fā)布→付款→簽名。“審計(jì)員可以在執(zhí)行審計(jì)程序時(shí)根據(jù)流程實(shí)例的路徑將事件日志數(shù)據(jù)分為標(biāo)準(zhǔn)和非標(biāo)準(zhǔn)變量;這使得流程挖掘有可能檢測(cè)到潛在的內(nèi)部控制無效性。
使用事件日志分析公司的業(yè)務(wù)流程對(duì)計(jì)算機(jī)科學(xué)或管理來說并不陌生。盡管如此，只有少數(shù)研究在審計(jì)領(lǐng)域應(yīng)用流程挖掘。例如，Mieke Jans，Michael Alles和Miklos Vasarhelyi建議流程挖掘可以在執(zhí)行分析程序時(shí)協(xié)助審計(jì)員。此外，美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)2017年審計(jì)數(shù)據(jù)分析指南指出，流程挖掘使審計(jì)人員能夠了解實(shí)體的內(nèi)部控制，并識(shí)別可能增加重大錯(cuò)報(bào)風(fēng)險(xiǎn)的未授權(quán)員工行為。
二、在審計(jì)過程中使用流程挖掘
審計(jì)過程分為四個(gè)階段：1）計(jì)劃和設(shè)計(jì)審計(jì)方法，2）執(zhí)行控制措施和交易的實(shí)質(zhì)性測(cè)試，3）執(zhí)行分析性程序和明細(xì)測(cè)試，4）完成審計(jì)和發(fā)布審計(jì)報(bào)告。由于流程挖掘通過檢查存儲(chǔ)在會(huì)計(jì)信息系統(tǒng)中的事件日志來分析公司的業(yè)務(wù)周期，因此審計(jì)人員會(huì)發(fā)現(xiàn)流程挖掘技術(shù)在審計(jì)流程的第一和第二階段更有用。
2.1計(jì)劃和設(shè)計(jì)
審計(jì)過程的第一階段是規(guī)劃和設(shè)計(jì)審計(jì)方法。在流程挖掘中，流程圖和流程統(tǒng)計(jì)信息可用于幫助審計(jì)人員了解公司的業(yè)務(wù)流程。圖表3和圖表4顯示從采購到付款周期的示例流程圖和統(tǒng)計(jì)信息。
圖表3采購到支付周期的樣本流程圖
圖表4 從采購到付款周期的樣本過程統(tǒng)計(jì)信息
通過檢查流程圖和統(tǒng)計(jì)數(shù)據(jù)，審計(jì)員可以回答以下問題：
- 公司的業(yè)務(wù)流程中有多少活動(dòng)，它們都與業(yè)務(wù)相關(guān)（協(xié)助確定關(guān)鍵控制）？
- 業(yè)務(wù)流程中最常出現(xiàn)哪種活動(dòng)？
- 該組織的核心業(yè)務(wù)流程是什么？
- 有多少員工參與公司的業(yè)務(wù)流程，員工的職責(zé)是什么（確定潛在違反職責(zé)分離行為的關(guān)鍵）？
- 每個(gè)流程實(shí)例的起始和結(jié)束日期和時(shí)間是什么，每個(gè)活動(dòng)的時(shí)間戳是什么（有助于識(shí)別截止問題）？
總體而言，審計(jì)師可以評(píng)估內(nèi)部控制系統(tǒng)的有效性，這是評(píng)估控制風(fēng)險(xiǎn)的重要步驟。流程挖掘技術(shù)讓審計(jì)人員詳細(xì)了解事務(wù)周期。因此，審計(jì)師可以取代手工審計(jì)程序，如使用抽樣重新執(zhí)行交易流程或測(cè)試控制;因此，提高了審計(jì)的效果性和效率性。
2.2內(nèi)部控制測(cè)試
根據(jù)2002年薩班斯 - 奧克斯利法案（SOX）第404條，審計(jì)師評(píng)估公司的內(nèi)部控制系統(tǒng)并確定可能出現(xiàn)的問題至關(guān)重要。流程挖掘可以成為幫助審計(jì)人員執(zhí)行內(nèi)部控制測(cè)試的強(qiáng)大工具。此外，存儲(chǔ)在事件日志中的信息還可以提供與相關(guān)管理決策相關(guān)的審計(jì)證據(jù)。圖表5顯示了使用從采購到付款周期的事件日志檢測(cè)可能出錯(cuò)的幾個(gè)示例。
圖表5 使用流程挖掘進(jìn)行內(nèi)部控制測(cè)試
在審計(jì)過程的第二階段，流程挖掘在執(zhí)行交易的實(shí)質(zhì)性測(cè)試以檢查與交易余額相關(guān)的過程時(shí)也很有用。例如，如果由于采購訂單X的重復(fù)付款而導(dǎo)致支付余額不正確，則可以在分析采購訂單X的過程時(shí)發(fā)現(xiàn)這種情況。圖表6顯示重復(fù)付款的示例流程。
圖表6 重復(fù)付款流程
三、流程挖掘作為審計(jì)證據(jù)的新形式
流程挖掘是一種很有前途的工具，在審計(jì)過程的不同階段非常有用，尤其是內(nèi)部控制測(cè)試。存儲(chǔ)在事件日志中的數(shù)據(jù)為審計(jì)人員提供了豐富的信息，可以在執(zhí)行控制或其他審計(jì)程序測(cè)試時(shí)作為額外的審計(jì)證據(jù)。此外，當(dāng)活動(dòng)或業(yè)務(wù)流程發(fā)生時(shí)，事件日志會(huì)自動(dòng)記錄在IT系統(tǒng)中，因此不太可能被更改或扭曲。
值得注意的是，將流程挖掘應(yīng)用于審計(jì)程序仍處于起步階段，審計(jì)人員和管理層面臨許多挑戰(zhàn)。例如，并非所有公司都愿意為每個(gè)業(yè)務(wù)周期保留整個(gè)事件日志記錄，因?yàn)槭录罩镜拇鎯?chǔ)可能會(huì)耗盡大量磁盤空間并使IT系統(tǒng)變慢。在這種情況下，如果公司未能記錄業(yè)務(wù)周期的某部分事件日志，則提取的信息不完整，審計(jì)人員無法使用流程挖掘。因此，審核人員需要確保他們用于流程挖掘分析的信息是完整和準(zhǔn)確的。
來源：ICI內(nèi)控快訊
近期課程安排：3月、6月、9月、11月
《國(guó)際注冊(cè)內(nèi)部控制師CICS資格認(rèn)證》面授及網(wǎng)絡(luò)課程學(xué)習(xí)班：
報(bào)名鏈接：http://www.neikong.com/kecheng/detail_870826
聯(lián)系電話：010-68004176、68004186
聯(lián) 系 人：孫老師、邱老師
