摘要：大數(shù)據(jù)時代、云計算技術的到來，給信息系統(tǒng)審計工作帶來了新的機遇和挑戰(zhàn)，在這種情況下，為了充分發(fā)揮大數(shù)據(jù)和云計算技術在信息系統(tǒng)審計應用中的優(yōu)勢，如何將大數(shù)據(jù)、云計算與信息系統(tǒng)審計的工作進行有機的結合，是審計機構需要思考的問題。因此，本文在分析大數(shù)據(jù)環(huán)境下信息系統(tǒng)審計面臨審計內容、審計技術方法、審計思維和獲取審計線索等方面的挑戰(zhàn)的基礎上，構建了大數(shù)據(jù)環(huán)境下基于云計算的信息系統(tǒng)審計實施框架，并對該框架下信息系統(tǒng)審計的整個實施流程進行了闡述，為云計算下實施信息系統(tǒng)審計提供了理論支持。

關鍵詞：云計算 大數(shù)據(jù) 信息系統(tǒng)審計

2015年中共中央辦公廳、國務院辦公廳印發(fā)了《關于實行審計全覆蓋的實施意見》（以下簡稱《實施意見》），《實施意見》指出審計機關要建立健全數(shù)據(jù)定期報送制度，加大數(shù)據(jù)集中力度，對獲取的數(shù)據(jù)資料嚴格保密；適應大數(shù)據(jù)審計需要，構建國家審計數(shù)據(jù)系統(tǒng)和數(shù)字化審計平臺，積極運用大數(shù)據(jù)技術，加大業(yè)務數(shù)據(jù)與財務數(shù)據(jù)、單位數(shù)據(jù)與行業(yè)數(shù)據(jù)以及跨行業(yè)、跨領域數(shù)據(jù)的綜合比對和關聯(lián)分析力度，提高運用信息化技術查核問題、評價判斷、宏觀分析的能力；探索建立審計實時監(jiān)督系統(tǒng)，實施聯(lián)網(wǎng)審計。大數(shù)據(jù)、云計算的快速發(fā)展與應用，在給審計行業(yè)帶來機遇的同時，也帶來了一系列的挑戰(zhàn)，并引起了業(yè)界學者的廣泛關注，如魏祥?。?014）在對云計算的研究與應用現(xiàn)狀分析的基礎上，提出了云審計的概念，并構建了云審計平臺的架構，研究了云審計平臺下的協(xié)同審計模式及協(xié)同審計模式的實現(xiàn)方式。程平等（2016）在對云會計環(huán)境下大數(shù)據(jù)審計關注要點進行分析的基礎上，構建了云會計環(huán)境下基于COBIT標準的大數(shù)據(jù)審計框架體系，然后對該框架下的大數(shù)據(jù)審計實施過程進行了深入的闡述。陳偉等（2012）在對聯(lián)網(wǎng)審計現(xiàn)狀研究的基礎上，從被審計單位使用云平臺、審計單位使用云平臺、審計單位和被審單位都使用云平臺研究了聯(lián)網(wǎng)審計實現(xiàn)方法，從云平臺整體控制與應用控制的視角、基于云平臺選擇的視角、基于云平臺服務的視角研究了實施聯(lián)網(wǎng)審計存在的風險。

縱觀現(xiàn)有的研究發(fā)現(xiàn)，目前關于大數(shù)據(jù)、云計算環(huán)境下的審計研究主要集中在數(shù)據(jù)審計的研究方面，而關于大數(shù)據(jù)、云計算環(huán)境下的信息系統(tǒng)審計的相關研究涉及的較少，鑒于此，本文在分析大數(shù)據(jù)對傳統(tǒng)信息系統(tǒng)審計產生影響的基礎上，構建了大數(shù)據(jù)時代基于云計算的信息系統(tǒng)審計實施框架，并對該框架下的信息系統(tǒng)審計實施流程進行了深入的闡述。

一、大數(shù)據(jù)對傳統(tǒng)信息系統(tǒng)審計產生的影響

隨著社會信息化和行業(yè)信息化的普及，特別是大數(shù)據(jù)、云計算技術的興起，越來越多的企事業(yè)單位（如醫(yī)療、交通、金融、零售、電力等行業(yè)內的單位）開始運用大數(shù)據(jù)、云計算為代表的信息技術去重構信息系統(tǒng)，這些信息系統(tǒng)是孕育數(shù)據(jù)的“母體”，它們產生了種類繁多、數(shù)量巨大的信息流和數(shù)據(jù)流，正是因為信息系統(tǒng)的大爆炸造就了大數(shù)據(jù)時代的到來，同時，大數(shù)據(jù)的爆發(fā)性增長又進一步催生了更加復雜、更加龐大的信息系統(tǒng)。信息系統(tǒng)審計是以信息系統(tǒng)為對象的審計，而企業(yè)中的信息系統(tǒng)是一個由人和計算機組成的產、供、銷及財務于一體的綜合性信息系統(tǒng)，因此，開展信息系統(tǒng)審計需要對信息系統(tǒng)的每個要素（包括人、信息、數(shù)據(jù)、各種設備、以及控制和服務等）進行審計。大數(shù)據(jù)對信息系統(tǒng)審計的實施提出了更高的要求，對信息系統(tǒng)審計的內容、審計技術方法、審計思維和審計線索等方面產生了較大的影響。

（一）大數(shù)據(jù)對信息系統(tǒng)審計內容產生的影響。大數(shù)據(jù)在給信息系統(tǒng)審計帶來方便的同時，也影響了信息系統(tǒng)審計，給信息系統(tǒng)審計的內容帶來了新的挑戰(zhàn)。根據(jù)審計署關于印發(fā)信息系統(tǒng)審計指南——計算機審計實務公告第34號的通知，信息系統(tǒng)審計的內容包括一般控制審計、應用控制審計和項目管理審計。

1.一般控制審計。一般控制審計是指對被審計單位信息系統(tǒng)正常運行的制度和工作程序進行審查，包括信息系統(tǒng)總體控制審計（主要指信息系統(tǒng)總體控制的戰(zhàn)略規(guī)劃、組織架構、崗位職責等）、信息安全技術控制審計（主要指物理安全控制、網(wǎng)絡安全控制、主機安全控制、應用安全控制等）和信息安全管理控制審計（主要指安全管理機構、安全管理制度、系統(tǒng)建設安全管理、系統(tǒng)運維安全管理等）。大數(shù)據(jù)時代，信息系統(tǒng)在運營的過程中，會有海量的結構化、半結構化和非結構的數(shù)據(jù)產生，為了保障這些種類繁多、結構復雜、數(shù)量龐大的數(shù)據(jù)的安全，必須要建立龐大的組織管理體系并采取相應的安全策略（如對網(wǎng)絡、信息系統(tǒng)硬件等采取相應的安全控制措施），這同時也對信息系統(tǒng)審計人員提出了更高的要求，要求信息系統(tǒng)審計人員在掌握審計知識的同時，還必須要了解各種現(xiàn)代化信息技術、信息安全管理體系、IT安全技術等有關知識。

2.應用控制審計。應用控制審計主要包括信息系統(tǒng)業(yè)務流程控制審計（包括業(yè)務流程設計、業(yè)務流程處理以及業(yè)務流程功能）和信息系統(tǒng)數(shù)據(jù)控制審計（包括數(shù)據(jù)輸入控制審計、數(shù)據(jù)處理控制審計和數(shù)據(jù)輸出控制審計），大數(shù)據(jù)環(huán)境下，為了保證信息系統(tǒng)產生的類型繁多的、數(shù)量龐大的數(shù)據(jù)安全和有效，需要對信息系統(tǒng)的業(yè)務流程、數(shù)據(jù)輸入、數(shù)據(jù)處理以及處理輸出設置更多的、必要的控制環(huán)節(jié)，而且各個控制環(huán)節(jié)之間的邏輯關系更加復雜、聯(lián)系更加緊密，針對這樣的情況，如何使用有效的審計技術方法，對信息系統(tǒng)業(yè)務流程控制、數(shù)據(jù)輸入控制、數(shù)據(jù)輸出控制、接口控制以及數(shù)據(jù)庫管理系統(tǒng)控制等進行高效檢測，成為大數(shù)據(jù)時代信息系統(tǒng)審計人員必須面對的難題。

3.項目管理審計。項目管理審計主要包括信息系統(tǒng)建設經(jīng)濟性審計（包括信息系統(tǒng)規(guī)劃經(jīng)濟性審計、信息系統(tǒng)建設經(jīng)濟性審計、信息系統(tǒng)運維經(jīng)濟性審計等）、信息系統(tǒng)建設管理審計（包括項目審批管理審計、項目建設管理審計、項目資金管理審計、項目驗收管理審計等）和信息系統(tǒng)績效審計（包括信息系統(tǒng)總體績效、信息資源共享能力的績效、管理決策支持能力的績效等）。大數(shù)據(jù)環(huán)境下，信息系統(tǒng)各個模塊間的勾稽關系變更非常復雜，產生的數(shù)據(jù)流與信息流也呈現(xiàn)幾何級的增長，因此，相對傳統(tǒng)的信息系統(tǒng)審計來說，信息系統(tǒng)審計的各個環(huán)節(jié)變得紛繁復雜，信息系統(tǒng)審計人員需要調查和了解的事物也比傳統(tǒng)的信息系統(tǒng)審計多得多，這都給大數(shù)據(jù)時代信息系統(tǒng)審計人員提出了更高的要求和挑戰(zhàn)。

（二）大數(shù)據(jù)對信息系統(tǒng)審計技術方法產生的影響。隨著現(xiàn)代審計不斷發(fā)展，審計工作方法逐漸現(xiàn)代化，形成了許多行之有效的審計技術方法和工具，如系統(tǒng)調查方法、資料審查方法、檢查流程圖法、控制矩陣法、測試數(shù)據(jù)法、平行模擬法、受控處理法、嵌入審計程序法等方法。使用的工具如現(xiàn)場審計實施系統(tǒng)（AO）、通用審計軟件、數(shù)據(jù)庫審計工具、系統(tǒng)和網(wǎng)絡漏洞掃描、日志安全審計等。

大數(shù)據(jù)環(huán)境下，隨著結構化、半結構化和非結構化數(shù)據(jù)的持續(xù)增長，以及分析數(shù)據(jù)來源的多樣化，傳統(tǒng)的很多信息系統(tǒng)審計技術方法和工具已經(jīng)無法適應信息系統(tǒng)審計的要求，這就需要更新審計的理念、優(yōu)化審計應用模型、創(chuàng)新信息系統(tǒng)審計技術方法和工具，構建大數(shù)據(jù)時代信息系統(tǒng)審計技術方法體系。在實施信息系統(tǒng)審計過程中，必然要使用到云計算、大數(shù)據(jù)、分布式結構、云數(shù)據(jù)庫、聯(lián)網(wǎng)審計、數(shù)據(jù)挖掘等新型的技術手段和工具。

（三）大數(shù)據(jù)對信息系統(tǒng)審計的審計思維產生的影響。在傳統(tǒng)的小數(shù)據(jù)時代，由于審計人員力量和數(shù)據(jù)分析能力的雙重限制，不可能采集和分析所有的數(shù)據(jù)，因此往往采用抽樣審計的方法。由于抽取樣本的有限性，而忽視了大量的業(yè)務活動，無法完全發(fā)現(xiàn)和揭示被審計單位的重大舞弊行為，隱藏著嚴重的審計風險。大數(shù)據(jù)技術的產生，使得數(shù)據(jù)信息的采集與分析可以跨行業(yè)、跨企業(yè)，審計范圍不再受制于抽樣樣本，而是可以著眼于全部數(shù)據(jù)，審計人員可以建立“樣本=總體”的審計思維模式，這種基于總體審計的思維模式，轉變了信息系統(tǒng)審計的審計思維模式，給信息系統(tǒng)審計人員提供了一種從總體上把握審計對象的手段，更能發(fā)現(xiàn)問題的本質。

（四）大數(shù)據(jù)對信息系統(tǒng)審計發(fā)現(xiàn)審計線索產生的影響。審計信息化大力推行的進程中，審計人員逐漸習慣根據(jù)以往審計經(jīng)驗設計分析思路，然后再收集數(shù)據(jù)來驗證不同數(shù)據(jù)之間的勾稽關系，從而發(fā)現(xiàn)審計疑點，獲取審計證據(jù)，這些數(shù)據(jù)體現(xiàn)的更多是因果關系。大數(shù)據(jù)技術的產生，使得信息系統(tǒng)審計有更多的途徑與方式發(fā)現(xiàn)審計線索，獲取審計證據(jù)，大數(shù)據(jù)分析將更多地運用相關關系進行審計證據(jù)的收集與獲取，而降低了對事物間因果關系的依賴。如將多種審計方法模型植入云服務中，海量的結構化、半結構化和非結構化數(shù)據(jù)自動根據(jù)模型尋找審計證據(jù)，這些審計模型體現(xiàn)的更多的是事物間的相關關系，而不是過分的依賴因果關系，信息系統(tǒng)審計人員在審計過程中要能夠掌握分析數(shù)據(jù)的方法，利用數(shù)據(jù)挖掘、統(tǒng)計分析等相關技術對這些相關關系進行分析，發(fā)現(xiàn)事物發(fā)展變化的趨勢，發(fā)現(xiàn)各種苗頭性、傾向性的問題，獲取審計證據(jù)。

二、大數(shù)據(jù)環(huán)境下基于云計算的信息系統(tǒng)審計實施框架

（一）架構基礎——云計算服務模式。云計算是一種基于Internet通過虛擬化的方式進行資源共享的服務模式，以網(wǎng)絡為載體提供基礎設施、平臺、軟件等服務形式，根據(jù)美國國家標準與技術研究院的權威定義，云計算的服務模式有SPI（即SaaS、PaaS和IaaS）這三個大類或層次，如下頁圖1所示。

1.軟件即服務（SaaS）。軟件即服務處于服務架構的最上層，是一種通過Internet提供軟件的模式，云服務提供商將應用軟件統(tǒng)一部署在自己的服務器上，用戶可以采用“按需租用”方式，按照某種服務水平協(xié)議（SLA）向云服務提供商租用所需的軟件，可以在各種設備上通過客戶端界面（如瀏覽器）訪問，云服務提供商采用“集中管理”的模式負責軟件的管理和維護。

2.平臺即服務（PaaS）。平臺即服務處于服務架構的中間層將軟件研發(fā)的平臺作為一種服務，在這種服務模式下，用戶可以根據(jù)業(yè)務的需要，利用PaaS平臺動態(tài)地開發(fā)和部署所需要的各種應用和服務，而無需自己搭建系統(tǒng)平臺。

3.基礎設施即服務（IaaS）。基礎設施即服務處于服務架構的最底層，是Paas和SaaS服務的基礎，通過虛擬化技術將服務器、存儲設備、網(wǎng)絡資源等基礎設施封裝成服務提供給用戶，用戶可以按某種服務水平協(xié)議（SLA）“按需租用”云服務提供商的基礎設施。

（二）基于云計算的信息系統(tǒng)審計實施框架的構建。云計算服務的SaaS、PaaS、IaaS利用虛擬化技術實現(xiàn)了硬件資源、軟件資源以及信息資源的虛擬化管理，實現(xiàn)了異構環(huán)境下的互操作性，為架構云計算環(huán)境下的信息系統(tǒng)審計實施框架帶來了契機。大數(shù)據(jù)時代云計算環(huán)境下的信息系統(tǒng)審計的主要任務是依托云計算SaaS、PaaS、IaaS服務模式，根據(jù)大數(shù)據(jù)時代信息系統(tǒng)審計的特點和要求，通過構建一個支撐平臺，實現(xiàn)對信息系統(tǒng)的審計，使信息系統(tǒng)審計的過程更加科學化、更富有效率性，如圖2所示。

1.IaaS與審計基礎設施資源。IaaS是信息系統(tǒng)審計實施框架的基礎，包括硬件資源和網(wǎng)絡信息資源兩部分，該層采用物理資源虛擬化技術，解決了異構環(huán)境下的互操作性，實現(xiàn)了資源的虛擬化管理。服務器、網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫為系統(tǒng)提供了網(wǎng)絡、計算和存儲等服務；審計信息資源、業(yè)務信息資源和共享數(shù)據(jù)資源等網(wǎng)絡信息資源為上層PaaS提供了網(wǎng)絡信息服務。

2.PaaS與審計業(yè)務平臺。PaaS信息系統(tǒng)審計實施框架的核心，可以為上層應用服務提供運行與維護，為下層基礎資源提供資源管理服務，本文按功能將其劃分為三大類：一是資源管理服務為審計基礎設施資源層提供目錄管理、元數(shù)據(jù)服務、資源管理等服務；二是管理服務，主要提供用戶管理、權限管理、訪問控制等服務；三是應用開發(fā)服務，主要實現(xiàn)審計業(yè)務功能的應用開發(fā)，如數(shù)據(jù)分析、數(shù)據(jù)可視化等服務，以支持審計業(yè)務的多樣性。PaaS提供了為完成具體審計工作所需的一些服務，通過這些服務的應用，可以更好地適應審計項目的需要。

3.SaaS與審計應用。SaaS云服務與信息系統(tǒng)審計應用結合，實現(xiàn)審計應用軟件的云部署，形成各項審計應用服務，主要包括審計應用控制、審計一般控制、審計項目管理、審計案例、審計方法與模型等服務。

三、基于云計算的信息系統(tǒng)審計實施流程分析

根據(jù)圖2，基于云計算的信息系統(tǒng)審計實施流程與傳統(tǒng)的信息系統(tǒng)審計實施流程一樣，分為審計準備階段、審計實施階段和審計終結階段三個階段，如下頁圖3所示。

1.審計準備階段。信息系統(tǒng)審計的準備階段是整個審計程序的重要環(huán)節(jié)，首先要明確審計的目的和范圍，并根據(jù)任務的繁重程度，配備信息系統(tǒng)審計人員，成立信息系統(tǒng)審計小組；然后對被審信息系統(tǒng)的的基本情況（如硬件設備、系統(tǒng)軟件、應用軟件和文檔資料等）進行詳細的調查和了解，如了解被審信息系統(tǒng)的信息技術環(huán)境，包括被審系統(tǒng)實施的信息技術政策和程序，云服務提供商的資質和技術水平、云服務提供商的服務協(xié)議范圍和標準、云服務基礎設施構建等情況；最后，制定信息系統(tǒng)審計方案，確定審計的范圍、審計的日程安排以及信息系統(tǒng)審計的方法。

2.審計實施階段。在信息系統(tǒng)審計實施階段，大數(shù)據(jù)、云計算對審計思維模式、審計技術手段、審計線索的發(fā)現(xiàn)等都產生了影響，充分利用大數(shù)據(jù)、云計算技術，能有效增強信息系統(tǒng)審計的效果。

審計署關于印發(fā)信息系統(tǒng)審計指南——計算機審計實務公告第34號的通知將信息系統(tǒng)審計的內容分為一般控制審計、應用控制審計和項目管理審計三個層次，因此，在云計算環(huán)境下，分別實施這三個層次的審計程序。

一般控制審計。云服務模式下，信息系統(tǒng)的基礎設施和服務均由云服務提供商提供，用戶通過Internet即可“按需購買”和“按需租用”云服務提供商提供的服務，因此，一般控制審計需要從云服務提供商和被審單位兩個進行，這樣可以使得審計結論更加真實、更加可靠。云環(huán)境下的信息系統(tǒng)一般控制主要關注信息系統(tǒng)基礎設施（包括信息系統(tǒng)環(huán)境、信息系統(tǒng)硬件、系統(tǒng)軟件、數(shù)據(jù)庫等）、系統(tǒng)訪問（包括邏輯訪和物理訪問）、網(wǎng)絡安全、災難恢復、信息安全管理等方面。其中IaaS和PaaS涉及到信息系統(tǒng)基礎設施、系統(tǒng)訪問、網(wǎng)絡安全、災難恢復和信息安全管理，SaaS涉及系統(tǒng)訪問。

應用控制審計。云服務模式下，信息系統(tǒng)的應用控制審計包括業(yè)務流程控制審計與數(shù)據(jù)控制審計。不同的企業(yè)其信息系統(tǒng)的業(yè)務流程也不同，同時云服務選擇的多樣性也使得企業(yè)的業(yè)務流程能夠隨著企業(yè)服務的需求不斷進行重構，在進行信息系統(tǒng)業(yè)務流程控制審計和數(shù)據(jù)控制審計時，應根據(jù)被審單位的特點，從被審單位的企業(yè)控制目標入手，分析相關控制目標的業(yè)務流程設計、業(yè)務流程功能的合理性，找出業(yè)務流程中相關的關鍵控制點，并對相關關鍵控制點進行測試，但在云服務模式下，對關鍵控制點進行測試的測試程序復雜度較傳統(tǒng)的測試程序提高了，這也對信息系統(tǒng)審計人員提出了更高的要求。

項目管理審計。云服務模式下，信息系統(tǒng)的項目管理審計主要關注項目建設的經(jīng)濟性、項目建設的管理與項目的績效方面是否與企業(yè)的目標相契合，如云服務提供商的選擇與管理是否結合企業(yè)與供應商雙方的因素進行，并簽訂服務水平協(xié)議管理等。

在執(zhí)行了信息系統(tǒng)一般控制審計程序、應用控制審計程序和項目管理審計程序之后，審計人員就可以從被審單位和云服務提供商獲取有關一般控制、應用控制和項目管理等方面的審計證據(jù)。

3.審計終結階段。審計終結階段是對審計工作的總結，首先對審計實施階段形成的審計證據(jù)進行歸類和整理，撰寫出審計報告；然后向被審單位出具審計報告，并提出審計意見，被審單位按審計決定的要求，作出改進處理；最后對各種審計資料進行整理歸檔和管理。

四、結語

大數(shù)據(jù)時代、云計算技術的到來，給信息系統(tǒng)審計工作帶來了新的機遇和挑戰(zhàn)，在這種情況下，為了充分發(fā)揮大數(shù)據(jù)和云計算技術在信息系統(tǒng)審計應用中的優(yōu)勢，如何將大數(shù)據(jù)、云計算與信息系統(tǒng)審計的工作進行有機的結合，是審計機構需要思考的問題。本文在對大數(shù)據(jù)對傳統(tǒng)信息系統(tǒng)審計產生的影響分析的基礎上，構建了大數(shù)據(jù)時代基于云計算的信息系統(tǒng)審計實施框架，并對該框架下的信息系統(tǒng)審計實施流程進行了闡述。借助大數(shù)據(jù)的結構復雜、海量信息和云計算技術，信息系統(tǒng)審計的過程更加注重不同事物間的相關關系，而不再主要依賴于事物間的因果關系，根據(jù)事物間的相關關系，通過數(shù)據(jù)挖掘、統(tǒng)計分析等技術方法可以發(fā)現(xiàn)容易被忽視但存在風險的審計項目，從而提高了審計工作的效率、降低了審計風險。J

參考文獻：

[1]魏祥健.云平臺架構下的協(xié)同審計模式研究[J].審計研究，2014，（6）：29-35.

[2]程平，白沂，賀灝璁.云會計環(huán)境下基于COBIT標準的大數(shù)據(jù)審計研究[J].會計之友，2016，（4）：125-128.

[3]陳偉，Wally Smieliauskas.云計算環(huán)境下的聯(lián)網(wǎng)審計實現(xiàn)方法探析[J].審計研究，2012，（3）：37-44.

[4]秦榮生.大數(shù)據(jù)、云計算技術對審計的影響研究[J].審計研究，2014，（6）：23-28.

[5]牛艷芳，薛巖，孟祥雨.云計算環(huán)境下的審計業(yè)務模式變革研究[J].南京審計學院學報，2014，（4）：95-103.

[6]張艷玲.云審計——審計信息化的發(fā)展趨勢[J].商業(yè)會計，2013，（10）.

作者簡介：

張金城，男，南京審計大學，教授；主要從事管理信息系統(tǒng)、信息系統(tǒng)審計的教學與研究。

柳巧玲，女，南京審計大學，副教授；主要從事管理信息系統(tǒng)的教學和研究。