1.3 系统特点
1.体现继承和发展思想,集成通用审计和专业审计功能
AO充分体现了继承既有软件思路,发展整合通用审计和专业审计功能的思想。一方面,AO的通用审计功能严格遵循了金审一期工程应用系统建设确定的“集中既有软件思路,整合集成开发”的原则,在帮助菜单中列明了被整合软件以及参与研制单位;另一方面,在通用审计功能不断充实的同时,AO将近几年来发展研制的“外资审计”、“企业合并报表审计”、“企业财务分析”等专业审计功能,按照AO的统一标准和软件风格进行了集成。从AO 2011版的5个功能模块和专业审计功能配置界面上看,整合的特征非常明显,甚至从有些界面中可以清楚地分辨出来。被整合软件的研制单位和相关技术人员,无私地贡献了自己多年积累的经验,而且按照金审工程的要求提供了源代码,可以说,AO是审计系统全体审计人员计算机开发应用及工作实践经验的结晶。
2.体现中央和地方现场审计需求,满足各类应用要求
正如AO的寓意——审计师办公室一样,AO就是为了给中央和地方各级审计机关审计人员提供一个安装在便携式计算机或服务器上,对被审计单位开展就地和送达审计方式的计算机审计软件,其设计定位如下。
(1)适应不同审计项目数据处理量。
AO提供两种作业模式,单机作业模式适用处理中小数据量规模;对于大数据量的审计业务需求,可以使用依托审计现场或审计机关局域网和服务器的联机作业模式。
AO提供对两类数据的处理功能,数据分析功能适用处理按照审计数据规划构建的数据表;账表处理功能适用按照会计制度和财务准则要求构建的电子账表数据。
(2)低开发应用成本。
降低软件开发技术配置的复杂程度,使用目前流行和普及的开发语言和数据库,大大降低了开发费用,降低了软件部署配置费用。
(3)硬件和系统软件环境适应性强。
现有主流配置的便携式和台式计算机技术指标都能满足,掌握计算机一般知识和操作技能的审计人员,都能很好地使用这套软件。
(4)用户范围满足各级审计机关。
为满足各级审计机关尤其是基层审计机关开展计算机审计的需要,软件设计开发时,充分考虑了在地市审计机关或县级审计机关的推广应用,发挥投资效益,避免低水平重复建设。
3.体现《国家审计准则》和审计方法体系的最新成果
2010年,审计署颁布了《国家审计准则》,对审计项目质量控制提出了具体规定。AO 2011版从计算机技术实现的角度,在系统设计中强化了项目质量控制的功能。从技术上,为《国家审计准则》对于审计底稿、审计证据的新要求提供了实现的手段。
2008年,审计署发布了《计算机审计方法体系基本规划——计算机审计实务公告第14号》,之后又陆续发布了中央部门预算执行、海关、税收、金融、投资、社会保险、资源环保、经济责任等各类专业审计的方法体系。AO 2011版在以往《审计专家经验库》、《计算机审计方法库》的基础上,结合《审计事项数据字典(试行)》和新发布的各类专业《计算机审计方法体系》,构建了具有最新成果的《计算机审计方法库》,并将持续地提供各类专业《计算机审计方法体系》的新成果。
4.体现项目管理思想,逐步加强审计项目管理控制
审计项目管理应当是审计软件的重要功能,它不但可以满足手工条件下审计项目管理的程序、规则,而且计算机技术手段的引入,可以有效提供各专业审计操作指南的审计程序、内控测试,以及审计项目的方案细化、组织分工、实施进度等方面的控制模板;对审计底稿、审计证据的编制、复核等作出强制性的权限控制,不具有相关权限的人员不得越权操作;对审计项目统计、审计项目档案资料等作出统一的标准规范。审计署是国家审计机关审计项目管理规则的制定者,在AO 2011版的改版中,全面贯穿了审计项目管理的各项规定和规则。
但是,审计人员从手工审计到计算机审计是一个重大的转变,有许多不适应的地方,尤其是要重新学习一种工具,困难很多。AO的推广应用,首先应当鼓励审计人员用起来,而不是一开始就设置许多框框。目前AO对于审计项目管理的控制环境还是比较宽松的,比如,软件允许设置多个审计组长和主审,从组织管理和权限控制的角度,审计项目的副组长和设置小组的小组长都具有类似的权限,软件中把组长、副组长、小组长统一视为组长角色,实际工作中通过分工管理加以控制。再比如,审计报告和审计台账可以多次生成,等等。在实际工作中,各级审计机关和审计组的控制方式和控制程度各不相同,但考虑到审计人员有一个学习和熟悉的过程,管理规则定得过死,会造成审计人员不能顺利地走完全部流程,招致弃之不用,推广也就成了一句空话。如果审计人员对软件的使用熟悉到一定程度,认为需要由软件对某些环节进行强制控制,那么AO可以通过系统设置实现强制控制的升级。
5.体现数据接口标准最新成果,扩展国家标准采集方式
AO从2004年推广以来,逐步建立和积累了面向会计核算软件备份数据和被审计单位信息系统数据库数据的审计数据采集与转换模板。2004年,国家标准化委员会颁布了审计署和财政部合作研制的《信息技术 会计核算软件数据接口国家标准》,为审计采集与转换数据提供了数据接口国家标准的新途径。随着全国审计信息化标准化技术委员会的组建和国家会计制度的修订,审计署组织编制了财政总预算、行政事业单位、企业、银行和企业ERP等会计核算系统的数据接口国家标准。
在AO 2011版中,已经并陆续将各类数据接口国家标准纳入审计数据采集与转换功能,为审计数据采集提供更加可靠、有效的支持。
6.体现审计业务重在数据分析,建立可扩展的分析平台
AO提供了六种对财务数据和业务数据进行分析的方法:一是利用账表分析器对财务数据的分析,可以对各类账表数据进行关联分析、分组分析、图形分析、自由表分析。通过分析,快速地确定审计重点,发现的疑点可以直接转到疑点库,确认后形成审计证据。二是利用通用分析器对财务数据和业务数据的分析,可以利用或编制SQL语句,进行数据表的拆分、合并、重组,生成审计中间表。三是利用计算机审计方法分析,用一条或多条方法进行自动审计,也可以由审计人员自己编制审计方法。计算机审计的标志有很多,其中最重要的一条,就是要将审计师的经验转化成审计模型,从一笔笔查账,到一批批查账;从抽查到详查;从查局部到查全局;从单一条件查,到组合条件查;从一个人的个性经验,到迅速形成审计能力。四是利用各行业经济分析指标进行审计分析。五是利用常用审计分析工具进行审计分析。六是利用外资专业审计、企业合并报表审计、企业财务分析审计等专业审计分析功能,是对前五种通用审计分析功能的补充和扩展。
AO 2011版是一个可扩展的审计分析平台。上述六种数据分析功能,在AO 2008版中主要是前五种通用审计功能,AO 2011版扩展了专业审计分析功能。当然,AO 2011版也只是给广大审计人员提供了一个平台,真正发挥出它应有的功能,要靠审计人员的审计实践。审计分析平台是为实现审计目标服务的工具,同一种工具在不同审计人员手中发挥作用的程度并不完全一样,关键在于审计人员能否掌握并不断创造、完善审计分析的方法,树立计算机审计思维,实现真正意义上的计算机审计。
7.体现质量控制要求,建立符合质量控制的文书编制功能
新发布的《国家审计准则》较之审计署6号令在审计项目质量控制上提出了新的要求,对审计工作方案、审计实施方案、审计底稿、审计证据、审计报告等审计文书及格式,作出了新的规定。AO 2011版在改版过程中,及时跟踪《国家审计准则》的起草过程,使得软件有关审计文书的格式、内容、相互钩稽关系均符合质量控制的规定。
8.体现信息对称的信息化要求,扩展审计信息交互功能
信息化的一个重要思想是信息对称。现场审计与机关决策指导的信息对称,是审计信息化的重要内容。AO研制之初,充分考虑了与OA的信息交互要求。AO 2011版保留了AO 2008版的信息交互功能,并进一步扩展和完善。
(1)AO和OA的信息直接交互。
保留了AO 2008版与OA的信息直接交互功能,便于地方尤其是市县级审计机关的审计信息交互需求。由于AO中具有审计项目的编码,可以通过编码将提交的现场审计信息直接传送到OA“察看现场”功能的对应审计项目中,方便审计人员的操作。
AO可以将作业现场的审计底稿、审计证据、审计进度甚至项目经费使用情况等,通过数据打包和网络传输,或者通过软盘、优盘、光盘等介质,传给审计机关的OA。审计机关领导在机关局域网上通过OA中“察看现场”的功能,了解审计现场情况。审计机关领导指导审计作业的批示意见,也可以及时反馈给审计现场人员。
(2)审计项目执行管理系统功能扩展了现场与机关的信息交互。
审计署京津冀特派办、广州特派办等机构为加强现场审计项目的质量控制和信息交互,研制了审计项目执行管理系统功能。2011年,审计署统一整合的审计项目执行管理系统功能部署在18个特派办,作为单个审计项目的现场审计信息报送、机关决策指导的实现平台。
使用审计项目执行管理系统实现信息交互较之AO与OA直接交互方式存在下列优点。
①审计现场向审计机关报送信息的优点。可以将AO形成的各类现场审计信息通过数据包或数据文件的格式和“浏览”上传的方式,提交到审计项目执行管理系统的信息报送界面上。这种方式可以为特派办在审计项目执行管理系统的信息报送界面上设立多类多级的上传目录,现场审计人员把现场审计信息通过多类多级报送目录向特派办领导提交,方便特派办领导了解现场的各类信息;也可以满足未直接参与审计项目或未安装AO的审计人员,因工作需要进入审计项目执行管理系统,或了解审计项目有关信息,或将有关信息传送给审计机关;还可以满足负责多个审计项目汇总的审计人员(尤其是地方参与审计署统一组织审计项目的人员,其AO中一般不具有该审计项目的编码),将审计信息报送给上级审计机关。
②审计机关指导现场审计的优点。审计机关对审计现场报送的各类信息经过分析,重大问题经过决策,形成指导意见,通过审计项目执行管理系统功能的信息下发界面上设立的多类多级目录,将审计机关的决策指导信息下发给现场审计。
③审计现场获取审计机关决策指导信息的优点。审计项目执行管理系统功能的信息下发界面上设立了多类多级目录,现场审计可以及时获取审计机关对现场审计的各类指导信息,还可以获取审计机关对现场审计人员除审计项目以外的其他各类信息,如领导讲话、学习通知、节日问候等。
(3)扩展了统一组织项目的现场与机关信息交互。
如图1-3所示,AO通过“国家审计交换中心”的“上传信息”功能报送现场审计信息,“国家审计交换中心”将接收的现场信息自动传送给OA;经审计机关的分析研究,将决策指导信息通过OA发送给“国家审计交换中心”,现场审计人员再通过“国家审计交换中心”获取审计机关的指导信息。同时,现场审计人员还可以通过“国家审计交换中心”的“共享信息”、“交换信息”、“远程审计”、“远程办公”等功能,获取“共享信息”中的各类信息,申请获取“交换信息”中的相关信息,或依权限实现远程审计和远程办公。
这套系统目前部署在审计署。2009年以来,行政事业审计司、农业与资源环保审计司、固定资产投资审计司等利用这套系统,进行了全国性统一组织项目的组织管理。这套系统在2011年审计署组织全国各级审计机关参加的地方政府性债务审计项目中发挥了重要作用。
9.体现和谐包容,与联网审计和其他审计软件友好交互
审计业务涉及的数据格式多样、处理方式多种。AO尽管功能丰富,但不能取代一切。因此,与联网审计和其他审计软件友好交互合作,充分体现了AO的和谐包容。
例1-1 联网审计系统在遇到电子账格式的数据表处理时,AO只要接入该系统数据,完成电子账数据的转换,就能够发挥AO对电子账数据的强大处理功能。
例1-2 固定资产投资项目的工程造价审计中,广联达软件是工程造价审计的专用软件,具有强大的工程量生成和工程造价核算的功能。如何对广联达软件生成的工程造价核算数据进行各种分析?只要将这些数据导入AO,就可以进行单表处理、多表关联处理、分组分析、排序分析、图形化分析等,还可以把该投资项目的立项数据、项目批复数据、招标投标数据、合同数据、资金数据等和工程造价核算数据关联起来,进行结构化、半结构化和非结构化的各类数据分析。
例1-3 审计人员使用Excel非常熟练,被审计单位的数据量较少时,审计人员可以先用Excel进行数据处理,再把处理的数据表引入AO中形成审计证据、审计底稿等资料,实现与OA的交互。
在金审工程应用系统设计之初,就充分考虑了AO与其他审计软件的关系,并且在开发研制中较好地实现了扬长避短、互相利用。AO为其他审计软件提供了一个功能相互利用的桥梁。AO可以利用其他任何审计软件的所有运行阶段的中间审计结果;相对应,其他审计软件也可以利用AO导出的各类数据进行处理,相得益彰。
10.体现信息安全防护思想,配置安全客户端系统
AO每天都在向各级审计机关提供各类现场审计的信息,是金审工程其他各类应用系统的主要信息提供者。而AO和其他所有信息系统一样,其信息和系统服务都可能受到各种危害。因此,从信息系统安全防护的角度看,把住AO的信息安全,就可以有效保障金审工程信息系统的整体安全。
为此,AO 2011版增加了安全客户端系统。其系统配置包括以下几个方面。
(1)CA认证。利用国家电子政务外网统一CA体系,在安全客户端系统配置的迷彩U锁中,配置了审计的CA证书,相应地在审计署国家审计交换中心和省级交换分中心中配置了CA认证网关,用于识别接入用户的合法性。
(2)权限控制。对接入用户进行三级访问权限控制,即可否进入交换中心、数据中心、审计管理系统等各类应用系统,可否进入应用系统的各类应用软件(如审计管理系统的审计计划、审计统计、审计档案等软件),可否进入应用软件的各类应用功能(如审计管理系统的审计计划软件的阅览、增加、修改、删除等功能)。
(3)IP控制。在安全客户端系统配置的迷彩U锁中,设置了两类IP,包括审计人员进入审计机关信息系统的IP,审计人员现场组网的服务器IP。当安全客户端系统配置的迷彩U锁启动时,审计人员只能利用规定的IP进入相关系统;当安全客户端系统配置的迷彩U锁离线(即迷彩U锁未插入计算机)时,可以访问因特网网站,但不能进入上述IP指定的系统。
(4)加密存储。在安全客户端系统中配置了加密箱工具。审计人员需要利用“迷彩U锁控制台”中的“文件保险箱管理”在计算机中建立若干“保险箱”,将需要保护的审计业务和相关数据存储在“保险箱”中。迷彩U锁离线时,“保险箱”自动关闭并隐藏。
(5)加密传输。安全客户端系统在审计人员的计算机和审计机关信息系统的接入端上,分别安装了SSL VPN加密功能。当审计人员的计算机连通审计机关信息系统时,已经在所利用的通信线路中开设了加密通道,保障各类信息的加密传输。
(6)可信环境。可信计算环境是国家信息系统信息安全等级保护的重要思想,是信息系统信息安全的重要防护措施。目前的可信计算环境一般采用白名单技术和主动防御技术。鉴于移动审计的特点,安全客户端系统采用了主动防御技术,在审计人员的计算机中配置主动防御的技术产品。
(7)交换隔离。为确保现场审计与审计机关之间的信息安全交互,安全客户端系统在审计机关信息系统接入端配置了双向交换的安全隔离网关。
(8)安全审计。为确保审计人员的计算机持续地符合安全防护要求,安全客户端系统在审计人员的计算机中配置了安全审计工具,在审计机关信息系统接入端中配置了安全检查和审计工具。审计机关信息系统接入端的安全检查可以对已接入的计算机进行安全检查,对不符合安全要求的计算机进行安全修复;对计算机中的安全审计工具所记录的操作日志进行检查,对不符合安全要求的操作予以制止。