审计师网络数据库技术规范

计算机审计专员应掌握的专业知识与技能

《审计法》第十二条规定：审计人员应当具备与其从事的审计工作相适应的专业知识和业务能力。审计工作是一项综合性很强的工作，客观需要其人员的知识结构层次呈现多学科、多领域的状态。因此，审计人员必须随着时代的发展，不断学习，尽快实现知识更新换代，努力达到一专多能、精益求精的要求。随着计算机信息技术和会计电算化的迅猛发展，计算机辅助审计技术在审计实务中得到了广泛应用和推广，计算机审计在提高审计效率和审计质量方面发挥着越来越重要的作用，同时也对广大审计人员特别是从事计算机辅助审计工作的人员在知识技能方面提出了更高的要求。笔者认为，一名合格的计算机审计人员至少应具备以下专业知识与技能。

一、计算机专业知识。

作为一名计算机审计人员，首先必须掌握扎实的计算机专业知识，这是计算机审计人员与一般审计人员在专业知识要求上的最大差别。一般审计人员能够熟练运用AO软件进行计算分析、查询汇总等操作即可，而计算机审计人员则必须掌握更高层次的计算机知识，具体包括：一是系统相关知识，包括计算机软、硬件系统的构成及工作原理，操作系统及常用软件的安装、使用及维护等。二是数据库系统相关知识。计算机审计人员必须掌握数据库的基础理论知识，了解数据库系统的组成、结构以及关系数据库理论基础等相关知识，熟悉常见的Access、SqlServer、db2、Oracle等数据库系统的数据操作及不同数据库之间数据的相互转换。三是计算机网络相关知识。包括数据交换技术、TCP/IP协议、常见网络互联设备的使用、网络连接与配置等。四是计算机语言相关知识。

计算机审计人员应熟练掌握SQL语句、审计脚本语言(ASL)等计算机语言，能够运用计算机语言进行审计数据分析、查找审计疑点。五是信息系统相关知识。计算机审计人员应了解信息系统的基本构成及设计原理，熟悉信息系统审计的内容及开展信息系统审计的主要技术方法。笔者认为，计算机审计人员的计算机专业知识应保证计算机审计人员具备以下五种能力：

一是能打开被审计单位的数据库并将被审计单位数据库转换过来。计算机审计人员需要熟悉被审计单位的计算机操作系统和数据库管理系统，能够进行基本的数据库操作，对数据库进行备份、恢复或导入导出等，要能将被审计单位数据库业务数据和财务数据转换到审计人员熟悉的数据库系统或审计软件中。二是能采取多种方式进行数据分析。除使用专门的审计软件外，最好还能够掌握数据库客户端软件的使用，可以更加灵活地进行数据分析。三是能在审计现场搭建临时网络。临时网络主要是利用服务器运算速度快、存储容量大的特点来提高数据分析效率，发挥协同办公作用，尤其适合数据量大的项目，同时也有利于数据的安全管理。四是能排除常见的软硬件故障。在数据采集和分析过程中，计算机审计人员要具备一些解决操作系统和数据库管理系统基本故障能力，解决操作过程中出现的小问题，使数据采集和分析工作顺利开展。五是能够运用信息系统了解、描述、测试的相关方法对被审计单位信息系统开展信息系统内部控制、信息系统组成部分及信息系统生命周期的审计。

二、审计专业知识。

审计方法选择恰当与否，不但会直接影响到审计工作效率的提高，而且还会对审计质量、结果产生很大影响。计算机审计人员首先是一名审计人员，因此，必须熟悉和掌握审计专业相关知识。一是必须熟练掌握并灵活运用各种审计方法，如审阅法、核对法、查询法、比较法、分析法、顺查法、逆查法、详查法、抽查法、盘点法、调节法、观察法等，熟知并在实践中实施审计全过程。二是熟知审计实施全过程的程序及内容。就国家审计而言，审计实施阶段可划分为三个阶段：审计准备阶段、审计实施阶段、审计终结阶段。(1)审计准备阶段。其工作主要包括：①了解被审计单位的基本情况。②下达审计通知书。③初步评价被审计单位的内部控制制度，分析审计风险。④编制审计计划。(2)审计实施阶段。审计实施阶段是审计全过程的中心环节，其主要工作是：①按照审计计划要求，对被审计单位内部控制系统的建立及其遵守情况进行检查。②对会计报表项目实施重点、细致地检查。③收集审计证据并编制审计工作底稿。(3)审计终结阶段。审计终结阶段是报表项目审计工作的结束。其主要工作有：①整理、评价审计过程收集的审计证据。②复核审计工作底稿。③评价审计结果。④编写审计报告。

三、会计专业知识。

会计专业知识是开展审计工作的基础知识，在一定程度上影响着审计工作质量的`提高。因此，计算机审计人员还应熟悉掌握《财务会计》、《财务管理》等会计专业的相关知识，通过审查分析财务会计数据，反映被审计单位管理过程中的利弊得失，为改进被审计单位的财务管理工作提出合理化建议和措施。同时，计算机审计人员应了解会计信息系统的基本核算原理、存储程序控制原理与构成、主要数据文件分类以及辅助核算等相关知识，熟悉信息化条件下的会计专业知识。

四、法律法规知识。

开展计算机审计的过程就是将审计思路转化为计算机语言并执行的过程。而要针对被审计单位的财务或业务数据确定审计思路，首先必须熟悉国家的法律法规和相关行业的规章制度。例如在开展五项社保基金审计时，计算机审计人员首先应该掌握和了解与五项社保有关的法律法规制度，能够把握社保资金管理使用中的热点和重点，充分利用计算机实现审计目标。再如在开展新农合基金审计时，如果不了解国家及当地政府关于新农合基金管理的相关规定，就无法确定对被审计单位电子数据应该进行哪些分析，设定何种条件查找哪些疑点数据。因此，计算机审计人员必须熟悉相关的法律法规，因为这是确定审计思路的基础。

在法律法规的具体使用方面，应从以下几个方面把握：一是定性依据要注意法律、法规的层次性。法律、法规范围广，有国家立法机关制定的法律，有国务院颁布的行政法规，有地方立法机关和行政机构制定的地方性法律、法规，有行业、部门制定的规章制度，层次越高的政策法规覆盖面越大，宏观指导性越强，而政策法规的层次越低，其针对性、适用性越强。在具体引用时，应从实际出发，具体问题具体对待，一般情况下，宜从低层次向高层次选择，若遇到低层次法规与高层次法规相抵触时，应适用高层次法规。二是要注意法律、法规的时效性。审计定性时，应以审计事项发生时适用的法规、制度作为衡量标准，而不能以现时或过时的法规、制度作为衡量标准。三是要注意法律、法规的地域性。有些法规只在一定的地区有效，不能把其他地区制定的地方性法规作为本地区审计定性的依据。

五、表达沟通能力。

对一个审计项目而言，审计项目质量的高低，需要审计组集体的智慧，计算机审计人员作为审计组的成员，需要将审计组的审计思路和个人的计算机技术融合起来，才能充分发挥作用，这就需要计算机审计人员能够通过与其他审计人员的沟通，将审计思路转化为计算机语言去执行;在对被审计单位信息系统进行调查了解以及提出数据采集要求时，计算机审计人员必须向被审计单位相关人员进行必要的说明。这些都要求计算机审计人员有较强的表达沟通能力，具体应达到一下几点要求：一是审计内容、审计目标能够说清楚。不仅是向领导汇报工作时要把情况说清楚，对被审计单位或者进行调查取证时，更要把审计内容、审计目标或者意图说清楚，以建立起和谐的审计关系，营造良好的审计执法环境。二是审计事实要说清楚。不能凭经验、凭感觉进行审计，更不能搞合理推测。对每个审计问题都必须搞清来龙去脉，做到一事一证，事实清楚，证据确凿。三是审计定性依据、处理结果能够说清楚。对被审计单位的意见与要求能够说得明白。四是审计建议能够说清楚。要能对审计中查出的问题或现象，进行深入地剖析，查找深层次的原因，提出有针对性、可操作的审计意见和建议，以满足不同层面的需求，促进审计成果转化。

六、文字写作能力。

计算机审计人员要能够对审计过程中利用计算机审计发现问题的事实、定性、处理处罚以及审计建议在审计报告中进行准确的表述，同时，计算机审计人员还应该及时总结开展计算机审计的方法及经验，编写AO应用实例及计算机审计方法，这些都需要计算机审计人员具有较强的文字写作能力，对审计专业方面的内容能够准确、清晰、简练的进行表述。具体来说，应达到三项要求：一是要重视谋划布局。审计文书不是资料的简单堆积，更不是任意地罗列。要精心设计撰写提纲，按公文要求分清段落，突出层次性，增强审计文书的内在逻辑性。同时，要笔墨均衡，保证文章的整体性。二是要简明扼要、通俗易懂。审计文书实质是法律文书的一种，简明扼要、严谨是法律文书的共性。切不可冗长，总怕别人看不明白，画蛇添足。

同时，要注意改进文风，切不可数字连串、专业术语连篇。对于报告中涉及到的比较生疏的专业术语或一些主要数据的勾稽关系，一定要加以注明，防止让人越看越糊涂，不得要领。三是用词规范、严谨。不用或尽可能少用形容词、词意表达不准确的词或生疏的字、词。对问题的定性语要认真推敲，从法律角度、政策规定角度进行考证。

数据库是任何商业和公共安全中最具有战略性的资产，通常都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其他非法者获取。互联网的急速发展使得企业数据库信息的价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：1. 管理风险：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，离职员工的后门，致使安全事件发生时，无法追溯并定位真实的操作者。2. 技术风险：Oracle, SQL Server是一个庞大而复杂的系统，安全漏洞如溢出， 注入层出不穷，每一次的CPU（Critical Patch Update）都疲于奔命， 而企业和政府处于稳定性考虑，往往对补丁的跟进非常延后，更何况通过应用层的注入攻击使得数据库处于一个无辜受害的状态。3. 审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的有效性和公正性。此外，对于海量数据的挖掘和迅速定位也是任何审计系统必须面对和解决的一个核心问题之一。伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。

第一节 电子数据的获取 审计人员采用审计软件进行审计，须先取会计电子数据。如何取得电子数据，应根据不同的网络环境和工作平台，采取不同的方式来处理。 1 、确定客户是单机还是网络型数据库。客户使用的是单机或网络数据库是由客户所使用的会计软件所决定，会计软件有单机版和网络版之分，一般来讲大中型企业，应用网络版较多，中小企业使用单机版较多，审计人员可以通过询问了解，确定该客户使用会计软件是单机版还是网络版。 2 、确认客户的工作平台。工作平台一般有三种，常见平台有：第一种 DOS 环境，第二种 WINDOWS 系列，第三种 UNIX 系统。 3 、会计数据库指定。 DOS 或 WINDOWS 环境下的单机版，首先找到数据库文件，确定数据库文件名，将该文件拷贝到审计工作区即可。如何找到数据库文件呢？一般来讲，单机数据库是以文件形式存的，确定该文件的位置，将其拷贝至审计工作区即完成会计数据的指定。 方法一：根据数据库的后缀可确定数据库的类型，如，后缀和数据库类型对照如下表。 后缀名 数据库类型 DBF DBASE 或 FOXPRO DB PARADOX ， SYBASE 单机版 MDB ACCESS TXT 文本类型 方法二：审计人员也可以通过输入几张凭证来查找出存放会计数据的数据库，有可能根据文件更新的时间来确定数据库。 方法三：主要通过和会计人员交谈，来确定数据库的位置，也可通过询问软件公司或软件设计人员来确定其位置。 4 、网络型数据的获取数据方法。 方法一：通过 ODBC 连接，用数据库所提供的终端驱动来直接连接至数据库，读取数据。 用友 采集 .doc 方法二：大型数据库一般具有输出成其它数据库格式的功能，能将所需数据表转换为其它数据库格式文件。 如： SQLSEVER 中输出数据的功能项为 Import and Export Data 执行 ， 待出现 Data transformation Servies Wizard .第一， Source 选择界面中最底行 database 选所要访问的数据库。第二， . 执行下一步会出现 Destination 界面与 Source 界面相似。只是 Destination 数据而已。选择所导出的数据库类型。注：若选择 Access 等需是已建立的空库如 .随后一步步执行即可。 Sqlserver 数据库导出介绍 .doc 5 、 UNIX 操作系统下数据库的利用。装有 WINDOWS 终端时或可装 WINDOWSNT 终端，通过数据库所提供的终端驱动来直接连接至数据库，读取数据。转成单机数据库，首先在该 UNIX 操作系统下将数据转换成单机数据库。然后，在 UNIX 操作系统下可用命令 ‘ DOSCOPY ' 或’ DSCOPY '来将数据拷贝成 DOS 文件格式。 第二节 数据获取案例 一。数据获取举例： 1 . 用友 6 用友V6 采集 .doc 2 . 用友 7 3 . 用友 8 用友 采集 .doc Sqlserver 数据库导出介绍 .doc 4 . 金蝶 6 5 . 金蝶 8 类似用友 8 6 . 天翼。软件本身有 ， 可将数据导出为 DBF 型 数据。 7 . 邮政。软件本身有导出为 DBF 数据库的功能。 8 . 远光， SQLSEVER 数据库。 9 . 金算盘 ， 单机板数据库为 ACCESS 型 *.mdb， 口令为“ gold ”。网络版本为 Oracle 输出为文本文件。 10 . 安易财务软件单机版为 DBASE ，网络版为 SQLSEVER . 11 . 以浪潮软件为例，在软件中有数据导出功能，可将帐务数据导出为文本文件。 12 . 通用财务软件为 ACCESS97 数据库 ， 但其数据文件后缀为 ，*.DB 其它各类软件，不外乎以下各类数据库，现归纳如下。 第三节 各类数据库导数方法 1. Access ACCESS 数据的导入 .doc 1）。 导入其它数据库 2 ）导入文本文件 3 ） ODBC 导入 2. Execl 如何运用 EXCEL 读取文本文件 .doc 1 ）打开 DBASE 文件 2 ）导入文本文件 3. SQLSEVER 4. Oracle 1） ODBC 设置ODBC 用 ACCESS 导出较为常用 ， 参见 ACCESS 数据导入。 2） 文本文件 由系统管理员用 SQLPLUS 引出数据为文本文件。 5. Sybase 1 ） ODBC 2 ） 导出为文本文件如，浪潮软件系列。 6. Db2 1 ） ODBC 2 ）文本文件 7. BDE 第四节 数据转移方法 1 . 软盘。压缩工具 rar 、 zip 、 arj 等工具。在光盘工具目录下有各压缩工具。 1） 在 windows 环境下推荐使用 winzip，rar 来压缩和解压，要求在客户机上能使用 winzip 或 rar .审计人员应掌握以上软件的用法，特别是文件较大时，压缩至多张盘的用法。选项中注意明确文件名为长文件名，文件类型为 win95/98， 多张盘压缩时可直接压缩至 A 盘。 2） 用软件拷贝，如， dos 环境下可用 ARJ 先将数据压缩成一张软盘大小可容纳的文件，然后拷贝至软盘。具体操作命令： ARJ a test *.* 解释：将该目录下所有文件压缩至 （压缩好的文件名） . 若数据较大，需压缩至多张软盘，具体操作命令： ARJ a – r – v1440 test *.* 解释：将该目录下的所有文件，包括下级目录下的文件，压缩至 ， ， …。然后将压缩好的文件 ， ， …分别拷贝至软盘。 解压命令为： ARJ x 多张盘解压命令为： ARJ x – vv . 2 .双机互连线，前提是双机须有网卡 ， 用特制网线连接，双机域名，工作组名相同，双机可看见，若看不见，须互相查找以传递数据。特制网线的制作和一般网线稍有不同， A 机的端口中的第 1 和 2 根线对应 B 机的第 3 和 6 根线，同样 B 机的第 1 和 2 根线对应 A 机的第 3 和 6 根线。 3 . 网络传送。将该机设为网络终端，以终端身份访问网络中的服务器或其它机器。 4 . 优盘。大小为 32M ， 64M ， 128M . 5 . USB 连线。须安装驱动程序。 6 . 移动硬盘。 取得会计电子数据后，即可对其进行审计分析相关热词：审计人员获取审计数据