信息处理控制

　　信息处理控制，是指与被审计单位信息系统中下列两方面相关的控制：（1）信息技术应用程序进行的信息处理；（2）人工进行的信息处理。

　　信息处理控制既包括人工进行的控制，也包括自动化控制。信息外理控制一般要经过输入、外理及输出等环节。与人工控制类似，系统自动化控制关注的要素包括：完整性、准确性、存在和发生等。各要素的主要含义如下:

　　1.完整性。系统处理数据的完整性，例如各系统之间数据传输的完整性销售订单的系统自动顺序编号、总账数据的完整性等。

　　2.准确性。系统运算逻辑的准确性，例如金融机构利息计提逻辑的准确性、生产企业的物料成本运算逻辑的准确性、应收账款账龄的准确性等。

　　3.存在和发生。信息系统相关的逻辑校验控制，例如限制检查、合理性检查、存在检查和格式检查等。部分业务操作的授权管理，例如入账审批管理的权限设定和授予、物料成本逻辑规则修改权限的设定和授予等。

　　针对系统自动化控制的信息处理控制审计需要在理解业务流程的基础之上进行识别和定义，常见的系统自动化控制以及信息处理控制审计关注点列示如下：

　　1.系统自成报告。企业的业务或财务系统会定期或按需生成各类报告，例如账龄报告、贷款逾期报告、业务和财务数据核对差异报告等。信息处理控制审计包括对这些报告生成逻辑（包括完整性和准确性）的测试、异常报告跟进控制的审计等。

　　2.系统配置和科目映射。信息系统中包含了大量的自动化校验控制和映射关系，包括数据完整性校验、录入合法性编辑检查、边界阈值设定、财务科目映射关系等。信息处理控制审计会对这些系统配置和映射关系的存在性和有效性进行测试。

　　3.接口控制。接口控制包括各业务系统之间、业务和财务系统之间、企业内部系统和合作伙伴/交易对手/监管机构之间的接口数据传输。信息处理控制审计会对这些接口数据传输的完整性和准确性进行测试。

　　4.访问和权限。企业内部各业务部门、财务部门、信息技术部门等均会根据各自的职责需要来对信息系统进行访问，各部门、各团队甚至各岗位访问的权限均可能存在差异，因此在系统控制层面需要对这些权限进行明确的定义和部署，以保证适当的人员配备适当的访问权限。信息处理控制审计会对这些访问权限授予情况的合理性进行测试。

　　公司层面信息技术控制情况代表了该公司信息技术控制的整体环境，包括该公司对于信息技术的重视程度和依赖程度、信息技术复杂性、对于外部信息技术资源的使用和管理情况、信息技术风险偏好等，这些要素会影响该公司信息技术一般控制和信息处理控制的部署和落实。例如，如果某公司使用了较多的信息技术外部资源和服务，则可能会相应地提高外部用户管理和外联接口失效的风险，因此需要更多关注信息技术一般控制领域内的用户管理类控制，特别是外部用户管理机制，以及信息处理控制的外部系统接口管理机制等。

　　根据目前信息技术审计的业内实践，注册会计师在执行信息技术一般控制和信息处理控制审计之前，会首先执行配套的公司层面信息技术控制审计，以了解公司的信息技术整体控制环境，并基于此识别出信息技术一般控制和信息处理控制的主要风险点以及审计重点。

　　信息处理控制是设计在计算机应用系统中、有助于达到信息处理目标的控制。例如，许多应用系统中包含很多编辑检查来确保录入数据的准确性。编辑检查可能包括格式检查（如日期格式或数字格式）存在检查（如客户编码存在于客户主数据文档之中）或合理性检查（如最大支付金额）。如果录入数据的某一要素未通过编辑检查，那么系统可能拒绝录入该数据或系统可能将该录入数据拖入系统生成的例外报告之中，留待后续跟进和处理。

　　如果在带有关键的编辑检查功能的应用系统所依赖的计算机环境中发现了信息技术一般控制的缺陷，注册会计师可能就不能信赖上述编辑检查功能按设计发挥作用。例如，程序变更控制缺陷可能导致未授权人员对检查录入数据字段格式的编程逻辑进行修改。以至干系统接受不准确的录入数据。此外，与安全和访问权限相关的控制缺陷可能导致数据录入不恰当地绕过合理性检查，而该合理性检查原本应能使系统拒绝处理金额超过最大容差范围的支付操作。

　　因此，公司层面信息技术控制是公司信息技术整体控制环境，决定了信息技术一般控制和信息处理控制的风险基调；信息技术一般控制是基础，信息技术一般控制的有效与否会直接关系到信息处理控制的有效性是否能够信任。