教育信息化2.0背景下的高校内部审计探究.docxVIP

?

?

教育信息化2.0背景下的高校内部审计探究

?

?

方盈月

[摘要]随着《教育信息化2.0行动计划》的发布，各大高校将“互联网+教育”业务模式引入校园，对高校传统内部审计工作的方式与方法提出新的挑战。本文以信息技术内部审计为基线，对高校内部审计计划阶段、测试阶段及报告阶段工作的方式方法进行探究。

[关键词]信息化2.0??行动计划??高等教育??内部审计

教育部2018年4月发布的《教育信息化2.0行动计划》指出，要积极推进“互联网+”的发展，希望到2022年基本建成“互联网+教育”大平臺。随着各高校大力发展并引入“互联网+教育”的业务模式以及相关教育业务模式和财务核算数据来源的变更，对高校内部审计提出新的挑战。顺应“教育信息化2.0”发展潮流，强化内部审计在自动化流程中的应用显得尤为重要，内部审计的方式方法也应作出相应调整。

一、计划阶段

（一）了解学校信息技术整体情况

对于新的系统和工作流程，高校内部审计人员需先了解相关信息技术实施后的整体情况，主要包括：信息化办公室的主要成员及主要职责;各子系统所处理业务的性质（如教学业务、学工业务、党务业务、科研业务、财务业务、社区业务等）;主要流程对信息技术控制的依赖程度;是否存在相关政策与程序以确保信息技术控制得以执行;信息化办公室覆盖的二级学院、职能处室的数量等。

（二）进行信息技术风险评估

信息技术风险评估是在内部审计人员了解高校各项教育教学业务环境的基础上识别并评估实质性重大错报风险的流程，主要包括识别业务流程、识别风险点及识别相关控制（手工控制和自动控制），具体包括：在自动流程和手工流程中，根据需要发起、授权、记录、处理和纠正的各业务子系统向财务系统进行传输与核对;在高校财务报告中用于发起、授权、记录、处理及上报业务子系统的相关会计科目记录;信息输入信息系统的方式;信息在系统内的存储及访问方式;信息在归纳、汇总和计算过程中的节点;人工干预信息的过程;各教育教学业务流程相关负责人员对信息的审核过程等。

（三）确定测试范围

内部审计人员应结合对高校业务的了解和对信息技术的风险评估，确定测试的性质、时间及范围。测试内容主要包括以下方面：

1.学校层面控制。主要包括学校的控制环境、风险评估、信息、沟通、监督等内容。具体表现为学校信息科技发展规划、学校信息技术组织架构、学校信息技术风险管理框架等。

2.信息技术应用控制。主要包括系统访问权限控制、异常和差错报告、接口控制、系统配置及科目映射等。

3.信息技术一般性控制。测试的范围由信息技术应用控制测试范围确定，应覆盖应用控制涉及的全部系统。高校信息技术一般性控制的测试内容通常包括对程序和数据的访问、程序变更、程序开发、系统运行四个方面。

4.数据分析。主要包括预测分析、趋势分析、比率分析、财务数据分析等。

二、测试阶段

（一）学校层面控制测试

学校层面控制为其他控制活动的有效设计及运行提供基础，其识别与评估可能影响后续控制活动测试的性质、时间和范围。因此，学校层面控制应在审计程序中优先考虑。学校层面控制的测试领域通常包括控制环境、风险评估、信息与沟通、监督四个方面。测试方法主要包括访谈和查阅。访谈学校信息化办公室负责人员，了解学校在信息技术发展规划中制订的中长期发展规划及其更新、重新规划和调整以及总结机制;对于特定的学校层面控制，可通过查阅获取执行有效性证据，如查阅信息技术战略规划与审批记录、工作报告等。

（二）信息技术应用控制测试

1.系统访问权限控制。通常包括系统访问权限控制、职责分离、授权与审批，一般要求系统在基于角色与权限划分的基础上，用户具备一定的系统访问权限。同时，在流程中进行控制，即完成某项既定流程需不同权限的角色用户进行操作，以实现职责分离。在测试中，需考虑基于学校领导岗位的职责和各项教育教学业务规则是否对职责进行适当的分离，并执行适当的授权与审批。

2.异常和差错报告。异常和差错报告主要为系统校验控制，旨在识别违反设定标准的情况，如教师报销的差旅费金额超过学校《差旅费管理办法》规定的上限。测试时需考虑系统是否设置阈值或校验标准，对异常和例外情况进行识别;需至少选择几种场景进行验证，即满足阈值的任意场景、不满足阈值的任意场景、满足或不满足阈值临界点的场景;报告是如何生成的，若实时异常报警后，业务是否停止或进入异常处理流程;若非实时报告，报告的频率和相关报告生成的控制;报告是自动生成还是手动创建，若为手动创建，谁可以修改报告。

3.接口控制。接口控制可能存在于应用间、数据库间和系统间。进行测试时需重点关注：接口涉及的系统有哪些？信息是手工控制还是系统自动完成？传输频率是实时还是批量？若涉及手工操作，接口是否涉及人工干预？是否存在对数据的修改权限？接口控制是系统缺省设置还是指定设置？是否为统一标准