基于数据湖的内部持续审计模式探索

顾明

[摘要]内部审计作为单位经济决策科学化、内部管理规范化、风险防控常态化的一项重要制度设计，不仅是本部门本单位强化内部控制不可或缺的重要手段，也是国家治理体系的基础环节和重要组成部分。读取多源异构原始格式数据的数据湖方法，不仅与审计取证、证明、责任判定等活动具有内在适应性，还有助于机器学习。为此，在审计环境、审计对象信息化、数字化、数据化的发展趋势下，内部审计可以基于此技术方案，探索实时、自动（或半自动）、集控制和预警于一体的综合持续审计模式，挖掘数据潜力，加大审计数据分析模型建设，促进内部审计增值目标的实现。

[关键词]数据湖   持续审计   数据分析   思维

在经济数字化、信息数据化背景下，准确把握新发展阶段、贯彻新发展理念、构建新发展格局对内部审计工作具有重大意义。作为单位经济决策科学化、内部管理规范化、风险防控常态化的一项重要制度设计，内部审计应积极应对新发展阶段的特征，在审计环境、审计对象信息化、数字化、数据化的发展形势下，转变理念，努力学习，实现创新发展。

一、高校内部审计信息化的规范与要求

内部审计机构工作与所在单位组织机构宗旨、发展战略紧密结合。医学院作为集医疗、教学、科研及社会服务全面发展的研究性、创新性医学院校，遵循综合大学的发展规律和医学学科的特殊规律。在数据时代，如何充分利用现代通信、信息等技术手段，创新方式发挥精准分析、宏观指导和科学前瞻作用，为社会提供人才培养、科学研究和医疗卫生服务，从而满足人民日益增长的美好生活需要，是医学院的机遇和挑战，也是医学院内部审计機构的职责所在。

2017年12月，教育部《关于推进直属高等学校内部审计信息化建设的意见》指出，要以提高内部审计质量和效率为目标，加快推进数字化审计方式;审计署《2019年度内部审计工作指导意见》强调，结合本部门本单位业务特点，积极创新内部审计方式方法，加强审计信息化建设，强化大数据审计思维，增强大数据审计能力，综合运用现场审计和非现场审计方式，提升内部审计监督效能。

以上内部审计规范和要求已指明了信息化建设的方向和目标，以下结合本单位信息化战略和日常履职方式和手段，提出适应本单位现实情况的内部审计信息化具体路径。

二、高校信息化与内部审计信息化现状

当前，随着云计算、大数据、物联网等新技术的广泛应用，信息技术对教育的革命性影响日趋明显。党的十八大以来，“互联网+”行动计划、促进大数据发展行动纲要等有关政策的密集出台，信息化已成为国家战略，教育信息化工作坚持以促进信息技术与教育教学深度融合为核心理念，坚持以应用驱动、机制创新为基本方针，加强顶层设计、多方协同推进，以“三通两平台”为主要标志的各项工作取得了突破性进展。利用新技术对教学、科研、管理和生活服务有关的所有信息资源进行全面的科学规范管理，“智慧校园”已成为学校信息化建设的重点。

然而，2016年国内243所高校信息化问卷调查报告显示，国内高校信息化仍存在不少问题。如从管理视角看：数据难共享;部门难协作，身份、密码体系多，师生使用不方便;重管理轻服务;缺乏对历史数据的收集、整理和保存。从技术视角看：缺乏数据标准，造成决策障碍;技术标准不统一，整体规划不详细;业务系统开发和维护模式不统一等。信息化建设缺乏整体统筹，信息孤岛严重，难以满足利用信息技术支持管理和决策需求。高校信息化发展仍处于从手工向计算机转变的信息化初级阶段，与数字化以及智慧化融合、共享仍有相当距离。

高校的内部审计部门，因信息化专业人才缺乏，经费、人力等资源紧张，在繁重的日常审计任务压力下，审计信息化程度更低。已经购置的商业化审计软件，象征意义明显，实效较差，仅能实现手工作业向计算机作业的转移，无法与财务、资产管理系统互连共通，更缺乏与学校整体信息化发展的协调和沟通，审计效率较低，审计质量不稳定，严重影响了内部审计功能和作用的发挥。

三、数据湖方法特征与审计适应性分析

现代IT基础设施正在发生巨大变化，许多大公司都逐渐建立起了数据湖，它是所有数据集的中心。使用传统的数据库或数据仓库方法，通常需要将数据转换为预定义的模式，才能将数据加载到数据库中，而这一过程会耗费大量时间、精力和费用（奥弗·曼德勒维奇等，2018）。更有甚者，在此过程中，与预定数据格式定义不一致的数据，还会被丢弃，导致完整性丧失。数据湖方法具有以原始格式保存所有数据的能力，其获取数据的设计，不采用写入数据的设计，不需要对未来数据使用作出任何假设。而且所有数据都是共享的，并支持所有读取方式，可以使用任意处理引擎或应用程序来检查数据并根据需要作出处理。

审计是一个系统化的取证工作，原始数据、资料是证明事实、责任界定的关键，而不完整的数据，无论从过程还是结果角度，都将成为审计工作的重大瑕疵。特别是在计算机环境下，数据质量尤其难以判断。数据湖方法的原始储存对审计取证、结论和责任认定，无疑具有重大价值（当然，在应用数据湖方法时，需要避免“数据沼泽”问题）。

不仅如此，数据湖方法还支持各种类型的数据存储，包括社交媒体、点击流、传感器数据等，使审计取证的范围更加广泛，多样的证据事实来源有助于审计结论质量的提高。

此外，数据湖方法可以廉价、冗余存储大数据集，为数据预测、预警、数据分析以及机器学习提供坚实的基础，有助于深度信息化、智能化和智慧化发展。

以笔者所在高校为例，在优化信息化基础设施时，已经提出数据湖方案建设规划，此举将构建与审计特征需求更加匹配的基础设施，有助于审计信息化的持续推进。

四、持续审计模式概念与要素

与学校整体信息化的数据湖建设相适应，为了更充分地发挥内部审计在组织治理中的功能和作用，实现从单一事项事后监督向事前预警、从单一问题向组织整体系统和功能完善的转变，可以探索和实践持续审计模式。

持续审计构成要素包括WEB服务器、持续审计环境（被审计单位的实时报告系统和审计人员的监控设备生成的信息流）、数字审计代理（一系列计算机指令或软件），代表审计人员以半自动的方式完成一些与审计业务相关的服务。审计人员通过设置数字审计代理，仿照网络客户机与客户的数据库进行通信，发送请求激活程序或从网络服务器中取回信息，充分利用网上发布的最新信息、持续审计协议、可靠的信息系统、安全的信息传输、长表报告（随时生成审计报告）。

由上可知，持续审计模式是一种新的计算机审计理论、技术和方式，满足信息时代对审计的实时性需求。成熟的持续审计是一种新型融合了各种信息、网络等技术，以可靠的审计环境、信息系统和信息传输安全为基础，具有自动识别审计问题和事项、自动形成报告功能的综合审计方法体系，是全程数字化、自动化或半自动化的审计。以上主要从技术维度对持续审计模式进行归纳，没有强调其实施主体，现实中既可以是外部审计人员，也可以是内部审计人员，这取决于审计协议或者是国家审计监督要求;没有明确具体的审计对象，如常规审计理论与实践中的财务报表审计或财政财务收支审计等;也没有提及审计对象层面涉及的数据，以及形成数字代理过程中所需要的数据，在具体实施中，离不开数据要素的基础。特别是数字代理的形成过程中，与历史数据具有密切关系。客观来看，持续审计与当前流行的大数据审计相比，两者只是强调的重点不同。大数据审计也不是以数据本身为对象的审计活动，更是数据思维以及数据的分析和应用。

五、持续审计模式建设的现实路径

前述分析表明，具体实现实时、数字化、自动化的持续审计模式，将是一个漫长的过程，需要在系统构建过程中不断优化。除技术因素外，还需要依托内部审计以往的经验和优势，即从经济视角，以内部控制流程和系统为逻辑，以各项法律法规和规范为标准，打造具有可操作性的审计作业实施系统和审计管理系统，主要包括以下方面。

第一，学校层面决定开展持续审计的组织实施工作。持续审计建设不是一蹴而就的，是集人力、技术、资金、管理等多方面的协作任务。如1990年，贝尔实验室经过五年研发，才为公司完成了持续审计处理系统的设计，证明了技术上的可行性。尽管当今技术条件已经日新月异，但不能否认，持续审计建设难度仍然较大。特别是内部审计部门，需要得到学校相关技术部门和业务部门的理解、支持和配合。同时，明确享有未来持续审计的权能。

第二，协调开展技术与系统层面的具体工作。由于以往各高校在信息化建设中，大部分是各部门响应信息化建设的号召，自行建设信息化系统，各自为政，缺乏信息化的全局统筹观念;数据之间缺乏整合和统一标准，不能支持基于大数据的分析和应用能力;各部门信息化投入参差不齐，绝大部分部门信息系统没有跨部门协作能力。以笔者所在学校为例，有业务应用系统140余种，但财务部门需要系统加人工方式操作;人、财、物数据仍然通过最原始的手工方式进行数据的采集、存储和计算。为此，内部审计部门将优先选择与财务系统关联度最高的系统作为切入点，实施数据共享和实时监控，如财务预算系统、资产管理系统、科研试剂耗材一站式服务平台等与资产形成和重大支出直接相关的系统。在学校信息部门的大力支持下，通过引入外部专业力量，实现上述数据库的贯通，并实时采集数据。在贯通操作中，主要是将具体行为人与行为过程、财务或资产结果等构建成关联的数据链，并保证数据链及数据的完整、一致、有效和准确。同时，审计人员要积极学习信息技术知识，做好与各方信息技术人员的沟通，保证审计需求技术方案的实现。

第三，审计人员专业经验转化工作。审计人员将面临更繁重的工作，除完成常规审计任务外，还需要系统梳理各项政策、法规和标准，分析以往审计过程中发现问题的特征表现，以探索搭建预警和预测模型，并在现实中不断优化完善。

第四，探索购买外部审计机构的业务管理和系统操作实施服务。受内部审计资源限制，现阶段审计任务多数通过外部审计机构实施（未来随着持续审计模式的实现将大大减少外部审计服务的购买）。而外部审计机构数字化操作实施程度差异较大，在进入校内信息系统时也有较大困难。因此，在实施持续审计时，需要对其赋权，使用作业系统进行系统合理控制，尤其要明确与外部审计机构的权责划分，确保系统使用的安全。

第五，对外部教育管理机关设置开放权限的考虑。当前国家审计机关已经发布了关于内部审计组织及其实施结果的统计制度要求。通过对审计信息化系统使用的赋权，可以更好地实现上级机关的统计报告要求。

综上所述，在当今各项新技术快速发展的背景下，内部审计机构要在学校数据湖建设实施过程中，探索持续审计模式下的内部审计信息化，挖掘数据潜力，加大审计数据分析模型建设，努力促进内部审计为组织增值目标的实现。

（作者单位：上海交通大学医学院，邮政编码：200025，电子郵箱：gumingjun@shsmu.edu.cn）

主要参考文献

陈汉文，韩洪灵.审计理论与实务[M].北京：中国人民大学出版社， 2019

何芹.持续审计研究[M].上海：立信会计出版社， 2008

张文秀，刘雷.持续审计[M].大连：东北财经大学出版社， 2012