線上銷售IT審計及信息系統(tǒng)核查方法-以睿聯(lián)技術(shù)為例

【審核要點】IT審計情況，對線上銷售執(zhí)行的核查程序、范圍、關(guān)注事項、結(jié)論等；IT審計發(fā)現(xiàn)的問題及該問題對發(fā)行人業(yè)務(wù)可驗證性的影響。按照中國證監(jiān)會《首發(fā)業(yè)務(wù)若干問題解答（2020年6月修訂）》問題53的要求說明核查情況。【案例分析】1、首發(fā)問答的要求部分申請首發(fā)企業(yè)，如電商、互聯(lián)網(wǎng)信息服務(wù)、互聯(lián)網(wǎng)營銷企業(yè)等，其業(yè)務(wù)主要通過互聯(lián)網(wǎng)開展。此類企業(yè)，報告期任意一期通過互聯(lián)網(wǎng)取得的營業(yè)收入占比或毛利占比超過30%，原則上，保薦機構(gòu)和申報會計師應(yīng)對該類企業(yè)通過互聯(lián)網(wǎng)開展業(yè)務(wù)的信息系統(tǒng)可靠性分別進行專項核查并發(fā)表明確核查意見。2、IT審計情況，對線上銷售執(zhí)行的核查程序、范圍、關(guān)注事項、結(jié)論等；IT審計發(fā)現(xiàn)的問題及該問題對發(fā)行人業(yè)務(wù)可驗證性的影響中介機構(gòu)根據(jù)發(fā)行人線上銷售的特點，對線上銷售執(zhí)行的核查程序、范圍如下：IT

審計情況（1）核查程序按照《首發(fā)業(yè)務(wù)若干問題解答》等相關(guān)規(guī)定，中介機構(gòu)對發(fā)行人2019年1月1日至2022年6月30日期間公司層面信息技術(shù)控制、信息技術(shù)一般性控制、信息技術(shù)應(yīng)用控制的有效性以及關(guān)鍵業(yè)務(wù)數(shù)據(jù)的完整性和準確性進行核查。核查內(nèi)容如下：1）核查內(nèi)容①公司層面信息技術(shù)控制（ITELC）本部分主要針對核查期間內(nèi)公司

IT

整體控制環(huán)境、風險評估、信息與溝通、監(jiān)控等方面的管理流程和控制措施進行評價，涉及的控制流程包括：A、控制環(huán)境（包括

IT

戰(zhàn)略規(guī)劃、組織架構(gòu)、人員配備、制度建設(shè)等）B、風險評估（包括

IT

風險的識別、評估和應(yīng)對）C、信息與溝通（包括業(yè)務(wù)與

IT

部門的溝通機制）D、監(jiān)控（包括

IT

部門及人員績效考核）②信息技術(shù)一般性控制（ITGC）本部分主要針對核查期間內(nèi)公司關(guān)鍵業(yè)務(wù)系統(tǒng)的信息技術(shù)一般性控制進行測試，識別

IT

內(nèi)部控制流程中可能存在的問題，為業(yè)務(wù)數(shù)據(jù)的完整性及準確性驗證提供支持。涉及的控制流程包括：A、信息系統(tǒng)開發(fā)B、信息系統(tǒng)變更C、信息系統(tǒng)安全D、信息系統(tǒng)運行維護③信息技術(shù)應(yīng)用控制（ITAC）本部分主要針對公司的采購業(yè)務(wù)循環(huán)、銷售業(yè)務(wù)循環(huán)、成本計算流程執(zhí)行穿行測試，識別流程中的關(guān)鍵自動控制及人工依賴

IT

控制，并對這些控制的執(zhí)行有效性進行測試，以驗證信息系統(tǒng)中是否建立了有效的內(nèi)部控制來確保關(guān)鍵財務(wù)及業(yè)務(wù)數(shù)據(jù)的完整性和準確性。所識別和測試的主要控制類型包括編輯檢查、系統(tǒng)配置控制、系統(tǒng)自動計算以及權(quán)限管理和職責分離。利用計算機輔助審計技術(shù)（CAATs），從公司自營官方商城及第三方電商平臺獲取

2019

年

1

月

1

日至

2022

年

6

月

30

日期間的主要線上銷售平臺訂單數(shù)據(jù)，與電商業(yè)務(wù)系統(tǒng)發(fā)貨數(shù)據(jù)按訂單編號進行逐一核對，并與財務(wù)收入確認數(shù)據(jù)進行核對，以驗證公司收入確認依據(jù)的準確性與完整性；獲取官方商城訂單數(shù)據(jù)，與PayPal

賬單全量支付數(shù)據(jù)進行核對，以確認官方商城銷售數(shù)據(jù)的完整性；獲取官方商城電商業(yè)務(wù)系統(tǒng)訂單數(shù)據(jù)與外部物流商對賬單明細按照快遞單號進行逐一匹配核對，以確認官方商城銷售數(shù)據(jù)的完整性。④主要運營及財務(wù)數(shù)據(jù)分析結(jié)合大數(shù)據(jù)分析方法論，充分考慮發(fā)行人海量運營數(shù)據(jù)的特點，梳理出可以完整體現(xiàn)公司及其主要運營情況的核查方式與檢測指標，設(shè)計出由表及里、由淺入深、由全面到重點的分析思路，全面分析發(fā)行人運營系統(tǒng)中的數(shù)據(jù)，識別其中可能存在的數(shù)據(jù)造假環(huán)節(jié)和風險點，以判斷公司各類指標數(shù)據(jù)是否存在異常及虛假的業(yè)務(wù)數(shù)據(jù)。2）核查方法①整體核查方法②主要運營及財務(wù)數(shù)據(jù)分析方法梳理公司日常運營、財務(wù)處理、系統(tǒng)管理、數(shù)據(jù)流轉(zhuǎn)等各關(guān)鍵業(yè)務(wù)流程，結(jié)合監(jiān)管指引要求，在對貫穿于各業(yè)務(wù)環(huán)節(jié)中的經(jīng)營數(shù)據(jù)進行全面分析的基礎(chǔ)上，識別其中可能存在的數(shù)據(jù)造假環(huán)節(jié)和風險點，梳理出可以完整體現(xiàn)公司及其主要運營情況的核查方式與檢測指標，以保證對公司運營及數(shù)據(jù)核查的完備性。在分析過程中，遞進式的開展單指標、雙指標和多指標的分析和對比工作，在分析單個指標趨勢的基礎(chǔ)上，進一步結(jié)合對業(yè)務(wù)的理解，識別出關(guān)鍵指標之間所反映出的業(yè)務(wù)實質(zhì)所存在的關(guān)聯(lián)，分析存在關(guān)聯(lián)性的指標之間的相互影響和相互作用，對各項業(yè)務(wù)環(huán)節(jié)和數(shù)據(jù)全方位的核查。在核查過程中通過對指標數(shù)據(jù)在特定時間周期內(nèi)的趨勢進行分析，對指標在特定時段脫離總體趨勢的情況進行識別，并結(jié)合業(yè)務(wù)解釋進一步對異常時段的數(shù)據(jù)進行全面核驗，確保了核查的深度及對真實性結(jié)論的客觀程度。風險分析內(nèi)容包括：平臺經(jīng)營數(shù)據(jù)風險分析、平臺用戶數(shù)據(jù)風險分析、用戶行為數(shù)據(jù)風險分析、獲客成本分析、獲客轉(zhuǎn)化分析、訂單區(qū)域分布分析、客戶消費金額分層風險分析、月度銷售數(shù)據(jù)風險分析、大額訂單集中度風險分析、新老客戶維度風險分析、高頻客戶風險分析、同一收貨地址風險核查等。3）具體核查程序中介機構(gòu)對發(fā)行人信息系統(tǒng)及線上銷售收入執(zhí)行了IT審計程序，并出具了《信息系統(tǒng)核查報告》，具體核查程序如下：（2）核查范圍本次核查范圍內(nèi)的信息系統(tǒng)包括：自營官網(wǎng)系統(tǒng)、電商業(yè)務(wù)系統(tǒng)和財務(wù)系統(tǒng)。（3）關(guān)注事項基于對公司系統(tǒng)環(huán)境及業(yè)務(wù)的理解和所識別的風險，根據(jù)業(yè)務(wù)層級和發(fā)生的順序?qū)︼L險進行識別，進而梳理出各環(huán)節(jié)存在的風險作為關(guān)注事項，重點關(guān)注業(yè)務(wù)數(shù)據(jù)的真實性。具體關(guān)注點和風險列示如下：（5）IT

審計發(fā)現(xiàn)的問題及該問題對發(fā)行人業(yè)務(wù)可驗證性的影響如上所述，公司層面信息技術(shù)控制、信息技術(shù)一般性控制、信息技術(shù)應(yīng)用控制均為整體有效，未發(fā)現(xiàn)影響業(yè)務(wù)、財務(wù)數(shù)據(jù)準確性、完整性重大或重要的控制缺陷，對業(yè)務(wù)可驗證性無影響。在核查過程中，完整獲取了公司內(nèi)部系統(tǒng)數(shù)據(jù)、財務(wù)數(shù)據(jù)和外部平臺規(guī)則范圍內(nèi)所能夠獲取的交易數(shù)據(jù)，未受限制。具體發(fā)現(xiàn)的問題及影響情況如下：發(fā)行人未對客戶端電腦統(tǒng)一部署防病毒軟件。報告期間未發(fā)生病毒入侵相關(guān)的重大生產(chǎn)事件，因此，保薦機構(gòu)和申報會計師認為該控制缺陷對財務(wù)報表數(shù)據(jù)有效性、真實性、完整性無影響，對公司財務(wù)報表審計及業(yè)務(wù)驗證無影響。發(fā)行人缺乏異地備份機制，未對系統(tǒng)數(shù)據(jù)進行異地備份。報告期內(nèi)未發(fā)生原數(shù)據(jù)及備份介質(zhì)同時被損壞，導致數(shù)據(jù)丟失且無法恢復的事件發(fā)生。因此，保薦機構(gòu)和申報會計師認為該控制缺陷對財務(wù)報表數(shù)據(jù)有效性、真實性、完整性無影響，對公司財務(wù)報表審計及業(yè)務(wù)驗證無影響。發(fā)行人已針對上述問題進行相關(guān)制度完善。經(jīng)過主要運營及財務(wù)數(shù)據(jù)分析，通過執(zhí)行上述IT審計程序未發(fā)現(xiàn)公司線上銷售收入存在異常的情況。3、按照中國證監(jiān)會《首發(fā)業(yè)務(wù)若干問題解答（2020年6月修訂）》問題53的要求說明核查情況按照中國證監(jiān)會《首發(fā)業(yè)務(wù)若干問題解答（2020年6月修訂）》問題53的要求說明核查情況如下表所示：【附件】《首發(fā)業(yè)務(wù)若干問題解答（2020年6月修訂）》問題53問題53、對于主要通過互聯(lián)網(wǎng)開展業(yè)務(wù)的申請首發(fā)企業(yè)，保薦機構(gòu)和申報會計師在信息系統(tǒng)核查方面，應(yīng)做好哪些工作？答：部分申請首發(fā)企業(yè)，如電商、互聯(lián)網(wǎng)信息服務(wù)、互聯(lián)網(wǎng)營銷企業(yè)等，其業(yè)務(wù)主要通過互聯(lián)網(wǎng)開展。此類企業(yè)，報告期任意一期通過互聯(lián)網(wǎng)取得的營業(yè)收入占比或毛利占比超過30%，原則上，保薦機構(gòu)和申報會計師應(yīng)對該類企業(yè)通過互聯(lián)網(wǎng)開展業(yè)務(wù)的信息系統(tǒng)可靠性分別進行專項核查并發(fā)表明確核查意見。發(fā)行人應(yīng)向保薦機構(gòu)和申報會計師完整提供報告期應(yīng)用的信息系統(tǒng)情況，包括系統(tǒng)名稱、開發(fā)人、基本架構(gòu)、主要功能、應(yīng)用方式、各層級數(shù)據(jù)瀏覽或修改權(quán)限等；應(yīng)向保薦機構(gòu)和申報會計師核查信息系統(tǒng)數(shù)據(jù)開放足夠權(quán)限，為其核查信息系統(tǒng)提供充分條件。（1）對于直接向用戶收取費用的此類企業(yè)，如互聯(lián)網(wǎng)線上銷售、互聯(lián)網(wǎng)信息服務(wù)、互聯(lián)網(wǎng)游戲等，保薦機構(gòu)和申報會計師的核查應(yīng)包括但不限于以下方面：①經(jīng)營數(shù)據(jù)的完整性和準確性，是否存在被篡改的風險，與財務(wù)數(shù)據(jù)是否一致；②用戶真實性與變動合理性，包括新增用戶的地域分布與數(shù)量、留存用戶的數(shù)量、活躍用戶數(shù)量、月活用戶數(shù)量、單次訪問時長與訪問時間段等，系統(tǒng)數(shù)據(jù)與第三方統(tǒng)計平臺數(shù)據(jù)是否一致；③用戶行為核查，包括但不限于登錄IP或MAC地址信息、充值與消費的情況、重點產(chǎn)品消費或銷售情況、僵尸用戶情況等，用戶充值、消耗或消費的時間分布是否合理，重點用戶充值或消費是否合理；④系統(tǒng)收款或交易金額與第三方支付渠道交易金額是否一致，是否存在自充值或刷單情況；⑤平均用戶收入、平均付費用戶收入等數(shù)值的變動趨勢是否合理；⑥業(yè)務(wù)系統(tǒng)記錄與計算虛擬錢包（如有）的充值、消費數(shù)據(jù)是否準確；⑦互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）或帶寬費用的核查情況，與訪問量是否匹配；⑧獲客成本、獲客渠道是否合理，變動是否存在異常。（2）對用戶消費占整體收入比較低，主要通過展示或用戶點擊轉(zhuǎn)化收入的此類企業(yè)，如用戶點擊廣告后向廣告主或廣告代理商收取費用的企業(yè)，保薦機構(gòu)和會計師的核查應(yīng)包括但不限于以下方面：①經(jīng)營數(shù)據(jù)的完整性和準確性，是否存在被篡改的風險，與財務(wù)數(shù)據(jù)是否一致；②不同平臺用戶占比是否符合商業(yè)邏輯與產(chǎn)品定位；③推廣投入效果情況，獲客成本是否合理；④用戶行為真實性核查，應(yīng)用軟件的下載或激活的用戶數(shù)量、新增和活躍的用戶是否真實，是否存在購買虛假用戶流量或虛構(gòu)流量情況；⑤廣告投放的真實性，是否存在與廣告商串通進行虛假交易；⑥用戶的廣告瀏覽行為是否存在明顯異常。如因核查范圍受限、歷史數(shù)據(jù)丟失、信息系統(tǒng)缺陷、涉及商業(yè)秘密等原因，導致無法獲取全部或部分運營數(shù)據(jù)，無法進行充分核查的，保薦機構(gòu)、會計師應(yīng)考慮該等情況是否存在異常并就信息系統(tǒng)可靠性審慎發(fā)表核查意見，同時，對該等事項是否構(gòu)成本次發(fā)行上市的實質(zhì)性障礙發(fā)表核查意見。發(fā)行人日常經(jīng)營活動高度依賴信息系統(tǒng)的，保薦機構(gòu)和申報會計師應(yīng)參照上述內(nèi)容對信息系統(tǒng)可靠性進行專項核查并發(fā)表明確核查意見。此外，發(fā)行人主要經(jīng)營活動并非直接通過互聯(lián)網(wǎng)開展，但其客戶主要通過互聯(lián)網(wǎng)銷售發(fā)行人產(chǎn)品或服務(wù)，如發(fā)行人該類業(yè)務(wù)營業(yè)收入占比或毛利占比超過30%，保薦機構(gòu)和申報會計師應(yīng)核查