信息安全风险、内部控制有效性与审计师行为，本文主要内容关键词为：信息安全论文,内部控制论文,有效性论文,审计师论文,风险论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
[中图分类号]F235 [文献标识码]A [文章编号]1007-9556(2014)11-0112-13 随着互联网的迅猛发展以及企业信息化的逐步深入，企业的日常运营越来越依赖于IT(Information Technology)系统的正常运行。企业对信息系统的使用越多，规模和覆盖面越大，复杂度越高，安全隐患也越多，信息技术中存在的安全漏洞是导致这些问题的关键因素。安全漏洞是指信息技术、信息产品、信息系统在设计、实现、配置和运行等过程中，操作实体有意或无意产生的缺陷(中国国家安全漏洞库，2010)。安全漏洞是网络时代的一种客观存在，其一旦被恶意主体发觉并利用，就可能损害计算机及相关信息系统的安全性，进而影响甚至破坏、中断计算机及相关信息系统的正常服务(张涛、吴冲，2008)。 IT风险已成为公司管理层、监管部门等重点关注的问题，IT内部控制也成为企业内部控制的重要组成部分。由于计算机及信息系统存在安全漏洞，导致企业的控制风险(Control Risk)、固有风险(Inherent Risk)和(或)信息风险(Information Risk)增加，审计师为了控制整体的审计风险必然会降低检查风险(Detection Risk)，从而影响审计风险。基于此，本文根据审计风险模型和制度经济学原理，考察计算机及信息系统的安全漏洞对企业内部控制质量的影响，而企业内部控制质量的变化势必会影响控制风险、固有风险和(或)信息风险，进而影响审计师的检查风险，最终导致审计风险的变化。 本文以2005-2009年中国国家安全漏洞数据库统计的安全漏洞为研究对象进行研究，发现严重型安全漏洞发生的频度与信息风险和审计收费显著正相关，与审计风险显著负相关；对于国有企业而言，严重型安全漏洞发生的频度与信息风险和审计收费显著负相关，与审计风险显著正相关；对于由“四大”审计的公司而言，严重型安全漏洞发生的频度与信息风险显著负相关，与审计收费显著正相关。 本文的贡献可能体现在三个方面：一是首次引入安全漏洞考察IT技术的缺陷对公司内部控制的影响，融合了企业的内部环境与外部环境的交互作用，丰富了内部控制方面的研究；二是首次尝试研究信息安全性的度量问题，为IT治理和IT内控的安全性提供了一种测度方法，为企业应该引入防范软件中内控机制漏洞风险的架构(陈志斌，2007)提供了一个实证证据，也为《企业内部控制应用指引》的实施有利于我国资本市场的健康发展提供了一个实证证据；三是首次引入IT技术的安全性作为审计风险的内生影响因素进行考察，为Hogan和Wilkins(2008)的研究提出了可能的解释，也在一定程度上证伪了Chen等(2010)的研究结论。 本文的结构安排如下：第二部分是理论分析与文献回顾，第三部分是研究设计与研究假设，第四部分是分析结果，第五部分是研究结论与不足。 二、理论分析与文献回顾 根据美国审计准则公告第47号(Statement on Auditing Standards(SAS)No.47)(American Institute of Certified Public Accountants(AICPA,1983))的表述，审计风险模型可以表达如下： 审计风险(Audit Risk)=固有风险×控制风险×检查风险 (1.1) 根据国际审计准则第200号(ISA 200)，模型(1.1)中的审计风险可以定义为：“财务报表中存在重大错报而审计师发表了不恰当的审计意见的风险。”固有风险和控制风险是审计师基于对客户的评估得到的，而检查风险是审计师面对较高的固有风险和控制风险时，通过增加测试降低检查风险，以达到控制整体审计风险的目标。 发现财报中重大错漏的概率并报告错漏的概率反映的是审计师的检查风险。发现财报中重大错漏的概率是审计师团队执业素质的体现，而报告错漏的概率则是审计师团队独立性的体现。要提高审计质量，必须同时提高发现财报中重大错漏的概率和报告错漏的概率，而不能有所偏颇。 发现财报中重大错漏概率的前提是，企业存在错漏的概率。企业存在错漏的概率是企业内部控制构建错漏的概率与企业外部环境对内部控制形成的破坏威胁的联合概率分布函数。内部控制构建的破坏威胁在信息时代主要来自于客观存在的安全漏洞，也就是说，企业外部环境尤其是Internet技术的发展增大了内部控制风险和IT风险。企业外部环境与内部环境界限透明性、模糊性和脆弱性的增强，要求内部控制具有足够的灵活性、动态性和健壮性，除了要提高发现财报中重大错漏的概率和报告错漏的概率，还必须同时提高对内部控制潜在破坏威胁的应对能力及对外来威胁的响应能力，而不能有所偏颇。 根据COSO内部控制架构的五要素模型，我们在“信息与沟通”要素部分把信息系统置于战略的高度进行阐述。该框架要求，必须将信息系统的规划、设计和实施与企业的整体战略构成有机的统一体。信息系统的战略作用体现在无缝集成财务和业务的管理控制系统之中，以实现业务流的实时控制、记录与跟踪。参照COSO架构建立的内部控制系统，由于在“信息与沟通”要素部分采用了IT技术，而IT技术的致命缺陷就是安全漏洞，这种漏洞是有潜伏期的，管理人员很难预知安全漏洞什么时候会被利用，而且该框架对如何构建信息系统没有做进一步的说明(吴炎太等，2009)，使得企业在参照COSO架构建立内部控制系统时容易出现更多的安全漏洞。因此，“信息与沟通”要素部分出现的问题很有可能导致公司员工履行职责的低效率，也可能会导致信息与沟通过程中公司重要信息的泄漏，使公司资产的安全性无法得到保证。总之，安全漏洞对于COSO架构的影响主要体现在“信息与沟通”要素上，一旦COSO架构的载体受到安全漏洞的威胁，COSO内部控制的效率和有效性就会受到损害，达成企业目标所需的条件就难以满足，企业也就无法保证财务报告的可靠性，从而使固有风险和控制风险增大。 在COBIT框架中，企业需要借助于可以控制的IT资源获取所需的信息，以实现企业目标。此外，COBIT是一个通用的信息系统控制标准，它是一个建立内部控制的指导思想，缺乏足够的实践指引，与信息系统的实践过程联系不够紧密和具体(吴炎太等，2009)，这容易对信息系统的运行造成不必要的安全隐患。也就是说，在COBIT框架内，IT技术是实现企业目标的载体和工具。伴随IT资源而生的安全漏洞是对COBIT框架中IT准则的天然威胁，其直接威胁到IT资源的可用性、完整性、保密性和可靠性。违反了COBIT框架中的IT准则，内部控制的有效性就无法得到保证，而当内部控制形同虚设时，企业的固有风险和控制风险就加大了。 我国2008年颁布的《企业内部控制基本规范》第7条规定：“企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。”2010年颁布的《企业内部控制应用指引第18号——信息系统》中的第3章第13条规定：“企业应当综合利用防火墙、路由器等网络设备，漏洞扫描、入侵检测等软件技术以及远程访问安全策略等手段，加强网络安全，防范来自网络的攻击和非法侵入。”《企业内部控制应用指引》从信息系统开发、运行维护与变更、系统安全性等方面提出了明确的要求，但没有给出漏洞扫描的目标、频度以及发现安全漏洞后的处理措施等。该指引自2011年1月1日起首先在境内外同时上市的公司中施行，2012年1月1日起在上海证券交易所、深圳证券交易所主板上市的公司中实施。因此，对于没有按照上述准则建立内部控制系统的企业来说，其受到安全漏洞的威胁更大。 总之，潜在的安全漏洞对计算机及相关系统的安全性造成了潜在威胁，也即安全漏洞被发现并被利用后会对计算机及相关系统的保密性、完整性和可用性产生负面影响，影响企业的日常运营及内部控制效率，增加企业的固定风险和控制风险，也使企业在财务报表中出现重大错漏的概率增大，而审计人员无法发现重大错漏的概率也会提高，从而影响审计质量，也影响投资者对企业风险的评估，导致投资决策风险增大。 关于内部控制对审计风险的影响问题，现有文献主要是从披露内部控制缺陷入手进行研究。要考察内部控制缺陷问题，首先需要了解导致内部控制缺陷的各种因素。现有文献主要从经济因素方面进行了考察。Ashbaugh-Skaife等(2007)采用SOX法案302条款实施后且在404条款实施前上市公司在年报中自愿披露的内部控制缺陷数据进行了研究，发现相对于没有披露内部控制缺陷的企业，披露了内部控制缺陷的企业具有更大的会计风险、更多的报表重述以及在披露内部控制缺陷前更多的审计师离职等。Doyle等(2007)采用SOX法案302条款和404条款实施后SEC要求强制披露内部控制实质性缺陷的上市公司数据进行了研究，发现披露内部控制缺陷的公司一般都是成立时间不长的小公司，这些公司的财务状况较差，业务较复杂或者正在进行业务重组。Doyle等认为，造成内部控制缺陷的因素不能一概而论，要根据各个公司面临的具体问题进行具体分析。Leone(2007)认为，Ashbaugh-Skaife(2007)和Doyle等(2007)首次把公司的特征与内部控制缺陷联系起来，通过考察年报中披露了内部控制重要缺陷或者内部控制实质性缺陷的上市公司，发现造成内部控制信息披露风险的因素包括公司组织结构的复杂性、重要的组织变革以及公司在构建内部控制系统方面的投资力度，这三个因素具有较强的说服力。 总之，上述研究表明，企业内部控制缺陷导致固有风险和控制风险增大，但是鲜有文献考察技术因素对内部控制缺陷的影响。 从内部控制缺陷对盈余质量的影响来考察内部控制缺陷经济后果的文献也有很多。Ge和McVay(2005)研究发现，披露了内部控制存在实质性缺陷的公司普遍存在可操控性应计方面的问题。Bedard(2006)发现，按照SOX法案302条款披露内部控制缺陷的公司较其他公司在披露当年有更多的可操控性应计利润，而按照404条款披露内部控制缺陷的公司较其他公司在披露当年有更少的可操控性应计利润。Mitehell(2007)认为，存在重大内部控制缺陷的公司累计盈利能力较低且负债水平较高。Tang和Xu(2007)发现，披露了内部控制存在实质性缺陷的公司较其他公司的运营绩效和股票回报都要差。Doyle等(2007)发现，按照SOX法案302条款披露了内部控制实质性缺陷的公司较其他公司的盈余质量更差，而按照404条款披露的内部控制实质性缺陷与盈余质量没有显著的相关性。Ashbaugh-Skaife等(2008)通过考察内部控制缺陷及修复这些缺陷对盈余质量的影响，发现披露了内部控制缺陷的公司较其他公司的盈余管理程度更高。Chan等(2008)认为，按照SOX法案404条款披露内部控制实质性缺陷的公司较其他公司存在更多的盈余管理。Prawitt等(2008)发现，内部审计功能(internal audit function，IAF)越强，可操控性总应计利润的绝对值就越低，即盈余管理程度越低。Feng等(2009)通过考察SOX法案404条款实施后2004-2006年样本公司内部控制质量对管理层盈余预测精确度的影响，发现报告了内部控制缺陷的公司，其管理层盈余预测的精度和质量都显著偏低。Altamuro和Beatty(2010)以美国的上市银行为样本进行了研究，发现FDICIA的内部控制强制披露要求有助于提高银行业贷款损失准备金的合理性、盈余的可持续性和现金流的可预测性。这些证据表明，公司内部控制的质量之所以能对盈余质量起到作用，是因为其较之以前的审计师、董事会及机构投资者增加了额外的监督机制。Doyle(2007)、Hogan和Wilkins(2008)认为，审计师的实质性测试可以作为内部控制的一种替代，部分地减轻内部控制实质性缺陷对于盈余质量的负面影响。 总之，上述研究表明，内部控制质量影响了盈余质量，即内部控制质量越差，信息风险越高。 还有一些文献考察了内部控制缺陷对审计师行为的影响。Ashbaugh-Skaife等(2007)研究了302条款实施后且在SOX法案404条款实施前上市公司在年报中自愿披露的内部控制缺陷数据，发现这些公司之所以主动发现并自愿披露内部控制缺陷，是因为它们更偏好于聘请知名的会计师事务所。Ashbaugh-Skaife等(2008)通过考察内部控制缺陷及修复这些缺陷对盈余质量的影响，发现经过审计师确认并已弥补内部控制缺陷的公司较没有整改的公司盈余质量有了较大提高。Raghunandan和Rama(2006)发现，存在内部控制缺陷的公司由于审计师需要付出更多的努力和承担更大的法律风险而导致审计费用的提高。Hogan和Wilkins(2008)发现，披露了内部控制存在实质性缺陷的公司较其他公司具有更高的固有风险和信息风险，根据审计风险模型，审计师为了达到预期的审计风险水平，可能需要付出更多的努力，也即需要收取更高的审计费用，这种费用的提高也有可能是一种风险溢价。Yan(2007)研究发现，由于内部控制缺陷的增加不仅导致了较高的审计风险，还会影响审计师变更的频率。Li(2007)研究发现，内部控制缺陷的增加使得会计错误发生的概率以及审计师发现这种错误的难度增加，审计师为了控制审计风险，需要加大工作范围和工作量，从而导致审计的延迟，实质性内部控制缺陷造成的审计延迟较重大内部控制缺陷更长。Li(2007)、Yan(2007)进一步考察了实质性内部控制缺陷与审计师变更之间的关系，认为已经(或预期将要)发现实质性内部控制缺陷的公司，审计师主动辞职的概率较高，在这种情况下，“四大”事务所更不可能成为其继任审计师；已经(或预期将要)收到负面内部控制审计意见的公司，审计师主动辞职的概率较高，而审计师辞职之后公司获得非标审计意见的概率更大，说明公司无法通过更换审计师实现审计意见购买。Li(2007)还考察了客户重要性在SOX法案颁布前后对审计师独立性的影响，发现在SOX法案颁布之前，客户重要性对审计师独立性没有显著影响，而在SOX法案颁布之后，客户重要性对审计师的独立性具有显著的正向影响。 总之，上述文献考察的是内部控制质量对审计师行为的影响，结果表明，企业的内部控制缺陷导致了固有风险和控制风险的增加，审计师为了达到预期的审计风险水平，增加了测试项目，目的是达到控制审计风险的目标。 以上研究都是基于美国的制度背景展开的。模型(1.1)的定义是来自于美国审计准则的公告，其隐含的制度背景是成熟的资本市场，特别是在SEC强大的监管能力以及完善的、执行力很强的美国司法制度下，审计师非常在意自己的声誉。也就是说，审计师对于所面临的风险会理性地进行控制，如在面对较大风险时会选择主动辞职(Li，2007；Yan，2007)，或者增加风险溢价(Hogan and Wilkins，2008)。但在我国这样的新兴资本市场上，投资者保护的制度环境是较弱的(LaPorta et al.，1997；LaPorta et al.，1999；LaPorta et al.，2000)，因此，在考察我国资本市场上的行为时，要充分考虑制度背景因素，即要将模型(1.1)扩展为审计师风险模型(1.2)(陈正林，2006)。 审计师风险(Auditor Risk)=审计风险×制度风险=审计风险×审计失败被识别的风险×惩罚力度×惩罚执行力 (1.2) 模型(1.2)其实也反映了审计质量是发现会计报表重大错漏的概率及报告该错漏概率的联合分布函数(DeAngelo，1981)的思想。模型(1.2)中的审计风险反映的是审计师执业能力的技术风险，而制度风险反映的是由于审计师技术风险导致的审计失败被识别出来的概率以及审计失败被识别后的惩罚力度及其执行力。由模型(1.2)可知，当制度风险很大时，审计师必然要主动降低审计风险，从而使审计质量提高；若制度风险很小，审计师就没有动力去降低审计风险，从而使审计质量降低，即识别制度和惩罚制度的有效性决定了审计师的行为(陈正林，2006)。在美国，SOX法案颁布实施之后，审计师面临的制度风险陡增，而且成熟资本市场上有很多专业的机构投资者、分析师等，从而使审计失败被识别的概率大大提高，审计师必然会努力控制审计风险。在美国这种成熟的司法和资本市场的制度背景下，模型(1.2)和模型(1.1)具有一致性，而要考察我国的资本市场，模型(1.2)具有更好的解释力。 “银广夏”事件的发生，直接促成了2002年1月15日《最高人民法院关于受理证券市场因虚假陈述引发的民事侵权纠纷案件有关问题的通知》的出台。2003年1月9日最高人民法院发布了《最高人民法院关于审理证券市场因虚假陈述引发的民事赔偿案件的若干规定》，这项法律要求由法院受理和审理因虚假陈述引发的证券市场上的民事侵权纠纷案件，这在一定程度上对审计师的不作为产生了较大的威慑力。2007年6月15日最高人民法院又颁布了专门针对审计师的司法解释——《关于审理涉及会计师事务所在审计业务活动中民事侵权赔偿案件的若干规定》。这个司法解释的出台，进一步加大了主张者举证的难度，也就是说，司法解释的实施成本更大。虽然法律允许普通投资者对审计师的不当行为提起民事诉讼，但由于成本过高且收益偏低，审计师被提起诉讼的概率很低。另外，非标审计意见的出具频率比以往有了很大的提高(Defond et al.，2000)，但这并没有改变由于低风险的司法制度环境造成我国上市公司审计质量总体偏低的状况(刘峰、许菲，2002)。 由于投资者保护较差(Allen et al.，2005)，审计市场的整体审计质量偏低(Wang et al.，2008；杨德明等，2009)。在较小的制度风险下，审计师的风险也很小，其作为理性的经济人，没有动力去努力提高审计质量。只有在非审计风险过大时，审计师为了维持个人的声誉以及惧于法律的威慑力，才会努力降低审计风险，这也是我国会计职业界承受的法律风险一直较低(刘峰，许菲，2002)的原因之一。这一情况表明，模型(1.2)是适用于我国的资本市场的。 研究我国内部控制的文献较少。李艳姣(2009)通过考察2007年深市A股上市公司的情况，发现内部控制缺陷与审计收费不存在显著相关性。方红星等(2009)考察了沪市非金融上市公司2003-2005年年度报告中自愿披露的内部控制信息，发现上市公司是否自愿披露内部控制信息与非标审计意见类型显著负相关；在影响上市公司内部控制信息自愿披露的因素中，外部审计没有显著影响。李享(2009)梳理了我国强制性披露内部控制信息的文献，发现内部控制自评报告、审核意见的披露属于公司自愿的选择性行为，也就是说，外部审计师在面对内部控制缺陷时存在一定的审计意见购买行为。杨德明和胡婷(2010)通过考察A股上市公司2007-2008年的数据，发现内部控制与外部审计之间存在一定的替代效应，而且这种替代效应与审计费用呈显著的正向关系。财政部驻河北省财政监察专员办事处课题组(2005)也发现，市场需求主体对高质量的审计产品缺乏内在需求。Wang等(2008)认为，审计市场总体上并不需要甚至排斥高质量的审计。杨德明等(2009)认为，审计市场尚不成熟，审计质量并不太高。辛清泉和黄琨(2009)发现，中天勤事件之后，事务所为了避免客户的大量流失，审计师更可能在客户的压力下妥协，在其他条件不变的情况下，非标意见的出具概率在下降。杨德明和胡婷(2010)的研究表明，对于审计费用比较缺乏的公司，审计师一旦发现其内部控制质量较高，就有可能大幅度减少实质性测试；反之，对于审计费用比较充裕的公司，审计师即使发现其内部控制质量较高，也不太可能大幅度减少实质性测试。 以上研究表明，在我国，不论是否要求强制性披露内部控制缺陷，公司都存在较大的购买审计意见的可能，也就是说，内部控制质量对审计师出具审计意见没有显著影响。这与Li(2007)、Yan(2007)的研究结论不一致，说明由于我国的制度风险过低，审计师没有对由内部控制缺陷所导致的控制风险、固有风险(信息风险)进行充分的审计风险调整，因此，识别制度和处罚制度的共同失灵，是造成我国审计质量不高的根本原因(陈正林，2006)。这些研究成果也进一步检验了模型(1.2)在我国资本市场上的适用性。 此外，Chen等(2010)通过考察中国1995-2004年间的上市公司，认为2001年之后由于制度环境更有利于投资者，对于签字审计师来说，客户重要性越高，其越有可能出具非标审计意见，而对于事务所来说，客户重要性对于出具非标审计意见没有显著影响。但Chen等(2010)的问题在于，忽视了中国的特殊制度背景，即中国审计市场上的签字审计师很少是真正参与审计的审计师，他们多是部门经理或者是事务所的合伙人，所以用签字审计师来考察客户重要性存在很大的偏误，这也许是其没有发现事务所客户重要性对审计意见具有显著影响的原因之一。Chen等(2010)还为新兴资本市场的政策制定者提出了完善投资者保护制度的建议。由模型(1.2)可知，仅强调制度的重要性有失偏颇。我们认为，新兴资本市场的政策制定者不仅需要制定政策，更需要推进和落实政策，我国最高法院颁布的《关于审理证券市场因虚假陈述引发的民事赔偿案件的若干规定》就是最好的反例。伍利娜等(2010)也认为，2003年1月9日最高法院颁布的《关于审理证券市场因虚假陈述引发的民事赔偿案件的若干规定》，增大了审计师的法律风险。以上观点是把单一法规的出台等同于整个制度环境的改变，混淆了制度预期与制度现实，研究中发现的是市场对于低制度风险的渴望，但制度的现实却与之相反。《关于审理证券市场因虚假陈述引发的民事赔偿案件的若干规定》从出台至今已经八年之久，但没有一个由于触犯该法律而受到应有惩罚的案例，这当然不能说明我国的制度是完美的。2005年开始实行的股权分置改革是一个很好的事件研究，申慧慧等(2009)通过考察股权分置改革对上市公司盈余质量的影响，发现非国有控股上市公司向上盈余管理的程度显著提高。伍利娜、朱春艳(2010)也发现，股改后审计师在一定程度上配合上市公司实现了向上的盈余管理及审计意见购买。晏艳阳、赵大玮(2006)认为，股权分置改革中存在较为严重的内幕交易行为。这些研究表明，制度环境并没有发生大的变化，制度风险依然不大，否则，盈余管理的程度至少不应该提高。由模型(1.2)可知，在新兴资本市场国家，特别是在司法制度不成熟的国家，制度的执行力才能真正决定政策的经济后果，而不能仅仅把政策的制定视为制度的执行力。 综上所述，现有文献主要是从公司经济特征所导致的内部控制质量问题及其经济后果来考察其对审计风险和(或)审计师风险的影响，鲜有文献考察构建内部控制技术架构所导致的内部控制缺陷，即仅把内部控制的技术架构视为外生变量。近年来，IT及其相关技术已成为公司内部控制的基础技术，其一旦出现问题，公司的整个运营都要受到影响。本文正是基于这个前提，结合我国的制度背景，把内部控制的IT技术及其相关技术架构视为内生变量，考察技术架构自身的缺陷——安全漏洞对内部控制的影响，进而考察其对企业的固有风险、控制风险和(或)信息风险及审计师检查风险的影响，最终考察这些风险对审计风险和审计师风险的影响。 三、研究假设和设计 (一)研究假设 Microsoft公司将安全漏洞对系统的危害程度划分为四个等级，分别是：(1)危急型安全漏洞，即无需用户激活的网络蠕虫传播的安全漏洞；(2)高危型安全漏洞，该安全漏洞被利用后，会使用户数据的机密性、完整性和有效性遭到破坏；(3)中危型安全漏洞，该安全漏洞被利用比较困难，会受到配置、验证等诸多因素的限制，其对系统的影响较小；(4)低危型安全漏洞，该安全漏洞被利用非常困难，对系统的影响也非常小。根据以上定义，本文只考察影响较大的危急型安全漏洞和高危型安全漏洞(简称严重型安全漏洞)。 严重型安全漏洞破坏力强、危害大，各大软件厂商或硬件厂商会通过各种渠道公告其危害性以减少用户不必要的损失，并建议用户下载安全补丁及时进行漏洞修复，各种媒体也会争相报道，提醒用户这类漏洞对计算机及相关系统的危害程度和可能造成的损失。因此，严重型安全漏洞受到的关注较多，公众对其危害也有足够的认识和防范，从而可以防止恶意用户利用该安全漏洞进行攻击。对于企业用户来说，严重型安全漏洞对于其内部控制的危害程度更大，企业用户会密切关注安全漏洞的防护措施，及时下载补丁修复程序进行修补，以保持内部控制技术基础架构的稳定性、完整性、安全性和有效性。但是，安全漏洞被发现并公告后，企业的反应可能不及时，同时，厂商补丁程序的开发和测试需要时间，在这段空白区的时间内，企业内部控制缺陷被暴露的概率陡增，且缺陷的严重程度也迅速提升。当厂商针对这些漏洞发布补丁程序后，补丁程序也可能导致新的安全漏洞隐患。因此，发现严重型安全漏洞，意味着内部控制缺陷被暴露的概率陡增且严重程度加剧，这会极大地提高企业的控制风险、固有风险和(或)信息风险。根据审计风险模型，当企业的控制风险和固有风险增大时，审计师为了控制整体的审计风险，会主动降低检查风险，即审计师会更加努力地控制审计风险。同样，由于危急型或高危型安全漏洞的出现会导致内部控制缺陷的危害程度加剧，如果审计师不努力审计，审计风险就会迅速提高，从而加大审计师的个人风险。因此，作为理性的经济人，审计师在法律的威慑下必然会更加努力地降低审计风险。但是，在我国，会计职业界承受的法律风险仍然较低(刘峰、许菲，2002)，再加上审计市场并不需要甚至排斥高质量的审计(Wang et al.，2008)，因此，审计市场的审计质量并不太高(杨德明等，2009)。也就是说，我国的审计师没有太大的动力去付出更多的努力。但是，如果审计师不努力工作，他们可能会受到来自其他非司法方面的处罚，如中注协的处罚，在这种情况下，审计师为了避免行政类的处罚，需要得到一定程度的风险溢价。基于以上分析，我们提出假设H1和H1a。 H1：严重型安全漏洞发生的频度与信息风险(审计风险)正(负)相关。 H1a：严重型安全漏洞发生的频度与审计收费正相关。 1995年《中共中央关于制定第九个五年计划和2010年远景目标的建议》提出，要“重点改造国有大中型企业，加快国民经济信息化进程”。2000年《中共中央关于制定国民经济和社会发展第十个五年计划的建议》提出，大力推进国民经济和社会信息化，是覆盖现代化建设全局的战略举措。以信息化带动工业化，发挥后发优势，实现社会生产力的跨越式发展。在“国有企业建立管理科学的现代企业制度”之后，2001年国家科技部启动了国家制造业信息化工程以落实“以信息化带动工业化”，并集中了科技攻关计划和863计划两大资源，共出资8亿元，加上地方配套资金和企业自筹资金，总经费超过100亿元。2002年党的第十六次全国代表大会明确提出“信息化带动工业化，工业化促进信息化”的战略指导方针(王立彦、曾建光，2011)。在“信息化带动工业化”的战略指导下，国有企业的信息化程度不断提高，相应的IT投资也很高，因此，国有企业一旦出现严重型安全漏洞，IT投资的作用就会显现，如使用一些软件公司的专杀工具进行系统安全处理或者应用软件提供的补丁等进行排查，这些信息安全隐患的排查会产生一定的溢出效应(曾建光，2011)，从而降低国有企业的控制风险、固有风险和(或)信息风险。 由假设H1可知，由于严重型安全漏洞破坏力强、危害大，其一旦被恶意攻击者发现，信息安全性就会受到极大的威胁。严重型安全漏洞出现的频度高，意味着内部控制缺陷被暴露的概率陡增且其严重程度会加剧，从而极大地提高企业的控制风险、固有风险和(或)信息风险。对于国有企业而言，由于其IT投资较高，其抵抗控制风险、固有风险和(或)信息风险的能力也较强。也就是说，国有企业降低控制风险、固有风险和(或)信息风险更多是出于保证日常运营顺利进行的目的，而不是真正改善内部控制的质量，内部控制质量还是处于与以前相近的水平，实质上的控制风险会进一步放大。根据审计风险模型，当企业的内部控制缺陷严重性较高时，控制风险增加的幅度较大，而固有风险和(或)信息风险的降低无益于整体控制风险的控制。也就是说，整体而言，国有企业的IT投资能够起到一定的弱化风险的作用。此外，国有经济中作为所有者的国家与各级政府机构和企业经营者之间存在多层次等级式的委托代理关系(韩朝华，1995)，政府在经济发展中依然起着主要的作用，我国的上市公司大部分是国有企业且国有股占比较高。会计师事务所大部分是改制而来，其改制前大多为国有，改制后也与政府部门和国有企业保持着密切联系(吴联生、刘慧龙，2008)。此外，我国公司的内部控制信息自愿性披露激励不足，内部控制自我评价及审计师的核实评价缺乏统一的标准(杨有红、汪薇，2008)，再加上对于高质量审计的需求不足(Wang et a1.，2008)、审计市场不成熟(杨德明等，2009)、客户压力大(辛清泉、黄琨，2009)、法律执行不力(陈正林，2006)等，使得与政府部门和国有企业保持着密切联系的审计师在面对国有企业控制风险增加幅度较大、固有风险降低幅度较小时，控制检查风险的激励不大，也即审计风险并没有降低。同时，国有企业容易给审计师造成一种错觉，即国企在面对严重型安全漏洞发生频度较高的情况下，其IT投资能够确保控制风险不会过大。 总之，基于我国特有的制度背景，在国有企业严重型安全漏洞发生频度较高的情况下，审计师没有动力去控制检查风险，同时，由于其客户是国有企业，审计师也不会额外收取风险溢价。也就是说，来自于外部的技术冲击对于IT投资较高的国有企业而言，其内部控制质量具有较高的抗风险能力，与审计师也有较高的谈判能力和优势，因此，其审计收费显著下降。基于此，本文提出假设H2和H2a。 H2：对于国有控股公司而言，严重型安全漏洞发生的频度与信息风险(审计风险)负(正)相关。 H2a：对于国有控股公司而言，严重型安全漏洞发生的频度与审计收费负相关。 由假设H1可知，由于严重型安全漏洞破坏力强、危害大，其发生频度高意味着内部控制缺陷被暴露的概率陡增且其严重程度加剧，从而极大地提高了企业的控制风险、固有风险和(或)信息风险。对于由“四大”审计的公司而言，由于其很少出现报表违规等情况(DeFond and Jiambalvo，1991)，“四大”较非“四大”更不能容忍客户的盈余管理(Becker et al.，1998)，“四大”的审计质量也更高(Palmrose，1988；Deis and Giroux，1992； Mutchler et al.，1997； Krishnan and Schauer，2000；Fuerman，2004)。因此，严重型安全漏洞发生的频度越高，“四大”审计的努力程度也越高，客户的信息风险和审计风险就会越低。由于“四大”付出了更多的努力，其审计收费也更高。基于此，本文提出假设H3和H3a。 H3：对于由“四大”审计的公司而言，其安全漏洞发生的频度与信息风险(审计风险)负相关。 H3a：对于由“四大”审计的公司而言，其安全漏洞发生的频度与审计收费正相关。 (二)研究设计 1.信息风险。本文参照Hogan和Wilkins(2008)的做法，采用应计盈余质量作为度量信息风险的代理变量。夏立军(2003)认为，在中国的市场上，修正的Jones(1991)模型能够较好地估计超额应计利润。因此，本文运用修正的Jones(1991)模型(Dechow et al.，1995)按照年度和行业分别估计每个公司的非预期应计利润，行业分类以证监会2001年发布的《上市公司行业分类指引》为标准。本文借鉴Barth(2008)、Cohen(2008)、Chen等(2010)、刘启亮(2010)的做法，设定了如下模型(2)：
标签：内部控制论文; 审计意见论文; 审计师论文; 审计风险论文; 企业内部控制审计指引论文; 信息安全论文; 固有风险论文; 审计质量论文; 信息系统审计师论文; 内部控制缺陷论文; 审计软件论文; 审计准则论文; 缺陷管理论文; 审计方法论文; 风险模型论文; 有效市场论文; 审计流程论文; 审计职业论文; 审计目标论文; 信息系统规划论文;