查看: 13174|回复: 67
请不要再向我推销审计软件，真心觉得没用。
和爱学习的人一起激发动力
每月至少2次直播分享，有回放
视野与（CIMA | AICPA）联合举办
设置200份实物礼品
植根于国家会计学院
加入顶级CFO校友圈
&&今天一早，就收到某软件公司的推销信，说什么审计系统V9.0功能非常好，很多人都用它。我于是就详细看了一下它这个软件的介绍，结果，我回了一封信给他。全文如下：
& &&&作为有多年经验的内审老鸟，你的内审软件真心不实用。
& & 为什么我这样说呢？首先，从功能来说，内审中导出数据，正确的做法不是从软件中导出数据的，而是从服务器中的数据库查找数据。财务软件不过是前台，即在电脑界面上操作的，而数据库是后台，是在服务器中操作的。正确的做法是，打开服务器，备份数据库，然后在数据库中通过SQL语言查找数据。这样的数据才是最原始、最全面的。
& & 其次，从内容来说，内审不止是财务审计，还有专项审计，采购审计，绩效审计等等，你一套软件只是从财务的角度让审计师去完成底稿，本身就是不全面的。内审不同外审，内审最重要的功能是查舞弊，查漏洞。正确的做法是，从业务的角度去选择要完成的工作。你们本末倒置了。不要以为内审只是查账的，查账只不过是我们工作中的一部分，而不是全部。
& & 再次，从底稿质量来说，内审他要的求是不为了检查而去做底稿，而是通过底稿去记录证据，你这个底稿中，没有照片收集功能，没有录象收集功能，没有录音收集工能，内审上基本没有什么用。对于一些内审老鸟来说，你的软件只能骗骗新人，对实际工作中没有什么帮助。
& & 希望你会喜欢，如果你的公司还做这个审计系统，并以这个作为主要产品的话，恭喜你，你离失业不远了。
& & 我以前学过一点点计算机语言啦，那时还年轻。我觉得，如果是我去做一套审计软件的话，功能上是要模块化，开放式的系统。而且最好是放开源代码的。为什么这样说呢？因为内审的各个行业不一样，农业内审和工业内审不一样，服务业的内审和房地产的也不一样。当我做内审计的时候，苦于无从入手时，我需要调用某个审计程序参考一下，我希望可能通过软件查找到这个行业中别人共享的审计程序。如我做绩效审计时，我想找别人做过的审计程序、审计模块来参考一下，于是在软件中输入“绩效”，就能列出所有行业中共享的审计程序，然后再选择自己这个行业的。这些审计程序、审计模块是全国所有老鸟各自上传分享的。而服务器，我打算是用云服务器，也就是只要你申请了一个账号，你就可以能过上网就能操作，无论何时何地，无论是手机还是手提，只要能上网，你就可以操作记录。
& &从内审工作来看，由于底稿的无定式（我是支持无定稿的），软件的功能将会集中在证据收录，证据查找。也就是说，当我在查养殖场舞弊时，一拿起手机就能将证据保存，将证据录音。在检查财务凭证时，一拿起手机，就能将有问题的检查点列出。例如，在开始做底稿之前，我可以在软件中输入“磅码单”，就可以将一些检查点列出来，这些检查点是由网上各个行业的老鸟提供的，从行业中选择，会找出你所属行业这个项目中要检查的地方。如在农业，磅码单的检查点就是：1、双方是否正实签名，2、农产品规格是否齐全、3、农产品每码重量是否均一。4、皮重是否定额。
& &由于本人电脑技术水平有限，时间也有限，没能做出这个审计软件，不过希望将思路提出来，希望能人能做出这种审计软件。我认为，审计软件的目的不一定是放在制作底稿，比较财务数据上面，而是能通个软件和全国所有内审人员交流分享心得，然后再将心得用软件模块的形式存储起来。这样才会让中国内审人员的技术水平得到进一步的提高。
分享一下我们的qq群:农企内部审计群
<p id="rate_5935" onmouseover="showTip(this)" tip="好文&金币 + 2
" class="mtn mbn">
<p id="rate_3990" onmouseover="showTip(this)" tip="好文&金币 + 1
" class="mtn mbn">
<p id="rate_8572" onmouseover="showTip(this)" tip="好文&威望 + 1
" class="mtn mbn">
<p id="rate_20" onmouseover="showTip(this)" tip="好文&金币 + 3
" class="mtn mbn">
<p id="rate_5962" onmouseover="showTip(this)" tip="好文&金币 + 1
" class="mtn mbn">
会计视野论坛帖子版权归原作者所有。对发帖人声明原创的帖子，中国会计视野有使用权和转载权。其他网站在写明来源、作者、会计视野论坛首发网址的情况下可以转载，原创作者保留禁止转载和向其他转载网站索取稿酬的权力。
你的审计软件思路 比我广，我的还是 行业审计，各模块审计程序。
LZ说的真好，要是真有这样数据共享的软件或者网站，肯定火起来！
感谢分享！
楼主想法挺好的，谢谢分享~~
如果有楼主所说的内审软件被开发出来，我有兴趣。
大叔此话当真？&
大叔我 正在开发，开发出来 5毛钱一款。&
想法很棒！
本帖最后由 天外孤魂 于
22:47 编辑
支持！强烈不推荐什么内审软件，想把那套外审的复制黏贴过来，搞笑吧！
有价值的思路！软件公司可以请为顾问了。
这个不能算审计软件了，应该叫审计数据库了，最好还有行业基本数据和指标，比如价格什么的。
赞，软件公司的人看见了，会感谢你的。
真心给楼主点赞。我们也想买一套审计软件，但看了几个感觉都是和财务数据相关的，其实内审很多方面和财务数据并无关联，而是和制度的设立，流程的履行，风险的控制相关，所以也在犹豫到底要不要选软件，现在感觉选软件的唯一好处就是有一个固定的方案、通知书、审计报告、审计底稿的模板
头像被屏蔽
我觉得华博风控做的内审软件很不错，和ＬＺ的想法很相似。
我做过几年的外审，又做过1年的内审，说下感受。
外审。我所在事务所除了审定表、明细表等表外，说明部分没什么定式，底稿的要求就是你能把那几个认定（发生、存在、准确性、计价与分摊、截止、完整等等）说清就行了，你怎么审计的你就怎么写上去，没有写的就是你没审计的，即使你列了一堆表上去了，没有审计说明啥都不是。
内审。我觉得内审属于结果导向性，和外审任务导向性不一样。内审过程不重要，结果才最重要。你形成的审计报告都是你发现的舞弊或者流程问题。发现舞弊的过程全程是围绕这最底层的业务资料，而不是财务部的数据。审计底稿就是你的证据链。所谓的内审软件，我看到这篇文章才知道还有这个东东，好吧，偶落伍了
再说一下，因之前我内审的企业是一个民企，规模还比较大。我个人觉得，一家民企内审搞个内审软件的话，那这家内审应该是流于形式了，民企内审的主要作用是杀鸡儆猴，我这想法是不是很邪恶？
思路很好！学习了。
这是在骂中普
内审重业务实质过程，外审重财务核算成果，内审不能照搬外审的套路，不能仅看报表、凭证、制度、流程等纸质证据，得现场采集所有证据包括音频和视频。
冥顽不灵，嘴强王者
Powered by审计有哪些？推荐一个好用的内部审计管理软件？
贵州普华永和科技有限公司研发的卓越审计管理相关信息。区别于当前一般的审计软件，卓越审计管理软件以风险为导向，着重关注企业内部的各种风险。通过将企业的业务数据通过ETL（数据提取、转换、加载）工具每天定时自动加载和更新到卓越审计管理软件，然后通过审计模型、风险模型和指标模型实时监控检测企业的内部风险，获取审计人员最关心的风险点数据信息，为企业及时化解风险提供了条件和可能。比如：某银行昨天发放了一笔贷款，在昨晚上这笔贷款数据通过ETL过程加载到卓越审计管理软件中，风险模型自动运行，监测到该笔贷款的贷款人在本银行还又未还清的贷款，软件会向银行的内部审计人员提示该笔贷款存在问题，帮助银行及时追回贷款，化解内部风险。又如：某企业昨天签署完成了一笔大额采购合同，在昨晚上改合同数据通过ETL过程加载到卓越审计管理软件中，风险模型自动运行，监测到该合同的产品单价高于市场上的产品标准价(企业认定并在软件中设定)，软件会向企业的内部审计人员提示该笔合同存在问题，帮助企业减少损失，化解内部风险。
卓越审计管理软件的主要功...
贵州普华永和科技有限公司研发的卓越审计管理相关信息。区别于当前一般的审计软件，卓越审计管理软件以风险为导向，着重关注企业内部的各种风险。通过将企业的业务数据通过ETL（数据提取、转换、加载）工具每天定时自动加载和更新到卓越审计管理软件，然后通过审计模型、风险模型和指标模型实时监控检测企业的内部风险，获取审计人员最关心的风险点数据信息，为企业及时化解风险提供了条件和可能。比如：某银行昨天发放了一笔贷款，在昨晚上这笔贷款数据通过ETL过程加载到卓越审计管理软件中，风险模型自动运行，监测到该笔贷款的贷款人在本银行还又未还清的贷款，软件会向银行的内部审计人员提示该笔贷款存在问题，帮助银行及时追回贷款，化解内部风险。又如：某企业昨天签署完成了一笔大额采购合同，在昨晚上改合同数据通过ETL过程加载到卓越审计管理软件中，风险模型自动运行，监测到该合同的产品单价高于市场上的产品标准价(企业认定并在软件中设定)，软件会向企业的内部审计人员提示该笔合同存在问题，帮助企业减少损失，化解内部风险。
卓越审计管理软件的主要功能有：法规管理、依据定位、审计作业、审计管理、风险监测、查询查证、模型分析、问题库、OA辅助、工作流、审计报表、问题跟踪等，是企业内部审计管理的全面且真正实用的解决方案。
像楼上的同仁说的，找E审通合作的注协还不少，我怎么感觉这话说反了，把E审通夸的太大了吧？E审通软件的客户大部分是在广东和广西，虽然这几年注协在搞信息化，特别是今...
内部审计具体准则第 7 号——审计报告
为了规范内部审计人员编制和出具审计报告，根据《内部审计基本准则》制定...
企业内部控制审计指引
第一章 总 则
第一条 为了规范注册会计师执行企业内部控制审计业务，明确 工作要求，保证执业质量，根据《企业内部控制基本规...
公司应当依法编制财务会计报告。公司应当在每一会计年度终了时编制财务会计报告，并依法经会计师事务所审计。
这是公司法的规定，但实务中，如果没有股东或税务、工商等...
大家还关注
确定举报此问题
举报原因(必选)：
广告或垃圾信息
激进时政或意识形态话题
不雅词句或人身攻击
侵犯他人隐私
其它违法和不良信息
报告，这不是个问题
报告原因(必选)：
这不是个问题
这个问题分类似乎错了
这个不是我熟悉的地区谁有用过比较简洁好用的免费版库存管理的，跪求推荐！没用过的求转发！
全部答案（共1个回答）
婆你可以试试！
建议用网渠宝，一款网上多渠道销售管理系统，支持多级分销，多仓多点，线上线下融合，让网络分销不再难管。系统具备财务利润分析、KPI考核、仓库多元化管理等功能，整合...
要我说的话，库王仓库管理软件就是最好用的。我们公司一直都在使用。据了解，库王仓库管理软件是专门针对中小企业的仓库管理业务而开发的管理系统，具有操作简单，易学易用...
大家还关注
确定举报此问题
举报原因(必选)：
广告或垃圾信息
激进时政或意识形态话题
不雅词句或人身攻击
侵犯他人隐私
其它违法和不良信息
报告，这不是个问题
报告原因(必选)：
这不是个问题
这个问题分类似乎错了
这个不是我熟悉的地区当快软件园：致力于提供安全无毒的软件下载中心！
工具推荐：三款自动化代码审计工具
工具推荐：三款自动化代码审计工具
发布时间：
阅读量：(268)
简介工欲善其事，必先利其器。在源代码的静态安全审计中，使用自动化工具代替人工漏洞挖掘，可以显著提高审计工作的效率。学会利用自动化代码审计工具，是每一个代码审计人员必备的能力。在学习PHP源代码审计的过程中，本人搜集使用了多款自动化工具。本文将简要介绍其中三款比较实用的工具：RIPS、VCG、Fortify SCA。RIPS是一款开源的，具有较强漏洞挖掘能力的自动化代码审计工具。它使用PHP语言编写的，用于静态审计PHP代码的安全性。VCG（VisualCodeGrepper），是一款支持C/C++、C#、VB、PHP、Java和PL/SQL的免费代码安全审计工具。它是一款基于字典的检测工具，功能简洁，易于使用。Fortify SCA（Static Code Analyzer）是由Fortify软件公司（已被惠普收购）开发的一款商业版源代码审计工具。它使用独特的数据流分析技术，跨层跨语言地分析代码的漏洞产生，目前支持所有的主流开发语言。本文结合一个应用实例的分析，介绍三款工具的使用方法以及特性。0×02
RIPSRIPS的主要功能特点如下：1)
能够检测XSS、SQL注入、文件泄露、本地/远程文件包含、远程命令执行以及更多种类型的漏洞。2)
有5种级别选项用于显示以及辅助调试扫描结果。3)
标记存在漏洞的代码行。4)
对变量高亮显示。5)
在用户定义函数上悬停光标可以显示函数调用。6)
在函数定义和调用之间灵活跳转。7)
详细列出所有用户定义函数（包括定义和调用）、所有程序入口点（用户输入）和所有扫描过文件（包括include的文件）。8)
以可视化的图表展示源代码文件、包含文件、函数及其调用。9)
仅用几个鼠标点击就可以使用CURL创建针对检测到漏洞的EXP实例。10)
详细列出每个漏洞的描述、举例、PoC、补丁和安全函数。11)
7种不同的语法高亮显示模式。12)
使用自顶向下或者自底向上的方式追溯显示扫描结果。13)
一个支持PHP的本地服务器和浏览器即可满足使用需求。14)
正则搜索功能。最新版本的RIPS是0.55，下载链接如下：https://sourceforge.net/projects/rips-scanner/解压下载的zip文件到Web服务器网站目录下即可。在浏览器中输入Web服务器地址和对应目录，RIPS工具的用户使用界面如下：最上方是所有功能按钮菜单。扫描任务结束后，菜单中会出现4个新的按钮，分别用来显示/隐藏4个扫描结果窗口：被扫描文件、用户输入点、扫描状态信息和被扫描函数。现在以一个简单的实例来说明RIPS的使用方法，下载链接如下：http://jsdx./201603/webjoker_v2.2.0.zip该PHP应用程序用来统计某网站的用户访问情况，登录到程序后台可以查看详细访问信息。将下载后的程序解压，在RIPS的“path/file”选项中填入程序解压目录，其它选项保持默认，点击“scan”按钮开始扫描任务。扫描结束后，点击window菜单的4个按钮可以显示任务的详细情况。正文部分显示扫描出漏洞的详细情况，点击“hide all”按钮可以查看/隐藏每个文件的详细漏洞结果列表。让我们来看其中某一个漏洞详情，init.php源代码中存在SQL注入漏洞。未过滤的$procookie参数直接被cheakcookie()函数调用。将光标悬停在cheakcookie()函数上方，即可显示cheakcookie()函数是如何定义的。cheakcookie()函数在main.php文件中被定义，可以看出未被过滤的参数直接带入SQL语句被执行。在漏洞的详细情况中显示$procookie参数由$_COOKIE[count_admin]传递，从init.php源代码的上下文可知，该参数是为了后台登录的cookie值校验。当count_admin值无法匹配数据库中的数据时，校验失败。将POST包中Cookie中的count_admin改为“’ or 1=1 #”，即可绕过cookie校验，直接进入后台。0×03
VCGVCG是一个基于字典的自动化源代码扫描工具，可以由用户自定义需要扫描的数据。它可以对源代码中所有可能存在风险的函数和文本做一个快速的定位。VCG的下载链接如下：http://sourceforge.net/projects/visualcodegrepp/双击下载的msi文件进行安装即可。在Settings->Options->ConfigFiles选项中可以对每种语言的扫描配置文件进行编辑。点击Settings选项，选择扫描的目标语言类型。点击File->New Target Directory选项，选择需要扫描的源代码文件存放目录，我们选择上文提到的应用实例存放目录。点击Scan->Full Scan选项，扫描开始。扫描结果以图标的形式对被扫描文件的数据做一个统计，这个功能有点鸡肋。我们重点关注Results和Summary Table两个面板显示的内容。Results面板显示所有存在安全风险的源码，右键点击可以对结果进行排序过滤。Summary Table面板是对Results面板内容的总结展示。VCG是通过匹配字典的方式查找可能存在风险的源代码片段。它的扫描原理较为简单，跟RIPS侧重点不同，并不深度发掘应用漏洞。VCG可以作为一个快速定位源代码风险函数的辅助工具使用。0×04
Fortify SCAFortify SCA是一款商业软件，价格较为昂贵，因此我只找到了一个早期的版本进行试用。因为是商业软件，它有详细的使用文档，查阅非常方便。它支持一些IDE的插件功能，在安装的时候会有选项。Fortify SCA的代码审计功能依赖于它的规则库文件，我们可以下载更新的规则库，然后放置在安装目录下相应的位置。bin文件放置在安装目录下Core\config\rules文件夹，xml文件放置在Core\config\ExternalMetadata文件夹（如果该文件夹没有则新建一个）。打开AuditWorkbench，点击Start New Project->Advanced Scan选项就可以快速开始一个审计任务。选择需要审计的应用程序根目录，在Additional Options选项中选择使用的规则库，在Audit Guide提出的四个问题中选择对应的选项，点击Run Scan即可。审计的结果由5个面板来呈现。我们来看跟RIPS审计结果同样的SQL注入问题。点击左侧问题，源代码面板自动定位到出现问题的源代码行。分析跟踪面板显示了详细的数据走向。从COOKIE读入->赋值给变量$procookie->带入cheakCookie()函数->赋值给变量$sql->带入mysqli_query()函数执行。左侧每一个图标的含义在使用手册上可以查到。点击其中每一行，自动定位到对应的源代码行。同时在问题审计面板的Diagram中，有更为形象的数据流向图，直观展示了漏洞产生的原因。审计面板的其他标签详细说明了漏洞信息，相对于RIPS这种开源软件，Fortify SCA审计结果展示更为详细。Tools->Generate Report功能还可以根据用户的需求生成审计结果的报告。0×05
总结VCG与其他两款工具不同，它是一个简洁的风险函数扫描定位工具，基于字典实现扫描功能。而RIPS和Fortify SCA则是静态深度分析源代码漏洞的利器，它们使用各自的技术对应用程序执行过程进行了追踪分析，做了深层次的漏洞挖掘工作。RIPS易于部署和使用，可以作为简单应用功能的自动化审计分析工具。而Fortify SCA功能更为强大，可以胜任较为复杂的应用自动化分析。在实际审计工作中可以结合使用两种工具，取长补短。自动化的静态代码审计工具可以节省代码审计的人力成本，是提高代码审计效率的重要手段。然而需要注意的是，自动化工具并非是完全智能的，跟所有的漏洞扫描工具一样，误报率的存在仍然是一个现实的问题。因此，报表中显示的漏洞需要审计人员进一步确认是否真的存在。此外，自动化工具还有一个很大的局限性：它仅能够对常见的Web应用漏洞类型进行挖掘，对于Web 2.0时代兴起的业务逻辑漏洞挖掘可以说是束手无力。所以，对于有经验的代码审计人员来说，审计工具起到的仅仅是辅助作用，他们会在利用工具的基础上结合自己经验挖掘出更深层次的漏洞审计软件可以取数并分析的有免费的吗？
发表于：15-10-08 09:56
鼎信诺的数据采集与分析、业务及控制措施采集、风险分析、总帐明细帐查帐、经济责任审计、基本建设项目审计、财务收支审计、资产安全损益审计、预决算审计、绩效审计、舞弊审计、IT审计、现金流动性审计、内控自评、整合审计、财报审计、国资委企业绩效考评值对标、上市公司指标风险评价体系、VAR在险价值模型、资本资产定价模型分析、底稿生成与批量打印、缺陷整改与报告等。你可以搜一下，有免费版。
你尚未登录或可能已退出账号:(请先或者}