导读：经过几年的摸索，IT审计工作官方指导意见终于正式出台。本次解答第53条关于信息系统核查的要求，明确三类企业必须IT审计：①互联网企业，②高度依赖信息系统的企业，③主要客户是互联网企业的企业。随着信息化的不断发展，现代企业管理都高度依赖信息系统，所以这三类企业基本涵盖了所有的待上市公司和上市公司。

问题53、对于主要通过互联网开展业务的申请首发企业，保荐机构和申报会计师在信息系统核查方面，应做好哪些工作？

（IT审计专家免费提供远程咨询服务，请点击🙋在线咨询，或微信扫码咨询！）

答：部分申请首发企业，如电商、互联网信息服务、互联网营销企业等，其业务主要通过互联网开展。此类企业，报告期任意一期通过互联网取得的营业收入占比或毛利占比超过30%，原则上，保荐机构和申报会计师应对该类企业通过互联网开展业务的信息系统可靠性分别进行专项核查并发表明确核查意见。

发行人应向保荐机构和申报会计师完整提供报告期应用的信息系统情况，包括系统名称、开发人、基本架构、主要功能、应用方式、各层级数据浏览或修改权限等；应向保荐机构和申报会计师核查信息系统数据开放足够权限，为其核查信息系统提供充分条件。

（1）对于直接向用户收取费用的此类企业，如互联网线上销售、互联网信息服务、互联网游戏等，保荐机构和申报会计师的核查应包括但不限于以下方面：

①经营数据的完整性和准确性，是否存在被篡改的风险，与财务数据是否一致；

②用户真实性与变动合理性，包括新增用户的地域分布与数量、留存用户的数量、活跃用户数量、月活用户数量、单次访问时长与访问时间段等，系统数据与第三方统计平台数据是否一致；

③用户行为核查，包括但不限于登录IP或MAC地址信息、充值与消费的情况、重点产品消费或销售情况、僵尸用户情况等，用户充值、消耗或消费的时间分布是否合理，重点用户充值或消费是否合理；

④系统收款或交易金额与第三方支付渠道交易金额是否一致，是否存在自充值或刷单情况；

⑤平均用户收入、平均付费用户收入等数值的变动趋势是否合理；

⑥业务系统记录与计算虚拟钱包（如有）的充值、消费数据是否准确；

⑦互联网数据中心（IDC）或带宽费用的核查情况，与访问量是否匹配；

⑧获客成本、获客渠道是否合理，变动是否存在异常。

（2）对用户消费占整体收入比较低，主要通过展示或用户点击转化收入的此类企业，如用户点击广告后向广告主或广告代理商收取费用的企业，保荐机构和会计师的核查应包括但不限于以下方面：

①经营数据的完整性和准确性，是否存在被篡改的风险，与财务数据是否一致；

②不同平台用户占比是否符合商业逻辑与产品定位；

③推广投入效果情况，获客成本是否合理；

④用户行为真实性核查，应用软件的下载或激活的用户数量、新增和活跃的用户是否真实，是否存在购买虚假用户流量或虚构流量情况；

⑤广告投放的真实性，是否存在与广告商串通进行虚假交易；

⑥用户的广告浏览行为是否存在明显异常。

如因核查范围受限、历史数据丢失、信息系统缺陷、涉及商业秘密等原因，导致无法获取全部或部分运营数据，无法进行充分核查的，保荐机构、会计师应考虑该等情况是否存在异常并就信息系统可靠性审慎发表核查意见，同时，对该等事项是否构成本次发行上市的实质性障碍发表核查意见。

发行人日常经营活动高度依赖信息系统的，保荐机构和申报会计师应参照上述内容对信息系统可靠性进行专项核查并发表明确核查意见。

▶点击《信息系统复杂度和依赖程度评估》

此外，发行人主要经营活动并非直接通过互联网开展，但其客户主要通过互联网销售发行人产品或服务，如发行人该类业务营业收入占比或毛利占比超过30%，保荐机构和申报会计师应核查该类客户向发行人传输交易信息、相关数据的方式、内容，并以可靠方式从发行人获取该等数据，核查该等数据与发行人销售、物流等数据是否存在差异，互联网终端客户情况（如消费者数量、集中度、地域分布、消费频率、单次消费金额分布等）是否存在异常。对无法取得客户相关交易数据的，保荐机构和申报会计师应充分核查原因并谨慎评估该情况对发表核查意见的影响。

参考

《IPO业务若干问题解答》全文

2017年，《证监会关于网络游戏类公司IPO信息披露指引（研究稿）》