近年来，越来越多的IPO、并购和上市公司年报审计项目开始执行IT审计程序，尤其是互联网、金融、零售等行业的企业，在回答关于业务真实性、内控有效性问题的时候，必须使用IT审计的方法才能满足充分性的要求。

业界知名大V投行小兵的一篇文章，值得推荐。

【小兵说】关于IPO审核中IT审计的基本思路总结

http://blog.sina.com.cn/s/blog_4ae7d4ff010305z9.html

随着互联网深入到生活的各个层次和方面，依靠互联网运行的一系列公司也是应运而生，随着这几年的积淀和成熟，这几年互联网企业成功上市和准备上市的企业数量正在逐渐增加。从实践的情况来看，目前IPO的互联网企业主要有两种：

①是以电商或者类电商企业为代表的以互联网作为主要销售模式的企业，而最适合互联网销售的女装、化妆品、孕婴用品行业也成为最早的一批企业。

②另外一种就是我们比较常见的典型的互联网生产模式的企业，比如通过互联网进行生产和销售的游戏类公司、以暴风影音为代表的软件应用公司、以及为互联网服务的APP分销、营销宣传类公司等。

不论是怎样的模式或者怎样的公司，只要是企业有着比较明显的互联网的基因和印记，那么企业不论是生产还是销售甚至是研发，都可能有着与传统模式的企业最本质的区别，那就是：互联网企业可能面临着海量数据的考验，而这些数据往往又是看不见摸不着的。在这种情况下，如何去核查数据的真实性和合理性，就是我们金条要提到的IT审计的一个应有之义。

1、IT审计也是一种审计程序

尽管IT审计在审计环境、考量因素甚至审计方法等方面都与传统审计方式有着根本的差异，不过IT审计从本质上来讲，仍旧是一种审计程序。审计的核心目的就是在于保证审计结果的真实和准确，IT审计同样也需要实现这样的效果，只是在过程中IT审计需要考虑更多新鲜复杂的因素。IT审计我们可以看做是一种特殊的审计程序，但是仍然需要遵守和执行最基本的审计规则，同样需要对审计机构的真实和准确负责。

2、IT审计的前提是保证数据来源的权威性和真实性

IT审计与传统审计最本质的一个区别就是在于其需要面对海量的互联网数据，审计其实说白了就是对于海量数据的审计，对于海量数据的真实性和准确性负责。那么在这种情况，数据的取得来源、取得方式、取得的环境等信息就显得异常的重要了。

关于海量数据的来源，一般情况下可能主要有两个路径：

①一种是在企业自有的服务器或者租赁的服务器里存储，企业自己的业务会自动生成业务数据存储在服务器，企业都自己的数据负责，这种主要是游戏、软件等互联网研发生产企业。

②另外一种就是企业的数据与其他公司一样统一存储在大的一个统一的平台上，比如电商企业，可能有无数家企业的数据都会存储在阿里巴巴或者京东的服务器上，企业需要向这些机构取得跟自己企业相关的数据。

在实践中，对于两种数据来源的方式我们简单分析下：

①对于第一种数据来源方式，由于企业自动生成并保管数据是很有可能会篡改数据甚至是虚构数据的，在审计中，那就需要对企业数据生成、数据保管、数据转移、数据修改等企业的IT环境和内部控制措施进行核查，目的就是要保证数据从生成到最终审计的整个过程中是否存在可能导致数据被修改的因素或者隐患。

②对于第二种数据来源方式，我们可以假定统一大平台的数据生成和管理措施是完善的，同时假定企业从大平台取得数据的过程和方式是值得信赖的，那么我们可以初步认定发行人的数据来源值得信任。当然，数据是否存在合理性，是否准确，是否有虚假的成分，那么就需要对数据进行进一步的分析。

3、IT审计就是一个大数据分析的过程

IT审计的基本前提是对IT的环境进行审计，保证数据来源的权威性和真实性，如果数据来源有问题，那么IT审计也就无从谈起，就算是能够审计结果也没有任何意义。

IT审计的对象是海量的数据，那么从某种意义上来讲，IT审计也就是一个大数据分析的过程。我们需要分析数据的合理性、数据的商业逻辑、数据与外部证据的匹配等各种情形。

我们以目前常见的电商企业为代表的，IT审计可能我们需要对以下方面进行合理性和真实性方面的甄别和核验。这些方面主要包括：销售金额集中度分析（不同平台销售情况分析、不同店铺的销售情况分析）；大额买家行为分析；大额订单分析；买家ID统计分析（同一买家ID在多个店铺下单的订单情况  、同一买家ID在同一店铺报告期三年内多次下单的销售情况、买家下单的高峰时间段）；买家地址统计分析（一个地址对应多个买家ID的情况、一个快递单号对应多个订单、多个地址情况）；销售情况地域性分析；销售金额分析；销售退货分析（不同平台、不同店铺的退货行为分析、不同城市的退货行为分析、下单后短时间内申请退货行为分析、非常规工作时间的异常订单统计分析）。

互联网销售会有着与传统销售模式非常多的差异和不同之处，IT审计就是要对这些差异进行分析，尤其是一些看似不合理但是在互联网销售情况下又很常见的情形进行详细说明，比如：互联网销售存在集中下单销售的情形，在某个时间点可能会有巨量订单；某个客户可能存在多个ID购买的情形，也存在一个ID多个地址的情形等。