谈信息系统审计规范制定的路径选择

      随着现代信息技术在企业经营管理中的应用，信息系统审计也逐步成为我国实务界与学术界所关注的重点，但同西方发达国家相比，我国信息系统审计仍然存在着制度与规范建设滞后的现象。面对复杂的计算机信息系统与错综复杂的数据应如何审计，信息系统审计人员在实务操作中应遵循什么样的规范，至今尚未形成统一的标准。这不仅与我国信息系统审计规范起步晚和技术落后紧密相关，同时信息系统审计规范制定中的路径依赖也阻碍了我国信息系统审计规范的建设。本文将基于路径依赖理论对信息系统审计规范的路径选择问题进行研究。

      一、制度变迁中的路径依赖理论

      制度变迁中的路径依赖理论经过二十多年的发展，经过许多制度研究者的完善，已经从诺思(1990)开创的制度变迁的路径依赖理论，形成了一个关于制度路径依赖过程的基本分析框架（皮天雷，2009）。Woerdman(2004)认为，制度变迁过程有其自身的特殊性，制度路径依赖过程有其特殊的含义，在确定形成制度路径依赖的各种自增强机制时，要和技术路径依赖过程进行区别。伍尔德曼分析了转换成本、递减的运行成本、网络外部性、学习效应、适应性预期、正式的法律约束、非正式的文化约束、既得利益约束、人们的主观理解以及解决问题的能力等十种自增强机制发挥作用的途径，提供了判别自增强机制的方法，并且对这十种自增强机制在制度路径依赖过程中的作用进行了分析（如图1所示）。

      

      图1 Woerdman的自增强机制关系

      Woerdman认为转换成本、运行成本和解决问题的能力是造成制度锁定的关键因素，正式的法律约束、非正式的文化约束和既得利益约束不直接造成制度锁定，但它们决定了转换成本的大小，从而起到强化或者减弱制度锁定效应的作用，网络外部性和学习效应也不直接造成制度锁定，它们决定运行成本的大小，人们的主观理解和适应性预期是更次要的机制，它们通过影响以上八种机制起作用。各种白增强机制之间并不相互排斥，它们彼此影响，以复杂的方式形成合力，推动动态系统走向路径依赖。

      基于对自增强机制的认识，诺思(1990)认为路径依赖有两种极端形式：一种是一旦走上了某一条路径，系统的外部性、组织的学习过程及主观模型便会强化这一轨迹，一种适应性的有效制度演进轨迹将允许组织在环境的不确定下选择最大化目标，进行试验，建立反馈机制，去识别并消除无效的选择，保护组织产权，进而促进长期的经济增长；另一种是在起始阶段带来报酬递增的制度，当阻碍了生产活动的发展并从中获利的利益集团为了既得利益尽力维护它，此时这个社会陷入无效制度安排，“锁定”在某种无效率的状态下而导致停滞。诺斯认为，除这两种制度变迁的极端形式外，还有其他一些中间性的情形和方式。路径依赖类似于物理学中的“惯性”，一旦进入某一路径就可能对这种路径产生依赖。其原因是：制度变迁过程与技术变迁过程一样，存在着报酬递增和自我强化的机制。这种机制使制度变迁一旦走上某一路径，它的既定方向会在以后的发展中得到自我强化。所以人们过去做出的选择决定了他们现在可能的选择。沿着既定的路径，经济和政治制度的变化可能进入良性循环的轨道，迅速优化；也可能顺着原来错误路径往下滑，甚至被“锁定”在某种无效率的状态下而导致停滞。一旦进入了锁定状态，要脱身而出就会变得十分困难，要打破这种制度“锁定状态”，其条件取决于形成自我强化机制的各种因素的性质。因此，路径依赖对制度变迁有极强的制约作用，信息系统审计规范的制度变迁也不例外。

      二、信息系统审计规范制定的困境

      路径依赖理论提醒我们在信息系统审计规范的制定过程中不要忘记历史。在审计准则的制定方面，国家审计准则的提供机构是国家审计署，内部审计准则的提供机构是中国内部审计协会，而注册会计师审计准则的提供机构是中国注册会计师协会。这种审计准则的提供模式决定了在信息系统审计规范的提供方面也是由不同准则机构各自提供与信息系统审计相关的准则。伍尔德曼(2004)认为转换成本、运行成本和解决问题的能力是造成制度锁定的关键因素。在我国信息系统审计规范的制定方面同样如此。在我国，信息系统审计还未纳入到强制审计的范畴，在信息系统审计规范的制定方面缺乏必要的动力机制，审计准则制定机构在审计准则制定方面的重点还是在财务审计方面，各种资源也主要投向财务审计准则的制定，还未转移到对产生财务信息的信息系统审计上来，导致审计准则制定机构在制定与颁布信息系统审计规范方面的能力相当有限。若要转向信息系统审计规范的制定，现有的准则制定资源不能满足信息系统审计规范的制定，准则制定机构必然会重新投入人力、物力和财力等资源，带来大量的转换成本，同时，国家对资本市场和财务审计的关注也使得将资源投入到财务审计准则会得到更多的收益，这种收益主要是指社会收益。在运行成本方面，由于学习效应和网络外部性的存在也会使得准则制定机构相同的资源投入到财务审计准则所带来的效益会高于投入到信息系统审计规范所带来的效益。由于转换成本、运行成本和解决问题的能力是造成制度锁定的关键因素，当前审计准则制定机构的各种自增强机制，有利于财务审计准则的制定，而不利于信息系统审计规范的制定。因此，也不难理解我国的信息系统审计主要目标是“真实、合法、效益”的原因。

      无论是在国家审计、内部审计，还是在注册会计师审计中，信息系统审计的主要内容、目标等方面只是文字表述上存在着差异，而在实质内容上不存在任何差别。信息系统审计规范具有同质性，内审协会、国家审计署和中注协所提供的审计准则都是同质产品。若一方提供符合我国国情的信息系统审计规范，则其他方可引用现成的信息系统审计规范，但提供信息系统审计规范的机构将耗费大量的人力、物力、财力，而将这些审计准则制定资源用于财务审计准则的制定将获得更大的收益。假设制定信息系统审计规范所带来的收益为S，制定信息系统审计规范由于大量的转换成本和运行成本的存在，使得信息系统审计规范制定的成本为，而信息系统审计规范这种公共品具有同质性，可以完全模仿，假设模仿现有信息系统审计规范基本上不花费任何成本，假设模仿成本为，且。由于国家关注的重点在财务审计准则的制定方面，则节约的成本用于制定财务审计准则，则可得到一个额外的收益△S。若审计准则制定机构的都采用模仿的策略，将成本完全用于制定财务审计准则、管理审计准则等，则审计准则制定机构则可得到收益S′，且存在，由不存在任何转换成本，且运行成本低于信息系统审计规范的制定，此时所带来的收益S′将大于。因此，我们可以得到一个如右上表所示的信息系统审计规范制定的“囚徒困境”。由于存在，则审计准则制定机构甲和乙的最佳策略组合为（模仿，模仿）。这种策略组合也使得我国在信息系统审计规范制定方面始终是渐近的方式，处于制度“锁定”状态。若不打破这种制定的“锁定”，信息系统审计规范供给与需求不均衡的状态将持续下去，不能很好地引导信息系统审计人员的审计行为，我国信息系统审计规范缺乏的现状也不会得到改善。