对游戏公司的审计应该关注的几个问题

本帖最后由 小篱 于 2015-8-11 10:54 编辑

62564802.jpg (113.31 KB, 下载次数: 19)

下载附件

2015-8-11 10:32 上传

GameRes游资网授权发布 文 / Ada Wang

大型互联网游戏公司的内部审计和外部审计肯定包括：财务审计、IT审计。

或许还会有合规审计，以及一直比较流行的风险管理。

但是目前国内大型互联网游戏公司绝大多数已经在美国上市，在美上市公司需要严格按照SOX法案执行，并且在SOX法案404条款关于内部控制的框架指导下实施内部审计和第三方外部审计。

我只做过在美上市公司的审计，并且是IT审计，IT审计是财务审计的延伸和支撑，就好比IT是服务于业务一样的道理。IT审计涉及的范围非常广，也很杂，在国际上有通用的审计方法和与此相关的资格认证，有兴趣的朋友可以了解一下。以下仅仅就“游戏公司的审计应该关注什么”的问题简单谈一下：

先说明：就目前来看，除去内外审各自的特性，IT审计的内审和外审关注的点和测试方法大体一致，以下都是通用的。

首要要明白：如何确定审计范围，这也是回答审计应该关注什么的前提。

根据SOX404，首先要严格关注与财报相关的各个流程，以及与此流程相关的信息资产(包括数据、系统、人、物理安全等)。这是个大原则，一切审计活动都是以此为依据开展的。

然后再说游戏公司，根据游戏公司的特点，最应该关注游戏收入相关的流程和信息资产。

玩家从充值买点到最终在系统内实际消费购买虚拟物品，后台有关此流程数据传输、存储的整个过程，这个过程中涉及到的每个环节，包括应用系统、操作系统、数据库、程序、网络等相关都很重要，因为它们覆盖了整个数据流程，是财务做收入确认的依据并且最终体现在财报上。因此，公司内的IT部门以及IT内部控制的目标是：

保证系统、程序、数据的机密性、一致性、准确性、完整性和可用性来确保财务报告的准确性、完整性和及时性。

从IT审计的角度，我们需要通过以下几个点来做基于风险的IT审计，下面是我之前给别人培训时使用的PPT截图：

1、SOX404 IT内部控制及对财务报表的影响

0af411ca193746c51b0b2ca9e4133646_b.jpg (79.59 KB, 下载次数: 25)

下载附件

2015-8-11 10:29 上传

2、ITGC(IT General Control，IT总体控制)(此部分为IT审计通用关注点)

(1)系统开发：按照系统开发生命周期进行管理和审计

(2)系统变更：对变更流程的控制

(3)系统运维：

-1、数据备份与恢复

-2、故障处理

-3、系统日志和权限例行检查

-4、数据库服务器日志和权限例行检查

-5、应用日志和权限例行检查

-6、批次作业记录

-7、服务器硬件维护/机房管理

……

(4)安全管理：

1、权限、账号管理(申请、变更、删除)

2、网络、服务器安全漏洞扫描

3、安全日志检查

4、配置管理

5、Token管理(申请、变更、撤销)

......

3、ITAC(IT Application Control，IT应用控制)(此部分更侧重游戏行业的特色)

(1)游戏配平

(2)游戏计费：完成游戏计费流程的有效性的测试抽样。例：

-1、按照内审部抽取的游戏玩家充值样本，分别各个传输节点查找相应记录并截屏，以验证相应排重、批次作业部署正常，数据记录准确无误。

-2、游戏玩家人数(最高在线人数、付费用户数等)抽样统计。

-3、游戏开卡数据抽样统计。

-4、用户权限检查。

(3)新游戏上线对其计费(收入)相关测试(新游戏预测试)：方法同上(2)

大概如此，其中一个点都可以展开来说很多，就不赘述了，

重申一点：对于互联网游戏行业来讲，他们还是看重收入，所以IT审计多是围绕此展开的。

此外，基于SOX404做的审计都有其局限性，现在我更多是考虑如何突破这一局限，在保证通过SOX404的前提下，IT审计有新的发展。