证监会新规：IPO企业须做好信息系统核查

      2020年6月10日，证监会发布《对首发及再融资业务问题解答的补充完善和修订》，首次以正式文件形式明确了对于借助互联网开展业务的申请首发企业，保荐机构和申报会计师如何在申请阶段开展信息系统核查。
      该文件的发布，体现了监管机构通过信息系统核查手段辅助和强化收入真实性及信息披露真实性核查工作的决心，对核查工作具有重要的指导意义。
      《首发业务若干问题解答》（下称《解答》）第53条解读为“一个核心属性和三个确定”，即信息系统核查内容围绕“业务真实性”这一核心属性，以及核查范围、核查内容以及各方责任的确定。

 

 

一、核心属性

 

      《解答》第53条对信息系统核查进行了多维度确认性规范，其核心属性是让信息系统核查能够反映企业经营活动的真实性，从发行企业信息系统设计、建设及运营，均需要体现业务真实性原则。第53条分别从用户真实性、用户活动真实性、业务交易真实性、成本和收入真实性以及外部环境真实性等维度，规范了该类企业的信息系统核查工作。

 

 

二、三个确定

      （一）范围确定

 

      《解答》第53条明确了发行企业信息系统核查范围，适用信息系统核查的企业划分为三类：

 

 

      1 高度依赖型
      高度依赖型企业，是指日常经营活动高度依赖信息系统的企业，其业务不依赖于互联网开展，但人财物管理均借助信息系统进行。企业的经营数据和财务数据均在信息系统中录入、处理和输出等，信息系统为业务正常开展提供了基本保证。
      2 互联网业务占比型
      互联网业务占比型企业，是指业务依托互联网直接开展，报告期任意一期通过互联网取得的营业收入占比或毛利占比超过30%，主要面向用户直接或间接获得收益的互联网直接收入费用企业和互联网间接转化收入类企业。
      互联网直接收入费用企业：如互联网线上销售、互联网信息服务、互联网游戏等，企业收入主要来源于用户通过互联网直接购买商品或服务。信息系统对于此类企业的业务运营和财务核算至关重要，信息系统核查可以提供企业核心业务的真实性、完整性和准确性的有力支持。

      互联网间接转化收入类企业：通过展示或用户点击转化收入的企业，如用户点击广告后向广告主或广告代理商收取费用的企业，包括互联网广告业务链的SSP、ADX和DSP企业。信息系统核查可以帮助确认此类企业广告投放数据的真实性，以及收入准确性。

      3 间接互联网业务占比型
      间接互联网业务占比型企业，是指其主要经营活动并非直接通过互联网开展，但其客户主要通过互联网销售发行人产品或服务。比如，业务营业收入占比或毛利占比超过30%，这类企业主要指一些To B型企业，通过将产品和服务提供互联网属性的客户进行分销或寄售，实现企业营收，证监会要求获取客户的交易数据与企业的业务数据进行分析，以甄别企业的业务真实性。

 

      （二）核查内容确定

 

      针对上述3类发行企业，保荐机构和申报会计师需要根据不同企业分型进行相应的核查，核查内容进一步细化。根据第53条的规定，核查内容围绕业务真实性展开总结来看主要有以下几点：

      1 业务经营数据和财务数据一致性和完整性
      互联网行业受众广用户多，业务运营差异化较多，企业在设计信息系统时，需要以此次第53条的规定为建设规范，保证业务运营数据规范化、完整性以及真实性，加强运营内部控制，业务系统交易与财务系统进行紧密集成，以业财一体化为基本要求，杜绝业务经营活动中的舞弊造假行为，核查重点在于经营数据的完整性和准确性，是否存在被篡改的风险，与财务数据是否一致。
      2 用户及其消费的业务真实性

      用户是互联网行业业务经营的核心要素，用户的变化趋势与企业收入和盈利具有较强的关联性，在信息系统核查过程中需要从用户全生命周期环节数据核查。

      用户真实性与变动合理性，包括新增用户的地域分布与数量、留存用户的数量、活跃用户数量、月活用户数量、单次访问时长与访问时间段等，系统数据与第三方统计平台数据是否一致；

      用户行为核查，包括但不限于登录IP或MAC地址信息、充值与消费的情况、重点产品消费或销售情况、僵尸用户情况等，用户充值、消耗或消费的时间分布是否合理，重点用户充值或消费是否合理。

      3 收入和成本合理的逻辑性
      企业通过用户获取业务收入的，需要核查获客成本是否正常，是否符合正常商业逻辑。同时，通过用户取得业务收入，业务收入是否符合变动趋势。通过经营中IDC带宽费用、用户分析等数据验证企业业务收入的真实性。
      信息系统主要核查内容包括：系统收款或交易金额与第三方支付渠道交易金额是否一致，是否存在自充值或刷单情况；平均用户收入、平均付费用户收入等数值的变动趋势是否合理；业务系统记录与计算虚拟钱包（如有）的充值、消费数据是否准确。互联网数据中心（IDC）或带宽费用的核查情况，与访问量是否匹配；获客成本、获客渠道是否合理，变动是否存在异常等。
      针对主要经营活动并非直接通过互联网开展，但其客户主要通过互联网销售企业产品或服务的企业，不仅需要关注企业本身的运营数据，还需要考虑企业下游客户所对应的互联网终端客户的真实性和合理性。
      信息系统主要核查内容包括：经营数据的完整性和准确性，是否存在被篡改的风险，与财务数据是否一致；不同平台用户占比是否符合商业逻辑与产品定位；推广投入效果情况，获客成本是否合理；用户行为真实性核查，应用软件的下载或激活的用户数量、新增和活跃的用户是否真实，是否存在购买虚假用户流量或虚构流量情况；广告投放的真实性，是否存在与广告商串通进行虚假交易；用户的广告浏览行为是否存在明显异常等。

      （三）责任确定

      1 企业责任
      企业应向保荐机构和申报会计师完整提供报告期应用的信息系统情况，包括系统名称、开发人、基本架构、主要功能、应用方式、各层级数据浏览或修改权限等；应向保荐机构和申报会计师核查信息系统数据开放足够权限，为其核查信息系统提供充分条件。

      2 保荐机构和申报会计师责任
      保荐机构和申报会计师应参照上述核查内容对信息系统可靠性进行专项核查并发表明确核查意见。

      如因核查范围受限、历史数据丢失、信息系统缺陷、涉及商业秘密等原因，导致无法获取全部或部分运营数据，无法进行充分核查的，保荐机构、会计师应考虑该等情况是否存在异常并就信息系统可靠性审慎发表核查意见，同时，对该等事项是否构成本次发行上市的实质性障碍发表核查意见。

      对于互联网间接开展业务的企业，如无法取得客户相关交易数据的，保荐机构和申报会计师应充分核查原因并谨慎评估该情况对发表核查意见的影响。

 

 

新形势下大信IT审计部为企业提供信息系统核查服务

 

      证监会对信息系统核查要求的出台，明确了需要开展专项核查的企业类型，强调了企业必须配合的事项以及核查机构的责任，对于特定企业信息披露真实性予以充分的重视，能够有效识别企业内部虚假或异常的经营数据，确保拟上市企业，特别是互联网企业或高度依赖信息系统的企业的业务运营和财务收入的真实性。

      大信IT审计团队持续关注互联网行业信息系统核查监管政策趋势发展，基于自身丰富的信息系统审计和咨询经验，能够为企业、保荐机构和申报会计师提供有力的信息科技技术支撑。

 

 

 

      了解更多  欢迎联系我们

      王鹏 信息科技风险管理与鉴证服务

      电话：18301657185

      邮箱：wangpengnancy@daxincpa.com

      李祥勇 信息科技风险管理与鉴证服务

      电话：13521140203

      邮箱：lixiangyong@daxincpa.com