企业信息系统审计的研究

第一篇：企业信息系统审计的研究

企业信息系统审计的研究

来源：CIO时代网

实现工业化仍然是我国现代化进程中艰巨的历史性任务。信息化是我国加快实现工业化和现代化的必然选择。近年来，企业对信息技术的投入逐年加大，信息化程度也越来越高。信息化的蓬勃发展，促进了其经营管理水平的提高，特别是在提高管理创新、集中管控能力、执行力和市场反应能力等方面，信息技术的应用确实带来意想不到的效率和成果。但是，信息系统给社会带来的危害主要体现在以下几方面：突发事件的影响，由于1993年纽约世界贸易大厦爆炸事件，使得当时入住的多数企业的商业数据如数丧失，导致在企业这一年内的很多商业活动无法进行；错误操作、不正当使用和滥用信息技术，1998年发生的CIH病毒，导致全球数百万台计算机硬件损坏，导致近百亿美元的经济损失。信息系统开发失败。1994年，Standish Group对IT行业8400个项目（投资250亿美元）的研究结果表明有34％的项目彻底失败，50％的项目在补救后完成，预算平均超出90％，进度平均超出120％。这些失败和补救的项目中、不少未经过投资风险评估便匆匆上马，超成了极大的社会资源浪费，对信息系统投资方面起到了极其恶劣的影响。因此，迫切需要对正在使用或即将投产的信息系统的安全性、真实性、完整性、有效性进行鉴证。通过对信息系统的审计，保证信息系统的可信度，促进内控体系的规范建设，信息系统审计已成为摆在企业管理人员案头迫切需要开展的重要工作。在我国信息化推进过程中，存在不同程度上的一些问题，主要表现在规划制订不够科学，项目管理不够严格，监理机制不够健全，系统运行效益不够明显。致使相当一部分信息化项目失败或未能实现预期目标，浪费了大量资源。究其根源主要原因之一是信息化建设第三方监管机制的缺失和标准的不健全。

一、审计信息系统

信息系统审计是指根据公认的标准和指导规范对信息系统及其业务应用的效能、效率、安全性进行监测、评估和控制的过程，以确认预定的业务目标得以实现。

审计信息系统最早称为计算机审计，计算机审计业务主要关注对被审计单位电子数据的取得、分析、计算等数据处理业务，还称不上信息系统审计。随着计算机技术应用范围的不断扩展，计算机审计所关注的内容也从单纯的对电子的处理延伸到对计算机系统的可靠性、安全性进行了解和评价。在制度基础审计的模式下，计算机审计的业务内容已经扩展到了符合性测试领域。信息系统的安全性、可靠性与其所服务的组织所面临的各种风险的联系越来越紧密，对被审计单位风险的评估必须将计算机信息系统纳入考虑范围。计算机审计的业务范围已经覆盖了一项审计业务的全过程，信息系统审计的概念随之出现。

在建立信息系统审计制度，开展信息系审计研究方面，美国走在了前面。早在计算机进入实用阶段时，美国就开始提出系统审计（SYSTEM AUDIT）。1969年在洛杉矶成立了电子数据处理审计师协会（EDPAA），1994年该协会更名为信息系统审计与控制协会（INFORMATION SYSTEM AUDIT AND CONTROL ASSOCIATION）即ISACA，总部设在美国芝加哥。目前该组织在世界上100多个国家设有160多个分会，现有会员两万多人，它是从事信息系统审计的专业人员唯一的国际性组织，CISA（Certified Information System Auditor）也是这一领域的唯一职业资格。

在很多大型公司内部，信息系统审计部门已经成为一个独立的对外提供多种服务的部门。尤其是互联网和电子商务的兴起，更是为信息系统审计业务带来了无尽的商机。为财务报表审计提供服务只占信息系统审计部门业务内容很小的一部分。与信息安全相关的防火墙审计、安全诊断、信息技术认证以及ERP相关的新型咨询业务也不断涌现。”未来审计行业和审计技术的发展动力将主要来自于信息系统审计的发展“，这一观点已经逐渐成为国外会计、审计界的一个共识。信息系统审计师的地位也在不断提高。在国外的一些大型会计公司中已经出现了没有CPA资格的合伙人，他们持有的专业资格就是CISA.据专家介绍，国际信息系统

审计师（简称IT审计师）目前已经成为全球范围最抢手的高级人才。

在初期，信息系统审计是作为传统审计业务的一部分，在审计师对由计算机系统处理的数据的质量进行判断时提供技术支持。有信息系统审计技能的审计师被看作是会计师事务所的技术资源，在必要时为同事提供技术支持。对于信息系统审计，需求领域很广。如对组织的信息系统审计（主要集中在对信息技术的管理控制）、技术方面的信息系统审计（包括架构、数据中心、数据通信等）、应用的信息系统审计（包括经营、财务）、开发实施信息系统审计（包括需求识别、设计、开发以及实施后阶段）和信息系统是否符合国家或国际标准的审计等等。

二、构建信息系统审计

信息系统审计的建立是一项复杂的系统工程，所以应制订长远的开发规划，由简到繁分阶段逐步实现。它的功能应该是：实现审计信息的收集、处理和共享；实现审计日常管理的自动化；通过计算机建立程序化的标准审计方法和统一的审计标准，从而提高审计工作的效率和质量。实现审计管理规范化；保证审计作业规范化；促进审计文档规范化；审计质量监督规范化；提高审计结论的层次。基于上述的系统目标，信息系统审计当前应由审计证据管理子系统、信息系统安全标准子系统、信息系统安全评估子系统、项目管理审计子系统和信息系统审计法律标准子系统等五个子系统组成。

（一）审计证据管理子系统

１。审计证据收集

（1）传统方法收集审计证据

（2）通过数据接口直接向计算机会计信息系统获取审计证据

（3）在线系统审计证据收集

（4）计算机网络系统审计证据收集

2.审计证据评价

（1）真实性。查明审计证据的来源、形成的时间、地点、制作过程及设备情况，有无伪造和删改的可能性。一般说来，由第三方（如中间商或网络服务商）来储存记录或转存的证据具有较高的证据效力；被审计事项的事实和行为发生时留下的证据的效力较以后专为诉讼的目的而形成的证据更为真实；对于自相矛盾、内容前后不一致或不符合情理的审计证据，应小心对待，不可轻信，对不能排除合理怀疑的审计证据不得采纳。

（2）合法性。包括收集手段是否合法和形式条件是否合理两部分。有些审计证据其本身也有证据力，但在收集过程中，违背了规定的手续和程序，因而也就不具有法律效力，也不能用来证实问题，为此，鉴定分析审计证据时，要了解证据是以什么方法、在什么情况下取得的，是否违背了法定的程序和要求，是否符合法律规定的形式要件，这样有利于判明审计证据的真伪程度和效力。

（3）相关性。查明审计证据反映的事实与被审计事项有无关系，只有与被审计事项的事实或逻辑上是相关的事实才能被认为是证据。

（4）结合其他证据进行鉴定分析。将审计过程中收集的全部证据综合起来加以分析、判断。如审查计算机审计证据中有无数据、图表等反映的事实，同有关书证、物证、证人证言进行分析，明确是否互相一致，是否有矛盾。如果与其他证据相一致，共同指向同一事实，就可以认定其效力，可以作为审计证据。反之则不能作为审计证据。

（二）信息系统安全标准子系统

构建通用的信息系统安全标准，作为信息系统审计工作中的参考标准。信息系统安全标准是由高级管理人员制定的最小标准、规则构成的集合，所以必须加以实现，以确保信息系统安全政策的实现。信息系统安全标准需要指明每个信息系统控制的详细要求。它为管理人员提供一个基准或底线，可以照此对单个信息系统控制的适当性进行评估。信息系统审计是

一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程。它是立足于组织的战略目标，为有效的实现组织战略目标而采取的一切活动过程都在审计师的业务之内。

（三）信息系统安全评估子系统

信息系统审计集中反映了企业的战略目标，主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全性、可靠性、有效性； 信息系统审计资源维主要包括以信息、应用系统、设施及人在内的信息相关的资源，这是信息系统审计治理过程的主要对象；信息系统审计过程则是在信息系统审计准则的指导下，对信息及相关资源进行规划与处理，从信息技术的规划与组织、获取与实施、交付与支持、监督与评估等方面确定了信息技术处理过程，每个处理过程还包括更加详细的控制目标和审计方针以对信息系统审计处理过程进行评估。

（四）项目管理审计子系统

项目管理系统是对审计过程进行全面指导、帮助和控制的软件，它通过对标准审计方法的各个工作流程的合理细分，使每个子流程都对应相应的计算机处理模块。从而使一个完整的审计项目可通过计算机辅助而完成，并产生各个工作环节应该生成的底稿和报告。有利于提高工作效率，为进行审计质量考核提供了极大的方便。

（五）信息系统审计法律标准子系统

此系统主要是实现信息资料的收集和共享。内容定期进行更新，包括：审计工作所需要的各类法律、法规、规章制度等。一般来讲，按不同层次设立，信息的共享通过系统内互联的企业网实现，还可根据信息的保密要求，设定不同的信息访问权限。

三、规范信息系统审计范围

其业务范围包括与信息系统有关的所有领域，例如对组织的信息系统审计（主要集中在对信息技术的管理控制）、技术方面的信息系统审计（包括架构、数据中心、数据通信等）、应用的信息系统审计（包括经营、财务）、开发实施信息系统审计（包括需求识别、设计、开发以及实施后阶段）和信息系统是否符合国家或国际标准的审计以及网誉审计、电子签名审计业务等电子商务审计。

1.信息系统开发计划、管理及组织架构的战略、政策、标准及相应实践过程的评估；

2.技术基础设施及运行实践的效能和效率的评估；

3.信息资源在逻辑访问、运行环境以及IT基础设施各方面的安全性的评估；

4.系统灾难恢复及保证业务连续性的能力的评估；

5.业务应用系统开发、实施与维护的方法和过程的评估；

6.业务流程的风险管理水平的评估；

7.财务系统的评估。

第一，鉴证作用。信息系统审计的鉴证价值是指通过审计，合理地保证被审计单位信息系统及其处理、产生的信息的真实性、完整性与可靠性，政策遵循的一贯性。

第二促进作用。促进价值体现在两个方面，一是指信息系统审计可以促进被审计单位更有效地融入到社会经济生活中；二是指审计可以促进被审计单位改进内部控制，加强管理，提高信息系统实现组织目标的效率、效果。

第三咨询作用。信息技术的发展为组织的管理变革提供了技术手段，组织扁平化、工作丰富化等管理变革都要信息技术来实现。信息化已是大势所趋。

四、创建行业标准与实务指南

如同开展业务审计要具有相关法律法规作为审计依据一样，开展信息系统审计同样需要审计依据。国内信息系统审计方面的工作近几年才刚刚开始，基本仍处于摸索阶段，而在国家审计中更是如此。目前，由于国内关于信息系统审计方面的标准尚处于空白状态。

国际上关于信息系统审计方面可以参考的标准主要有信息及相关技术控制目标COBIT（Control Objectives for Information and related Technology）、ISO17799、能力成熟度集成模型CMMI（Capability Maturity Model Integration）和IT基础架构库ITIL（Information Technology Infrastructure Library）等。

信息系统审计与控制协会ISACA（Information System Audit and Control Association）于1996年公布的目前国际上通用的信息系统审计的标准。它将IT 过程，IT资源及信息与企业的策略与目标联系起来，形成一个三维的体系结构。它是一个在国际上公认为最先进、最权威的安全与信息技术管理和控制的标准。

英国国家标准局制定的BS7799-1《信息安全管理实践规范》，该规范于2000年12月被国际标准化组织采纳，成为ISO17799。ISO/IEC17799标准最初于1993年由英国贸易工业部立项，由标准化协会筹备起草并作为英国的标准。1995年，首次发布BS 7799-1:1995《信息安全管理业务规范》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于大、中、小组织以及政府部门；1998年，标准化协会发表标准的第二部分BS 7799-2《信息安全管理体系规范》，它规定信息安全管理体系与信息安全控制要求，是一个组织的全面或部分信息安全管理体系评估的基础，它还可以作为一个正式认证方案的根据；BS 7799-1与BS 7799-2经过修订于1999年重新予以发布，此次考虑了信息处理技术，尤其是考虑了在网络和通信领域应用的最新发展情况；2000年12月，BS 7799-1:1999《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准，即ISO/IEC17799-1:2000《信息技术--信息安全管理业务规范》标准。

2005年，ISO发布了新版的信息安全管理实施细则，即ISO/IEC17799-2005，对2000年版的标准进行了修订，更加注重标准的通用性和实用性。

日本的系统审计是从八十年代开始，1983年通产省公开发表了《系统审计标准》，并在全国软件水平考试中增加了”系统审计师“一级的考试，着手培养从事信息系统审计的骨干队伍。近几年东南亚各国也开始制定电子商务法规，成立专门机构开展信息系统审计业务，并制定技术标准。

国内目前关于信息系统审计的依据主要有修订后的《中华人民共和国审计法》、国办发

【2001】88号文件《国务院办公厅关利用计算机信息系统开展审计工作有关问题的通知》、1999年颁布了独立审计准则第20号--计算机信息系统环境下的审计等，同时可以主要参考COBIT和ISO17799标准。

但是我国信息系统审计才刚起步，审计技术、审计规范、制度等都有待研究。随着我国信息化水平的提高，对信息系统的有效控制与审计将逐渐成为研究热点。

五、开展信息系统审计的意义

1.信息系统审计是未来审计发展的必然

未来审计行业和审计技术的发展动力将主要来自于信息系统审计的发展。

2.维护信息时代的市场经济秩序

市场经济是建立在信用基础上的，信息系统审计应当充当信息时代经济生活中公正的鉴证人起着维护市场经济稳定的作用。信息时代竞争的加剧，信息流的电子传播方式等，使市场对及时和相关信息的需求越来越多，现有财务报告模式的局限性性日渐突出。现有财务报告是以历史成本为计量基础的、周期性的向利益相关者报告。在新经济环境中，信息系统审计师应能够以在线、实时的信息为基础提供鉴证，通过多种方式来保护公众利益、提供鉴证服务并满足投资公众对决策有用信息的访问需要。提供实时报告鉴证对保护公众利益和保护资本市场的有序发展是非常有意义的。

3.为信息化建设保驾护航

以信息化带动工业化，推进电子政务及电子商务，许多企业也已着手整合与升级其信息化应用系统。可以预计，全国将有更多、更大的信息系统建设项目展开。但是，信息化是有风险的，信息系统规模越大，功能越复杂，风险也就越大。信息系统审计师的出现，可以从项目计划开始介入信息系统建设的每个环节，以他们的专业素养，从项目的初始阶段一直到运营的全过程，给予项目投资者风险控制的评估与建议，提高信息系统的投资效益。

第二篇：信息系统审计

1、信息系统审计的概念，内容，流程？

答：（1）概念信息系统审计是指根据公认的标准和指导规范，对信息系统从规划、实施到运行维护各个环节进行审查评价，对信息系统及其业务的完整性、有效性、效率性、安全性等进行监测、评估和控制的过程，以确定预定的业务目标得以实现，斌提出一系列改进建议的管理活动。

（2）内容：主要包括内部控制系统审计、系统开发审计、应用程序审计、数据文件审计等。a.内部控制系统审计。信息系统的内部控制系统由两个子系统构成：一是一般控制系统，它是系统运行环境方面的控制，为应用程序的正常运行提供外围保障。另一子系统是应用控制系统，它是针对具体的应用系统和程序而设置的各种控制措施。

b.系统开发审计。是指对信息系统开发过程所进行的审计，这是一种事前审计。

c.应用程序审计。其决定了数据处理的合规性、正确性。对应用程序的审计，可以对程序直接进行审查，也可以通过数据在程序上的运行进行间接测试。

d.数据文件审计。在信息系统中，各种凭证、账簿及报表中的数据均以数据文件的形式存储在硬盘或软盘等存储介质中，对数据文件进行审计，可以将该文件打印出来进行检查，也可以在计算机内直接进行审查。

（3）流程：主要的分为准备阶段、实施阶段、终结阶段。

a.准备阶段：

1、明确审计任务。

2、组成信息系统审计小组。

3、了解被审计系统的基本情况。

4、制定信息系统审计方案；

b.实施方案：

1、对被审计系统的内部控制制度进行健全性调查和符合性测试。

2、对帐表单证或数据文件的实质性审查；

c.终结阶段：

1、整理归纳审计资料。

2、撰写审计报告。

3、发出审计结论和决定。

4、审计资料的归档和管理。

2、常见的IT治理标准有哪些，各自的作用是什么？

答：常见的IT治理标准有ITIL，COBIT，BS 7799，PRINCE2。

（1）ITIL（Information Technology Infrastructure Library），即信息技术基础构架库，一套被广泛承认的用于有效IT服务管理的时间准则。1980年以来，英国政府商务办公室为解决“IT服务质量不佳”的问题，逐步提出和完善了一整套对IT服务的质量进行评估的方法体系。

（2）COBIT，（Control Objectives for Information and related Technology）：信息和相关技术的控制目标。它是由信息系统审计与控制协会，于1996年推出的用于IT审计的知识体系。作为IT治理的核心模型，其包括34个信息技术过程控制，并归集为IT规划和组织、系统获得和实施、交付与支持以及信息系统运行性能监控4个领域。目前COBIT是国际上公认的IT管理与控制标准。

（3）BS 7799（ISO/IEC17799）：国际信息安全管理标准体系。该标准包括信息系统安全管理和安全认证两大部分，是参照英国国家标准BS 7799而来的。它是一个详细的安全标准，包括安全内容的所有准则，由10个独立的部分组成，每一节都覆盖了不同的主题和区域。该体系主要解决企业的信息安全管理上的问题，为企业提供了一个完整的管理框架，不断改进信息安全管理水平，使机构或企业的信息安全以最小代价达到需要的水准。

（4）PRINCE2（Projects In Controlled Environments）是一种对项目管理的某些特定方面提供支持的方法。PRINCE2描述了一个项目如何被切分成一些可供管理的阶段，以便高效地控制资源的使用和在整个项目周期执行常规的监督流程。PRINCE2的视野并不仅仅限于对具体项目的管理，还覆盖了在组织范围对项目的管理。

3、常见的信息系统开发方法，对其中的一到两种展开说明？

答：常见的信息系统开发方法有软件开发生命周期法、原型法、面向对象法、计算机辅助开发方法、基于组件的开发方法、基于Web应用开发方法。以下对软件开发生命周期法进行

说明。

软件开发生命周期法（Software Development Life Cycle，SDLC）是系统分析员和系统开发者常用的软件开发方法。软件开发生命周期法能够生产高质量的软件，满足业务和用户的需求，在开发进度和成本控制下进行软件开发生产，是一种有效保证成本，提高效益的软件开发方法。通过应用传统的SDLC方法，已经成功开发出了大量的业务应用系统。其各个阶段及其基本内容如下：

1、第一阶段——可行性研究。确定实施系统在提高生产效率或未来降低成本方面的战略利

益，确定和量化新系统可以节约的成本，评价新系统的成本回收期。

2、第二阶段——需求定义。一是定义需要解决的问题，二是定义所需的解决方案及方案应

当具有的功能和质量要求。该阶段还要确定是采用定制开发的方法还是供应商提供的软件包。

3、第三阶段A——系统设计（当决定自行开发软件时）。以需求定义为基础，建立一个系

统基线和子系统的规格说明，以描述系统功能如何实现，各个部分之间接口如何定义，系统如何使用已选择的硬件、软件和网络设施等。

4、第三阶段B——系统获取（当决定购买现成软件包时）。以需求定义为基础，向软件供

应商发出请求建议书（RFP）。商品软件的选择要从多方面进行考虑。

5、第四阶段A——系统开发（当决定自行开发软件时）。使用系统设计说明书来设计编程

和实现系统过程。在这个阶段，要进行各个层次的测试，以验证和确认开发的系统。

6、第四阶段B——系统配置（当决定购买现成软件包时）。如果决定选用商品化的软件包

时，需要按照企业的需求进行系统客户化工作，对系统进行剪裁。这种剪裁最好是通过配置系统参数来实现，而不是通过修改程序源代码。

7、第五阶段——系统实施。这个阶段是在最终用户验收测试完成、用户签署正式文件后进

行。系统还需要通过一些认证和鉴定过程，来评价应用系统的有效性。

8、第六阶段——实施后维护。随着一个新系统或彻底修改的系统的成功实施，应当建立正

式的程序来评估系统的充分性和评价成本效益或投资回报。这样可为后续的系统开发项目管理提供改进意见。

当一个项目的需求稳定、定义准确时，生命周期法使用起来最有效，改方法适用于在开发工作的早期建立总体的系统构架。

4、IT服务管理的定义，包括哪些内容？

答：（1）IT服务管理（IT Service Management，ITSM）有以下两种使用比较广泛的定义：

1、IT服务管理是一种以流程为导向、以客户为中心的方法。它通过整合IT服务于企业业

务，提高了企业的IT服务提供和服务支持的能力和水平。

2、IT服务管理是一套通过SLA（服务级别协议）来保证IT服务质量的协同流程。它融合了系统管理、网络管理、系统开发管理等管理活动以及变更管理、资产管理、问题管理等许多流程理论和实践。

（2）ITIL主题框架包括6个主要模块，即服务管理、业务管理、ICT（信息与通信技术）基础设施管理、贯穿业务和IT基础设施的应用管理、IT服务管理实施规划和集中的安全管理。

08信息2班0804100229徐怡

第三篇：关于企业信息系统审计的几点认识

关于企业信息系统审计的几点认识

来源：CIO时代网

审计署刘家义审计长提出了“信息系统应用责任审计是经济责任审计7个组成方面之一”的观点，为企业信息系统审计指明了方向和目标。我有幸参加了审计署组织的第一次与经济责任审计相结合的企业信息系统审计项目，下面结合工作实际谈一下我对企业信息系统审计的几点认识：

一、企业信息系统审计是实现评价领导人信息系统应用责任的重要方法

目前，大型企业在组织形态走向分散化的同时其管理的集约化程度不断提高，依靠集中的信息管理，很多大企业建立了比较发达的“神经系统”，不仅基本实现了财务统一管理，在业务领域也实现了分布式应用、集中化管理，信息系统的复杂度和数据量随之迅速增长。因此，现在依靠传统的计算机审计思路和方法，很难对信息化程度较高的大型企业的领导人的信息系统应用责任做出评价，但我们通过信息系统审计可以从一定程度上回答企业全面的内控和管理情况，从而达到评价企业领导人的信息系统应用责任的目的。虽然目前通过信息系统审计方法较难查出大案要案，与当前审计环境和要求有一定矛盾，但从长远看，企业信息系统审计一定有生命力和发展前途。

二、企业信息系统审计的方法步骤及主要内容

在国内信息系统审计指南还未发布的情况下，我们本次企业信息系统审计主要参照2009年美国联邦政府责任办公室发布的《联邦信息系统控制审计手册》（以下简称FISCAM）提供的方法步骤和主要内容，结合中国企业审计的实际情况开展。具体情况是：

（一）企业信息系统审计的方法步骤

FISCAM提供了一种依据在政府审计标准中提及的“一般公认的政府审计标准（GAGAS）”来执行信息系统控制审计的方法，结合本次审计，我认为企业信息系统的基本方法步骤为：一是了解审计的总体目标和信息系统控制审计的范围，二是了解被审计单位的运营情况和关键业务流程，三是全面了解被审计单位的网络架构，四是识别审计关注的关键审计域，五是初步评价信息系统风险，六是识别关键控制点，七是进行符合性测试，八是根据符合性测试结果进行实质性测试，最后是形成审计报告。

（二）企业信息系统审计的主要内容

我认为企业信息系统审计主要基于内部控制开展，信息系统内部控制是为了保证信息系统的有效性、可靠性和安全性，提高信息系统运营效率，确保信息准确、完整、可靠，有效保护信息资产，利用各种手段和技术，对信息系统实施的管理和控制过程。信息系统内部控制可以划分为一般控制和应用控制。

一般控制是对信息系统的开发、实施、维护和运行所进行的控制，主要目标为数据安全，保护应用程序，并确保计算机在异常中断情况下能持续运行。一般控制所采用的控制措施普遍适用于所有的应用系统，为应用系统提供了环境上的保证。

应用控制即业务流程应用程序级的控制，是指与被审计单位具体业务活动相关的控制，与一般控制相对应。应用控制既可以在信息系统内实现，也可以以手工方式实现。FISCAM定义应用控制为：对交易的完整性，准确性，有效性，机密性和可用性以及在应用处理中的数据的控制，通常分为应用程序级一般控制、业务流程控制、接口控制、数据管理系统控制等四类控制。

三、企业信息系统审计的知识能力要求

企业信息系统审计涉及多学科，需要高素质的综合型审计人员，审计人员必须具备开展信息系统审计所需要的审计、内部控制与信息技术专业能力，应当取得审计署计算机审计资格和信息系统审计资格，掌握信息系统基本知识，如具备财务会计、大型数据库、网络安全、内部控制等方面的知识，同时具备一定的计算机辅助审计能力，能熟练运用外部资源进行信

息系统审计测试。必要时，我们还需从外部聘请专家解决专业能力不足的问题。

FISCAM中对信息系统审计人员的专业能力也提出了具体要求，如业务流程控制审计就需具备以下专业知识和能力：一是有关应用数据完整性、准确性、有效性和机密性的实务、策略和技术的知识；二是每个业务流程处理周期中的典型应用的知识；三是使用通用审计软件包对应用程序数据进行数据分析和测试，以及计划、提取与评价数据样本分析和评价组织的应用控制，并界定其优缺点的能力。

第四篇：信息系统审计重点

信息系统审计

电子计算机在数据处理的发展过程可分为三个阶段：数据的单项处理阶段、数据的综合处理阶段、数据的系统处理阶段。

数据处理电算化以后，对传统的审计产生了巨大的影响，主要表现在：

1、对审计线索的影响~~~~

2、对审计方法和技术的影响~~~~~~

3、对审计人员的影响~~~~~

4、对审计准则的影响~~~~~~ 信息系统审计的定义：信息系统审计是根据公认的标准和指导规范，对信息系统从规划、实施到运行维护各个环节进行审查评价，对信息系统及其业务应用的完整性、有效性、效率性、安全性等进行检测、评估和控制的过程，以确认预订的业务目标得以实现，并提出一系列改进建议的管理活动。

信息系统的主体：有胜任能力的信息系统独立审计机构或人员 信息系统审计的对象：被审计的信息系统

信息系统审计工作的核心：客观地收集和评估证据

信息系统审计的目的是评估并提供反馈、保证及建议。关注之处被分为三类：可用性、保密性、完整性。

信息系统审计的特点：审计范围的广泛性、审计线索的隐蔽性、易逝性、审计取证的动态性、审计技术的复杂性。（真是为一道简答题。在P6，详细看一下各段内容，概括下再答题）信息系统审计目标：

1、保护资产的完整性

2、保证数据的准确性

3、提高系统的有效性

4、提高系统的效率性

5、保证信息系统的合规性与合法性

信息系统的主要内容：内部控制系统审计（分为一般控制系统、应用控制系统，对信息系统的内部控制系统进行审计的目的是在内部控制审计的基础上对信息系统的处理结果进行审计、加强内部控制，完善内部控制系统）系统开发审计(信息系统开发审计是对信息系统开发过程进行的审计，审计目的一是要检查开发的方法、程序是否科学，是否含有恰当的控制；二是要检查开发过程中产生的系统文档资料是否规范。)应用程序审计（审查应用程序有两个目的，意识测试应用控制系统的符合性，二是通过检查程序运算和逻辑的正确性达到实质性测试目的）数据文件审计（审计目的一是对数据文件进行实质性测试，二是通过数据文件的审计，测试一般控制或应用控制的符合性，但主要是为了实质性测试）（这是道简答题，在P8各个小概括下）

信息系统审计的基本方法：绕过信息系统审计、通过信息系统审计 信息系统审计的步骤（大题P11）：

准备阶段：明确审计任务，组成信息系统审计小组，了解被审计系统的基本情况，指定信息系统审计方案，发出审计通知书 实施阶段：对被审计系统的内部控制制度进行健全性调查和符合性测试，对账表单证或数据文件的实质性审查

终结阶段：整理归纳审计资料，撰写审计报告，发出审计结论和决定，审计资料的归档和管理

国际信息系统审计准则：由信息系统审计与控制协会（ISACA）颁布和实施的。ISACA是国际上唯一的信息系统审计专业组织，通过制定和颁布信息系统审计标准、指南和程序来规范审计师的工作，它由三个层次构成： 审计标准（审计标准是整个信息系统准则体系的总纲，是制定审计指南和作业程序的基础和依据）审计指南（审计指南为审计标准的应用提供了指引，信息系统审计师在审计过程中应考虑如何应用指南以实现审计标准的要求，在应用过程中灵活运用专业判断并纠正任何偏离准则的行为）

作业程序（作业程序提供了信息系统审计师在审计过程中可能遇到的审计程序的示例）信息系统审计师应具备的素质（大题P18-19）

应具备的理论知识:传统审计理论、信息系统管理理论、计算机科学、行为科学理论

应具有的实践技能：参加过不同类别的工作培训、参与专业的机构或厂商组织的研讨会，动态掌握信息技术的新发展对审计实践的影响、具有理解信息处理活动的各种技术、理解并熟悉操作环境，评估内部控制的有效性、理解现有与未来系统的技术复杂性，以及它们对各级操作与决策的影响、能使用技术的方法去识别系统的完整性、要参与评估与使用信息技术相关的有效性、效率、风险等、能够提供审计集成服务并为审计员工提供指导，与财务审计师一起对公司财务状况做出说明、具备系统开发方法论、安全控制设计、实施后评估等、掌握网络相关的安全实践、信息安全服务、灾难恢复与业务持续计划、异步传输模式等通信技术。IT治理定义：德勒定义：IT治理是一个含义广泛的概念，包括信息系统、技术、通信、商业、所有利益相关者、合法性和其他问题。其主要任务是保持IT与业务目标一致，推动业务发展，促使收益最大化，合理利用IT资源，IT相关风险的适当管理。

IT治理必须与企业战略目标一致，IT对于企业非常关键，也是战略规划的组成，影响战略竞争；IT治理和其他治理主体一样，是管理执行人员和利益相关者的责任（以董事会为代表）；IT治理保护利益相关者的权益，使风险透明化，指导和控制IT投资、机遇、利益、风险；IT治理包括管理层、组织结构、过程，以确保IT维护和拓展组织战略目标；应该合理利用企业的信息资源，有效的集成与协调；确保IT及时按照目标交付，有合适的功能和期望的收益，是一个一致性和价值传递的基本构建模块，有明确的期望值和衡量手段；引导IT战略平衡系统的投资，支持企业，变革企业，或者创建一个信息基础架构，保证业务增长，并在一个新的领域竞争。

IT治理和IT管理的关系：IT管理是在既定的IT治理模式下，管理层为实现公司的目标二采取的行动，IT治理规定了整个企业IT运作的基本框架，IT管理则是在这个既定的框架下驾驭企业奔向目标。缺乏良好IT治理模式的公司，即使有很好的IT管理体系，就想一座地基不牢固的大厦；同时，没有公司IT管理体系的流畅，单纯的治理模式也只能是一个美好的蓝图，而缺乏实际的内容。

公司治理和IT治理：公司治理，驱动和调整IT治理。同时，IT能够提供关键的输入，形成战略计划的一个重要组成部分，即IT影响企业的战略竞争机遇。IT治理标准：ITIL、COBIT BS7799 PRINCE2 IT治理成熟度模型：不存在、初始级、可重复级、已定义级、已管理级、已优化级（主要内容及其作用在P47-48）

信息系统内部控制：是一个单位在信息系统环境下，为了保证业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊、确保信息系统提供信息的真实、合法、完整，而制定和实施的一系列政策与程序措施。凡是与信息系统的建立、运作维护、管理和业务处理有关的部门、人员和活动，都属于信息系统内部控制的对象，可分为一般控制和应用控制。

信息系统一般控制是应用于一个单位信息系统全部或较大范围的内部控制，其基本目标为保证数据安全、保护计算机应用程序、防止系统被非法侵入、保证在意外中断情况下的继续运行等。

信息系统应用控制是用于对具体应用系统的控制，一个应用系统一般由多个相关计算机程序组成，有些应用系统可能是复杂的综合系统，牵涉到多个计算机程序和组织单元，与此相对应，应用控制包括包含在计算机编码中的日常控制及与用户活动相关的政策和流程。良好的一般控制是应用控制的基础，可以为应用控制的有效性提供有力的保障，某些应用控制的有效性取决于计算机整体环境控制的有效性。当计算机整体环境控制薄弱时，应用控制就无法真正提供合理保障。如果一般控制审计结果很差，应用控制审计结果很差，应用控制审计就没有进行的必要。

审计逻辑访问安全策略：知所必需原则

审查离职员工的访问控制：请辞、聘用合同期满和非自愿离职 数据库加密：一般采用公开密钥加密方法 系统访问控制及其审计：系统访问就是利用计算机资源达到一定目的的能力，对计算机化的信息资源的访问可以基于逻辑方式，也可以基于物理方式。物理访问控制可以限制人员进出敏感区域。对计算机信息的物理访问与逻辑访问应当建立在“知所必需”的基础上，按照最小授权原则和职责分离原则来分配系统访问权限，并把这些访问规则与访问授权通过正式书面文件记录下来，作为信息安全的重要文件加以妥善管理。身份识别与验证（简答题P65-66）：逻辑访问控制中的身份识别与验证是一种提供用户身份证明的过程，在这个过程中，用户向系统提交有效的身份证明，系统验证这个身份证明后向用户授予访问系统的能力。可分为三类：“只有你知道的事情”“只有你拥有的东西”“只有你具有的特征” 例子：账号与口令、令牌设备、生物测定技术与行为测定技术。逻辑访问授权：一般情况下逻辑访问控制基于最小授权原则，支队因工作需要访问信息系统的人员进行必要的授权。当用户在组织变换工作角色时，在赋予他们新访问权限时，一般没有及时取消旧的访问权限，这就会产生访问控制上的风险。所以当员工职位有变动时，信息系统审计师就要及时审核访问控制列表是否做了有效变更。灾难恢复控制及其审计：信息系统的灾难恢复和业务持续计划是组织中总的业务持续计划和灾难恢复计划的重要组成部分。恢复策略与恢复类型：热站、温站、冷站、冗余信息处理设施、移动站点、组织间互惠协议。BCP中多个计划文件：业务持续性计划（BCP）、业务恢复计划（BRP）、连续作业计划（COOP）连续支持计划、IT应急计划、危机通信计划、事件响应事件、灾难恢复计划（DRP）、场所紧急计划（OEP）

异地备份：完全备份、增量备份、差分备份

灾难恢复与业务持续计划的审计：主要任务是理解与评价组织的业务连续性策略，及其组织业务目标的符合性；参考相应的标准和法律法规，评估该计划的充分性和时效性；审核信息系统及终端用户对计划所做的测试的结果，验证计划的有效性；审核异地存储设施机器内容、安全和环境控制，以评估异地存储站点的适当性；通过审核应急措施、员工培训、测试结果，评估信息系统及其终端用户在紧急情况下的有效反应能力；确认组织对业务持续性计划的维护措施存在并有效。

应用控制概念：应用控制是为适应各种数据处理的特殊控制要求，保证数据处理完整、准确地完成而建立的内部控制。应用控制涉及各种类型的业务，每种业务及其数据处理尤其特殊流程的要求，这决定了具体的应用控制的设计需结合具体的业务。单另一方面。由于数据处理过程一般都是由输入、处理和输出三个阶段构成，从这一共性出发，可将应用控制划分为输入控制、处理控制和输出控制。应用控制也是由手工控制和程序化控制构成，但以程序化控制为主。

软件维护的种类：纠错行为化、适应性维护、完善性维护、预防性维护 服务管理：面向IT基础设施管理的服务支持、面向业务管理的服务提供

IT服务提供流程主要面对付费的机构和个人客户，负责为客户提供高质量、低成本的IT服务。任务：根据组织的业务需求，对服务能力、持续性、可用性等服务级别目标进行规划和设计，同时还必须考虑到这些服务目标所需要耗费的成本。主要包括服务水平管理、IT服务财务管理、能力管理、IT服务持续性管理和可用性管理5个服务管理流程。

IT服务的服务支持主要面向终端用户，负责确保IT服务的稳定性与灵活性，用于确保终端用户得到适当的服务，以支持组织的业务功能。服务支持流程包括体现服务接触和沟通的服务台职能和5个运作层次的流程，即配置管理、事务管理、问题管理、变更管理、发布管理。应用程序审计的内容：

审查程序控制是否健全有效：程序中输入控制的审计、程序中处理控制的审计、程序中输出控制的审计。

审查程序的合法性P168 简单论述

审查程序编码的正确性：目标和任务不明确、系统设计差错、程序设计说明书错误、程序语法或逻辑错误

审查程序的有效性：在具体编写程序前应简化算术表达式及逻辑表达式、细心的分析多层嵌套循环，以确定能否把一些语句或表达式转移到循环体制外、尽量避免采用多维数组、尽量避免采用指针及复杂的表、采用“快”的算法；不要把不同的数据类型混在一起；只要可能就采用整形数的算法运算和布尔表达式。应用程序审计方法：对应用程序进行审计，往往是计算机辅助审计方法与手工审计方法的结合。

检测数据法：是指审计人员把一批预先设计好的监测数据，利用被审程序加以处理，并把处理的结果与预期的结果作比较，以确定被审程序的控制与处理功能是否恰当、有效的一种方法。

平行模拟法：是指审计人员自己或请计算机专业人员编写的具有和被审计程序相同处理和控制的模拟程序，用这种程序处理当期的实际数据，并以处理的结果与被审计程序的处理结果进行比较，以评价被审程序的处理和控制功能是否可靠的一种方法 嵌入审计程序法：是指被审计信息系统的设计和开发阶段，在被审的应用程序中嵌入为执行特定的审计功能而设计的程序段，这些程序段可以用来收集审计人员感兴趣的资料，并且建立一个审计控制文件，用来存储这些资料，审计人员通过这些资料的审核来确定被审程序的处理和控制功能的可靠性。

程序追踪法：是一种对给定的业务，跟踪被审程序处理步骤的审查技术。一般可由追踪软件来完成，也可利用某些高级语言或数据库管理系统中的跟踪指令被审查程序的处理。

第五篇：信息系统审计工作制度

信息系统审计工作

今天，信息系统已成为企业业务处理的中枢，信息系统的可靠、安全、效率左右着企业的命运。企业不仅要在内部设立信息系统审计部门，实施内部审计，还必须委托外部信息系统审计师站在第三方的客观立场对信息系统进行全面的检查与评价。要实施独立的信息系统审计，确立信息系统审计制度是十分重要的。

因此，为了规范部门内部工作流程和质量控制，协助其他部门了解信息系统审计部门的业务支持范围、工作内容及工作流程，促进部门间就项目中设计的信息系统审计业务范围进行有效沟通，协调项目工作计划的界定和质量管理，避免因项目中工作职责和工作范围界定不明确而降低审计工作的效率和效果，特制订此信息系统审计制度。

本制度主要内容包括信息系统审计部门应何时介入企业进行信息系统审计工作，为财务审计团队提供信息系统审计业务支持的工作范围及本部门其他的工作职责范围，信息系统审计的工作程序及方法，以及信息系统审计对客户能够达成的效果等，特作以下介绍说明。

一、信息系统审计何时介入

信息系统审计（IT Audit）是信息系统鉴证业务中的一种。信息系统审计是根据业务和信息控制目标，针对信息系统环境内设定的控制，通过搜集和评估审计证据，对信息系统控制的有效性发表结论或意见的过程。

信息系统审计有四个层面：

1.它的目的是对信息系统控制的有效性发表评估结论或审计意见。有效性包括控制设计的有效性和执行有效性；

2.它的对象是信息系统环境中的各种控制流程或机制，包括IT 一般控制和应用控制；3）

3.它的内容是搜集和评估审计证据；

4.它的依据是业务控制目标，比如系统是否有效实施控制保证财务软件计算的固定资产折旧程序是否准确。通过执行信息系统审计，可以协助财务审计团队了解和评价信息系统的可靠性和安全性及财务数据的完整性和准确性。

财务审计团队在财务审计业务计划阶段，需对客户的信息系统环境进行调查，若客户的信息系统环境评估结果为复杂时，需邀请信息系统审计人员介入共同探讨审计计划，根据业务系统的复杂度、实体业务性质、财务审计团队人员的技能和知识、业务处理本质（如：是否为高度自动化）、交易数量及信息系统的管理方式（如：若信息系统由第三方管理，则需考虑是否需要SAS70或者相关的报告）确定信息系统审计业务支持服务范围，并在信息系统审计计划中以书面的形式记录业务约定。若客户的信息系统环境评估结果为不复杂时，信息系统审计工作可由审计团队完成，必要时信息系统审计团队可以提供知识和技术的支持和咨询服务。

其中，若在计划审计程序阶段或者审计过程中了解到客户业务处理过程高度自动化（如：银行，保险，电信，和零售业等高度依赖电算化的企业环境和特定行业高度依赖信息系统处理业务），仅仅执行实质性程序无法提供足够的审计证据时，在约定信息系统审计业务服务范围时，需考虑同时包括应用控制审计及其他可以辅助财务审计团队确认交易的真实性、完整性、准确性、截止性的审计程序。

在约定信息系统审计是否介入时，需要考虑如下因素：

▪系统的复杂性；

 ▪业务的本质；

 ▪财务审计团队的技能和知识；

 ▪系统的位置（例如，如果包含一个服务组织，SAS70或相关的报告能否被使用）；

 ▪处理的本质（例如高度自动化）和交易的数量。

在评估信息系统是否复杂时，我们认为以下特征是复杂信息系统的指标：

▪客户实施编程和/或开发；

▪信息系统处理过程高度自动化，很少或者没有人工干预；

▪不同的系统接口；

▪信息系统使用批处理（计划任务）；

▪实施了新系统或者系统间进行了转换；

▪使用了单点登录（SSO）或者集中权限管理（CRM）系统。

二、信息系统审计业务范围

信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。信息系统审计业务范围包括：

（一）为财务审计团队提供信息系统审计业务支持；

（二）支持企业内部控制审计；

（三）开展独立的信息系统审计业务；

（四）对信息系统控制及安全方面提供独立建议的咨询服务。

（一）为财务审计团队提供信息系统审计业务支持

信息系统审计业务为财务审计提供合理保证，其提供的支持服务内容包括：

1.信息系统一般控制：

▪IT控制环境/关键职责分离；

▪主要业务和财务系统的开发以及程序变更管理；

▪IT系统运维管理，如数据批处理、数据备份、数据中心维护；

▪业务和财务系统环境中关键的信息安全和权限控制管理，包括用户账户和授权管理、应用系统安全、数据库系统安全、操作系统安全、和网络安全。

2.应用控制：

支持重要业务流程的各应用和接口系统中固化在程序中的关键控制点。这要根据财务审计团队确定的业务流程而定。比如销售、采购、库存、应收、应付、总账、资金、电子商务、银行存贷等。

3.根据业务复杂性确定的其他控制：

如根据重大账户余额，交易类型或披露事项的重大错报风险的评估结果，对依赖于计算机生成的信息执行信息（CGI）控制测试，计算机辅助审计（CAATs）测试，会计分录测试（JET）等。

（二）支持企业内部控制审计

信息系统审计对企业的内部控制审计提供支持，对特定基准日内部控制设计与运行的有效性进行审计，其主要内容包括：

1.恰当地计划内部控制审计工作；

2.实施审计工作，评价内部控制是否可以应对舞弊风险，测试内部控制设计与运行的有效性；

3.评价企业内部控制缺陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷；

4.获取充分、适当的证据，为在内部控制审计中对内部控制有效性发表意见和对控制风险结果评估提供支持。

（三）开展独立的信息系统审计业务

独立的信息系统审计业务是通过实施信息系统审计工作，对公司、机构或组织是否达成信息技术管理目标进行综合评价，并基于评价意见提出管理建议，协助组织信息技术管理人员有效地履行其受托责任以达成公司、机构或组织的信息技术管理目标。

独立的信息系统审计业务也可通过实施信息系统审计工作来对公司、机构或组织所提供的专业化服务（如电子商务、人力资源与薪酬管理外包、在线数据备份等）进行综合评价从而达到以下目标：

1.判断一切与该公司、机构或组织所提供的专业化服务相关的流程、操作及管理是否合乎行业标准；

2.保障使用此类专业服务的公司或个人的信息安全性；

3.基于评价意见提出整改建议，从而帮助此类专业服务提供商更好地拓展市场与开放客户群体。

信息系统审计部门能够为客户提供的独立的信息系统审计业务内容包括：

▪企业信息系统控制合规审计报告；

▪企业信息系统运行和控制系统设计及评估；

▪企业萨班斯法案审计服务；

▪其他。

其目的是保证其信息技术战略充分反映该组织的业务战略目标，提高公司、机构或组织所依赖的信息系统的可靠性、稳定性、安全性及数据处理的完整性和准确性，提高信息系统运行的效果与效率，合理保证信息系统的运行符合法律法规及监管的相关要求。

（四）对信息系统控制及安全方面提供独立建议的咨询服务

信息系统咨询业务是指结合信息系统安全、企业内部控制管理与外部审计等多方面的专业知识，提供与信息安全相关的信息化建设、信息安全诊断、信息技术认证及ERP系统相关的咨询业务。

信息系统审计部门能够为客户提供的独立的信息系统咨询业务内容包括：

▪企业信息系统战略策划和评估；

▪企业信息系统执行及项目管理监理咨询；

▪企业信息系统安全评估；

▪企业萨班斯法案咨询服务；

▪企业专业服务系统的行业评估；

▪其他。

三、信息系统审计程序

（一）信息系统审计一般程序

审计程序一般可分为四个阶段，即准备阶段、实施阶段、审计结论和执行阶段、异议和复审阶段。信息系统审计也可分为这四个阶段，同时结合自身的特殊要求，运用本身特有的方法，对信息系统进行评价。

1.准备阶段

初步调查被审计单位信息系统基本状况，拟定科学合理的计划，一般应包括以下主要工作：

（1）调查了解被审计单位信息系统的基本情况，如信息系统的硬件配置、系统软件的选用、应用软件的范围、网络结构、系统的管理结构和职能分工、文档资料等，调查完成后将审前调查情况记录下来。

（2）提前三天送达审计通知书，要求被审计单位对所提供资料的真实性、完整性作出书面承诺，明确彼此的责任、权利和义务。

（3）初步评价被审计单位的内部控制制度，以便确定符合性测试的范围和重点。

（4）确定审计重要性、确定审计范围。

（5）分析审计风险。

（6）制定审计实施方案。在审计实施方案中除了对时间、人员、工作步骤及任务分配等方面作出安排以外，还要合理确定符合性测试、实质性测试的时间和范围，以及测试时的审计方法和测试数据。

在安排利用计算机辅助审计时，还需列出所选用的通用软件或专用软件。对于复杂的信息系统，也可聘请专家，但必须明确审计人员的责任。

2.实施阶段

实施阶段是审计工作的核心，也是信息系统审计的核心。主要工作是根据准备阶段确定的范围、要点、步骤、方法，进行取证、评价，综合审计证据，借以形成审计结论，发表审计意见。实施阶段的主要工作应包括以下两个方面的内容：

（1）符合性测试。进行符合性测试应以系统安全可靠性的检查结果为前提。如果系统安全可靠性非常差，不值得审计人员信赖，则应当根据实际情况决定是否取消内控制度的符合性测试，而直接进行实质性测试并加大实质性测试的样本量。在信息系统的符合性测试项目中，主要内容应该是确认输入资料是否正确完整，计算机处理过程是否符合要求。如果系统安全可靠性比较高，则应对该系统给予较高的信赖，在实质性测试时，就可以相应地减少实质性测试的样本量。

（2）实质性测试。实质性测试应该是对被审计单位信息系统的程序、数据、文件进行测试，并根据测试结果进行评价和鉴定。进行实质性测试须依赖于符合性测试的结果，如果符合性测试结果得出的审计风险偏高，而且被审计单位有利用信息系统进行舞弊的动机与可能，并且被审计单位又不能提供完整的会计文字资料，此时审计人员应考虑对会计报表发表保留意见或拒绝表示意见的审计报告。进行实质性测试时，可考虑采用通过计算机和利用计算机进行审计的方法，具体包括：

①测试数据法：就是将测试数据或模拟数据分别由审计人员进行手工核算和被审计单位信息系统进行处理，比较处理结果，作出评价；

②受控处理法：就是选择被审计单位一定时期（最好是12月份）实际业务的数据分别由审计人员和会计电算化系统同时处理，比较结果，作出评价。

（3）利用辅助审计软件直接审查信息系统的数据文件。审计人员可利用现场审计实施系统软件（AO）直接对数据进行数据转换，数据查询，抽样审计，查账，账务分析等测试，得出结论，作出评价。

3.审计结论和执行阶段

审计人员对信息系统进行符合性测试和实质性测试后，整理审计工作底稿，编制审计报告时，除对被审单位会计报表的合理性、公允性发表意见，作出审计结论外，还要对被审单位信息系统的处理功能和内部控制进行评价，并提出改进意见。

审计报告完成后，先要征求被审单位的意见，并报送审计机关和有关部门。审计报告一经审定，所作的审计结论和决定需通知并监督被审单位执行。

4.异议和复审阶段

被审单位对审计结论和决定若有异议，可提出复审要求，审计部门可组织复审并作出复审结论和决定。特别是被审单位信息系统有了新的改进时，还需组织后续审计。

（二）信息系统审计协调程序

为财务审计团队提供信息系统审计业务支持服务前，为了合理安排信息系统审计工作计划，财务审计项目负责人与信息系统审计部门应执行下列协调程序：

1.财务审计项目负责人在制定当年审计计划时应考虑所需信息系统审计部门进行审计支持的内容与实行时间；

2.财务审计项目负责人提前在9月底将所需信息系统审计时间告知信息系统审计部门，与信息系统审计部门讨论确定服务内容，预约部门成员；

3.信息系统审计部门搜集所有信息系统审计需求，按照项目时间安排信息系统审计人员工作计划，并与财务审计项目团队、客户协调；

4.信息系统审计部门及时完成外勤工作、底稿编制和底稿审核，并把结论书面告知财务审计项目团队，并与财务审计团队对信息系统审计部门的最后结论达成口头或书面共识；

5.信息系统审计部门将按照事务所要求归档、保管底稿。

其他信息系统项目的工作计划参照上述信息系统审计业务支持服务，与相关方及时沟通制定审计计划，在制定的项目时间内完成工作。

（三）信息系统审计结果报告程序

信息系统审计部门实施信息系统审计的计划、程序、证据、结论等底稿都会按照相应的审计准则进行记录和保存。

1.在财务审计系统审计风险评估当中，信息系统审计部门不会出具某种审计报告，而是出具评估结论，一般以底稿备忘录的形式提交给财务审计团队。该备忘录总结信息系统审计中评估的范围、方法、时间/区间、结论、重大控制缺陷或风险点等内容。

2.在独立的信息系统审计业务和咨询业务中，会出具独立的审计报告。报告将以事务所名义签发。