信息系统审计基础培训材料
信息系统审计ppt课件
本课程主要内容:
信息系统审计概论 IT治理审计 信息系统架构控制与审计 信息系统开发及审计 信息系统运营与维护审计 信息安全控制与审计 信息系统审计技术方法
NANJING AUDIT UNIVERSITY
NANJING AUDIT UNIVERSITY
信息系统审计概论 ISA的定义、目标、内容、信息系统审计风险、信息
及提出改进建议。
第一章 信息系统审计概论
NANJING AUDIT UNIVERቤተ መጻሕፍቲ ባይዱITY
信息系统审计师相关知识和能力要求：
知识要求: 审计学相关知识: 审计学的基本理论、实务 信息系统计划、开发和运营等相关知识：
.信息系统构成相关知识； ·信息化战略规划、构想、提案、立项等相关知识； ·系统设计、程序设计、软件测试等相关知识； ·系统操作和管理、数据管理等相关知识； 信息系统审计实施相关知识：
是最有权威的信息系统审计行业组织，总部设在美国。主要从 事ISA相关理论与实务研究，制定相关ISA标准、规范、执业 指南等；也是唯一有权授予国际信息系统审计师资格的跨国界、 跨行业的专业机构。
第一章 信息系统审计概论
NANJING AUDIT UNIVERSITY
CISA：（Certified Information System Auditor， 注册信息系统审计师）：
信息系统安全控制与审计 信息技术环境下信息系统的脆弱性和威胁，使信息系
统及其产生的信息存在信息安全风险。本章主要介绍如何 对信息系统进行安全审计与控制，从而使信息系统的风险 降到最低。
NANJING AUDIT UNIVERSITY
信息系统审计技术与方法 面对错综复杂的信息系统和审计环境，向审计人员提
会计信息系统审计知识培训
❖ 目的
了解控制活动
了解系统的一般控制，对一般控制是否有效进行判断，向 客户提供服务的机会
❖ 对一般控制的审核
询问或观察客户的EDP部门的职员； 检查现存的文件， 确定下列事项：
❖ EDP部门内部及EDP与使用者之间的职责是否分离 ❖ 开发的、买入的或变更的程序在执行之前是否经过批准和测试 ❖ 对数据文件的接触是否只限于经过批准的使用者和程序
人员安排） 电算化会计应用的数目及性质（应用的范围和程度）
了解会计系统
❖ 目的
了解业务经过会计系统中手工部分和电算化部分的路 径，并了解计算机介入的性质和程度
❖ 在重要的会计应用中，需要获取的信息
应用的目的 计算机应用中输入的来源、容量及形式 处理的方式及频率 应用中输出的形式及输出的分布
主管人员的一般和特殊授权要求，并保证遵循这些要求。 1. 主管人员能够充分地控制授权要求的遵守，以保证违背要求的行为能予以
当审计师决定在对以计算机可读形式存在的客户文件实施 余额的直接测试中使用计算机予以辅助时，必须制定更详 细的计划
利用计算机编制审计计划
❖ 设计审计程序 ❖ 制定检查清单 ❖ 分析风险 ❖ 执行分析性复核程序 ❖ 日程安排和费用预算 ❖ …...
二、会计信息系统的内部控制与符合性测试
会计信息系统的内部控制及其分类 一般控制 应用控制 内部控制的符合性测试及评价
交易测试的计划
❖ 交易类别测试
若在重大会计领域应用了电算化，而且交易类别的具 体控制目标的实现要依赖于计算机处理的结果，必须 在控制风险的评估中考虑EDP控制（应用控制和一般 控制）的作用
在一般控制有效的基础上，测试EDP的应用控制
❖ 手工：从会计应用处理的交易类别中选取样本，应用审计程序证实 数据的有效性、完整性、和准确性。
cisa培训材料
cisa培训材料一、概述CISA（Certified Information Systems Auditor，认证信息系统审计师）是由美国信息系统审计与控制协会（ISACA）设立的专门针对信息系统审计领域的国际性认证。
本文将介绍CISA培训材料的内容，帮助读者更好地了解这个认证项目。
二、培训内容1. 信息系统审计概述a. 信息系统审计的定义和目的b. 信息系统审计师的角色和职责c. 信息系统审计的法规和标准2. 信息系统与网络基础知识a. 计算机网络原理b. 数据库管理与安全c. 操作系统安全3. 信息系统开发与维护a. 项目管理与软件开发生命周期b. 系统测试与维护c. 变更管理与配置管理4. 信息系统运营与业务流程a. 业务流程与流程控制b. 信息系统运维与性能管理c. 业务连续性与灾难恢复5. 信息系统安全与保护a. 信息系统安全管理框架b. 认证与加密技术c. 网络安全与入侵检测6. 信息系统审计实践a. 审计方法与技术b. 审计程序和流程c. 内部控制与风险管理三、培训材料特点CISA培训材料的特点在于其系统性和实践性。
培训材料兼顾理论与实践，内容全面涵盖了信息系统审计的各个方面，具有循序渐进的学习路径。
培训材料中提供了大量的实际案例和示例，帮助学员更好地将理论应用于实际工作中。
四、学习建议1. 了解培训材料的结构和内容，确保全面掌握知识点。
2. 制定学习计划，合理安排学习时间，确保能够充分消化和吸收知识。
3. 多做练习题和案例分析，帮助加深理解和应用能力。
4. 参加培训班和交流活动，与他人分享学习心得和经验。
5. 注重实践，将所学知识应用到实际工作中，提升自己的能力。
五、结语CISA培训材料是系统学习和准备CISA认证考试的重要资源，其全面性和实践性使其成为学员们备考的有力工具。
通过合理的学习安排和实践应用，相信学员们能够顺利通过CISA考试，成为合格的信息系统审计师。
信息化审计的技术基础知识(ppt 84页)
四.信息与信息技术的概念
信息范围广大，人们可以通过电视，电话，报刊，网 络等各种媒体，获取，加工和传递信息。 信息技术（IT）是指利用电子计算机和现代通信手段 实现获取信息，传递信息，存储信息，处理信息， 显示信息等的相关技术，
主要包括传感技术，通信技术，字化的特点
审计数字化的特点具有以下四个特点： 数字化： 审计信息数字化 集成化： 审计信息资源进行集成化的组织，管理
和存储，杜绝审计信息的无序状态。 共享化：各类审计信息资源能够及时地更新，并且
可以使审计人员之间实现高度共享，快速传递和实 时交流。 知识化：处于不断“学习，记忆，适应，优化”的 状态，形成一种“发现知识----利用知识----产生新 知识----知识积累”的良性循环之中，成为知识型和 学习型的审计组织和人员。
四.信息与信息技术的概念
什么是“信息”？ 从广义上讲，信息是一个事物的运动状态以及 运动状态形式的变化。它是一种客观存在，例 如日出，日落，股市的涨跌等等，都是信息。 而狭义的“信息”是指信息接受主体所感觉到 并被能理解的东西。 例如，某公司财务报表上的各种数据，尽管它 们是客观存在的，如果不能被人理解，就不是 信息。
审计信息化的发展经历了三个阶段：
3.以系统论为指导的计算机审计方式的形成 审计机关在大量实践的基础上总结出了一整套规范化的计算机审
计作业流程；
数据审计的普及和提高，并与信息系统审计紧密结合，把底层数 据和信息系统作为审计取证的切入点；
单机审计模式，局域网络审计模式和网上设计模式等多种作业模式 同时并存，适用于不同的计算机审计项目；
三.信息化对内部审计的影响
（一）审计风险的增加 网络的开放性：会计信息资源共享，会计资
料被非法修改和窃取； 传统控制方式的改变：数据集中，方式改变，
(精)信息系统安全管理与审核培训课件
恶意代码防范
采取多种手段防范恶意代码，如定期更新病 毒库、限制软件安装权限等。
攻击事件监测与处置
利用安全设备和日志分析工具，实时监测攻 击事件，及时处置并恢复系统。
安全漏洞披露与应急响应
建立安全漏洞披露机制，及时响应和处理安 全漏洞，降低安全风险。
信息安全是指保护信息系统免受未经授权的访问、使用、泄露、破坏、修改或 者销毁，确保信息的机密性、完整性和可用性。
信息安全重要性
信息安全对于保障个人隐私、企业机密、国家安全等方面具有重要意义。随着 信息化程度的不断提高，信息安全问题也日益突出，因此加强信息安全管理至 关重要。
信息安全威胁与风险
信息安全威胁
据加密、防病毒等措施。
网络安全设备配置
合理配置防火墙、入侵检测系 统、安全网关等网络安全设备
，确保网络安全。
系统漏洞修补
定期对企业内部系统进行漏洞 扫描和修补，防止黑客利用漏
洞进行攻击。
员工安全意识培训
定期开展网络安全意识培训， 提高员工对网络安全的认识和
防范能力。
外部攻击防范与应对实践
威胁情报收集与分析
持续改进与跟踪
建立持续改进机制，对发现的问题进 行跟踪和改进，确保企业信息系统的 持续合规。
THANKS.
讯联络、现场处置等方面措施。
应急演练实施
02
定期组织应急演练，提高人员应急处置能力，检验应急预案的
有效性。
演练效果评估
03
对演练效果进行评估，针对存在问题提出改进措施，不断完善
应急预案。
信息系统安全管理
06
与审核实践
企业内部网络安全管理实践
信息系统审计
信息系统审计Information system audit三颗巨星陨落：安然（2001.12.2）安达信（2002.8）世通（2001.7.21）1.低碳经济2.生物技术SPE：特殊目的实体（special purpose entity）金融工具，企业可借此在不增加资产负债表中的情况下融入资金。
对于SPE，美国会计准则规定，只要非关联方持有的权益值不低于SPE资产公允价值的3%，企业就可以不将其资产和负债人合并财务报表。
利润，其间收益，本期收入深口袋理论：任何看上去拥有经济财富的都可能受到起诉，不论其应当受到惩罚的程度如何。
第一章绪论1.1 引言ISA的发展ISA与其他学科的关系审计的相关概念企业信息化的利与弊我国信息化存在一些问题ISA必要性一、企业信息化的效率和成果近年来，企业对信息技术的投入逐年加大，信息化程度也越来越高。
促进了其经营管理水平的提高营造了管理创新氛围集中了管控能力提高了执行力加快了市场反应能力等带来意想不到的效率和成果二、给社会或企业带来的负面影响突发事件的影响：1993年纽约世界贸易大厦爆炸事件，使得当时入住的多数商业数据丧失，导致企业在这一年内的商务活动无法进行。
错误操作：不正确使用信息技术病毒：CIH（1998）匆匆上马：没有做投资风险评估成功率仅16%我国信息化存在的一些问题：规划制定不够科学项目管理不够严格监理机制不够健全系统运行效益不够明显结果：致使一部分信息化项目失败或未能实现与其目标原因之一：就其根源主要原因之一是信息化建设第三方监管机制的缺失和标准的不健全三、信息系统审计的必要性保证信息系统的可信度促进内控体系的规模建设信息系统审计已成为摆在企业管理人员案头迫切需要开展的工作结论：因此，迫切需要对正在使用或即将投产的信息系统的安全性、真实性、完整性、有效性进行验证，需要对信息系统进行审计。
1.2信息系统审计的发展一、国际信息系统审计的发展信息系统规模越大，功能越复杂，风险也就越大80年代美国且也信息系统的失效率达50%以上。
审计工作中的信息系统审计
审计工作中的信息系统审计信息系统审计在审计工作中具有重要的地位和作用。
随着现代科技和信息技术的迅猛发展，信息系统已成为企业经营管理的重要工具和支撑平台。
因此，对信息系统的审计工作显得尤为重要。
本文将从信息系统审计的概念、目标、方法以及存在的问题等方面进行探讨。
一、信息系统审计的概念信息系统审计是指对企业或组织的信息系统进行全面、系统、客观的评估和检查的一种工作。
其主要内容包括对信息系统的控制环境、信息系统的风险评估、内部控制的设计和有效性、系统开发的安全性以及信息系统的运行效果等方面进行审核和评估，以发现和解决潜在的问题和风险。
二、信息系统审计的目标信息系统审计的目标主要包括以下几个方面：1.评估信息系统的安全性：信息系统的安全性是企业数据保护和业务运行的基础，通过信息系统审计可以评估系统的风险和脆弱性，发现并解决安全隐患，保护企业数据的机密性、完整性和可用性。
2.评估信息系统的有效性：企业信息系统的有效性是指系统能否满足企业的业务需求和管理要求。
信息系统审计可以评估系统的功能性、经济性和适应性，帮助企业发现和改进系统设计和实施过程中的不足之处，提高系统的效率和质量。
3.评估内部控制的有效性：信息系统在企业内部扮演着重要的控制功能，信息系统审计可以评估企业内部控制的设计和执行效果，发现和纠正存在的风险和问题，并提出改进措施，确保企业的业务流程和财务报告的准确性和可靠性。
三、信息系统审计的方法信息系统审计的方法主要包括以下几种：1.文献分析法：通过查阅企业的相关文件和资料，了解信息系统的系统架构、功能模块、数据安全措施等情况，为审计提供必要的依据和基础。
2.访谈法：通过与企业管理人员、系统管理员、用户等的面谈和交流，了解信息系统的安全策略、人员管理、密码管理等情况，并获取相关的审计证据和材料。
3.抽样检查法：对企业信息系统中的数据和操作进行抽取样本并检查，验证系统的合规性和准确性，并找出潜在的错误和缺陷。
计算机审计与信息系统审计
联网审计是金审二期规划中的重点建设项目, 根据该规划,审计署将重点建设中央部门预算 执行、海关、银行、社保等四类联网审计,并 对中央财政组织预算执行、国税和大型企业等 进行联网审计试点.
目前已成功研制了中央部门预算执行联网审计 系统,并从2010年开始在中央各部门推广使用.
各地方政府也在逐步推广政府部门预算执行联 网审计系统.
又称IT审计.
信息系统审计的三大目标
从以上信息系统审计的定义,可知信息系统审 计项目依目标不同,有三大类：
信息系统安全审计安全性 信息系统可靠性审计可靠性 信息系统绩效审计经济性
信息系统审计的内涵
IT审计是独立的第三方IT审计师采用客观的标准对 信息系统的规划、开发、使用维护等相关活动和产 物进行完整地、有效地检查和评估.
信息系统逻辑结构示意图
信息资产保护
组织结构 管理政策
服务器、工作站、打印机 人
网线 Windows /UNIX
交换机 /HUB
… …
Oracle 数据库
销售业务系统 会计核算系统
灾难恢复与 业务持续计划
财务报表 销售收入 1000万
……
从构成要素上来看,信息系统有以下组成部分：
硬件 软件 网络 数据 人 管理制度
适用范围：
由于这一审计模式对审计人员素质提出了更高的要 求,而且审计成本很高,因此这一审计模式适用于大 中型会计师事务所对业务处理复杂、系统集成度较 高的大中型企业的审计工作.
联网审计
所谓联网审计,就是在线实时审计,是指通过审 计机关和被审计单位的网络互联,实时审查被 审计单位会计信息系统的审计方式.
信息系统审计是通过对信息系统的调查与了解,对 系统控制及系统功能的分析与测评,综合评价一个 信息系统是否能够满足安全性、有效性、与经济性 目标,是否能够提供真实、准确、完整的电子数据.
信息系统审计第1章
现代信息系统审计
12
§1.2 信息系统审计的内涵
搞清楚几个概念非常重要：
研究对象
研究方法
IT审计
（计算机审计 ）
信息系统审计 （IS审计）
审计工程 （审计知识工程
）
信息系统，信息 资产
财务数据，经营 数据
审计理论与方法， 计算机技术
计算机技术，系 统工程方法，数
学理论
2020/10/11
现代信息系统审计
3、消费者如何举证？ 4、社会应该如何解决这样的问题？
2020/10/11
现代信息系统审计
3
§1 导论
信息系统审计的发展演化 信息系统审计的内涵 企业信息安全的管理 信息管理的相关规定
2020/10/11
现代信息系统审计
4
§1.1 信息系统审计的发展演化
早期的信息系统审计 · 最早是针对财务数据的审计 EDP · 对整个信息系统进行审计 ISA
2020/10/11
现代信息系统审计
19
§1.3 企业信息安全的管理
该标准提出了一个组织（包括商业企业、政府机构、非 赢利组织等）应在其整体业务活动和所面临风险的环境下， 建立信息安全管理体系（information security management system，ISMS）。采用ISMS应当是一个组织的 一项战略性决策。一个组织的ISMS的设计和实施受其需要和 目标、安全要求、所采用的过程以及组织的规模和结构的影 响，上述因素及其支持系统会不断发生变化。
现代信息系统审计
主讲：陈耿
2020/10/11
现代信息系统审计
1
课程地位：特色课 课程性质：实践性强 上课方式：案例+分组讨论+讲解 成绩：平时成绩+期末考试
2012年内审培训资料(计算机应用技术)
（2）窗口的基本操作 窗口的操作主要包括：打开、关闭、移动、排列、 切换窗口、改变窗口大小等。 按[Alt]+ [Print Scrn]可把当前窗口复制到剪切板。
三、Windows XP操作系统
软件开发的生命周期模型： ⑴ 需求分析阶段：提交软件需求分析报告 ⑵ 系统设计阶段：提交总体和详细设计说明书 ⑶ 编码实现阶段：提交源程序表和用户手册 ⑷ 系统测试阶段：提交测试计划与测试报告 ⑸ 运行与维护阶段：提交维护报告
（七）常用软件介绍
（1）PDF阅读器（Adobe Reader)—专门用于
地理范围有限，为一个单位拥有，传输效率高、 延时短、误码率低，广泛使用以太网技术。 广域网/远程网：是一种跨越广阔的地理范围（几 十公理以上）的网络。 城域网：大约覆盖面一个城市范围的网络。
四、计算机网络基础知识
（一）计算机网络概述 5．网络的通讯协议： 网络协议是网络设备通讯的规则，它由语 法、语义和语序组成。传输控制协议/互 联网协议（TCP/IP）是内部网和国际互联 网常用的网络协议。
阅读．PDF文件的软件。 ．PDF文件的文件格式与操作系统平台无关，
在各种操作系统中都通用。
（2）压缩/解压软件（winRAR）—一个强大的 压缩文件管理工具。 winRAR可对多种格式的 压缩文件解压，但只能创建RAR和ZIP格式的 压缩文件，如果文件大，它可设置压缩分卷， 也可将文件压缩添加到已存在的压
Windows XP是微软公司推出的一个32位 视窗操作系统。 （一） Windows XP的基本操作 1．桌面的组成 [开始]菜单 图标 任务栏 用户可通过快捷菜单设置桌面外观、屏幕 保护等属性。
审计基础培训
注册会计师及时编制审计工作底稿，以实现下列目旳：
1、提供充分、合适旳统计，作为审计报告旳基础； 2、提供证据，证明其按照审计准则旳要求执行了审计工作； 3、有利于项目组计划和实施审计工作； 4、有利于审计组员对是否按照《注会审计准则1121号--历史
财务信息审计旳质量控制》旳要求，推行其指导、监督与 复核审计工作旳责任进行监督；
• 审计证据是指注册会计师为了取得审计结论、形 成审计意见而使用旳全部信息，涉及财务报表根 据旳会计统计中具有旳信息和其他信息。
• 1、会计统计中具有旳信息 会计统计主要涉及原始凭证、记账凭证、总
分类账和明细分类账、未在记账凭证中反应旳对 财务报表旳其他调整，以及支持成本分配、计算 、调整和披露旳手工计算表和电子数据表。
• 3、审计证据旳充分性
证据旳充分性是指证据对主体内心信念旳影响是否足 以致使主体就欲证对象到达符合要求旳确保水平上确实信 。
• 4、审计证据旳合适性
审计证据旳合适性是对审计证据质量旳衡量，即审计 证据在支持各类交易、账户余额、列报旳有关认定或发觉 其中存在错报方面具有有关性和可靠性。
七、审计工作底稿
• 2、审计程序 • 指注册会计师在审计过程中旳某个时间，对将要
获取旳某类审计证据怎样进行搜集旳详细指令。
• 注册会计师利用审计程序获取审计证据涉及下列 四方面旳决策：
1）、选用何种审计程序
2）、对选定旳审计程序，应该选用多大旳样本规 模
3）、应该从总体中选用哪些项目
4）、何时执行这些程序
六、审计证据
对外不起鉴证作用，并向外界保密；而注册会计 师审计需要对投资者、债权人以及社会公众负责 ，对外出具旳审计报告具有鉴证作用。
四、审计职业规范
会计信息系统审计知识培训
会计信息系统审计知识培训一、前言会计信息系统是企业内部用来记录和管理财务信息的重要工具，对企业的财务运营和管理起到至关重要的作用。
审计作为一种重要的监督手段，对会计信息系统的合规性和运行情况进行评估和检查，以确保信息的准确性、完整性和可靠性。
本文将为大家介绍会计信息系统审计的相关知识，并进行系统的培训和讲解。
二、会计信息系统审计的概念会计信息系统审计是指对会计信息系统的设计、建设、操作、维护和控制进行评估和检查的过程。
审计人员通过分析信息系统的各个环节，评估其合规性、安全性和效率，以确定系统是否达到预期的目标，是否存在潜在的风险和问题。
三、会计信息系统的重要性会计信息系统作为企业财务管理的核心工具，其重要性不言而喻。
一个合理高效的会计信息系统可以提高财务处理的效率和准确性，降低出错的风险。
同时，会计信息系统还可以为企业提供及时可靠的财务数据，为管理决策提供支持。
因此，对会计信息系统进行审计是确保财务信息真实可靠的关键环节。
四、会计信息系统审计的内容会计信息系统审计主要包括以下几个方面：1.系统设计与建设审计系统设计与建设审计是对会计信息系统设计与实施过程的评估和检查。
审计人员需要对系统的设计方案、数据模型、流程图等进行审核，以确保系统的可靠性和完整性。
2.系统操作与管理审计系统操作与管理审计是对会计信息系统的日常运行和维护情况进行评估和检查。
审计人员需要审查系统的用户权限控制、操作记录、备份策略等，以确保系统的安全性和可用性。
3.数据完整性与一致性审计数据完整性与一致性审计是对会计信息系统中的数据进行评估和检查，以确保数据的完整性和准确性。
审计人员需要对数据输入、处理和输出进行抽样检查和比对，以查明数据是否存在丢失、重复、错误等情况。
4.风险与内控评估风险与内控评估是对会计信息系统的风险和内部控制措施进行评估和检查。
审计人员需要分析系统的风险点和潜在问题，评估内部控制措施的有效性和合规性。
5.安全性与权限控制审计安全性与权限控制审计是对会计信息系统的安全性和权限控制进行评估和检查。
信息系统安全审计
信息系统安全审计信息系统安全审计是一种对组织内部信息系统安全性进行评估和验证的过程，旨在确保信息系统的机密性、完整性和可用性。
在当今互联网时代，信息系统安全审计对于保护组织的数据和保障业务连续性至关重要。
本文将介绍信息系统安全审计的背景、目的、方法以及未来趋势。
一、背景随着信息技术的快速发展和广泛应用，信息系统安全问题日益突出。
黑客攻击、数据泄露、恶意软件等安全事件频繁发生，给组织的经济利益和声誉带来严重威胁。
因此，信息系统安全审计应运而生，旨在通过对信息系统的全面评估，识别潜在的安全隐患，并制定相应的控制措施。
二、目的信息系统安全审计的目的是确保信息系统的安全性，包括对网络设备、软件系统和数据库等进行评估和验证。
主要目标如下：1. 发现潜在的安全漏洞：通过检查系统的漏洞和弱点，发现可能被黑客攻击的风险。
2. 识别安全风险：评估系统的安全策略和控制措施的有效性，发现潜在的安全风险，并提出改进建议。
3. 检查合规性：审计员会核查系统是否符合法律法规、政策和标准要求，确保组织的运作合规。
4. 验证安全措施：审计人员会测试安全策略的有效性，包括访问控制、身份认证、加密等措施。
5. 提高安全意识：通过与组织内部员工的交流和培训，提高员工的安全意识，减少人为因素导致的安全问题。
三、方法信息系统安全审计的方法包括技术审计和操作审计。
1. 技术审计：技术审计主要关注系统的网络安全和设备安全。
审计员会使用各种工具对系统进行扫描和渗透测试，以发现潜在的安全漏洞和弱点。
此外，审计员还会检查系统的日志记录，以确保系统的行为符合安全策略和规定。
2. 操作审计：操作审计主要关注人员的行为和操作过程。
审计员会审查员工的操作记录和权限分配情况，确保员工的操作符合授权，并且没有越权行为。
此外，审计员还会关注对敏感数据和系统功能的访问控制，确保数据和系统的安全性。
四、未来趋势随着技术的不断发展，信息系统安全审计也面临新的挑战和机遇。
信息系统审计基础培训材料
•.
•Yes
•Yes
•Plan to obtain audit evidence about the operating effectiveness of controls, in the current audit period, &
plan a moderate level of substantive procedures (Ch. 14 & 15)
来问题发生的可能性
PPT文档演模板
信息系统审计基础培训材料
内部控制目标
• 内部控制就是要通过实施一系列特定的控制活动，达到所预 期的结果或目的。通常包括：
– 内部会计控制——主要针对会计操作，即资产安全、财务资料准 确可靠
– 运营控制——针对日常运营、职能和活动，用于确保运营达到企 业目标
– 管理控制——关注职能部门的运作效率及运营控制符合管理政策 的程度，是以提高经营效率和保证管理方针、政策的实施为目标 的控制
PPT文档演模板
信息系统审计基础培训材料
IT审计
vs. 财务审计
•Perform Pre- Engagement
Activities
•Assess & Respond to Engagement Risk (Ch. 3) •Manage the Audit Engagement (Ch. 2) •Select the Engagement Team (Ch. 4) •Establish Terms of Engagement (Ch. 5)
embedded within reliable operating
IT processes environment
that and
support the effective operation of application
审计信息化建设培训参考资料
审计信息化建设培训参考资料数据库简明读本第1章数据库基础1．1 数据、数据库、数据库管理系统、数据库系统1．数据（data）数据是描述事物的符号记录。
例：（李明，男，1972，江苏，计算机系统，1990）数据与其语义是不可分的，上述数据表明：李明是个大学生，男，1972年出生，江苏人，1990年考入计算机系统。
2．数据库（database，简称DB）数据库是长期储存在计算机内，有组织的，可共享的数据集合。
数据库中的数据按一定的数据模型组织、描述和储存。
3．数据库管理系统（database management system ，简称DBMS）数据库管理系统是一个软件系统，它位于用户与操作系统之间，属于系统软件。
DBMS 可以在计算机上定义数据，建立数据库，对数据进行统一管理、统一控制，运行和维护数据库。
4．数据库系统（database system ，简称DBS）数据库系统由数据库、数据库管理系统、应用软件、数据库管理员、数据库用户构成，是一个实用的数据处理系统。
程序开发人员数据库系统1．2 数据库技术的产生与发展1．人工管理阶段20世纪50年代，没有操作系统、DBMS ，数据存贮在纸带、卡片、磁带上，采用批处理方式。
2．文件系统阶段20世纪50—60年代，操作系统具有了数据处理功能，数据和程序同时编写，数据嵌入在应用程序中，共享性差，独立性低。
3．数据库系统阶段20世纪70年代以后，计算机处理的数据量急剧增长，应用程序与数据库分离，数据库技术开始独立发展，数据由DBMS 统一管理和控制。
person2文件系统阶段数据库系统阶段1．3 数据模型1．模型即数据的逻辑结构，在数据库中用模型来抽象、表示和处理现实世界中的数据和信息。
数据模型一般有层次模型、网状模型、关系模型。
关系模型是目前最重要，应用最广的数据模型。
关系模型的逻辑结构是一张二维表。
1．4 关系型数据库1．字段：表示数据项的属性：名称，类型（字符型、数字型、日期型……），长度。
信息系统审计概论
第一章 信息系统审计概论
NANJING AUDIT UNIVERSITY
信息系统安全控制与审计 信息技术环境下信息系统的脆弱性和威胁，使信息系
统及其产生的信息存在信息安全风险。本章主要介绍如何 对信息系统进行安全审计与控制，从而使信息系统的风险 降到最低。
NANJING AUDIT UNIVERSITY
信息系统审计技术与方法 面对错综复杂的信息系统和审计环境，向审计人员提
NANJING AUDIT UNIVERSITY
SAS94
美国注册会计师协会(AICPA)下属的审计准则委员会(ASB)一直关注IT对 独立审计的影响。2001年4月，ASB发布了第94号准则：《IT对CPA评价 内部控制的影响》，该准则是作为SAS(审计准则公告) no.55的“补丁 公告”推出的，它对下列三方面问题做出了规范：IT对企业内部控制的 影响；IT对CPA了解内部控制的影响；IT对CPA评价审计风险的影响。 SAS no.94于2001年6月1日开始执行。
出了挑战，审计人员实施审计的难度很大，需要运用许多 技术、方法和工具来辅助他们进行审计工具。本章即介绍 一些有关信息系统审计的技术和方法。
第一章 信息系统审计概论
NANJING AUDIT UNIVERSITY
第一节 信息系统审计及其产生与发展 一、何谓信息系统审计（ISA）？
国际信息系统审计委员会(ISACA)定义：是一个获取 并评价证据，以判断计算机系统是否能够保证资 产的安全、数据的完整以及有效率利用组织的资 源并有效果地实现组织目标地过程。
·经营管理方面相关知识； ·信息安全管理相关知识； ·业务对象相关知识； ·相关法律和法规；
能力方面要求如下：
·系统审计的相关能力；·审计的立项、分析、评价相关能力； ·信息收集、审核、审计方法掌握、相关技巧运用方面的能力； ·审计报告制作能力；
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1
信息系统审计基础培训
©2007 德勤华永会计师事务所
课程目录
• 信息系统审计基础 • 通用计算机控制审计
• 应用系统控制审计
• 计算机辅助审计技术介绍 • 信息技术控制缺陷的评估
• 对外包服务商内部控制的考虑
• 交流与回答
2
信息系统审计基础培训
©2007 德勤华永会计师事务所
– 在问题发生前预测潜在问题 – 避免错误、疏忽或蓄意行为的发生
• 检测性控制
– 使用控制检查和报告发生的错误、疏漏或蓄意行为的发生
• 纠正性控制
– 减少危害影响 – 修复检查性控制发现的问题 – 找出问题原因，纠正问题衍生出的错误，修改处理系统以减少未 来问题发生的可能性
11 信息系统审计基础培训 ©2007 德勤华永会计师事务所
Application Controls
Controls include:
Executive Management Business Process Business Process Business Process Business Process
Customer Banking Finance Report
• 对信息技术文档的充分性进行监督
• 信息技术内审复核. • 对弥补和升级程序进行监控. • 持续的安全监督
7
信息系统审计基础培训
©2007 德勤华永会计师事务所
了解企业内部控制的程序
识别主要活动,程序和控制, 以应对内控的 各实体层次构成要素。
了解监管负责人员如何应对风险
评估控制的设计与执行
对以下作出结论：
Perform the Audit Plan
Perform Substantive Procedures [SAP (Ch. 18) &/or Tests of Details (Ch. 19)]
Perform Financial Statement Review (Ch. 21) Overall Evaluation of Misstatements & the Scope of our Audit (Ch.20) Perform Subsequent Events Review (Ch. 22)
Controls embedded within business process applications directly support financial control objectives.
IT Services
OS/Data/Telecom/Continuity/Networks
IT General Controls
• 管理层必须意识到信息技术的风险与信息技术 的控制息息相关
信息与沟通 • 部署用以支持沟通的架构、标准和流程 • 信息能够准确、及时地向上传递 • 方便地获取信息技术相关的政策、流程、 职位描述和职责定义 • 准确地对财务数据和报告进行整理和沟 通
监督 • 对信息技术内控进行持续监督，确保其实质 有效实际并运行
信息系统审计基础
3
信息系统审计基础培训
©2007 德勤华永会计师事务所
IT审计的定义
• 为了信息系统的安全、可靠与有效，由独立于审计对象的IT审 计师，以第三方的客观立场对以计算机为核心的信息系统进 行综合的检查与评价，向IT审计对象的最高领导，提出问题与 建议的一连串的活动。 • IT审计的要点：
No
Plan an intermediate level of substantive procedures (Ch. 15)
3.0
1.7
0.7
2.0
Summarize & Communicate the Audit Plan (Ch 16) Perform Tests of Operating Effectiveness of Controls (Ch. 17)
– 技术环境控制——保护信息资产，符合组织的方针策略及法律法 规的要求，信息输入输出，交易处理的准确性及完整性，数据处 理的可靠性，备份与恢复，业务经营的效率与效果
12
信息系统审计基础培训
©2007 德勤华永会计师事务所
信息系统控制目标
• 内部控制目标可以运用在所有人工及自动化控制部分，常见 的信息系统控制目标如：
Yes
Plan to obtain audit evidence about the operating effectiveness of controls, in the current audit period or together with our work performed in the prior 2 audits, & plan a basic level of sub-stantive procedures (Ch. 14 & 15)
Understand the Entity and Its Environment (Ch. 7.) Understanding Internal Control (Ch. 8) Understand the Accounting Process (Ch. 9) Perform Preliminary Analytical Review (Ch. 10) Determine Planning Materiality (Ch. 11) Assess Risk at the Potential-Error Level (Ch. 12) Specific Identified Risk (Ch. 12) No Specific Identified Risk (Ch. 12)
Controls embedded within IT processes that provide a reliable operating environment and support the effective operation of application controls.
9 信息系统审计基础培训
Controls include:
• Program development • Program changes • Access to programs and data • Computer operations
©2007 德勤华永会计师事务所
Investment
Loan
• Strategies and plans • Policies and procedures • Risk assessment activities • Training and education • Quality assurance • Internal audit
Controls include:
Control objectives/assertions include: • Completeness • Accuracy • Existence/authorization • Presentation/disclosure
控制 vs. 风险
• 风险是特定的威胁利用资产的脆弱性从而造成对资产的一种 潜在损害，风险的严重程度与资产价值程度及威胁发生的频 度成正比 • 为了将风险控制在管理层可接受的程度，就必须对识别出的 各类风险实施相关的控制。在实施时须考虑如下因素：
– 保护信息系统以防止不当存取，并确保及时更新 – 保护计算机操作系统及网络操作系统的完整性 – 保护敏感的、重要的应用系统（如财务及管理应用系统）的机密 性和完整性：
.
Develop the Audit Plan
No
Plan a focused level of substantive procedures (Ch. 15)
Yes
Plan to obtain audit evidence about the operating effectiveness of controls, in the current audit period, & plan a moderate level of substantive procedures (Ch. 14 & 15)
•对实现有效内部控制和可靠财务信息处理的帮助。 •它是否提高或降低内部控制的有效性
8 信息系统审计基础培训 ©2007 德勤华永会计师事务所
IT控制是内部控制的重要组成部分
Entity Level Controls
Entity-level controls set the tone and culture of the organization. IT entity-level controls are part of a company’s overall control environment.
– 独立性
– 综合性
– IT审计师资格 – IT审计报告
– 促进信息系统安全、可靠与有效
4
信息系统审计基础培训
©2007 德勤华永会计师事务所
IT审计 vs. 财务审计
Perform PreEngagement Activities Perform Preliminary Planning
Assess & Respond to Engagement Risk (Ch. 3) Manage the Audit Engagement (Ch. 2) Select the Engagement Team (Ch. 4) Establish Terms of Engagement (Ch. 5) Strategic Audit Planning (Ch. 6)
Assess Engagement Quality (Ch. 27)
©2007 德勤华永会计师事务所
内部控制构成要素（COSO）