10 计算机信息系统环境下的审计
信息系统审计报告.
审计目的
使审计活动对运行系统的影响最小化：涉及运行系统验证的审计要求和活动，宜谨慎地加以规划并取得批准，以便最小化业务过程的中断。
审计范围
服务器、应用系统等
审计依据
ISO/IEC 27001:2022标准；
适用的信息安全法律法规；
公司的信息安全管理体系文件。
审核日期
审计人
审计方法：
定期上官网查询是否有补丁或者漏洞扫描，及时更新系统；现场操作查是否出现缓慢、中断的现象。
审计结果：
财务系统、云服务器、应用系统等运行正常，未发现问题。
审计人：
管代意见：同意
签署：
信息系统环境下的注册会计师审计研究报告页
【最新资料,Word版，可自由编辑！】一、信息系统环境下注册会计师的审计风险我国《注册会计师法》第21条规定了注册会计师的审计责任：“注册会计师执行审计业务，必须按照执行准则、规则确定的工作程序出具报告”。
中国独立审计准则对注册会计师的审计责任也做了详细的规定：注册会计师的审计责任是指注册会计师按照独立审计准则的要求出具审计报告，并对发表的审计意见负责。
由于基本会计数据及其他管理数据的庞大以及审计成本的限制，现代审计多采用评价内部控制基础上的抽样审计以获得支持财务报表的证据。
在信息系统条件下，审计基础数据更加庞大和复杂，内部控制的内容与方法也发生了巨大变化，获取基础审计数据，评价新的内部控制结构的效力与证据之间的联系，这些都构成了对注册会计师的极大挑战。
我国2004年发布的《独立审计具体准则第20号——计算机信息系统环境下的审计》明确指出，注册会计师应当充分关注计算机信息系统环境对被审计单位会计信息及内部控制的影响。
2006年发布的《中国注册会计师审计准则第1633号电子商务对财务报表审计的影响》第十八条指出，注册会计师应当关注审计单位是否运用适当的安全基础架构和相关控制；第32条也指出，注册会计师应当考虑被审计单位实施的信息安全政策和控制措施，是否足以防止未经授权修改会计系统或会计记录，或修改向会计系统提供数据的系统。
《国际审计准则15——电子数据处理环境下的审计》明确指出，当在一个电子数据处理的环境下进行审计时，审计人员应当对约定计划中的计算机因硬件、软件和处理系统有充分的了解，并且要了解电子数据对内部控制的研究与评价和对审计程序实施的影响，包括计算机辅助审计技术。
但我国的独立审计具体准则和国际审计准则都没有给出审计测试的具体评价标准，注册会计师在评价计算机信息系统的安全、正确及有效性方面遇到了很大的困难。
以上情况表明，虽然注册会计师可能无需对信息系统和信息活动提出鉴证结论和咨询意见，但必须考虑信息系统和信息活动对被审计单位的影响与重大错报的风险。
计算机和信息系统安全保密审计报告
计算机和信息系统安全保密审计报告根据市国家保密局要求，公司领导非常重视计算机信息系统安全保密工作，在公司内部系统内开展自查，认真对待，不走过场，确保检查不漏一机一人。
虽然在检查中没有发现违反安全保密规定的情况，但是，仍然要求计算机使用管理人员不能放松警惕，要时刻注意自己所使用和管理的计算机符合计算机信息系统安全保密工作的规定，做到专机专用，专人负责，专人管理，确保涉密计算机不上网，网上信息发布严格审查，涉密资料专门存储，不交叉使用涉密存储设备，严格落实计算机信息系统安全保密制度。
通过检查，进一步提高了全公司各部门员工对计算机信息系统安全保密工作的认识，增强了责任感和使命感。
现将自查情况汇报如下：一、加大保密宣传教育，增强保密观念。
始终把安全保密宣传教育作为一件大事来抓，经常性地组织全体职工认真学习各级有关加强安全保密的规定和保密常识，如看计算机泄密录像等，通过学习全公司各部门员工安全忧患意识明显增强，执行安全保密规定的自觉性和能力明显提高。
二、明确界定涉密计算机和非涉密计算机。
涉密计算机应有相应标识，设置开机、屏保口令，定期更换口令，存放环境要安全可靠。
涉密移动硬盘、软盘、光盘、U盘等移动存储介质加强管理，涉密移动存储介质也应有标识，不得在非涉密计算机中使用，严防泄密。
非涉密计算机、非涉密存储介质不得以任何理由处理涉密信息，非涉密存储介质不得在涉密计算机中使用涉密信息。
涉密信息和数据必须按照保密规定进行采集、存储、处理、传递、使用和销毁。
计算机信息系统存储、处理、传递、输出的涉密信息要有相应的密级标识，密级标识不能与正文分离。
涉密信息不得在与国际网络联接的计算机信息系统中存储、处理、传递。
三、加强笔记本电脑的使用管理。
笔记本电脑主要在公司内部用于学习计算机新软件、软件调试，不处理涉密数据或文件。
四、计算机的使用人员要定期对电脑进行安全检查，及时升级杀毒软件，定时查杀病毒。
对外来计算机介质必须坚持先交计算机管理人员查杀病毒再上中转机使用的原则。
大数据环境下审计风险与防范对策
数据进行分析、加工、汇总，最终形成对审计工作有用的线索。 平提出了更高的要求，迫使审计人员向复合型人才转变。
但由于大数据在收集数据时是依托不同的信息平台系统，各个
5. 大数据分析的思想与工具有待创新
系统之间由于缺少衔接性，造成审计数据将会形成错误的结论，
在大数据模式下，审计工作的重点转向了数据分析工作。
内容，它除了对被审计单位进行日常的检查程序外，还要通过 信息化程序收集、分析电子数据。审计工作人员需要通过大数 据对被审计单位进行事前、事中、事后全方位的监督与管理， 这样能够在很大程度上避免预算单位内部审计工作的滞后性。 因此，很多预算单位一般利用现代化信息技术对单位内部的业 务活动进行持续性审计，从而实现对工作内容的持续性监督。
（1）被审计单位的会计核算系统与审计数据收集系统存在 与方法中进行创新。
一定的差异，审计工作人员如果将被审计单位数据整理、分析
实际上，大数据技术已经渗入到了财务的各个角落，如最
后得出的结论将存在一定的审计风险。
新出现的财务机器人就是大数据技术及智能技术在财务领域应
（2）审计机关通过大数据收集完数据后 , 应对不同类型的 用的典型代表，它的出现对审计人员的专业水平以及计算机水
核算软件或国库收付系统均属于不同的软件公司，这些软件端 工具只有 AO 和数据库查询软件，只能实现一般性关系型查询分
口之间缺少勾稽关系，使审计工作人员获得的审计数据之间无 析。要想真正从多源异构、纷繁复杂的大数据中挖掘出其蕴含
法关联或匹配。二是由于审计机关的工作人员平时未能主动地 的价值，并对未来提出合理预测和建议，亟须引入大数据综合
（3）在大数据环境下，审计机关工作人员往往面临着工作 平台。一是审计工作人员应首先对信息化平台进行技术上的测
信息系统审计准则
国际信息系统审计准则国际会计师联合会（IFAC）下设的国际审计实务委员会（IAPC）对计算机信息系统环境下的审计的研究较早，先后发布了一系列的相关准则。
到目前为止颁布了六个有关计算机信息系统环境下审计内容的国际审计准则。
它们分别就单机、联机和数据库系统下的电子数据处理环境对会计制度和有关内部控制的研究和评价产生的影响作出补充规定。
现将这几个准则规范的内容作一汇总介绍。
第一，《信息系统环境下的审计》。
该准则明确了在计算机信息系统环境下审计的目的与范围，技术与能力的要求，审计计划的考虑，内部控制研究、评价及风险评估的影响，制定与实施审计程序应关注的方面等。
该准则只是为在计算机信息系统环境下的审计制定一般原则和指导，其他五个准则或实务公告均为该准则的补充或扩展。
当在一个计算机信息系统环境下进行审计时，审计人员应当对约定计划中的计算机硬件、软件和处理系统有充分的了解，并且要了解计算机信息系统对内部控制的研究与评价以及对审计程序有怎样的影响，包括计算机辅助审计技术。
审计人员还应当对执行审计程序的计算机信息系统处理有足够的知识，这将视所采用的具体的审计方法而定。
第二，《风险评估和内部控制--计算机信息系统环境特征和考虑因素》。
该实务公告为第一项准则的补充，该公告明确了计算机信息系统环境的特征，计算机信息系统环境下内部控制的内容及评价方法。
审计人员应当收集与审计计划有关的计算机信息系统环境的资料，包括计算机信息系统的功能情况以及计算机处理的集中或分布程度、使用的计算机硬件和软件、数据重置情况等。
审计人员在编制全面计划时，应当考虑下列事项：在对内部控制的全面评价中确定对计算机信息系统控制的可信赖程度；制定关于怎样、何处与何时检查计算机信息系统功能的计划；制定关于利用计算机辅助审计技术进行的审计程序计划。
第三，《计算机信息系统环境--独立微型计算机》。
该实务公告为第一项准则的补充，该公告明确了微型计算机系统及其特征、在微型计算机环境下的内部控制、微型计算机环境对审计程序的影响等。
计算机信息系统环境下韵审计及其质量控制
针 对计 算机 应用 审计 过程 中某 一类 问题 或几个
问题 ， 上级 行 布置 的某一 专项 任务 而进行 的审计 。 或
例如资 金 、 资 、 理 临 柜 计 算 机 审计 ， 计 临 柜计 融 管 会 算机审 计 ， 备安 全维 护审计 ， 算机 审计 应 用系统 设 计 制度管 理审计 ， 入 输 出数 据核 算 控 制 系 统 的审计 输
算 机 信 息 系统 环 境 下 ， 计 核 算 处 理 主 要 由 计 算 机 会
完 成 ， 算机 只记 录最 后 处理 结果 ， 略 中间处理过 计 忽 程 ， 据 形 成 依 据 的 记 录 减 少 。这 些 减 少 了 的 审 计 数 线 索 大 多 以 肉 眼 不 能 识 别 的 形 式 存 在 于 磁 盘 、 带 磁
１３ ．
会 同 审 计
是 计 算 机 的 输 出 信 息 ， 计 对 象 在 此 受 到 计 算 机 操 审
会 同其他 有关 部 门组成 审计 组所进 行 的计 算机
作 人 员 的 限 制 ， 者 完 全 可 以 只 提 供 他 们 愿 意 被 审 后
查 的信息 ， 他 敏感性 信 息则 有可 能被 人为 掩藏 。 其
等磁 性介 质上 ， 有 少 量 以 肉 眼 可证 别 的形 式 存在 只
于原始 凭证 和打 印输 出 的各项 明细 记 录和会 计报表
中。储存 于磁 性 介质 上 的会 计 数 据 具 有 存取 方 便 ，
修改 与删 除不 留 痕迹 的特 点 ， 都 给审 计 线 索 的追 这 踪带 来重 重 困难 。
２， ３ 审 计 内容 的 扩 展
审计 。 例 如 与 资金 、 资 、 理 部 门 联 合 进 行 的资 融 管
计算机信息系统环境下如何开展审计工作
审 计 工 作 中 ， 计 人 员 正 是 通 过 跟 踪 审 算 机 系统 的 破 坏 ． 篡 改 会 计 数 据 。 这 就 提 审 会 计 线 索 审 核 有 关 经 济 业 务来 收 集 审 计 证 据 出 了计算 机信 息 系 统环 境 下 审 计 内容 应 包 的 。 在 传 统 的 手 工 会 计 系统 中 ， 济 业 务 发 括 对 计 算 机 系 统 处 理 和 控 制 功 能 进 行 审 计 经 生后 ， 办入 员 取 得 原 始 凭证 ， 计 人员 依 的要 求。 经 会 据原始 凭 证编 制记 账 凭证 ， 后 将记 账凭 证 然
３ 对 套 关 数据 信息 过 录到 账册 中 ． 据账 册 依 传统 的手 工会 计 系统 非 常 强 调 对 经 挤 编 制 会 计 报 表 。每 一 步 骤 的 文 字 记 录 都 由 手 业 务 、 使 用 授 权 批 准 和 职 责 分 工 等 控 制 程 工 签 字 ， 索 十 分 清 晰 审 计 人 员 进 行 审 计 序 ，保 证 有 关 记 录 和 会 计 信 息 的真 实 性 、 线 正 时 ， 全 根 据 实 际 情 况 直 接 选 择 顺 查 、 查 确 性 、 法 性 。但 是 ， 计 算 机 信 息 系 统 环 境 完 逆 合 在 和 抽 查 。 但 在 计 算 机 信 息 系 统 环 境 下 ． 计 下 ， 计 数 据 处 理 根 据 既 定 的指 令 程 序 进 行 会 会 系 统 提 供 审 计 线 索 的 方 法 发 生 了 很 大 的 变 的 ， 而 使 传 统 意 义 上 的 内 部 控 制 方 法 失 去 从 化 纸 质 记 录 逐 步 减 少 ， 之 的 是 存 有 数 据 作 用 。 代 资 料 的 磁 盘 、 带 、 盘 等 ， 些 存 储 在 磁 性 磁 光 这 介 质 上 的 信 息 是 机 器 可 读 的 ． 们 不 再 是 单 它 ４ 对 审计 技 术 的影响 、 对手 工会计 系统 的审查 ， 般 可 以根 据 一 凭 手 工 能 直 接 识 别 的 了 。 此 外 ， 始 数 据 录 具 体 情 况 采 取 审 阅 、 对 、 析 、 较 和 验 证 原 核 分 比 入 计 算 机 以 后 ． 账 凭 证 、 细 账 、 账 报 等 方 法 ， 所 有 这 些 审 计 工 作 都 是 由 手 工 完 记 明 总 表 由 计 算 机 自动 生 成 ， 上 审 计 人 员 对 于 会 成 。 在 计 算 机 信 息 系 统 环 境 下 ， 计 对 象 和 加 审 计 电 算 化 内 部 程 序 不 了解 ． 得 电 算 化 过 程 内 容 发 生 了 重 大 的 变 化 ， 计 技 术 和方 法 必 使 审 成 为 一 个 “ 箱 ”， 统 意 义 上 的 审 计 线 索 然 要 发 生 相 应 的 变 化 ， 有 效 的 方 法 就 是 刺 黑 传 最
浅议信息系统环境下的审计工作系统
２０ ０ ８年 ２月
中 国 管 理 信 息 化
Ｃｈ ｎ ｎ ｚ ｍｅ ｔ ｎ ｏ ｍａｉｎｚ ｔ ｎ ｉ ａＭａ ａ ｅ ｎ ｆ ｒ ｔ ｉａｉ Ｉ ｏ ｏ
Ｆｂ，０ ８ ｅ ．２ ０ Ｖｏ ． １ Ｎｏ３ １ ， ． １
第 １ 卷第 ３ １ 期
式一 般具有 以下特 征 ： １ 一致性 ．
审 计数据 库 中的数 据键 始终包 括 时间元 素 ， 据保 存 数
的时 间通常 较长 ． 具有 作历 史 比较 和趋势 分析 预测 的长 期
不 同来 源 的多种数 据一 旦进 人数据 库 ， 就必 须 按照 统 数 据基 础。 据库技 术是将 计算 机应用 于数据 管理而产 生 数
［ ］陈伟 ， １ 尹平． 于成本效益视 角的联网审计可行性分 析［］ 审计 基 Ｊ．
与 经 济 研 究 ，０ ７ ２ （ ）３ — ９ ２ ０ ，２ １ ：６ ３ ． ［ ］廖 志 芳 ， 晓 平 ， 岳 山等 ． 算 机 联 网 审 计 组 网 模 式 的 建 立 ［］ ２ 樊 谢 计 Ｊ． 计 算 机应 用 ，０ ６ ２ （ ）９７ ９ ９ ２ ０ ，６ ４ ：７ — ７ ． ［ ］曹 洪 泽 ， 强 ． 网 审 计 及 其 关 键 技 术 研 究 ［］ 北 京 理 Ｔ 大 学 学 ３ 刘 联 Ｊ．
［ 关键词 ］ 审计； 系统 ； 工作 数据库 ［ 中图分 类号 ］Ｆ３． ２９ ［ １ 文献标 识码 ］Ａ
［ 文章 编号 ］ １７ — １４２０） — ０３ ０ ６３０ ９（ ８ ３ ０ ７— ３ ０ ０
并 数据 库技术 在 审计信 息管 理 中的广 泛运用 ， 为 审计 且记 录管理 者想 要计 划 、控 制 和评 价的所 有业 务 事件 ， 能 人 员充分 、 效 、 有 便利 地提供 信息 ， 为满 足快 捷决 策 需要 奠 且存储业务活动中多方面的细节信息。 任何授权用户都可 定 了基础 。 主要 设计思 想是将 分 析决策所 需 的大量数 据 以通 过 数据 库所 存 储 的数 据来 定 义 和获 取 所需 的有 用 信 其
新编审计学辛金国课后答案
新编审计学辛金国课后答案注明：希望同学们可以根据以下习题答案，来帮助自己学习。
答案供参考：P41:(第2章审计准则和审计质量控制准则)一、判断题 1-5：×√×√×二、单选题 1-2：D,A三、多选题 1-5：ABCDE,BCDE,ACE,ABD,ACE(更正)P52:(第3章职业道德和法律责任)一、判断题 1-5：×√×√×二、单选题 1-7：A,D,B,C,C,B,CP65:（第4章审计目标和审计程序）案例：会计报表认定审计程序序号491 8（更正）5 65 113 7P66：一、判断题 1-5：×√×√×二、单选题 1-5：C,A,C,A,C三、多选题 1-4：ABC,BD,ABD,ABCDP81:(第5章审计计划)一、判断题 1-7：√√×√×××二、单选题 1-4：B,D,C,D三、多选题 1-5：ABC,ABC,ABC,ABC,ABC,ABD,ABCDP98:(第6章审计重要性和审计风险)一、判断题 1-7：√√×√×××二、单选题 1-5：B,A,C,D,C三、多选题 1-5：CE,AC,ABCDE,ABCD,BD案例题：a.控制风险：A.业务性质越复杂，固有风险越大B.管理人员变动越频繁，固有风险越大C.公司营运资本不足，维持经营的流动资金匮乏，会影响认定的固有风险D.管理层要实现高收入，，遭受压力越大，固有风险越大E.财务人员加班越频繁，越疲劳，固有风险越大b.控制风险：公司现金的控制无效；有货物运送凭证没有销售发票运送的货物没有开单，开单的销售没有记账，已开单的销售可能没有计入应收账款分类账等这些潜在的错报，会影响销售收入，销售成本，应收账款，坏账准备等财务报表的存在或发生，完整性等的认定，可能会利润不真实等情况。
信息系统审计方法与操作指引
获取实际变更清单，从该清单中选择一个在此期间发生的变更样本，并验证从 被审计机构那里获取的变更清单上是否存在该变更。
开始
SAF
本部/事业部
初步分析/需求整 合修改 SAF
确认进行 N
可行性分析 需求申请
N
需求分析与业务需求文档编写
影响逻辑访问测试性质和范围因素(续)
2.2.2 定期用户权限复核控制的补偿性控制
➢ 与离职和调动用户相关的ITGC通常是补偿性控制，用于弥补定期用户
访问复核过程的缺陷。如果审计方法表明需要测试离职和调动用户， 我们应考虑以下程序： ➢ 测试程序 — 离职用户：获取审计期间离职职员清单，并确定它是完整
信息系统审计方法与操作指引
5
IT一般控制审计程序
影响变更管理测试性质和范围因素(续)
1.2.2 变更类型 要确定最适当的测试方法，了解和记录用于变更管理过程，包括 针对以下变更类型和IT环境技术组成要素过程：
► 程序开发/采购 — 开发和实施新应用程序或界面。 ► 程序变更 — 对现有应用程序和界面进行的变更。 ► 系统软件维护 — 对数据库、操作系统和其他系统软件进
➢ 询问：通过向相关人员访谈了解各个系统是否存在用户初始密码更改控
制，由什么岗位负责这项工作，是否有制度对初始密码作出规定等。
➢ 观察：观察一个系统新用户初次登陆时，系统是否提示修改密码。 ➢ 检查：检查系统安全参数设置，确保使用正确的参数强制用户在初次
登录后修改密码。
➢ 重新执行：申请一个测试账号，在系统中初次登录时查看系统是否强
浅谈计算机会计信息系统下的审计
变化， 传统的审计线索在电算化 系统 中中断甚至 消失 。在手工会计系统 中， 从原始凭证到记账凭
证， 由过账 到 财务报 表 的编制 ， 一步 都有 文字记 每
录， 都有经手人签字 ， 审计线索十分清楚。审计人
员进 行 审计时 ， 以根 据需要 进行 顺查 、 查或抽 可 逆
从而明确责任 ， 但是计算机只能提供统一模式 的
算 机一 般不 会 每 登 记 一笔 记 录就 打 印 一 笔 记 录 ， 以供工 作人 员 阅读 ， 一般 是 经过 一个 阶段 ， 于一 个 月 或一 句 打 印 一次 。平 时 ， 录输 人 到计 算 机 以 记
部控制的变化给审计带来 的影响。在此就这两方
面 的影 响和审 计应 采取 的措施 作 一探讨 。 １ 计算机 会计 信 息 系统 下 外 部环 境 的变 化 给 审 计 带来 的影 响 １１ 审计 可视 线 索 自然 消失 的影 响 ． 实施 了会 计 电算 化 ， 审计 线 索 会 发 生很 大 的
理 和控 制功 能有 关 。这是 在传 统 的手工 审计 中所
功能 ， 而这种功能应 由内部控制予以保证。实行 会计电算化后 ， 内部控 制的重点 由会计人员和会 计 业务部 门转 移 到 电子 数 据处 理 部 门 ， 会 人 员 财
对交 易 活动 的直 接监 督 减 少 了 ， 内部 控 制 体 系 原
维普资讯
石
油
化
工
技
术
经
济
第２ ２卷
浅谈计算机会计信息 系统下 的审计
陆永 梅
（ 中国石化 上 海石 油化 工股份 有 限公 司，０５ ０ ２０４ ）
摘要 ： 随着计算机技术在会计领域的广泛应用 ， 统审计产生很 大的影 响 ， 对传 主要表现在两 个方面 ， 即外 部环境 的
如何进行计算机审计
如何进行计算机审计如何进行计算机审计与传统手工审计一样，计算机审计过程可分成接受业务、编制审计计划、实施审计和报告审计结果等四个阶段。
其中重点是计算机审计实施阶段，包括计算机信息系统的内部控制评价和对计算机系统所产生的会计数据（信息）进行测试评价。
计算机审计过程具体可细分为以下主要步骤：1.准备阶段。
①了解企业基本情况，与企业的有关人员初步面谈并查阅其会计电算化系统的基本资料，归纳出被审计系统的特点和重点。
②组织审计人员和准备所需要的审计软件。
根据被审计企业会计电算化系统的构成特点，复杂程度可选择安排有计算机审计经验的注册会计师担任项目负责人，组成审计小组，准备审计软件。
如果对某审计项目需要特殊的审计软件，还必须组成一个专门小组预先开发好所需要的软件，以保障审计工作顺利开展。
2.内部控制的初步审查。
初步审查的目标是使审计人员了解计算机信息系统在会计工作中的应用程度，初步熟悉电算化会计系统的业务流程和内部控制的基本结构，包括从原始凭证的编制到各种会计报表输出的整个过程。
一般采用如下的检查和会谈：①审阅上期的审计报告和管理建议书，初步了解上期系统的弱点。
②检查会计电算化系统的文档和系统使用手册，了解系统模块结构、名称、数据库以及相应的功能。
③检查输入数据的基本依据（电子数据和有关的原始凭证），初步了解企业会计原始数据产生的内部控制制度的基本情况。
④针对一些基本情况和上述检查发现的问题，与会计人员、系统开发和维护人员、程序员面谈，以便得到与司题相关的背景资料。
⑤初步审查数据处理流程图，了解原始数据的起点、文件名称和系统内的代码、数据经过的单位或部门、数据的终点和保管的措施，以及对产生和使用数据的单位的内部控制，并制作必要的简明数据流程图。
同时，审计人员还要对下列资料进行了解：①系统安装日期、计算机硬件系统的型号、机房的基本管理设施、系统管理制度、系统的负荷量（数据处理量）。
②系统的组织结构、各级管理的职责，以及计算机系统的负责人和系统管理人员。
信息系统环境下的审计工作
取所需 的信 息 ， 并可以通过一定 的形式将其输出。生成审计工
作所 需 的数据管 理库包含 各种审计计 算底稿 、 审定 表 、 审计报 告， 、 管理建 议书等信 息的结构化 数据库 ， 并形成 与其他 部件进
行联系 的桥梁。
的关键 。通过将 各种数据装入数据管理库之 中， 生成 必需的 、 能 为审计人 员所直接使 用的数据管理库 ， 或通过其他方法为审计 人 员提供查询 工具 ， 以便审计人 员能方 便地从数据管理库 中获
应用所能提供的全部视图 ，又能避免数据重复存储和数据不一
致的问题。此外 ， 这种体 系结构还实现 了信息处理 的实时控制 ， 数据库中的处理 单元在 业务发生时捕捉业 务数据 ， 既能执行 业 务规划和控制 ， 又能校验数据的准确性和完整 陛。
３ 分析推理。这是审计信息系统 中对信息流进行控 制的核 、 心， 其主要功能是接受审计人 员通过审 计信 息系统传来 的信息 需求 ，判断需求指 向的是 已存在 的信息还是不存在 的信息 ， 或
数据保 存的时间通常较长 ， 有作 历史比较和趋势分析预测 的 具 长期数据基础 。数 据库技术是将计算机应 用于数据管理而产 生
方便的审计分析模块 。 ４ 解释报告。审计软件可 以提供 审计报告生成功能 ， 、 审计
人 员可 以通过它选择 具体 的信 息项 目、 类型和 表达形 式 ， 主要 内容包括以下 几方面 。
审 计数据库在 审计工 作系统 的运 作过程 大致有如 下 ４ 个
【 摘要 】 本文分析了信息系统环境下审计工作系统的功能
特 征 、 作 环 节 以及 系统 的 构 成 ， 绍 了 系统 测 试 的 方 法 ， 运 介 以期 提 高 审计 信 息化 水 平 ， 高审 计 效 率和 效果 。 提
信息系统审计的指南—计算机审计实务公告
信息系统审计的指南—计算机审计实务公告计算机审计实务参考指南是一个相对完整的框架，用于帮助审计人员进行计算机审计工作。
以下是一个关于计算机审计实务的公告，介绍了信息系统审计的指南和一些建议，帮助审计人员进行有效的计算机审计工作。
尊敬的领导、各位同事：为了提高企业的信息系统安全性和风险管理水平，确保信息系统的正常运行和数据的可靠性，本公司决定进行一次信息系统审计。
为了便于大家的工作，制定了以下指南和建议，希望能够帮助大家有效地完成计算机审计工作。
1.审计目的和范围：明确审计的目的和范围，包括所审计的信息系统的规模和功能，以及需要审计的重点和关注的问题。
2.审计计划：制定一份详细的审计计划，包括审计的时间表、人员安排和审计程序。
确保审计工作可以按照计划进行，并保证每个环节都得到充分的关注。
3.风险评估：对信息系统的风险进行评估，确定可能存在的威胁和漏洞。
基于评估结果，确定审计的重点和关注的问题，优化审计资源的分配。
4.审计程序：根据审计目标和风险评估结果，制定相应的审计程序。
审计程序应该包括对系统漏洞的扫描和检测、对权限和访问控制的审查、对安全策略和控制措施的评估等。
5.数据采集和分析：采集所需的数据，并进行必要的分析。
数据的采集和分析是评估信息系统安全性和效率的关键步骤，必须进行全面和准确的数据采集，并进行合理的数据分析。
6.风险管理：根据审计发现的问题，制定相应的风险管理措施。
风险管理措施应该包括对系统漏洞的修复、对权限和访问控制的改进、对安全策略和控制措施的更新等。
7.审计报告：根据审计结果，编写一份详细的审计报告。
审计报告应该包括所审计的信息系统的概述和背景、审计的目的和范围、审计的程序和结果、审计发现的问题和建议等。
8.问题跟踪和改进：针对审计报告中的问题和建议，制定相应的改进计划，并跟踪实施情况。
确保问题得到及时解决，改进措施得以落实。
本次信息系统审计的指南和建议，主要是为了帮助大家更好地进行计算机审计工作，提高企业的信息系统安全性和风险管理水平。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 一般控制的具体目标：
1. 通过一般或特殊的授权规则保证下列活动的开展具备正当的手续：
① ② ③ ④ ⑤ 将原始凭证输入系统内进行处理； 设计、实施和使用计算机程序； 更改计算机程序； 接触和使用计算机主文件和其他重要数据文件； 分发系统输出报告等。
负责资产保管人员无权接触记录资产情况的信息处理。 负责信息处理的人员不负责执行或批准的经济业务。 电子数据处理部门内部对不相容职能进行适当分离。 电子数据处理部门不能纠正电子数据部门以外的错误。 通过适当的沟通方法和程序，使数据处理部门人员和其他部门人员能理解 主管人员的一般和特殊授权要求，并保证遵循这些要求。 7. 主管人员能够充分地控制授权要求的遵守，以保证违背要求的行为能予以 记录、调查和纠正。 2. 3. 4. 5. 6.
• 审计所需信息的可获得性
Renmin University of China Slide ‹#›
CPA特别关注
计算机信息系统与手工系统不同的方面
组织结构 内部控制 信息处理 程序设计
Renmin University of China
Slide ‹#›
二、计算机信息系统环境下制定审计计划 的基本程序和步骤
Slide ‹#›
一、计算机信息系统环境的定义
我国：
“注册会计师审计的重要会计信息由计算 机处理生成的情形”
国际审计准则：
“当一个单位对审计有重要影响的会计 信息是由任何类型或大小的计算机处理生成 时，就存在计算机信息系统环境，而无论该 计算机由本单位操作还是由第三者操作”
Renmin University of China Slide ‹#›
• 授权、批准、测试、实施和记录新建和修改应用软件； • 系统应用软件和记录的存取仅限于经过授权的人员。
Renmin University of China
Slide ‹#›
系统安全控制
• 基本目标 – 防止影响系统安全的因素危及系统的安全，发现系 统中的安全问题，并解决这些问题使系统恢复正常 的措施及实施 • 主要内容 – 硬件安全控制 – 程序与数据的安全控制 – 环境安全控制 – 防病毒的软件接触系统
– 减少发生错误和舞弊的可能性
• 基本要求
– 权责的划分和职能的分离
• 主要内容
– – – – 电算部门与用户部门的职责分离 电算部门内部的职责分离 人事控制 业务授权
Renmin University of China
Slide ‹#›
应用系统开发与维护控制
•
•
•
基本目标 – 为保证计算机会计信息系统开发过程中各项活动的合法性和有效进行 基本要求 – 系统开发过程中的各项研制、设计、维护活动及由此产生的文档，均应 遵循一定标准、规则和要求 主要内容 1. 系统开发标准，以总的方面规定开发活动要求。 2. 结构化系统开发方法，系统开发通常采用系统开发生命周期法。 3. 项目管理，包括项目计划、项目控制、项目报告。 4. 编程规则，程序设计按一定规则进行，能提高系统的可审性。 5. 阶段保证，保证系统开发进度和质量的重要措施。 6. 系统测试控制，系统实施前检出错误使系统按设计要求可靠运行的控制。 7. 系统转换控制，防止在新旧系统转换过程中发生数据遗失、重复等现象。 8. 新系统批准程序，确保管理部门对新系统和系统转换计划进行审批。 9. 程序变更控制，保证程序改动经严格测试，并得到适当的核准和授权。 10.系统文档，保证所有系统开发资料按规定予以整理和归档。
Slide ‹#›
Renmin University of China
硬件和软件控制
• 硬件控制
– 硬件控制的失效会消弱其他控制措施的作用，影响系统的可靠性 • 系统软件控制
– 利用系统软件如操作系统、数据库管理系统实现控制，是电子数据处理
系统内部控制机制的一个显著特色
• 应用软件控制
– 确保软件的取得或开发是以经过授权并以有效的方式进行的
Renmin University of China Slide ‹#›
余额详细测试的计划
• 余额的直接测试 – 当审计师在年末进行余额的直接测试时，通常不必依赖于
计算机
– 当余额的直接测试的范围依赖于与计算机相关的控制程序 或在应用期中进行余额的直接测试，则必须对一般控制的
有效性进行考虑
– 当审计师决定在对以计算机可读形式存在的客户文件实施 余额的直接测试中使用计算机予以辅助时，必须制定更详 细的计划
– 计算机处理活动的组织结构（EDP部门的组织结构、 人员安排）
– 电算化会计应用的数目及性质（应用的范围和程度）
Renmin University of China Slide ‹#›
了解会计系统
• 目的
– 了解业务经过会计系统中手工部分和电算化部分的路 径，并了解计算机介入的性质和程度
• 在重要的会计应用中，需要获取的信息
在控制风险的评估中考虑EDP控制（应用控制和一般
控制）的作用 – 在一般控制有效的基础上，测试EDP的应用控制
• 手工：从会计应用处理的交易类别中选取样本，应用审计程序证实 数据的有效性、完整性、和准确性。 • 计算机辅助：测试在会计应用中使用的计算机程序（对程序化会计 程序和程序化控制程序的运行进行测试）。
第十章 计算机信息系统环境下的审计
主要内容
•第一节 计算机信息系统环境下的审计概述
•第二节 计算机信息系统环境下审计计划的制定
•第三节 计算机信息系统环境下的内部控制与符合性测试
•第四节 计算机辅助审计技术
•第五节 计算机信息系统环境下的开发审计
•第六节 计算机审计软件
•第七节 计算机网络环境下的审计
计算机信息系统环境对审计的影响
• 审计线索 • 审计内容 • 审计技术 • 审计方法
• 审计人员
• ．．．．．．
Renmin University of China Slide ‹#›
二、计算机信息系统环境下审计的目标
• 鉴证目标
– 系统的合法性 – 系统的安全性 – 数据的完整性
• 管理目标
– 系统的效率性 – 系统的经济性和效益性
Renmin University of China
Slide ‹#›
计算机操作控制
• 基本目标 – 通过标准的计算机操作来保证信息处理的高质量、减少差错的发 生和未经批准而使用数据和程序的机会 • 具体目标 – 系统仅用于经过批准的目的； – 仅限于经过批准的人员进行计算机操作； – 仅使用批准的程序； – 查出并更正计算机处理中的错误。 • 主要内容 – 操作计划 – 机房守则 – 操作规程 – 上机日志记录
– 应用的目的 – 计算机应用中输入的来源、容量及形式
– 处理的方式及频率
– 应用中输出的形式及输出的分布
Renmin University of China
Slide ‹#›
了解控制活动
• 目的
– 了解系统的一般控制，对一般控制是否有效进行判断，向
客户提供服务的机会
• 对一般控制的审核
– 询问或观察客户的EDP部门的职员； – 检查现存的文件， 确定下列事项：
– 人工控制 – 程序控制
• 按实施控制的部门划分
– 电算化部门控制 – 用户部门控制
Renmin University of China Slide ‹#›
二、一般控制
• 目的：
– 一般控制是计算机信息系统的总体控制； – 建立对计算机信息系统活动整体控制的框架环境，并对达到内部控制的整 体目标提供合理的依赖程序。
Renmin University of China Slide ‹#›
一般控制的内容
• 组织与管理控制
• 应用系统开发与维护控制 • 计算机操作控制 • 硬件和软件控制 • 系统安全控制 • 系统文档控制
Renmin University of China
Slide ‹#›
组织与管理控制
• 基本目标
一． 二． 三． 四．
计算机信息系统环境下的内部控制及其分类 一般控制 应用控制 内部控制的符合性测试及评价
Renmin University of China
Slide ‹#›
一、计算机信息系统内部控制及分类
• 含义
– 是企业经营者为维护企业资产的完整性，确
保会计记录的正确性和可靠性，以及对经济
活动进行综合的计划、调整和评价而制定的 制度、组织方法和手续的总称。
• 目标
– 保护企业资产的安全完整 – 为企业内部和外部提供可靠的财会记录
Renmin University of China Slide ‹#›
计算机信息系统内部控制的分类
• 按实施的对象和范围划分
– 一般控制 – 应用控制
• 按控制的目标划分 – 预防性控制 – 检测性控制 – 纠正性控制 • 按控制实现的方法划分
Renmin University of China Slide ‹#›
四、计算机信息系统环境下的审计程序
计划准备阶段
检查被审计单位 的基本情况
符合性测试阶段
实施 符合性测试
实质性测试阶段
实施 实质性测试
开始
检查一般控制和 应用控制情况试的 程序
Renmin University of China Slide ‹#›
三、利用计算机编制审计计划
• 设计审计程序
• 制定检查清单 • 分析风险 • 执行分析性复核程序 • 日程安排和费用预算
• …...
Renmin University of China Slide ‹#›
第三节 计算机信息系环境下的 内部控制与符合性测试
Renmin University of China
Slide ‹#›