信息系统审计标准审计报告

信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以实现这个目标是信息系统审计与控制协会（ISACA®）的宗旨之一。信息系统审计标准的发展和传播是ISACA为审计业界作出专业贡献的基础。信息系统审计标准的框架提供了多层次的指引：

标准为信息系统审计和报告定义了强制性的要求。它们宣告：

– 根据ISACA职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。

– 管理层和其他利益方对执业者在专业工作上的期待。

– 认证信息系统审计师（CISA®）资格持有人的相关特定要求。CISA资格持有人未能遵守上述标准的可能会导致ISACA 董事会或相应ISACA委员会对其进行调查直至最终的纪律处分。

指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离标准的做法应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。

程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的 信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。

C OBI T®资源应被当作最佳操作实施指南的来源。C OBI T框架强调，“保护企业的所有资产是管理层的责任，为履行这一责任以及实现企业的期望，管理层必须建立起一套完善的内部监控体系。” C OBI T为信息系统管理环境提供了详细的监控和监控方法。

基于特殊的C OBI T信息技术程序选择和对C OBI T信息标准的考虑来选用与特定审计范围最相关的材料。

依C OBI T框架中所定义，以下各项由IT管理程序进行组织。C OBI T为商业及IT管理层以及信息系统审计师而计，所以它的运用有助于商业目标的理解，最佳操作实施的交流和围绕已经达成共识和广受尊重的标准参考体系的意见的形成。C OBI T包括：

监控目标—广义上所需达到的最低限度良好监控之总括和详述。

监控实施—监控目标的实务原理和“如何实现”监控目标的指南。

审计指南—对于不同监控领域，如何理解和评估各种监控，考核监控的符合性和证实失控风险的指南。

管理方针—如何运用成熟度模型，指标和关键性成功因素等方法来评估和提高IT程序执行绩效的指南。它们提供一种针对管理层的框架应用于连续性和自发性的监控自我评估，特别专注于：

– 绩效衡量—IT功能支持商用需求效果如何？管理方针既可用于支持自我评估的专题研讨，也可被管理层作为IT管治方案的一部分，用以支持持续监督和程序改进的推行。

– IT监控概况—哪些IT程序是重要的？哪些是监控的关键性成功因素？

– 监控意识—达不到目标会有哪些风险？

– 监控基准—其他人做了什么？如何衡量和比较结果？管理方针提供了对IT绩效的范例指标，可用于商业意义上对IT执行绩效的评估。关键的目标指标可以识别并衡量IT程序的成果，同时关键的执行绩效指标可以通过衡量程序的实现者来评估程序的执行绩效。透过成熟度模型和成熟度属性提供能力评估和基准，帮助管理层衡量监控能力，找到差距并提出相应改善策略。

术语表可在ISACA的网站：/glossary上查阅。审计和审查这两个词可以互换使用。

免责声明根据ISACA职业道德规范中对职业责任的规定，ISACA设计本指南作为执行绩效所应达到的最低标准。ISACA并未声明使用此产品一定会出现成功的结果。本出版物不能被视作包括所有合适的程序和测试，也不能被视作排斥通过合理引导获得同样结果的其它程序和测试。在决定任何具体的程序或测试的合理性时，监控专业人士应根据其自身的专业判断来判别由特定系统或信息技术环境产生的特定监控条件。

ISACA标准管理委员会致力于为信息系统审计标准、指南和程序的制定作出广泛的咨询。在发布任何文件之前，标准管理委员会向全球提供公开草案，供大众评论。标准管理委员会也寻求相关领域的专家和相关人士对必要处提出咨询意见。标准管理委员会现有研发计划，欢迎ISACA成员和其它相关人士报告任何新出现问题及其所需的新标准。所有建议请电邮至

(standards@)。或传真（+1.847.253.1443）或写信（地址在文件末尾）至ISACA国际总部，收件人注明研究标准和学术关系主任。本材料于2004年10月15日颁布。

审计报告S7

引言

01 ISACA信息系统审计标准和其它相关指南包含强制性的基本原则和重要程序（以粗体标出）。

02 制定信息系统审计标准的目的是为使信息系统审计师如何通过报告来履行责任而确立并提供指南。

标准

03 信息系统审计师在其审计项目完成后，必须以适当的格式递交一份审计报告。报告中必须明确表明被审计机构、须送达人士

和发布过程中的任何限制条件。

04 审计报告必须写明审计范围、审计目标、审计覆盖的时间跨度和所执行审计工作的性质、时间和范围。

05 报告中也应写明审计发现、审计结论、建议和信息系统审计师对该审计的任何保留意见、限制性或局限性。

06 信息系统审计师必须拥有足够的、恰当的审计证据来解释报告中的审计结果。

07 当审计报告发布时，信息系统审计师必须按审计章程或委托书上的相关条款在其上签字、签署日期并分发出去。

注释

08 审计报告的具体格式和内容随审计业务和审计项目的不同而有所不同。信息系统审计师可从事如下业务：

审计（直接或验证）

审阅（直接或验证）

协商确定的审计流程

09 当信息系统审计师被要求针对某一审计项目为监控环境出具意见，而证据表明有实质性或重大缺陷时，此信息系统审计

师绝不可给出监控机制为有效的结论。信息系统审计师的审计报告中必须叙述实质性的或重大的缺陷，和此缺陷给达到

监控标准目标的影响。

10 信息系统审计师在定稿和最终报告发布前，应该和管理层对报告草案的各方面内容进行讨论，并在任何适用情况下，于

最终发布的报告中包括管理层的评论。

11 一旦在监控环境中发现重大不足，信息系统审计师必须和审计委员会或者负责的权威机构进行交流和讨论，并在报告中

披露此重大不足已作沟通。

12 当信息系统审计师发布了单独的专项报告，最终报告中必须列明已发布的全部单项报告。

13 在某一内部监控不足却并不严重至重大不足时，信息系统审计师应该考虑和衡量是否对此与管理层进行沟通。在这样的

情况下，信息系统审计师必须与审计委员会或负责的权威机构沟通，并表明已就此内部监控不足与管理层沟通过。

14 信息系统审计师必须获取前期审计报告中的审计发现、审计结论和建议等信息，进行评估，并以此决定是否已及时采取

针对性的措施。

15 如需获得关于审计报告的进一步信息，请参考以下指南：

信息系统审计指南G20，审计报告

C OBI T框架，监控目标M4.7及M4.8

实施日期

16 此信息系统审计标准适用于所有信息系统的审计工作，于2005年1月1日起实施。

信息系统审计与控制协会2004-2005年标准管理委员会

Chair, Sergio Fleginsky, CISA PricewaterhouseCoopers, Uruguay

Svein Aldal Aldal Consulting, Norway

John Beveridge, CISA, CISM, CFE, CGFM, CQA Office of the Massachusetts State Auditor, USA

Claudio Cilli, Ph.D., CISA, CISM, CIA, CISSP Value Partners, Italy

Christina Ledesma, CISA, CISM Citibank NA Sucursal, Uruguay

Andrew MacLeod, CISA, CIA, FCPA, MACS, PCP Brisbane City Council, Australia

V. Meera, CISA, CISM, ACS, CISSP, CWA Microsoft Corporation, USA

Ravi Muthukrishnan, CISA, CISM, FCA, ISCA NextLinx India Private Ltd., India

Peter Niblett, CISA, CISM, CA, CIA, FCPA WHK Day Neilson, Australia

John G. Ott, CISA, CPA Aetna Inc., USA

Thomas Thompson, CISA Ernst & Young, UAE

© Copyright 2004

Information Systems Audit and Control Association

3701 Algonquin Road, Suite 1010

Rolling Meadows, IL 60008 USA

电话：+1.847.253.1545

传真：+1.847.253.1443

E-mail: standards@

网站：

第2页：审计报告信息系统审计标准