审计1讲课讲稿

IT审计信息系统（IT）审计是指根据公认的标准和指导规范对信息系统及其业务应用的效能、效率、安全性进行监测、评估和控制的过程，以确认预定的业务目标得以实现。

按照科学的、符合实际的决策原则，一项信息系统要经历规划阶段、实施阶段以及运行维护阶段的审计。

审计不仅是项目完成时验收的需要，而且在信息系统运行、维护过程中更为重要，因为任何一项信息系统不可能在规划和实施阶段就十全十美，又一成不变。

这就要求定期或不定期地进行审计，发现问题，解决问题，以适应新的环境变化和业务需求。

信息系统审计的目的是保证信息化过程每个环节经常处在可控之中。

2、IT审计的历史和发展IT审计的出处源自60年代IBM出版的《Audit encounters Electronic Data Processing》等有关在EDI环境下进行审核和组织的论述。

不久后有关该方面的研究结果不断涌现，IT审计的雏形初步形成。

但是由于信息系统在社会上尚未得到较为广泛的应用，因此IT审计并未在社会上形成意识。

七十年代中后期到八十年代初由于计算机在发达国家的企业初步普及，利用计算机犯罪和计算机系统失效的事件频频出现，使得IT审计日益得到社会重视，美国、日本先后成立了IT审计方面的协会组织。

从事对IT审计规则的制定和实施指导。

值得注意的是1985年日本政府出台了《IT审计标准》并根据美国劳工部的《Skill Start》和Northwest Center for Emerging Technologies（NCET）对IT信息人员的从业技能的要求制订了IT审计师（系统监查员）的技能标准并以之作为新的"IT审计师（系统监查员）"级考试的参考标准。

九十年代是IT审计的普及期，这主要归功于互联网的普及。

互联网的普及是利用计算机犯罪的人员温床，此外日益严重的软件项目失败问题引发了是否要对信息系统的投资和开发进行审计的深思。

IT审计得到了前所未有的重视。

3，审计的发展前景当前，我国信息化事业已发展到一个新的阶段。

各级政府正在推进“电子政务”，并认真落实“以信息化带动工业化”的战略。

广大企业也开始着手整合与升级各自的信息化应用系统。

可以预计，全国将有更多、更大的信息系统上马。

但是，据我们了解，在信息化推进过程中，至今不同程度上存在着一些问题，主要表现在规划制定不够深思熟虑；项目管理不够严格；系统运行效益不够明显。

导致相当一部分信息化项目失败，浪费了大量资源。

究其根源是相当普遍地对信息化风险认识不足，规避风险的措施不力。

中央领导同志在国家信息化领导小组会议中特别强调：信息化一定要讲求效益，不能搞花架子。

我们认为，建立并逐步完善我国信息系统审计制度是落实上级会议精神的一项重要措施。

为了在我国培育一支高素质的信息系统审计师专业队伍，也为了普及有关信息系统审计的知识，电子工业出版社组织专家出版本书是有现实意义的。

这是国内第一本有关IT 审计的书籍，本书将指导IT审计人员系统准确地把握IT审计的思想，正确有效地运用IT 审计的方法与技术。

本书可作为IT审计师的培训教材，也可作为信息系统主管的参考手册，希望读者从此书能获取更多的有益知识。

也希望本书的出版为我国健全地进入信息化社会起到促进与保障作用。

4，审计的实施1．审计计划阶段计划阶段是整个审计过程的起点。

其主要工作包括：（1）了解被审系统基本情况了解被审系统基本情况是实施任何信息系统审计的必经程序，对基本情况的了解有助于审计组织对系统的组成、环境、运行年限、控制等有初步印象，以决定是否对该系统进行审计，明确审计的难度，所需时间以及人员配备情况等。

了解了基本情况，审计组织就可以大致判断系统的复杂性、管理层对审计的态度、内部控制的状况、以前审计的状况、审计难点与重点，以决定是否对其进行审计。

（2）初步评价被审单位系统的内部控制及外部控制传统的内部控制制度是为防止舞弊和差错而形成的以内部稽核和相互牵制为核心的工作制度。

随着信息技术特别是以Internet为代表的网络技术的发展和应用，企业信息系统进一步向深层次发展，这些变革无疑给企业带来了巨大的效益，但同时也给内部控制带来了新的问题和挑战。

加强内部控制制度是信息系统安全可靠运行的有力保证。

依据控制对象的范围和环境，信息系统内控制度的审计内容包括一般控制和应用控制两类。

一般控制是系统运行环境方而的控制，指对信息系统构成要素(人、机器、文件)的控制。

它已为应用程序的正常运行提供外围保障，影响到计算机应用的成败及应用控制的强弱。

主要包括：组织控制、操作控制、硬件及系统软件控制和系统安全控制。

应用控制是对信息系统中具体的数据处理活动所进行的控制，是具体的应用系统中用来预测、检测和更正错误和处置不法行为的控制措施，信息系统的应用控制主要体现在输入控制、处理控制和输出控制。

应用控制具有特殊性，不同的应用系统有着不同的处理方式和处理环节，因而有着不同的控制问题和不同的控制要求，但是一般可把它划分为：输入控制、处理控制和输出控制。

通过对信息系统组织机构控制，系统开发与维护控制，安全性控制，硬件、软件资源控制，输入控制，处理控制，输出控制等方而的审计分析，建立内部控制强弱评价的指标系统及评价模型，审计人员通过交互式人机对话，输入各评价指标的评分，内控制审计评价系统则可以进行多级综合审计评价。

通过内控制度的审计，实现对系统的预防性控制，检测性控制和纠正性控制。

（3）识别重要性为了有效实现审计目标，合理使用审计资源，在制定审计计划时，信息系统审计人员应对系统重要性进行适当评估。

对重要性的评估一般需要运用专业判断。

考虑重要性水平时要根据审计人员的职业判断或公用标准，系统的服务对象及业务性质，内控的初评结果。

重要性的判断离不开特定环境，审计人员必须根据具体的信息系统环境确定重要性。

重要性具有数量和质量两个方面的特征。

越是重要的子系统，就越需要获取充分的审计证据，以支持审计结论或意见。

（4）编制审计计划经过以上程序，为编制审计计划提供了良好准备，审计人员就可以据以编制总体及具体审计计划。

总体计划包括：被审单位基本情况；审计目的、审计范围及策略；重要问题及重要审计领域；工作进度及时间；审计小组成员分工；重要性确定及风险评估等。

具体计划包括：具体审计目标；审计程序；执行人员及时间限制等。

2．审计实施阶段做好上诉材料的充分的准备，便可进行审计实施，具体包括以下内容：（1）对信息系统计划开发阶段的审计对信息系统计划开发阶段的审计包括对计划的审计和对开发的审计，可以采用事中审计，也可以是事后审计。

比较而言事中审计更有意义，审计结果的得出利于故障、问题的及早发现，利于调整计划，利于开发顺序的改进。

信息系统计划阶段的关键控制点有：计划是否有明确的目的，计划中是否明确描述了系统的效果，是否明确了系统开发的组织，对整体计划进程是否正确预计，计划能否随经营环境改变而及时修正，计划是否制定有可行性报告，关于计划的过程和结果是否有文档记录等等。

系统开发阶段包括系统分析、系统设计、代码编写和系统测试三部分。

其中涉及包括功能需求分析、业务数据分析、总体框架设计、结构设计、代码设计、数据库设计、输入输出设计、处理流程及模块功能的设计。

编程时依据系统设计阶段的设计图及数据库结构和编码设计，用计算机程序语言来实现系统的过程。

测试包括动态测试和静态测试，是系统开发完毕，进入试运行之前的必经程序。

其关键控制点有:分析控制点：是否己细致分析企业组织结构；是否确定用户功能和性能需求；是否确定用户的数据需求等。

设计控制点：设计界面是否方便用户使用；设计是否与业务内容相符；性能能否满足需要，是否考虑故障对策和安全保护等。

编程控制点：是否有程序说明书，并按照说明书进行编写；编程与设计是否相符，有无违背编程原则；程序作者是否进行自测；是否有程序作者之外的第三人进行测试;编程的书写、变量的命名等是否规范。

测试控制点：测试数据的选取是否按计划及需要进行，是否具有代表性；测试是否站在公正客观的立场进行，是否有用户参与测试；测试结果是否正确记录等。

（2）对信息系统运行维护阶段的审计对信息系统运行维护阶段的审计又细分为对运行阶段的审计和对维护阶段的审计。

系统运行过程的审计是在信息系统正式运行阶段，针对信息系统是否被正确操作和是否有效地运行，从而真正实现信息系统的开发目标、满足用户需求而进行的审计。

对信息系统运行过程的审计分为系统输入审计、通信系统审计、处理过程审计、数据库审计、系统输出审计和运行管理审计六大部分。

输入审计的关键控制点有：是否制定并遵守输入管理规则，是否有数据生成顺序、处理等的防错、保护措施、防错、保护措施是否有效等。

通信系统实施的是实际数据的传输，通信系统中，审计轨迹应记录输入的数据、传送的数据和工作的通信系统。

通信系统审计的关键控制点有：是否制定并遵守通信规则，对网络存取控制及监控是否有效等。

处理过程指处理器在接收到输入的数据后对数据进行加工处理的过程，此时的审计主要针对数据输入系统后是否被正确处理。

关键控制点有：被处理的数据，数据处理器，数据处理时间，数据处理后的结果，数据处理实现的目的，系统处理的差错率，平均无故障时间，可恢复性和平均恢复时间等。

数据库审计是保障数据库正确行使了其职能，如对数据操作的有效性和发生异常操作时对数据的保护功能(正确数据不丢失，数据回滚以保证数据的一致性)。

其关键控制点有：对数据的存取控制及监视是否有效，是否记录数据利用状况，并定期分析，是否考虑数据的保护功能，是否有防错、保密功能，防错、保密功能是否有效等。

输出审计不同于测试阶段的输出审计，此时的输出是在实际数据的基础上进行的，对其进行审计可以对系统输出进行再控制，结合用户需求进行评价。

关键控制点有：输出信息的获取及处理时是否有防止不正当行为和机密保护措施，输出信息是否准确、及时，输出信息的形式是否被客户所接受，是否记录输出出错情况并定期分析等。

运行管理审计是对人机系统中人的行为的审计。

关键控制点有：操作顺序是否标准化，作业进度是否有优先级，操作是否按标准进行，人员交替是否规范，能否对预计于实际运行的差异进行分析，遇问题时能否相互沟通，是否有经常性培训与教育等。

维护过程的审计包括对维护计划、维护实施、改良系统的试运行和旧系统的废除等维护活动的审计。

维护过程的关键控制点有：维护组织的规模是否适应需要，人员分工是否明确，是否有一套管理机制和协调机制，维护过程发现的可改进点，维护是否得到维护负责人同意，是否对发现问题作了修正，维护记录是否有文档记载，是否定期分析，旧系统的废除是否在授权下进行等。

3．审计完成阶段完成阶段是实质性的整个信息系统审计工作的结束，主要工作有:整理、评价执行审计业务过程中收集到的证据。