淺議IT信息系統審計

2014-11-08 22:26:24 大云網　點擊量：評論 (0)

一、信息系統審計的基本概念　　信息系統審計( Information Systems Audit 簡稱ISA)至今還沒有一致的定義，目前比較有代表性的定義有：　　1．信息系統審計是一個獲取并評價證據，以判斷信息系統是否能夠保證

一、信息系統審計的基本概念

　　信息系統審計( Information Systems Audit 簡稱ISA)至今還沒有一致的定義，目前比較有代表性的定義有：

　　1．“信息系統審計是一個獲取并評價證據，以判斷信息系統是否能夠保證資產的安全、數據的完整以及有效率地利用組織的資源并有效果地實現組織目標的過程”（Ron Weber, 1999）。

　　2.“為了信息系統的安全、可靠與有效，由獨立于審計對象的IT審計師，以第二方的客觀立場對以計算機為核心的信息系統進行綜合的檢查與評價，向IT審計對象的最高領導，提出問題與建議的一連串的活動”(日本通產省，1996)。

　　3.“IS審計是指對信息系統從計劃、研發、實施到運行維護各個過程進行審查與評價的活動，以審查企業信息系統是否安全、可靠、有效，保證信息系統得出準確可靠的數據”(鄧少靈，2002 ) 。

　　通過以上概念的辨析，我們可將“信息系統審計”界定為：信息系統審計是指根據公認的標準和指導規范，對信息系統及其業務應用的效能、效率、安全性進行監測、評估和控制的過程，以確認預定的業務目標得以實現。具體而言，信息系統審計就是以企業或政府等組織的信息系統為審計對象，通過現代的審計理論和IT管理理論，從信息資產的安全性、數據的完整性以及系統的可靠性、有效性和效率性等方面出發，對信息系統從開發、運行到維護的整個生命周期過程進行全面審查與評價，以確定其是否能夠有效可靠地達到組織的戰略目標，并為改善和健全組織對信息系統的控制提出建議的過程。

　　二、實行信息系統審計的必要性

　　信息技術的興起和企業對核心競爭力的追求推動了信息技術在數據處理、存貯和交換等方面的廣泛應用，信息系統已經滲透到社會生活的方方面面，它的高效和程序化給人們帶來便利與效益的同時，也帶來了很多負面影響，如計算機犯罪案件的頻頻發生等，系統安全問題日益嚴峻。信息系統審計作為一種可以確保信息系統的安全、可靠及高效運行的新的審計模式受到世界各國的普遍重視，隨著我國以“信息化帶動工業化”戰略的全面實施，國民經濟信息化被提到了前所未有的高度，加快發展我國的信息系統審計事業具有重要意義。

　　1.信息系統審計是保證信息系統質量的重要工具

　　信息系統的可靠性、安全性、有效性和效率成為制約信息系統質量的重要因素，通過信息系統審計可以查出系統潛在的軟件、硬件和數據資源安全隱患，并利用當前先進的技術進行防范或改進。首先，信息系統的可靠性需要信息系統審計；其次，信息系統的安全性需要信息系統審計；再次，信息系統的有效性需要信息系統審計；最后，信息系統的效率審計是信息系統質量的重要保證。

　　2.信息系統審計是企業信息化發展的必然要求

　　計算機在企業管理中的應用使得會計信息的處理逐步電算化，促使信息系統審計的雛形一一電子數據處理審計(EDP審計)的產生及EDP審計師協會（EDPAA)的成立。指導信息系統審計的組織從傳統的審計機關和組織發展成為專業的信息系統審計組織；信息系統審計的內容、依據、準則等也隨著信息技術和信息系統的發展而不斷發展和完善，由此可看出信息系統審計是企業信息化發展的必然要求。

　　3.信息化建設的效益需要信息系統審計

　　有資料研究表明，我國企業每年IT投入近萬億元，每年僅在ERP項目上的投資就超過80億元;我國電子商務市場規模也從2000年的87. 3億美元增長到2004年的546. 3億美元；中國電子政務建設的市場規模大約在1800-2000億元之間。如此大規模的信息化建設，一旦由于缺乏審計，缺乏對權利的有效制約，將不可避免地出現投資自目、輕率決策等問題，因此，在信息系統風險客觀存在的情況下，在信息系統建設過程中對其進行風險審計和控制就顯得尤為重要。

　　4.信息系統審計有利于維護信息時代的市場經濟秩序

　　在網絡經濟環境中，信息系統審計師能夠以在線、實時的信息為基礎提供實時鑒證服務并滿足投資公眾對決策有用信息的訪問需要，這對保護公眾利益和保護資本市場的有序發展是非常有意義的。可見，信息系統審計工作有利于降低風險并維護信息時代的市場經濟秩序。

　　三、信息系統審計的主要內容

　　信息系統的審計內容主要包括對系統開發過程審計、會計信息系統內部控制的評價與審計、系統應用程序審計及系統數據文件審計四個部分。

　　1.信息系統開發過程審計

　　信息系統的開發是一項系統工程，主要包括系統分析、系統設計、系統實施及系統運行與維護等。系統開發過程審計也就是指審計人員對會計信息系統開發過程中的各項活動進行的審核與評價，它通過對系統開發的全過程及結果是否符合內部控制、相關法規政策、開發規程以及形成的文件是否符合有關標準等方面的審計，達到保證系統的可靠性、效率性、可維護性，內部控制的適當性，運行結果的正確性、完整性及提高系統的可審性的目的。系統開發過程審計的重點是在復核設計階段應考慮的各項控制問題，并就如何強化內部控制，適時提出意見，供系統分析、設計人員參考。

　　2.信息系統內部控制的評價

　　根據控制實施的范圍不同，信息系統的內部控制包括一般控制和應用控制兩部分。信息系統一般控制是指與多個應用系統有關的政策和程序，有助十保證會計信息系統持續恰當地運行(包括信息的完整性和數據的安全性)，支持應用控制作用的有效發揮，通常包括數據中心和網絡運行控制，系統軟件的購置、修改及維護控制，接觸或訪問權限控制，應用系統的購置、開發及維護控制。應用控制是指對會計信息系統中具體的數據處理功能的控制，是為適合各種數據處理的特殊控制要求，保證數據處理能完整、準確地完成而建立的內部控制。

　　3.信息系統應用程序審計

　　信息系統的核心就是程序編碼，程序質量的高低，直接決定了信息系統整體水平的高低。因此，應用程序的審計是信息系統審計的重要內容，也是信息系統審計中最困難的任務之一。實踐證明，程序是差錯與舞弊最容易發生的地方，只有對應用程序進行審計，才能對系統的正確性、可靠性等作出公正的評價。應用程序審計的內容主要包括:審查程序內部控制的健全性和有效性，程序的合法性，對數據處理和控制的及時性、正確性和可靠性，以及程序的糾錯能力和容錯能力。

　　4.信息系統數據文件審計

　　要對會計信息系統輸出信息的真實性、正確性、合法性等進行評價，必須對數據文件進行審計。數據文件審計包括對打印輸出的數據文件的審計和存貯在磁性介質上的數據文件的審計。數據文件審計的內容包括兩個方面，一是審查數據文件的一般控制和應用控制的健全性和有效性，二是審查數據文件內容的真實性與正確性。

　　需要進一步說明的是，信息系統也可以采用雙重目的測試，即符合性測試和實質性測試同時進行，許多審計方法如同用審計軟件法等，即可用于符合性測試，又可用于實質性測試。

　　三、信息系統審計的常用方法

　　由于信息系統的復雜性，信息系統審計與傳統的財務審計在審計對象、目標與方法上存在很大的不同，當然在執行信息系統審計時傳統財務審計的某些方法依然適用，例如可以通過面談法和問卷調查法了解被審計信息系統的基本情況及內部控制的總體情況。但信息系統審計主要是利用計算機輔助審計技術和工具進行，在信息系統審計工作中常用的計算機輔助審計技術有:

　　(一)測試數據法

　　測試數據法是指由審計人員將預先設計好的測試數據(包括正常的、有效的業務數據和不正常的、無效的業務數據)輸入被測試程序加以處理，并將處理結果與事先計算的結果進行對比分析，從而驗證有關應用程序處理邏輯和控制的有效性、可靠性和完整性的方法。 (二)綜合測試工具法

　　綜合測試工具是應用程序在系統的開發過程中設計的一個或多個模塊，它的原理是在應用系統中嵌入ITF模塊處理審計測試數據，然后將測試結果與預期結果進行對照分析，從而核實處理過程的真實性、正確性和完整性，它能夠使審計人員在應用程序的正常操作過程中測試程序的內部邏輯和控制。

　　(三)系統控制審計評審文件法

　　系統控制審計評審文件法也稱為嵌入審計程序法，是指預先在應用系統的重要控制點上嵌入審計軟件對系統中的事務進行連續監控，收集有關系統事務及其處理的重要信息，并存放在一個特殊的審計文件一一SCARF主文件中，審計人員通過審查該文件提取審計證據從而判斷被審計程序的處理和控制功能的可靠性。

　　(四)快拍技術

　　快拍技術也稱為程序追蹤法，是指在應用系統中的重要處理點嵌入可以“拍照”的審計程序，當事務流經應用系統時嵌入式審計軟件可以“捕獲”事務的前映像和后映像，通過檢驗前映像和后映像及其轉換情況，據以評價應用系統事務處理的真實性、正確性和完整性。快拍技術一般可用來測試被審計程序的控制功能執行情況或檢查程序的正確性，但嵌入審計程序段的位置可能影響被審計單位正常業務的執行效率。

　　(五)平行模擬法

　　平行模擬法就是由審計人員編寫一個具有被審程序的關鍵特征和相同處理控制功能的模擬程序，用它來重新處理以前已經由被審計程序處理過的各種交易，并將從模擬審計程序中獲得的處理結果與原始程序的結果進行比較，從而評價被審計程序是否可靠的方法。平行模擬法能有效地檢查出舞弊編碼，但需要審計人員編寫設計一套模擬程序，因此成本較高并且要求審計人員具有較高的計算機專業知識和技能。

　　當前，我國的信息系統審計還處于探索階段，缺乏專業的技術人員和相關的審計工具，有關信息系統審計的法規、準則還沒有形成健全的體系，各個方面與西方發達國家都有一定的差距。國家相關部門應該在這些方面建立完善的體系，同時，審計人員也應該勤于專研，掌握信息系統審計的方法和技巧，為推進我國信息系統審計的發展做出應有的貢獻.