會計信息系統(tǒng)-ERP基礎(chǔ)第09章計算機(jī)審計與信息系統(tǒng)審計

1、第九章 計算機(jī)審計與信息系統(tǒng)審計 目 錄引例 與導(dǎo)入32.計算機(jī)審計技術(shù)43教學(xué)目標(biāo)321.計算機(jī)審計概述總結(jié)與習(xí)題43.信息系統(tǒng)審計4.信息系統(tǒng)審計實施5.信息系統(tǒng)審計技術(shù)教學(xué)目標(biāo)3計算機(jī)審計的概念、內(nèi)容，特點(diǎn)計算機(jī)審計技術(shù)和方法信息系統(tǒng)審計的概念、內(nèi)容、特點(diǎn)目的：計算機(jī)輔助審計與IT審計？信息系統(tǒng)審計實施的原則、內(nèi)容、計劃和技術(shù)引例4學(xué)習(xí)本章回答：信息技術(shù)對審計影響？如何應(yīng)對？信息化時代的審計 隨著會計信息化的不斷深入，審計信息化也逐步發(fā)展起來。審計信息化包含兩方面內(nèi)容:一是指審計人員利用計算機(jī)對被審計單位的經(jīng)濟(jì)活動進(jìn)行審計，一般稱為計算機(jī)審計;二是指審計人員對被審計單位的計算機(jī)信息系統(tǒng)進(jìn)

2、行審查并發(fā)表意見，一般稱為信息系統(tǒng)審計。這兩方面既有區(qū)別又有聯(lián)系，本章我們對這兩方面進(jìn)行深入討論。 1.計算機(jī)審計概述51.計算機(jī)審計概述6計算機(jī)審計的概念定義: 計算機(jī)審計(computer audit)，也稱計算機(jī)輔助審計(computer-assisted audit)，是指在信息技術(shù)環(huán)境下，審計人員以計算機(jī)為工具，對被審計單位的會計報表的合法性、公允性及會計處理方法運(yùn)用的一貫性進(jìn)行審查、評價并發(fā)表意見，即是一種以計算機(jī)為先進(jìn)的審計工具來執(zhí)行經(jīng)濟(jì)監(jiān)督、鑒證和評價職能的審計方式。 。1.計算機(jī)審計概述7計算機(jī)審計的內(nèi)容 計算機(jī)輔助審計包含兩個層次的內(nèi)容： 首先，計算機(jī)輔助審計是指在審計業(yè)務(wù)

3、中利用Excel等電子表格軟件中的一些功能，或VBA程序，幫助審計人員計算、復(fù)算、復(fù)核、分析審計數(shù)據(jù)，主要目的是提升審計效率、增加準(zhǔn)確性。 其次，計算機(jī)輔助審計是指利用專門的輔助審計軟件進(jìn)行項目審計。這個層次也有兩種類型：通用審計軟件和專用審計軟件。1.計算機(jī)審計概述8計算機(jī)審計的對象和范圍計算機(jī)審計的主要內(nèi)容應(yīng)該是:被審計單位的財務(wù)收支及有關(guān)的經(jīng)營管理活動;被審計單位的各種作為提供財務(wù)收支及有關(guān)經(jīng)營管理活動信息載體的會計資料及相關(guān)資料;被審計單位的信息技術(shù)環(huán)境。1.計算機(jī)審計概述9計算機(jī)審計的對象和范圍審計的內(nèi)容2.計算機(jī)審計技術(shù)102.計算機(jī)審計技術(shù)審計電算化技術(shù)(1)審計管理計算機(jī)化技術(shù)

4、。審計是一件復(fù)雜的工作，應(yīng)建立必要的審計管理數(shù)據(jù)和管理軟件，為審計管理決策提供各項管理決策信息。(2)內(nèi)部控制制度的評價測試技術(shù)。計算機(jī)輔助內(nèi)部控制的審查和評價主要內(nèi)容。系統(tǒng)內(nèi)的部門和人員是否實施職責(zé)分離和監(jiān)督情況；系統(tǒng)業(yè)務(wù)流程，針對企業(yè)的實際情況按照采購、銷售、費(fèi)用等主要的業(yè)務(wù)流程進(jìn)行調(diào)研，所涉及流程操作的關(guān)鍵節(jié)點(diǎn)，流程圖、風(fēng)險控制矩陣；信息系統(tǒng)、應(yīng)用系統(tǒng)、系統(tǒng)文檔、數(shù)據(jù)文件和軟件拷貝、維護(hù)必要的控制制度。(3)數(shù)據(jù)庫或數(shù)據(jù)文件的審計技術(shù)。計算機(jī)審計人員可利用這些技術(shù)獲取所需的審計證據(jù)，并對這些證據(jù)進(jìn)行評價，從而判斷數(shù)據(jù)是否真實、可靠、完備、合法、合規(guī)。(4)應(yīng)用軟件的審計技術(shù)對用戶的應(yīng)用軟

5、件的審計，軟件質(zhì)量的好壞直接影響數(shù)據(jù)的安全性和完整性。這項審計也是計算機(jī)審計中最難的，需要有較熟練的計算機(jī)軟件開發(fā)維護(hù)以及編程技術(shù)。 2.計算機(jī)審計技術(shù)計算機(jī)審計步驟2.計算機(jī)審計技術(shù)審計軟件審計軟件是指用于審查電算化系統(tǒng)或利用計算機(jī)輔助審計而編寫的各種計算機(jī)程序。廣義上講，審計軟件是指用于幫助完成審計工作的各種軟件工具。審計軟件可分為4種類型：現(xiàn)場作業(yè)軟件、法規(guī)軟件、專用審計軟件、審計管理軟件。 2.計算機(jī)審計技術(shù)審計軟件審計軟件的主要代表是審計作業(yè)軟件審計作業(yè)軟件的主要功能為：會計數(shù)據(jù)的處理，審計方法的運(yùn)用，工作底稿的制作平臺。2.計算機(jī)審計技術(shù)數(shù)據(jù)式審計 數(shù)據(jù)式審計是以被審計單位底層數(shù)據(jù)

6、庫原始數(shù)據(jù)為切入點(diǎn)，在對信息系統(tǒng)內(nèi)部控制測評的基礎(chǔ)上，通過對底層數(shù)據(jù)的采集、轉(zhuǎn)換、整理、分析和驗證，形成審計中間表，并且運(yùn)用查詢分析、多維分析、數(shù)據(jù)挖掘等多種技術(shù)方法構(gòu)建模型進(jìn)行數(shù)據(jù)分析，發(fā)現(xiàn)趨勢、異常和錯誤，把握總體、突出重點(diǎn)、精確延伸，從而收集審計證據(jù)，實現(xiàn)審計目標(biāo)的審計方式。數(shù)據(jù)式審計的特點(diǎn)如下：(1)審計對象從賬目系統(tǒng)變成了電子數(shù)據(jù)(2)擴(kuò)大了審計范圍和審計內(nèi)容(3)審計方法從查賬變成了數(shù)據(jù)分析(4)采用新型的審計技術(shù)2.計算機(jī)審計技術(shù)數(shù)據(jù)式審計2）數(shù)據(jù)式審計的關(guān)鍵技術(shù)(1)聯(lián)機(jī)分析處理(2)數(shù)據(jù)挖掘?qū)徲嫻ぷ髦械某Ｓ脭?shù)據(jù)挖掘技術(shù)分析方法主要有：數(shù)據(jù)概化1。數(shù)據(jù)庫中通常存放著大量的細(xì)節(jié)數(shù)

7、據(jù)，通過數(shù)據(jù)概化可將大量與任務(wù)相關(guān)的數(shù)據(jù)集從較低的概念層抽象到較高的概念層。通過該方法，審計人員可從不同角度、不同層次上了解某類數(shù)據(jù)的概貌，從而為其判斷提供依據(jù)。聚類分析。聚類分析是將數(shù)據(jù)分組成多個類或簇，同一個簇中的對象之間具有較高的相似度。關(guān)聯(lián)分析。通過利用關(guān)聯(lián)規(guī)則可以從操作數(shù)據(jù)庫的所有細(xì)節(jié)或事務(wù)中抽取頻繁出現(xiàn)的模式，其目的是挖掘隱藏在數(shù)據(jù)間的相互關(guān)系。 2.計算機(jī)審計技術(shù)數(shù)據(jù)式審計3）數(shù)據(jù)式審計與信息系統(tǒng)審計的區(qū)別首先，信息系統(tǒng)的審計對象是信息系統(tǒng)，包括基礎(chǔ)設(shè)施、軟硬件管理、信息安全、網(wǎng)絡(luò)管理和通信等，主要關(guān)注系統(tǒng)的運(yùn)行現(xiàn)狀，在某種情況下，直接參與項目的開發(fā)或變更過程，以保證足夠的控制得

8、以順利實施。其次，數(shù)據(jù)式審計側(cè)重于數(shù)據(jù)之間的關(guān)聯(lián)，主要審計數(shù)據(jù)的結(jié)果，而信息系統(tǒng)審計主要關(guān)注數(shù)據(jù)的真實完整性，通過測試數(shù)據(jù)的真實性、完整性來審計系統(tǒng)的安全性、可靠性。數(shù)據(jù)式審計模式是一種全新的審計模式。審計人員應(yīng)加強(qiáng)對被審計單位系統(tǒng)內(nèi)部控制環(huán)境和財務(wù)數(shù)據(jù)的了解，利用數(shù)據(jù)式審計創(chuàng)新的技術(shù)和方法實施以適應(yīng)信息時代的發(fā)展。2.計算機(jī)審計技術(shù)大數(shù)據(jù)與審計2）大數(shù)據(jù)的審計應(yīng)用（1）挖掘分析挖掘分析是利用數(shù)據(jù)倉庫和數(shù)據(jù)挖掘工具進(jìn)行的審計分析，主要有分類分析、聚類分析、異常分析、演化分析等方法。分類分析就是通過訓(xùn)練集中的數(shù)據(jù)，為每個類別建立分類分析模型，然后用這個分類分析模型對數(shù)據(jù)庫中的其他記錄進(jìn)行分類。聚

9、類分析是將數(shù)據(jù)分成由類似的對象組成的多個類的過程，由聚類所生成的簇是一組數(shù)據(jù)對象的集合，這些對象與同一個簇中的對象彼此相似，與其他簇中的對象相異。異常就是一個數(shù)據(jù)集中往往包含一些特別的數(shù)據(jù)，其行為和模式與一般的數(shù)據(jù)不同，這些數(shù)據(jù)就被稱為異常，異常就是我們所謂的疑點(diǎn)。演化分析是基于數(shù)據(jù)的類似性和規(guī)律性，對數(shù)據(jù)記錄隨時間變化的發(fā)展趨勢進(jìn)行推斷。（2）統(tǒng)計方法審計可以運(yùn)用統(tǒng)計學(xué)的思想和方法，使用統(tǒng)計分析軟件，解決審計數(shù)據(jù)分析問題。針對審計數(shù)據(jù)，運(yùn)用回歸分析等統(tǒng)計方法，分析數(shù)據(jù)關(guān)系，發(fā)現(xiàn)規(guī)律。運(yùn)用關(guān)聯(lián)分析，找出數(shù)據(jù)間的相互聯(lián)系，分析關(guān)聯(lián)規(guī)則，發(fā)現(xiàn)異常聯(lián)系和異常數(shù)據(jù)，尋找審計疑點(diǎn)。分析數(shù)據(jù)中的離散點(diǎn)，發(fā)

10、現(xiàn)偏差數(shù)據(jù)，作為審計重點(diǎn)進(jìn)行分析。2.計算機(jī)審計技術(shù)大數(shù)據(jù)與審計（3）云計算技術(shù)云計算(cloud computing)是分布式計算(distributed computing)、并行計算(parallel computing)、效用計算(utility computing)、網(wǎng)絡(luò)存儲(network storage technologies)、虛擬化(virtualization)、負(fù)載均衡(load balance)、熱備份冗余(high available)等傳統(tǒng)計算機(jī)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物。從技術(shù)上看，大數(shù)據(jù)與云計算密不可分。局部審計機(jī)關(guān)構(gòu)建自己的審計數(shù)據(jù)中心或分中心，分布相對比較分

11、散。要利用云計算技術(shù)將這些分散的計算資源進(jìn)行整合，互聯(lián)互通，將會大大提高計算機(jī)系統(tǒng)的存儲能力和計算能力，以便向外提供統(tǒng)一的數(shù)據(jù)查詢服務(wù)和計算服務(wù)，不斷提升審計數(shù)據(jù)分析的效率。3.信息系統(tǒng)審計203.信息系統(tǒng)審計21信息系統(tǒng)審計的必要性信息系統(tǒng)確實為企業(yè)的經(jīng)營管理帶來了許多便利。然而，信息系統(tǒng)又有許多脆弱的方面:信息系統(tǒng)的安全可能沒有得到足夠的保證。如對人員接觸缺乏控制，對外來入侵者或病毒缺乏控制等，都會給企業(yè)帶來很大損失。信息系統(tǒng)的數(shù)據(jù)處理可能不合邏輯。這種情況在某些應(yīng)用系統(tǒng)中經(jīng)常出現(xiàn)，原因在于系統(tǒng)開發(fā)人員大多并非業(yè)務(wù)人員，對業(yè)務(wù)難以全面、準(zhǔn)確地理解，導(dǎo)致開發(fā)出的信息系統(tǒng)不能準(zhǔn)確地提供反映業(yè)務(wù)

12、實際情況的信息，從而導(dǎo)致管理或決策的失誤。信息系統(tǒng)的可靠性可能得不到很好的保證。信息系統(tǒng)在運(yùn)行過程中可能會出現(xiàn)多種故障，如計算機(jī)硬件故障，計算機(jī)軟件故障，操作失誤等。如果這些故障不能及時發(fā)現(xiàn)并排除，就會影響企業(yè)日常業(yè)務(wù)。信息系統(tǒng)需要較高的資金投入，如果資金使用不當(dāng)會產(chǎn)生很高的成本，反而降低了企業(yè)的效益。信息系統(tǒng)經(jīng)常遭遇舞弊行為，而且舞弊手法多樣而隱蔽，有時造成的損失令人驚訝。3.信息系統(tǒng)審計22信息系統(tǒng)審計的概念 信息系統(tǒng)審計是指審計人員接受委托或授權(quán),收集證據(jù)并評估證據(jù)以判斷一個計算機(jī)系統(tǒng)(信息系統(tǒng))是否做到有效保護(hù)資產(chǎn)、維護(hù)數(shù)據(jù)完整并最有效率地完成組織目標(biāo)的活動過程。它既包括信息系統(tǒng)外部審

13、計的目標(biāo),即對信息系統(tǒng)安全性及數(shù)據(jù)完整性的鑒證,又包含內(nèi)部審計的管理目標(biāo),即對信息系統(tǒng)有效性的鑒證。3.信息系統(tǒng)審計23信息系統(tǒng)審計的目標(biāo) 審計目標(biāo)是指審計主體通過審計實踐活動所期望達(dá)到的境地或最終結(jié)果，或者說是審計活動的目的和要求。信息系統(tǒng)審計的目的是通過實施信息系統(tǒng)審計工作，對組織是否實現(xiàn)信息技術(shù)管理目標(biāo)進(jìn)行審查和評價，并基于評價意見提出管理建議，協(xié)助組織信息技術(shù)管理人員有效地履行職責(zé)。組織的信息技術(shù)管理目標(biāo)主要包括：保證組織的信息技術(shù)戰(zhàn)略充分反映組織的戰(zhàn)略目標(biāo)；提高組織所依賴的信息系統(tǒng)的可靠性、穩(wěn)定性、安全性及數(shù)據(jù)處理的完整性和準(zhǔn)確性；提高信息系統(tǒng)運(yùn)行的效果與效率，合理保證信息系統(tǒng)的運(yùn)行

14、符合法律法規(guī)以及相關(guān)監(jiān)管要求。3.信息系統(tǒng)審計24信息系統(tǒng)審計的特點(diǎn)信息系統(tǒng)審計是審計工作的一個新領(lǐng)域，它以計算機(jī)信息系統(tǒng)為審計對象，這就決定了信息系統(tǒng)審計具有如下一些突出特點(diǎn)：1）信息系統(tǒng)審計具有較強(qiáng)的技術(shù)性2）信息系統(tǒng)審計工作具有一定的復(fù)雜性3）信息系統(tǒng)審計的取證具有動態(tài)性4.信息系統(tǒng)審計實施254.信息系統(tǒng)審計實施26信息系統(tǒng)審計原則信息系統(tǒng)審計實施應(yīng)遵循以下原則：(1)組織中信息技術(shù)管理人員的責(zé)任是進(jìn)行信息系統(tǒng)的開發(fā)、運(yùn)行和維護(hù)，以及與信息技術(shù)相關(guān)的內(nèi)部控制的設(shè)計、執(zhí)行和監(jiān)控；信息系統(tǒng)審計人員的責(zé)任是實施信息系統(tǒng)審計工作并出具審計報告。(2)從事信息系統(tǒng)審計的內(nèi)部審計人員應(yīng)當(dāng)具備必要的

15、信息技術(shù)及信息系統(tǒng)審計專業(yè)知識、技能和經(jīng)驗。必要時，實施信息系統(tǒng)審計可以利用外部專家服務(wù)。(3)信息系統(tǒng)審計可以作為獨(dú)立的審計項目組織實施，也可以作為綜合性內(nèi)部審計項目的組成部分實施。(4)當(dāng)信息系統(tǒng)審計作為綜合性內(nèi)部審計項目的一部分時，信息系統(tǒng)審計人員應(yīng)當(dāng)及時與其他相關(guān)內(nèi)部審計人員溝通信息系統(tǒng)審計中的發(fā)現(xiàn)，并考慮依據(jù)審計結(jié)果調(diào)整其他相關(guān)審計的范圍、時間及性質(zhì)。(5)內(nèi)部審計人員應(yīng)當(dāng)采用以風(fēng)險為基礎(chǔ)的審計方法進(jìn)行信息系統(tǒng)審計，風(fēng)險評估應(yīng)當(dāng)貫穿于信息系統(tǒng)審計的全過程。4.信息系統(tǒng)審計實施27信息系統(tǒng)審計的內(nèi)容信息系統(tǒng)審計主要是對組織層面信息技術(shù)控制、信息技術(shù)一般性控制及業(yè)務(wù)流程層面相關(guān)應(yīng)用控制的

16、審查和評價。1）信息技術(shù)控制信息技術(shù)內(nèi)部控制的各個層面均包括人工控制、自動控制和人工、自動相結(jié)合的控制形式，內(nèi)部審計人員應(yīng)當(dāng)根據(jù)不同的控制形式采取恰當(dāng)?shù)膶徲嫵绦?。組織層面信息技術(shù)控制，是指董事會或者最高管理層對信息技術(shù)治理職能及內(nèi)部控制的重要性的態(tài)度、認(rèn)識和措施。內(nèi)部審計人員應(yīng)當(dāng)考慮下列控制要素中與信息技術(shù)相關(guān)的內(nèi)容：(1)控制環(huán)境。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的信息技術(shù)戰(zhàn)略規(guī)劃對業(yè)務(wù)戰(zhàn)略規(guī)劃的契合度、信息技術(shù)治理制度體系的建設(shè)、信息技術(shù)部門的組織結(jié)構(gòu)和關(guān)系、信息技術(shù)治理相關(guān)職權(quán)與責(zé)任的分配、信息技術(shù)人力資源管理、對用戶的信息技術(shù)教育和培訓(xùn)等方面。(2)風(fēng)險評估。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的風(fēng)險評估

17、的總體架構(gòu)中信息技術(shù)風(fēng)險管理的框架、流程和執(zhí)行情況，信息資產(chǎn)的分類以及信息資產(chǎn)所有者的職責(zé)等方面。(3)信息與溝通。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的信息系統(tǒng)架構(gòu)及其對財務(wù)、業(yè)務(wù)流程的支持度、董事會或者最高管理層的信息溝通模式、信息技術(shù)政策/信息安全制度的傳達(dá)與溝通等方面。(4)內(nèi)部監(jiān)督。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的監(jiān)控管理報告系統(tǒng)、監(jiān)控反饋、跟蹤處理程序以及組織對信息技術(shù)內(nèi)部控制的自我評估機(jī)制等方面。2）信息技術(shù)一般性控制信息技術(shù)一般性控制是指與網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)及其相關(guān)人員有關(guān)的信息技術(shù)政策和措施，以確保信息系統(tǒng)持續(xù)穩(wěn)定的運(yùn)行，支持應(yīng)用控制的有效性。對信息技術(shù)一般性控制的審計應(yīng)當(dāng)考慮下

18、列控制活動：(1)信息安全管理。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的信息安全管理政策，物理訪問及針對網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)的身份認(rèn)證和邏輯訪問管理機(jī)制，系統(tǒng)設(shè)置的職責(zé)分離控制等。(2)系統(tǒng)變更管理。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的應(yīng)用系統(tǒng)及相關(guān)系統(tǒng)基礎(chǔ)架構(gòu)的變更、參數(shù)設(shè)置變更的授權(quán)與審批，變更測試，變更移植到生產(chǎn)環(huán)境的流程控制等。(3)系統(tǒng)開發(fā)和采購管理。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的應(yīng)用系統(tǒng)及相關(guān)系統(tǒng)基礎(chǔ)架構(gòu)的開發(fā)和采購的授權(quán)審批，系統(tǒng)開發(fā)的方法論，開發(fā)環(huán)境、測試環(huán)境、生產(chǎn)環(huán)境嚴(yán)格分離情況，系統(tǒng)的測試、審核、移植到生產(chǎn)環(huán)境等環(huán)節(jié)。(4)系統(tǒng)運(yùn)行管理。內(nèi)部審計人員應(yīng)當(dāng)關(guān)注組織的信息技術(shù)資產(chǎn)管理、系統(tǒng)容量

19、管理、系統(tǒng)物理環(huán)境控制、系統(tǒng)和數(shù)據(jù)備份及恢復(fù)管理、問題管理和系統(tǒng)的日常運(yùn)行管理等。4.信息系統(tǒng)審計實施28信息系統(tǒng)審計的內(nèi)容3）業(yè)務(wù)流程層面應(yīng)用控制業(yè)務(wù)流程層面應(yīng)用控制是指在業(yè)務(wù)流程層面為了合理保證應(yīng)用系統(tǒng)準(zhǔn)確、完整、及時完成業(yè)務(wù)數(shù)據(jù)的生成、記錄、處理、報告等功能而設(shè)計、執(zhí)行的信息技術(shù)控制。對業(yè)務(wù)流程層面應(yīng)用控制的審計應(yīng)當(dāng)考慮下列與數(shù)據(jù)輸入、數(shù)據(jù)處理以及數(shù)據(jù)輸出環(huán)節(jié)相關(guān)的控制活動：(1)授權(quán)與批準(zhǔn)；(2)系統(tǒng)配置控制；(3)異常情況報告和差錯報告；(4)接口/轉(zhuǎn)換控制；(5)一致性核對；(6)職責(zé)分離；(7)系統(tǒng)訪問權(quán)限；(8)系統(tǒng)計算等；(9)其他。4）信息系統(tǒng)專項審計信息系統(tǒng)審計除上述常規(guī)

20、的審計內(nèi)容外，內(nèi)部審計人員還可以根據(jù)組織當(dāng)前面臨的特殊風(fēng)險或者需求，設(shè)計專項審計以滿足審計戰(zhàn)略，具體包括(但不限于)下列領(lǐng)域：(1)信息系統(tǒng)開發(fā)實施項目的專項審計；(2)信息系統(tǒng)安全專項審計；(3)信息技術(shù)投資專項審計；(4)業(yè)務(wù)連續(xù)性計劃的專項審計；(5)外包條件下的專項審計；(6)法律、法規(guī)、行業(yè)規(guī)范要求的內(nèi)部控制合規(guī)性專項審計等；(7)其他專項審計。4.信息系統(tǒng)審計實施29信息技術(shù)風(fēng)險評估審計人員在識別和評估組織層面、一般性控制層面的信息技術(shù)風(fēng)險時，需要關(guān)注下列內(nèi)容：(1)業(yè)務(wù)關(guān)注度，即組織的信息技術(shù)戰(zhàn)略與組織整體發(fā)展戰(zhàn)略規(guī)劃的契合度以及信息技術(shù)(包括硬件及軟件環(huán)境)對業(yè)務(wù)和用戶需求的支

21、持度；(2)信息資產(chǎn)的重要性；(3)對信息技術(shù)的依賴程度；(4)對信息技術(shù)部門人員的依賴程度；(5)對外部信息技術(shù)服務(wù)的依賴程度；(6)信息系統(tǒng)及其運(yùn)行環(huán)境的安全性、可靠性；(7)信息技術(shù)變更；(8)法律規(guī)范環(huán)境等。業(yè)務(wù)流程層面的信息技術(shù)風(fēng)險受行業(yè)背景、業(yè)務(wù)流程的復(fù)雜程度、上述組織層面及一般性控制層面的控制有效性等因素的影響而存在差異。一般而言，審計人員應(yīng)當(dāng)了解業(yè)務(wù)流程，并關(guān)注下列信息技術(shù)風(fēng)險：(1)數(shù)據(jù)輸入；(2)數(shù)據(jù)處理；(3)數(shù)據(jù)輸出。4.信息系統(tǒng)審計實施30信息系統(tǒng)審計方法審計人員在進(jìn)行信息系統(tǒng)審計時，可以單獨(dú)或者綜合運(yùn)用下列審計方法獲取相關(guān)、可靠和充分的審計證據(jù)，以評估信息系統(tǒng)內(nèi)部控

22、制的設(shè)計合理性和運(yùn)行有效性：(1)詢問相關(guān)控制人員；(2)觀察特定控制的運(yùn)用；(3)審閱文件和報告及計算機(jī)文檔或者日志；(4)根據(jù)信息系統(tǒng)的特性進(jìn)行穿行測試，追蹤交易在信息系統(tǒng)中的處理過程；(5)驗證系統(tǒng)控制和計算邏輯；(6)登錄信息系統(tǒng)進(jìn)行系統(tǒng)查詢；(7)利用計算機(jī)輔助審計工具和技術(shù)；(8)利用其他專業(yè)機(jī)構(gòu)的審計結(jié)果或者組織對信息技術(shù)內(nèi)部控制的自我評估結(jié)果；(9)信息系統(tǒng)審計人員可以根據(jù)實際需要利用計算機(jī)輔助審計工具和技術(shù)進(jìn)行數(shù)據(jù)的驗證、關(guān)鍵系統(tǒng)控制/計算的邏輯驗證、審計樣本選取等；(10)可以利用可靠的信息安全偵測工具進(jìn)行滲透性測試等。 5.信息系統(tǒng)審計技術(shù)315.信息系統(tǒng)審計技術(shù)32概述

23、 隨著信息化的普及和深化，信息系統(tǒng)審計技術(shù)也隨之發(fā)展起來，雖然到目前為止還沒有一套完整的審計技術(shù)可以全面解決所有的信息系統(tǒng)審計問題，但是人們已經(jīng)發(fā)現(xiàn)和積累了很多技術(shù)和方法，可以用來幫助完成相應(yīng)的審計目標(biāo)，如測試數(shù)據(jù)法、整合測試工具法、并行模擬法、抽點(diǎn)轉(zhuǎn)存法和跟蹤法等。5.信息系統(tǒng)審計技術(shù)33測試數(shù)據(jù)法測試數(shù)據(jù)法5.信息系統(tǒng)審計技術(shù)34整合測試工具5.信息系統(tǒng)審計技術(shù)35并行模擬法5.信息系統(tǒng)審計技術(shù)36受控處理法 對于一些已經(jīng)投入使用的較大型網(wǎng)絡(luò)系統(tǒng)，如銀行系統(tǒng)、ERP系統(tǒng)等，被審計單位可能難以為審計人員專門準(zhǔn)備一個與實際系統(tǒng)一樣的測試環(huán)境，因而難以用測試數(shù)據(jù)法對被審系統(tǒng)的功能進(jìn)行審計。在這種情況下，審計人員可以采用受控處理法對系統(tǒng)功能進(jìn)行審計。受控處理法是審計人員通過對被審程序處理會計實際業(yè)務(wù)過程進(jìn)行監(jiān)控，來判別程序的處理功能和控制功能是否按設(shè)計要求起作用5.信息系統(tǒng)審計技術(shù)37受控再處理法5.信息系統(tǒng)審計技術(shù)38跟蹤法跟蹤也是一種審計技術(shù)，它最早是為程序調(diào)試而發(fā)明的。跟蹤提供了一個詳細(xì)的程序指令執(zhí)行次序的清單。出于審計的目的，跟蹤常被用于檢驗應(yīng)用程序中融入的起內(nèi)部控制作用的指令是否被執(zhí)行。跟蹤還可以顯示出未被執(zhí)行的程序語句。高級計算機(jī)程序設(shè)計語言，如COBOL都有專門的跟蹤命令，使用這些命令可將程序指令是否被執(zhí)