信息系統(tǒng)審計技術(shù)方法課件

（一）風(fēng)險評估常用定性評估技術(shù)：

1、定性分級技術(shù)：根據(jù)風(fēng)險從低到高分級如：用1-5分進(jìn)行定性分級；用高、中、低分級考慮因素：審計對象的技術(shù)復(fù)雜性、現(xiàn)有控制程序的水平、可能造成的財務(wù)損失，等因素

方法：根據(jù)每一個因素給出一個分值（如5分制、10分制），然后把各種因素的風(fēng)險值累計即為的風(fēng)險值，然后對根據(jù)分值大小進(jìn)行排列。

2、經(jīng)驗判斷法：原理：審計師根據(jù)專業(yè)經(jīng)驗、業(yè)務(wù)知識、管理層的指導(dǎo)、業(yè)務(wù)目標(biāo)、環(huán)境因素等進(jìn)行判斷，以決定風(fēng)險大小。

（二）風(fēng)險評估常用定量評估技術(shù)：基于一個數(shù)學(xué)模型的定量分析技術(shù)：數(shù)學(xué)模型公式：風(fēng)險=威脅ⅹ弱點(diǎn)ⅹ影響

第1頁/共18頁（一）風(fēng)險評估常用定性評估技術(shù)：1

威脅表示：3（高風(fēng)險）、2（中風(fēng)險）、1（低風(fēng)險）、0（無）弱點(diǎn)表示：事件發(fā)生的概率在0——1之間影響表示：0——7之間第2頁/共18頁威脅表示：3（高風(fēng)2

第二節(jié)審計抽樣技術(shù)審計抽樣是從審計總體中選取一定數(shù)量的樣本進(jìn)行測試，并根據(jù)測試結(jié)果，推斷審計對象總體特征的一種方法。審計抽樣分類的方法有很多種，常用的分類方法是：

按抽樣決策的依據(jù)不同分為：統(tǒng)計抽樣和非統(tǒng)計抽樣；

依據(jù)所了解的總體特征的不同分為：屬性抽樣和變量抽樣。

一、統(tǒng)計抽樣和非統(tǒng)計抽樣統(tǒng)計抽樣(StatisticalSampling)：是審計人員在計算正式抽樣結(jié)果時采用統(tǒng)計推斷技術(shù)的一種抽樣方法，統(tǒng)計抽樣采用客觀的方法來決定樣本量大小及抽樣方式。

非統(tǒng)計抽樣(Non—statisticalSampling)：是審計人員全憑主觀標(biāo)準(zhǔn)和個人經(jīng)驗來評價樣本結(jié)果并對總體做出結(jié)論。

兩者最根本的區(qū)別：非統(tǒng)計抽樣不能量化抽樣風(fēng)險，而統(tǒng)計抽樣可以。

第3頁/共18頁第二節(jié)審計抽樣技術(shù)第3頁/共18頁3

二、屬性抽樣和變量抽樣屬性抽樣：用來估計一個控制或一組相關(guān)控制屬性的發(fā)生概率。主要用來測試控制的，與符合性測試相關(guān)。在進(jìn)行控制測試時，屬性抽樣又可分為以下三種基本方法：

1、固定樣本量抽樣（Fixedsample–sizesampling）：常用于估計審計對象總體中某種偏差的發(fā)生比例。其特點(diǎn)是預(yù)先確定樣本量，在執(zhí)行抽樣計劃的過程中不再進(jìn)行變動。

2、停--走抽樣（stop–orgosampling）：是在固定樣本量抽樣的基礎(chǔ)上的一種改進(jìn)形式。它從預(yù)計總體誤差為零開始，通過邊抽樣邊審查評價來完成審計工作?？梢钥朔潭颖玖砍闃訒r要選取過多的樣本缺點(diǎn)，提高審計工作的效率。

3、發(fā)現(xiàn)抽樣（discoverysampling）：

第4頁/共18頁二、屬性抽樣和變量抽樣第4頁/共18頁4

是屬性抽樣的一種特殊形式，主要用于查找非法重大事件。其理論依據(jù)是，如果總體偏差率大于或等于某一特定比率，那么在既定的可信賴程度下，從一個足夠大的樣本中至少能查出一個偏差。

變量抽樣：是根據(jù)總體的抽樣來估計總體的金額數(shù)或其他衡量單位。與實質(zhì)性測試相關(guān)。其主要目的是驗證可能存在于程序或功能中的因控制失效導(dǎo)致重大影響的重大金額。在選用這種方法時，必須滿足以下三個條件：

1、設(shè)計分層樣本的能力；

2、審計價值與賬目價值之間的差異不能太大；

3、資料的可得性。變量抽樣法主要運(yùn)用在實質(zhì)性測試中。通常有以下幾種常用方法：

1、分層單位平均估計抽樣(StratifiedMeanPerunit)：

第5頁/共18頁

5

先對樣本總體進(jìn)行分層，在不同分層中進(jìn)行抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。

2、不分層單位平均估計抽樣(UnstratifiedMeanPerunit)：通過抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。

3、差額估計抽樣（differenceestimation）：以樣本實際價值與帳面價值的平均差額來估計總體實際價值與帳面價值的平均差額，然后再以這個平均差額乘以總體項目個數(shù)，從而求出總體的實際價值與帳面價值差額。

在實質(zhì)性測試中，如果推斷的總體誤差超過了可容忍誤差，應(yīng)增加樣本量或執(zhí)行替代審計程序。

在符合性測試中，如果認(rèn)為抽樣結(jié)果無法達(dá)到其對所測試內(nèi)部控制的預(yù)期信賴程度，則應(yīng)考慮增加樣本量或者修改實質(zhì)性測試程序。第6頁/共18頁

6

第三節(jié)計算機(jī)輔助審計技術(shù)與工具在信息系統(tǒng)審計中，為了達(dá)到審計目的，必須要收集大量存儲于計算機(jī)的數(shù)據(jù)，并借助于計算機(jī)對這些數(shù)據(jù)進(jìn)行分析，以得出結(jié)論。因此，計算機(jī)輔助審計技術(shù)（computerassistedaudittechniques,CAATs）越來越成為審計師不可或缺的工具。

目前，計算機(jī)輔助審計技術(shù)與工具主要包括以下幾種：（一）通用和專業(yè)審計軟件是一組能夠讀取、計算、分析計算機(jī)可讀記錄的程序。通用審計軟件：具有較強(qiáng)的擴(kuò)充能力和較為廣泛的適用范圍和應(yīng)用前景；

專業(yè)審計軟件：適用范圍較小，功能和專用性強(qiáng)。

主要功能：

1、數(shù)據(jù)讀取和轉(zhuǎn)換；2、查詢；3、計算；4、分類；

5、抽樣選擇；6、排序；7、數(shù)據(jù)文件聯(lián)結(jié)、比較、合并；

8、輸出。

第7頁/共18頁第三節(jié)計算機(jī)輔助審計技術(shù)與工具第7頁/共18頁7

（二）實用工具軟件。包括：

1、評估安全性和完整性的工具軟件。如：訪問控制分析軟件

2、熟悉系統(tǒng)的工具軟件。如：系統(tǒng)配置分析軟件、流程圖制作器

3、評價數(shù)據(jù)質(zhì)量的工具軟件。如：查詢工具、數(shù)據(jù)比較軟件

4、評估程序質(zhì)量的工具軟件。如：程序比較軟件、測試數(shù)據(jù)生成器

5、輔助審計程序開發(fā)的工具軟件。如：程序生成器

6、輔助生成有關(guān)審計文檔的工具軟件。如：文檔生成器、辦公軟件

（三）性能度量工具包括：硬件監(jiān)測器、軟件監(jiān)測器、固件監(jiān)測器、混合監(jiān)測器

（四）測試數(shù)據(jù)法（平行模擬法）基本原理：通過編制模擬程序輸入測試數(shù)據(jù)與實際應(yīng)用程序結(jié)果比較，以評價系統(tǒng)。

第8頁/共18頁（二）實用工具軟件。包括：第8頁/共18頁8測試數(shù)據(jù)法（平行模擬技術(shù)）測試數(shù)據(jù)處理結(jié)果1模擬程序結(jié)果比較審計評價實際應(yīng)用程序處理結(jié)果2第9頁/共18頁測測試數(shù)據(jù)處理結(jié)果1結(jié)果比較處理結(jié)果2第9頁/共18頁9

（五）連續(xù)在線審計連續(xù)在線審計可以利用信息技術(shù)在不中斷被審計業(yè)務(wù)系統(tǒng)的正常運(yùn)行的情況下，對業(yè)務(wù)系統(tǒng)的內(nèi)部控制進(jìn)行檢查與評估，連續(xù)監(jiān)測系統(tǒng)運(yùn)作，評價系統(tǒng)安全性、有效性以及評價數(shù)據(jù)的真實性和完整性。

目前常用的連續(xù)在線審計方法有以下幾種：

1、系統(tǒng)控制審計檢查文件/嵌入式審計模型（SCARF/EAM）：通過在應(yīng)用系統(tǒng)中嵌入特殊的審計軟件模塊，實現(xiàn)對系統(tǒng)有選擇的監(jiān)測。

IS審計師在認(rèn)為重要的控制點(diǎn)上嵌入審計模塊對系統(tǒng)中的事務(wù)進(jìn)行連續(xù)的監(jiān)控，將收集的信息寫入一個特殊的審計文件——SCARF主文件。第10頁/共18頁（五）連續(xù)在線審計第10頁/共18頁10事務(wù)文件輸出主文件SCARF輸入主文件更新程序（含SCARF嵌入式審計模塊）更新報告SCARF報告系統(tǒng)審計報告第11頁/共18頁事務(wù)文件輸出主文件SCARF輸入主文件更新程序更新報告SCA112、整體測試法（ITF）：通過在系統(tǒng)中建立虛擬實體（dummyentity），用正常系統(tǒng)運(yùn)行，對結(jié)果進(jìn)行比較分析，判斷控制。適用于一般測試數(shù)據(jù)不能有效測試系統(tǒng)控制的情況。在實施整體測試方法時要注意測試數(shù)據(jù)可能會進(jìn)入被審計系統(tǒng)的真實數(shù)據(jù)環(huán)境。

終端終端實際數(shù)據(jù)測試數(shù)據(jù)應(yīng)用系統(tǒng)ITF結(jié)果分析比較第12頁/共18頁2、整體測試法（ITF）：終端終端實際數(shù)據(jù)測試數(shù)12

3、快照：對輸入業(yè)務(wù)標(biāo)記，記錄業(yè)務(wù)的處理軌跡，適用于需要記錄審計軌跡的情況。

事務(wù)輸入有效性確認(rèn)程序快拍報告出錯報告輸入主文件更新程序更新報告快拍報告輸出主文件報告程序快拍報告管理報告快拍點(diǎn)1，2，3快拍點(diǎn)7快拍點(diǎn)4，5，6第13頁/共18頁3、快照：事務(wù)輸入有效性快拍報告出134、持續(xù)性與間歇性模擬（CIS）：采用計算機(jī)系統(tǒng)模擬事務(wù)/交易的執(zhí)行，當(dāng)事務(wù)/交易滿足預(yù)定的標(biāo)準(zhǔn)，對該事務(wù)/交易進(jìn)行檢查，否則等待下一個滿足標(biāo)準(zhǔn)事務(wù)/交易的輸入。適用于在已確定滿足某種條件的數(shù)據(jù)需要被檢查的情況。

應(yīng)用系統(tǒng)數(shù)據(jù)庫管理系統(tǒng)CIS數(shù)據(jù)庫連續(xù)和間歇模擬CIS原理異常日志事務(wù)建立標(biāo)準(zhǔn)比較第14頁/共18頁4、持續(xù)性與間歇性模擬（CIS）：145、審計鉤：在應(yīng)用系統(tǒng)中嵌入審計鉤程序，在審計人員既定的錯誤或不規(guī)范問題失控之前引導(dǎo)IS審計師進(jìn)行檢查，并實施相應(yīng)的控制。這種方法針對特定的業(yè)務(wù)或過程進(jìn)行檢查。目前，多數(shù)ERP軟件包、操作系統(tǒng)和網(wǎng)絡(luò)管理軟件等都提供了連續(xù)監(jiān)控與連續(xù)審計工具的采樣器，針對這些環(huán)境，如果適當(dāng)?shù)呐渲?、?yīng)用相關(guān)規(guī)則、設(shè)置參數(shù)和公式，投入生產(chǎn)后可以獲得預(yù)期的例外交易清單，這也是實施連續(xù)在線審計的具體事例。

（六）審計專家系統(tǒng)

作為一種決策支持工具，專家系統(tǒng)可以為審計師提供指導(dǎo)及有價值的信息。

第15頁/共18頁5、審計鉤：（六）審計專家系統(tǒng)第15

（七）其他特殊的審計軟件。以上工具或技術(shù)可以幫助審計師對交易與賬面數(shù)據(jù)的詳細(xì)測試、實施分析性的檢查過程、對信息系統(tǒng)一般控制與應(yīng)用控制進(jìn)行符合性測試、對操作系統(tǒng)脆弱性進(jìn)行評估及實施穿透性測試等。

第16頁/共18頁（七）其他特殊的審計軟件。第16頁/共18頁16

本章習(xí)題：

1、簡述審計抽樣方法的類型及適用情況

2、簡述計算機(jī)輔助審計技術(shù)與工具

第17頁/共18頁本章習(xí)題：第17頁/共18頁17感謝您的觀賞！第18頁/共18頁感謝您的觀賞！第18頁/共18頁18

（一）風(fēng)險評估常用定性評估技術(shù)：

1、定性分級技術(shù)：根據(jù)風(fēng)險從低到高分級如：用1-5分進(jìn)行定性分級；用高、中、低分級考慮因素：審計對象的技術(shù)復(fù)雜性、現(xiàn)有控制程序的水平、可能造成的財務(wù)損失，等因素

方法：根據(jù)每一個因素給出一個分值（如5分制、10分制），然后把各種因素的風(fēng)險值累計即為的風(fēng)險值，然后對根據(jù)分值大小進(jìn)行排列。

2、經(jīng)驗判斷法：原理：審計師根據(jù)專業(yè)經(jīng)驗、業(yè)務(wù)知識、管理層的指導(dǎo)、業(yè)務(wù)目標(biāo)、環(huán)境因素等進(jìn)行判斷，以決定風(fēng)險大小。

（二）風(fēng)險評估常用定量評估技術(shù)：基于一個數(shù)學(xué)模型的定量分析技術(shù)：數(shù)學(xué)模型公式：風(fēng)險=威脅ⅹ弱點(diǎn)ⅹ影響

第1頁/共18頁（一）風(fēng)險評估常用定性評估技術(shù)：19

威脅表示：3（高風(fēng)險）、2（中風(fēng)險）、1（低風(fēng)險）、0（無）弱點(diǎn)表示：事件發(fā)生的概率在0——1之間影響表示：0——7之間第2頁/共18頁威脅表示：3（高風(fēng)20

第二節(jié)審計抽樣技術(shù)審計抽樣是從審計總體中選取一定數(shù)量的樣本進(jìn)行測試，并根據(jù)測試結(jié)果，推斷審計對象總體特征的一種方法。審計抽樣分類的方法有很多種，常用的分類方法是：

按抽樣決策的依據(jù)不同分為：統(tǒng)計抽樣和非統(tǒng)計抽樣；

依據(jù)所了解的總體特征的不同分為：屬性抽樣和變量抽樣。

一、統(tǒng)計抽樣和非統(tǒng)計抽樣統(tǒng)計抽樣(StatisticalSampling)：是審計人員在計算正式抽樣結(jié)果時采用統(tǒng)計推斷技術(shù)的一種抽樣方法，統(tǒng)計抽樣采用客觀的方法來決定樣本量大小及抽樣方式。

非統(tǒng)計抽樣(Non—statisticalSampling)：是審計人員全憑主觀標(biāo)準(zhǔn)和個人經(jīng)驗來評價樣本結(jié)果并對總體做出結(jié)論。

兩者最根本的區(qū)別：非統(tǒng)計抽樣不能量化抽樣風(fēng)險，而統(tǒng)計抽樣可以。

第3頁/共18頁第二節(jié)審計抽樣技術(shù)第3頁/共18頁21

二、屬性抽樣和變量抽樣屬性抽樣：用來估計一個控制或一組相關(guān)控制屬性的發(fā)生概率。主要用來測試控制的，與符合性測試相關(guān)。在進(jìn)行控制測試時，屬性抽樣又可分為以下三種基本方法：

1、固定樣本量抽樣（Fixedsample–sizesampling）：常用于估計審計對象總體中某種偏差的發(fā)生比例。其特點(diǎn)是預(yù)先確定樣本量，在執(zhí)行抽樣計劃的過程中不再進(jìn)行變動。

2、停--走抽樣（stop–orgosampling）：是在固定樣本量抽樣的基礎(chǔ)上的一種改進(jìn)形式。它從預(yù)計總體誤差為零開始，通過邊抽樣邊審查評價來完成審計工作?？梢钥朔潭颖玖砍闃訒r要選取過多的樣本缺點(diǎn)，提高審計工作的效率。

3、發(fā)現(xiàn)抽樣（discoverysampling）：

第4頁/共18頁二、屬性抽樣和變量抽樣第4頁/共18頁22

是屬性抽樣的一種特殊形式，主要用于查找非法重大事件。其理論依據(jù)是，如果總體偏差率大于或等于某一特定比率，那么在既定的可信賴程度下，從一個足夠大的樣本中至少能查出一個偏差。

變量抽樣：是根據(jù)總體的抽樣來估計總體的金額數(shù)或其他衡量單位。與實質(zhì)性測試相關(guān)。其主要目的是驗證可能存在于程序或功能中的因控制失效導(dǎo)致重大影響的重大金額。在選用這種方法時，必須滿足以下三個條件：

1、設(shè)計分層樣本的能力；

2、審計價值與賬目價值之間的差異不能太大；

3、資料的可得性。變量抽樣法主要運(yùn)用在實質(zhì)性測試中。通常有以下幾種常用方法：

1、分層單位平均估計抽樣(StratifiedMeanPerunit)：

第5頁/共18頁

23

先對樣本總體進(jìn)行分層，在不同分層中進(jìn)行抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。

2、不分層單位平均估計抽樣(UnstratifiedMeanPerunit)：通過抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。

3、差額估計抽樣（differenceestimation）：以樣本實際價值與帳面價值的平均差額來估計總體實際價值與帳面價值的平均差額，然后再以這個平均差額乘以總體項目個數(shù)，從而求出總體的實際價值與帳面價值差額。

在實質(zhì)性測試中，如果推斷的總體誤差超過了可容忍誤差，應(yīng)增加樣本量或執(zhí)行替代審計程序。

在符合性測試中，如果認(rèn)為抽樣結(jié)果無法達(dá)到其對所測試內(nèi)部控制的預(yù)期信賴程度，則應(yīng)考慮增加樣本量或者修改實質(zhì)性測試程序。第6頁/共18頁

24

第三節(jié)計算機(jī)輔助審計技術(shù)與工具在信息系統(tǒng)審計中，為了達(dá)到審計目的，必須要收集大量存儲于計算機(jī)的數(shù)據(jù)，并借助于計算機(jī)對這些數(shù)據(jù)進(jìn)行分析，以得出結(jié)論。因此，計算機(jī)輔助審計技術(shù)（computerassistedaudittechniques,CAATs）越來越成為審計師不可或缺的工具。

目前，計算機(jī)輔助審計技術(shù)與工具主要包括以下幾種：（一）通用和專業(yè)審計軟件是一組能夠讀取、計算、分析計算機(jī)可讀記錄的程序。通用審計軟件：具有較強(qiáng)的擴(kuò)充能力和較為廣泛的適用范圍和應(yīng)用前景；

專業(yè)審計軟件：適用范圍較小，功能和專用性強(qiáng)。

主要功能：

1、數(shù)據(jù)讀取和轉(zhuǎn)換；2、查詢；3、計算；4、分類；

5、抽樣選擇；6、排序；7、數(shù)據(jù)文件聯(lián)結(jié)、比較、合并；

8、輸出。

第7頁/共18頁第三節(jié)計算機(jī)輔助審計技術(shù)與工具第7頁/共18頁25

（二）實用工具軟件。包括：

1、評估安全性和完整性的工具軟件。如：訪問控制分析軟件

2、熟悉系統(tǒng)的工具軟件。如：系統(tǒng)配置分析軟件、流程圖制作器

3、評價數(shù)據(jù)質(zhì)量的工具軟件。如：查詢工具、數(shù)據(jù)比較軟件

4、評估程序質(zhì)量的工具軟件。如：程序比較軟件、測試數(shù)據(jù)生成器

5、輔助審計程序開發(fā)的工具軟件。如：程序生成器

6、輔助生成有關(guān)審計文檔的工具軟件。如：文檔生成器、辦公軟件

（三）性能度量工具包括：硬件監(jiān)測器、軟件監(jiān)測器、固件監(jiān)測器、混合監(jiān)測器

（四）測試數(shù)據(jù)法（平行模擬法）基本原理：通過編制模擬程序輸入測試數(shù)據(jù)與實際應(yīng)用程序結(jié)果比較，以評價系統(tǒng)。

第8頁/共18頁（二）實用工具軟件。包括：第8頁/共18頁26測試數(shù)據(jù)法（平行模擬技術(shù)）測試數(shù)據(jù)處理結(jié)果1模擬程序結(jié)果比較審計評價實際應(yīng)用程序處理結(jié)果2第9頁/共18頁測測試數(shù)據(jù)處理結(jié)果1結(jié)果比較處理結(jié)果2第9頁/共18頁27

（五）連續(xù)在線審計連續(xù)在線審計可以利用信息技術(shù)在不中斷被審計業(yè)務(wù)系統(tǒng)的正常運(yùn)行的情況下，對業(yè)務(wù)系統(tǒng)的內(nèi)部控制進(jìn)行檢查與評估，連續(xù)監(jiān)測系統(tǒng)運(yùn)作，評價系統(tǒng)安全性、有效性以及評價數(shù)據(jù)的真實性和完整性。

目前常用的連續(xù)在線審計方法有以下幾種：

1、系統(tǒng)控制審計檢查文件/嵌入式審計模型（SCARF/EAM）：通過在應(yīng)用系統(tǒng)中嵌入特殊的審計軟件模塊，實現(xiàn)對系統(tǒng)有選擇的監(jiān)測。

IS審計師在認(rèn)為重要的控制點(diǎn)上嵌入審計模塊對系統(tǒng)中的事務(wù)進(jìn)行連續(xù)的監(jiān)控，將收集的信息寫入一個特殊的審計文件——SCARF主文件。第10頁/共18頁（五）連續(xù)在線審計第10頁/共18頁28事務(wù)文件輸出主文件SCARF輸入主文件更新程序（含SCARF嵌入式審計模塊）更新報告SCARF報告系統(tǒng)審計報告第11頁/共18頁事務(wù)文件輸出主文件SCARF輸入主文件更新程序更新報告SCA292、整體測試法（ITF）：通過在系統(tǒng)中建立虛擬實體（dummyentity），用正常系統(tǒng)運(yùn)行，對結(jié)果進(jìn)行比較分析，判斷控制。適用于一般測試數(shù)據(jù)不能有效測試系統(tǒng)控制的情況。在實施整體測試方法時要注意測試數(shù)據(jù)可能會進(jìn)入