數(shù)據(jù)合規(guī)審計 指南

準(zhǔn)Datacomplianceaudit—Guidel中國電子信息行業(yè)聯(lián)合會發(fā)布I易所有限公司、深圳數(shù)據(jù)交易所有限公司、東、單哲、才君、詹特倫、趙亮、張婧、何淵、石鋒、陳泓汲、劉建楠 I IV 1 1 1 2 24.2專業(yè)性 24.3合法性 24.4充分性 2 2 2 3 3 3 4 6 6 6 67.7風(fēng)險分析 7 8 97.10審計結(jié)果與審計結(jié)論 107.11合規(guī)義務(wù) 10 11 118.2數(shù)據(jù)和數(shù)據(jù)資產(chǎn) 128.3數(shù)據(jù)環(huán)境 138.4數(shù)據(jù)相關(guān)行為 148.5應(yīng)用系統(tǒng)和工具平臺 178.6數(shù)據(jù)合規(guī)管理 17 19 19 19 209.4審計報告 21 23 23 23 23 23 23 23 23 24 24 25 25 25 25 26 27《數(shù)據(jù)合規(guī)管理體系要求》（T/CITIF001-2022）基于我國《網(wǎng)絡(luò)安全法》《數(shù)據(jù)計人員提供執(zhí)行標(biāo)準(zhǔn)，同時為數(shù)據(jù)合規(guī)審計報告《中國注冊會計師其他鑒證業(yè)務(wù)準(zhǔn)則第3101號－歷史財務(wù)信息審計1數(shù)據(jù)合規(guī)審計指南GB/T9387.2-1995信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型第2部分：安全體系結(jié)構(gòu)GB/T20945-2013信息安全技術(shù)信息系統(tǒng)安全審計產(chǎn)品技術(shù)要求和測試評價GB/T34960.4-2017信息技術(shù)服務(wù)治理第4部分：審計GB/T35273-2020信息安全技術(shù)個人信息安全GB/T36073-2018數(shù)據(jù)管理能力成熟度評估GB/T37964-2019信息安全技術(shù)個人信息去標(biāo)識GB/T37973-2019信息安全技術(shù)大數(shù)據(jù)安全管GB/T39412-2020信息安全技術(shù)代碼安全審計GB/T40685-2021信息技術(shù)服務(wù)數(shù)據(jù)資產(chǎn)管理GB/Z41290-2022信息安全技術(shù)移動互聯(lián)網(wǎng)安全審計T/CITIF001-2022數(shù)據(jù)合規(guī)管理體系要求3.1數(shù)據(jù)合規(guī)審計datacomplianc審計機構(gòu)根據(jù)商定的法律法規(guī)要求，對被審計單位數(shù)據(jù)3.2相關(guān)部門、數(shù)據(jù)治理活動、涉及數(shù)據(jù)的經(jīng)濟(jì)活動、數(shù)據(jù)資源與相關(guān)數(shù)據(jù)處理活動等。3.423.53.6數(shù)據(jù)合規(guī)審計中根據(jù)審計目標(biāo)和目的確認(rèn)的被審計單位擁有的數(shù)3.73.84基本原則開展審計工作的機構(gòu)、人員未參與被審計單位4.2專業(yè)性4.3合法性4.4充分性4.5公允性3根據(jù)審計主體和審計方式的不同，數(shù)據(jù)合規(guī)審計項目分為以下幾種基本計內(nèi)容的全面性，評價合規(guī)管理活動在設(shè)計、運行等方面的有47.2審計主體a)起草數(shù)據(jù)合規(guī)審計的章程、制度、準(zhǔn)則和流程；b)制定數(shù)據(jù)合規(guī)審計的中長期規(guī)劃；f)確保能直接與治理層進(jìn)行溝通及匯報；g)當(dāng)存在偏離某項審計準(zhǔn)則或標(biāo)準(zhǔn)的情形時，宜有其他可替代的a)進(jìn)行獨立性、客觀性評價；b)進(jìn)行服務(wù)結(jié)果評價和利用。5c)具備數(shù)據(jù)合規(guī)風(fēng)險評估的專業(yè)知識和技d)掌握審計、標(biāo)準(zhǔn)化、財務(wù)及管理等通用知識和技能；e)應(yīng)具備至少三年的數(shù)據(jù)合規(guī)審計相關(guān)的工作經(jīng)驗，能夠熟練運用數(shù)據(jù)合規(guī)審計相關(guān)的軟件和f)擁有與數(shù)據(jù)合規(guī)審計工作相關(guān)的基本技能、專業(yè)技能和軟技能；g)擁有與所處管理或業(yè)務(wù)崗位相適應(yīng)的數(shù)據(jù)合規(guī)職業(yè)資格及經(jīng)驗；a)遵循《中國注冊會計師其他鑒證業(yè)務(wù)準(zhǔn)則第b)充分利用外部專家的專業(yè)知識和技能，準(zhǔn)確理解和評價數(shù)據(jù)合規(guī)義務(wù)是否得到履行；d)審計人員利用專家的工作，并不能免a)明確審計人員在數(shù)據(jù)合規(guī)審計過程中的角色和職責(zé)；審計機構(gòu)應(yīng)與被審計單位共同建立數(shù)據(jù)合規(guī)審計溝通機制，并通過以下活動保障審計工作開展過a)確保數(shù)據(jù)合規(guī)審計機構(gòu)的獨立性和追責(zé)制；b)明確數(shù)據(jù)合規(guī)審計機構(gòu)與其他部門之間的溝通方式；b)制定數(shù)據(jù)合規(guī)審計績效考核制度；6審計機構(gòu)應(yīng)建立數(shù)據(jù)合規(guī)審計項目的風(fēng)險管理機制，并通過7.3審計目標(biāo)和目的數(shù)據(jù)合規(guī)審計項目的總體目標(biāo)是鑒證被審計單位數(shù)據(jù)合規(guī)義務(wù)履行情況。審計人員應(yīng)根據(jù)每個項7.4審計依據(jù)7.5審計范圍數(shù)據(jù)治理、授權(quán)和認(rèn)證管理、關(guān)鍵人員管理等行為操7.6審計重點77.7風(fēng)險分析依賴于審計人員是否采取合理的審計方法及規(guī)范執(zhí)行審計a)被審計單位的數(shù)據(jù)環(huán)境滿足安全可信要求時，審計人員在測試并確認(rèn)相關(guān)人員的管理流程中風(fēng)險應(yīng)對措施的設(shè)計和執(zhí)行有效性實施審計工d)當(dāng)被審計單位的數(shù)據(jù)合規(guī)管理從體系設(shè)計到管理流程存在重大缺87.8審計方案97.9審計證據(jù)a)審計結(jié)果應(yīng)記錄測試過程中發(fā)現(xiàn)的異常或例外情況的完整信息；c)當(dāng)一項測試的結(jié)果不能充分