信息系統(tǒng)審計的操作流程

1、信息系統(tǒng)審計操作流程信息系統(tǒng)審計操作流程一、審計計劃階段 二、審計實施階段 三、審計完成階段 信息系統(tǒng)審計的流程分成以下三個階段：一、審計計劃階段 1、了解被審系統(tǒng)基本情況 2、初步評價被審單位系統(tǒng)的內(nèi)部控制及外部控制 3、識別重要性 4、編制審計計劃 在審計計劃階段的工作分成以下四部分：1、了解被審系統(tǒng)基本情況 了解被審系統(tǒng)基本情況是實施任何信息系統(tǒng)審計的必經(jīng)程序，對基本情況的了解有助于審計人員對系統(tǒng)的組成、環(huán)境、運(yùn)行年限、控制等有初步印象，以決定是否對該系統(tǒng)進(jìn)行審計，明確審計的難度，所需時間以及人員配備情況等。 了解了基本情況，審計人員就可以大致判斷系統(tǒng)的復(fù)雜性、管理層對審計的態(tài)度、內(nèi)部控

2、制的狀況、以前審計的狀況、審計難點與重點，以決定是否對其進(jìn)行審計。 2、初步評價被審單位系統(tǒng)的內(nèi)部控制及外部控制 依據(jù)控制對象的范圍和環(huán)境，信息系統(tǒng)內(nèi)控制度的審計內(nèi)容包括一般控制和應(yīng)用控制兩類。 一般控制：是系統(tǒng)運(yùn)行環(huán)境方而的控制，指對信息系統(tǒng)構(gòu)成要素(人、機(jī)器、文件)的控制。它已為應(yīng)用程序的正常運(yùn)行提供外圍保障，影響到計算機(jī)應(yīng)用的成敗及應(yīng)用控制的強(qiáng)弱。主要包括：組織控制、操作控制、硬件及系統(tǒng)軟件控制和系統(tǒng)安全控制。 應(yīng)用控制：是對信息系統(tǒng)中具體的數(shù)據(jù)處理活動所進(jìn)行的控制，是具體的應(yīng)用系統(tǒng)中用來預(yù)測、檢測和更正錯誤和處置不法行為的控制措施，信息系統(tǒng)的應(yīng)用控制主要體現(xiàn)在輸入控制、處理控制和輸出控

3、制。應(yīng)用控制具有特殊性，不同的應(yīng)用系統(tǒng)有著不同的處理方式和處理環(huán)節(jié)，因而有著不同的控制問題和不同的控制要求，但是一般可把它劃分為：輸入控制、處理控制和輸出控制。 為了有效實現(xiàn)審計目標(biāo)，合理使用審計資源，在制定審計計劃時，信息系統(tǒng)審計人員應(yīng)對系統(tǒng)重要性進(jìn)行適當(dāng)評估。對重要性的評估一般需要運(yùn)用專業(yè)判斷。考慮重要性水平時要根據(jù)審計人員的職業(yè)判斷或公用標(biāo)準(zhǔn)，系統(tǒng)的服務(wù)對象及業(yè)務(wù)性質(zhì)，內(nèi)控的初評結(jié)果。重要性的判斷離不開特定環(huán)境，審計人員必須根據(jù)具體的信息系統(tǒng)環(huán)境確定重要性。重要性具有數(shù)量和質(zhì)量兩個方面的特征。越是重要的子系統(tǒng)，就越需要獲取充分的審計證據(jù)，以支持審計結(jié)論或意見。 3、識別重要性 4、編制審

4、計計劃 經(jīng)過以上程序，為編制審計計劃提供了良好準(zhǔn)備，審計人員就可以據(jù)以編制總體及具體審計計劃。 總體計劃包括：被審單位基本情況；審計目的、審計范圍及策略；重要問題及重要審計領(lǐng)域；工作進(jìn)度及時間；審計小組成員分工；重要性確定及風(fēng)險評估等。 具體計劃包括：具體審計目標(biāo)；審計程序；執(zhí)行人員及時間限制等 。二、審計實施階段 1、對信息系統(tǒng)計劃開發(fā)階段的審計 2、對信息系統(tǒng)運(yùn)行維護(hù)階段的審計 在審計實施階段的工作包括以下兩部分：1、對信息系統(tǒng)計劃開發(fā)階段的審計 對信息系統(tǒng)計劃開發(fā)階段的審計包括對計劃的審計和對開發(fā)的審計，可以采用事中審計，也可以是事后審計。比較而言事中審計更有意義，審計結(jié)果的得出利于故障

5、、問題的及早發(fā)現(xiàn)，利于調(diào)整計劃，利于開發(fā)順序的改進(jìn)。 信息系統(tǒng)計劃階段的關(guān)鍵控制點有：計劃是否有明確的目的；計劃中是否明確描述了系統(tǒng)的效果；是否明確了系統(tǒng)開發(fā)的組織；對整體計劃進(jìn)程是否正確預(yù)計；計劃能否隨經(jīng)營環(huán)境改變而及時修正；計劃是否制定有可行性報告；關(guān)于計劃的過程和結(jié)果是否有文檔記錄等等。 系統(tǒng)開發(fā)階段：包括系統(tǒng)分析、系統(tǒng)設(shè)計、代碼編寫和系統(tǒng)測試三部分。其中涉及包括功能需求分析、業(yè)務(wù)數(shù)據(jù)分析、總體框架設(shè)計、結(jié)構(gòu)設(shè)計、代碼設(shè)計、數(shù)據(jù)庫設(shè)計、輸入輸出設(shè)計、處理流程及模塊功能的設(shè)計。編程時依據(jù)系統(tǒng)設(shè)計階段的設(shè)計圖及數(shù)據(jù)庫結(jié)構(gòu)和編碼設(shè)計，用計算機(jī)程序語言來實現(xiàn)系統(tǒng)的過程。測試包括動態(tài)測試和靜態(tài)測試

6、，是系統(tǒng)開發(fā)完畢，進(jìn)入試運(yùn)行之前的必經(jīng)程序。系統(tǒng)開發(fā)階段審計的關(guān)鍵控制點有：分析控制點：是否己細(xì)致分析企業(yè)組織結(jié)構(gòu)；是否確定用戶功能和性能需求；是否確定用戶的數(shù)據(jù)需求等。設(shè)計控制點：設(shè)計界面是否方便用戶使用；設(shè)計是否與業(yè)務(wù)內(nèi)容相符；性能能否滿足需要，是否考慮故障對策和安全保護(hù)等。編程控制點：是否有程序說明書，并按照說明書進(jìn)行編寫；編程與設(shè)計是否相符，有無違背編程原則；程序作者是否進(jìn)行自測；是否有程序作者之外的第三人進(jìn)行測試；編程的書寫、變量的命名等是否規(guī)范。測試控制點：測試數(shù)據(jù)的選取是否按計劃及需要進(jìn)行，是否具有代表性；測試是否站在公正客觀的立場進(jìn)行，是否有用戶參與測試；測試結(jié)果是否正確記錄等

7、。 2、對信息系統(tǒng)運(yùn)行維護(hù)階段的審計 對信息系統(tǒng)運(yùn)行維護(hù)階段的審計又細(xì)分為對運(yùn)行階段的審計和對維護(hù)階段的審計。系統(tǒng)運(yùn)行過程的審計是在信息系統(tǒng)正式運(yùn)行階段，針對信息系統(tǒng)是否被正確操作和是否有效地運(yùn)行，從而真正實現(xiàn)信息系統(tǒng)的開發(fā)目標(biāo)、滿足用戶需求而進(jìn)行的審計。對信息系統(tǒng)運(yùn)行過程的審計分為系統(tǒng)輸入審計、通信系統(tǒng)審計、處理過程審計、數(shù)據(jù)庫審計、系統(tǒng)輸出審計和運(yùn)行管理審計六大部分。 輸入審計的關(guān)鍵控制點有：是否制定并遵守輸入管理規(guī)則，是否有數(shù)據(jù)生成順序、處理等的防錯、保護(hù)措施、防錯、保護(hù)措施是否有效等。通信系統(tǒng)審計的關(guān)鍵控制點有：是否制定并遵守通信規(guī)則，對網(wǎng)絡(luò)存取控制及監(jiān)控是否有效等。（通信系統(tǒng)實施的是

8、實際數(shù)據(jù)的傳輸，通信系統(tǒng)中，審計軌跡應(yīng)記錄輸入的數(shù)據(jù)、傳送的數(shù)據(jù)和工作的通信系統(tǒng)。 ）處理過程審計關(guān)鍵控制點有：被處理的數(shù)據(jù)，數(shù)據(jù)處理器，數(shù)據(jù)處理時間，數(shù)據(jù)處理后的結(jié)果，數(shù)據(jù)處理實現(xiàn)的目的，系統(tǒng)處理的差錯率，平均無故障時間，可恢復(fù)性和平均恢復(fù)時間等。（處理過程指處理器在接收到輸入的數(shù)據(jù)后對數(shù)據(jù)進(jìn)行加工處理的過程，此時的審計主要針對數(shù)據(jù)輸入系統(tǒng)后是否被正確處理。 ）數(shù)據(jù)庫審計關(guān)鍵控制點有：對數(shù)據(jù)的存取控制及監(jiān)視是否有效，是否記錄數(shù)據(jù)利用狀況，并定期分析，是否考慮數(shù)據(jù)的保護(hù)功能，是否有防錯、保密功能，防錯、保密功能是否有效等。（ 數(shù)據(jù)庫審計是保障數(shù)據(jù)庫正確行使了其職能，如對數(shù)據(jù)操作的有效性和發(fā)生異

9、常操作時對數(shù)據(jù)的保護(hù)功能（正確數(shù)據(jù)不丟失，數(shù)據(jù)回滾以保證數(shù)據(jù)的一致性）。）系統(tǒng)輸出審計關(guān)鍵控制點有：輸出信息的獲取及處理時是否有防止不正當(dāng)行為和機(jī)密保護(hù)措施，輸出信息是否準(zhǔn)確、及時，輸出信息的形式是否被客戶所接受，是否記錄輸出出錯情況并定期分析等。（系統(tǒng)輸出審計不同于測試階段的輸出審計，此時的輸出是在實際數(shù)據(jù)的基礎(chǔ)上進(jìn)行的，對其進(jìn)行審計可以對系統(tǒng)輸出進(jìn)行再控制，結(jié)合用戶需求進(jìn)行評價。）運(yùn)行管理審計關(guān)鍵控制點有：操作順序是否標(biāo)準(zhǔn)化，作業(yè)進(jìn)度是否有優(yōu)先級，操作是否按標(biāo)準(zhǔn)進(jìn)行，人員交替是否規(guī)范，能否對預(yù)計與實際運(yùn)行的差異進(jìn)行分析，遇問題時能否相互溝通，是否有經(jīng)常性培訓(xùn)與教育等。 （運(yùn)行管理審計是對人

10、機(jī)系統(tǒng)中人的行為的審計。）系統(tǒng)維護(hù)過程審計包括對維護(hù)計劃、維護(hù)實施、改良系統(tǒng)的試運(yùn)行和舊系統(tǒng)的廢除等維護(hù)活動的審計。系統(tǒng)維護(hù)過程審計關(guān)鍵控制點有：維護(hù)組織的規(guī)模是否適應(yīng)需要，人員分工是否明確，是否有一套管理機(jī)制和協(xié)調(diào)機(jī)制，維護(hù)過程發(fā)現(xiàn)的可改進(jìn)點，維護(hù)是否得到維護(hù)負(fù)責(zé)人同意，是否對發(fā)現(xiàn)問題作了修正，維護(hù)記錄是否有文檔記載，是否定期分析，舊系統(tǒng)的廢除是否在授權(quán)下進(jìn)行等。 三、審計完成階段 1、整理、評價執(zhí)行審計業(yè)務(wù)過程中收集到的證據(jù) 。2、復(fù)核審計底稿，完成二級復(fù)核 。3、評價審計結(jié)果，形成審計意見，完成三級復(fù)核，編制審計報告。 在審計完成階段的工作分成以下三部分：附錄：信息系統(tǒng)審計方法幾種常見的

11、用于信息系統(tǒng)審計的傳統(tǒng)審計方法 ：1、觀察、查看與穿行測試：審計人員通過到信息系統(tǒng)相關(guān)部門觀察技術(shù)人員工作情況以了解其內(nèi)控執(zhí)行是否到位，上機(jī)查看以證實有關(guān)電腦確實發(fā)揮相應(yīng)功能，查閱系統(tǒng)日志和運(yùn)行維護(hù)記錄以了解系統(tǒng)最近一段時間內(nèi)是否發(fā)生錯誤。同時，索取并檢查業(yè)務(wù)文檔資料，如系統(tǒng)規(guī)劃方案、數(shù)據(jù)字典、運(yùn)行維護(hù)記錄、說明文檔及相關(guān)合同等以了解信息系統(tǒng)的相關(guān)情況。這里的穿行測試，是指審計人員親自執(zhí)行一次業(yè)務(wù)發(fā)生過程。比如，高速公路審計中，審計人員在不通知被審計單位的情況下，親自駕車體驗高速公路收費合理性；又如，審計人員以普通人員身份試圖進(jìn)入對方核心機(jī)房，以檢測被審計單位信息系統(tǒng)物理訪問控制的安全性等。穿

12、行測試是通過追蹤交易在信息系統(tǒng)中的處理過程，來證實審計人員對控制的了解并評價控制設(shè)計的有效性以及確定控制是否得到執(zhí)行。 2、調(diào)查問卷：合理編制信息系統(tǒng)審計調(diào)查表、調(diào)查提綱、控制矩陣等，內(nèi)容包括軟硬件環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)以及崗位設(shè)置、人員角色及AB崗等，在審前調(diào)查階段提交給被審計單位信息及有關(guān)業(yè)務(wù)部門，以獲得信息系統(tǒng)的基本情況、總體架構(gòu)與業(yè)務(wù)流程，并可能發(fā)現(xiàn)有價值的線索。另外可函證（或走訪）與審計項目有關(guān)的單位與個人，并把函證的結(jié)果與被審計單位的有關(guān)情況進(jìn)行對比分析。 3、溝通交流：好的溝通可以發(fā)現(xiàn)審計線索，信息系統(tǒng)審計需要重視與被審計單位相關(guān)人員進(jìn)行溝通的技巧。主要方法有與被審計單位人員共同召開各種

13、業(yè)務(wù)會議，與不同的人員進(jìn)行座談（技術(shù)人員、業(yè)務(wù)人員等）等。俗話說，在聊天中發(fā)現(xiàn)問題。 幾種應(yīng)用計算機(jī)技術(shù)進(jìn)行信息系統(tǒng)審計方法 ：計算機(jī)技術(shù)主要包括基于數(shù)據(jù)分析的方法和基于程序分析的方法等幾種，這些方法的綜合使用使得對信息系統(tǒng)的審計更加有效，在一段時間內(nèi)，這些審計方法將是信息系統(tǒng)審計的主要手段。 1、黑白盒測試：黑盒測試：也稱功能測試或數(shù)據(jù)驅(qū)動測試，它是在已知軟件所應(yīng)具有的功能，通過測試來檢測每個功能是否都能正常使用。在測試時，把程序看作一個不能打開的黑盒子，在完全不考慮程序內(nèi)部結(jié)構(gòu)和內(nèi)部特性的情況下，審計人員只檢查程序功能是否按照需求規(guī)格說明書的規(guī)定正常使用，程序是否能適當(dāng)?shù)亟邮蛰斎霐?shù)據(jù)而產(chǎn)生

14、正確的輸出信息，并保持外部信息（如數(shù)據(jù)庫或文件）的完整性。“黑盒”法是窮舉輸入測試，只有把所有可能的輸入都作為測試情況使用，才能以這種方法查出程序中所有的錯誤。白盒測試：也稱結(jié)構(gòu)測試或邏輯驅(qū)動測試，它是在清楚軟件內(nèi)部結(jié)構(gòu)和工作過程的基礎(chǔ)上，按照程序內(nèi)部的結(jié)構(gòu)測試程序，檢驗程序中的每條通路是否都能按預(yù)定要求正確工作，而不顧它的功能。白盒測試的主要方法有邏輯驅(qū)動、基路測試等。 2、數(shù)據(jù)測試與平行模擬數(shù)據(jù)測試法：數(shù)據(jù)測試：審計人員把一批預(yù)先設(shè)計好的測試數(shù)據(jù)，利用被審計程序加以處理，并把處理的結(jié)果與預(yù)期結(jié)果作比較，以確定被審計程序的處理和控制功能是否恰當(dāng)有效。測試數(shù)據(jù)包含下列兩類：一是正常的、有效的業(yè)

15、務(wù)數(shù)據(jù)，以確定被審計程序?qū)τ行?shù)據(jù)的處理是否正確；二是不正常、無效的業(yè)務(wù)數(shù)據(jù)，以確定被審計程序是否可以將這些無效業(yè)務(wù)檢測出來，拒絕接受并給出錯誤信息，以便修改。優(yōu)點：應(yīng)用簡單易行，對審計人員的計算機(jī)技術(shù)水平要求不高，因此，應(yīng)用范圍比較廣泛。缺點：與黑盒測試類似，可能不能發(fā)現(xiàn)程序中所有的錯弊。如果審計人員沒有預(yù)想到程序中的某些錯弊，沒有針對它們設(shè)計測試數(shù)據(jù)進(jìn)行測試，則這種審查方法不可能發(fā)現(xiàn)這些錯弊。集成檢測法：通過在正常的應(yīng)用系統(tǒng)中創(chuàng)建一個虛擬的部分或分支，從而進(jìn)行系統(tǒng)測試。例如：在某個應(yīng)用系統(tǒng)中建立一個虛擬的職員然后進(jìn)行正常的業(yè)務(wù)處理測試。優(yōu)點：此方法是在系統(tǒng)正常處理過程中進(jìn)行測試的，因此可直

16、接測試到被審系統(tǒng)在真實業(yè)務(wù)處理時的功能是否正確有效。缺點：這些虛擬的測試數(shù)據(jù)可能會對被審單位真實的業(yè)務(wù)和匯總的信息造成破壞或影響。平行模擬法：是指針對某應(yīng)用程序，審計人員用一個獨立的程序去模擬該程序的部分功能，對輸入數(shù)據(jù)同時進(jìn)行并行處理，其結(jié)果和該應(yīng)用程序處理的結(jié)果進(jìn)行比較以驗證其功能正確性的方法。但模擬系統(tǒng)的開發(fā)對計算機(jī)技術(shù)要求高，且時間長，費用較高；同時，模擬系統(tǒng)要隨實際系統(tǒng)同步更新，相應(yīng)要增加費用。 3、數(shù)據(jù)分析：利用數(shù)據(jù)進(jìn)行審計可以將傳統(tǒng)的審計經(jīng)驗和計算機(jī)技術(shù)結(jié)合起來，使審計人員在現(xiàn)有的條件下進(jìn)行信息系統(tǒng)審計。通過對電子數(shù)據(jù)的審查，來推斷信息系統(tǒng)本身所存在的缺陷。抽樣數(shù)據(jù)法：審計人員從

17、被審計單位抽樣若干經(jīng)濟(jì)業(yè)務(wù)數(shù)據(jù)，檢查信息系統(tǒng)處理結(jié)果是否正確，以確定系統(tǒng)控制是否有效的執(zhí)行。如稅務(wù)審計中，可以通過對不同類型納稅人員納稅數(shù)據(jù)進(jìn)行抽樣審核，以檢查系統(tǒng)對納稅數(shù)據(jù)處理的正確性與及時性。數(shù)據(jù)結(jié)構(gòu)驗證法：結(jié)合數(shù)據(jù)字典，檢查數(shù)據(jù)之間邏輯關(guān)系以驗證輸入數(shù)據(jù)正確性和保存數(shù)據(jù)完整性，包括業(yè)務(wù)數(shù)據(jù)與財務(wù)數(shù)據(jù)對比驗證及各業(yè)務(wù)數(shù)據(jù)表間勾稽關(guān)系核對。參數(shù)法：檢查設(shè)置的相關(guān)參數(shù)是否與實際時點的業(yè)務(wù)發(fā)生數(shù)據(jù)一致。利用外部關(guān)聯(lián)數(shù)據(jù)法：外部關(guān)聯(lián)數(shù)據(jù)是指存在于被審計單位信息系統(tǒng)以外，但是與該系統(tǒng)的數(shù)據(jù)具有內(nèi)在聯(lián)系，能夠幫助審計人員對被審計單位的業(yè)務(wù)數(shù)據(jù)和財務(wù)數(shù)據(jù)進(jìn)行有序處理的電子數(shù)據(jù)。利用外部的關(guān)聯(lián)數(shù)據(jù)與被審查

18、系統(tǒng)中的數(shù)據(jù)進(jìn)行對比分析，可以發(fā)現(xiàn)單獨由被審計單位的數(shù)據(jù)無法發(fā)現(xiàn)的信息系統(tǒng)的問題。 4、受控處理與再處理：受控處理法：是指審計人員通過監(jiān)控被審計程序?qū)嶋H業(yè)務(wù)的處理，查明被審計程序的處理和控制功能是否恰當(dāng)有效的方法。審計人員首先對輸入的數(shù)據(jù)進(jìn)行查驗，并進(jìn)行審計控制，然后親自處理或監(jiān)督處理這些數(shù)據(jù)，最后將處理的結(jié)果與預(yù)期結(jié)果加以比較分析，判別被審程序的處理和控制功能是否符合設(shè)計要求。此方法的主要優(yōu)點：是不需要審計人員具有較高的計算機(jī)知識，只要采用突擊審計的方式，就可以保證被審程序與實際使用程序的一致性，從而保證審計結(jié)論的可靠性。受控再處理法：是指在被審計單位正常業(yè)務(wù)處理以外的時間，由審計人員親自進(jìn)行或在審計人員監(jiān)督下，把某一批處理過的業(yè)務(wù)進(jìn)行再處理，比較兩次處理結(jié)果，以確定被審計程序有無被非法篡改，被審計程序的處理和控制功能是否恰當(dāng)有效。運(yùn)用這種方法前提是以前對此程序進(jìn)行過審查，并證實它原來的處理和控制功能是恰當(dāng)有效的。 5、程序檢查：程序是信息系統(tǒng)的核心，信