信息系統(tǒng)審計(南京審計學(xué)院)chap7

1、NANJING AUDIT UNIVERSITY第七章第七章 信息系統(tǒng)審計技術(shù)方法信息系統(tǒng)審計技術(shù)方法 在信息系統(tǒng)審計過程中，需要運用各種審計技術(shù)方法以獲取審計證據(jù)、在信息系統(tǒng)審計過程中，需要運用各種審計技術(shù)方法以獲取審計證據(jù)、完成審計任務(wù)。完成審計任務(wù)。 隨著計算機(jī)信息技術(shù)的發(fā)展與應(yīng)用，在信息系統(tǒng)審計中除了采取傳統(tǒng)隨著計算機(jī)信息技術(shù)的發(fā)展與應(yīng)用，在信息系統(tǒng)審計中除了采取傳統(tǒng)的審計方法以外，計算機(jī)輔助審計技術(shù)得到了廣泛的應(yīng)用。的審計方法以外，計算機(jī)輔助審計技術(shù)得到了廣泛的應(yīng)用。 第一節(jié)第一節(jié) 風(fēng)險評估技術(shù)風(fēng)險評估技術(shù) IS審計師在實施信息系統(tǒng)審計時，必須評估存在的不同的審計風(fēng)險，并審計師在實施

2、信息系統(tǒng)審計時，必須評估存在的不同的審計風(fēng)險，并 且選擇高風(fēng)險的區(qū)域進(jìn)行審計。且選擇高風(fēng)險的區(qū)域進(jìn)行審計。 如何評估存在的審計風(fēng)險？如何評估存在的審計風(fēng)險？ 涉及：涉及：風(fēng)險分析技術(shù)風(fēng)險分析技術(shù) IS審計師可以選擇多種風(fēng)險分析技術(shù)，可采用計算機(jī)輔助分析，也可以審計師可以選擇多種風(fēng)險分析技術(shù)，可采用計算機(jī)輔助分析，也可以 采用人工分析采用人工分析 風(fēng)險分析的標(biāo)準(zhǔn)可以是簡單的定性分類，也可以通過復(fù)雜的科學(xué)計算進(jìn)風(fēng)險分析的標(biāo)準(zhǔn)可以是簡單的定性分類，也可以通過復(fù)雜的科學(xué)計算進(jìn) 行定量計算。行定量計算。 NANJING AUDIT UNIVERSITY （一）風(fēng)險評估常用定性評估技術(shù)：（一）風(fēng)險評估常用

3、定性評估技術(shù)： 1、定性分級技術(shù)：、定性分級技術(shù)：根據(jù)風(fēng)險從低到高分級根據(jù)風(fēng)險從低到高分級 如：如：用用1-5分進(jìn)行定性分級；用高、中、低分級分進(jìn)行定性分級；用高、中、低分級 考慮因素：考慮因素：審計對象的技術(shù)復(fù)雜性、現(xiàn)有控制程序的水平、審計對象的技術(shù)復(fù)雜性、現(xiàn)有控制程序的水平、 可能造成的財務(wù)損失，等因素可能造成的財務(wù)損失，等因素 方法：方法：根據(jù)每一個因素給出一個分值（如根據(jù)每一個因素給出一個分值（如5分制、分制、10分制），分制）， 然后把各種因素的風(fēng)險值累計即為的風(fēng)險值，然后對然后把各種因素的風(fēng)險值累計即為的風(fēng)險值，然后對 根據(jù)分值大小進(jìn)行排列。根據(jù)分值大小進(jìn)行排列。 2、經(jīng)驗判斷法：

4、、經(jīng)驗判斷法： 原理：原理：審計師根據(jù)專業(yè)經(jīng)驗、業(yè)務(wù)知識、管理層的指導(dǎo)、業(yè)審計師根據(jù)專業(yè)經(jīng)驗、業(yè)務(wù)知識、管理層的指導(dǎo)、業(yè) 務(wù)目標(biāo)、環(huán)境因素等進(jìn)行判斷，以決定風(fēng)險大小。務(wù)目標(biāo)、環(huán)境因素等進(jìn)行判斷，以決定風(fēng)險大小。 （二）風(fēng)險評估常用定量評估技術(shù)：（二）風(fēng)險評估常用定量評估技術(shù)： 基于一個數(shù)學(xué)模型的定量分析技術(shù)：基于一個數(shù)學(xué)模型的定量分析技術(shù)： 數(shù)學(xué)模型公式：數(shù)學(xué)模型公式：風(fēng)險風(fēng)險=威脅威脅弱點弱點影響影響 NANJING AUDIT UNIVERSITY 威脅表示：威脅表示：3（高風(fēng)險）、（高風(fēng)險）、2（中風(fēng)險）、（中風(fēng)險）、1（低風(fēng)險）、（低風(fēng)險）、0（無）（無） 弱點表示：弱點表示：事件發(fā)生

5、的概率在事件發(fā)生的概率在01之間之間 影響表示：影響表示：07之間之間NANJING AUDIT UNIVERSITY 第二節(jié)第二節(jié) 審計抽樣技術(shù)審計抽樣技術(shù) 審計抽樣是從審計總體中選取一定數(shù)量的樣本進(jìn)行測試，并根據(jù)測試審計抽樣是從審計總體中選取一定數(shù)量的樣本進(jìn)行測試，并根據(jù)測試 結(jié)果，推斷審計對象總體特征的一種方法。結(jié)果，推斷審計對象總體特征的一種方法。 審計抽樣分類的方法有很多種，審計抽樣分類的方法有很多種，常用的分類方法是：常用的分類方法是： 按抽樣決策的依據(jù)不同分為：按抽樣決策的依據(jù)不同分為：統(tǒng)計抽樣和非統(tǒng)計抽樣；統(tǒng)計抽樣和非統(tǒng)計抽樣； 依據(jù)所了解的總體特征的不同分為：依據(jù)所了解的總體

6、特征的不同分為：屬性抽樣和變量抽樣。屬性抽樣和變量抽樣。 一、統(tǒng)計抽樣和非統(tǒng)計抽樣一、統(tǒng)計抽樣和非統(tǒng)計抽樣 統(tǒng)計抽樣統(tǒng)計抽樣(Statistical Sampling)：是審計人員在計算正式抽樣結(jié)果時采是審計人員在計算正式抽樣結(jié)果時采 用統(tǒng)計推斷技術(shù)的一種用統(tǒng)計推斷技術(shù)的一種 抽樣方法，統(tǒng)計抽樣采用客觀的方法來決抽樣方法，統(tǒng)計抽樣采用客觀的方法來決 定樣本量大小及抽樣方式。定樣本量大小及抽樣方式。 非統(tǒng)計抽樣非統(tǒng)計抽樣(Nonstatistical Sampling)：是審計人員全憑主觀標(biāo)準(zhǔn)和個是審計人員全憑主觀標(biāo)準(zhǔn)和個 人經(jīng)驗來評價樣本結(jié)果人經(jīng)驗來評價樣本結(jié)果 并對總體做出結(jié)論。并對總體做出

7、結(jié)論。 兩者最根本的區(qū)別：兩者最根本的區(qū)別：非統(tǒng)計抽樣不能量化抽樣風(fēng)險，而統(tǒng)計抽樣可以。非統(tǒng)計抽樣不能量化抽樣風(fēng)險，而統(tǒng)計抽樣可以。 NANJING AUDIT UNIVERSITY 二、屬性抽樣和變量抽樣二、屬性抽樣和變量抽樣 屬性抽樣：屬性抽樣：用來估計一個控制或一組相關(guān)控制屬性的發(fā)生概率。主要用來估計一個控制或一組相關(guān)控制屬性的發(fā)生概率。主要 用來測試控制的，用來測試控制的，與符合性測試相關(guān)。與符合性測試相關(guān)。 在進(jìn)行控制測試時，在進(jìn)行控制測試時，屬性抽樣又可分為以下三種基本方法：屬性抽樣又可分為以下三種基本方法： 1、固定樣本量抽樣（、固定樣本量抽樣（Fixed sample size

8、 sampling）：）： 常用于估計審計對象總體中某種偏差的發(fā)生比例。其特點是預(yù)常用于估計審計對象總體中某種偏差的發(fā)生比例。其特點是預(yù) 先確定樣本量，在執(zhí)行抽樣計劃的過程中不再進(jìn)行變動。先確定樣本量，在執(zhí)行抽樣計劃的過程中不再進(jìn)行變動。 2、停、停-走抽樣（走抽樣（stop or go sampling） ： 是在固定樣本量抽樣的基礎(chǔ)上的一種改進(jìn)形式。它從預(yù)計總體是在固定樣本量抽樣的基礎(chǔ)上的一種改進(jìn)形式。它從預(yù)計總體 誤差為零開始，通過邊抽樣邊審查評價來完成審計工作?？梢哉`差為零開始，通過邊抽樣邊審查評價來完成審計工作?？梢?克服固定樣本量抽樣時要選取過多的樣本缺點，提高審計工作克服固定樣本

9、量抽樣時要選取過多的樣本缺點，提高審計工作 的效率。的效率。 3、發(fā)現(xiàn)抽樣（、發(fā)現(xiàn)抽樣（discovery sampling） ： NANJING AUDIT UNIVERSITY 是屬性抽樣的一種特殊形式，主要用于查找非法重大事件。其是屬性抽樣的一種特殊形式，主要用于查找非法重大事件。其 理論依據(jù)是，如果總體偏差率大于或等于某一特定比率，那么理論依據(jù)是，如果總體偏差率大于或等于某一特定比率，那么 在既定的可信賴程度下，從一個足夠大的樣本中至少能查出一在既定的可信賴程度下，從一個足夠大的樣本中至少能查出一 個偏差。個偏差。 變量抽樣：變量抽樣：是根據(jù)總體的抽樣來估計總體的金額數(shù)或其他衡量單位。

10、是根據(jù)總體的抽樣來估計總體的金額數(shù)或其他衡量單位。 與實質(zhì)性測試相關(guān)。其主要目的是驗證可能存在于程序或與實質(zhì)性測試相關(guān)。其主要目的是驗證可能存在于程序或 功能中的因控制失效導(dǎo)致重大影響的重大金額。功能中的因控制失效導(dǎo)致重大影響的重大金額。 在選用這種方法時，在選用這種方法時，必須滿足以下三個條件：必須滿足以下三個條件： 1、設(shè)計分層樣本的能力、設(shè)計分層樣本的能力 ； 2、審計價值與賬目價值之間的差異不能太大、審計價值與賬目價值之間的差異不能太大 ； 3、資料的可得性、資料的可得性 。 變量抽樣法主要變量抽樣法主要運用在實質(zhì)性測試運用在實質(zhì)性測試中。中。通常有以下幾種常用方法：通常有以下幾種常用

11、方法： 1、分層單位平均估計抽樣、分層單位平均估計抽樣(Stratified Mean Per unit) ： NANJING AUDIT UNIVERSITY 先對樣本總體進(jìn)行分層，在不同分層中進(jìn)行抽樣檢查確定樣先對樣本總體進(jìn)行分層，在不同分層中進(jìn)行抽樣檢查確定樣 本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。本的平均值，根據(jù)樣本平均值推斷總體的平均值和總值。 2、不分層單位平均估計抽樣、不分層單位平均估計抽樣(Unstratified Mean Per unit) ： 通過抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體通過抽樣檢查確定樣本的平均值，根據(jù)樣本平均值推斷總體 的平均值和總

12、值。的平均值和總值。 3、差額估計抽樣（、差額估計抽樣（difference estimation） ： 以樣本實際價值與帳面價值的平均差額來估計總體實際價值以樣本實際價值與帳面價值的平均差額來估計總體實際價值 與帳面價值的平均差額，然后再以這個平均差額乘以總體項與帳面價值的平均差額，然后再以這個平均差額乘以總體項 目個數(shù)，從而求出總體的實際價值與帳面價值差額。目個數(shù)，從而求出總體的實際價值與帳面價值差額。 在實質(zhì)性測試中，在實質(zhì)性測試中，如果推斷的總體誤差超過了可容忍誤差，應(yīng)增加樣本如果推斷的總體誤差超過了可容忍誤差，應(yīng)增加樣本 量或執(zhí)行替代審計程序。量或執(zhí)行替代審計程序。 在符合性測試中，

13、在符合性測試中，如果認(rèn)為抽樣結(jié)果無法達(dá)到其對所測試內(nèi)部控制的預(yù)如果認(rèn)為抽樣結(jié)果無法達(dá)到其對所測試內(nèi)部控制的預(yù) 期信賴程度，則應(yīng)考慮增加樣本量或者修改實質(zhì)性測試程序。期信賴程度，則應(yīng)考慮增加樣本量或者修改實質(zhì)性測試程序。 NANJING AUDIT UNIVERSITY 第三節(jié)第三節(jié) 計算機(jī)輔助審計技術(shù)與工具計算機(jī)輔助審計技術(shù)與工具 在信息系統(tǒng)審計中，為了達(dá)到審計目的，必須要收集大量存儲于計算在信息系統(tǒng)審計中，為了達(dá)到審計目的，必須要收集大量存儲于計算 機(jī)的數(shù)據(jù)，并借助于計算機(jī)對這些數(shù)據(jù)進(jìn)行分析，以得出結(jié)論。因此，計機(jī)的數(shù)據(jù)，并借助于計算機(jī)對這些數(shù)據(jù)進(jìn)行分析，以得出結(jié)論。因此，計 算機(jī)輔助審計技

14、術(shù)（算機(jī)輔助審計技術(shù)（computer assisted audit techniques ,CAATs）越來越）越來越 成為審計師不可或缺的工具。成為審計師不可或缺的工具。 目前，計算機(jī)輔助審計技術(shù)與工具主要包括以下幾種：目前，計算機(jī)輔助審計技術(shù)與工具主要包括以下幾種： （一）通用和專業(yè)審計軟件（一）通用和專業(yè)審計軟件 是一組能夠讀取、計算、分析計算機(jī)可讀記錄的程序。是一組能夠讀取、計算、分析計算機(jī)可讀記錄的程序。 通用審計軟件：通用審計軟件：具有較強(qiáng)的擴(kuò)充能力和較為廣泛的適用范圍和應(yīng)具有較強(qiáng)的擴(kuò)充能力和較為廣泛的適用范圍和應(yīng) 用前景；用前景； 專業(yè)審計軟件：專業(yè)審計軟件：適用范圍較小，功能

15、和專用性強(qiáng)。適用范圍較小，功能和專用性強(qiáng)。 主要功能：主要功能： 1、數(shù)據(jù)讀取和轉(zhuǎn)換、數(shù)據(jù)讀取和轉(zhuǎn)換 ； 2、查詢、查詢 ； 3、計算、計算 ； 4、分類、分類 ； 5、抽樣選擇、抽樣選擇 ； 6、排序、排序 ； 7、數(shù)據(jù)文件聯(lián)結(jié)、比較、合并、數(shù)據(jù)文件聯(lián)結(jié)、比較、合并 ； 8、輸出、輸出 。 NANJING AUDIT UNIVERSITY （二）實用工具軟件。包括：（二）實用工具軟件。包括： 1、評估安全性和完整性的工具軟件。評估安全性和完整性的工具軟件。如：如：訪問控制分析軟件訪問控制分析軟件 2、熟悉系統(tǒng)的工具軟件。熟悉系統(tǒng)的工具軟件。如：如：系統(tǒng)配置分析軟件、流程圖制作器系統(tǒng)配置分析軟

16、件、流程圖制作器 3、評價數(shù)據(jù)質(zhì)量的工具軟件。評價數(shù)據(jù)質(zhì)量的工具軟件。如：如：查詢工具、數(shù)據(jù)比較軟件查詢工具、數(shù)據(jù)比較軟件 4、評估程序質(zhì)量的工具軟件。評估程序質(zhì)量的工具軟件。如：如：程序比較軟件、測試數(shù)據(jù)生成器程序比較軟件、測試數(shù)據(jù)生成器 5、輔助審計程序開發(fā)的工具軟件。輔助審計程序開發(fā)的工具軟件。如：如：程序生成器程序生成器 6、輔助生成有關(guān)審計文檔的工具軟件。輔助生成有關(guān)審計文檔的工具軟件。如：如：文檔生成器、辦公軟件文檔生成器、辦公軟件 （三）性能度量工具（三）性能度量工具 包括：包括：硬件監(jiān)測器、軟件監(jiān)測器、固件監(jiān)測器、混合監(jiān)測器硬件監(jiān)測器、軟件監(jiān)測器、固件監(jiān)測器、混合監(jiān)測器 （四）

17、測試數(shù)據(jù)法（平行模擬法）（四）測試數(shù)據(jù)法（平行模擬法） 基本原理：基本原理：通過編制模擬程序輸入測試數(shù)據(jù)與實際應(yīng)用程序結(jié)果比通過編制模擬程序輸入測試數(shù)據(jù)與實際應(yīng)用程序結(jié)果比 較，以評價系統(tǒng)。較，以評價系統(tǒng)。 NANJING AUDIT UNIVERSITY測測試試數(shù)數(shù)據(jù)據(jù)法法（平行模擬技術(shù)）（平行模擬技術(shù)）測試數(shù)據(jù)測試數(shù)據(jù)處理結(jié)果處理結(jié)果1模擬程序模擬程序結(jié)果比較結(jié)果比較審計評價審計評價實際應(yīng)用程序?qū)嶋H應(yīng)用程序處理結(jié)果處理結(jié)果2NANJING AUDIT UNIVERSITY （五）連續(xù)在線審計（五）連續(xù)在線審計 連續(xù)在線審計可以利用信息技術(shù)在不中斷被審計業(yè)務(wù)系統(tǒng)的正常運行的連續(xù)在線審計可以利

18、用信息技術(shù)在不中斷被審計業(yè)務(wù)系統(tǒng)的正常運行的 情況下，對業(yè)務(wù)系統(tǒng)的內(nèi)部控制進(jìn)行檢查與評估，連續(xù)監(jiān)測系統(tǒng)運作，評價情況下，對業(yè)務(wù)系統(tǒng)的內(nèi)部控制進(jìn)行檢查與評估，連續(xù)監(jiān)測系統(tǒng)運作，評價 系統(tǒng)安全性、有效性以及評價數(shù)據(jù)的真實性和完整性。系統(tǒng)安全性、有效性以及評價數(shù)據(jù)的真實性和完整性。 目前常用的連續(xù)在線審計方法有以下幾種：目前常用的連續(xù)在線審計方法有以下幾種： 1、系統(tǒng)控制審計檢查文件、系統(tǒng)控制審計檢查文件/嵌入式審計模型（嵌入式審計模型（SCARF/EAM）：）： 通過在應(yīng)用系統(tǒng)中嵌入特殊的審計軟件模塊，實現(xiàn)對系統(tǒng)有選擇的監(jiān)通過在應(yīng)用系統(tǒng)中嵌入特殊的審計軟件模塊，實現(xiàn)對系統(tǒng)有選擇的監(jiān) 測。測。 IS

19、審計師在認(rèn)為重要的控制點上嵌入審計模塊對系統(tǒng)中的事務(wù)進(jìn)行連審計師在認(rèn)為重要的控制點上嵌入審計模塊對系統(tǒng)中的事務(wù)進(jìn)行連 續(xù)的監(jiān)控，將收集的信息寫入一個特殊的審計文件續(xù)的監(jiān)控，將收集的信息寫入一個特殊的審計文件SCARF主文主文 件。件。NANJING AUDIT UNIVERSITY事務(wù)文件事務(wù)文件輸出主文件輸出主文件SCARF輸入主文件輸入主文件更新程序更新程序（含（含SCARF嵌入嵌入式審計模塊）式審計模塊）更新報告更新報告SCARF報告系統(tǒng)報告系統(tǒng)審計報告審計報告NANJING AUDIT UNIVERSITY 2、整體測試法（、整體測試法（ITF）：）： 通過在系統(tǒng)中建立虛擬實體（通過在

20、系統(tǒng)中建立虛擬實體（dummy entity），用正常系統(tǒng)運行，對），用正常系統(tǒng)運行，對 結(jié)果進(jìn)行比較分析，判斷控制。適用于一般測試數(shù)據(jù)不能有效測試系結(jié)果進(jìn)行比較分析，判斷控制。適用于一般測試數(shù)據(jù)不能有效測試系 統(tǒng)控制的情況統(tǒng)控制的情況 。 在實施整體測試方法時在實施整體測試方法時要注意要注意測試數(shù)據(jù)可能會進(jìn)入測試數(shù)據(jù)可能會進(jìn)入 被審計系統(tǒng)的真實數(shù)據(jù)環(huán)境。被審計系統(tǒng)的真實數(shù)據(jù)環(huán)境。 終端終端終端終端實際數(shù)據(jù)實際數(shù)據(jù)測試數(shù)據(jù)測試數(shù)據(jù)應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)ITF結(jié)果分結(jié)果分析比較析比較NANJING AUDIT UNIVERSITY 3、快照：、快照： 對輸入業(yè)務(wù)標(biāo)記，記錄業(yè)務(wù)的處理軌跡，適用于需要記錄

21、審計軌跡的對輸入業(yè)務(wù)標(biāo)記，記錄業(yè)務(wù)的處理軌跡，適用于需要記錄審計軌跡的 情況。情況。 事務(wù)事務(wù)輸入有效性輸入有效性確認(rèn)程序確認(rèn)程序快拍報告快拍報告出錯報告出錯報告輸入主輸入主文件文件更新程序更新程序更新報告更新報告快拍報告快拍報告輸出主輸出主文件文件報告程序報告程序快拍報告快拍報告管理報告管理報告快拍點快拍點1，2，3快拍點快拍點7快拍點快拍點4，5，6NANJING AUDIT UNIVERSITY 4、持續(xù)性與間歇性模擬（、持續(xù)性與間歇性模擬（CIS）：）： 采用計算機(jī)系統(tǒng)模擬事務(wù)采用計算機(jī)系統(tǒng)模擬事務(wù)/交易的執(zhí)行，當(dāng)事務(wù)交易的執(zhí)行，當(dāng)事務(wù)/交易滿足預(yù)定的標(biāo)準(zhǔn)，交易滿足預(yù)定的標(biāo)準(zhǔn)， 對該事務(wù)對該事務(wù)/交易進(jìn)行檢查，否則等待下一個滿足標(biāo)準(zhǔn)事務(wù)交易進(jìn)行檢查，否則等待下一個滿足標(biāo)準(zhǔn)事務(wù)/交易的輸入。交易的輸入。 適用于在已確定滿足某種條件的數(shù)據(jù)需要被檢查的情況。適用于在已確定滿足某種條件的數(shù)據(jù)需要被檢查的情況。 應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)數(shù)據(jù)庫數(shù)據(jù)庫管理系統(tǒng)管理系統(tǒng)CIS數(shù)據(jù)庫數(shù)據(jù)庫連續(xù)和間歇模擬連續(xù)和間歇模擬CIS原理原理異常日志異常日志事務(wù)事務(wù)建立標(biāo)準(zhǔn)建立標(biāo)準(zhǔn)比較比較NANJING AUDIT UNIVERSITY 5、審計鉤：、審計鉤： 在應(yīng)用系統(tǒng)中嵌入審計鉤程序，在審計人員既定的錯誤或不規(guī)范問題在應(yīng)用系統(tǒng)中嵌入審計鉤程序，在審計人員