審計署2011年信息系統(tǒng)審計培訓(xùn)班-信息系統(tǒng)審計報告

1、審計署2011年信息系統(tǒng)審計培訓(xùn)班信息系統(tǒng)審計報告上海市審計局 李強(qiáng)議程項(xiàng)目概覽醫(yī)保三期工程案例酒店ERP系統(tǒng)案例網(wǎng)上辦事工程案例思考與展望找準(zhǔn) “切入點(diǎn)”系統(tǒng)審計信息化項(xiàng)目竣工決算審計財務(wù)賬套轉(zhuǎn)換數(shù)據(jù)審計計算機(jī)審計與信息技術(shù)處審計業(yè)務(wù)主要工作范圍信息系統(tǒng)審計“常態(tài)化”2. 信息系統(tǒng)審計“立體化” 涉及金融、投資、行政事業(yè)、企業(yè)、社保、資源環(huán)保等多個審計領(lǐng)域 涉及經(jīng)責(zé)審計、竣工決算審計、審計調(diào)查等多種審計類型 涉足CISA中各大方面，探索項(xiàng)目外包審計、業(yè)務(wù)連續(xù)性審計等多個事項(xiàng) 1. 信息系統(tǒng)審計“常態(tài)化” 立足本處投資審計項(xiàng)目，增加數(shù)量且找準(zhǔn)關(guān)注點(diǎn) 探索局年度審計計劃中初步明確計算機(jī)審計需求

2、上報信息系統(tǒng)審計案例07/08200920102011302712信息系統(tǒng)審計“強(qiáng)動力”業(yè)務(wù)需求數(shù)據(jù)審計系統(tǒng)審計計審處業(yè)務(wù)處1 + 1 2協(xié)作、互利、共贏項(xiàng)目總攬已開展12個信息系統(tǒng)審計項(xiàng)目全為結(jié)合式項(xiàng)目（經(jīng)責(zé)、投資為主）發(fā)現(xiàn)問題47個探索ERP系統(tǒng)審計、業(yè)務(wù)連續(xù)性審計等創(chuàng)新工作方式項(xiàng)目結(jié)合方式：信息系統(tǒng)審計 + 信息化項(xiàng)目竣工決算審計項(xiàng)目組織形式：獨(dú)立開展4個，業(yè)務(wù)處合作8個項(xiàng)目質(zhì)量保證： 預(yù)評估 + 后評估創(chuàng)新審計方法金融行業(yè)信息系統(tǒng)審計重點(diǎn)課題創(chuàng)新審計技術(shù)（源代碼分析、可視化數(shù)據(jù)分析）審計成果安全性有效性經(jīng)濟(jì)性發(fā)現(xiàn)問題16個發(fā)現(xiàn)問題17個發(fā)現(xiàn)問題14個安全性有效性經(jīng)濟(jì)性12個項(xiàng)目共發(fā)現(xiàn)問

3、題47個！加深對信息系統(tǒng)審計的理解總體控制一般控制應(yīng)用控制安全性有效性經(jīng)濟(jì)性安全性是基礎(chǔ)有效性是基本要求經(jīng)濟(jì)性是項(xiàng)目績效三個案例介紹醫(yī)保三期工程審計酒店ERP系統(tǒng)審計網(wǎng)上辦事工程審計案例介紹安全性有效性經(jīng)濟(jì)性議程項(xiàng)目概覽醫(yī)保三期工程案例酒店ERP系統(tǒng)案例網(wǎng)上辦事工程案例思考與展望審計思路Step 1Step 2Step 3Title in here實(shí)時費(fèi)用結(jié)算系統(tǒng)Title in here應(yīng)用級災(zāi)備系統(tǒng)Title in here應(yīng)急系統(tǒng)項(xiàng)目組認(rèn)真研究項(xiàng)目特點(diǎn)，提出審計思路：1.系統(tǒng)安全性 2.數(shù)據(jù)準(zhǔn)確性 3.投資效益性審計思路審計過程及測試方法基本情況摸底 查閱訪談分析 確定審計重點(diǎn) 采集標(biāo)準(zhǔn)

4、接口數(shù)據(jù) 實(shí)地察看 針對性訪談 根據(jù)實(shí)施階段采集的證據(jù)和數(shù)據(jù)分析結(jié)果，對審計發(fā)現(xiàn)的問題進(jìn)行分類匯總，并納入審計報告調(diào)查階段報告階段實(shí)施階段審計過程及測試方法檢查災(zāi)備系統(tǒng)運(yùn)行災(zāi)備系統(tǒng)存在安全隱患檢查安全防護(hù)情況分析數(shù)據(jù)備份原理業(yè)務(wù)連續(xù)性審查結(jié)論磁盤鏡像(磁盤塊)5臺防火墻停用審計過程及測試方法檢查數(shù)據(jù)傳輸安全數(shù)據(jù)傳輸存在安全隱患檢查加密情況檢查接口調(diào)用數(shù)據(jù)安全檢查結(jié)論無需建立會話明文傳輸審計過程及測試方法檢查機(jī)房環(huán)境機(jī)房存在安全隱患檢查供電體系檢查進(jìn)出控制機(jī)房安全檢查結(jié)論同一供電所商住兩用樓電梯違規(guī)使用審計過程及測試方法訪談運(yùn)維部門管理不到位，導(dǎo)致系統(tǒng)服務(wù)中斷檢查運(yùn)維制度調(diào)閱運(yùn)維報告運(yùn)維情況檢查

5、結(jié)論表空間滿交易系統(tǒng)中斷30分初步審計成果安全性災(zāi)備系統(tǒng)存在安全隱患（業(yè)務(wù)連續(xù)性）數(shù)據(jù)傳輸存在安全隱患 機(jī)房存在安全隱患 管理不到位，導(dǎo)致系統(tǒng)中斷服務(wù)有效性經(jīng)濟(jì)性數(shù)據(jù)接口缺陷 2臺核心交換機(jī)閑置未用 2臺小型機(jī)閑置未用投資效益多計項(xiàng)目投資*萬元多計系統(tǒng)集成費(fèi)*萬元多計招投標(biāo)代理費(fèi)*萬元多計投資監(jiān)理費(fèi)*萬元概算外及超概算投資*萬元議程項(xiàng)目概覽醫(yī)保三期工程案例酒店ERP系統(tǒng)案例網(wǎng)上辦事工程案例思考與展望審計思路門店管理系統(tǒng) ERP系統(tǒng)辦公系統(tǒng) 中央數(shù)據(jù)系統(tǒng)訂房系統(tǒng) 項(xiàng)目組認(rèn)真研究項(xiàng)目特點(diǎn)，提出審計思路： 1.接口的有效性 2.數(shù)據(jù)的有效性 3.應(yīng)用效益性審計思路審計過程及測試方法基本情況摸底 查閱

6、訪談分析 確定審計重點(diǎn) 采集業(yè)務(wù)數(shù)據(jù) 實(shí)地察看 針對性訪談 根據(jù)實(shí)施階段采集的證據(jù)和數(shù)據(jù)分析結(jié)果，對審計發(fā)現(xiàn)的問題進(jìn)行分類匯總，并納入審計報告調(diào)查階段報告階段實(shí)施階段審計過程及測試方法調(diào)閱手工對賬單 PMS與辦公系統(tǒng)接口設(shè)計存在缺陷，ERP系統(tǒng)不能真實(shí)反應(yīng)業(yè)務(wù)系統(tǒng)的信息 PMS與ERP系統(tǒng)接口設(shè)計不合理，ERP業(yè)務(wù)系統(tǒng)數(shù)據(jù)失真檢查接口標(biāo)準(zhǔn)比對系統(tǒng)間數(shù)據(jù)接口有效性審查結(jié)論系統(tǒng)間數(shù)據(jù)有差異報表需多次調(diào)整審計過程及測試方法了解項(xiàng)目組織方式 IT部與ERP小組缺乏協(xié)調(diào)，影響工作效率 檢查項(xiàng)目管理辦法調(diào)查項(xiàng)目協(xié)調(diào)機(jī)制項(xiàng)目管理有效性審查結(jié)論已有模塊未整合ERP組與IT部平行初步審計成果門店系統(tǒng)與辦公系統(tǒng)接

7、口設(shè)計存在缺陷，導(dǎo)致ERP系統(tǒng)不能真實(shí)反應(yīng)業(yè)務(wù)系統(tǒng)的信息門店系統(tǒng)與ERP系統(tǒng)接口設(shè)計不合理，導(dǎo)致ERP業(yè)務(wù)系統(tǒng)數(shù)據(jù)失真IT部與ERP小組缺乏協(xié)調(diào)，影響工作效率門店系統(tǒng)服務(wù)器存在安全隱患 有效性安全性ERP采購過程與實(shí)際業(yè)務(wù)處理未同步會員卡數(shù)據(jù)有效時間被更改，導(dǎo)致會員卡收入損失經(jīng)濟(jì)性議程項(xiàng)目概覽醫(yī)保三期工程案例酒店ERP系統(tǒng)案例網(wǎng)上辦事工程案例思考與展望審計思路政務(wù)信息收集整理綜合政務(wù)信息查詢領(lǐng)導(dǎo)決策輔助系統(tǒng)信息發(fā)布數(shù)據(jù)倉庫應(yīng)用應(yīng)用監(jiān)管子平臺應(yīng)用安全系統(tǒng)電子表格系統(tǒng)工作流引擎行政審批系統(tǒng)協(xié)同辦事系統(tǒng)網(wǎng)上調(diào)查投訴處理網(wǎng)上辦事互動服務(wù)子平臺業(yè)務(wù)監(jiān)控授權(quán)管理資源訪問管理審計過程及測試方法報告階段實(shí)施階段審前調(diào)查支持信息化項(xiàng)目竣工決算審計審計過程及測試方法投資效益查閱測試報告比對可研執(zhí)行檢查重復(fù)開發(fā)關(guān)注經(jīng)濟(jì)性XX網(wǎng)上辦事工程梳理交付模塊演示具體應(yīng)用分析syslog查可研咨詢報告盤點(diǎn)交付功能可視化分析使用情況分析試點(diǎn)項(xiàng)目調(diào)閱營運(yùn)報告可視化分析使用效果1. 資源閑置2. 應(yīng)用廣度3. 應(yīng)用深度4. 推廣力度初步審計成果軟件開發(fā)應(yīng)用推廣資源整合分析系統(tǒng)應(yīng)用有待進(jìn)一步深化 數(shù)據(jù)交換軟件面臨長期閑置 8個平臺模塊未應(yīng)用 應(yīng)用推廣有待加強(qiáng) 投資效益議程項(xiàng)目概覽醫(yī)保三期工程案例酒店ERP系統(tǒng)案例網(wǎng)上辦事工程案例思考與展望思