數(shù)據(jù)合規(guī)審計(jì) 指南

準(zhǔn)Datacomplianceaudit—Guidel中國(guó)電子信息行業(yè)聯(lián)合會(huì)發(fā)布I易所有限公司、深圳數(shù)據(jù)交易所有限公司、東、單哲、才君、詹特倫、趙亮、張婧、何淵、石鋒、陳泓汲、劉建楠 I IV 1 1 1 2 24.2專業(yè)性 24.3合法性 24.4充分性 2 2 2 3 3 3 4 6 6 6 67.7風(fēng)險(xiǎn)分析 7 8 97.10審計(jì)結(jié)果與審計(jì)結(jié)論 107.11合規(guī)義務(wù) 10 11 118.2數(shù)據(jù)和數(shù)據(jù)資產(chǎn) 128.3數(shù)據(jù)環(huán)境 138.4數(shù)據(jù)相關(guān)行為 148.5應(yīng)用系統(tǒng)和工具平臺(tái) 178.6數(shù)據(jù)合規(guī)管理 17 19 19 19 209.4審計(jì)報(bào)告 21 23 23 23 23 23 23 23 23 24 24 25 25 25 25 26 27《數(shù)據(jù)合規(guī)管理體系要求》（T/CITIF001-2022）基于我國(guó)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)計(jì)人員提供執(zhí)行標(biāo)準(zhǔn)，同時(shí)為數(shù)據(jù)合規(guī)審計(jì)報(bào)告《中國(guó)注冊(cè)會(huì)計(jì)師其他鑒證業(yè)務(wù)準(zhǔn)則第3101號(hào)－歷史財(cái)務(wù)信息審計(jì)1數(shù)據(jù)合規(guī)審計(jì)指南GB/T9387.2-1995信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型第2部分：安全體系結(jié)構(gòu)GB/T20945-2013信息安全技術(shù)信息系統(tǒng)安全審計(jì)產(chǎn)品技術(shù)要求和測(cè)試評(píng)價(jià)GB/T34960.4-2017信息技術(shù)服務(wù)治理第4部分：審計(jì)GB/T35273-2020信息安全技術(shù)個(gè)人信息安全GB/T36073-2018數(shù)據(jù)管理能力成熟度評(píng)估GB/T37964-2019信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)GB/T37973-2019信息安全技術(shù)大數(shù)據(jù)安全管GB/T39412-2020信息安全技術(shù)代碼安全審計(jì)GB/T40685-2021信息技術(shù)服務(wù)數(shù)據(jù)資產(chǎn)管理GB/Z41290-2022信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)安全審計(jì)T/CITIF001-2022數(shù)據(jù)合規(guī)管理體系要求3.1數(shù)據(jù)合規(guī)審計(jì)datacomplianc審計(jì)機(jī)構(gòu)根據(jù)商定的法律法規(guī)要求，對(duì)被審計(jì)單位數(shù)據(jù)3.2相關(guān)部門、數(shù)據(jù)治理活動(dòng)、涉及數(shù)據(jù)的經(jīng)濟(jì)活動(dòng)、數(shù)據(jù)資源與相關(guān)數(shù)據(jù)處理活動(dòng)等。3.423.53.6數(shù)據(jù)合規(guī)審計(jì)中根據(jù)審計(jì)目標(biāo)和目的確認(rèn)的被審計(jì)單位擁有的數(shù)3.73.84基本原則開展審計(jì)工作的機(jī)構(gòu)、人員未參與被審計(jì)單位4.2專業(yè)性4.3合法性4.4充分性4.5公允性3根據(jù)審計(jì)主體和審計(jì)方式的不同，數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目分為以下幾種基本計(jì)內(nèi)容的全面性，評(píng)價(jià)合規(guī)管理活動(dòng)在設(shè)計(jì)、運(yùn)行等方面的有47.2審計(jì)主體a)起草數(shù)據(jù)合規(guī)審計(jì)的章程、制度、準(zhǔn)則和流程；b)制定數(shù)據(jù)合規(guī)審計(jì)的中長(zhǎng)期規(guī)劃；f)確保能直接與治理層進(jìn)行溝通及匯報(bào)；g)當(dāng)存在偏離某項(xiàng)審計(jì)準(zhǔn)則或標(biāo)準(zhǔn)的情形時(shí)，宜有其他可替代的a)進(jìn)行獨(dú)立性、客觀性評(píng)價(jià)；b)進(jìn)行服務(wù)結(jié)果評(píng)價(jià)和利用。5c)具備數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)評(píng)估的專業(yè)知識(shí)和技d)掌握審計(jì)、標(biāo)準(zhǔn)化、財(cái)務(wù)及管理等通用知識(shí)和技能；e)應(yīng)具備至少三年的數(shù)據(jù)合規(guī)審計(jì)相關(guān)的工作經(jīng)驗(yàn)，能夠熟練運(yùn)用數(shù)據(jù)合規(guī)審計(jì)相關(guān)的軟件和f)擁有與數(shù)據(jù)合規(guī)審計(jì)工作相關(guān)的基本技能、專業(yè)技能和軟技能；g)擁有與所處管理或業(yè)務(wù)崗位相適應(yīng)的數(shù)據(jù)合規(guī)職業(yè)資格及經(jīng)驗(yàn)；a)遵循《中國(guó)注冊(cè)會(huì)計(jì)師其他鑒證業(yè)務(wù)準(zhǔn)則第b)充分利用外部專家的專業(yè)知識(shí)和技能，準(zhǔn)確理解和評(píng)價(jià)數(shù)據(jù)合規(guī)義務(wù)是否得到履行；d)審計(jì)人員利用專家的工作，并不能免a)明確審計(jì)人員在數(shù)據(jù)合規(guī)審計(jì)過程中的角色和職責(zé)；審計(jì)機(jī)構(gòu)應(yīng)與被審計(jì)單位共同建立數(shù)據(jù)合規(guī)審計(jì)溝通機(jī)制，并通過以下活動(dòng)保障審計(jì)工作開展過a)確保數(shù)據(jù)合規(guī)審計(jì)機(jī)構(gòu)的獨(dú)立性和追責(zé)制；b)明確數(shù)據(jù)合規(guī)審計(jì)機(jī)構(gòu)與其他部門之間的溝通方式；b)制定數(shù)據(jù)合規(guī)審計(jì)績(jī)效考核制度；6審計(jì)機(jī)構(gòu)應(yīng)建立數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目的風(fēng)險(xiǎn)管理機(jī)制，并通過7.3審計(jì)目標(biāo)和目的數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目的總體目標(biāo)是鑒證被審計(jì)單位數(shù)據(jù)合規(guī)義務(wù)履行情況。審計(jì)人員應(yīng)根據(jù)每個(gè)項(xiàng)7.4審計(jì)依據(jù)7.5審計(jì)范圍數(shù)據(jù)治理、授權(quán)和認(rèn)證管理、關(guān)鍵人員管理等行為操7.6審計(jì)重點(diǎn)77.7風(fēng)險(xiǎn)分析依賴于審計(jì)人員是否采取合理的審計(jì)方法及規(guī)范執(zhí)行審計(jì)a)被審計(jì)單位的數(shù)據(jù)環(huán)境滿足安全可信要求時(shí)，審計(jì)人員在測(cè)試并確認(rèn)相關(guān)人員的管理流程中風(fēng)險(xiǎn)應(yīng)對(duì)措施的設(shè)計(jì)和執(zhí)行有效性實(shí)施審計(jì)工d)當(dāng)被審計(jì)單位的數(shù)據(jù)合規(guī)管理從體系設(shè)計(jì)到管理流程存在重大缺87.8審計(jì)方案97.9審計(jì)證據(jù)a)審計(jì)結(jié)果應(yīng)記錄測(cè)試過程中發(fā)現(xiàn)的異?；蚶馇闆r的完整信息；c)當(dāng)一項(xiàng)測(cè)試的結(jié)果不能充分