審計機關開展信息系統審計初探

2014-11-08 20:47:53 大云網　點擊量：評論 (0)

　隨著信息技術的廣泛應用，以計算機和網絡為特征的信息系統日益普及，審計機關實施審計的信息很多來源于被審計單位的信息系統，這些信息系統是否安全、可靠和有效是審計工作順利開展的重要前提。對信息系統進行

　隨著信息技術的廣泛應用，以計算機和網絡為特征的信息系統日益普及，審計機關實施審計的信息很多來源于被審計單位的信息系統，這些信息系統是否安全、可靠和有效是審計工作順利開展的重要前提。對信息系統進行審計是信息化環境下新的審計模式，也是審計工作中一個重要環節，越來越受到審計機關的重視。為更好地履行審計監督的職能，完成信息化時代所賦予審計新的使命，本文針對現階段審計機關應采取哪些措施開展信息系統審計進行了初步探討。

　　一、什么是信息系統審計

　　信息系統審計是一個獲取并評價證據，以判斷信息系統是否能夠保證資產的安全、數據的完整，以及有效率地利用組織的資源并有效果地實現組織目標的過程（國際信息系統審計與控制協會ISACA的定義）。

　　目前審計機關信息系統審計主要有兩種方式，一種是將信息系統審計作為常規審計的一部分，為實現審計項目的總體目標服務，即數據審計、信息系統審計和系統內部控制審計“三位一體”的結合方式。信息系統審計和系統內部控制審計為數據審計服務，通過審計數據得出結論。另一種是獨立立項的，直接審計信息系統本身的安全性、可靠性和有效性。

　　二、為什么要開展信息系統審計

　　信息系統審計作為國家審計機關的一項重要工作，是信息化發展到一定程度的必然產物。

　　（一）開展信息系統審計是控制審計風險的要求。近幾年，審計紙質賬目時，內部控制也要審計，不能假賬真審。同樣的道理也不能假電子數據真審，如果被審計單位運載電子數據的信息系統的安全性、可靠性和有效性出現了問題，計算機數據審計就會存在風險，系統的可信與可靠程度是數據審計得以進行的前提和最終實現的基本條件。

　　（二）開展信息系統審計是全面履行審計職責的要求。信息化環境下的審計，電子數據、信息系統、系統內部控制審計必須“三位一體”，在審計過程中，這三項內容不能少。只有這樣，我們才能完成審計署黨組強調的“全面審計，突出重點”的要求，全面履行審計職責。

　　三、現階段如何開展信息系統審計

　　（一）提高全體審計人員信息系統審計的意識。

　　“審計人員不掌握計算機技術，將失去審計資格”這一觀點基本得到了八萬審計人員的認同，這些年計算機在審計領域得到了普遍的應用，數據審計得到了有力的推進，但大多數人對于信息系統審計的認識還不到位，對開展信息系統審計的必要性、緊迫性認識不足，甚至對開展信息系統審計的可行性持懷疑態度。為保證信息系統產生的數據真實完整，信息系統的安全、可靠和有效是前提，重大的審計項目，只要被審計單位應用的是信息系統，我們就必須審計信息系統，檢查系統內部控制，只有這樣才能防止假賬真審。

　　（二）學習國外先進的信息系統審計理論。

　　國際上的信息系統審計已經發展多年，信息系統審計最早出現于美國。20世紀60年代，人工數據處理開始轉向電子數據處理，產生了電子數據審計，可以看作是信息系統審計的雛形；20世紀90年代以來，隨著計算機信息系統的應用，出現了信息系統審計。成立于1969年的美國信息系統審計與控制協會ISACA，于1996年推出了用于“IT審計”的知識體系COBIT，作為IT治理的核心模型，COBIT包含34個信息技術過程控制，歸集為四個控制域：IT規劃和組織、系統獲得和事實、交付與支持以及信息系統運行性能監控。COBIT目前已成為國際上公認的IT管理與控制標準。ISACA協會制定了信息系統審計職業道德規范、準則、指南和程序。通過學習國外經驗，以去粗取精，去偽存真，可以使我們信息系統審計理論與實踐少走彎路，節約時間和資源。

　　（三）分層次進行信息系統審計人才的培養。

　　信息系統審計人才的培養應從三個方面入手：一是信息系統審計領軍人才的培養。信息系統審計是信息化環境下一種新的審計模式，是審計方式的重大變革，廳局長、處長的科學指導是這項工作得以開展的重要前提，可以通過短期培訓提高他們信息系統審計的意識，知曉通常的審計項目中，如何安排信息系統審計的內容。

　　二是信息系統審計師資的培訓。信息系統審計是一個交叉學科，要求教師既懂得信息科學的理論又通曉審計實務，可采取選拔優秀高校教師參加具體的審計項目，具備一定的審計實際經驗后擔當此任，也可以采取在審計署范圍內選拔具有信息系統審計實際經驗的計算機審計骨干，通過短期理論培訓走上講臺的方式，這兩種師資隊伍相比較而言，前者注重傳授理論，后者注重介紹審計實踐，只有這樣才能保證科學嚴謹、前后一致、各有側重。

　　三是信息系統審計專業人才的培養。可通過選送具有計算機專業背景的審計人員和通過審計署計算機中級考試的業務骨干參加審計署信息系統審計培訓班的方式，培養信息系統審計專業人才，培訓班學員應具備軟件工程、信息安全等方面的預備知識，培訓課程的安排可參照ISACA協會的COBIT標準，包括IT治理、信息系統開發過程審計、信息系統一般控制審計和信息系統應用控制審計等內容，可結合具體的信息系統審計案例講解。通過培訓使學員能夠編制信息系統審計方案，擔任信息系統審計主審。

　　（四）努力探索信息系統審計實踐。

　　一是調動全國審計系統力量，上下共同努力探索信息系統審計實踐。每年可由審計署機關領導擔任項目組長，在全國范圍內抽調信息系統審計高級人才開展一至兩個信息系統審計項目，同時鼓勵地方省廳、特派辦每年在署安排的項目中挑選一至兩個項目開展信息系統審計，繼續征集高水平的信息系統審計案例，充實信息系統審計案例庫。

　　二是分行業、分領域開展信息系統審計。不同行業、領域的信息系統開展的業務各不相同，都有其各自的特點，如金融、海關、稅務等，我們可以分領域進行人才的培養，由這些人才在各自的領域中探索信息系統審計的方法和程序，每個領域都要有意識地培養一兩個專家型的人才，并相對固定，每次審計都派這些人參加，以便起到事半功倍的效果。

　　三是將信息系統模塊化設計思想引入信息系統審計中。在信息系統審計中面對被審計單位龐大的信息系統，審計人員無從下手，有些信息系統被審計單位委托專業的軟件公司開發了好些年，中間又經過了多次的改版升級，投入上億元資金，如銀行、高速公路等信息系統。面對這樣的“巨無霸”可采取模塊化的審計方法，目前被審計單位的信息系統絕大多數都是采取結構化設計方法，由若干個功能不同的模塊組合在一起，模塊設計原則是高內聚低耦合，模塊之間聯系少，每個模塊相對獨立，鑒于這種情況我們可以先挑選一些最重要的模塊來審，將這些審計資料保存下來，下次審計的時候再審另外一些模塊，同時對比上次審的模塊有無變化，最后達到審計的目標。

　　（五）盡快建立適合中國國情的信息系統審計理論和方法。

　　審計署早在三年前就提出對信息系統審計進行探索，三年來無論是實踐還是科研都將信息系統審計列為重點之一，通過將審計機關在信息系統審計方面的探索與國外的經驗進行比較，發現國外的東西也僅能是借鑒。目前審計工作急需適合中國國情的信息系統審計準則和指南，這是信息系統審計進一步發展的要求，審計機關應加快進行信息系統審計方法體系研究，在實踐中不斷提煉總結，將審計人員的經驗上升成理論與方法，逐步建立適合中國國情的信息系統審計理論和方法。

　　信息系統審計是審計發展的新路徑，目前還處于探索或嘗試階段，還有相當多的問題，需要進一步研究、解決。我們相信在審計署黨組的正確領導下，在全體審計人員的共同努力下，一定會走出一條具有中國特色的信息系統審計之路，任重而道遠！