內(nèi)審人員開展信息系統(tǒng)審計指南針

在大智移云的今天，隨著各類組織加快上系統(tǒng)、上云，內(nèi)部審計作戰(zhàn)的陣地也加快由賬簿、制度向信息系統(tǒng)轉(zhuǎn)變。當(dāng)前受具有IT專業(yè)背景的內(nèi)審?fù)收急容^少、信息系統(tǒng)審計的實踐相對偏少、且各組織信息系統(tǒng)審計實踐呈現(xiàn)參差不齊的狀態(tài)等因素影響，信息系統(tǒng)審計需求的不斷增長與有效供給顯著不足的矛盾愈來愈突出，已成為困擾內(nèi)審?fù)实囊淮笸袋c。為了解決這一痛點，將行業(yè)標(biāo)桿關(guān)于信息系統(tǒng)審計的至佳實踐賦能內(nèi)審?fù)剩ㄟ^規(guī)范性的操作規(guī)程和方法，以規(guī)范信息系統(tǒng)審計行為，控制審計工作風(fēng)險，提高審計工作效率和質(zhì)量，更好地為組織的戰(zhàn)略目標(biāo)服務(wù)，更充分地發(fā)揮新時代內(nèi)部審計的價值，中國內(nèi)部審計協(xié)會組織編寫了《第3205號內(nèi)部審計實務(wù)指南——信息系統(tǒng)審計》（以下簡稱《指南》）。

為幫助內(nèi)審人員進一步了解《指南》的特點和主要內(nèi)容，推動《指南》的學(xué)習(xí)和應(yīng)用，我們邀請了《指南》起草人為您做如下解讀。

一、《指南》的主要特點

《指南》共分六章、14萬余字，看起來像一部大部頭的書，也許有的同仁一看就怕了，覺得離自己太遠(yuǎn)，心想：我不是學(xué)IT的，估計看不懂；IT雖然我略懂一二，但指南估計寫得很枯燥；我是做IT審計實務(wù)的，理論性的指南管用嗎？這么厚的指南，我什么時間能看完啊？還是不看了吧……

如果您有上述對《指南》的刻板印象，估計起草者要難過了……事實上，起草者從開始醞釀該指南的那天起，就定下了簡明易懂好用的原則，就是想讓同仁們真正懂指南、用指南，幫助同仁解決信息系統(tǒng)審計中遇到的實際困難和實際問題。

首先，《指南》盡可能減少使用復(fù)雜的專業(yè)術(shù)語，少量的專業(yè)術(shù)語也均給出了釋義，深入淺出，很容易理解。

其次，《指南》立足于審計實務(wù)，解決實際問題，幾乎沒有看起來空洞復(fù)雜的理論，和日常的審計工作息息相關(guān)。

第三，《指南》以風(fēng)險為基礎(chǔ)，以內(nèi)部控制為重點，審計的思路、方法與常規(guī)的審計工作是相通的，完全不難理解。

第四，《指南》以用戶為導(dǎo)向，堅持易于操作的原則，對各方面的審計列出了常見問題和風(fēng)險清單，方便應(yīng)用和操作。

第五，《指南》堅持源于實踐、遵循中國內(nèi)部審計協(xié)會2014年發(fā)布實施的《信息系統(tǒng)審計準(zhǔn)則》的思路，根據(jù)信息化不斷演進變化的實際情況做適當(dāng)拓展，您不僅能看到常見的信息系統(tǒng)審計內(nèi)容，而且能了解到云安全、數(shù)據(jù)安全、移動互聯(lián)網(wǎng)安全、物聯(lián)網(wǎng)安全等新興的審計內(nèi)容。

第六，《指南》涵蓋了當(dāng)下信息系統(tǒng)審計的絕大部分的內(nèi)容，也許有些工作在您的組織中還并未開展，但《指南》的前瞻性和指導(dǎo)性一定會為您在實際工作中提供有益的幫助。

所以，希望您擯棄對《指南》的刻板印象，學(xué)習(xí)《指南》，應(yīng)用《指南》。因為，這本具有全面性和系統(tǒng)性特點的《指南》能幫助您解決信息系統(tǒng)審計實踐中遇到的問題和困惑，為您拓寬視角，打開思路。

二、《指南》有什么？

《指南》共分六章，其中：

第一章介紹了信息系統(tǒng)審計的基本概念、內(nèi)容體系和審計程序等基礎(chǔ)理論，提出了關(guān)于信息系統(tǒng)審計的總體概念框架?？赐瓯菊?，您會對信息系統(tǒng)審計的目標(biāo)、原則、特點、內(nèi)容、程序、方法、工具等有全面的了解。

第二章介紹了組織層面信息系統(tǒng)管理控制審計。組織層面信息系統(tǒng)管理控制是企業(yè)信息化設(shè)計與建設(shè)的關(guān)鍵。看完本章，您不僅會對堪稱組織信息化建設(shè)頂層設(shè)計的信息系統(tǒng)治理審計、信息系統(tǒng)與業(yè)務(wù)目標(biāo)一致性審計深入了解，而且會對信息系統(tǒng)投資與績效、組織與制度、風(fēng)險管理、項目管理等審計有更深入的認(rèn)識。

第三章介紹了信息系統(tǒng)一般控制審計。看完本章，您將登堂入室，對于應(yīng)用系統(tǒng)開發(fā)、測試與上線，信息系統(tǒng)運維與服務(wù)管理，信息安全管理等傳統(tǒng)的IT審計項目，有了比較全面的掌握。

第四章介紹了信息系統(tǒng)應(yīng)用控制審計?？赐瓯菊?，您將曲徑通幽，對于核心業(yè)務(wù)流程控制，應(yīng)用系統(tǒng)輸入控制、處理控制、輸出控制，信息共享與業(yè)務(wù)協(xié)調(diào)等審計內(nèi)容，有了更清晰的工作路徑。

第五章介紹了信息系統(tǒng)相關(guān)專項審計。這一章，基礎(chǔ)與升級并存。既有常見的信息科技外部審計、災(zāi)備與業(yè)務(wù)連續(xù)性審計、關(guān)鍵信息基礎(chǔ)設(shè)施安全審計等專項審計的內(nèi)容，又有云安全審計、數(shù)據(jù)安全審計、移動互聯(lián)網(wǎng)安全審計、工控系統(tǒng)安全審計、物聯(lián)網(wǎng)安全審計等新興安全審計的內(nèi)容。如果您能對這一章的內(nèi)容應(yīng)用自如，您將成為一名資深I(lǐng)T審計專家。

第六章介紹了信息系統(tǒng)審計的質(zhì)量控制。審計質(zhì)量是審計工作的生命線。無論是傳統(tǒng)審計，還是信息系統(tǒng)審計，都要強化審計的質(zhì)量控制。一方面，要加強審計全過程的質(zhì)量控制；另一方面，還要加強審計人員的專業(yè)勝任能力培養(yǎng)。

附錄包含了本指南中的相關(guān)術(shù)語、主要法規(guī)參考標(biāo)準(zhǔn)及相關(guān)實務(wù)案例。通過這部分的繼續(xù)學(xué)習(xí)，您既可以了解更多關(guān)于信息系統(tǒng)審計的法規(guī)、標(biāo)準(zhǔn)、文獻，又可以將信息系統(tǒng)審計的計劃、方案拿來所用。

三、《指南》怎么用？

如果您正在從事信息系統(tǒng)審計工作，《指南》可以作為您的工具書，時常用來參考，結(jié)合您所在組織實際情況，進一步拓展您工作的寬度和深度。

如果您希望了解和學(xué)習(xí)信息系統(tǒng)審計知識經(jīng)驗，《指南》可以作為您的教科書，全面系統(tǒng)地幫您補足短板。

如果您是其他組織或者人員接受委托、聘用，承辦或者參與內(nèi)部審計業(yè)務(wù)的人員，《指南》可以作為您參考的工作標(biāo)準(zhǔn)，指導(dǎo)您為客戶交付更好的審計成果。

如果您是信息系統(tǒng)的設(shè)計者、建設(shè)者或管理者，《指南》可以作為您的“燈塔”，指引您正確設(shè)計、建設(shè)和運維，避開盲目建設(shè)、重復(fù)建設(shè)、信息孤島、信息安全事件等“暗礁”和“漩渦”。

《指南》由中國內(nèi)部審計協(xié)會組織，由中國石油化工集團審計部和北京谷安天下科技有限公司共同編寫，歷時兩年半時間完成。希望《指南》能為更多內(nèi)審?fù)寿x能。同時，也希望更多同仁在學(xué)習(xí)和應(yīng)用《指南》的過程中，提出進一步完善的意見和建議，不斷推動信息系統(tǒng)審計實踐的深入發(fā)展。

附件：第3205號內(nèi)部審計實務(wù)指南——信息系統(tǒng)審計.pdf