it审计论文例1

一般来说，实现全面的IT审计，应当从审计对象的整个生命周期领域、审计对象及组织层次来开展。

一.IT审计范围

进行IT审计的对象包括但不限于以下领域：1.管理组织与制度；2.项目管理流程规范性 ，包括应用系统的开发、测试与上线管理；3.基础设施及运维管理；4.信息安全管理；

IT审计涉及的应用系统包括但不限于以下领域：1.生产系统；2.营销系统；3.办公自动化系统；

IT审计涉及的组织层次包括但不限于以下领域：1.高层决策者；2.中层管理者；3.技术部门员工；4.业务部门员工。

二.IT审计具体实施

ELC（entity level control）控制。关注客户在IT治理方面的相关组织架构是否合理，管理制度是不是健全，具体的审计程序就是获取客户的组织结构图，及一些比较虚的总纲类的书面管理制度如《IT管理制度》等等。

系统开发和变更。关注系统开发和系统后续变更实施中的控制，具体的审计程序首先就是获取系统开发及变更相关的管理制度，该文原载于中国社会科学院文献信息中心主办的《环球市场信息导报》杂志http：//总第522期2013年第39期-----转载须注名来源如调阅《系统开发制度》《系统变更管理制度》，二是关注系统开发过程的合理性，如是否经过了需求提出、可行性研究、领导层审批，系统上线之前是否经过了充分的测试，获取一些内控痕迹和表单，如《××系统需求报告》、《××系统可行性报告》、《××系统立项审批单》、《××系统单元测试报告》、《××系统集成测试报告》、《××系统上线审批单》，《变更审批单》，采取抽样后穿行测试。

操作系统及数据库控制。关注操作系统和数据库的控制，如登录时密码控制强度、敏感操作的权限分配、日志的保存。

应用系统控制。关注应用系统控制的合理性。如银行使用的综合业务系统（有的叫核心业务系统）、国际结算系统、大小额系统、信贷管理系统等等，关注其安全配置和用户权限。

接口控制与信息安全。关注其数据准确性、完整性、以及组织级的网络管理的相关制度，如防火墙的架构，内外网分离程度等。

三.IT审计依据

IT审计依据的来源基本上业界都有很充分的理论依据以及最佳实践，以下IT控制标准、法律法规、行业最佳实践都可作为IT审计的依据。

IT标准、规范及最佳实践； 企业内控框架-COSO；IT治理-COBIT、ISO 38500；IT规划与架构设计-Zachman、TOGAF、FEA；IT应用系统开发与运维-软件开发规范、CMMI、ISO9126；IT基础设施生命周期管理-网络、主机、安全等设备管理规范；IT服务管理-ITIL、ISO20000；IT项目控制-PMP、Prince2、项目监理规范；信息安全管理-ISO27001、ISO27002；业务连续性计划-BS25999、ANSI/NFPA 1600；IT应用控制-输入控制、处理控制及输出控制；IT资源协同-EAI、SOA、共享中心等……

目前，信息系统的正常运行已经成为银行业务正常运营的最基本条件之一，信息科技在有力提升银行核心竞争力的同时，信息科技风险也愈发突出和集中，信息科技风险控制已成为银行业风险管理的重要内容，而IT审计作为银行业风险管理体系的重要组成部分，其重要性和必要性已经日益得到银行业管理层的关注。

it审计论文例2

随着信息技术的兴起，信息系统已经渗透到社会生活的方方面面，它在给人们带来便利与效益的同时，也带来了很多负面影响，如计算机犯罪案件的频频发生等，系统安全问题日益严峻。于是一个不容回避的问题——我国企业如何有效地开展信息技术审计（information technology audit，以下简称it审计），保证信息系统安全，摆在我们面前。本文拟对此进行探讨。

一、it审计的定义及其特点

it审计是指对信息系统从计划、研发、实施到运行维护各个过程进行审查与评价的活动，以审查企业信息系统是否安全、可靠、有效，保证信息系统得出准确可靠的数据。由以上定义可知，it审计的目标是保证it系统的可用性、安全性、完整性和有效性，最终达到强化企业内部控制的目的。

该审计过程具有以下特点：

1.it审计是一个过程。它通过获取的证据判断信息系统是否能保证资产的安全、数据的完整和组织目标的实现，它贯穿于整个信息系统生命周期的全过程。

2.it审计的对象综合且复杂。it审计从纵向（生命周期）看，覆盖了信息系统从开发、运行、维护到报废的全生命周期的各种业务；从横向（各阶段截面）看，它包含对软硬件的获取审计、应用程序审计、安全审计等。it审计将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.it审计拓宽了传统审计的目标。传统审计目标仅仅包括“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”；但it审计除了上述目标外，还包括信息资产的安全性、数据的完整性及系统的可靠性、有效性和效率性。

4.it审计是一种基于风险基础审计的理论和方法。it审计从基于控制的方法演变为基于风险的方法，其内涵包括企业风险管理的整体框架，如内部环境的控制、目标的设定、风险事项的识别、风险的评估、风险的管理与应对、信息与沟通以及对风险的监控。

二、我国it审计面对的挑战

it审计和传统审计相比具有的上述特点是吸引我国众多企业引入it审计的重要原因，但是这种方法的应用又会给企业提出巨大的挑战。

1.传统审计线索的消失。在手工会计环境下，审计线索主要来自于纸质原始凭证、记账凭证、会计账簿和会计报表，这些书面数据之间的勾稽关系使得数据若被修改可辨识出修改的线索和痕迹，这就是传统审计线索的基本特征。但是现在计算机网络信息系统中这些数据直接记录在磁盘和光盘上，无纸张记录，审计人员用肉眼无法直接看到这些数据如何记录，且非法修改删除原始数据也可以不留篡改的痕迹，从而为舞弊人员作案留有可乘之机。尽管许多审计机构要求已实现会计信息化的企业将所有原始凭证、记账凭证、账簿、报表打印输出，使用绕开计算机系统的审计方法，并以打印出的证、账、表作为基本审计的线索和依据。但是如果原始数据在业务发生时就被有意篡改，则其派生的记账凭证金额和账户余额及报表数据也一定会出错，打印出的数据也不能作为审计证据。因此即使打印出所有电子数据，传统审计线索也会在计算机信息系统下完全消失。

2.计算机信息系统的数据安全面临挑战。手工信息处理的环境下，审计人员无须将数据和会计信息的安全性问题作为审计的重要内容，但是在it审计的工作中，网络电子交易数据的安全是关系到交易双方切身利益的关键问题，也是企业计算机网络应用中的重大障碍和审计的首要问题。例如计算机病毒的破坏、黑客用 ip地址欺骗攻击网络系统来获取重要商业秘密、内部人员的计算机舞弊、数据丢失等，都是传统审计从未涉及的，但又是it审计的重点，这对当前我国的审计工作无论是操作系统，还是制度建立等众多方面都是一个很大的挑战。

3.it审计专业人才匮乏，适应it审计事业发展的人才培养和管理机制还有待建立和健全。由于it审计固有的复杂性，这项工作需要具备会计、审计、组织管理和计算机、网络技术等综合知识的人才，而且工作人员需要对内部控制和审计有深刻的理解，对信息和网络技术有敏锐的捕捉能力，在我国获得注册信息系统审计师资格的人数远远不能满足信息系统审计业务的需求。

三、我国it审计应对策略

面对上述挑战，我们应当多方位、多角度制订措施，使it审计工作更好地为我国企业发展做出贡献。具体措施如下：

1.审计线索的重建。根据计算机网络系统容易在不同地方同时形成相同“原本”数据的特点，可以重建电子审计线索：在电子化的原始数据形成时，同时在审计机构（包括内审机构）和关系紧密（签字确认）的部门形成原始数据的“原本”，或在不同部门各自形成相关的数据库（特别应当包括数量、金额和单价等主要数据项），这样不仅可以相互监督和牵制，还给计算机审计提供可信的审计线索。这种保留审计线索的方法，一方面成为有力的控制手段，另一方面可从审计线索中发现疑点。这种方法主要是应用专用的审计比较软件，同时将几个部门的同一种数据库进行自动比较形成有差异的数据记录文件，详细审查相关的数据文件和访问有关的当事人，从而取得有力的审计证据。上述比较审计方法是在不同部门同时形成业务数据文件的情况下应用，如果企业业务数据分离存放，如销售合同与销售发票、提货单在不同的部门保存，这种实质性测试也可采用比较审计法，应用专用的审计软件，结合相关的几个业务数据文件进行比较，查出有错误疑点的记录。

2.确保信息系统的信息安全。为了保证信息系统的信息安全，it审计工作人员要在审计过程中评价企业的防火墙技术、网络系统的防病毒功能、数据加密措施、身份认证和授权的应用实施情况，通过面谈实地审查企业安全管理制度建立和执行的情况，查看企业是否为了预防计算机病毒，对外来的软件和传输的数据经过病毒检查，业务系统是否严禁使用游戏软件，以及是否配置了自动检测关键数据库的软件，使异常及时被发现；检测企业是否为了防范黑客入侵，网络交易的数据库采用离散结构，同时在不同的指定网点（如在交易的双方）形成完整的业务数据备份供特殊使用（如审计和监控）；此外it审计人员还要注意检查企业的信息系统岗位责任实施、安全日志制度，审查有关计算机安全的国家法律和管理条例的执行情况。

3.建立一支完备的it审计专业人才队伍。it审计的发展必须有一大批专业化的it审计人才，这就要求我们要采取短期培训和长期培养、操作层面上的培训与高层次人才的培养、在职人员培训与未来人才培养相结合的方法将这支队伍逐渐发展起来。此外我国可以从现有的审计队伍中选拔人员进行专门的信息系统审计培训，并考虑在注册会计师的资格考试和审计师职称考试中逐步加入计算机、信息系统和网络技术等与信息系统审计有关的内容，以及加强对从事信息化咨询的it技术人员的会计与审计知识的培训。为了培养未来审计人员，应在高校会计、审计专业教学计划中增加信息技术和电子商务等内容，也可以考虑在高校中开设信息系统审计专业，直接培养信息系统审计专业人才。

当前我国it审计正处于起步阶段，和传统审计相比，it审计的显著特点决定了其势在必行，但是一种新的方法的引入和实施必定会给企业和审计人员带来巨大的挑战，面对种种挑战我们应采取积极措施，迎难而上，使it审计工作不断发展完善。

主要参考文献

［1］张茂燕． 论我国的信息系统审计［d］． 厦门:厦门大学，2005.

［2］陈朝.我国信息化建设中信息系统审计问题研究［d］．长春：东北师范大学， 2006.

［3］邓少灵． 企业it审计的框架［j］．中国审计，2002（1）.

［4］李健，朱锦淼，王晓兵． it审计——人民银行内审面临的新挑战［j］．金融理论与实践，2003（6）.

it审计论文例3

随着信息技术的兴起，信息系统已经渗透到社会生活的方方面面，它在给人们带来便利与效益的同时，也带来了很多负面影响，如计算机犯罪案件的频频发生等，系统安全问题日益严峻。于是一个不容回避的问题——我国企业如何有效地开展信息技术审计（information technology audit，以下简称it审计），保证信息系统安全，摆在我们面前。本文拟对此进行探讨。

一、it审计的定义及其特点

it审计是指对信息系统从计划、研发、实施到运行维护各个过程进行审查与评价的活动，以审查企业信息系统是否安全、可靠、有效，保证信息系统得出准确可靠的数据。由以上定义可知，it审计的目标是保证it系统的可用性、安全性、完整性和有效性，最终达到强化企业内部控制的目的。

该审计过程具有以下特点：

1.it审计是一个过程。它通过获取的证据判断信息系统是否能保证资产的安全、数据的完整和组织目标的实现，它贯穿于整个信息系统生命周期的全过程。

2.it审计的对象综合且复杂。it审计从纵向（生命周期）看，覆盖了信息系统从开发、运行、维护到报废的全生命周期的各种业务；从横向（各阶段截面）看，它包含对软硬件的获取审计、应用程序审计、安全审计等。it审计将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.it审计拓宽了传统审计的目标。传统审计目标仅仅包括“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”；但it审计除了上述目标外，还包括信息资产的安全性、数据的完整性及系统的可靠性、有效性和效率性。

4.it审计是一种基于风险基础审计的理论和方法。it审计从基于控制的方法演变为基于风险的方法，其内涵包括企业风险管理的整体框架，如内部环境的控制、目标的设定、风险事项的识别、风险的评估、风险的管理与应对、信息与沟通以及对风险的监控。

二、我国it审计面对的挑战

it审计和传统审计相比具有的上述特点是吸引我国众多企业引入it审计的重要原因，但是这种方法的应用又会给企业提出巨大的挑战。

1.传统审计线索的消失。在手工会计环境下，审计线索主要来自于纸质原始凭证、记账凭证、会计账簿和会计报表，这些书面数据之间的勾稽关系使得数据若被修改可辨识出修改的线索和痕迹，这就是传统审计线索的基本特征。但是现在计算机网络信息系统中这些数据直接记录在磁盘和光盘上，无纸张记录，审计人员用肉眼无法直接看到这些数据如何记录，且非法修改删除原始数据也可以不留篡改的痕迹，从而为舞弊人员作案留有可乘之机。尽管许多审计机构要求已实现会计信息化的企业将所有原始凭证、记账凭证、账簿、报表打印输出，使用绕开计算机系统的审计方法，并以打印出的证、账、表作为基本审计的线索和依据。但是如果原始数据在业务发生时就被有意篡改，则其派生的记账凭证金额和账户余额及报表数据也一定会出错，打印出的数据也不能作为审计证据。因此即使打印出所有电子数据，传统审计线索也会在计算机信息系统下完全消失。

2.计算机信息系统的数据安全面临挑战。手工信息处理的环境下，审计人员无须将数据和会计信息的安全性问题作为审计的重要内容，但是在it审计的工作中，网络电子交易数据的安全是关系到交易双方切身利益的关键问题，也是企业计算机网络应用中的重大障碍和审计的首要问题。例如计算机病毒的破坏、黑客用 ip地址欺骗攻击网络系统来获取重要商业秘密、内部人员的计算机舞弊、数据丢失等，都是传统审计从未涉及的，但又是it审计的重点，这对当前我国的审计工作无论是操作系统，还是制度建立等众多方面都是一个很大的挑战。

3.it审计专业人才匮乏，适应it审计事业发展的人才培养和管理机制还有待建立和健全。由于it审计固有的复杂性，这项工作需要具备会计、审计、组织管理和计算机、网络技术等综合知识的人才，而且工作人员需要对内部控制和审计有深刻的理解，对信息和网络技术有敏锐的捕捉能力，在我国获得注册信息系统审计师资格的人数远远不能满足信息系统审计业务的需求。

三、我国it审计应对策略

面对上述挑战，我们应当多方位、多角度制订措施，使it审计工作更好地为我国企业发展做出贡献。具体措施如下：

1.审计线索的重建。根据计算机网络系统容易在不同地方同时形成相同“原本”数据的特点，可以重建电子审计线索：在电子化的原始数据形成时，同时在审计机构（包括内审机构）和关系紧密（签字确认）的部门形成原始数据的“原本”，或在不同部门各自形成相关的数据库（特别应当包括数量、金额和单价等主要数据项），这样不仅可以相互监督和牵制，还给计算机审计提供可信的审计线索。这种保留审计线索的方法，一方面成为有力的控制手段，另一方面可从审计线索中发现疑点。这种方法主要是应用专用的审计比较软件，同时将几个部门的同一种数据库进行自动比较形成有差异的数据记录文件，详细审查相关的数据文件和访问有关的当事人，从而取得有力的审计证据。上述比较审计方法是在不同部门同时形成业务数据文件的情况下应用，如果企业业务数据分离存放，如销售合同与销售发票、提货单在不同的部门保存，这种实质性测试也可采用比较审计法，应用专用的审计软件，结合相关的几个业务数据文件进行比较，查出有错误疑点的记录。

2.确保信息系统的信息安全。为了保证信息系统的信息安全，it审计工作人员要在审计过程中评价企业的防火墙技术、网络系统的防病毒功能、数据加密措施、身份认证和授权的应用实施情况，通过面谈实地审查企业安全管理制度建立和执行的情况，查看企业是否为了预防计算机病毒，对外来的软件和传输的数据经过病毒检查，业务系统是否严禁使用游戏软件，以及是否配置了自动检测关键数据库的软件，使异常及时被发现；检测企业是否为了防范黑客入侵，网络交易的数据库采用离散结构，同时在不同的指定网点（如在交易的双方）形成完整的业务数据备份供特殊使用（如审计和监控）；此外it审计人员还要注意检查企业的信息系统岗位责任实施、安全日志制度，审查有关计算机安全的国家法律和管理条例的执行情况。

3.建立一支完备的it审计专业人才队伍。it审计的发展必须有一大批专业化的it审计人才，这就要求我们要采取短期培训和长期培养、操作层面上的培训与高层次人才的培养、在职人员培训与未来人才培养相结合的方法将这支队伍逐渐发展起来。此外我国可以从现有的审计队伍中选拔人员进行专门的信息系统审计培训，并考虑在注册会计师的资格考试和审计师职称考试中逐步加入计算机、信息系统和网络技术等与信息系统审计有关的内容，以及加强对从事信息化咨询的it技术人员的会计与审计知识的培训。为了培养未来审计人员，应在高校会计、审计专业教学计划中增加信息技术和电子商务等内容，也可以考虑在高校中开设信息系统审计专业，直接培养信息系统审计专业人才。

当前我国it审计正处于起步阶段，和传统审计相比，it审计的显著特点决定了其势在必行，但是一种新的方法的引入和实施必定会给企业和审计人员带来巨大的挑战，面对种种挑战我们应采取积极措施，迎难而上，使it审计工作不断发展完善。

主要参考文献

［1］张茂燕． 论我国的信息系统审计［d］． 厦门:厦门大学，2005.

［2］陈朝.我国信息化建设中信息系统审计问题研究［d］．长春：东北师范大学， 2006.

［3］邓少灵． 企业it审计的框架［j］．中国审计，2002（1）.

［4］李健，朱锦淼，王晓兵． it审计——人民银行内审面临的新挑战［j］．金融理论与实践，2003（6）.

it审计论文例4

一、引言

信息系统审计师，也称IT审计师或IS审计师，是指一批专家级人士，既通晓信息系统的软件、硬件、开发、运营、维护、管理和安全，又熟悉管理的核心要义，能够利用规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行审计、检查、评价和改造。IT审计师是由“国际信息系统审计与控制协会（ISACA）”认证的。ISACA是国际上惟一的信息系统审计师专业组织。会员被称为信息系统审计师，也就是我们通常所说的IT审计师，其主要从事的工作包括：向客户提供与信息系统相关的服务，在财务审计中对被审计单位的信息系统的了解、测试和评价以及计算机辅助审计技术的运用等方面。一般的IT审计师都具备全面的计算机软硬件知识，对网络和系统安全有独特的敏感性，并且对财会和单位内部控制有深刻的理解。

随着计算机技术在管理中的广泛运用，传统的控制、管理、检查和审计技术都受到巨大的挑战，国际公司、专业咨询公司和高级管理顾问都将控制风险，特别是控制计算机环境风险和信息系统运行风险作为管理咨询和服务的重点。几乎所有的大型跨国公司，由于普遍使用大型管理信息系统，都非常重视对信息系统安全性和稳定性的控制。这就常常需要高薪聘请国际信息系统审计师（简称IT审计师）进行内部审计。因此，IT审计师已经成为全球范围最抢手的高级人才之一。

二、IT审计师的出现迎合了计算机审计的发展

计算机审计的发展一般要经过绕过计算机审计，穿过、利用计算机审计，网络审计三个阶段。其中前两个阶段属于计算机桌面审计系统。绕过计算机审计是指将计算机处理系统看作是一个“黑箱”。根据被审对象对计算机数据处理系统输入的原始数据，通过手工操作，将处理结果于计算机处理系统的输出进行对比，检查其是否一致，属于计算机审计的初级阶段。穿过计算机审计是对计算机数据处理系统进行审计，包括系统目的与功能需求是否达到，系统与系统设计是否先进、和实用，程序设计是否正确可靠，内部控制是否健全、可靠，管理制度是否严密、有效，文件资料是否齐全、完整等。利用计算机审计是为实施审计专门开发计算机程序，检验被审单位电子计算机程序的可靠性。网络审计是指综合运用计算机网络及其相关技术手段对网络经济及网络系统进行审查的新型审计，是计算机桌面审计系统发展的高级阶段。

随着目前电子商务等网络经济的发展和完善，网络审计势在必行。网络审计的模式，从审计的客体角度方面，是建立在网络基础上，对被审单位一定时期内全部或部分经济活动，特别是正在发展中的电子商务、电子、网络财务、网络会计等进行审计的计算机系统。它包括两个方面：其一是对被审系统开发过程进行审计；其二是对被审系统运行过程及其结果进行审计。目前计算机审计的发展大多还处在只是对被审系统运行结果进行审计，或进一步对被审系统运行过程进行审计，这样的审计是建立在假定被审系统安全、可靠基础上的。而实际上这种假定是否合理，是应当予以验证的，这种验证也就是要对被审系统的安全性、稳定性、有效性进行审计、检查、评价和提出改造建议。而这也正是IT审计师的主要工作，并且这部分工作也是一直上溯到被审系统开发过程的。因此，IT审计师的出现正好迎合了网络审计模式的需要。IT审计师虽然主要源于信息系统安全而产生，其主要工作也含有较高的计算机技术因素，但就发展来看，IT审计师的出现迎合了计算机审机的发展趋势，昭示着计算机审计不久将随着电子商务、网络财务等的全面展开而逐步发展到网络审计阶段，未来的IT审计师们也将成为网络审计的“主力军”。从这个角度上讲，IT审计师也是计算机审计发展的必然产物。

三、IT审计师在网络审计的重要作用

计算机审计发展到网络审计后，计算机审计的主要将包括网络安全技术与内部控制系统的审计、系统开发审计、程序审计、数据文件审计等四个部分。通过分析可以发现，这四个部分的内容，不同程度地与IT审计师相关联，IT审计师在其中将起重要的作用。

（一）网络安全技术与内部控制系统的审计

从Internet诞生起，信息和网络的安全性就成为关注的一个焦点。在Internet发展的每一个阶段，安全问题也都是基础性的、关键性的因素。对于网络审计，其首先遇到的也是网络的安全性测试问题。与安全性相应的还有网络系统的内部控制的测试问题，网络系统的内部控制包括一般控制和应用控制两个方面。一般控制包括组织控制、软件开发、硬件和系统软件控制、系统安全控制、维护控制和文档控制等方面的审查与测试。应用控制包括输入控制、处理控制、输出控制。IT审计师的主要工作就是利用标准、规范和先进的审计技术，对信息系统的安全性、稳定性和有效性进行测试、检查、评价和改造。IT审计师首先关注信息系统的安全性，没有安全就没有一切，IT审计师会采用各种来测试系统的安全性，并对来自内部和外部的安全隐患提出相应对策；IT审计师还要审查信息系统的稳定性，没有长期稳定性，信息系统就无法承担起激烈竞争的压力，IT审计师会提出一系列对策保证客户信息系统的万无一失；IT审计师还要鉴别信息系统的有效性，最安全和最稳定的系统不一定是最有效的系统，而效率不高的系统就会消耗大量的资源，一般情况下，一说到信息系统建设，大家都觉得是工程师或程序员的事，事实上，这是非常错误的观点。一个好的系统，在安全和稳定的前提下，必须最大程度符合企业经营流程的特点，经济、有效地解决问题和提供信息。要做到这一点，信息系统开发和维护过程中，就必须有大量的经营管理人员参与， 设计出最优的信息流转路径。如果不重视信息系统的有效性，其危害同样是巨大的。一方面由于其繁琐和复杂，导致内部业务人员不会用、不想用或使用不当；另一方面使用过程中的差错又会导致稳定性和安全性方面的问题。显然，要对信息系统的安全、稳定和有效进行监控，就不单纯是某类技术人员能够完成的任务，经过专业训练，经验丰富的信息系统审计师将在这一领域发挥重要的作用。信息系统审计师的突出特点就是兼通技术和管理，能够利用规范的审计手段，比较客观和冷静地分析、评价企业现有信息系统的运行，并从专业的角度提出建议。

通过以上分析我们看到，IT审计师的工作中实际上已经包含了网络安全技术与内部控制审计的内容。进一步从IT审计师的服务对象分析，IT审计师主要是为以下几类对象服务：

软件供应商。特别是经济管理类的集成软件供应商，需要信息系统审计师参与产品设计、规划和检测，并对客户现有信息系统进行评价，提出改造设想。全球所有重要的ERP和CRM产品供应商都聘请大量信息系统审计师。

管理咨询机构。20世纪90年代以后，管理咨询的重点已经逐步为提供一揽子解决方案，其中信息系统的配置，就是解决方案成功的基础。国际知名的管理咨询机构中，有50%以上的员工熟悉信息技术，其中20%拥有信息系统审计师资格。

师审计师事务所，是信息系统审计师最早的落脚点，“五大”国际会计公司超过30%的收入来自于风险管理部门。这个部门的最主要工作就是监控客户的信息系统风险和运营风险，同时为客户提供ERP或CRM的安装、维护和培训。会计师审计师事务所中传统财务报表审计也越来越离不开信息系统审计师的贡献。没有他们的工作，评估内部控制风险和固有风险将成为一句空话。人们常常看到，“五大”会计公司里，最年轻的合伙人或经理，往往都是信息系统审计师，因为这是一项年轻人的工作。

跨国公司。作为信息系统最集中的用户，跨国公司急需大量信息系统审计师，一方面参与信息化建设的过程，另一方面时刻保持对分支机构的信息监控。还有一种最新迹象表明，跨国公司内部审计部门也在大量招聘信息系统审计师，以加强内部的监督和牵制。

大型国有企业和上市公司。这些机构往往有雄厚的财力来实现管理的信息化、保证生产经营的稳定性，他们对信息系统审计师的要求和跨国公司类似。

（二）系统开发审计

系统开发过程一般分为：系统初步调查和可行性、系统详细调查和系统、系统总体设计、系统详细设计、程序编制、程序调试、系统调试、系统转换、平行操作试验、系统评审、系统维护和评价等过程。系统开发审计是事前审计，实际上是审计人员参与系统的全过程。主要监督审查下列：（1）系统的功能是否恰当、完备，能否满足用户商务活动的需要；（2）系统的数据流程、处理是否符合有关商贸法规；（3）系统是否建立了恰当的程序控制，以防止或发现无意的差错或有意的舞弊；（4）系统是否保留充分的审计线索，保证了商务系统的可审性；（5）系统的安全保密措施和管理制度是否健全，能否保证系统安全可靠地运行；（6）系统的文档资料是否全面、完整。这部分和IT审计师的工作内容实际也是相适应的。因为IT审计师正是参与一个系统分析、设计和调试运行全过程的“保健医生”，并且IT审计师最关注系统的安全、稳定、有效。

（三）程序审计和数据文件审计

应用程序是信息系统的核心，其是否遵守国家财经法规和政策，对业务的处理是否合规、合法、正确等，均体现于应用程序。可以手工对应用程序直接进行审查，也可以使用机辅助方法，也可以通过数据在程序上的运行间接测试。电算化会计信息系统中，实质性测试的对象是数据文件。对数据库或数据文件的审计主要目的是为确保数据的完整性与正确性等。对数据文件的实质性测试包括：对各账户余额和发生额直接进行检查；对会计数据进行分析性复核，旨在对数据文件进行实质性测试；测试一般控制措施或应用控制的符合性。可以使用不处理数据文件的实质性测试方法、处理实际数据文件的实质性测试方法及处理虚拟数据文件的实质性测试方法。这两部分内容没有IT审计师的技术支持，一般审计人员也难胜其任。

四、结论

由上可知，审计业务发展至今，传统财务审计工作只是审计中一个特别小的组成部分。审计师最重要工作之一，是发现被审计单位最重大的风险隐患，在认定其持续经营的基础上，再对财务报表的真实、公允性发表审计意见。如果审计师认为被审计单位的信息系统是业务运转的平台，是风险高发区，那么对信息系统的安全、稳定和有效的评价就成为审计的基础和重点。当然，对信息系统的审计和对财务事项的审计，手段有所不同，但基本的程序和原理都是一样的。同时计算机审计的主要内容均和IT审计师有重要关联，IT审计师是开展计算机审计工作的重要推动力量。因此，我们在培养高级审计人才时，应注重IT审计师知识结构，在数学体系上增设以下内容：信息系统审计程序；信息系统的管理计划和组织；技术基础和操作实务；信息资产的保护；灾难恢复和业务持续计划；业务应用系统的开发、取得、实施和维护；业务过程的评价和风险管理等。

参考：

it审计论文例5

澳大利亚审计署(ANAO)分为联邦审计署和州审计署,在各自审计长的领导下,对管辖范围内的单位进行审计。其政府审计分为财务审计和绩效审计两部分,这两种审计中都涉及到以计算机为基础的IT审计,所占比例达到20%至30%。ANAO的IT审计发展经历了三个阶段:第一阶段是技术层面(Technical Level)的审计,如程序代码、数据输入输出控制、数据备份;第二是操作层面(Operational Level)的审计,如计算机核心操作、软件应用、物理安全与逻辑安全;第三是管理层面(Management/Governance Level)的审计,如操作结构、商业可持续性、风险管理、项目管理、服务传输、安全管理、资源管理、执行矩阵、信息管理等。经过多年的研究和发展,澳大利亚已形成了较为完善的国家审计体系,并长期处于世界领先地位,尤其在IT审计理论与技术领域,积累了丰富的经验和成果,目前已进入到注重管理层面审计的阶段,重在把握对IT项目经济、效率、效果的评价和项目开发的合规、安全上,标志着澳大利亚IT审计已经非常成熟。笔者发现澳大利亚IT审计存在如下特点:

特点一:IT审计各个方面均执行相对规范的标准

ANAO开展IT审计,执行相对规范的标准,如在IT项目管理方面,执行国际通用的Gateway、Prince2(Projects In a Controlled Environment2)、PMBOK(Project Management Body of Knowledge)等标准;在IT服务传输与服务管理方面,执行COBIT(Control Objectives for Information and related Technology)、MOF(Microsoft Operations Framework)、ITIL(IT Infrastructure Library)等标准;在IT安全方面,执行信息安全标准ISO17799;在IT风险管理方面,则执行澳大利亚国家标准:AS/NZ4360:2005风险管理标准,等等。各类标准具体规定了审计人员在审计某一类型项目时的方法、程序步骤、工作重点,具有很强的可操作性。它既为没有经验的审计人员提供了一个详实的可供参照的操作规程,又约束了审计人员的行为,减少和避免审计人员工作中的随意性。正是由于严格按照各类标准开展审计,ANAO的审计尤其是IT审计的质量都得到了可靠的保证。

特点二:IT审计综合运用各种信息技术

ANAO的审计人员在下列情况下,可应用计算机辅助审计技术:一种是在运用制度遵守性和数据真实性程序中缺少输入文件和缺乏可见的审计踪迹时;另一种是通过利用计算机辅助审计技术可以改进审计程序的效果和效率时。计算机辅助审计技术有多种,一是用于审计目的的审计软件和工具,用以处理来源于单位会计制度的重要审计数据。传统的CAAT(Computer Assisted Audit Techniques)工具有SQL(Structure Query Language,如MySQL)、Microsoft Access、Excel。其他一些风险分析与计划管理软件如Methodware、司法模式鉴定软件如Netmap、证据采集与镜像软件如Encase等,也被因地制宜地运用到审计中去。通过各种审计软件和工具,审计人员可以方便地对数据进行排序、求和、筛选等操作,并能生成审计人员需要的各类图表。二是数据测试技术,用以检验应用程序、控制程序和信息系统的可靠性。在执行审计程序时,将数据录入被审计单位的信息系统,跟踪某项业务直至数据输出,将获得结果同预期结果相比较,以检查访问权控制的有效性和输入有效性控制的执行情况。如对工资处理程序审计中,使用不同身份的人员登录,输入不同类型的数据测试。

特点三:IT审计围绕风险控制

ANAO一贯秉持。风险控制的理念,每年都对其风险管理计划的执行情况进行回顾,根据外部环境的变化,修改业务要求考虑战略层次和操作层次等不同层次的风险,开展了以识别和处理经营风险及舞弊风险为核心的风险导向审计,建立了全面的风险管理框架,规避与防范风险。这一框架既包括对ANAO整体的风险管理计划,也包括对每一工作领域的风险管理计划。它陈述了所有ANAO已识别的风险,从“确定风险存在的环境”、“识别风险”、“分析风险”、“评价风险”和“处理风险”等五个环节,合理地确定风险的控制措施,将风险减少到可以接受的水平。通过评估计算机设备、电子数据、信息通讯的安全性,以评估信息系统的固有风险;通过评估系统开发控制、内部管理控制、访问权限控制,以评估信息系统的控制风险;通过对数据输入控制的测试、数据通讯和数据处理控制的测试和数据输出控制的测试,以评估信息系统的检查风险。

特点四:IT审计统筹考虑成本与收益

ANAO开展IT审计,统筹考虑成本与收益,努力在审计时间、审计费用和审计质量三者之间寻求较好的平衡点,以求IT审计如同经济活动一样,达到效率性(Efficiency)、效果性(Effectiveness)与经济性(Economy)的完美结合。为此,他们对每一项IT审计工作都做出周密部署:在编制审计计划时,确定对信息系统控制的可信赖程度;制定关于何时、何处与如何检查信息系统功能的计划;制定关于利用IT审计技术进行的审计程序计划;分析IT审计技术的可行性、预期效果与效率;考虑时间因素。在实施审计时,收集与审计计划有关的信息系统环境的资料,包括信息系统的功能情况以及计算机处理的集中或分布程度、使用的计算机硬件和软件、数据重置情况等;注意传统审计技术和IT审计技术相结合、IT审计人员与非IT审计人员相结合,考虑审计人员的资质与背景;考虑被审计单位在哪些重要方面应用了IT技术,其程度如何,及其对审计的影响,以确定合适而恰当的审计方法。

特点五:注重IT审计人才培养

ANAO始终把人才培养放在第一位,积极引进既有审计经验又具备高层次IT知识技能的复合型人才,同时对审计人员有计划、有步骤地进行IT知识后续教育,此外还在审计中积极吸收IT审计方面的专家为IT审计提供技术咨询与服务,保证了审计项目的顺利实施,也锻炼了该国的IT审计队伍。目前,该国已形成一支知识呈阶梯状的IT审计队伍:首先是普通IT审计人员,他们理解操作系统、系统软件、应用软件和网络环境等概念,并具备一些病毒防护、入侵侦测、授权管理等信息安全控制方面的知识;其次是IT审计管理者,他们除具备普通IT审计人员应具备的技能与知识外,还深刻理解IT审计的要点,以便于科学计划、测试、分析、报告、跟踪,并合理地组织项目实施;再高一层是IT审计专家,他们深刻理解信息系统底层技术,并熟悉与之有关的威胁和弱点,同时在数据库、网络技术等领域有较高造诣。

二、收获和体会

澳大利亚网络不如我国普及,但在IT审计理论与实践方面却是走在许多经济发达国家的前列。经过澳大利亚之行,笔者深有收获和体会:

(一)树立先进的IT审计理念。通过培训和考察,笔者发现目前我国计算机审计在技术方法层面上并不逊于澳大利亚。澳大利亚审计中使用了传统的SQL Server、Microsoft Access、Excel,为我国审计人员所熟知并熟练使用。我国审计人员使用的集项目管理、数据采集、统计抽样、经验利用、报告生成于一体的AO软件,甚至比ANAO所使用的许多软件更为先进;我国审计人员在OLAP(多维分析技术)、数据挖掘技术等尖端技术的研究方面,也丝毫不逊于澳大利亚。澳大利亚在IT审计方面取得令人瞩目的成绩,支撑其取得实效的并不在于技术方法,而是审计人员的IT审计理念。我们要充分认识到:如果不搞IT审计,审计内容就不全面,我们就无法实现融入世界审计主流的目标。更重要的是,开展IT审计是对“免疫系统”理论的积极回应,是对审计署认真践行科学发展观的体现。

it审计论文例6

有些大的会计公司为了强调经营风险的审计方法,修改它们的审计辅助软件,以围绕业务流程组织审计证据,而不是按照传统的交易循环组织证据。关注业务流程的审计软件系统(Business-Process-Focused,BPF)通过价值链组织被审单位的信息;而传统的关注交易循环的审计软件系统(Transaction-Circle-Focused,TCF)是按照交易分类组织被审单位的信息。O''''DonnellE和JrJosephJSchultz(2003)的研究结果表明使用BPF软件的审计人员能识别出更多的风险情形,并将风险估计在恰当的水平;而使用TCF软件的审计人员对风险的识别和估计都较差。因此他们认为不同的信息组织形式会影响审计人员的决策判断。造成这种结果的原因在于业务流程关注事件之间的关联性,它通过情景引导记忆;而传统的交易循环关注的是交易分类,它通过语义引导记忆。因此,关注业务流程可降低任务的复杂性和认知难度。随后其他的研究人员也发现围绕业务流程开展内部控制的评估任务更为有效。

二、IT环境下基于流程的审计风险判断方法

为了协助审计人员运用自上而下的风险导向审计方法,国际审计和鉴证准则委员会于2005年制定了“在整个审计

过程中运用职业判断对重大错报风险进行更准确评估的框架和模型”。具体步骤如下:(1)了解企业及其环境(包括内部控制),识别风险,并在报表层次考虑交易性质、账户余额、披露;(2)将发现的风险与认定层次可能发生的错误与舞弊相联系;(3)考虑风险的重要性;(4)考虑风险的发生概率。这个风险判断思路也同样适用于IT环境。因此借鉴自上而下的审计方法,将流程作为IT风险判断的中间环节,改进了的IT环境下的审计风险判断方法具体实施步骤如下:

1.了解企业及其环境(包括内部控制)。我国2006出台的《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》列举了影响重大错报风险的因素:行业状况、监管环境以及其他外部因素,企业性质,目标和性质以及相关的经营风险,财务业绩的衡量和评级,内部控制。在IT环境下,识别和评价企业层面的风险和风险控制的有效性时,需特别考虑:(1)IT利益群体的风险及对IT利益群体控制的有效性,如IT治理;(2)企业层面的IT控制,如与IT相关的控制环境、风险评估、信息与沟通、监控、教育和培训等方面。

2.确定财务报告流程的核心要素。根据企业层面的风险评估结果识别重大账户、重要披露及与之相关联的认定。

3.识别关键业务流程。审计人员首先要识别与上述重大账户、重要披露、认定相关联的关键流程及流程所包括的主要交易,同时识别流程中易发生错误和舞弊的关键点(控制点)。为了判断业务流程能否实时预防或检测错误和舞弊,审计人员要识别出需要被测试的控制点,由于业务流程大多基于IT,因此要确定这些控制点哪些是依赖IT的,然后识别并证实关键的IT功能。

4.确定与IT功能相对应的应用系统的范围。详细列出与这些IT功能相关的应用系统和与之关联的子系统,包括交易应用系统和支持性应用系统。交易应用系统在处理组织内的数据时通常提供以下功能:(1)通过借贷关系记录交易的价值数据;(2)作为财务、经营和法规数据存放的仓库;(3)能够生成各种财务和管理报告,包括销售订单、客户发票、供应商发票以及日记账的处理。支持性应用系统并不参与交易的处理,但方便了业务活动的进行,如Email程序、传真软件、设计软件等。

然后IT审计人员与财务审计人员合作,从列示的子系统中识别出支持授权、复杂计算、维护重要账户(如存货、固定资产、贷款等)的完整性的重要应用系统。应用系统是否重要,需要考虑:交易量(交易量越多,应用系统越关键)、交易金额(金额越大,应用系统越关键)、运算的复杂性(运算越复杂,应用系统越关键)、数据和交易的敏感度(敏感度越大,应用系统越关键)。为应用系统提供IT服务,或者支持应用系统关键环节的IT一般流程即为需要进行IT一般控制测试的范围。

5.识别管理和驱动这些重大应用系统的IT流程。识别所有支持这些应用系统的基础设施,包括数据库、服务器、操作系统、网络,以及与之相关联的IT流程。判断这些IT流程的风险和相关的控制目标。识别出需要被测试的IT一般控制,进而判断其是否符合控制目标。控制测试结果将影响与之相关的IT应用控制的评价、业务流程的风险评价。对这些流程和系统进行风险和控制评估后,就可以制定风险控制矩阵。

6.评价IT控制、分析业务流程风险。结合对IT一般控制的评估结果和对业务流程中IT应用控制的评估结果,就可以分析关键业务流程的IT风险控制情况。此时的IT控制测试和人工控制测试要结合起来予以考虑,即将二者作为一个整体的测试对象。业务流程的风险是与业务流程所关联的一系列交易活动、账户群的余额、列报(包括披露)认定层次重大错报风险相联系的,因此,业务流程风险的评价结果构成了认定层次重大错报风险评估的直接基础。

7.评估电子证据证明力、设计实质性测试程序。审计人员可根据上述步骤的风险评估结果判断某一业务流程的电子审计证据的证明力并设计与业务流程有关的账户群的实质性测试程序。

通过上述7个步骤,审计人员可以将IT环境下的企业风险因素与报表层次和认定层次的重大错报风险相链接,同时也为电子审计证据证明力(即检查风险的判断)提供了依据。

参考文献:

[1]顾晓安,基于业务循环的审计风险评估专家系统研究[J].会计研究,2006(4):23-29.

it审计论文例7

当前it系统越来越多地对业务经营活动进行自动化处理，这就需要it提供必要数量的控制程序。因此，遵循萨班斯法案的程序需要包括基于it系统的控制程序。对大多数企业而言，it在建立与保持有效的财务报告内部控制方面将发挥重要作用。通过运用整合的erp系统，或综合运用各种经营管理、财务管理方面的软件，it系统将为有效的财务报告内部控制系统提供强有力的支持。

pcaob第二号审计标准要求了解it在内部控制环境中的重要性。它特别指出：公司在其信息系统中运用信息技术的状况，影响着公司财务报告的内部控制。

目前我国四大电信运营商全部在美国上市，他们现在正在构建法案要求的内控系统，it内部控制系统构建及评审是无法绕过的工作。完善内控，特别是电信企业信息化水平很高、业务流程依赖于it流程的背景下，重视it内部控制，完善it内部控制十分迫切。本文讨论我国公司如何依据法案的要求在短时间内构建一套it内控系统， 并通过有效的it内控评价活动保证其持续健全有效， 以支持ceo 和cfo 的承诺进行初步探讨。

一、萨班斯法案的要求

世通公司造假案件和安然、安达信事件震惊了整个世界， 美国政府认为这是公司上下串通、内外勾结的严重结果， 所以法案对公司治理、内部控制及外部审计同时做出了严格的要求。明确规定要求建立独立称职的审计委员会，管理层要负责内控系统的完善和落实，并对财务报告的真实性负刑事责任 .综观整个法案， 最主要的是对公司内控系统的要求， 主要体现在302条款和404 条款。法案对公司内控系统不但规定严格， 而且实施要求和指南也在相续出台， 如sec 于2003年6月5日根据法案的要求颁布了404条的细化条例， pcaob于2004 年3月9日第2号审计准则， 对公司管理层提出了更明确的要求。

1、302条款的要求：

该条款要求由首席执行官和财务主管在内的企业管理层，对公司财务报告的内部控制按季度和年度就以下事项发表声明（予以证实）：

对建立和维护与财务报告有关的内部控制负责。

设计了所需的内部控制，以保证这些官员能知道该公司及其并表子公司的所有重大信息，尤其是报告期内的重大信息；

与财务报告有关的内部控制的任何变更都已得到恰当的披露，这里的变更指最近一个会计季度已经产生，或者合理预期将对于财务报告有关的内部控制产生重大影响的变更。

在当前环境下，it系统驱动着财务报告流程。诸如erp之类的it系统紧密地贯穿于企业经济业务的开始、授权、记录、处理和报告一整套过程中。就其本身而言，it系统和整个财务报告流程也是紧密联系的，为了遵循萨班斯法案，也要对it内部控制的有效性予以评估。

为强调这一点，pcaob第2号审计标准讨论了it以及it在测试内部控制设计合理性及运行有效性时的重要意义，并强调指出：[部分]

…内部控制，包括与财务报告中所有重要账户及披露内容相关的控制政策与程序，都应该予以测试。

一般而言，这样的控制包括it一般控制，以及其他控制所依赖的控制。

2、404条款管理要求

萨班斯法案的404条款要求，管理层在其年度文件中提供关于与财务报告有关的内部控制的年度评估报告。管理层的年度报告要求包括以下内容：

管理层有责任为企业建立和维护恰当的财务报告有关的内部控制。

识别管理层所采用的内部控制框架以便按要求评估公司与财务报告有关的内部控制的有效性。

对从一上个会计年度未以来，与财务报告有关的内部控制的有效性予以评估，其内容也包括有关与财务报告有关的内部控制是否有效的公开声明。

年度审计报告中，注册会计师事务所发表的财务审计报告，包括管理层对与财务报告有关的内部控制有效性评估的证明报告。

管理层关于公司针对财务报告内部控制有效性评估的书面结论，应包含在其对财务报告内部控制的报告和其对审计师的信函中。这一书面结论可采取多种形式，但是管理层对公司面向财务报告的内部控制的有效性必须发表直接意见

如果与财务报告有关的内部控制中有一个或多个重要缺陷，管理层将不能对财务报告的内部控制有效性做出评估结论，而且，管理层应该披露自最近一个会计年度未以来财务报告内部控制方面的所有重要缺陷。

面向财务报告的内部控制在这一会计期间可能存在一个或多个重要缺陷，但管理层仍可能会报告“从最近一个会计年度未起（上个会计年度未起），与财务报告有关的内部控制是有效的”。如果要做出这样的结论，管理层必须在评估日前已经改进了内部控制，消除了已有的缺陷，并在运行和测试其有效性后得到了满意的结果，测试的时间足以让管理层认为，从本会计年度起，与财务报告有关的内部控制设计合理、运行有效。

审计师需要合理地确定管理层的认定目标或审计目的（从而依此来收集审计证据），以支持管理层对内部控制有效性的评估结论。通过对审计师在这一过程中所应遵循程序的描述，pcaob第二号审计标准接着指出：

公司在对财务报告做出确认时需要借助于企业的it系统。为了识别管理层对财务报告所作的相关认定，审计师应考虑每个重要账户潜在错报、漏报产生的原因。在决定一个认定是否与某一重要账户余额或其披露相关时，审计师应该评价it系统的性质、复杂程度以及企业it的使用状况。

pcaob第2号审计标准还专门讲述了it在期末财务报告中运用，它指出：…要了解期末财务报告的提供过程，审计师就应在每一会计期末评估it在该过程中的应用范围。………[部分]

因此所有企业构建it内部控制至少都应具备以下三层通用要素：企业管理层，业务流程和共享服务。

二、我国电信运营企业面临的挑战

由于电信企业的信息化水平比较高，业务对it的依赖程度也比较高。因此依照萨班斯法案要求，完善与财务报告有关的内部控制时，电信企业的内部控制几乎离不开it，即使业务控制也是在it支持环境下的控制。因此，电信企业完善内部控制几乎可以说是完善it内部控制，包括it一般控制和it应用控制。但我们的现状不容乐观。

1. it专业人士，尤其是管理层，缺乏内部控制理论与实践来满足萨班斯法案的要求。

法案的要求使很多人认为，it专业人士应该对其负责的it系统所产生的信息质量及完整性负责，但问题在于，大多数it专业人士对复杂的内部控制并不精通或了解，难负其责。尽管这并不说明it人员没有参与风险管理，但至少it管理层没有按照组织管理层或审计师所要求的形式进行正式的、规范化的风险管理。 pcaob指出首席信息官（cio）们现在必须面对以下的挑战：（1）增强他们有关内部控制方面的知识；（2）理解企业所制定的总的sox遵循计划；（3）专门针对it控制拟定一个遵循执行计划；（4）把这个计划与总体的sox遵循计划相整合。

2 缺乏系统的内部控制制度

事实上，每个电信企业都或多或少会都有一些it内部控制制度，正是由于第一点原因，这些制度基本是由技术管理者制定，他们缺乏规范化风险管理的经验，这些it控制制度可能不太规范，控制政策程序不太完善， it控制制度一般存在于系统安全和变更管理等一些一般控制领域，缺乏从公司透明度角度出发的、结合支持业务流程的完整的内部控制制度。所以这也是在国内企业在符合萨班斯法案的道路上，问题最多的领域。

it审计论文例8

（一）对审计实施方法的影响

目前，人们一般把运用计算机进行审计的技术称为CAAT技术。所谓CAAT就是Computer assisted auditing techniqu的缩写，即计算机辅助审计技术，是由一种或一系列专门针对某项审计职能而设计的计算机程序组成。在审计中借助它进行符合性测试或实质性测试。从而获取企业内部控制的审计证据。作为辅助审计技术，只要被审计的计算机信息系统不进行大的变动，就能使审计人员在短时间内正确无误地处理大量数据；审计人员还可以直接审计被审计单位电算化系统本身并打印出数据副本；可以长期作为获取审计证据的方法。因此，计算机辅助审计技术是一种经济、适用、长期受益的IT方式，被各审计单位广泛采用。具体地讲主要有以下几种：

1、数据检验技术。数据检验技术是指审计人员设计出一些虚拟的经济业务数据，提交给被审计单位的计算机数据处理系统进行处理。根据检测的目的，检测数据应包括合法和非法的数据。将系统对检测数据的处理结果与审计人员的预期结果进行对比，以确定系统控制是否存在并有效地执行。

这种方法简单易行、成本较低；但检测数据可能影响被审计单位计算机系统的正常运行，检查的范围也受审计人员对该系统的了解和想象力的局限。

2、平行模拟技术。平行模拟技术是审计人员模拟被审计单位对实际数据的处理情况而设计的一系列程序，它可以将被审计单位的真实数据用审计人员的程序重新处理一遍，以验证数据处理的正确性，平行模拟技术在日常审计中主要动用的方法是ITF（Integrated Test Facility）。ITF是一个建立在活动数据文档基础上的程序，使得审计人员能够不影响企业真实营运或财务数据的情况下对系统进行测试。大部分的电子商务软件包都配有ITF设置。审计人员可以通过VAN或第三方网络供应商对控制系统进行交易测试，当然前提是企业必须授权VAN接受审计人员启动的交易并将其发送至客户的信箱中，这种交易测试可以持续进行或者周期性进行，再将测试结果与期望结果相比较，从而得到验证；另一种替代方案是建立一种特定的审计交易类型（在VAN登记），重复现行发生的交易，并将结果反馈给审计人员，由审计人员对结果进行评估。

平行模拟技术具有不破坏被审计单位的数据文件，审计人员可以在不增加很多成本的情况下，扩大样本规模，独立地进行测试的优点；但这种技术的使用对审计人员的要求较高，如要求审计人员要注意所选取的数据要有代表性，所设计的审计程序也要达到被审单位计算机系统的处理能力。

3、嵌入审计模块。嵌入审计模块技术是指在被审计单位的计算机数据处理系统中加入为完成审计目的而编写的程序。嵌入的审计模块是被审计单位的计算机数据处理系统的一个组成部分，它可以按照审计人员的要求，以特定的时间间隔，或在系统中的数据达到某种条件时，为审计人员生成和输出有关的报告、嵌入审计模块主要以在线监测的方式被运用在审计工作中。在线监测是考虑到电子商务的交易数据可以会消失或改变的情况，而通过网络系统在交易进行的过程当中对企业业务的敏感和重要环节的即时监测，从而发现异常情况，掌握审计证据的技术。在线监测系统应该对计算机信息系统进行24小时全天候监测，迅速提交用户告警的详细信息和进行准确的告警定位，从而提醒审计人员异常情况的出现；也可以进行在线查询和实时测试，获得系统的实时运行数据。另外，监测系统还可以依据所储存的各项监测数据进行统计分析，掌握企业信息系统的运行情况，提示客户进行及时的维护预防。

嵌入审计模块技术虽然可以对被审计单位的计算机数据处理系统进行动态的监控，但它要求在系统设计时就应予以考虑，并应建立必要的控制措施，防止未经授权的人员接触和使用嵌入的审计模块及其生成报告。由于嵌入模块审计技术的使用条件比较苛刻，只适用于选定的范围。

4、远程审计。远程审计是指基于计算机网络，通过人机合作，对被审计单位进行的非现场的审计工作，远程审计主要实现审计信息网上传送和信息资源共享，审计人员只要把自己的计算机与网络连通，并取得被审计单位给予的审查权限，就可以在任何地方通过网络完成除实地盘点和观察外的大部分审计工作。审计人员可以通过网络审查远距离外的计算机信息功能；调用系统的审计功能或使用审计软件对系统的经济信息进行抽样、审查、核对和分析；使用电子邮件向被审计单位的银行、客户和供应商等进行函证；在网上复制有关文件或数据等审计证据、编写工作底稿等等，审计项目负责人可以在网上制定审计计划，给在不同地点的各审计人员分配审计任务；在网上复核助理人员的工作底稿，并对助理人员给予指示与帮助；随时了解审计项目进展情况，协调各审计人员的工作；草拟和签发审计报告，远程审计尤其适用于对电子数据的审阅、核对、复算、询查，但对于需要实物鉴定或就地盘点的审计证据，还必须依靠就地审计的方式，如观察或盘点等获得。

远程审计技术充分利用计算机网络的超越时空的特点，更具时效性，可明显节约审计费用，它的运用范围较广。

（二）对审计报告的影响

IT审计结果最终应以报告书形式归纳，向企业的最高领导提交。原则上，IT审计报告由承担该审计的IT审计人员完成，并在得到IT审计负责人的认可后方可提交。一般来说，IT审计报告大致由综合审计意见及个别审计意见两部分组成。

1、综合审计意见

综合审计意见包括本次审计的概要，重要的问题以及综合的结论。大致包括以下各项：（1）IT审计对象范围、实施日期及实施过程的概要；（2）IT审计目的；（3）重大问题及改进对策方案的概要；（4）本次审计的综合结论。

2、个别审计意见

个别审计意见是指在IT审计过程中发现的个别问题。大致包括以下内容：（1）问题所在及现状；（2）考虑这些问题的危险性及影响；（3）IT审计人员提议的改进对策。

IT审计报告是对IT审计实施的最后归总，目的是让被审计部门的最高领导明白该信息系统在可靠性、安全性与有效性等方面整体的状况及重大问题所在，IT审计报告必须简洁明了，重点突出，要考虑到有些企业领导不是信息系统专业的，因此技术用语或专业用语要尽量少用，在不得不用的情况下，最好附加一些说明。另外，对于企业最高领导想了解的问题或存在的疑问等，必须给予明确的回答。

在起草IT审计报告时要注意：（1）专业用语不能过多；（2）劝告的内容不能过于抽象，要尽量具体；（3）对于缺陷，一定要有明确的证据；（4）要有具体的解决实施方案，并考虑实施的可能性；（5）解决方案要考虑费用与效果比，费用不能过高；（6）详细的技术事项另付说明；（7）报告书中不能有对个人的攻击；（8）要考虑机密信息的保护。

IT审计报告书的内容包括：（1）IT审计人员制作IT审计报告的时间；（2）对信息系统的可靠性、安全性及有效性进行评价的结果；（3）系统存在的问题；（4）根据存在的问题提出的改进劝告；（5）根据改进的劝告提出的改进方案；（6）其他的必要事项。

需要指出的是，IT审计不是以提交报告书为结束，而是对审计报告中提出的问题特别是重大问题，要跟踪整改的状况，确立IT审计跟踪制度。

被审计部门要在规定期限内提交整改计划，IT审计师随时与被审计部门接触，了解跟踪整改的状况。如整改进展缓慢，要帮助找出原因，促使整改的完成。IT审计要达到最终目的，审计结果的跟踪是不可缺少的，并要使其成为一种制度。

it审计论文例9

本期专题，就IT内审的目的与现状、中国企业IT内审的特点和难点、以及如何形成中国IT内审规范，展开了深入的探讨和调查分析。

“中国萨班斯”进行时

证监会纪委书记、企业内部控制标准委员会副主席李小雪在企业内部控制标准委员会第三次全体会议上表示，建设企业内部控制标准体系是资本市场的一件大事――健全有效的内部控制可以提高上市公司财务报告的有效性；可以保障公司资产安全，减少舞弊事件发生，堵塞漏洞，有效提高风险防范能力，降低公司风险；可以提高公司经营效益及效率，提升上市公司质量。

我国对企业内部控制评价的关注始于上个世纪80年代末，但当时的评价大都流于形式。“银广夏”等上市公司财务舞弊事件、“中航油事件”等等因内部控制失效造成财产重大损失的案件，在一定程度上要归咎于企业内控机制的不健全。

此后，我国政府开始重视内控评价的规范化建设。审计署、财政部、证监会、银监会等组织均出台了关于内部控制评价方面的规范，而2006年则是关于上市公司企业内控规范讨论最为热闹的一年。

2006年6月5日，上海证券交易所出台了《上海证券交易所上市公司内部控制指引》，对上市公司内控制度和风险管理制度出台了重要规定，引起了业界的强烈反响。

在信息技术无处不在的今天，IT既是企业内控的一个有效手段，同时IT本身又充满了风险，成为内控的重要目标之一。因此， IT内审引起了广泛关注。科索路咨询公司还专门对此了《IT内审调研报告》。

2006年7月15日，财政部联合国资委、证监会、审计署、银监会、保监会发起成立了“企业内部控制标准委员会”，旨在“基本建立一套以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、内容完整、方法科学的内部控制标准体系，推动企业完善治理结构和内部约束机制”。委员会的成立被视为中国版“萨班斯法案”即将出台的前兆，中国内部审计协会会长王道成当时曾向媒体表示，3年之内中国就会有自己的“萨班斯法案”。

2006年9月28日，深圳证券交易所《上市公司内部控制指引》，规定深市主板上市公司要建立完备的内部控制制度。在2007年7月1日文件正式生效后，上市公司均需按要求披露内控制度制订和实施情况。

很多人都相信，具有强制效力的中国上市公司内控法规就要形成，甚至有很多企业或个人认为随着企业内控法规的形成，与IT内审相关的咨询或者软件将是一个很好的市场机会，并雄心壮志地投身到这一领域。

但是到了2007年，在股市热潮背后，关于企业内控和IT内审规范工作似乎处于停滞状态。有些曾经看好IT内审市场机会的公司开始后悔自己当初的决定。这不禁让人怀疑，难道牛市的今天企业内控就不那么重要了？IT内审的热潮从此告一段落？

审迫在眉睫

事实远非如此。

2007年3月，企业内部控制标准委员会公布了《企业内部控制规范――基本规范》和17项具体规范(征求意见稿)，并开始向有关单位和专家征求意见。

2007年5月25日，由企业内部控制标准委员会主席、财政部副部长王军亲自参加的企业内部控制标准委员会第三次全体会议在北京友谊宾馆低调举行，会议对企业内部控制规范征求意见稿和若干项具体规范讨论稿进行了深入讨论。

财政部还表示，将根据本次会议讨论的情况尽快修订企业内部控制规范征求意见稿和讨论稿，抓紧建立中国企业内部控制标准体系。所有这一切都证明，尽管没有声势浩大的活动进入人们的视野，但“中国的萨班斯法案”依旧在紧锣密鼓地酝酿中。

业内人士分析，尽管今天企业内部控制规范征求意见稿依旧在讨论中，但是一旦被确定，肯定会和萨班斯法案一样对上市企业具有强制性的约束。毫无疑问，尽管还有上市公司对IT内审没有足够重视，但IT内审是否规范必将成为上市公司存在的必要条件之一。

现代企业的经营越来越依赖于信息系统，除了传统意义上的经营风险、控制风险和财务风险，企业信息系统的安全性导致的信息风险日益增长。同时对大部分企业来说，信息技术已经融入到企业各项业务中。IT内审作为企业内部控制的一个重要手段和对象，已经得到政府相关机构、企业和咨询机构普遍认可。

目前的《企业内部控制具体规范(征求意见稿)》中，专门提出了计算机信息系统的征求意见稿，就总则，岗位分工与授权审批，信息系统开发、变更与维护控制，信息系统访问安全，硬件管理和会计电算化及其控制等六个方面提出了43条详细征求意见。

企业表现各不相同

“招聘资深内审员，要求具有5年以上跨国公司会计与财务方面工作经验，并有IT系统审计方面的工作经验”。最近，“IT内审员”的新鲜职位已经开始出现在各大招聘网站。

很多被访企业表示，他们已经或者正在考虑采用新的技术手段来辅助企业内部控制工作，比如说中信集团公司早已经在2005年就开始采用加拿大审计软件ACL、易通审计软件开展审计。

承接企业内控咨询业务的会计师事务所或咨询公司表示，他们所接触的IT内审业务在明显增加。

……

种种迹象表明，IT内审规范的推动并没有停滞不前，之所以让人感觉“停滞”，主要是因为以下几方面的原因：

首先，很多企业对于内部控制仍然采取比较被动的态度。对于那些早在国内上市的企业，由于上交所和深交所出台的《指引》对他们没有强制性的约束，没有对内控的紧迫感。而那些在海外上市或者新上市的企业，大都是为了满足上市条件或者相关法规而被迫进行内部控制和IT内审。在香港上市的某公司的CIO告诉记者，对他们来说，IT内审就是每隔一段时间按照会计师事务所提供的一张单子中对IT的要求落实就可以了。

其次，目前大部分企业的IT内审工作主要是交给第三方机构来办理的。很多在海外上市或者被外资公司控股，特别是在美国上市的企业，早已经通过第三方机构在IT审计方面走在了前面。第三方机构对这块业务驾轻就熟，更多的企业选择IT内审对他们来说只是业务量的增加，因而没有引起大范围的讨论。

第三，很多企业虽然已经意识到IT内审的重要性，但是苦于IT基础太差、缺乏相关经验而暂时搁置。亚新科工业技术有限公司是一家总部设在北京的外资企业。为了让企业健康稳定地发展，公司从1999年就已经建立了完整的内部制度，并且还专门成立了内控部。但是，公司内控部总监麻蔚冰告诉记者，目前他们还没有实现IT内审。他认同随着信息技术在企业广泛应用，IT内审是企业内部控制的必然趋势。亚新科从去年就开始关注这一趋势，但由于公司内部的IT建设还不够完善，再加上IT内审所牵涉的东西非常复杂，暂时也没有好的经验可以借鉴，所以目前尚处在探索中。

规范形成尚待时日

那么，适合中国的IT内审到底该怎么做？如何形成适合中国国情的IT内审？

很多企业都希望 《企业内部控制具体规范(征求意见稿)》能够给他们未来的IT内审提供有用的参考。

王军在企业内部控制标准委员会第三次全体作会议上也强调，内部控制标准体系建设要着力处理好借鉴国际和顺应国情的关系。目前，在尚未形成自己的规范并且没有更好的办法之前，业界已经认识到“西学中用”是最好的选择。

德勤咨询公司企业风险管理服务高级经理周梓滔告诉记者，目前的征求意见稿中不仅参照了萨班斯法案，还参照了很多地方的相关法规。

但是业内人士分析，毕竟中国企业有很强的特色，必须在参照这些经验的同时充分考虑中国企业自身的特色。

记者就IT内审规范这个问题拨通财务部会计司企业内部控制标准委员会某一负责人的电话时，得到回答是，征求意见稿中“计算机信息系统”部分还只是“征求意见稿”，希望有经验的咨询公司和专业人员能够积极参与，提供有用的建议。

在访谈了一些内控咨询专家、企业内控工作者后，记者认为以下几个方面是在建立IT内审规范过程中最不能忽视的：首先，企业对IT内审的重视不够；其次，企业的IT建设不够完善，建立像美国上市公司那样的IT内审难度较大；第三，企业IT内审部门的归属问题不明确：目前国内企业审计部门独立的就比较少，而IT内审既涉及审计又涉及IT，归属问题就更加不好确定；第四，IT内审的投入成本大，美国的大型公司仅在第一年建立内部控制系统的平均成本就高达430万美元，这对规模偏小的中国上市企业来说是不现实的……

由此可见，我国要建立完善的IT内审规范还需时日，但对于企业来讲，未雨绸缪却必不可少。否则具有法律约束力的规范一旦执行，临时抱佛脚几乎是不可行的――因为企业的IT建设本身就不是一蹴而就的事情。

it审计论文例10

IT审计（Information Technology Audit）是信息技术应用于审计实务产生的新概念，人们对IT审计的理解是逐步深入的。我国国家审计中相对于IT审计的提法一般为计算机审计，自上世纪80年代以来的探索和实践过程中，也先后出现过会计电算化审计、计算机辅助审计、计算机数据审计、信息系统审计等诸多与IT审计相关的称谓，国外则有EDPA、CAA、ISA、ICTA等各种提法。笔者认为，结合我国国家审计的职能和特点，IT审计可以定义为利用信息技术组织开展的审计。这一提法可以较为全面、准确地定义信息技术在国家审计实务中的应用，同时也是世界审计组织（INTOSAI）及其IT审计工作组各成员国最高审计机关普遍认可和采用的提法。

由于各国国家审计机关在IT审计的定位和侧重等方面存在差异，其组织形式和实施模式也不尽相同。世界审计组织（INTOSAI）认为IT审计是通过获得和评估证据，确定IT系统是否保护了组织的资产，有效率地使用资源，维持数据的安全性和一致性，以及有效地达到组织的业务目标的过程，这一定位得到了各国最高审计机关的普遍认同；国际信息系统审计与控制协会（ISACA）建立了普遍适用的信息系统审计标准、指南和流程，所的COBIT已经成为国际上公认最先进、最权威的信息技术控制框架；美国审计署（GAO）将信息系统审计作为IT审计的重点，在20__年2月的《联邦政府信息系统控制审计手册》中将信息系统审计的实施分为一般控制审计和应用控制审计两个部分；英国审计署（NAO）侧重于政府IT项目绩效审计，在20__年2月的绩效审计报告中对过去十年来信息技术在政府工作中发挥的作用、面临的挑战和发展的方向进行了系统总结。

二、我国现行国家IT审计架构及缺陷

随着信息技术在社会经济生活各个方面的广泛运用，为适应信息化环境的变化，我国国家IT审计从上世纪80年代末开始起步，从无到有、从单机到网络、从探索研究到逐渐普及，在多年的发展中逐步形成了一套具有本国特色的IT审计架构和工作模式。

（一）现行国家IT审计架构。

在法理基础方面，审计法明确规定了审计机关有权要求被审计单位提供计算机储存和处理的财政、财务收支电子数据以及必要的技术文档，有权检查被审计单位的信息系统；《国家审计准则》也根据信息技术环境下开展审计工作的特殊性作出了一些特别规定，在编制年度审计项目计划和审计实施方案，实施审计检查、获取审计证据，作出审计结论、出具审计报告等环节表现出鲜明的关注信息系统、突出信息技术的特色。

在组织结构方面，以审计署为例，已经形成计算机技术中心负责组织协调和指导管理全国审计系统的信息化建设的格局，各审计业务部门负责结合审计项目开展电子数据审计。计算机技术中心不仅要配合业务部门开展计算机审计业务，同时还要承担建设、开发、推广和维护审计信息系统，以及编制IT审计规范和组织IT培训考试等各项工作。

在工作模式方面，随着现场审计实施系统（AO）和审计管理系统（OA）的全面应用，国家IT审计逐步迈入一个新的发展阶段，初步形成了利用信息技术开展大型项目组织管理，运用审计软件实施现场审计，积极探索联网审计和信息系统审计，逐步推进审计数据资源建设的IT审计模式，审计信息化水平不断提高。

（二）国家IT审计中存在的问题。

由于组织结构和工作模式还不能完全适应工作需求，与充分发挥审计保障国家经济社会健康运行“免疫系统”功能的要求相比，我国国家IT审计还存在以下不足：

1．审计业务与IT技术的结合不够紧密。

虽然计算机审计培训已开展多年，计算机审计技术也已在国家审计的各个行业、领域得到推广应用，但仍然较为普遍地存在审计业务部门过于依赖IT部门技术支持的现象，粉饰和包装计算机审计成果的情况也屡见不鲜。在审计项目中原本应由审计业务部门主导和实施的常规计算机审计工作往往过多地需要借助IT技术人员的参与，不仅不利于各行业、领域中审计业务与计算机技术的紧密结合，而且较易形成审计业务与计算机技术“两张皮”，阻碍了计算机审计技术在审计实务中的进一步深入应用。

2． IT审计部门的职能定位不够清晰。

与部分其他国家审计机关比较，目前我国审计机关还没有纯粹意义上的IT审计部门，IT部门的职能定位较为模糊。一般来说，审计机关设立的计算机技术中心、计算机审计处、信息中心等部门同时承担了电子数据审计、信息系统审计、日常维护和技术支持等多项职能，凡是与信息技术相关的职能均由IT部门负责，因此不仅需要承担大量系统开发、维护和管理工作，还要投入精力开展计算机审计业务，IT业务需求与人力资源矛盾突出。同时，IT部门往往没有真正作为审计业务部门进行管理，在独立开展信息系统审计和IT绩效审计项目方面存在障碍，处于较为尴尬的局面。

3．信息系统审计和IT绩效审计起步较晚。

由于信息化程度的差别，美国、英国等国家广泛开展的信息系统审计和IT绩效审计在我国尚处于探索阶段。一是信息系统审计还没有成熟有效的组织方式和审计标准，同时由于掌握核心技术的IT公司为保持其垄断地位不会轻易公开其核心技术，审计人员对商业 银行、大型国企等单位所使用信息系统难以了解透彻；二是对IT项目投资的审计还仅仅停留在资金审计的层面，IT项目绩效尚未开始作为一个单独的审计类别进入国家审计的范围，也没有形成系统、科学的政府IT项目绩效评价指标体系。

三、国家IT审计架构探析

IT审计的职能来源于审计工作的实际需求。国家审计机关的法定职责是监督被审计单位财政、财务收支以及有关经济活动的真实性、合法性、效益性，保障国家经济和社会健康发展的工作目标。为了适应信息化环境下国家审计履行法定职责的需要，应当构建国家IT审计的体系架构。

（一）国家IT审计架构需求分析。

前述定义，IT审计是利用信息技术组织开展的审计。一方面，利用信息技术对以电子数据为载体的财政财务收支和相关经济活动的真实性、合法性、效益性进行审计监督;另一方面，需要对记录、处理和产生电子数据的信息系统内部控制进行检查，以确保电子数据的真实、完整和可靠。于是，总体来说IT审计架构可以划分为两大类，即：利用信息技术对记载财政财务收支和相关经济活动的电子数据的审计和利用信息技术对产生电子数据的信息系统内部控制的审计。

从国家审计履行法定职责的角度看，可先组织信息系统审计，检查信息系统内部控制对产生电子数据的真实、完整和可靠性的影响；再组织电子数据审计，检查财政财务收支和相关经济活动的真实性、合法性、效益性。通常情况下，也可交叉组织实施。

1．信息系统审计。

通常情况下，信息系统审计是实施电子数据审计的必要准备，属于结合电子数据审计的信息系统审计。但对于电子政务工程建设项目、企业ERP建设项目的审计，需要对项目建设的信息系统的规划、设计、研发、实施、运行、维护等全过程，对信息系统的应用系统、信息资源、网络系统、安全系统、运行服务系统等各组成部分，进行全面审查。此时的信息系统审计并不结合电子数据审计，属于独立的信息系统审计。因此，信息系统审计可划分为结合式和独立式两种方式。

结合式的信息系统审计，其目标是检查信息系统内部控制对产生电子数据的数据风险，测评信息系统对数据的真实性、完整性和正确性的影响。由于数据式审计的运用一定是在信息化环境下，如同在纸质环境下一样，系统内部控制的合理性、健全性和有效性直接影响着数据的真实性、完整性和正确性。因此，为了控制数据风险，保障审计目标的实现，审计人员应该首先要对信息系统的内部控制进行调查、测试和评价。

独立式的信息系统审计，其目标是检查项目建设的信息系统的安全性、可靠性和经济性。据有关统计数据，20__年我国政府行业IT应用建设投资总规模达707.5亿元，同比增长14.2%，相当于奥运全部场馆建设的3.6倍，超过三峡工程15年投入的三分之一。历年政府IT项目建设投入巨额资金后，是否存在重复建设、绩效低下的情况，以及电子政务建设在提高政府行政效能和公众服务能力方面的效果如何都亟待评估。因此，除了一般意义上对被审计单位的信息系统的安全、可靠、有效和效率等进行审计之外，对信息系统和IT项目的经济性和投资绩效也应纳入独立式信息系统审计的范畴。

2．电子数据审计。

电子数据审计是以系统内部控制测评为基础，通过对电子数据的收集、转换、整理、分析和验证，对信息系统产生的电子数据及其他相关数据所记载的经济业务的真实、合法和效益进行审计。审计人员利用信息技术对被审计单位的财务数据及其他相关数据进行检查是审计机关的一项重要职责，电子数据审计的审计目标和审计范围与传统手工审计是基本一致的，只是审计的对象、方法和技术发生了变化，主要是审计机关和被审计单位双方都利用计算机作为作业工具，即一方用计算机记录财务会计核算和经营管理数据，另一方用计算机进行审计。

电子数据审计作为传统手工审计在信息化环境下的自然演化，是目前使用最多、应用最广的IT审计形式。近年来，我国各级审计机关总结审计经验，组织开发了以现场审计实施系统（AO）为代表的一批审计软件，并注重在实践中予以修改完善。审计软件的广泛应用，改进了审计手段，提高了审计效率，加强了审计工作在信息化环境下的适应能力。

另外，作为“金审工程”重要建设成果的国家审计信息系统（GAIS）已经初具规模，随着现场审计实施系统（AO）、审计管理系统（OA）、审计数据中心、网络系统和安全系统等应用的不断深化，对审计机关所属机房、网络、网站和信息系统等基础设施的建设、运行与维护，以及为审计业务和审计管理工作提供技术支持提出了更高的要求。

（二）建立适应国家审计需求的IT审计架构。

结合我国国家IT审计的实际需求，审计机关应该具备相应的组织结构，形成有效的IT审计模式开展工作。

1．开展信息系统审计的IT架构。

无论是结合式还是独立式的信息系统审计，其审计对象是信息系统本身。信息系统审计的重点是检查信息系统对其产生数据的影响，或是信息系统自身的安全性、可靠性和经济性。结合式的信息系统审计，需要对信息系统承载的业务流、数据流的技术设计和技术路径，对数据的输入、处理和输出的内部控制和安全防护等进行检查，以测评系统内控对数据影响的风险; 独立式的信息系统审计，需要对信息系统的应用系统、信息资源、网络系统、安全系统、运行服务系统等各组成部分进行检查，以测评信息系统的安全性、可靠性和经济性。由于信息系统审计的特殊要求，需要具有一定IT审计知识和技能的IT审计部门进行检查测评。

由于结合式的信息系统审计需要对信息系统承载的业务流、数据流进行检查，对数据输入、处理和输出的业务流程进行检查，即便独立式的信息系统审计也要检查项目建设的业务目标和项目投资的经济性问题，需要审计业务部门的配合和支持。因此，信息系统审计的IT架构，需要IT审计部门和审计业务部门的共同合作。通常情况下，应该以IT审计部门为主，以审计业务部门为辅。

2．开展电子数据审计的IT架构。

电子数据审计的应用范围较为广泛，核心是通过分析被审计单位财务数据和其他相关数据并取得审计证据的技术。电子数据审计的重点应该是运用计算机技术对电子数据进行分析性复核、比较和抽样，无论是现场审计还是远程审计，无论是单机模式还是联网模式，无论是简单的比较分析还是相对复杂的数据仓库技术，无论是国内的AO还是国际上普遍使用的ACL、IDEA审计软件，共同点都是利用间接测试并从关系模型中得出审计证据。

运用计算机技术进行审计为查错纠弊带来了极大便利，很容易实现对某一类数据的查询和筛选，使手工审计条件下无法做到的详细审查成为可能，同时财务数据和业务数据的结合更便于发现被审计单位管理和经营方面的漏洞和舞弊行为。由于审计对象、环境、方法和技术的变化，一方面需要审计业务部门在掌握和运用各类审计业务的知识、技能的同时，也要掌握和运用计算机审计的知识和技能；另一方面，复杂业务的计算机审计处理依赖于信息技术的审计组织模式和管理模式的运用，需要IT审计部门的配合和支持。因此，电子数据审计的IT架构，需要审计业务部门和IT审计部门的共同合作。通常情况下，应该以审计业务部门为主，以IT审计 部门为辅。

四、进一步完善国家IT审计架构的几点建议

我国国家审计信息化建设正处于发展阶段，与先进国家的发展水平相比，IT审计架构还不够完善，审计理念还不够先进，在很多方面都需要借鉴国外的经验。但借鉴并不是原样照搬和全盘接受，而是应该根据自身的特点，对他国的先进经验进行批判地吸收。着眼于国家审计作为保障国家经济社会健康运行“免疫系统”的特殊定位，同时结合国家IT审计的现实情况和发展方向，国家IT审计架构应该根据工作需求进一步加以完善。

（一）逐步实现审计模式的转变。

随着计算机技术在审计实务中的广泛运用，国家审计环境、对象和方法的变化导致原有的审计模式已不再适应发展的要求，国家审计正在原有的基础上不断完善，逐步向高效率、高质量的方向发展。未来信息化审计模式的实现在很大程度上需要依赖信息技术，其与传统审计模式相比有如下特征：其一，它是一种以电子数据作为直接审计对象的数据式审计模式；其二，具有不间断性、循环性和实时性，这意味着审计活动将在一个更连续、更频繁和更及时的基础上实施；其三，可以经济地实现详细测试，在信息化环境下利用技术自动执行控制测试和风险评估的方法使得进行连续性测试成为可能。在这种情况下，计算机技术势必与传统审计的技术和方法高度融合，以计算机技术作为支撑的审计业务处理能力大大提高，信息化环境下审计模式的转变将是IT审计未来发展的必然趋势。

（二）逐步实现IT审计的专业化。