隨著信息技術(shù)的發(fā)展，信息系統(tǒng)環(huán)境給企業(yè)的管理帶來了翻天覆地的變化，信息系統(tǒng)審計更多地體現(xiàn)在為企業(yè)的IT治理提供了安全有效的保障，降低了企業(yè)面臨的信息系統(tǒng)風(fēng)險、管理風(fēng)險，然而關(guān)于信息系統(tǒng)審計的操作流程，很多人還不是很清楚，快來跟時代新威一起來了解一下吧！

1.審計規(guī)劃階段

規(guī)劃階段是整個審計過程的起點。其主要任務(wù)包括：

1 ）了解審判中制度的基本情況

了解被審計系統(tǒng)的基本情況是實施任何信息系統(tǒng)審計的必要程序，了解基本情況有助于審計機構(gòu)對系統(tǒng)的組成、環(huán)境、運行壽命、控制等有初步印象，以便決定是否對系統(tǒng)進行審計，澄清審計的困難、所需時間和人員情況等。在了解了基本情況后，審計機構(gòu)可以粗略地判斷系統(tǒng)的復(fù)雜性、管理人員對審計的態(tài)度、內(nèi)部控制的狀況、以往審計的狀況、審計的困難和要點，以確定是否審計。

2 )對被審查單位內(nèi)部控制和外部控制的初步評價

傳統(tǒng)的內(nèi)部控制系統(tǒng)是以內(nèi)部審計和相互約束為核心，防止欺詐和差錯的工作體系，隨著信息技術(shù)的發(fā)展和應(yīng)用，特別是以互聯(lián)網(wǎng)為代表的網(wǎng)絡(luò)技術(shù)的進一步發(fā)展，企業(yè)信息系統(tǒng)得到了深入的發(fā)展，這些變化無疑給企業(yè)帶來了巨大的利益，同時也給內(nèi)部控制帶來了新的問題和挑戰(zhàn)，時代新威IT審計加強了對內(nèi)部控制制度是信息系統(tǒng)安全可靠運行的有力保證，根據(jù)控制對象的范圍和環(huán)境，信息系統(tǒng)內(nèi)部控制系統(tǒng)的審計內(nèi)容包括一般控制和應(yīng)用控制。一般控制是對系統(tǒng)運行環(huán)境的控制，是指對信息系統(tǒng)各組成部分(人、機器、文件)的控制，它為應(yīng)用程序的正常運行提供了外圍保障，影響著計算機應(yīng)用的成敗和應(yīng)用控制的強度，主要包括：組織控制、操作控制、軟硬件控制和系統(tǒng)安全控制。應(yīng)用控制是對信息系統(tǒng)中特定數(shù)據(jù)處理活動的控制，是預(yù)測、檢測和糾正錯誤、處理特定應(yīng)用系統(tǒng)違法行為的一種控制措施，信息系統(tǒng)的應(yīng)用控制主要體現(xiàn)在輸入控制、處理控制和輸出控制三個方面，應(yīng)用控制有其特殊性，不同的應(yīng)用系統(tǒng)有不同的處理方法和環(huán)節(jié)，有不同的控制問題和不同的控制要求，但可以分為輸入控制、處理控制和輸出控制。通過對信息系統(tǒng)組織控制、系統(tǒng)開發(fā)維護控制、安全控制、軟硬件資源控制、輸入控制、過程控制、輸出控制等審計分析，時代新威建立了內(nèi)部控制強度評價的指標(biāo)體系和評價模型，審計員通過人機交互對話輸入各評價指標(biāo)的評價指標(biāo)，內(nèi)部控制審計評價系統(tǒng)可以進行多層次的綜合審計評價，通過對內(nèi)部控制系統(tǒng)的審計，實現(xiàn)系統(tǒng)的預(yù)防性控制、檢測控制和糾正控制。

3 )承認(rèn)重要性

為了有效地實現(xiàn)審計目標(biāo)和合理利用審計資源，信息系統(tǒng)審計人員在制定審計計劃時應(yīng)正確評價系統(tǒng)的重要性。對重要性的評估一般需要使用專業(yè)判斷。在考慮重要程度時，應(yīng)依據(jù)審計人員的專業(yè)判斷或共同標(biāo)準(zhǔn)、系統(tǒng)的服務(wù)對象和業(yè)務(wù)性質(zhì)以及內(nèi)部控制的初步評估結(jié)果。重要性的判斷離不開特定的環(huán)境，審計師必須根據(jù)特定的信息系統(tǒng)環(huán)境來確定重要性。重要性具有數(shù)量和質(zhì)量兩方面的特點。子系統(tǒng)越重要，就越需要足夠的審計證據(jù)來支持審計結(jié)論或意見。4 )編制審計計劃經(jīng)過上述程序后，審計計劃已做好準(zhǔn)備，審計師可編制全面和具體的審計計劃?？傮w規(guī)劃包括：被審計人的基本情況；審計目的、審計范圍和戰(zhàn)略；重要問題和重要審計領(lǐng)域；工作進展和時間；審計小組成員之間的分工；重要性確定和風(fēng)險評估。具體計劃包括：IT信息系統(tǒng)審計具體的審計目標(biāo)；審計程序；從業(yè)人員和時限。

2.審計執(zhí)行階段

審計可以充分準(zhǔn)備上訴材料，包括以下內(nèi)容：

1 )審計計劃中的信息系統(tǒng)開發(fā)階段

對信息系統(tǒng)計劃發(fā)展階段的審計包括對計劃的審計和對發(fā)展的審計，無論是個案審計還是事后審計。相比之下，審計更有意義，審計結(jié)果有利于及早發(fā)現(xiàn)錯誤和問題，有利于計劃的調(diào)整，有利于改進發(fā)展順序。IT信息系統(tǒng)審計規(guī)劃階段的關(guān)鍵控制點是：該計劃是否有明確的目的，該計劃是否清楚地描述了該系統(tǒng)的作用，是否界定了系統(tǒng)開發(fā)的組織，是否正確地預(yù)測了總體規(guī)劃過程，該計劃是否能夠隨著業(yè)務(wù)環(huán)境的變化而及時修訂，是否有關(guān)于該計劃是否制定的可行性報告，是否有關(guān)于該計劃的過程和結(jié)果的文件，等等。系統(tǒng)開發(fā)階段包括三個部分：系統(tǒng)分析、系統(tǒng)設(shè)計、代碼編寫和系統(tǒng)測試，包括功能需求分析、業(yè)務(wù)數(shù)據(jù)分析、總體框架設(shè)計、結(jié)構(gòu)設(shè)計、代碼設(shè)計、數(shù)據(jù)庫設(shè)計、輸入輸出設(shè)計、處理流程和模塊功能設(shè)計，根據(jù)系統(tǒng)設(shè)計階段的設(shè)計圖、數(shù)據(jù)庫結(jié)構(gòu)和代碼設(shè)計，系統(tǒng)的過程用計算機程序語言實現(xiàn)，測試包括動態(tài)測試和靜態(tài)測試，這是系統(tǒng)開發(fā)和試運行前的必要程序，其關(guān)鍵控制點是：

分析控制點：是否仔細(xì)分析了企業(yè)的組織結(jié)構(gòu)；是否確定了用戶的功能和性能要求；是否確定了用戶的數(shù)據(jù)需求等。

設(shè)計控制點：設(shè)計界面是否方便用戶使用；設(shè)計是否與業(yè)務(wù)內(nèi)容一致；性能是否滿足需要；是否考慮故障對策和安全保護等。

編程控制點：是否有程序規(guī)范，并按照規(guī)范編寫；程序設(shè)計與設(shè)計是否一致，是否違反編程原則；程序作者是否進行自我測試；是否有程序作者以外的第三人進行測試；程序編寫、變量命名等是否標(biāo)準(zhǔn)化。

測試控制點：測試數(shù)據(jù)的選擇是否按照計劃和需要進行，是否具有代表性；測試是否在公平和客觀的位置進行；是否有用戶參與測試；測試結(jié)果是否被正確記錄等。

2 )對信息系統(tǒng)操作和維護階段的審計

信息系統(tǒng)運行維護階段審計分為運行階段審計和維護階段審計，系統(tǒng)運行過程審計是在信息系統(tǒng)正式運行階段進行的，目的是為了真正實現(xiàn)信息系統(tǒng)的發(fā)展目標(biāo)，滿足用戶的需要，時代新威對信息系統(tǒng)運行過程的審計分為六個部分：系統(tǒng)輸入審計、通信系統(tǒng)審計、過程審計、數(shù)據(jù)庫審計、系統(tǒng)輸出審計和運行管理審計。輸入審計的關(guān)鍵控制點是否制定和遵守輸入管理規(guī)則，是否有數(shù)據(jù)生成順序、處理錯誤預(yù)防、保護措施、錯誤預(yù)防和保護措施等。通信系統(tǒng)實現(xiàn)實際數(shù)據(jù)的傳輸。在通信系統(tǒng)中，審計跟蹤應(yīng)記錄輸入數(shù)據(jù)、傳輸數(shù)據(jù)和工作通信系統(tǒng)。通信系統(tǒng)審計的關(guān)鍵控制點是否制定和遵守通信規(guī)則，網(wǎng)絡(luò)訪問控制和監(jiān)控是否有效等。處理過程是指處理器在接收到輸入數(shù)據(jù)后對數(shù)據(jù)進行處理的過程。此時，審計主要針對數(shù)據(jù)輸入系統(tǒng)是否正確處理，關(guān)鍵控制點是：處理數(shù)據(jù)、數(shù)據(jù)處理器、數(shù)據(jù)處理時間、數(shù)據(jù)處理結(jié)果、數(shù)據(jù)處理目的、系統(tǒng)處理錯誤率、平均無故障時間、可恢復(fù)時間和平均恢復(fù)時間等。

數(shù)據(jù)庫審計確保數(shù)據(jù)庫正確地行使數(shù)據(jù)操作的有效性和異常操作時數(shù)據(jù)的保護功能(正確數(shù)據(jù)不丟失，數(shù)據(jù)回滾以保證數(shù)據(jù)的一致性)。關(guān)鍵控制點是：數(shù)據(jù)的訪問控制和監(jiān)控是否有效，是否記錄數(shù)據(jù)的使用，是否考慮數(shù)據(jù)的保護功能，是否存在錯誤預(yù)防、保密功能、錯誤預(yù)防和保密功能等。輸出審計不同于測試階段的輸出審計。此時，輸出是根據(jù)實際數(shù)據(jù)進行的。輸出審計可以根據(jù)用戶的需要對系統(tǒng)的輸出進行重新控制。關(guān)鍵控制點是：在獲取和處理輸出信息時是否有防止不當(dāng)行為和保密保護的措施，輸出信息是否準(zhǔn)確和及時，輸出信息的形式是否為客戶接受，是否定期記錄和分析輸出錯誤等。運行管理審計是對人機系統(tǒng)中人的行為的審計，其關(guān)鍵控制點是：操作順序是否規(guī)范，作業(yè)進度是否優(yōu)先，操作是否按照標(biāo)準(zhǔn)進行，人員是否交替進行，實際操作中期望運行的差異是否可以分析，出現(xiàn)問題時能否相互溝通，是否有定期的培訓(xùn)和教育等等。對維修過程的審計包括對維修活動的審計，如維修計劃、維修實施、改進后的系統(tǒng)的試運行和舊制度的廢除。維修過程的關(guān)鍵控制點是：維修組織的規(guī)模是否符合需要，分工是否明確，是否有一套管理機制和協(xié)調(diào)機制，維修過程能否得到改進，維修是否得到維修主管的批準(zhǔn)，維修記錄中是否有文件，是否定期分析維修記錄，是否在授權(quán)下廢除舊制度等。

3.審計完成階段

時代新威完成階段是對整個信息系統(tǒng)進行實質(zhì)性審計的結(jié)束，其主要任務(wù)如下：

1 ）對執(zhí)行審計業(yè)務(wù)過程中收集到的證據(jù)進行整理和評價

在現(xiàn)代信息系統(tǒng)審計管理階段，收集到的數(shù)據(jù)存儲在管理系統(tǒng)中，審計人員只需對其進行分析和調(diào)用。

2 ）審查審計草案并完成第二級審查

傳統(tǒng)審計的三級審查制度也適用于信息系統(tǒng)審計，是保證審計質(zhì)量、降低審計風(fēng)險的重要措施。第一級審查是信息系統(tǒng)審計項目負(fù)責(zé)人在審計過程中對工作文件的審查，主要是評價已完成的審計工作和編寫工作文件所形成的結(jié)論；第二級審查是審計部門領(lǐng)導(dǎo)在外地工作結(jié)束時對工作文件的關(guān)鍵審查。在今天的審計辦公室自動化中，輔助審查系統(tǒng)也可以通過在線報告和呼叫來實現(xiàn)。

3 ）評估審計結(jié)果，形成審計意見，完成三級評審，并準(zhǔn)備審計報告

評價審計結(jié)果的主要目的是確定要發(fā)表的審計意見的類型，以及在整個審計過程中是否遵循了獨立的審計標(biāo)準(zhǔn)。信息系統(tǒng)審計師需要對審計的重要性和審計風(fēng)險做出最終的評價。這是審計員決定發(fā)表哪類審計意見的必要程序，所查明的可接受的審計風(fēng)險必須有充分和適當(dāng)?shù)膶徲嬜C據(jù)作為佐證。在發(fā)布審計報告之前，最后(三級)審查應(yīng)與工作草案一起進行，三級審查應(yīng)由審計部門主任進行。主要審查應(yīng)包括所采用的審計程序是否適當(dāng)、審計工作草案是否充分、審計過程中是否存在重大遺漏、審計工作是否符合事務(wù)所的質(zhì)量要求等。堅持三級審查制度是控制審計風(fēng)險的重要手段.審計報告是審計工作的最終結(jié)果。首先，審計報告應(yīng)對被審查系統(tǒng)的安全性、可靠性、穩(wěn)定性和有效性提出審計意見，并提出改進建議。當(dāng)前，審計工作的發(fā)展正經(jīng)歷著前所未有的發(fā)展和轉(zhuǎn)型時期，時代新威要發(fā)展審計工作，既要適應(yīng)信息化的發(fā)展，又要適應(yīng)審計對象、內(nèi)容和手段的變化，充分利用信息資源，不斷轉(zhuǎn)變審計觀念，不斷向前發(fā)展。審計工作要抓住機遇，大力推進信息化，加強審計信息化研究，讓審計信息技術(shù)更好地服務(wù)于審計工作。