第6章 信息系统审计

第6章

信息系统审计6-2本章学习目标理解为什么需要开展信息系统审计？掌握信息系统审计的内涵、内容及步骤掌握一般控制审计的原理、内容及应用掌握应用控制审计的原理、内容及应用6-3概述：信息系统审计的重要性信息系统审计简介信息系统一般控制及审计信息系统应用控制及审计IT治理审计信息系统审计准则与规范本章主要内容6-4信息系统审计的重要性6-5信息系统内部控制是指一个单位在信息系统环境下，为了确保业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊，确保信息系统提供真实、合法、完整的信息，而制定和实施的一系列政策、程序和措施。信息系统内部控制6-6信息系统内部控制分类方法6-7信息系统内部控制分类方法（依据控制层次）6-8信息系统内部控制分类方法（依据技术和管理的视角）6-9一般控制审计应用控制审计IT治理审计信息系统审计主要内容分类6-10信息系统审计的基本步骤审计准备阶段审计实施阶段审计报告形成阶段审计结果执行阶段6-11简单地讲，信息系统一般控制是除了信息系统应用程序控制以外的其他控制，它应用于一个单位信息系统全部或较大范围的内部控制。其基本目标为：防止系统被非法侵入、保护信息系统、确保数据安全、保证在意外情况下的持续运行等。信息系统一般控制简介6-12根据以上信息系统一般控制的主要内容及目标，信息系统一般控制审计的主要内容一般包括等。信息系统一般控制审计的主要内容信息系统开发、测试和维护审计信息系统运行管理审计信息系统安全审计业务连续性管理审计IT外包审计6-13信息系统开发、测试和维护审计信息系统开发、测试和维护审计的主要目的是：检查信息系统开发、测试和维护的方法和程序是否科学，是否含有恰当的控制。检查信息系统开发、测试和维护过程中产生的系统文档资料是否规范。确保信息系统开发、测试和维护目标的实现。6-14信息系统开发、测试和维护审计6-15信息系统开发、测试和维护审计6-16信息系统开发、测试和维护审计6-17信息系统运行管理审计信息系统运行管理主是对上线系统的日常运行进行管理。系统的日常运行要与系统开发和维护分离，确保一个单位信息科技部门内部的岗位制约。6-18信息系统运行管理审计6-19信息系统运行管理审计6-20信息系统安全审计信息系统安全是通过维护信息系统中信息的机密性、完整性和可用性，来管理和保护一个单位所有的信息资产。信息系统安全涉及到管理、人员、技术等各个方面，因此，信息系统安全主要包含：管理安全（如安全管理制度与管理组织）人员安全技术安全（如计算机机房、操作系统、数据库系统、网络通讯、软件、硬件等）6-21信息系统安全审计6-22信息系统安全审计6-23业务连续性管理审计业务连续性管理是为了防止业务活动中断，保护关键业务流程不受信息系统失效或自然灾害的影响，将意外事件或灾难对业务的影响降低到最低水平。业务连续性管理包括识别和降低风险，制订连续性计划，建立应对意外事件或灾难的响应与恢复机制，测试和检查业务连续性计划的有效性与合规性，维护业务连续性计划。6-24业务连续性管理审计6-25业务连续性管理审计6-26IT外包审计为了满足需要，一些单位除了依靠内部力量开发一些信息系统，还常常会依靠外部力量开发一些信息系统，这些依靠外部力量开发信息系统被称为IT外包。IT外包审计主要审计被审计单位在进行信息系统外包时是否按照风险控制的原则，合理确定外包的范围和内容，分析和评估外包风险，建立健全相关规章制度，制定风险防范措施。

6-27IT外包审计6-28IT外包审计6-29信息系统应用控制及审计信息系统应用控制是为了适应各种数据处理的特殊控制要求，保证数据处理完整、准确地完成而建立的内部控制，它针对的是与信息系统应用相关的事务和数据，目的是确保数据的准确性、完整性、有效性、可验证性、可靠性和一致性。6-30信息系统应用控制及审计——应用控制的主要内容输入控制处理控制输出控制6-31应用控制审计基本步骤6-32应用控制审计案例步骤6-33应用控制审计案例步骤——业务流程分析6-34应用控制审计案例步骤——应用控制识别6-35应用控制审计案例步骤——应用控制测试6-36应用控制审计案例步骤——应用控制测试6-37应用控制审计案例步骤——应用控制测试6-38应用控制审计案例步骤——控制缺陷确认和审计报告撰写6-39IT治理审计高级管理层情况信息科技（或信息管理）部门情况知识产权保护工作情况IT（信息技术）治理用于描述一个单位是否采取有效的机制，使得IT的应用能够完成组织赋予它的使命，同时平衡信息技术与过程的风险，确保实现组织的战略目标。IT治理是高级管理层的责任，考虑领导层，组织结构以确保业务目标和IT目标一致。6-40IT治理审计案例6-41IT治理审计案例6-42IT治理审计案例6-43信息系统审计准则与规范SOX法案COSO内部控制框架COBITGTAG6-44信息系统审计准则与规范6-45课程思政教学案例随着大数据、云计算、移动互联等技术的发展与应用，为了适用于新型网络系统的安全保护要求，2019年5月10日，国家标准化管理委员会发布了新修订的《信息安全技术网络安全等级保护基本要求》。2022年1月，中国人民银行印发的《金融科技发展规划(2022—2025年)》明确提出“加快监管科技的全方位应用，强化数字化监管能力建设”，“筑牢金融与科技的风险防火墙”。信息系统审计对我国防范化解风险具有重要意义6-46什么是信息系统审计?什么是一般控制审计和应用控制审计?一般控制和应用控制有什么关系?为什么需要了解信息系统审计准则与规范?如何开展信息系统审计?在实际的审计工作中,如何把信息系统审计和电子数据审计结合起来?思考题相关参考书6-47陈伟．《审计信息化（第二版）》，高等教育出版社，2022年陈伟．《大数据审计》，中国人民大学出版社，2021年陈伟．《智能审计》，机械工业出版社，2021年陈伟．《信息系统审计》，高等教育出版社，2020年陈伟．《计算机辅助审计原理及应用（第四版）——大数据审计基础》，清华大学出版社，2020年陈伟．《大数据审计理论、方法与应用》，科学出版社，2019