ITAFTM 配套执行准则2208 信息技术审计抽样

2208 71.1《信息技术审计抽样准则》（准则2208）的目的 7 1.3应用和使用 71.4范围和技术更新 71.5与ISACA更广泛指南的整合 81.6术语和定义 8章节2.执行准则2208：信息技术审计抽样 92.12208.1简介 92.22208.2抽样 92.32208.3样本的设计 112.42208.4样本的选择 162.52208.5抽样结果的评价 192.62208.6文档记录 20 23 25 27能•定义IT审计和鉴证的特定术语和概念•为IT审计和鉴证业务的规划、执行和报告提供指导和技术支持•提升通过抽样技术获得的审计证据的可靠性、透明度和效率•考虑将这些准则作为审计抽样活动中规划、设计、执行和得出抽样结论的最佳实践参考；8ITAFm配套执行准则2208：信息技术审计抽样章节2执行准则2208：信息技术审计抽样章节2执行准则2208：信息技术审计抽样2.12208.1简介本准则的各部分内容围绕以下关键审计抽样主2.22208.2抽样抽样使IT审计和鉴证从业人员无需检查总体中的每个项目即可获得充分2208.2.1ITAFm配套执行准则2208：信息技术审计抽样2208.2.2•统计抽样—使用基于概率的选择（如随机、系统或分层），适用于结论必须代表抽样•非统计抽样—依靠专业判断，根据风险、重要性或2208.2.3他测试方法可提供更可靠或更有效的鉴证。可能不适合抽样的•存在证据或数据限制：•使用自动化或分析性替代方法：•总体特征不需要抽样：），•存在风险或合规方面的考虑：章节2执行准则2208：信息技术审计抽样2.32208.3样本的设计2208.3.1•确定审计目的和方法：•了解抽样总体：•选择并验证抽样方法：•应用技术方法并保持质量：ITAFm配套执行准则2208：信息技术审计抽样2208.3.2•确定抽样目的和单位：），•了解抽样总体及其结构：•评估风险、误差和分布因素：•整合数据可靠性和分析支持：），2208.3.3合规性测试用于获取有关审计期间控制措施的设计和运行有效性的审计证据。抽样•审查用户访问权限管理控制措施（例如访问权限的适当性、定期访问权限审查）•审查变更管理活动，如程序变更审批或测试文档实质性测试用于获取有关具体交易、配置或数据元素的完整性、准确性•对具有代表性的交易样本重新进行自动或复杂计算（如系统计算利息、折旧等）•根据证明文件（如发票、批准书或配置证据）追踪交易样本章节2执行准则2208：信息技术审计抽样2208.3.4的控制措施），对此通常采用属性抽样。这种方法有助于确定抽样总2208.3.5抽样总体包括接受审查的控制措施或流程的所有项目或数据元素。从业人员应确保抽样2208.3.6•按访问级别（如特权帐户、标准帐户、服务帐户）对用户帐户进行分组•按系统类型或应用程序关键性划分变更管理记录•按货币价值、风险评级或交易类型对交易进行分类2208.3.7ITAFm配套执行准则2208：信息技术审计抽样2208.3.8抽样的设计和规模应反映从业人员愿意接受的抽样风险水平，并与ITAF标准1201（规划中的风险评从业人员应从整体审计风险、主题风险以及对企业的潜在影响等更广泛的角度来评•更大或更有针对性的样本•增强数据分析•抽样总体测试（在可行时）•动态评估控制效果和数据可靠性•在抽样前验证抽样总体的完整性(Completeness)和一致性(Integrity)•通过扩大数据覆盖范围和识别异常情况或异常值来降低检测风险2208.3.92208.3.10•系统或流程的变化—评估可能影响控制措施的运行或数据准确性的应用程序、配置或企业流程的最•初步测试的证据—考虑控制评价、分析程序或初步•使用数据分析和自动化技术—审计数据分析和自动化技术可通过分析历史异常模式、系统日志和交章节2执行准则2208：信息技术审计抽样2208.3.112208.3.12从业人员可以设计用作控制测试和实质性测试的样本。参见上市公司本测试的指导。12208.3.13•高数据量或频率—抽样总体庞大、动态变化或不序）。1PublicCompanyAccountingOversightBoard(PCAOB),AS2315:AuditSampling,/oversight/standardAS2315ITAFm配套执行准则2208：信息技术审计抽样2208.3.14从业人员可以应用人工智能(AI)和机器学习(ML)技术来提高审计抽样的效率、精确度，获得更优质的洞•治理和伦理实践：•模型的可靠性和技术完整性：•专业判断和审计质量：2.42208.4样本的选择抽样总体的特征。从业人员应根据抽样总体的规模、变异性和审计风险选择统计、非统计或章节2执行准则2208：信息技术审计抽样2208.4.1从业人员应核实来自抽样总体的样本完整、准确且与审计目标相关。这包括在选•验证数据提取逻辑和参数（如筛选条件、日期范围、系统选择），以确认相关记录没有遗漏或重复•通过将提取的数据与源系统或报告进行核对，确认数据的准确性和完整性•通过确保只包括相关时期、流程或系统，确保抽样总体与审计范围一致•控制样本选择过程，防止出现偏见或操纵，确•记录抽样总体的验证和选择程序，将其作为审计证据的一部分，为透明2208.4.22208.4.3非统计抽样依靠从业人员的经验、知识和专业判断来选择测试项目。由于这ITAFm配套执行准则2208：信息技术审计抽样2208.4.4从业人员应根据审计目标、抽样总体的性质和评估的风险水平选择最适合的抽样方•简单随机抽样—确保总体中的每个项目都有同等机•系统抽样—从随机起点按一定间隔选择项目，例如，使用货币单），非统计抽样方法依赖于专业判断而非概率。这些方法有助于获得洞察、发现2208.4.5从业人员应选择与接受测试的抽样总体的性质和结构相一致的抽样方式。方式的选体子群体的选择方法。所选方法取决于是否需要随机性、按比例代表或专业判断。•简单随机抽样—每条记录被选中的机会均等•分层随机抽样—按逻辑将抽样总体分为若干子群体（如按风险、类型或价），•判断性抽样—基于审计师的判断或已知风险特征选择样本项目（不适合将结果推断至总体）•简单随机抽样—每条定量记录或值被选中的机会均等•系统抽样—按照固定间隔选择样本项目（例如货币单元采样），从而对值较大的项目章节2执行准则2208：信息技术审计抽样2208.4.6•在执行前验证脚本逻辑和参数，以确认筛选条件、数据关联和随机化程序按•将提取的数据集与权威的源系统、报告或控制措施总数进行核对•控制工具的访问权限和版本控制，防止出现未经授权•在工作底稿中保留工具和执行细节（如工具名称和版本、代码库参考、输入参数、种子值和执行日），•定期重新执行或通过同级审查来审查自动化选择，以确保基2208.4.7•通过采集特定日期、时间或系统状态下的数据，确定稳定的抽样总体•在提取或自动采集数据时添加时间戳，以保留审计轨迹并支持可复现性•将提取的数据与系统级指标或管理报告进行核对，以确认完整性和准确性•与系统或服务管理员协调，核实提取的数据源是否具有权威性、相关性且未经更改•记录提取逻辑和参数（如筛选条件、时间范围、范围标准），以说明抽样总体如何符合审计目标•如果云服务提供商限制对日志或配置的直接访问，则应通过补充控制措•根据ISACA关于第三方治理和数据完整性的指南，评估替代证据的充分性、相关性和可靠性2.52208.5抽样结果的评价ITAFm配套执行准则2208：信息技术审计抽样2208.5.12208.5.2如果某个抽样项目无法获得足够的审计证据（如记录缺失或），2208.5.32208.5.422208.6文档记录章节2执行准则2208：信息技术审计抽样2208.6.1•抽样总体的定义—抽样总体的来源、(Completeness)、准确性和一致性(Integrity)的验证步骤•抽样参数—样本大小和理由、抽样风险考虑因素、•测试与结果—已执行的审计程序、获得的结果、发•使用的脚本、参数和配置•工具名称、版本和环境•支持审计结论的主要输出结果或可视化内容2208.6.2业务后审查、对标和趋势分析可以发现提高抽样效率、集成新兴技术和提高整体审计质量的•企业内外经验丰富的同事和主题专家，包括数据分析、自动化、人工智能或其他新兴技术方面的专•管理和治理机构，如审计委员会或技术监督委员会，以确保审计实践符合企•专业协会和同行网络，包括ISACA分会、IIA附属机构以及其他促进当前实践、知识交流和协作且受•权威参考资料和出版物，包括涉及数据驱动、自动化或人工智•受认可的技术和鉴证框架，如COBIT、NIST、ISO/IEC27000系列，以及ISACA的人工智能审计指南ITAFm配套执行准则2208：信息技术审计抽样本页为空白页1006业务熟练1006.1IT审计和鉴证从业人员以及协助其开展审计和鉴证业务的其他人员应具备执行所需工1201规划中的风险评估1201.3IT审计和鉴证从业人员在规划审计业务时应考虑被审计事项风险、审计风险以及企业1204执行与监督1204.4IT审计和鉴证从业人员为实现审计目标应获取并保留充分且适当的证据。1204.5IT审计和鉴证从业人员应记录审计过程，并说明审计工作和支持调查结果和结论的审1204.7如果通过其他测试流程获取了所要求的证据，IT审计和鉴证从业人员应提供恰当的审1205证据1205.1IT审计和鉴证从业人员应获取充分且适当的证据以得出合理的结论。1205.2IT审计和鉴证从