【固定资产与工程项目】IT资产与软件许可专项审计计划

审计计划书审计项目名称：IT资产与软件许可专项审计编制人：审计部XXX编制日期：XXXX年XX月XX日项目编号：SA-2026-020一、审计目标对公司IT类硬件资产（含服务器、网络设备、存储设备、计算机终端、移动设备、打印机等）及软件许可（含商业软件永久授权、订阅制SaaS、共享软件等）的采购、使用、管理和处置全生命周期实施独立审计，具体目标如下：资产存在性与账实相符：确认IT资产实物与资产台账、财务卡片一致，核实有无盘亏、盘盈、被个人长期占用或已处置未销账。软件许可合规性：核实软件许可的购买数量、版本与实际安装使用量是否匹配，有无超授权使用导致的版权侵权和合规处罚风险，以及是否存在未授权的“影子IT”。采购与供应商管理合规性：审查IT资产及软件的采购需求、招标比价、合同签订与验收是否合规，有无利益输送或虚高采购。使用效率与成本效益：评价IT资产的利用率、闲置率，软件许可的分配与回收机制，是否存在大量闲置或浪费。资产领用、调拨与退还管理：检查员工领用IT设备的手续与责任界定，跨部门调拨、离职退还等环节是否闭环，防止资产流失。处置与数据安全：审查报废IT资产的处置流程是否合规，处置前是否完成数据彻底擦除或物理销毁，处置收入是否全额入账。内部控制有效性：评价IT资产全生命周期的职责分离、审批、盘点、安全管控等内控设计与运行的有效性。最终对IT资产与软件许可的管理规范性、资产安全和成本效益作出评价，揭示风险敞口，推动完善管控。二、审计范围范围类型具体界定时间范围审计期间为XXXX年X月X日至XXXX年X月X日（最近一个完整会计年度及截至审计日），跨年度的采购合同、长期闲置资产和未解决的许可合规问题可追溯至以前年度。组织范围信息技术部（IT）、采购部、财务部（资产核算组）、各业务部门（IT资产使用方），以及涉及IT资产管理与软件许可分发的所有岗位。业务范围服务器、存储、网络设备、安全设备等数据中心硬件；台式机、笔记本电脑、工作站、显示器等办公终端；移动设备（手机、平板）；打印机、扫描仪、投影仪等外设；操作系统、办公软件、设计软件、数据库、中间件等商业软件许可；SaaS订阅服务（CRM、邮件、协作工具等）；IT资产采购申请、审批、验收、入库、发放、维修、调拨、退还、报废处置；软件许可采购、登记、分发、回收、续期、审计应对。审计基准日以最近一个会计期末为资产和许可的基准日；实物盘点穿插在现场审计初期执行。三、审计依据《企业会计准则第4号——固定资产》《企业会计准则第6号——无形资产》关于软件的相关规定。《计算机软件保护条例》《著作权法》等软件版权相关法规。公司内部制度：《IT资产管理细则》《软件许可管理办法》《IT采购与供应商管理制度》《信息资产安全管理制度》《介质销毁与数据清除规范》《员工离职IT资产交还流程》《反舞弊与廉洁从业规定》等。经批准的IT年度采购预算、软件许可台账、与主要供应商签署的合同及许可协议。四、审计组构成与时间安排1.审计组成员及分工审计组长：全面负责，审定报告。IT资产审计员（2名，具有IT运维或资产管理背景）：负责IT资产盘点、许可台账与安装数量比对、闲置与利用率分析、处置过程审核、采购与验收测试。财务审计员：负责IT资产采购与处置的账务处理测试、软件许可摊销与费用合理性分析、大额付款追踪。IT审计员（辅助）：利用资产发现工具、软件资产管理系统（SAM）、AD域或终端管理系统的数据，提取实际部署信息，与台账或许可证进行比对。2.项目时间表（共15个工作日）阶段工作日主要工作内容产出物准备阶段第1-3天下达审计通知及资料清单；获取IT资产台账、软件许可清单与授权证书、采购合同台账、资产调拨与处置记录、员工离职交还记录等；利用IT审计工具进行网络资产发现和软件扫描的初步摸底；预分析闲置率、超授权风险等。资料收取清单、IT资产与许可风险疑点清单、审计重点确认书现场实施第4-12天实地抽盘各类IT资产；比对软件许可授权数量与实际安装/使用数量；详查采购与处置流程；测试资产领用与退还闭环；审查闲置资产与“影子IT”；评估数据清除与处置合规性；访谈IT资产管理员、采购专员、IT运维工程师、用户代表等。盘点记录、许可比对底稿、采购与处置测试记录、访谈记录报告阶段第13-15天汇总差异与违规问题，量化授权不足的合规风险与资产流失；形成审计发现汇总表；起草审计报告征求意见稿；与IT、财务、采购等部门交换意见；修改定稿后上报。征求意见稿、反馈函、正式审计报告五、风险评估与审计重点IT资产与软件许可专业性强、更新迭代快、分布面广，审计组将聚焦以下高风险领域：资产流失与个人占用风险：高价值便携设备（笔记本、平板、手机）被个人长期占用，离职不退还或下落不明；小型IT设备（移动硬盘、加密狗、高端显卡）被私自带离。软件超授权使用与合规风险：实际安装数量超出购买许可数量，构成软件侵权，面临厂商审计索赔、法律诉讼和声誉损失。影子IT与未授权软件风险：部门或个人绕过IT部门，私自采购、部署SaaS服务或安装未经授权/未付费的软件，带来安全漏洞、数据泄露和合规风险。采购价格虚高与利益输送：在硬件和软件采购中，与供应商勾结，虚高报价、指定品牌或围标，从中收受回扣。闲置与浪费风险：大量采购的IT资产和软件许可长期闲置，未及时盘活或回收，造成资金占用和持续的费用支出（如SaaS订阅费、维保费）。数据残留与处置不当风险：报废设备（硬盘、服务器、手机）在处置前未进行彻底数据擦除或物理销毁，导致公司敏感信息泄露。资产信息失真风险：台账记录与实际严重不符，资产位置、使用人、状态等信息未及时更新，导致管理决策依赖错误数据。六、具体审计程序程序一：IT资产台账与实物盘点台账与财务账核对：将IT资产管理系统（ITAM）或CMDB中的资产台账与财务固定资产卡片账进行核对，确保两套数据一致。网络发现与资产扫描：利用网络扫描工具或终端管理平台，自动发现网络内的IT设备（主机名、MAC地址、IP、操作系统等），与台账进行比对，识别未入账资产（“幽灵资产”）和已离线但未处置的资产。实物抽样盘点：高价值便携设备：对笔记本电脑、平板、高端手机等，按不低于30%的比例突击抽盘，核实使用人与地点是否与台账一致。数据中心设备：进入机房，对服务器、存储、网络设备等进行实物与台账的核对（注意不影响运行），检查资产标签粘贴情况。闲置设备：检查IT库房中存放的备用机、维修机、退役设备，与闲置资产清单核对，确认实物存在且状态记录准确。盘点差异处理：对盘亏资产，要求保管人及IT部门书面说明原因。对盘盈资产（未入账但实际在用的设备），追溯采购来源，补充入账。程序二：软件许可合规性审计许可台账与采购记录核对：获取软件许可管理台账（含产品名称、版本、授权类型、购买数量、有效期、许可证密钥等），与采购合同、发票、厂商授权证书进行核对，确保台账信息准确。实际安装/使用量提取：利用软件资产管理工具、AD域组策略、或终端管理系统的软件清单功能，提取网络中实际安装的软件列表及数量。对于SaaS服务，从管理后台导出实际活跃用户数。许可与安装比对：将购买许可数量（或订阅用户数）与实际安装/使用数量进行逐一比对。计算每种软件的超授权数量或闲置许可数量。重点关注：操作系统、办公套件、设计软件（如Adobe、AutoCAD）、数据库（如Oracle、SQLServer）、虚拟化软件等厂商审计重点对象。授权类型合规性：检查是否将低价的教育版、个人版软件用于商业环境；是否将限于特定版本的许可用于更高版本；是否违反了按CPU核数、按设备数等复杂授权规则。未授权软件排查：分析软件清单中是否有未经IT部门批准安装的免费软件、破解版软件、个人软件，评估其带来的安全和合规风险。“影子IT”排查：向各部门主管或员工发放问卷，了解是否使用了未经IT统一采购和管理的SaaS工具（如项目管理、文件共享、在线协作平台等），评估其数据安全风险。程序三：采购与供应商管理合规性测试采购需求与审批：抽取审计期间内大额IT资产及软件采购订单（包括硬件、软件、SaaS续费），检查需求申请、技术选型论证、预算审批等前置程序是否合规。招标与比价：对达到招标标准的采购项目，检查招标文件、评标记录，识别围标串标迹象（如技术参数明显倾向某一品牌）。对单一来源采购，审查理由的充分性和审批记录。将采购价格与市场主流电商平台、厂商公开报价进行对比。供应商关联关系排查：对长期合作的IT供应商、集成商，穿透其股东和高管信息，与IT采购人员、IT管理层的关系网进行碰撞，排查潜在利益输送。验收管理：抽取硬件设备采购，检查验收单、到货签收记录与采购合同的一致性，验证设备序列号是否与台账登记一致。对于软件，检查是否收到合法的许可证书或激活凭证。程序四：资产领用、调拨与退还闭环测试领用流程：检查员工领用IT资产（入职领用、换机）是否签署了《资产领用/保管责任书》，明确了资产配置清单和赔偿责任。调拨与借用：检查跨部门资产调拨是否经过转出、转入双方及IT部门审批，系统记录是否及时更新。对临时借用设备（如会议用投影仪、备用笔记本），检查借用登记和归还催还机制。离职退还闭环：从人力资源部获取审计期间内离职人员名单，与IT资产系统中该员工名下资产进行比对。逐项核查离职员工的IT资产是否全部交回，有无签字确认的《资产交还清单》。对未交回的，追踪原因和赔偿情况。维修与更换：检查设备维修流程，更换下来的故障部件（如硬盘、内存）是否按规定处置，有无被个人留存。程序五：闲置资产与使用效率分析闲置资产识别：通过资产管理系统或网络扫描数据，筛选出连续90天以上无任何网络活动或登录记录的终端设备；查看机房中已下电或线缆已拔除的服务器设备。闲置原因与处理：核实闲置资产是否已在闲置清单中，是否已制定处理方案（调剂使用、退租、报废处置）。计算闲置IT资产的原值及年度折旧费用。服务器与软件利用率：获取服务器CPU、内存、存储的平均利用率数据。识别长期低负载运行的服务器，提出虚拟化整合或降配建议。对于SaaS订阅，导出长期未登录的用户账号，推动许可回收。程序六：资产处置与数据清除安全性审计报废审批：获取报废IT资产的审批单，检查是否经过技术鉴定（确实无法修复或无使用价值）、是否在授权权限内审批。数据清除验证：对已处置或待处置的含有存储介质的设备（硬盘、SSD、手机、打印机硬盘等），检查是否按照公司《介质销毁与数据清除规范》进行了操作。要求提供数据擦除软件生成的不可逆清除证书，或物理销毁的视频/照片证据。审计组对仍在库的待报废硬盘，可抽取样本尝试进行数据恢复，验证清除效果。处置方式与收入：对外出售的报废IT资产，检查是否经过公开比价或招标。追踪处置收入的银行入账记录，确保全额入账。对捐赠或交由回收商免费回收的，审查其合理性和审批记录。程序七：关键人员访谈访谈IT资产管理员：了解日常出入库、盘点、调拨、员工离职交还等流程执行的难点和问题。访谈IT采购专员：了解软硬件采购的选型过程、供应商关系，是否存在业务部门指定采购或招标前已内定供应商的情况。访谈IT运维/Helpdesk工程师：从一线支持视角了解员工自装软件、设备私用、丢失不报等实际状况。访谈用户部门代表：了解IT资产配置是否满足需求、领用和维修流程的效率、是否有闲置设备未被回收。七、审计报告要求报告应聚焦IT资产的安全、合规与成本控制，至少包含：审计概况：审计范围、覆盖的资产和软件类别、主要程序。IT资产与许可管理总体评价：资产账实相符率、软件许可合规率、资产闲置率、处置合规性等关键指标画像。审计发现与风险评级：按“资产盘亏/个人占用”、“软件超授权使用/合规风险”、“影子IT/未授权软件”、“采购价格虚高/供应商关联”、“闲置浪费”、“数据清除与处置违规”等类别逐项列示。附盘点差异表、许可比对差异、系统扫描结果截图等证据。对每项发现进行风险评级（高/中/低），量化超授权可能面临的索赔罚金上限、资产流失金额、闲置资产年度无效成本。合规性风险评估：对软件厂商审计风险进行专项评估，提示可能面临的财务和声誉损失。审计建议：立即补充购买不足的软件许可或卸载超量安装的软件。建立IT资产全生命周期管理平台，推行自动化资产发现与许可扫描。将软件许可合规纳入采购和IT运维KPI，定期自检。严格离职资产交还与数据清除挂钩机制。清理闲置资产并建立定期处置机制。强化“影子IT”治理，统一SaaS采购入口。八、其他注意事项技术手段依赖：本审计高度依赖资产发现、软件扫描等技术工具，需提前与IT部门协调，获取必要的只读权限，并确保扫描行为不会触发安全告警或影响生产系统。软件许可的复杂性：不同厂商的许可规则差异巨大，审计组需提前学习主要厂商