［摘 要］信息系統審計是指根據公認的標準和指導規(guī)范對信息系統及其業(yè)務應用的效能、效率、安全性進行監(jiān)測、評估和控制的過程，以確認預定的業(yè)務目標得以實現。信息系統審計由審計證據管理、安全標準、安全評估、項目管理審計和法律標準等5個子系統組成，其業(yè)務范圍包括與信息系統有關的所有領域。信息系統審計方面的標準尚處于空白狀態(tài)。信息系統審計是未來審計發(fā)展的必然。
?。坳P鍵詞］信息系統審計；系統組成；范圍；準則
?。壑袌D分類號］F239.1［文獻標識碼］A［文章編號］1673-0194（2007）01-0066-03
“實現工業(yè)化仍然是我國現代化進程中艱巨的歷史性任務。信息化是我國加快實現工業(yè)化和現代化的必然選擇?！苯陙恚畔⒓夹g在提高企業(yè)管理創(chuàng)新、集中管控能力、執(zhí)行力和市場反應能力等方面，取得了意想不到的效果。但是，信息系統給社會帶來的危害也凸現出來。首先，突發(fā)事件的影響。由于1993年紐約世界貿易大廈爆炸事件，使得當時入住的多數企業(yè)的商業(yè)數據如數喪失，導致企業(yè)這一年內的很多商業(yè)活動無法進行。其次，錯誤操作、不正當使用和濫用信息技術。1998年發(fā)生的CIH病毒，造成全球數百萬臺計算機硬件損壞，導致近百億美元的經濟損失。再次，信息系統開發(fā)失敗。1994年，Standish Group對IT行業(yè)8 400個項目（投資250億美元）的研究結果表明，有34％的項目徹底失敗，50％的項目在補救后完成，預算平均超出90％，進度平均超出120％。因此，迫切需要對正在使用或即將投產的信息系統的安全性、真實性、完整性、有效性進行鑒證。信息系統審計已成為企業(yè)管理人員迫切需要開展的重要工作。在我國信息化推進過程中也存在很多問題，主要表現在規(guī)劃制訂不夠科學，項目管理不夠嚴格，監(jiān)理機制不夠健全，系統運行效益不夠明顯，致使相當一部分信息化項目失敗或未能實現預期目標，浪費了大量資源。究其根源，主要原因之一是信息化建設第三方監(jiān)管機制的缺失和標準的不健全。
一、信息系統審計
信息系統審計是指根據公認的標準和指導規(guī)范對信息系統及其業(yè)務應用的效能、效率、安全性進行監(jiān)測、評估和控制的過程，以確認預定的業(yè)務目標得以實現。
在建立信息系統審計制度，開展信息系統審計研究方面，美國走在了前面。早在計算機進入實用階段時，美國就開始提出系統審計（System Audit）。1969年在洛杉磯成立了電子數據處理審計師協會（EDPAA），1994年該協會更名為信息系統審計與控制協會（Information System Audit and Control Association，ISACA），總部設在美國芝加哥。目前該組織是從事信息系統審計的專業(yè)人員唯一的國際性組織。
在很多大型公司內部，信息系統審計部門已經成為一個獨立的對外提供多種服務的部門。尤其是互聯網和電子商務的興起，更是為信息系統審計業(yè)務帶來了無盡的商機。為財務報表審計提供服務只占信息系統審計部門業(yè)務內容很小的一部分。與信息安全相關的防火墻審計、安全診斷、信息技術認證以及ERP相關的新型咨詢業(yè)務也不斷涌現?！拔磥韺徲嬓袠I(yè)和審計技術的發(fā)展動力將主要來自于信息系統審計的發(fā)展”，這一觀點已經逐漸成為國外會計、審計界的一個共識。信息系統審計師的地位也在不斷提高。在國外的一些大型會計公司中已經出現了沒有CPA資格的合伙人，他們持有的專業(yè)資格就是CISA。據專家介紹，國際信息系統審計師（簡稱IT審計師）目前已經成為全球范圍最搶手的高級人才。
在初期，信息系統審計是作為傳統審計業(yè)務的一部分，在審計師對由計算機系統處理的數據的質量進行判斷時提供技術支持。有信息系統審計技能的審計師被看作是會計師事務所的技術資源，在必要時為同事提供技術支持。信息系統審計需求領域很廣，如對組織的信息系統審計(主要集中在對信息技術的管理控制)、技術方面的信息系統審計(包括架構、數據中心、數據通信等)、應用的信息系統審計(包括經營、財務)、開發(fā)實施信息系統審計(包括需求識別、設計、開發(fā)以及實施后階段)和信息系統是否符合國家或國際標準的審計等等。
二、構建信息系統審計
信息系統審計的建立是一項復雜的系統工程，所以應制訂長遠的開發(fā)規(guī)劃，由簡到繁分階段逐步實現。它的功能應該是：實現審計信息的收集、處理和共享；實現審計日常管理的自動化；通過計算機建立程序化的標準審計方法和統一的審計標準，從而提高審計工作的效率和質量;實現審計管理規(guī)范化；保證審計作業(yè)規(guī)范化；促進審計文檔規(guī)范化；審計質量監(jiān)督規(guī)范化；提高審計結論的層次?；谏鲜龅南到y目標，信息系統審計當前應由審計證據管理子系統、信息系統安全標準子系統、信息系統安全評估子系統、項目管理審計子系統和信息系統審計法律標準子系統等5個子系統組成。
?。ㄒ唬徲嬜C據管理子系統
１． 審計證據收集
?。?）傳統方法收集審計證據；
?。?）通過數據接口直接向計算機會計信息系統獲取審計證據；
?。?）在線系統審計證據收集；
?。?）計算機網絡系統審計證據收集。
2． 審計證據評價
?。?）真實性。查明審計證據的來源、形成的時間、地點、制作過程及設備情況，有無偽造和刪改的可能性；
?。?）合法性。包括收集手段是否合法和形式要件是否合理兩部分。有些審計證據其本身也有證據力，但在收集過程中，違背了規(guī)定的手續(xù)和程序，因而也就不具有法律效力，也不能用來證實問題。為此，鑒定分析審計證據時，要了解證據是以什么方法、在什么情況下取得的，是否違背了法定的程序和要求，是否符合法律規(guī)定的形式要件，這樣有利于判明審計證據的真?zhèn)纬潭群托ЯΓ?
?。?）相關性。查明審計證據反映的事實與被審計事項有無關系，只有與被審計事項的事實或邏輯上是相關的事實才能被認為是證據； ?。?）結合其他證據鑒定分析。
（二）信息系統安全標準子系統
構建通用的信息系統安全標準，作為信息系統審計工作中的參考標準。信息系統安全標準是由高級管理人員制定的最小標準、規(guī)則構成的集合，所以必須加以實現，以確保信息系統安全政策的實現。信息系統安全標準需要指明每個信息系統控制的詳細要求。它為管理人員提供一個基準或底線，可以照此對單個信息系統控制的適當性進行評估。信息系統審計是一個獲取并評價證據，以判斷信息系統是否能夠保證資產的安全、數據的完整以及有效率地利用組織的資源并有效果地實現組織目標的過程。它立足于組織的戰(zhàn)略目標，為有效地實現組織戰(zhàn)略目標而采取的一切活動過程都在審計師的業(yè)務之內。
?。ㄈ┬畔⑾到y安全評估子系統
信息系統審計集中反映了企業(yè)的戰(zhàn)略目標，主要從質量、成本、時間、資源利用率、系統效率、保密性、完整性、可用性等方面來保證信息的安全性、可靠性、有效性；信息系統審計資源主要包括信息、應用系統、設施、人等相關的資源，這是信息系統審計治理過程的主要對象；信息系統審計過程則是在信息系統審計準則的指導下，對信息及相關資源進行規(guī)劃與處理，從信息技術的規(guī)劃與組織、獲取與實施、交付與支持、監(jiān)督與評估等方面確定了信息技術處理過程，每個處理過程還包括更加詳細的控制目標和審計方針，以對信息系統審計處理過程進行評估。
?。ㄋ模╉椖抗芾韺徲嬜酉到y
項目管理系統是對審計過程進行全面指導、幫助和控制的軟件，它通過對標準審計方法的各個工作流程的合理細分，使每個子流程都對應相應的計算機處理模塊。從而使一個完整的審計項目可通過計算機輔助而完成，并產生各個工作環(huán)節(jié)應該生成的底稿和報告，有利于提高工作效率，為進行審計質量考核提供了極大的方便。
?。ㄎ澹┬畔⑾到y審計法律標準子系統
此系統主要是實現信息資料的收集和共享。內容定期進行更新，包括：審計工作所需要的各類法律、法規(guī)、規(guī)章制度等。一般來講，按不同層次設立，信息的共享通過系統內互聯的企業(yè)網實現，還可根據信息的保密要求，設定不同的信息訪問權限。
三、規(guī)范信息系統審計范圍
其業(yè)務范圍包括與信息系統有關的所有領域，例如對組織的信息系統審計（主要集中在對信息技術的管理控制）、技術方面的信息系統審計（包括架構、數據中心、數據通信等）、應用的信息系統審計（包括經營、財務）、開發(fā)實施信息系統審計（包括需求識別、設計、開發(fā)以及實施后階段）和信息系統是否符合國家或國際標準的審計以及網譽審計、電子簽名審計業(yè)務等電子商務審計。具體包括以下幾方面內容：
（1）信息系統開發(fā)計劃、管理及組織架構的戰(zhàn)略、政策、標準及相應實踐過程的評估；
?。?）技術基礎設施及運行實踐的效能和效率的評估；
?。?）信息資源在邏輯訪問、運行環(huán)境以及IT基礎設施各方面的安全性的評估；
?。?）系統災難恢復及保證業(yè)務連續(xù)性的能力的評估；
?。?）業(yè)務應用系統開發(fā)、實施與維護的方法和過程的評估；
?。?）業(yè)務流程的風險管理水平的評估；
?。?）財務系統的評估。
信息系統的作用有以下3方面：
第一，鑒證作用。信息系統審計的鑒證價值是指通過審計，合理地保證被審計單位信息系統及其處理、產生的信息的真實性、完整性與可靠性，政策遵循的一貫性。
第二，促進作用。促進價值體現在兩個方面，一是指信息系統審計可以促進被審計單位更有效地融入到社會經濟生活中；二是指審計可以促進被審計單位改進內部控制，加強管理，提高信息系統實現組織目標的效率、效果。
第三，咨詢作用。信息技術的發(fā)展為組織的管理變革提供了技術手段，組織扁平化、工作豐富化等管理變革都要信息技術來實現。信息化已是大勢所趨。
四、創(chuàng)建行業(yè)標準與實務指南
如同開展業(yè)務審計要具有相關法律法規(guī)作為審計依據一樣，開展信息系統審計同樣需要審計依據。國內信息系統審計方面的工作近幾年才剛剛開始，基本仍處于摸索階段，而在國家審計中更是如此。目前，由于國內關于信息系統審計方面的標準尚處于空白狀態(tài)。
國際上關于信息系統審計方面可以參考的標準主要有信息及相關技術控制目標COBIT（Control Objectives for Information and related Technology）、ISO17799、能力成熟度集成模型CMMI（Capability Maturity Model Integration）和IT基礎架構庫ITIL（Information Technology Infrastructure Library）等。
信息系統審計與控制協會ISACA（Information System Audit and Control Association）于1996年公布的目前國際上通用的信息系統審計的標準。它將IT 過程、IT資源及信息與企業(yè)的策略與目標聯系起來，形成一個三維的體系結構。它是一個在國際上公認為最先進、最權威的安全與信息技術管理和控制的標準。
英國國家標準局制定的BS7799-1《信息安全管理實踐規(guī)范》于2000年12月被國際標準化組織采納，成為ISO17799。ISO/IEC17799標準最初于1993年由英國貿易工業(yè)部立項，由標準化協會籌備起草并作為英國的標準。1995年，首次發(fā)布BS 7799-1:1995《信息安全管理業(yè)務規(guī)范》，它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則，其目的是作為確定各類信息系統通用控制范圍的唯一參考基準，并且適用于大、中、小組織以及政府部門；1998年，標準化協會發(fā)表標準的第二部分BS 7799-2《信息安全管理體系規(guī)范》，它規(guī)定信息安全管理體系與信息安全控制要求，是一個組織的全面或部分信息安全管理體系評估的基礎，它還可以作為一個正式認證方案的根據；BS 7799-1與BS 7799-2經過修訂于1999年重新予以發(fā)布，此次考慮了信息處理技術，尤其是考慮了在網絡和通信領域應用的最新發(fā)展情況；2000年12月，BS 7799-1:1999《信息安全管理業(yè)務規(guī)范》通過了國際標準化組織ISO的認可，正式成為國際標準，即ISO/IEC17799-1:2000《信息技術——信息安全管理業(yè)務規(guī)范》標準。2005年，ISO發(fā)布了新版的信息安全管理實施細則，即ISO/IEC17799-2005，對2000年版的標準進行了修訂，更加注重標準的通用性和實用性。 日本的系統審計是從20世紀80年代開始，1983年通產省公開發(fā)表了《系統審計標準》，并在全國軟件水平考試中增加了“系統審計師”一級的考試，著手培養(yǎng)從事信息系統審計的骨干隊伍。近幾年東南亞各國也開始制定電子商務法規(guī)，成立專門機構開展信息系統審計業(yè)務，并制定技術標準。
國內目前關于信息系統審計的依據主要有修訂后的《中華人民共和國審計法》、國辦發(fā)［2001］88號文件《國務院辦公廳關于利用計算機信息系統開展審計工作有關問題的通知》、1999年頒布的獨立審計準則第20號——計算機信息系統環(huán)境下的審計等，同時可以參考COBIT和ISO17799標準。
但是我國信息系統審計才剛起步，審計技術、審計規(guī)范、制度等都有待研究。隨著我國信息化水平的提高，對信息系統的有效控制與審計將逐漸成為研究熱點。
五、開展信息系統審計的意義
1． 信息系統審計是未來審計發(fā)展的必然
未來審計行業(yè)和審計技術的發(fā)展動力將主要來自于信息系統審計的發(fā)展。
2． 維護信息時代的市場經濟秩序
市場經濟是建立在信用基礎上的，信息系統審計應當充當信息時代經濟生活中公正的鑒證人，起著維護市場經濟穩(wěn)定的作用。信息時代競爭的加劇，信息流的電子傳播方式等，使市場對及時和相關信息的需求越來越多，現有財務報告模式的局限性日漸突出。現有財務報告是以歷史成本為計量基礎的、周期性地向利益相關者報告。在新經濟環(huán)境中，信息系統審計師應能夠以在線、實時的信息為基礎提供鑒證，通過多種方式來保護公眾利益、提供鑒證服務并滿足投資公眾對決策有用信息的訪問需要。提供實時報告鑒證對保護公眾利益和保護資本市場的有序發(fā)展是非常有意義的。
3． 為信息化建設保駕護航
“以信息化帶動工業(yè)化”，推進“電子政務”及“電子商務”，許多企業(yè)也已著手整合與升級其信息化應用系統?？梢灶A計，全國將有更多、更大的信息系統建設項目展開。但是，信息化是有風險的，信息系統規(guī)模越大，功能越復雜，風險也就越大。信息系統審計師的出現，可以從項目計劃開始介入信息系統建設的每個環(huán)節(jié)，以他們的專業(yè)素養(yǎng)，從項目的初始階段一直到運營的全過程，給予項目投資者風險控制的評估與建議，提高信息系統的投資效益。
主要參考文獻
[1] 〔美〕Jack J Champlain著.審計信息系統（第二版）[M].張金城等譯.北京：清華大學出版社，2004.
[2] 陳偉，劉思峰，邱廣華. 計算機審計中數據處理新方法探討[J]. 審計與經濟研究,2006，（1）.
[3] 陳丹萍. 信息環(huán)境下現代審計技術的探索：實時在線審計[J]. 審計與經濟研究，2005，（4）.
[4] 姚太明. 關于電子證據可采性與證明力的若干問題探討[J]. 審計研究，2005，（1）.
[5] 秦宇. 會計電算化條件下的計算機審計[J].會計之友，2005，（3）.
