一、什么是信息系統(tǒng)審計
信息系統(tǒng)審計是一個獲取并評價證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整，以及有效率地利用組織的資源并有效果地實現(xiàn)組織目標(biāo)的過程（國際信息系統(tǒng)審計與控制協(xié)會ISACA的定義）。目前審計機關(guān)信息系統(tǒng)審計主要有兩種方式，一種是將信息系統(tǒng)審計作為常規(guī)審計的一部分，為實現(xiàn)審計項目的總體目標(biāo)服務(wù)，即數(shù)據(jù)審計、信息系統(tǒng)審計和系統(tǒng)內(nèi)部控制審計“三位一體”的結(jié)合方式。信息系統(tǒng)審計和系統(tǒng)內(nèi)部控制審計為數(shù)據(jù)審計服務(wù)，通過審計數(shù)據(jù)得出結(jié)論。另一種是獨立立項的，直接審計信息系統(tǒng)本身的安全性、可靠性和有效性。
二、開展信息系統(tǒng)審計的緊迫性
信息系統(tǒng)審計作為國家審計機關(guān)的一項重要工作，是信息化發(fā)展到一定程度的必然產(chǎn)物。
?。ㄒ唬╅_展信息系統(tǒng)審計是控制審計風(fēng)險的要求。近幾年，審計紙質(zhì)賬目時，內(nèi)部控制也要審計，不能假賬真審。同樣的道理也不能假電子數(shù)據(jù)真審，如果被審計單位運載電子數(shù)據(jù)的信息系統(tǒng)的安全性、可靠性和有效性出現(xiàn)了問題，計算機數(shù)據(jù)審計就會存在風(fēng)險，系統(tǒng)的可信與可靠程度是數(shù)據(jù)審計得以進(jìn)行的前提和最終實現(xiàn)的基本條件。
（二）開展信息系統(tǒng)審計是全面履行審計職責(zé)的要求。信息化環(huán)境下的審計，電子數(shù)據(jù)、信息系統(tǒng)、系統(tǒng)內(nèi)部控制審計必須“三位一體”，在審計過程中，這三項內(nèi)容不能少。只有這樣，我們才能完成“全面審計，突出重點”的要求，全面履行審計職責(zé)。
三、現(xiàn)階段如何開展信息系統(tǒng)審計
?。ㄒ唬┨岣呷w審計人員信息系統(tǒng)審計的意識。
“審計人員不掌握計算機技術(shù)，將失去審計資格”這一觀點基本得到了八萬審計人員的認(rèn)同，這些年計算機在審計領(lǐng)域得到了普遍的應(yīng)用，數(shù)據(jù)審計得到了有力的推進(jìn)，但大多數(shù)人對于信息系統(tǒng)審計的認(rèn)識還不到位，對開展信息系統(tǒng)審計的必要性、緊迫性認(rèn)識不足，甚至對開展信息系統(tǒng)審計的可行性持懷疑態(tài)度。為保證信息系統(tǒng)產(chǎn)生的數(shù)據(jù)真實完整，信息系統(tǒng)的安全、可靠和有效，重大的審計項目，只要被審計單位應(yīng)用的是信息系統(tǒng)，我們就必須審計信息系統(tǒng)，檢查系統(tǒng)內(nèi)部控制，只有這樣才能防止假賬真審。
?。ǘ┲匾曈嬎銠C信息系統(tǒng)審計人才的培養(yǎng)，不斷提高其審計技能。
計算機信息系統(tǒng)審計對審計人員的專業(yè)技能要求較高，除了需要審計人員具備相應(yīng)的審計技能外，還要具備較高的計算機水平。計算機信息系統(tǒng)審計人員的獲得有兩個渠道，一是在配備人員時就將計算機技能作為一個必要條件，在實際工作中不斷培養(yǎng)其審計技能；二是對現(xiàn)有審計人員進(jìn)行計算機知識的培訓(xùn)，增強其信息技術(shù)審計能力。由于計算機技術(shù)涉及的范圍廣、技術(shù)復(fù)雜性強、計算機信息技術(shù)快速發(fā)展的特點，決定了不論以何種方式獲得的信息技術(shù)審計人員，都要對其進(jìn)行持續(xù)不斷的后續(xù)教育。
?。ㄈ┬畔⑾到y(tǒng)審計應(yīng)重點關(guān)注三個環(huán)節(jié)
?。?）內(nèi)部控制環(huán)節(jié)。
在計算機系統(tǒng)中，應(yīng)檢查以下方面來證明內(nèi)控制度的有效性：1.控制系統(tǒng)資源的存取。包括物理資源，例如終端、服務(wù)器、連接盒、相關(guān)文檔等；還包括邏輯資源，如軟件、系統(tǒng)文件和表、數(shù)據(jù)等。2.控制系統(tǒng)資源的使用。用戶應(yīng)該只能對授權(quán)給他們的那些資源進(jìn)行操作。3.建立按用戶職能分配資源的制度。把重要的任務(wù)功能按用戶或用戶組進(jìn)行分離，以減少無意的誤操作、濫用系統(tǒng)資源和對數(shù)據(jù)的非授權(quán)修改。4.記錄系統(tǒng)的使用情況。按時間順序建立一個使用記錄，記錄內(nèi)容應(yīng)包括例外事例和與安全有關(guān)的事件是由誰觸發(fā)的，財務(wù)信息的創(chuàng)建、修改和刪除是由誰完成的。5.確認(rèn)處理過程的準(zhǔn)確性。用產(chǎn)生財務(wù)控制信息，確認(rèn)處理過程的準(zhǔn)確完成。6.管理人員對財務(wù)信息系統(tǒng)的修改。應(yīng)該保證財務(wù)信息系統(tǒng)的所有修改都是經(jīng)過授權(quán)、有文檔記錄、經(jīng)過徹底(獨立地)測試的，確認(rèn)最后以一種有控制的方式投入使用。7.保護財務(wù)信息系統(tǒng)免遭計算機病毒的襲擊。必須建立一套控制措施，檢測病毒，防止病毒感染財務(wù)信息系統(tǒng)。
?。?）數(shù)據(jù)環(huán)節(jié)。
在審計中，審計人員選擇一些交易對其進(jìn)行詳細(xì)檢查，確認(rèn)交易記錄是否符合一般的審計目標(biāo)。一是檢查會計事項信息，要檢查它的完整性、時效性、合規(guī)性和信息披露等方面，檢查內(nèi)容包括與本會計年度有關(guān)的交易是否全部記錄在冊；所有記錄的交易是否都是合理發(fā)生的并與本會計年度有關(guān)；記錄的交易是否數(shù)據(jù)準(zhǔn)確，計算無誤：記錄的交易是否符合基本的和輔助的法律規(guī)定，符合特定權(quán)威機構(gòu)的要求；對記錄的交易是否進(jìn)行正確的分類，并符合信息對外披露的要求等。二是檢查財務(wù)報表信息，要檢查完整性、存在性、會計計量、所有權(quán)以及信息披露等方面，檢查內(nèi)容包括是否記錄了所有的資產(chǎn)和負(fù)債：所有記錄的資產(chǎn)和負(fù)債是否都是存在的；對資產(chǎn)和負(fù)債的計量是否精確，計算方法是否符合按合理性、一致的標(biāo)準(zhǔn)制定的會計政策的要求：確認(rèn)資產(chǎn)是被審主體所有的、負(fù)債是被審主體應(yīng)該承擔(dān)的，并且資產(chǎn)和負(fù)債是否由合法的經(jīng)濟活動產(chǎn)生的；資產(chǎn)、負(fù)債、資本和存貨是否都得到正確的披露。同時對信息系統(tǒng)提供的業(yè)務(wù)信息也要進(jìn)行分析，例如每月的工資總數(shù)、某階段的付款清單和訂貨信息等，要弄清基本的交易情況，并一直追蹤到信息源。對上述信息的分析可以采用計算機輔助審計技術(shù)，按照特定的標(biāo)準(zhǔn)對數(shù)據(jù)進(jìn)行匯總、分類、排序、比較和選擇，并進(jìn)行各種運算。
(3)數(shù)據(jù)傳輸轉(zhuǎn)移環(huán)節(jié).
在信息系統(tǒng)中，有些數(shù)據(jù)需要在兩個財務(wù)信息系統(tǒng)或財務(wù)信息系統(tǒng)與業(yè)務(wù)信息系統(tǒng)之間相互轉(zhuǎn)移，在此過程中可能會出現(xiàn)一些問題，尤其是在需要手工重新錄入時。因此在審計時要重點關(guān)注以下方面：在轉(zhuǎn)移過程中數(shù)據(jù)可能會發(fā)生變化；新的科目代碼表與老的可能不一樣，需要在兩個財務(wù)信息系統(tǒng)之間建立復(fù)雜的對應(yīng)關(guān)系：中心數(shù)據(jù)庫可能被一些地理上分散的服務(wù)器取代；當(dāng)前財務(wù)信息系統(tǒng)中的數(shù)據(jù)質(zhì)量不佳；當(dāng)用一個總的信息系統(tǒng)取代一個預(yù)定財務(wù)信息系統(tǒng)時，需要補充許多新的數(shù)據(jù)。在檢查這一環(huán)節(jié)時，一定要保證輸出的消息是經(jīng)過批準(zhǔn)、完整和精確的，保證輸出的消息在約定時間內(nèi)準(zhǔn)確地發(fā)送給指定的接收者，保證流人的消息是完整、準(zhǔn)確和真實可靠的。
