国企信息系统审计攻略.doc

国企信息系统审计攻略翻开文本图片集当前，信息系统逐渐成为企业管理与内部控制的重要手段和工具，信息系统审计也逐渐开场得到各国政府、专业机构和企业的重视信息系统的审计要点包括：分析^p 和识别被审计单位信息系统可能面临的威胁及威胁发生的概率；分析^p 和识别被审计单位信息系统可能存在的风险点及风险的严重性；通过分析^p 威胁发生的概率及风险的严重性来评估被审计单位信息系统的风险程度及可能产生的影响；评价被审计单位的风险应对机制及防范应对措施的可行性及有效性；对信息系统定期开展后续跟踪评估，等等审计方法信息系统审计作为近年来审计开展的新领域，既要运用到访谈、调查、观察和分析^p 等传统审计方法，也要引入平行模拟、数据测试、黑白盒测试、工具扫描及平安策略分析^p 等各类新技术新程序，审计人员在施行详细审计业务时，应根据被审计单位的信息系统实际情况选择适宜的方法程序与其他审计不同，信息系统审计还会运用大量的计算机技术1.数据测试数据测试是将几组预先设计好的、包含了正确和错误信息的测试数据，送入信息系统进展处理，并把处理结果与预先设计好的结果进展比拟，以确定该系统能否对有效数据进展正确处理，从而将错误数据检测出来。

这种方法对审计人员计算机程度要求较低，应用相对广泛2.程序流程图检查审计人员按照信息系统的处理流程图对信息系统程序的控制功能进展分析^p ，按图索骥，以检测信息系统是否可靠，业务处理逻辑是否正确例如，审计人员根据物资管理系统流程图，追踪系统在应该对输入信息进展校验时候是否执行该步骤，当出现非法数据输入时系统是否按照流程要求显示报错信息，以确认该项内部控制措施是否有效3.系统运行日志检查审计人员可以根据系统日志的内容来推断信息系统运行过程是否正常、发生过什么状况、程序化控制措施是否存在，及可靠程度有多高，等等有可能日志中某条记录的中断隐含了系统逻辑或语法错误，进而可以作为风险点开展进一步的审计活动4.嵌入程序监控将独立的审计模块嵌入到一个运行的信息系统中，在系统运行的同时检查系统输入及处理的各项业务，将其中不符合预定标准的业务找出来，审计人员可以通过对这些被识别出的业务进展审查和分析^p ，确定是业务本身问题还是系统运行问题，进而发现潜在风险点5.其他随着计算机技术的不断进步，信息系统审计的方式方法也不断更新开展，大量智能技术逐步被引入信息系统审计中，如IDS取样分析^p 、浸透测试、工具扫描、平安策略分析^p 、黑白盒测试、数据挖掘技术、数据构造验证、A-GENT技术、程序编码审查及征兆发现技术等，这些技术的运用都对审计人员的计算机程度提出了较高的要求，普通审计人员很难胜任，需要计算机专业人员协助。

施行途径大型国有企业开展相关审计工作可以从以下几个方面入手，积累经历的同时寻找业务上的打破口，为信息系统内部控制审计进一步开展打好坚实的根底首先，制定符合企业开展需求的信息系统审计制度企业在建立这些规章制度时可以参照国际上较为成熟和先进的经历、标准及指南等，以满足审计工作需求、符合企业开展状况为首要目的其次，形成具有实用价值的信息系统审计操作手册大型国有企业，特别是信息化管理程度比拟高的集团型企业，应根据企业信息化程度制定相应的信息系统审计实务操作手册或指导性文件，明确企业信息系统的重要风险点及关键领域，指明开展信息系统审计的重点、内容、风险、方法及程序再次，培养符合企业信息系统审计需求的审计人员从事信息系统审计的人员既要精通审计专业知识，又要熟悉企业经营管理流程，还要通晓计算机技术，这样的复合型人才不是较短时间就能产生的，企业在培养这方面人才时一方面要考虑实际需要，同时要具有一定的前瞻性，在企业总部以及关键的下属企业中建立专职信息系统审计部门或装备信息系统审计人员，给予其理论时机并加强培训，为企业信息系统审计提供储藏力量最后，做好开展信息系统审计的各项根底准备工作大型国企信息系统往往具有覆盖面广、用户量大、软件众多及流程复杂等特点，因此，在进展信息系统审计前要对企业信息系统总体情况进展调查分析^p ，以理解系统架构及关键风险点等信息，为今后的实际审计活动打下坚实的根底，起到事半功倍的效果。

相信随着理论和理论的不断完善，信息系统内部控制审计将在防范企业经营管理风险、促进实现企业最终目的方面发挥重要作用[作者供职于沪东中华造船〔集团〕]第 3 页 共 3 页。