作者: 薛富平   

一、信息系统审计的定义

　　随着全球信息化和审计理论的发展，信息系统审计逐渐引起人们的关注。但是到目前为止，国际上对信息系统审计还没有固定、统一的定义。国际信息系统审计委员会（ISACA）定义为“信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率利用组织的资源并有效果地实现组织目标地过程”，该协会的专家 Ron Weber 定义为“搜集并评价证据，以判断一个计算机系统（信息系统）是否有效的做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”；1985年日本通产省情报处理开发协会信息系统审计委员会定义为“所谓信息系统审计是指由独立于审计对象的信息系统审计师站在客观的立场，对以计算机为核心的信息系统进行综合的检查、评价，向有关人员提出问题与劝告，追求系统的有效利用和故障排除，使系统更加健全”，11年后的1996年，该委员会对信息系统审计重新定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一连串的活动”。所以信息系统审计所关注的内容不单纯是对电子数据的处理，更不仅仅是财务信息，而是对企业整个信息系统的可靠性、安全性进行了解和评价，是一项通过审查与评价信息系统的规划、开发、实施、运行和维护等一系列活动，以确定信息系统运行是否安全、可靠、有效，信息系统得出的数据是否可靠准确以及数据是否能有效的存储的过程。

　　实施信息系统审计（ISA）的人员称为信息系统审计师（IS Auditor）,我国国内称为IT审计师。国际信息系统审计与控制协会（ISACA）是国际上唯一可授权信息系统审计师的权威机构，通过考试可获得注册信息系统审计师（CISA）证书，该证书被世界各国广泛认可。

　　二、信息系统审计的内容和特点

　　国际信息系统审计协会（ISACA）规定了信息系统审计主要内容：1．信息系统审计程序。依据信息系统审计标准、准则和最佳实务等提供信息系统审计服务，以帮助组织确保其信息技术和运营系统得到保护并受控；2. IT治理（信息技术治理）。确保组织拥有适当的结构、政策、工作职责、运营管理机制和监督实务，以达到公司治理中对IT 方面的要求；3.系统和基础建设生命周期管理。系统的开发、采购、测试、实施（交付）、维护和（配置）使用，与基础框架，确保实现组织的目标；4. IT 服务的交付与支持。IT 服务管理实务可确保提供所要求的等级、类别的服务，来满足组织的目标；5. 信息资产的保护。通过适当的安全体系（如，安全政策、标准和控制），保证信息资产的机密性、完整性和有效性；6. 灾难恢复和业务连续性计划。一旦连续的业务被（意外）中断（或破环），灾难恢复计划确保（灾难）对业务影响最小化的同时，及时恢复（中断的）IT 服务。

　　从信息系统审计的上述定义和内容，大致归纳出信息系统审计的几个特征：一是独立性，为了确保信息系统审计的公正性与有效性，信息系统审计师必须以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价；二是综合性，信息系统审计不仅包括审计信息系统运行的有形设施，还包括运行环境以及内部控制；三是管理特征，信息系统审计通过对信息系统安全、可靠与有效性的评价，促使企业有效率的利用组织的资源并有效果地实现组织的目标。

三、信息系统审计与传统审计之间的区别与联系

　　信息系统审计是传统审计的一部分，是以传统审计理论为理论基础的，两者之间有紧密的联系，也存在一定的区别。两者的联系是：信息系统审计继承了传统审计的基本理论与方法，与传统的审计一样。在立场上，要求信息系统审计师站在独立的立场上，通过选择特定的审计对象，采用询问、检查、分析、模拟、测试等方法获得客观的审计证据，来判断其与既定标准的符合程度。在程序上，信息系统审计一般也要经过审计计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作，实现审计目标；两者的区别也比较明显，主要表现在：首先，信息系统的审计对象不同于传统审计的财务领域，而是信息系统，包括基础设施，软硬件管理，信息安全，网络管理合通信等；其次，信息系统审计提出了更多的审计法与审计程序，这都是传统审计所不具备的，比如对某软件进行审计时，要采用技术含量相当高的测试，对网络安全审计时要采用穿透性测试（模拟成黑客进行各种攻击以验证其安全性）；第三，信息系统审计不光是事后审计，主要关注系统的运行现状，在某种情况下，直接参与项目的开发或变更过程，以保证足够的控制得以顺利实施；最后，信息系统审计的咨询价值显得更高，信息化的风险很高，信息系统审计师可凭借其专门知识和实践经验，受托或主动服务于被审计单位的管理者或其业务人员，在企业信息化过程中，帮助企业建立健全内部控制制度，进行系统诊断，根据企业需求，确定信息化的目标和内容，选择合适的信息系统。

　　四、尽快建立起符合我国实际的信息系统审计体系

　　我国在信息系统审计方面还没有形成一整套体系。但是近年来，在借鉴国外有关信息系统审计经验的基础上，审计署在利用计算机信息系统开展审计工作中已经取得了一定的成果：（一）全面开展对电子数据的审计，包括会计电子数据和业务管理电子数据。采取的具体方法是：1.精确复核。运用计算机，对各种数据进行精确复核，既可以对全辖并表机构的会计报表与汇总报表进行全面复核，又可以从会计流水账逐级核对至总账，还可以将业务管理数据与会计报表数据进行复核；2.编制计算机程序进行辅助计算。可以编制计算机程序对有比例关系的项目进行计算，然后与实际记录进行比较，找出产生差异的记录；3.对一些异常会计记录和交易进行筛选和查询，为审计人员提供审计线索，主要是根据某一特征进行筛选分析，从不同角度分析可疑问题线索。（二）对被审计单位的信息系统的可靠性和内部控制进行初步的评价。主要是：1. 主要调查信息系统的使用范围，网络安全和数据的备份等情况，以保证信息系统财务数据的安全、完整；2.对信息系统的内部控制情况进行初步的调查和评价，重点是权限管理、参数表的设置和修改控制等是否有效，信息系统的使用者和系统的开发者是否分离，被审计单位对交易录入的原始数据是否实施相应的控制，信息系统的数据流和业务流程是否吻合；3.通过系统日志等文件分析一些重大事件的原因，分析对整体信息系统的影响。但是我国在全面开展信息系统审计方面还处在探索阶段，为了能够为被审计单位提出更有价值的审计建议，更好地服务欲被审计单位，保证信息系统能有效地实现企业（单位）的目标，在我国也要尽快建立起符合我国实际的信息系统审计体系。