系统审计论文范文

时间:2023-02-28 12:46:39

系统审计论文

系统审计论文范文第1篇

[论文摘要]本文分析了信息系统环境下审计工作系统的功能特征、运作环节以及系统的构成,介绍了系统测试的方法,以期提高审计信息化水平,提高审计效率和效果。

数据库技术在审计信息管理中的广泛运用,能为审计人员充分、有效、便利地提供信息,为满足快捷决策需要奠定了基础。其主要设计思想是将分析决策所需的大量数据从传统的操作环境中分离出来,把分散的、难以访问的操作数据转换成集中统一、随时可用的信息而建立的一个大的数据库,其中存储了所有审计数据。

一、审计工作系统的功能特征

在审计工作系统中,审计数据库将信息按照主题来进行组织、管理、控制,审计系统对信息的组织、管理、控制方式一般具有以下特征:

1.一致性

不同来源的多种数据一旦进入数据库,就必须按照统一的主键和结构与编码规则重新组合,因而在审计系统中的数据信息具有一致性的特点。当业务事件发生时,所有原始数据被适当加工成标准编码的源数据,集成于一个逻辑数据库(或数据仓库),而不是重复存储于多个低耦合系统中。数据库不只记录符合会计事项定义的业务事件,而且记录管理者想要计划、控制和评价的所有业务事件,并且存储业务活动中多方面的细节信息。任何授权用户都可以通过数据库所存储的数据来定义和获取所需的有用信息,这样既能提供多种视图驱动应用所能提供的全部视图,又能避免数据重复存储和数据不一致的问题。此外,这种体系结构还实现了信息处理的实时控制,数据库中的处理单元在业务发生时捕捉业务数据,既能执行业务规划和控制,又能校验数据的准确性和完整性。

2.时间变量

审计数据库中的数据键始终包括时间元素,数据保存的时间通常较长,具有作历史比较和趋势分析预测的长期数据基础。数据库技术是将计算机应用于数据管理而产生的一种新的技术,它仅是审计信息系统凭借的一种新的管理手段,对于数据库的基本要素和管理对象——审计信息的源数据,并不是指没有经过任何加工的原始数据,而是在原始数据的基础上,经过了类似于会计流程中的原始凭证确认、统—会计科目标准编码等加工后所形成的数据。

二、审计工作系统的运作环节

审计数据库在审计工作系统的运作过程大致有如下4个重要方面:

1.数据获取

获取企业的数据信息,记录数据信息的功能和处理过程。根据审计人员的需要,对在数据库中运算所需的数据通过一定的方式进行采集,可以得到企业完整而清晰的数据信息,选取和不断更新数据,保证数据的一致性,使审计信息系统的数据不断更新与补充,并使数据在审计信息系统内部各部件之间可以沟通;利用现有系统的信息,确定从企业数据到审计信息系统的数据模型所必需的转化/综合模式。生成审计信息数据,是进行审计工作的数据基础,类似于传统手工环境下的审计对象。审计信息系统上的财务信息不再是简单的纯文本传统财务信息,它是特定协议标准格式,如超文本格式(HTML)的电子报表,所有数据只要点击都可以被随意移植使用。通过网络传输而来的电子报表按照一定的协议标准格式编制,也可以转换成审计信息系统所需的数据。通过数据获取环节,把这些数据转换成审计信息系统所能识别的形式,或直接采用被审计单位所提供电子数据加工出审计信息系统想要的形式。

2.数据管理

此环节包括会计信息库和用户信息库两部分,前者主要依据数据库技术进行管理,注重于对信息的分类、组织、维护、检索等,对存储的数据建立模型,通过数据模型来对信息进行保存和管理;后者主要包括有关用户个性特征的信息,个性特征数据结构设计是这部分的关键问题,决定了个性化信息服务系统服务质量的优劣,也是实现信息服务自动化和智能化的关键。通过将各种数据装入数据管理库之中,生成必需的、能为审计人员所直接使用的数据管理库,或通过其他方法为审计人员提供查询工具,以便审计人员能方便地从数据管理库中获取所需的信息,并可以通过一定的形式将其输出。生成审计工作所需的数据管理库包含各种审计计算底稿、审定表、审计报告、管理建议书等信息的结构化数据库,并形成与其他部件进行联系的桥梁。

3.分析推理

这是审计信息系统中对信息流进行控制的核心,其主要功能是接受审计人员通过审计信息系统传来的信息需求,判断需求指向的是已存在的信息,还是不存在的信息,或者是哪一层次的信息。对已存在的信息可直接调出并通过用户浏览器予以显示,对不存在的信息需要进行记录,并判断是否经适当可行的计算或处理即可提供,如是,则进行计算处理并显示;否则,作为遗留问题提示进行特别设置处理。此环节是审计工作数据库的主要组成部分之一,可以利用采集到的数据信息,根据程序设置,推断出审计人员工作需要的可能解;提供方便的审计分析模块。

4.解释报告

审计软件可以提供审计报告生成功能,审计人员可以通过它选择具体的信息项目、类型和表达形式,主要内容包括:(1)设置报告模式。模式中列有会计系统中与要素模块相应的数据项目,模式中的项目与含有多种会计方法的对话框或序列框相联,以便审计人员选择他们需要的会计方法来处理其选择的信息项目。(2)初始选择。在生成报告时,现行的会计准则和法规作为初始选择存放在对话框架或子对话框中。如不进行任何选择,审计人员可以得到一份通用的标准的审计报告。(3)选择项目。除初始选择以外,模式报告还提供可选择项目来满足审计人员不同的信息报告要求,这些选择项目可以是会计准则和法规、会计计量和估价方法、财务信息与非财务信息的类型、报告的频率、范围、使用的语言、形式等,提供可选择项目能够增强交互性相对化特征,既能满足审计人员的特殊信息报告需要,又能减少报告使用人员的信息负担。(4)帮助功能。可以采取3种方式:自动显示专业技术概念解释;在对话框中提供环境敏感帮助;一个全面的包括如何应用更复杂的会计技术和方法的目录。帮助功能可以避免审计人员和报告使用者有限的时间被信息的多样化这种无实际意义的工作浪费,有利于及时、准确、有效地寻找有用信息,提高对信息的利用效率。

三、审计工作系统的组成及内容

1.审计项目管理部分

通过建立审计项目管理组件,对每一个被审计项目的各方面情况进行记录并生成电子档案,可以让审计人员更方便地查阅、了解被审计单位的情况,让审计项目的新进人员可以更快熟悉工作;可以建立审计质量控制系统,明确审计人员的工作职责。2.审计法规管理部分

可以自动检查有关处理是否合法合规,能完成法规资料的录入、修改、删除、检索、打印等功能。检索功能不仅可以为用户按各种条件查找审计法规的目录,而且可以根据目录查找法规全文,可以按要求摘要其中的内容并打印输出。审计法规数据库也可以单独成为一个软件,现已成功地应用于审计工作第一线,是我国目前开发和应用较成功的专项审计软件之一。

3.审计操作管理部分

审计操作管理的功能:(1)参考功能。提供计算机审计中常用的工具、手段、可使用的审计程序,其主要内容有:审计环境建立、查询、抽样、汇总与计算、排序与分类、财务与效益分析、编制与输出工作底稿、打印各类审计文件等。(2)图像处理功能。通过对图像显示参数的设置,可以使审计结果以图表的形式表达出来,可以让内部审计人员直观地了解被审计单位的情况。(3)底稿处理功能。能完成审计工作底稿及有关参数和数据的增、删、改等维护工作。针对计算机系统还能自动查找、计算、输入底稿所需数据,并按格式打印,针对手工系统则可以提示审计人员输入有关数据,并进行计算性复核。

4.专用程序管理部分

对于一些需要对外报送资料的项目,尤其是需要送交政府部门的项目,有的政府部门可能提供了单独的审计软件,或者需要单独配备专用的审计功能,以满足政府部门的数据需要。还有的审计项目因数据量大,牵涉面广,并且各被审计单位的情况又不尽一致,为了对这些项目进行有效的审计,也需要针对每个项目的不同情况,单独配备专用的审计功能,以满足审计工作的要求。

四、审计工作系统的测试方法

1.现场交易选择测试数据

对被审计单位的现场交易作标记输入到应用程序中,把带标记的交易当作测试数据。采用这种方法,应用程序中必须有特定的计算机程序能够识别出带标记的交易,并且使这些交易既要更新应用系统的主文件,同时也要更新做检测用的虚拟实体。现场交易作标记选择和识别带记号的交易测试数据有多种策略:第一,在源文件中或屏幕布局中包含一个专门的标识字段,用来表示一笔交易既为正常交易又为带记号交易。由审计人员来选择确定对哪些现场交易作标记,所选交易的特征可以与测试数据的设计相一致,也可以根据制定的抽样计划进行选择。第二,在应用系统的程序中嵌入审计软件模块,利用审计软件来选择交易并给交易加标记使其成为带记号交易。第三,在应用系统中嵌入抽样程序,抽样程序具有根据抽样计划给交易作标记,并使其成为带记号交易的功能。不论采用何种策略,应用系统中必须有相应的处理程序,专门处理带标记的交易。

2.自行设计测试数据

自行设计测试数据是将测试数据与现场交易数据一同输入应用系统。采用这种方法,审计人员应当根据所要使用的测试数据特征设计并创建测试数据。自行设计测试数据的优点是覆盖面广,可全面测试系统;但设计和建立测试数据要花费一定的时间和费用。笔者认为,应用程序进行检测时,首先要在应用程序的文件中建立一个虚拟实体,并让应用程序处理该实体的审计测试数据。如果应用程序是工资系统,可在其数据库中建立一个虚拟的职员资料库;如果应用程序是存货系统,可在其数据库中建立一个虚拟的存货项目。将带标记的实际数据或模拟数据一同输入应用程序和审计软件进行处理,通过将应用程序对数据处理的结果同审计软件处理的结果进行比较,可确定应用程序的处理和控制功能是否恰当、可靠。当应用程序非常庞大或复杂时,全面追踪通过系统的不同执行路径会有一定难度,审计人员对交易进行审查时,可以在应用系统的重要处理发生点嵌入软件,当交易通过不同处理点时,嵌入软件可捕捉交易的过程。为证实不同关键点的处理,审计人员使用软件捕捉交易的前后过程,通过检验前后过程及其变换,评价交易处理的真实性、准确性和完整性。

主要参考文献

[1]WayneMoreandDavidHendrey.ITAuditRenewal[J].InternalAuditor,l999,(4):17.

[2]PeteRosenwald.ToBeornottoBe[J].Accountancy,1999,(8):21.

系统审计论文范文第2篇

一、电子商务系统审计的必然性和必要性

在商业活动实现网络化之前,采购是面对面或通过纸质文件进行的,有迹可查,即使是电子交易,其设备结构是专用的,一般只限于已知用户使用,任何外部用户必须是已知的、身份明确的、可追踪的;系统通常是主机结构方式,相对易于监督、控制和审计。与传统商业相比,万维网客户/服务器系统的特点是高度分散,资源共享、服务分散、顾客透明度高等,而电子商务的运作速度更快、业务循环周期更短、风险更大、更高程度地依赖于技术。电子商务系统的技术基础和市场的快速变化意味着传统的衡量方法已不再适用于企业的某些资产,财务报告不能充分提供企业的状况和价值方面的信息,特别是网络企业的无形资产,如商誉、客户忠诚度和满意程度等这些产生长期价值的关键资产。核实确认这类资产价值的困难在于缺乏足够的历史数据、合适的参照标准、先进的实践经验以及对网络的各种威胁和概率的准确估算。企业管理层以及公众都需要寻找能够用以表述网络企业的可信度、安全性及其他资产价值的方法,需要一些新的核查和审计方法,更有效地评价无形资产,如知识、品牌等。因此,电子商务系统审计就成为历史的必然。由于,电子商务的可靠性、适用性、安全性和性能等方面受到的威胁或存在的风险,都可能会影响其生存和发展。风险因素包括:商业信息的泄露、智能财产的不当使用、对版权的侵犯、对商标的侵犯、网络谣言和对信誉的损害等。因此,进行必要和客观的审计,才会使董事会、审计委员会、高级管理层对电子商务系统的安全运作和效益满意和放心。

二、网络风险和风险管理

网络风险如同自然灾害一样不可预见。风险管理的关键在于风险评估,风险评估就是要分析和衡量风险事件发生的概率及后果,引起风险的因素及其关联因素,出现风险的关键点采取什么方法能够减缓风险,风险出现造成后果如何,以及评价管理层是否履行了应有的职业审慎进行防范和控制。同时在评估中还要为各项因素设计评价比率,计算各种风险的影响后果,根据影响和后果排序,对高风险因素作进一步的分析。

通过风险评估,可以认识到潜在风险(威胁)及其影响,以便对高风险领域作一些防范、检测、控制、减缓和恢复的工作计划和安排。这些计划和安排应涵盖对各项控制成本,主要是指接受、避免、转移、监测成本的分析以及各项工作的先后次序。

三、电子商务系统审计中网站的合法性证明

网络终端用户都会关注网站是否来自一个真实的、可靠的机构,提供的信息是否准确真实,机构背景是否正当合法,个人信息的隐私权是否得到保护等。所谓隐私权是指对个人的数据/信息的搜集必须合法、公平,必须用于某一特定、公开的目的,必须取得该个人的同意并受到保护,本人必须有权进入系统进行修改或删除,信息的越域流动和将来的使用、披露必须予以安全保证和限制等。

解决这些网站合法性问题的途径之一就是由一公证机构提供可靠的证明,以使网络终端用户能对网站提供的电子商务放心。如Verisign,TRUSTe,BBBOnline,WebTrust,SysTurst等都是具有良好的信誉并且提供证明-查证服务的专业组织机构。网络终端用户可以通过查询这些公证机构的记录,获得确认被访问网站的名称、有效状态、服务器标识等信息。

四、内部审计和电子商务系统审计

美国注册会计师协会对“核实查证”的定义是“提高决策者所需要信息的质量或内容的独立性专业服务。”其审计原则是保证系统的可用性、安全性、真实完整性和持续性,建议对系统安全性和真实完整性方面存在的控制点进行检查、评价和测试。并尽量在今后采用合适的审计标准对信息技术进行审计。不同于以年度为基础的传统外部审计,电子商务的实时性要求审计人员应对其进行连续不断的评估,按特定的审核标准对已发生的交易进行追踪,而系统内设置的自动登录记录可作为相应的审计轨迹,在系统内部实施对事件监督和控制。

尽管当前许多人认为核实查证通常与外部审计人员相关,内部审计人员则在公司内部出具审计报告。然而,国际内部审计师协会对电子商务系统审计的要求则是:审计控制目标主要是审计财务报告制度、经营的效益和效率、合规性和保护财产安全等方面。审计模式应该建立在系统的可用性、容量、功能、保护和可靠性的基础上。例如,内部审计对网络企业控制水平的独立评价,使得客户了解到企业提供的数据将不会被有意或无意地滥用。再如,企业目标是建立电子商务以降低成本、提高市场占有率,那么电子商务风险是随着网络交易的增加而增加,以至于不能确保交易的安全性或分辨用户的可靠性,因此,所需要的控制就是对用户的真实性进行确认以及对通讯信息进行加密。

电子商务系统审计的成功与否在于审计人员是否掌握相关的技术知识,了解商业风险及风险管理策略,是否有现成的策略随时应付出现的风险。因此,作为一个成功内部审计人员应了解企业的业务,以服务为宗旨并努力增值,积极提高专业技能,关注系统的效率和效益,建立对电脑领域发展的职业敏感性。

五、关注电子商务系统的审计风险

系统审计论文范文第3篇

众所周知,审计质量是评价审计工作水平高低的标准,是会计师事务所的生命。审计质量的高低直接影响审计目标的实现,对社会经济的发展与稳定产生着直接或间接的影响。由于早期计算机应用比较简单,计算机审计业务主要关注被审计单位电子数据的取得、分析、计算等数据处理业务,还称不上信息系统审计;随着信息时代的到来,网络的普及及计算机信息系统的建立为信息系统审计带来了前所未有的机遇和挑战。

一、计算机信息系统环境下对审计质量的影响

(一)审计线索的减少

审计线索,亦称“审计轨迹”,在计算机信息系统环境下,会计核算主要由计算机完成,计算机只记录最后处理结果,忽略中间处理过程,数据形成依据的记录减少。储存于磁性介质上的会计数据具有存取方便、修改与删除不留痕迹的特点,这又给审计的追踪带来重重困难。因此,计算机信息系统环境下审计线索的减少和追踪困难的增加,必定给审计质量带来重大影响。

(二)审计对象的限制

审计对象是审计监督、检查和评价的客体,具体体现为被审计单位的各项经济活动及其反映的资料。在计算机信息系统环境下,注册会计师进行审计的依据是计算机的输出信息,审计对象在此受到计算机操作人员的限制。后者完全可以只提供他们愿意被审计的信息,其他敏感性信息则极有可能被人为掩藏。这样,注册会计师处于被动地位,难以获取充足的审计证据支持其审计结论,审计质量显然要受到影响。

(三)审计内容的扩展

手工系统中,审计内容就是有关财务会计的信息,而计算机环境下的审计内容还包括会计电算化系统的开发与设计、会计软件的程序以及数据库管理系统。此外,注册会计师还应该确定系统的开发与设计方法是否合理,是否严格按照分析、设计,测试、运行、维护的步骤进行,分析是否全面、设计是否恰当、测试是否充分,会计软件执行程序是否与实际操作中的业务流程一致,数据库管理系统是否有效,会计软件是否能够予以信赖,并以会计软件处理输出的结果作为审计对象。

(四)审计方法的落后

目前,被审计单位的财务工作多采用计算机进行数据处理,会计电算化软件功能日臻完善,但是审计软件的发展远远没有跟上会计软件发展的步伐,同时大部分注册会计师对计算机信息系统还不太熟悉,绝大多数审计业务仍停留在绕过计算机进行审计的阶段。但是这种方法的运用以系统必须留有足够的、肉眼可以识别的审计线索为条件,如前文所述,审计线索缺乏是计算机环境的一个特点,因此,绕过计算机审计的方法难以保证计算机环境下的审计质量。

(五)注册会计师计算机知识的缺乏

在计算机环境下,从审计计划的制定到审计程序的确定,从审计技术的选择到审计方法的采用,都必须由注册会计师操作和指挥。这要求注册会计师不仅要有丰富的会计、财务、审计知识和技能,熟悉财经法律以及其他的审计依据,而且还应当掌握计算机知识及应用技术,掌握数据处理和管理技术;不仅要懂得审计软件的操作方法,而且还应当根据审计过程中所出现的种种问题,即时编写出各种测试、审计程序模块。

二、计算机信息系统环境下提高审计质量的对策

为了提高在计算机信息系统环境下的审计质量,在财务审计中,变绕过计算机审计为穿过计算机审计,对计算机内部数据处理的详细过程直接进行审查。内容包括以下几个方面。

(一)积极开展计算机信息系统的事前审计

通过事前审计监督,对计算机信息系统建立的内部控制的严密完善性、系统的合规合法性以及系统的可审性等进行评价,保证计算机信息系统运行以后数据处理结果的真实性和正确性,防止和减少计算机信息系统信息失真风险的发生。

(二)定期对被审系统的内部控制制度进行审计

对计算机信息系统的内部控制进行审查和评价是提高计算机信息系统环境下审计质量的有效措施之一。通过对被审计系统内部控制制度的健全性调查和实际执行情况的符合性测试,找出控制的弱点,提出强化内部控制措施,督促被审计单位完善内部控制系统。(三)重视计算机信息系统的事后审计

通过事后审计,对计算机信息系统的电子账以及打印输出资料的真实性、合法性进行评价,防止和揭露计算机信息失真的风险。

通过以上分析,在计算机信息系统环境下审计的业务范围已经扩展到了符合性测试领域。为财务报表审计提供服务只是信息系统审计业务内容很小的一部分,与信息安全相关的防火墙审计、安全诊断、信息技术认证以及ERP相关的新型咨询业务在不断涌现。

三、加快发展信息系统审计

信息技术的发展对中国注册会计师和会计师事务所提出了更高的要求。国际同行的业务收入中,传统审计服务的收入比例在迅速下降,风险控制服务和管理咨询服务收入的比重大大提高,而这些收入中增长的部分往往又和IT环境审计和信息系统安全审计服务有关。所以,应该从三个方面发展信息系统审计工作。

(一)内部控制环节的变化,使许多传统的控制手段已经失去意义,评价和改进内部控制必须以信息系统的运转为基础

计算机信息系统下的内部控制虽然与手工会计系统的目标是一致的,但是与手工会计系统相比,由于计算机有自动处理的功能,内部处理的不可控制性要求采用更为严格的方法。所以在控制方式、内容、手段等方面均不同于手工会计系统的内部控制。

1.职权制审查:即从组织机构角度审查信息系统中各种人员的职责与权利、联系与牵制。

2.人员素质审查:即是否有以提高人员素质为目的的控制措施。

3.硬件及环境审查:即对存档的系统设计文本中有关硬件的资料审查。

4.运行审查:即对计算机在输入、处理、输出过程中的运行情况审查。

5.修改方式及保密措施审查:审查操作修改程序是否只有一个入口,即凭证输入口;发现错误是否采用重新输入凭证的方式加以修改;是否修改后有修改痕迹;各主要功能模块是否设置操作口令,程序是否建立保密制度。

(二)控制计算机环境风险和信息系统运行风险作为管理咨询和服务的重点

由于企业经营越来越依赖于信息系统,除了传统意义上的经营风险、控制风险和财务风险之外,企业信息系统安全性导致的信息风险也日益增长。非授权用户常常利用信息系统本身存在的脆弱性对系统进行非法访问,这种非法访问使系统中储存信息的完整性受到威胁,使信息被修改或破坏而不能继续使用,更为严重的是系统中有价值的信息被非法篡改、伪造、窃取或删改而不留任何痕迹。此外,计算机还容易受各种自然灾害和各种误操作的破坏。必须认识到信息系统的这种脆弱性,采取有效措施来保证信息系统的安全。

减少被审计单位的信息风险、提高信息系统的安全性,其中最重要的手段是系统开发审计。在信息系统开发过程中控制信息系统中的不安全因素,使信息系统减少有意的或无意的差错。目前,我国大多数企业正处于信息系统的应用及逐步完善阶段,系统开发审计应该是我国信息系统审计师的主要业务范围。

系统审计论文范文第4篇

(一)信息系统审计的定义。中国内部审计协会(2014)认为信息系统审计是指“内部审计机构和内部审计人员对组织的信息系统及其相关的信息技术内部控制和流程所进行的审查与评价活动”。按照上述定义,信息系统审计的重点跟传统审计一样,还是专注于内部控制与流程,但关注点不同,信息系统审计的关注点是信息系统的控制和流程,而不仅仅只关注相关的制度和规范。

(二)信息系统审计的目标。信息系统审计和控制联合会(ISACA)COBIT框架认为组织内部的信息系统需求三原则是:质量、成本和安全,即在保证信息系统满足组织需求的前提下,尽可能避免组织内外部风险,并减少研发和维护成本。因此信息系统审计的目标就是对组织信息系统的运行的可靠性,数据的真实性和安全性提供评价。

(三)信息系统审计的步骤。由于大多数高校内审机构在“数字化校园”开发阶段并没有参与其中。本文所述的信息系统审计专指信息系统运行维护阶段的审计。

1.审计准备阶段。信息系统审计准备阶段步骤与传统审计类似,通过从被审计单位获取相关信息系统管理的规章制度,找负责系统维护管理的工作人员座谈,实地观察等方式,完成审前调查,进行风险评估、初步确定审计重点和制定审计实施方案等工作。

2.审计实施阶段。信息系统审计在实施阶段分为两部分,分别为信息系统一般控制审计和应用控制审计。一般控制审计往往比应用控制审计更为重要,因为应用控制的有效性常常受到一般控制的影响。根据审计项目不同,审计人员可以只实施一般控制审计或者两者结合进行审计。(1)一般控制审计。一般控制审计又可以分为硬件和软件两部分,两部分的审计重点和方法有所不同,分别为:对硬件的审计通过实地观察法实施,主要有审计网络接口是否安全,是否有硬件防火墙,硬件设备存放环境是否安全,防火、防雷、防盗措施是否完备,是否装备了UPS,在硬件出现故障时是否制定了应急响应计划等。对软件的审计通过抽样、观察和面谈实施,审计重点为:一是系统管理控制,主要有系统设定的职责分离是否合理,授权管理是否充分,是否做到一个系统账户对应一个工作人员,是否确保了只有被授权的用户才能对特定资源和数据进行访问等;二是软件安全控制,主要有是否安装了杀毒软件,软件是否定时升级,未经授权的软件能否安装,是否有系统操作规范等;三是数据管理控制,主要有数据传输是否加密,系统数据是否定期备份,有无冗余备份,数据修改是否按照规定程序进行审核,向外部传输系统数据是否有身份认证,是否定期对数据质量进行检查等。(2)应用控制审计。信息系统应用控制是指为保证应用程序处理数据时按照组织流程运行,确保数据的完整性和真实性的控制,包括输入控制、处理控制、输出控制三部分。输入控制包括输入授权、数据转换和编辑校验,处理控制包括运行总数控制、计算机匹配和批处理控制,输出控制包括复核系统处理日志、审核输出文本、审核程序。对应用控制的审计,主要通过分析性复核和计算机辅助模拟的方法,审计重点为信息系统业务的控制点设置是否合理,数据处理程序最多运行数,是否有审核系统日志程序等。

3.报告阶段。内审人员根据实施阶段编制的工作底稿,出具审计报告初稿,与被审单位充分沟通后,修改审计报告,报相关层级领导审核后,签发正式审计报告。

二、高校做好信息系统审计的措施

1.转变观念,提高开展信息系统审计必要性的认识。“数字化校园”建成以后,高校内部控制环境已经悄然发生改变,内部审计要想充分发挥其独有的管理评价职能,必须迎头而上,及时开展信息系统审计。不少内审机构认为信息系统审计专业性太强,无从着手,实际上信息系统审计的核心并没有改变,还是对信息系统控制的评价,并没有超出审计人员专业知识的范畴。

2.结合实际,建立信息系统审计的体系。当前,国际上已经有比较成熟的关于信息系统审计的体系,那就是信息系统审计和控制联合会(ISACA)COBIT体系,但完全照搬肯定是不行的,在实际操作中,内审机构必须结合国情、校情,进行修订更改,出台符合自身工作实际的、具备可操作性的信息系统审计体系,以规范审计工作。

3.加强对内审人员的培养。内审机构可以通过以下方式提高内审人员业务素质:一是鼓励内审人员取得CISA资格。由ISACA颁发国际信息系统审计师(CISA)执业证书是唯一在国际上获得认可的证书,具有很强的权威性。二是在聘请外部审计机构进行信息系统审计的同时,让内审人员参与其中,做到边实践边总结,起到“以审带练”的作用。

4.在现有“数字化校园”平台的基础上,提供计算机辅助审计软件接口。“数字化校园”的建成,为内部审计实现审计方式的转变提供了可能。通过软件接口,内部审计能够随时监控学校各部门执行制度和程序情况,实现事中审计,更好地发挥内部审计职能。

系统审计论文范文第5篇

论文关键词:计算机网络;应用服务;审计系统

随着Internet的发展,各种各样的网络应用服务也层出不穷,传统的如DNS、Email、Web和FTP等,时髦的如P2P、网络证书、网络电话和软件仓库等.面对如此众多的网络服务,怎样进行有效、规范的管理?怎么确保网络应用服务的健康、有序的发展?这就是摆在各个网络信息管理员面前迫切的问题.网络信息服务审计系统可以解决这个难题,同时也是网络安全研究的一个热点.

本文结合高校的特色和网络应用的实际情况,对网络应用服务管理进行了研究,提出了采用接人控制的网络应用服务审计系统的解决方案,通过实践证明,该系统对高校的应用服务系统是一种切实有效的管理方式.

1网络服务审计

1.1什么是网络服务审计

“审计”的英文单词为“Audit",可解释为“查账”,兼有“旁听”的涵义.由此可见,早期的审计就是审查会计账目,与会计账目密切相关.审计发展至今,早已超越了查账的范畴,涉及到对各项工作的经济性、效率性、合法性和效果性的查核,其基本目是确定被审查对象与所建立的标准之间的一致或不一致的地方.

网络服务审计是指对网络服务提供者所提供的服务是否遵守有关的法律和规章制度、是否登记备案、其服务内容是否超越所登记备案的范围、其是否已有效地达到了预期的结果等进行的检查与核查行为.

1.2网络服务审计的必要性

传统的网络服务审计可能非常耗费时间,通过对计算机逐个进行端口扫描、漏洞扫描或者镜像监听,获得所需要的信息后进行审计和核查.但如果计算机更改服务提供的端口号、用户防火墙屏蔽了端口扫描或者采用动态端口提供服务,那么就无法及时获得这些必要的信息了.

对网络信息管理员而言,如何有效的控制网络中的信息服务、如何掌握信息服务提供者所提供的服务类型是否超越所登记备案的范围、如何及时掌握统计和分析网络中信息流的动态情况等都是一个很繁琐和复杂的事情.

通过对网络应用服务的审计,能够及时获取服务提供者所提供的网络应用服务,能够及时掌握用户对信息服务的访问行为,能够及时发现有无违规的信息与访问,能够及时发现信息的泄露和敏感信息的访问等.

2网络应用服务审计系统架构

结合高校的特色和网络应用的实际情况,采用接人控制的网络应用服务审计系统由三部分组成:

2.1IEEE802.1x网络访问控制

IEEE802.Ix协议是基于端口的访问控制协议(portbasednetworkaccesscontrolprotocol),主要解决以太网认证和访问控制方面的问题.目前很多高校校园网都采用802.ix用于对用户接入校园网的行为进行控制.

在802.1x初始状态下,以太网交换机上的所有端口处于关闭状态,只有802.1x数据包才能通过,或者只能访问GuestVLAN内的特定网络资源(如网络应用服务审计服务器),而另外的网络数据流都被禁止.当用户进行802.lx认证时,以太网交换机将用户名和密码传送到后台的认证服务器上进行验证.如果用户名和密码通过了验证,则相应的以太网端口打开,允许用户对网络的访问,并部署AAA服务器下发的访问控制策略.

802.1x主要是解决网络接人的问题,未通过认证的用户将无法使用网络,这样可以确保接入用户的合法性.同时,当用户认证通过后,由服务审计服务器判定该用户是否安装Java数据采集控件,配合AAA服务器决定用户是否能够访问网络.

2.2Java数据采集控件

数据采集控件的实现有两种方式:一是集成到802.lx客户端中,二是单独的控件.Java由于其跨平台、跨操作系统的特性而成为首选.这样不管用户使用的是什么操作系统、使用什么软件提供服务,都能很方便的进行数据采集.

Java数据采集控件主要完成数据采集的工作,当用户第一次连接网络时,强制安装该控件.如果用户重新安装操作系统,当用户再次连接网络时,也将被强制安装该控件.

未安装数据采集控件的计算机,即使通过802.1x认证,也将只能访问服务审计服务器,而不能访问其他的网络资源.

数据采集控件负责采集计算机操作系统类型及版本、开放的端口、提供的服务和流量等信息,并上报给服务审计系统.

2.3服务审计服务器

服务审计服务器是整个系统的核心,主要有三个功能:一是和AAA服务器配合,确保所有接人网络的计算机合法性,并已安装数据采集控件.二是和Java数据采集控件通信,将数据采集控件报送的信息存储到数据库中.三是实现信息服务备案、查询管理、审计分析、实时审计和统计报表等功能.其中审计分析采用MPMF(multi-prioritymemoryfeedback)流水线处理算法}3J,其处理能力可以承载高速网络的审计处理.

2.4后台数据库服务器

数据库服务器可以采用市面上主流的大型数据库管理系统,如()racle,SQLServer,Sybase等,服务审计服务器通过ODBC/JDBC等数据访问接口来无缝地连接这些数据库系统.

同时,通过数据库复制来实现数据库的分布和同步,以使网络应用服务审计系统具备可扩展的数据处理能力,保证在网络流量日益增大的情况下系统可以可靠地运行.

3工作流程

3.1计算机接入网络

3.1.1802.lx认证

当计算机发起802.1x认证时,交换机将用户名和密码传送到后台的AAA服务器,由AAA服务器进行合法性判定.当用户未通过802.1x认证时,对网络的访问受限;当用户通过802.1x认证时,还需要由审计服务器进一步确认计算机上是否安装Java数据采集控件.

3.1.2Java数据采集控件确认

计算机通过802.1x认证后,AAA服务器通知交换机打开端口并部署相应的访问控制策略,将所有网络访问重定向到服务审计服务器.

如果计算机上已经安装Java数据采集控件,当检测到计算机网络状态已连接时,自动向服务审计服务器发出通知,告知该计算机已接入网络.服务审计服务器接到通知后,将信息记录到后台数据库服务器中,并通知AAA服务器下发新的访问控制策略,允许计算机访问其他的网络服务.

如果计算机没有安装Java数据采集控件,服务审计服务器不会收到通知,这时用户所有的访问都被重定向到服务审计服务器,而不能访问其他的网络服务川.

3.2网络应用服务审计数据采集

数据采集控件定时和服务审计服务器进行通信,将采集的信息上报服务审计服务器.服务审计服务器将这些信息记录到后台数据库服务器中,用于后续的查询、统计和审计等.

如果服务审计服务器在一定时间内未收到数据采集控件的通信信息(单次通信超时为60秒,如果连续5次通信未成功,则视为通信中断),服务审计服务器通知AAA服务器断开该用户的网络连接.

采集的审计数据一般包括下边的三个部分:

1)主机识别:连接到网络上的活动计算机的IP地址、MAC地址、802.1x用户名、交换机管理IP地址和交换机端口等数据,这些数据可以由802.1x服务提供.

2)主机描述:连接到网络上的活动计算机的操作系统、运行的网络服务及其版本信息、计算机开放的端口等数据,这些数据由Java数据采集控件提供.

3)服务描述:连接到网络上的活动计算机的哪些网络服务处于激活状态、流量是多少等数据,这些数据由Java数据采集控件和AAA服务器联合提供.

3.3网络应用服务审计

网络应用服务审计系统负责对采集到的信息进行审计,并根据预定设置,采取相应的措施.

审计可分为三个级别:高优先级、中优先级和低优先级。

高优先级审计主要用于网络中重要服务的审计,包括两个方面:一是所允许的服务运行是否正常,二是是否有未允许的服务在运行.高敏感度审计发现网络中的重要服务出现问题时,会立即以短信方式通知管理员进行处理,从而确保重要服务的正常运行.

中优先级审计主要用于网络中非重要服务的审计,也包括上述两个方面,但发现问题时,只是以告警信息或者邮件的方式提示管理员进行处理.

低优先级审计则用于网络中的大部分用户,着重于信息的收集和保存,以备非实时审计、统计分析用.

为满足高速网络中服务审计的需要,采用了MPMF流水线处理算法.MPMF算法根据审计系统的过程模型以及各个部分的特点,合理划分各个部分的层次以及优先级顺序。

3.4计算机从网络中退出

当计算机正常从网络中退出时,数据采集插件停止工作,交换机端口恢复到关闭状态.

当计算机非正常退出时(如突然断电、计算机死机等),服务审计服务器在一定时间内未收到数据采集控件的通信信息(单次通信超时为60秒,如果连续5次通信未成功,则视为通信中断),服务审计服务器通知AAA服务器断开该用户的网络连接,交换机端口恢复到关闭状态.

4结束语

系统审计论文范文第6篇

通过对面向服务架构(SOA)的深入研究,我们将Webservices技术集成到智能Agent架构中,提出面向Web服务的计算机审计系统(简称WSCAS)。本文其余部分如下:第二部分阐述计算机审计系统(CAS)、面向服务构架(SOA)以及本文研究动机;第三部分提出WSCAS的体系架构,包括基于Agents的Webservices系统结构、多智能体Agents的交互等;第四部分开发一个WSCAS系统原型;第五部分对WSCAS系统原型进行讨论;最后对全文进行小结,并指出未来进一步研究的方向。

相关问题的研究

(一)计算机审计系统(CAS)。随着信息技术在企业管理中的广泛使用,尤其是ERP系统的实施,企业的经营、管理及核算越来越依赖于复杂而庞大的管理信息系统。审计的对象也发生了根本变化,由纸质财务账簿转变为数据库中的电子数据(或称电子账);同时,资本市场对审计报告真实性和及时性的要求也越来越高。无论是以加强内部控制和企业管理增值为目的的内部审计、以财务真实性和公允性鉴证为目的的社会审计,还是以真实性、合法性和效益性审查为目的的国家审计,都不可避免地会受到企业信息化的冲击与挑战。审计师必须运用IT技术手段,掌握数字化审计证据收集方法,才能胜任信息化环境下的审计工作,降低审计风险,提高审计效率。定义1计算机审计:计算机审计也称计算机辅助审计,是审计人员运用信息技术和审计知识,在被审计单位现场或者通过远程网络,对被审计单位与财政财务收支和管理财政财务收支相关的电子账目或财务数据库数据进行审计。现代审计的范围正逐步延伸,跨越了财务模块,计算机审计对象已经发展为面向整个供应链的信息系统审计,是对整个企业应用的业务数据审计。定义2计算机审计系统(CAS):计算机审计系统是在审计过程中所采用的能够完成特定审计功能的各种应用系统的总称。计算机审计系统作为审计辅助工具,可以完成审计数据采集、整理、计算、统计、查询和报表生成等工作,为审计人员实施各种审计检查和收集审计证据提供帮助。

(二)面向服务构架(SOA)。面向服务构架(简称SOA)是一种软件架构思想,这一思想认为软件即服务,是将企业内部与外部的每一个业务功能单元封装成服务。SOA将这些服务从复杂的环境中独立出来,进行组件化封装,不同的服务之间通过标准接口相互调用。作为企业应用解决方案的基本元素,服务可以被描述、、发现及绑定,其平台是独立的、自治的,并且可以用XML编程的大型分布式互操作应用系统。图1说明了Web服务能够执行面向服务架构的模型。图1描述了Web服务的基本组成。该架构由三个参与者和三个基本操作构成。三个参与者即服务提供者(Serviceprovider)、服务请求者(Servicerequester)和服务(Servicebroker);三个基本操作即服务(Publish)、服务查找(Find)和服务绑定(Bind)。

(三)研究动机。计算机审计系统解决了数据采集、数据预处理、数据分析、疑点管理、审计底稿撰写、审计报告生成等难题,提高了审计效率和效果,在实际工作中发挥着重要的作用。许多学者致力于将新的信息技术应用到计算机审计中,并开始探索新的计算机审计模式。廖志芳等提出了联网审计实际的三种审计组网模式,即集中式、分布式以及点到点式组网模式[2]。李世新在对XBRL和Web服务进行介绍的基础上,提出了一种基于XBRL和Web服务的网络化审计取证模式[3]。李湘蓉在研究了网络环境中计算机审计系统应具有特点的基础上,提出了一个基于本体的计算机审计系统[4]。还有学者论述了计算机审计模式及风险防范[512]。一些学者对Internet环境下的审计系统进行了研究,Chen和Sun通过对面向服务架构环境进行研究,提出了一个内部控制持续审计模型,称为协同持续性审计模型,通过对企业资源计划数据库中的数据转换组件进行封装,软件提供商可以为企业提供模式匹配服务来实时转换业务交易数据[13]。Ye和He运用Web服务的一系列组件,提出了基于Web服务的持续审计业务流程模型,用于提供有关特定业务的鉴证[14]。Internet环境下的动态信息系统具有共享资源的多样性,无统一控制的“真”分布性,基础平台的开放性和动态性,人、设备和软件的多重异构性,节点的高度自治性,链接方式的动态开放性,网络连接的多样性,使用方式的灵活性和个性化,实体行为的不可预测性。我们认为在新的动态企业信息环境下,迫切需要与之相适应的审计模式和计算机审计系统。

面向Web服务的计算机审计系统(WSCAS)体系结构

(一)系统体系结构。面向Web服务的计算机审计系统(WSCAS)是一个开放的系统,复杂的审计任务由大量解决问题的Agent承担,每一个智能Agent只能解决特指的某一类问题,关注特定任务的完成。用Webservices封装的Agent,一个服务可能涉及一个或多个Agent,这些不同功能的Agent协力合作并提供特定的服务。系统是一个开放的环境,不同的Agent不必在同一地点或属于同一公司。通过对其他Agent知识和能力的理解,这些Agent能够突破固有的智能范围,协同工作实现目标。图2是面向Web服务的计算机审计系统(WSCAS)体系结构。由于系统具有开放性,可以不断地向系统中加入新的Agent,从而使得系统的处理能力不断增强,适应性不断提高。也就是说,除了WSCAS提供的服务,其他个人和公司也可以提供审计项目管理服务、审计数据采集整理服务、审计数据分析服务、审计抽样服务、审计文档管理服务以及其他相关的计算机审计服务。通过标准的通讯协议,每一个Webservices封装的Agent可以自由选择访问其他服务。

(二)智能Agent交互。如下页图3所示,WSCAS交互系统由外部实体和审计组件两部分组成。外部实体向系统提供被审计单位的数据和模型。根据《审计法》规定,被审计单位接到审计通知书后,要向审计小组提供审计范围内以及特定时间段审计所需要的完整数据。被审计单位的数据不但包括财务数据、业务数据,还包括被审计单位的基本情况、上一次审计的结论等相关数据。被审计单位模型包括审计所需的被审计单位业务流程、相关的法律法规等系统模型,这些模型是开展审计工作的基础和判断审计疑点的依据。审计组件包括数据采集模块、审计数据分析模块、审计抽样模块和审计文档管理模块。

数据采集是审计人员从被审计单位的信息系统中提取指定范围、指定内容的业务数据并收集到审计系统中。用IT技术对电子账进行审计有两个需解决的关键问题:一是审计人员采集电子账中的电子数据,包括电子账套中的数据和信息系统数据库中的数据;二是分析审查采集到的电子数据。数据采集是对电子账数据进行实质性审查工作的第一步。数据采集是否全面、准确、客观将直接影响计算机审计的结果。若采集的数据不能客观全面地反映企业的经济业务状况,那么审计人员即使有很强的职业判断能力,也无法得出正确的审计结论,从而增加审计风险。因此数据采集在整个计算机审计过程中至关重要。数据采集的信息可以分为三类:被审计单位信息采集、财务数据采集、业务数据采集。

一是被审计单位信息采集Agent。审计业务的开展与被审计单位的企业规模、业务流程、组织结构以及相关的行业法规制度等密切相关,在审计准备阶段和审计实施阶段的初期,审计人员必须首先获得被审计单位相关信息,然后才能开展审计工作,被审计单位信息采集Agent负责此类信息点采集。二是财务数据采集Agent。财务数据采集主要采集以下两种数据:财务备份账套数据和财务数据库数据。财务账套数据是会计信息系统中经过加密后的备份电子数据,其格式不是标准的数据库格式,而是会计信息系统以其独特的方式备份数据。不同的会计信息系统财务账套数据文件的格式不同,所以WSCAS提供不同的财务账套数据采集Agent作为智能数据采集接口,完成财务备份账套数据的采集工作。财务数据库数据是保存在标准数据库中的会计数据,数据文件以标准的数据库文件格式保存,系统为各种数据库提供了相应的数据采集Agent,财务数据库中有许多表,其中和审计相关的主要数据库表为会计期间定义表、会计科目表、会计科目的设置表、凭证表等。通过数据采集Agent接口采集数据,审计人员要清楚数据库,数据库表,字段的结构、属性和含义,这样才能对数据进行采集整理,保证数据的完整性。三是业务数据采集Agent。由于审计范围的不断扩大,审计对象不再局限于财务数据,还包括许多业务数据的审计,如社会保障审计、高速公路收费审计、经济效益审计等,这些数据保存在业务数据库中,由业务数据采集Agent作为智能的采集接口,采集业务数据。

数据采集的目的是为审计分析做准备。审计数据分析是通过运用审计分析方法和分析工具,对被审计单位审计数据进行分析,发现审计线索,获取审计证据,进而形成审计结论。利用计算机的数据分析方法有:账表分析;数据查询;数据挖掘;联机处理;审计分析工具;审计疑点管理等。接下来进行具体分析。一是账表分析Agent。审计人员将采集到的财务备份数据还原成电子账,通过对被审计单位会计基础资料的检查和分析,找出审计线索,得出审计结论。账表分析Agent的主要功能包括总账审查、科目明细账审查、辅助账审查、会计科目审查、凭证审查、未记账凭证审查、日记账审查、报表审查等。二是数据查询分析Agent。审计人员根据审计经验,按照一定的审计分析模型,对从数据库中采集到的数据进行查询分析,发现审计线索,达到审计目的。数据查询分析Agent主要的查询分析方法有数值统计、重号分析、断号分析、分类分析、数据分层分析、时间分层分析等。三是数据挖掘Agent。随着信息技术的高速发展,尤其是被审计单位信息系统数据库中各种格式的业务数据急剧增长,只靠审计人员的人工阅读或简单的审计数据检索无法及时发现不同层次的审计线索。数据挖掘Agent能够从被审计单位海量的数据中挖掘出隐含的、先前未知的、对审计结论有价值的审计线索,以及能被审计人员所理解“知识”的数据处理过程。四是联机处理Agent。联机分析处理是与数据仓库密切相关的一种决策支持工具,联机处理Agent能够使审计人员从多角度对审计数据进行处理,获得对审计数据更深层次的了解,发现审计线索,实现对审计决策的支持和多维分析。五是审计分析工具Agent。除了上述一般审计分析方法外,WSCAS还提供了一个开放的、专用的审计分析工具平台,审计人员不但可以利用系统提供的审计分析工具,还可以不断充实新的审计分析服务。审计分析工具Agent可以进行单科目金额分析、对方科目分析、坏账准备计算、营业税计算、固定资产折旧计算、个人所得税计算、图表数据分析等,帮助审计人员发现审计疑点。六是审计疑点管理Agent。审计疑点管理Agent可以存储、管理并逐项落实审计分析中发现的审计疑点。

审计抽样是审计人员在实施审计的过程中,从审计对象总体中选取一定数量的样本进行测试,并根据样本测试结果推断总体特征的一种方法。审计抽样是一种能够大幅度提高工作效率、量化控制审计风险、规范审计行为、提高审计工作质量的审计技术方法。特别是在被审计单位内部控制制度健全、审计对象数量庞大且经验判断难以奏效的情况下,采用审计抽样技术审计效果显著。具体应用如下:一是抽样管理Agent。抽样管理Agent可以管理审计抽样全过程的信息,包括总体表中的数据管理、抽样方法的选择、样本表中的数据管理等。二是抽样审核Agent。抽样审核Agent对审计抽样的样本信息在审计现场进行审计核对,并将审核的结果输入系统中,输出生成抽样审核结果表供审计人员使用。三是抽样评价Agent。抽样评价Agent根据样本数据的审核结果,推断总体审计数据的情况。

审计文档管理是计算机审计过程中的一项重要内容,审计过程中的文档主要有审计底稿、审计日记、审计证据、审计报告、审计台账等。具体应用如下:一是审计底稿Agent。审计底稿Agent记录审计过程中所发现的被审计单位违纪违规问题,对审计日记、审计证据所反映的问题进行描述,汇总审计报告、审计台账等审计资料。二是审计日记Agent。审计日记Agent记录审计人员当天的审计过程,内容涉及审计分工、审计事项、审计实施步骤和方法、审计查阅的资料和数量、审计人员的专业判断和查证结果以及其他一些需要记录的情况等。三是审计证据Agent。审计证据Agent负责建立、管理和汇总审计证据。四是审计报告Agent。审计报告Agent以审计底稿为素材,生成报告提纲并形成审计小组的审计报告初稿。五是审计台账Agent。对照审计报告、审计决定等审计文书的结论,对每篇审计底稿的问题和金额进行确认,系统根据确认后的结果,由审计台账Agent自动汇总问题和处理处罚数据,生成审计台账,最终生成的审计台账参与审计报表的汇总。

面向Web服务的计算机审计系统(WSCAS)的原型开发

本文将移动Agent技术和Webservices技术结合,集成两者优势,克服各自局限性,构建面向Web服务的计算机审计系统,如图4开放Internet环境下的计算机审计服务的集成架构。为了实现系统中审计服务的统一调用,我们将各种业务逻辑封装为服务,提供标准、统一的服务接口,从而实现技术对外界透明。本文使用了Java技术开发系统功能模型,描述模型的架构和元素。

系统评价

为了验证本文所论述方法的有效性,阐明基于Web服务是如何集成工作并实现计算机审计的目标,我们用一个案例来描述服务的协同操作过程(具体见下页图5)。审计人员对企业进行财务审计,首先要明确审计任务,组成计算机审计小组,在了解被审计单位基本情况的基础上,制定计算机审计方案,确定计算机审计范围、审计重点、审计实施步骤、审计安排、审计方式、人员分工以及需要运用的计算机审计方法和审计实施注意事项等,利用WSCAS开展基于Web服务的计算机审计工作。

(1)审计项目管理Service发出审计通知书。审计小组通过系统的审计项目管理服务,向被审计单位发出审计项目通知书。

(2)被审计单位信息Service以服务的形式向系统被审计单位的基本情况信息,提供给审计小组。

(3)审计数据采集Service采集被审计单位审计数据。被审计单位信息Service按照审计小组的审计要求,将审计通知书中说明的指定时间段、指定范围的审计数据进行服务封装、注册和,提供给审计数据采集Service。审计数据采集Service首先对采集到的审计数据进行数据验证,确认采集数据的真实性、正确性和完整性,然后对数据进行预处理,这是由于被审计单位的数据来源繁杂,采集来的审计数据可能存在质量问题,不能直接进行审计数据分析,需要进行预处理。预处理包括数据转换和数据清理。数据转换是将采集来的原始数据转换成审计人员容易识别的数据格式和名称,主要包括将被审计单位的数据有效装载到WSCAS系统中,明确数据字典,标识出每张表、每个字段的含义及其关系;数据清理是整理不符合质量要求的数据,清除存在明显错误的数据,如缺失的数据、不完整的数据、不准确的数据、不一致的数据以及重复的记录等。

(4)审计数据分析Service。以审计数据采集Service输出的中间表作为审计分析的基础进行审计分析。在审计分析中,审计人员根据相关的业务处理逻辑、业务数据的勾稽关系、法律法规的规定或审计经验等,建立审计分析模型,用账表核对、指标分析、账表勾稽关系模型、业务逻辑分析模型、法律法规分析模型以及审计经验模型等方法进行总体审计数据分析,然后审计数据分析Service对审计数据进行复算、检查、核对和判断,发现审计线索,收集审计证据。

(5)审计数据抽样Service。在明确审计目标和审计对象的基础上,根据被审计单位的内部控制评价水平确定审计抽样的样本量。审计数据抽样Service选取样本并审查,评价抽样结果,并返回到审计数据分析Service。

(6)在审计数据分析和审计数据抽样过程中,审计人员记录当天审计过程、实施审计的步骤和方法、审计查阅的资料和数量、审计人员的专业判断和查证结果等,将这些情况提交到审计文档管理Service,形成审计日记。

(7)在审计数据分析过程中,审计数据分析Service将审计发现的问题作为审计疑点,发送到审计文档管理Service,审计文档管理Service负责落实审计疑点,若证实确是问题,则将该疑点作为审计证据。

(8)审计文档管理Service编制审计报告初稿,和被审计单位沟通,生成审计报告正式稿,形成审计意见。

(9)审计文档管理Service向审计项目小组提交、归档审计文档资料。

结束语

系统审计论文范文第7篇

1.1免疫监视———识别病毒

免疫监视功能,是指机体具有的能识别自己(自体物质)和异己(非自体物质)的生理机能。免疫系统在识别“自己”和“异己”的过程中,可以发现病毒等有害物质。免疫系统能够识别病毒等有害物质,是消灭有害物质,从而保证机体免受侵害的前提。

1.2免疫自稳———消灭病毒

免疫自稳功能,是指机体调动体内各种资源与病毒等有害物质进行斗争,消灭病毒等有害物质,并将病毒等有害物质运出体外,同时修补受损器官和组织,使其恢复原来的功能,以维持自身内环境稳定的生理机能。

1.3免疫防御———产生抗体

免疫防御功能,是指机体在病毒等有害物质的刺激下,免疫细胞对病原体产生抗体,以防止外来病原体入侵的生理机能。抗体是可以与相应抗原发生特异性结合的免疫球蛋白,可以使抗原失去活力,从而保证机体免受再次侵害。免疫系统的作用机理。

2内部审计的“免疫”功能

内部审计的“免疫”功能主要表现在审计监督、审计查处和审计预防三个方面。

2.1审计监督———发现问题

内部审计机构在履行经济监督职能的过程中,通过搜集和分析组织的各类经济信息,对经济活动的真实性、合法性和有效性进行评价,从而发现经济组织在经济活动中是否存在错误、舞弊和其它违规违法问题。

2.2审计查处———处理问题

内部审计机构对发现的违规违法行为,有权向领导机构或上级机关进行反映,根据权限对直接责任人进行处理、处罚,或向上级审计机构或者审计机关反映,由上级审计机关运用各种资源及时进行查处。

2.3审计预防———完善治理

内部审计机构在发现问题和处理问题的同时,要对产生问题的原因进行分析研究,并从管理制度、体制机制方面提出改进的建议,从而促进相关管理制度、工作机制的完善,达到杜绝类似问题的再次发生的目的。内部审计的“免疫”功能。

3内部审计的增值途径

3.1查错增值

内部审计机构在履行监督职能和查处职能的过程中,可以发现经济活动中存在的问题,并通过对有关问题和相关责任人的查处,可以为组织挽回一定的经济损失。当内部审计机构挽回的损失大于其审计业务成本时,可实现节约增值。

3.2防弊增值

内部审计机构在履行审计预防职能中,通过提出完善管理制度和体制机制的建议,可以促进经济组织加强内部控制,防范运营风险,防止舞弊行为的发生,从而为企业间接挽回一定的经济损失。当经济组织在防范错弊的过程中获得的收益大于其防弊成本时,可实现防弊增值。

3.3兴利增值

内部审计机构在履行审计预防职能中,通过提出完善管理制度和体制机制的建议,可以提升组织的经营管理水平,提高组织的运营效率,从而实现组织经济价值的增加。当经济组织通过提高运营效率增加的组织价值大于其预防成本时,可实现增效增值。内部审计的查错增值属于直接增值,取得成效的时间短,且成效较为明显,一直受到组织的高度重视。作为一个成熟的经济组织,应该更加注重发挥内部审计的防弊功能和提效功能,以实现组织的可持续发展和价值增值。

4内部审计增值的量化模型

4.1查错增值额的确定

根据经济学成本效益原理,内部审计创造的查错增值额等于查错收益与查错成本之差。用公式表示为:查错增值额=查错收益-查错成本(1)①查错收益。查错收益为内部审计机构在开展审计业务的过程中,通过发现和处理违规违法行为,所挽回的直接经济损失。②查错成本。查错成本为审计机构在开展审计业务的过程中,为发现和处理违规违纪问题,所耗用的人力、物力和财力等成本。

4.2防弊增值额的确定

内部审计防弊增值额应该等于防弊收益与防弊成本之差,用公式表示为:防弊增值额=防弊收益-防弊成本(2)①防弊收益。防弊收益为经济组织在审计机构的建议下,通过完善管理制度和体制机制,加强组织内部控制,预防违规违纪行为的发生,从而挽回的间接经济损失。②防弊成本。防弊成本为经济组织在审计机构的建议下,为完善管理制度和体制机制,加强内部控制,预防违规违法行为的发生,所消耗的人力、物力和财力等成本。

4.3兴利增值额的确定

内部审计兴利增值额应该等于兴利收益与兴利成本之差,用公式表示为:兴利增值额=兴利收益-兴利成本(3)①兴利收益。兴利收益为经济组织在审计机构的建议下,通过完善管理制度和体制机制,提升组织的经营管理水平,提高组织的运营效率,而创造的间接经济收益。②兴利成本。兴利成本为经济组织在审计机构的建议下,为完善组织制度和体制机制,提升组织的经营管理水平,提高组织的运营效率,所消耗的人力、物力和财力等成本。

4.4内部审计增值量化模型

通过对内部审计增值额的研究分析,内部审计为经济组织创造的经济价值是可以进行量化确认的。内部审计创造的价值总额为查错增值额、防弊增值额和兴利增值额之和。内部审计增值额的量化模型可以用如下公示表示:内部审计增值额=查错增值额+防弊增值额+兴利增值额=查错收益-查错成本+防弊收益-防弊成本+兴利收益-兴利成本本文基于“免疫系统”理论的视角,通过对内部审计增值的途径研究,构建起内部审计的量化模型,并举例说明了量化模型的具体应用。对内部审计增值额进行量化研究,有利于管理者对内部审计的绩效进行考核评价,有利于内部审计提高审计业务工作的针对性和有效性。

系统审计论文范文第8篇

(一)企业应加强内部控制

随着市场经济的深入发展,企业逐步成为自主经营、自我约束、自我发展、自我完善的商品生产者和经营者。在“优胜劣汰、适者生存”的市场经济中,企业要想真正的做到“自主经营、自我约束、自我发展、自我完善”,必须要加强内部控制,建立有效、完善的内部控制制度,这样才能在一个绝对的高度上,对企业进行高瞻远瞩的控制,才能做出与时俱进的决策。

(二)内部审计是企业内部监督机制的重要组成部分

内部审计也是企业内部控制的一个重要的组成部分,是监督内部控制其他环节的主要力量。内部审计通过对控制环境和控制程序的有效性进行监督,评估企业的内部控制是否被执行,是否及时反馈有关执行结果的信息,是否帮助企业更有效地实现预期控制目标。同时,在监控过程中,内部审计可以促进控制环境的建立和改善,为改进控制制度提供建设性的意见,为企业建立健全所需要的内部控制水平服务。在内部控制的监督过程中,内部审计发挥着越来越重要的作用。

二、内部审计在防范信息系统风险中面临的问题

(一)信息系统安全管理机制不健全

企业信息系统风险的存在,很多是由于管理不善或控制不严造成的。一方面,缺乏一套统一的安全策略体系来指导安全管理工作,无法建立系统内部明确、全面的安全规范要求。从现有管理制度规范来看,主要存在的问题是可操作性差,条理不清、重叠或遗漏等;另一方面,现有安全管理制度的管理对象基本是网络系统管理员等技术部人员,管理对象没有全面涵盖所有信息系统技术相关人员,包括所有网络系统上的内部终端人员和外部人员。

(二)内部审计在信息系统风险防范中的角色缺乏独立性

内部审计的角色发生了转变。从传统的事后审计而逐渐转向事前和事中审计,主动参与内部控制系统的建立和完善。内部审计人员即承担着评价硬件和应用信息系统安全的任务,如果又同时有参与了系统的开发和实施过程,那么内部审计人员就却乏独立性。反之,如果处于对丧失独立性的担心,内部审计人员有可能会拒绝参与系统和软件的开发,那么系统开发过程中存在的风险又无法得到控制。

(三)内审部门技术力量薄弱造成对信息系统审计形成风险

审计稽核部门的技术力量薄弱,不熟悉业务系统的流程和功能,对信息系统缺乏必要的认证能力和标准。突出表现为以下几个方面:一是实施审计稽核的手段和方法没有得到及时更新,不适应信息系统管理的要求,大部分仍停留在手工审计阶段;二是审计稽核部门对计算机账务系统实施审计的依据仅依赖于被审计单位提供的打印资料或事后资料,计算机账务的真实性审计很难得到保证。

三、加强风险防范的措施和对策

(一)构建信息系统安全管理组织及规范体系

加强信息系统的自我风险评估体系,让信息系统的管理和技术人员在自身的职责范围之内正确识别和评估潜在操作风险,主要包括内控制度的查漏补缺、工作流程的整理和规范、应急预案完善和演练等。同时加强对操作人员的管理,规范操作程序。一是加强密码管理,明确规定操作人员的权限,操作员必须在规定的权限内办理业务,用户口令及密码必须专人专用,严禁公开口令及密码;二是要建立健全操作员岗位目标责任制,对网络操作人员要明确目标任务,规范操作程序,严格落实奖惩制度。三是要严格岗位设置,不相容职务进行分离。严禁系统管理人员、网络技术人员、程序开发人员和前台操作人员混岗、代岗或一人多岗。四是要加强系统内部的稽核监督检查。稽核监督应贯穿于网络操作的全过程,重点是加强对系统设计开发、内控管理制度落实、操作运行等方面的(二)关注信息系统的稳定性、安全性和有效性审计

首先,审计人员应运用用一定的技术方法识别系统的完整性,该过程包括检查、测试、评估系统的内制,以保证系统的稳定性;其次,审计人员应评价系统存在的风险和可能产生的后果将成为审计的核心工作和基本内容,保证信息系统的安全性。应根据审计的标准和准则,评价控制环境的和IT基础设施的安全,确保系统满足组织的业务需要,保护信息资产的安全完整,以防非授权使用、泄露、修改、损坏或丢失;最后,还应鉴别信息系统的有效性。内部审计必须理解并熟悉操作环境,了解系统技术的复杂性及其对决策的影响;对来自内部的安全隐患,采用一定的方法进行系统诊断、检验、测试,评价其有效性及效率,以支持组织业务目标的实现

(三)改善内审机构,提高内审人员素质,培养信息系统审计师

为了信息系统的安全、可靠与有效,由独立于审计对象的信息系统审计师,以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价。信息系统审计师也称lS审计师或IT审计师,是指那些既通晓信息系统的软件和硬件(包括信息系统的开发、运营、维护、管理和安全等),又熟悉经济管理的内部审计人才。

(四)聘请专家进行协助

内部审计人员的知识、技能和经验虽然有助于信息系统的风险防御,但现实中必须承认,在企业中同时具备计算机技术和审计专业知识的人才非常短缺。再出色的内部审计人员可能面临一些系统内的专业问题却无法解决,因此有必要聘请外部专家。可以通过专家的协助测试运用其专业技能测试系统安全,进一步防范和解决信息系统风险的存在。

论文关键词:内部审计信息系统风险防范

论文摘要:内部控制是社会经济发展到一定阶段的产物,其内容在不断的发展与变化,而内部审计是内部监督机制的重要组成部分。目前计算机信息系统已在企业中广泛使用,而在内部审计过程中如何加强计算机信息系统的风险防范,是企业内部控制过程中迫切需要解决的问题。

企业信息系统化的运用,原来的手工控制则变为手工与电脑控制相结合或全部由电脑自动进行控制。计算机信息系统的广泛使用,与技术管理相对薄弱和稽核监督的长期空白已形成了尖锐的矛盾。信息系统风险控制能力差的现状,迫切需要我们加强风险管理和监控。

参考文献:

系统审计论文范文第9篇

1.国家审计系统是开放性与封闭性的统一

国家审计系统是开放性系统。这就意味着国家审计系统不断与社会大系统进行着物质、能量、信息的交换,如审计人员的招聘与流动、审计经费的供给与支付、审计信息的收集与反馈、审计结果与公告等等,这些都是系统开放性的表现。

国家审计系统是一定程度上的封闭性系统。在国家审计中,审计的独立性是审计封闭性的具体表现,体现在审计人员的“精神独立”、审计经费的独立和审计机构的独立三方面。封闭的大小直接影响国家审计系统能在多大程度上实现独立。从封闭性角度来看国家审计的独立性,将会开拓审计的发展视角。同时又由于封闭性,才使得审计在方案制定、审计实施、和审计结果公告上都有一定程度的限制。

国家审计系统是开放性与封闭性的统一,只有达到开放性与封闭性的统一,国家审计才能产生质的飞跃。一方面,通过开放使国家审计系统得到系统发展所需的物质、能量、信息等资源,使国家审计系统在交换过程中,将其功能更好地发挥出来。另一方面,在与外界交换的过程中也有国家审计系统所不需的东西(如社会经济中的各种不良行为),也有国家审计系统不能输出的东西(如涉及国家机密的信息等),这时则要通过系统封闭来保护国家审计系统。

2.国家审计系统是整体性与层次性的协调

国家审计作为社会大系统中的一个子系统,它是整体性与层次性的协调。国家审计系统的整体涌现性体现在将分散的各个审计元素相整合后,形成了单个审计元素所不显现的特性,使审计系统涌现到更高层次,即出现了我们常说的审计发展。但是,在国家审计系统中又包含着诸多审计子系统(各层次审计机关),这些子系统虽然处于较低层次,但却是国家审计系统整体涌现性所不可缺少的构成要件,只有这些子系统的发展才能推动国家审计整体向更高层次的发展。如果国家审计系统没有这些低层次的子系统,国家审计系统发展就可能停滞不前,甚至出现退化的情况,进而由审计系统的滞后会影响社会经济的全面、协调发展。因此,从系统科学的观点看,科学发展观就是要求我们在发展审计事业中重视审计系统的整体性和层次性的协调统一。发展是逐层依次递增的。国家审计系统的每一次发展都是通过系统的发展层次上涌现性表现出来的,这一整体涌现表现出了这个层次的特点,体现了审计系统的每一次变化。这种由低层次推动系统和高层发展的发展模式是长期的、缓慢的。审计系统要发展就必须在整体上把握,高层次要积极地将低层次好的做法、好的经验及时准确的在系统内推广,如在经济责任审计的开展就是这样一种发展模式。同时高层次也能够对低层次产生积极作用,如我国的审计公告制度就是由国家审计署开始实行的,然后向基层推广的。

二、从五大范畴看国家审计系统的科学发展观

1.从系统范畴看。国家审计系统是包括了经济、社会、生态、空间、制度五大要素在内的一个复杂系统。国家审计是依法行使对国家权力的监督权,国家权力的运用触及到社会经济生活的方方面面,因此,国家审计的监督过程就涵盖了社会经济生活的方方面面。在国家审计系统中树立科学发展观要在统筹兼顾下全面、协调的发展。我们在审计工作中,要改变过去将国家审计重点只放在经济事项的审计上,而忽略了对其他要素的作用的局面。应将审计重点转到如何为最广大的人民利益而工作,在人民群众广泛关注的教育、医疗、社会保障等领域开展审计工作;要站在社会经济可持续发展的高度,重视和开展生态环保审计,更好地推动社会经济发展;要将审计的空间进行拓展,加快与国际审计业务接轨的步伐;要积极推动审计制度改革,利用一切有利条件来推动国家的制度化建设。

2.从动力范畴看。国家审计系统虽然是一个开放的系统,但是这种开放性在没有持续创新动力时也只能使系统维持现状,而不能使系统发展。因为创新是系统改变内部结构、打破平衡状态的原动力。审计系统的外部环境是不断变化的,环境的改变会使审计系统不断遇到新情况、新问题。这时审计工作必须要用新对策、新思路来解决,而创新正是保证这种应变能力的源泉。如果创新不足,那这些新情况、新问题就成为国家审计系统发展的绊脚石,从而阻碍国家审计系统的发展。从社会大系统的角度来看,审计创新所产生的积极作用还会通过审计行为传递给其他系统,这样对其他系统的发展也会产生积极作用,从而使全社会得到全面、可持续的发展。

3.从功能范畴看。系统的功能表现在系统与其他系统之间相互作用。这种相互作用是由系统开放性来实现的。科学发展观指导下的国家审计系统是全方位开放的系统。开放不仅意味着系统能与环境进行物质、能量、信息交换,接受环境的输入与扰动,向环境提供输出,还有主动适应和进化的涵义。在审计系统中,这种开放是通过审计系统的运动来实现,系统通过主动行为获取系统发展所需,相互交换信息获得知识,形成对系统发展的“预见性”。审计系统的开放性意味着将审计系统的运作与环境结合起来考虑,即将系统优化与环境优化相结合;开放还意味着国家审计要接受社会的监督,形成公开的。

4.从空间范畴来看。国家审计不同的空间,会显示出发展的层次性,国家审计系统就是在非均衡中实现发展。不但不同层次的审计系统存在差异性,而且即使是在同一层次的审计系统,在不同的空间下也会体现出差异性。由于国家审计系统属于社会大系统的一个子系统,其自身又由诸多子系统组成,因此不同的空间,不同的作用力下,国家审计系统的结构会不同,继而使整体的外在表象也不一样。在国家审计空间中,结构是审计系统演化的关键因素,因此要注重系统演化发展就必须注重系统的空间结构。但是系统的演化有两个基本方向,一种是由低级到高级,由简单到复杂的进化;一种是由高级到低级,由复杂到简单的退化。系统的空间结构优化是进化的过程,强调通过系统内部组分间的合作、竞争、冲突来改变系统规模(特别是组分关联方式),进而引起系统功能及其他特性的改变。

5.从目的范畴来看。目的是系统存在的原因。国家审计的直接目的是监督国家权力,而根本目的正是通过审计来实现经济社会和人的全面发展。科学发展观是“以人为本”的发展观。因此,在国家审计系统内必须将人的因素放在系统发展诸要素的首位。“以人为本”就是以人为中心,就是要将国家审计发展与人的发展相结合。在审计中树立科学发展观,就是认识到人的主动性、创造性对国家审计系统发展的积极作用。从国家审计系统内外两个层面来看“以人为本”:在系统内部“以人为本”主要体现在审计人员优化上,在优化“建立适应审计工作需要干部管理体制,全面提高审计队伍素质”上下功夫;在整合审计干部队伍结构,着力培养复合型人才上下功夫;在健全审计职业教育体系,实施分层次培训上下功夫;在健全科学的审计考核体系上下功夫等。系统外部,“以人为本”主要体现在如何通过审计使人民群众不断增长的物质文化需要得到保障;如何实现社会的共同富裕;如何通过审计充分激发被审计单位人的聪明才智,使被审计单位人员与审计人员能在思想上达到一致,自觉地执行财经法规,以不出现违法违规为最高境界,从而使他们的努力能推动社会经济发展。

三、落实科学发展观对国家审计的几点启示

1.制定科学的审计评价标准

审计标准是审计工作依据,也是审计系统功能的外在表现的度量尺度。从系统科学角度来看,我们必须不断更新审计标准,做到审计标准同审计事项的与时俱进。在制定审计标准时,我们要积极探索、寻找最能反映审计事项的审计标准,要将审计的定性与定量相结合。从国家审计系统的内部动力角度来看,审计标准的“与时俱进”是系统创新的表现,这种创新能为国家审计系统的发展注入新的动力,这一动力将推动国家审计系统自身的结构优化,实现系统的非线性整体均衡。

2.树立正确的业绩观

审计业绩评价是开放的,是在对系统整体把握下,从审计工作更高层次上的评价。从国家审计系统的结构上看,审计业绩观受制于系统整体性和层次性。审计业绩观的整体性体现在通过审计系统自身行为,推动社会经济的全面、协调、可持续发展,最终实现人的全面发展。审计业绩观的层次性体现在各级审计機关如何通过审计使被审计单位人员自觉地执行财经法规,提高经济效益,实现审计与被审计单位的良性互动,从而使被审计单位的行为向社会经济发展的整体目标靠拢。如果将审计是否推动社会经济全面、协调、可持续发展作为我们审计人员的业绩评价标准,那么就能保证审计人员站在更高的层次去看待审计工作与其他工作的关系。正确的审计业绩观是开放的业绩观,审计业绩观的开放性说明了审计业绩会因审计事项的不同而有不同的体现。审计系统是开放的,所以对审计人员的业绩评价也应是开放的。这种开放性的集中体现,在于对审计人员的业绩评价是以是否推动社会经济全面、协调、可持续发展作为标准。

3.增加审计的透明度,使国家审计更加有序发展

国家审计增加开放性的重要方面就是增加系统的透明度。增加透明度一方面使外界对审计系统的运作更加明了,从而更好地支持与配合审计;另一方面透明使系统内部存在的问题得到揭示,督促国家审计系统找到解决自身问题的方案。国家审计透明性体现在审计结果的透明和审计程序的透明两个方面,审计结果往往通过审计结果公告来反映,是外界了解审计工作成效与被审计单位工作情况最主要的信息来源。审计结果体现了审计系统与审计工作人员的努力,也会暴露审计工作中的不足,审计结果的公开使国家审计接受了社会的监督,增强了国家审计抵御风险的能力。从审计程序上看,审计结果是审计程序的必然结果,因此我们还必须将审计透明工作扩展到审计程序上来,审计程序是控制审计质量、维护审计权威性的重要保证。如果审计程序不能接受外界的监督,那么审计质量和权威性就会大打折扣。但是审计系统的透明化不是全方位、五条件的开放,而是有步骤、有条件、分层次的公开,只有这样才能切实保证审计的发展。

4.把握好国家审计发展的机遇

当前我国国家审计系统发展有五大机遇:

(1)时代机遇。我国已进入一个新的发展时代,是一个全面建设小康社会的时代。时代的特征造就了审计工作的重心的转变。

(2)空间机遇。中国加入WTO带来的影响是全方面的,随着中国与国外各方面的交流增加,国家审计将拓展到更加广阔的空间上去,中国国家审计应尽快与国际接轨,在国际审计领域占有一席之地,是我们国家审计工作者的历史重任。

(3)改革机遇。经济体制改革正由计划朝市场经济体制纵深方向发展,这将引导我国国家审计由监督型审计向服务型审计转变。

(4)依法治国机遇。我国已全面推进依法治国,这就将促进我国依法审计制度的建立。

系统审计论文范文第10篇

一、信息系统审计概要

1)信息系统审计是一个获取并评价证据,以判断信息系统是否能够保证资产的安全、数据的完整,以及有效率地利用组织的资源并有效果地实现组织目标的过程(国际信息系统审计与控制协会ISACA的定义。

2)目前审计机关信息系统审计主要有两种方式,一种是将信息系统审计作为常规审计的一部分,为实现审计项目的总体目标服务,即数据审计、信息系统审计和系统内部控制审计"三位一体"的结合方式.信息系统审计和系统内部控制审计为数据审计服务,通过审计数据得出结论.另一种是独立立项的,直接审计信息系统本身的安全性、可靠性和有效性。

二、为什么要开展信息系统审计

信息系统审计作为国家审计机关的一项重要工作,是信息化发展到一定程度的必然产物。

(一)开展信息系统审计是控制审计风险的要求.近几年,审计纸质账目时,内部控制也要审计,不能假账真审.同样的道理也不能假电子数据真审,如果被审计单位运载电子数据的信息系统的安全性、可靠性和有效性出现了问题,计算机数据审计就会存在风险,系统的可信与可靠程度是数据审计得以进行的前提和最终实现的基本条件。

(二)开展信息系统审计是全面履行审计职责的要求.信息化环境下的审计,电子数据、信息系统、系统内部控制审计必须"三位一体",在审计过程中,这三项内容不能少.只有这样,我们才能完成审计署党组强调的"全面审计,突出重点"的要求,全面履行审计职责。

三、信息系统审计与常规审计之间的区别与联系

1)信息系统审计是常规审计的一部分,是以常规审计理论为理论基础的,两者之间有紧密的联系,也存在一定的区别。

2)两者的联系是:信息系统审计继承了常规审计的基本理论与方法,与常规的审计一样。在立场上,要求信息系统审计师站在独立的立场上,通过选择特定的审计对象,采用询问、检查、分析、模拟、测试等方法获得客观的审计证据,来判断其与既定标准的符合程度。在程序上,信息系统审计一般也要经过审计计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作,实现审计目标。

3)两者的区别也比较明显,主要表现在:首先,信息系统的审计对象不同于常规审计的财务领域,而是信息系统,包括基础设施,软硬件管理,信息安全,网络管理合通信等;其次,信息系统审计提出了更多的审计法与审计程序,这都是常规审计所不具备的,比如对某软件进行审计时,要采用技术含量相当高的测试,对网络安全审计时要采用穿透性测试(模拟成黑客进行各种攻击以验证其安全性);第三,信息系统审计不光是事后审计,主要关注系统的运行现状,在某种情况下,直接参与项目的开发或变更过程,以保证足够的控制得以顺利实施;最后,信息系统审计的咨询价值显得更高,信息化的风险很高,信息系统审计师可凭借其专门知识和实践经验,受托或主动服务于被审计单位的管理者或其业务人员,在企业信息化过程中,帮助企业建立健全内部控制制度,进行系统诊断,根据企业需求,确定信息化的目标和内容,选择合适的信息系统。

四.如何使信息系统审计与常规审计有机结合

1)在项目计划上的相结合

信息系统通过选择特定的审计对象,采用询问、检查、分析、模拟、测试等方法获得客观的审计证据,来判断其与既定标准的符合程度。在程序上,经过信息系统审计,审计项目计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作,实现审计目标。

2)在项目实施过程中相结合

(1)全面开展对项目实施过程中电子数据的审计,包括会计电子数据和业务管理电子数据。采取的具体方法是:1.精确复核。运用计算机,对各种项目数据进行精确复核,既可以对全辖并表机构的会计报表与汇总报表进行全面复核,又可以从会计流水账逐级核对至总账,还可以将业务管理数据与会计报表数据进行复核;2.编制计算机程序进行辅助计算。可以编制计算机程序对有比例关系的项目进行计算,然后与实际记录进行比较,找出产生差异的记录;3.对一些异常会计记录和交易进行筛选和查询,为审计人员提供审计线索,主要是根据某一特征进行筛选分析,从不同角度分析可疑问题线索。

(2)以信息系统审计对项目实施时,对项目管理系统的内部控制情况进行初步的调查和评价,重点是权限管理、参数表的设置和修改控制等是否有效,被审计单位对交易录入的原始数据是否实施相应的控制,信息系统的数据流和业务流程是否吻合;3.通过系统日志等文件分析一些重大事件的原因,避免在项目实施过程中发生不可预测影响。

3)在资源配制上相结合

常规审计在我国的审计实践中,对项目资源存在的漏端很难察觉,原因主要是以下三大困难:一是审计人员难以在短时间内透彻了解被审计单位的项目存在弊病。一般来说,小型的数据管理,由专业的软件公司开发后打包在市场销售,被审计单位人员仅仅是使用者,审计人员无法获得开发设计的细节;而定制的系统多用于大型的数据管理,由软件公司或内部的开发部门根据企业的应用量身定做,这类系统技术文档和技术支持比较完善,但是由于系统过于庞大,细节设计过于复杂,审计人员在有限的审计时间内难以对系统进行评估。二是难以发现系统内的瑕疵。从表面看,常规审计的各项令人眼花缭乱审计方法无论是从开发文档还是操作手册都不会直接察觉系统的瑕疵,而且在现场审计中,审计人员一般不允许对正在运行的系统进行测试,较难识别系统的问题。三是难以评估系统瑕疵所导致的后果。在审计实践中,即使审计人员发现了常规审计存在的某些瑕疵,但是未发现该瑕疵导致的已经存在的后果,常常使得审计结论缺乏直接证据。

信息系统审计作为一种全新的审计手段和审计理念,首先,审计人员可以通过整体评价被审计单位的项目管理系统重要性的基础上,确定审计重点。其次,审计人员应用内控测试和数据审计两种方式对选定的项目管理系统进行分析,一般能迅速找出项目管理信息系统存在的瑕疵,尤其是人为舞弊的线索。第三,根据已经发现的问题,对系统进行延伸,进一步追查系统存在问题所引致财务收支失真等方面的问题。可以较好地从信息系统的角度发现舞弊问题和内控漏洞,使得审计内容不断丰富完整,较好降低审计风险。

五、在常规审计后,开展信息系统审计的意义

1)信息系统审计是未来审计发展的必然,未来审计行业和审计技术的发展动力将主要来自于信息系统审计的发展。

2)维护信息时代的市场经济秩序

市场经济是建立在信用基础上的,信息系统审计应当充当信息时代经济生活中公正的鉴证人起着维护市场经济稳定的作用。信息时代竞争的加剧,信息流的电子传播方式等,使市场对及时和相关信息的需求越来越多,现有财务报告模式的局限性性日渐突出。现有财务报告是以历史成本为计量基础的、周期性的向利益相关者报告。在新经济环境中,信息系统审计师应能够以在线、实时的信息为基础提供鉴证,通过多种方式来保护公众利益、提供鉴证服务并满足投资公众对决策有用信息的访问需要。提供实时报告鉴证对保护公众利益和保护资本市场的有序发展是非常有意义的。

3)为信息化建设保驾护航

上一篇:城市经济范文 下一篇:音乐鉴赏教学范文