【正文】 信息系統(tǒng)管理 信息系統(tǒng)管理部門全面負(fù)責(zé)信息系統(tǒng)活動(dòng)的計(jì)劃與控制，同時(shí)，向高層管理者提供與 長期決策有關(guān)的建議，并將長期策略變?yōu)槎唐谀繕?biāo)。 系統(tǒng)開發(fā)管理 系統(tǒng)開發(fā)管理負(fù)責(zé)設(shè)計(jì)、實(shí)施和維護(hù)應(yīng)用系統(tǒng)。 程序設(shè)計(jì)管理 程序設(shè)計(jì)管理負(fù)責(zé)為新系統(tǒng)編制程序，維護(hù)舊系統(tǒng)和提供通用的 系統(tǒng)支持軟件。 數(shù)據(jù)資源管理 數(shù)據(jù)資源管理負(fù)責(zé)一個(gè)組織的數(shù)據(jù)資源的使用、 規(guī)劃和控制。 質(zhì)量保證管理 質(zhì)量保證管理確保信息系統(tǒng)的開發(fā)、實(shí)施、運(yùn)行和維護(hù)符合所建立的質(zhì)量標(biāo)準(zhǔn)。 安全管理 安全管理負(fù)責(zé)信息系統(tǒng)的訪問控制和物理安全工作。 運(yùn)行管理 運(yùn)行管理對(duì)信息系統(tǒng)日常運(yùn)作進(jìn)行管理和控制。 其次，從應(yīng)用的角度，每個(gè)應(yīng)用子系統(tǒng)都具有輸入、處理、輸出和存儲(chǔ)功能，見表 16 2： 表 16 2：應(yīng)用子系統(tǒng)的功能劃分 應(yīng)用子系統(tǒng) 子系統(tǒng)的描述 輸入 取得、準(zhǔn)備并輸入指令和數(shù)據(jù) 處理 包括決策、計(jì)算、分類、排序等 輸出 包括檢索和輸出數(shù)據(jù)給用戶 存儲(chǔ) 系統(tǒng)內(nèi)數(shù)據(jù)的存儲(chǔ)、維護(hù) 評(píng)價(jià)子系統(tǒng)的可靠性 在系統(tǒng)的層次結(jié)構(gòu)中，識(shí)別出最底層的子系統(tǒng)后，要對(duì)各個(gè)子系統(tǒng)的可靠性進(jìn)行逐一評(píng)價(jià)，進(jìn)而推斷整個(gè)系統(tǒng)的可靠性。從最底層的子系統(tǒng)開始，設(shè)法識(shí)別子系統(tǒng)中發(fā)生的不同類 型的事項(xiàng)，既要留意合理、合規(guī)事項(xiàng)，也要留意可能發(fā)生的不合理或不合規(guī)的事項(xiàng)。信息系 統(tǒng)審計(jì)人員更為關(guān)注的是不合理或不合規(guī)的事項(xiàng)，并且要確定為防止系統(tǒng)可能發(fā)生的不合理或不合規(guī)事項(xiàng)而采取的控制措施是否適當(dāng)，并切實(shí)起到作用。 第二節(jié) 會(huì)計(jì)信息系統(tǒng)審計(jì)的過程 審計(jì)過程是指審計(jì)工作從開始到結(jié)束的整個(gè)過程。會(huì)計(jì)信息系統(tǒng)的審計(jì)過程包括三下階段：計(jì)劃階段、實(shí)施審計(jì)階段和審計(jì)完成階段。盡管信息系統(tǒng)審計(jì)同財(cái)務(wù)審計(jì)一樣，其審計(jì)過程都包括上述三個(gè)階段，但是，二者的審計(jì)對(duì)象和審計(jì)目標(biāo)不同，因此，在審計(jì)過程各個(gè)階段所做工作的具體內(nèi)容也有所不同。 一、計(jì)劃階段 計(jì)劃階段是整個(gè)審計(jì)過程的起點(diǎn)。一般來講，計(jì)劃階段的流程如圖 16 1 所示： 圖 16 1：審計(jì)計(jì)劃階段的工作流程 二、實(shí)施階段 實(shí)施階段是根據(jù)計(jì)劃階段確定的范圍、要點(diǎn)、步驟、方法，進(jìn)行取證、評(píng)價(jià)，借以形成審計(jì)結(jié)論，實(shí)現(xiàn)審計(jì)目標(biāo)的中間過程。其主要工作包括： 對(duì)信息系統(tǒng)的現(xiàn)有控制進(jìn)行符合性測(cè)試 符合性測(cè)試檢查內(nèi)部控制機(jī)制是否健全有效。符合性測(cè)試流程如圖 16 2 所示： 圖 16 2：符合性測(cè)試流程 實(shí)施實(shí)質(zhì)性測(cè)試 實(shí)質(zhì)性測(cè)試是對(duì)交易和事項(xiàng)的詳細(xì)測(cè)試或分析性復(fù)核測(cè)試，以獲得審計(jì)期間這些事項(xiàng) 或交易完整、準(zhǔn)確或存在的審計(jì)證據(jù)。例如： ① 就系統(tǒng)的安全性來說，實(shí)質(zhì)性測(cè)試需要測(cè)試或?qū)彶榈慕灰缀褪马?xiàng)可能是： 為評(píng)價(jià)計(jì)算機(jī)中心實(shí)體資產(chǎn)的安全性，審計(jì)人員要查看防火、防盜設(shè)施等的存在性。 為評(píng)價(jià)數(shù)據(jù)是否完整、準(zhǔn)確、一致，審計(jì)人員要對(duì)應(yīng)用系統(tǒng)所處理的有關(guān)交易進(jìn)行測(cè)試。 ② 就系統(tǒng)有效性和效率 來說，實(shí)質(zhì)性測(cè)試需要測(cè)試或?qū)彶榈慕灰缀褪马?xiàng)可能是： 為說明一個(gè)數(shù)據(jù)庫系統(tǒng)的有效性，審計(jì)人員也許要對(duì)記錄在事務(wù)日志中的查詢進(jìn)行 抽樣審查，以評(píng)價(jià)其是否就是為該數(shù)據(jù)庫的用戶而產(chǎn)生的查詢。 為評(píng)價(jià)系統(tǒng)的效率，審計(jì)人員要對(duì)提交給應(yīng)用系統(tǒng)的交易抽樣審查其響應(yīng)時(shí)間， 信息系統(tǒng)審計(jì)和控制協(xié)會(huì)發(fā)布的審計(jì)指南中，對(duì)實(shí)質(zhì)性測(cè)試的審計(jì)步驟的描述如圖 16 3 所示： 圖 16 3：實(shí)質(zhì)性測(cè)試流程圖 三、完成階段 在審計(jì)完成階段，信息系統(tǒng)審計(jì)人員必須運(yùn)用專業(yè)判斷，綜合所收集到的各種證據(jù)，以經(jīng)過核實(shí)的審計(jì)證據(jù)為依據(jù)，形成審計(jì)意見，出具審計(jì)報(bào)告。審計(jì)報(bào)告應(yīng)說明審計(jì)范圍、審計(jì)目標(biāo)、審計(jì)期間和所執(zhí)行的審計(jì)工作的性質(zhì)和范圍，審計(jì)報(bào)告中還應(yīng)說明采用了哪些計(jì)算機(jī)輔助審計(jì)技術(shù)，以及與之有關(guān)的審計(jì)結(jié)果。 在評(píng)價(jià)審計(jì)結(jié)果出具審計(jì)報(bào)告時(shí)，信息系統(tǒng)審計(jì)人員既要考慮所發(fā)現(xiàn)的錯(cuò)誤的重要性，又要考慮由于控制弱點(diǎn)而產(chǎn)生的潛在錯(cuò)誤的重要性，一般說來： 1．如果按照公認(rèn)控制慣例，沒有重要的控制弱點(diǎn)，控制可適當(dāng)?shù)貙?shí)現(xiàn)控制目標(biāo)，信息系統(tǒng)審計(jì)人員則考慮發(fā)表控制適當(dāng)?shù)臒o保留意見。 2．如果缺乏控制而導(dǎo)致不能為實(shí)現(xiàn)業(yè)務(wù)目標(biāo)提供合理保證，則控制弱點(diǎn)應(yīng)當(dāng)考慮為重要的，并且應(yīng)當(dāng)在審計(jì)報(bào)告中予以說明。在審計(jì)過程中，識(shí)別出重要的控制弱點(diǎn)時(shí)，信息系統(tǒng)審計(jì)人員應(yīng)當(dāng)考慮發(fā)表保留意見或提出有關(guān)建議。 為了清晰反映信息系統(tǒng)控制的審計(jì)過程，下面給出一個(gè)應(yīng)用控制審核的審計(jì)程序示例。見表 16 3 。 審計(jì)項(xiàng)目 應(yīng)用控制 日期： 頁次 審計(jì)步驟 審計(jì)過程 底稿索引 審計(jì)人員 日期 以風(fēng)險(xiǎn)評(píng)價(jià)為基礎(chǔ)制定計(jì)劃 制定應(yīng)用控制審核的計(jì)劃指引 初步確定審核范圍和目標(biāo) 審核前期檔案 成立審計(jì)小組 制定初步方案，計(jì)劃審計(jì)報(bào)告 取得審計(jì)工作計(jì)劃的批準(zhǔn) 必要時(shí)修改審計(jì)程序 人員安排 審計(jì)開始 開始審計(jì)會(huì)議 ，介紹工作進(jìn)度、安排及要求 輸入輸出控制 識(shí)別主要的輸入項(xiàng)目 如：賬號(hào)，存人本金，存人日期，期限，利率，支取方式，身份證號(hào)，客戶 ID…… 選擇一類或多類進(jìn)行審核 如：批處理：自動(dòng)轉(zhuǎn)存業(yè)務(wù) 有效業(yè)務(wù)品種： 1 24 無效業(yè)務(wù)品種： (不提供的品種、期限等產(chǎn)品 ) 確定所使用的輸入方法的恰當(dāng)性 審核批輸入控制 ——自動(dòng)轉(zhuǎn)存 審查和概括批輸入程序 確保批輸入被授權(quán) 審查并描述予以自動(dòng)轉(zhuǎn) 存的賬戶數(shù)據(jù)如何取得、何時(shí)處理、誰有權(quán)處理 檢查記錄控制總數(shù)，確保不遺漏 總體評(píng)價(jià)批輸入控制的恰當(dāng)性 審核聯(lián)機(jī)輸入項(xiàng)目 描述被審終端的類型和數(shù)量 審查并描述交易輸入到應(yīng)用系統(tǒng)的過程 編輯檢查，確定編輯錯(cuò)誤是否予以檢查并及時(shí)糾正字段檢查： “本金 ”字段類型控制 完整性檢查：關(guān)鍵字段如賬號(hào)固定長度 有效性檢查： “期限 ”等類型是否是有效的業(yè)務(wù)品種 缺省值：如 “利率 ”應(yīng)從數(shù)據(jù)庫文件中讀取，不可被覆蓋 鍵校驗(yàn)： “密碼 ”由用戶輸入且輸入兩次來檢驗(yàn) 對(duì)防止未經(jīng)授權(quán)的交易進(jìn)人應(yīng)用系統(tǒng)的控制予以審查 確認(rèn)為糾正錯(cuò)誤而輸入的數(shù)據(jù)也有控制 ——注銷存單是否有主管授權(quán) 原始憑證是否有恰當(dāng)?shù)谋４鏁r(shí)間 識(shí)別主要的輸出項(xiàng)目 確定輸出審核程序的恰當(dāng)性 ——審查打印存單前審核確認(rèn)的程序 ——審查打印存單程序的恰當(dāng)性 ——評(píng)價(jià)柜員驗(yàn)證完整性準(zhǔn)確的程序 ——確定存單輸出格式適當(dāng)實(shí)用 審核輸出總數(shù)核對(duì)程序 確定敏感數(shù)據(jù)項(xiàng)目 是否被恰當(dāng)控制 ——“本金 ”是否被合理控制 ——“利率 ”確定是否有核對(duì)機(jī)制 審核輸出資料保留存放的過程 評(píng)價(jià)輸入