【正文】 第三節(jié) 信息系統(tǒng)績(jī)效評(píng)價(jià)第五十二條 信息系統(tǒng)績(jī)效評(píng)價(jià)的目的是通過檢查被審計(jì)單位信息系統(tǒng)頂層設(shè)計(jì)及建設(shè)實(shí)現(xiàn)的管理決策支持能力、經(jīng)濟(jì)業(yè)務(wù)協(xié)同能力、系統(tǒng)建設(shè)發(fā)展能力和信息系統(tǒng)貢獻(xiàn)能力的提升，以及經(jīng)濟(jì)業(yè)務(wù)活動(dòng)的效率、效果和效能的改善，揭示信息系統(tǒng)頂層設(shè)計(jì)和建設(shè)方面的不足，提出審計(jì)意見和建議，進(jìn)一步促進(jìn)信息系統(tǒng)的實(shí)際效能提升，為審計(jì)項(xiàng)目對(duì)系統(tǒng)建設(shè)績(jī)效的審計(jì)評(píng)價(jià)提供支持。第五十三條 信息系統(tǒng)績(jī)效審計(jì)事項(xiàng)評(píng)價(jià)指標(biāo)：（九十）信息系統(tǒng)總體績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)的規(guī)劃目標(biāo)、發(fā)展戰(zhàn)略、創(chuàng)新策略、分期建設(shè)方案和考核指標(biāo)等，評(píng)價(jià)總體規(guī)劃和分期建設(shè)方案對(duì)信息系統(tǒng)實(shí)際建設(shè)和應(yīng)用的指導(dǎo)性效能的影響程度。（九十一）管理決策支持能力的績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)對(duì)支持和提升組織管理、業(yè)務(wù)管理、行政管理等方面的情況，評(píng)價(jià)信息系統(tǒng)對(duì)提升管理決策能力，改善經(jīng)濟(jì)業(yè)務(wù)發(fā)展方面的效率、效果與效能的影響程度。（九十二）信息資源共享能力的績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)中的管理資源、業(yè)務(wù)資源、人力資源、財(cái)力資源、技術(shù)資源、市場(chǎng)資源等各類信息資源的共享程度和利用狀況，評(píng)價(jià)信息系統(tǒng)的共享協(xié)同對(duì)改善經(jīng)濟(jì)業(yè)務(wù)發(fā)展的效率、效果與效能的影響程度。（九十三）經(jīng)濟(jì)業(yè)務(wù)協(xié)同能力的績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)對(duì)提升單位內(nèi)部不同業(yè)務(wù)之間、行業(yè)內(nèi)部不同單位之間、與外部相關(guān)經(jīng)濟(jì)業(yè)務(wù)之間的業(yè)務(wù)協(xié)同情況，評(píng)價(jià)信息系統(tǒng)對(duì)提升經(jīng)濟(jì)業(yè)務(wù)協(xié)同能力，改善經(jīng)濟(jì)業(yè)務(wù)發(fā)展的效率、效果與效能的影響程度。（九十四）系統(tǒng)建設(shè)發(fā)展能力的績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)的整體架構(gòu)、技術(shù)路線、開發(fā)策略、應(yīng)用模式和運(yùn)維模式，以及應(yīng)對(duì)職能業(yè)務(wù)發(fā)展、信息技術(shù)發(fā)展、環(huán)境風(fēng)險(xiǎn)防范等方面的適應(yīng)能力，評(píng)價(jià)信息系統(tǒng)對(duì)職能業(yè)務(wù)發(fā)展可持續(xù)支持的影響程度。（九十五）信息系統(tǒng)貢獻(xiàn)能力的績(jī)效評(píng)價(jià)。檢查信息系統(tǒng)運(yùn)行對(duì)單位經(jīng)濟(jì)業(yè)務(wù)活動(dòng)和國(guó)家經(jīng)濟(jì)社會(huì)健康發(fā)展的經(jīng)濟(jì)效益、社會(huì)效益的影響，信息系統(tǒng)的規(guī)劃模式、建設(shè)模式等對(duì)其他行業(yè)信息化的可借鑒性，評(píng)價(jià)信息系統(tǒng)對(duì)經(jīng)濟(jì)業(yè)務(wù)發(fā)展和行業(yè)、地區(qū)信息化發(fā)展的貢獻(xiàn)度。第六章 信息系統(tǒng)審計(jì)方法第五十四條 系統(tǒng)調(diào)查方法。依據(jù)審計(jì)實(shí)施方案確定的審計(jì)目標(biāo)和審計(jì)事項(xiàng)，調(diào)查被審計(jì)單位的相關(guān)業(yè)務(wù)活動(dòng)及其所依賴的信息系統(tǒng)，調(diào)查信息系統(tǒng)的立項(xiàng)審批、系統(tǒng)建設(shè)、運(yùn)行管理、運(yùn)維服務(wù)、項(xiàng)目投資等情況，以及相關(guān)責(zé)任機(jī)構(gòu)和管理制度等。第五十五條 資料審查方法。為了確定信息系統(tǒng)的重要控制環(huán)節(jié)和重要控制點(diǎn)，審查信息系統(tǒng)的立項(xiàng)審批、系統(tǒng)設(shè)計(jì)、招標(biāo)采購(gòu)、項(xiàng)目實(shí)施、項(xiàng)目驗(yàn)收、系統(tǒng)運(yùn)行、運(yùn)維服務(wù)、項(xiàng)目投資，以及各類第三方測(cè)試或者評(píng)估等相關(guān)文檔資料。重點(diǎn)審查應(yīng)用控制、一般控制和項(xiàng)目管理中的重要事項(xiàng)資料。第五十六條 系統(tǒng)檢查方法。為了核定信息系統(tǒng)的重要控制環(huán)節(jié)和重要控制點(diǎn)，需要對(duì)應(yīng)用控制的數(shù)據(jù)輸入、處理、輸出及其信息共享與業(yè)務(wù)協(xié)同的相關(guān)控制進(jìn)行檢查，對(duì)一般控制環(huán)境、區(qū)域邊界和網(wǎng)絡(luò)通信，以及信息系統(tǒng)的物理環(huán)境、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)和安全等各類系統(tǒng)控制進(jìn)行實(shí)地檢查。第五十七條 數(shù)據(jù)測(cè)試方法。為驗(yàn)證數(shù)據(jù)輸入、處理和輸出控制的有效性，采用模擬數(shù)據(jù)對(duì)運(yùn)行系統(tǒng)或者備份系統(tǒng)進(jìn)行符合性測(cè)試；對(duì)重要的計(jì)量、計(jì)費(fèi)、核算、分析等計(jì)算功能及其控制進(jìn)行設(shè)計(jì)文檔審查、系統(tǒng)設(shè)置檢查和數(shù)據(jù)實(shí)質(zhì)性測(cè)試的審查。必要時(shí)審查應(yīng)用系統(tǒng)的源程序等。第五十八條 數(shù)據(jù)驗(yàn)證方法：數(shù)據(jù)采集驗(yàn)證。利用直連式、旁路式、代理式等合適的數(shù)據(jù)采集方法和工具，采集系統(tǒng)監(jiān)測(cè)日志或者相關(guān)業(yè)務(wù)數(shù)據(jù)，進(jìn)行數(shù)據(jù)符合性驗(yàn)證。數(shù)據(jù)轉(zhuǎn)換驗(yàn)證。利用數(shù)據(jù)庫數(shù)據(jù)轉(zhuǎn)換、文本轉(zhuǎn)換、網(wǎng)頁信息轉(zhuǎn)換等方法和工具，對(duì)異構(gòu)數(shù)據(jù)庫之間的數(shù)據(jù)轉(zhuǎn)換、結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)的轉(zhuǎn)換、不同數(shù)據(jù)類型和格式之間數(shù)據(jù)轉(zhuǎn)換的一致性和準(zhǔn)確性進(jìn)行檢查驗(yàn)證。數(shù)據(jù)處理驗(yàn)證。通過對(duì)數(shù)據(jù)庫SQL語句進(jìn)行轉(zhuǎn)換解析，實(shí)現(xiàn)對(duì)各類經(jīng)濟(jì)業(yè)務(wù)活動(dòng)的計(jì)量、計(jì)費(fèi)、核算、匯總等計(jì)算的符合性與準(zhǔn)確性進(jìn)行驗(yàn)證。第五十九條 工具檢測(cè)方法：安全工具檢測(cè)。利用入侵檢測(cè)、漏洞掃描等工具的監(jiān)測(cè)結(jié)果進(jìn)行分析評(píng)價(jià)。審計(jì)工具檢測(cè)。利用網(wǎng)絡(luò)審計(jì)、主機(jī)審計(jì)、數(shù)據(jù)庫審計(jì)等工具的日志記錄結(jié)果進(jìn)行分析評(píng)價(jià)。測(cè)評(píng)工具檢測(cè)。利用網(wǎng)絡(luò)分析檢測(cè)、系統(tǒng)配置檢測(cè)、日志分析檢測(cè)等工具，通過采集信息系統(tǒng)之間的通信數(shù)據(jù)包并進(jìn)行逆向分析，還原系統(tǒng)間通信內(nèi)容，檢測(cè)主機(jī)操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等重要系統(tǒng)是否滿足配置標(biāo)準(zhǔn)和規(guī)范要求，采集操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)等生成的日志信息進(jìn)行檢測(cè)分析。系統(tǒng)運(yùn)行監(jiān)測(cè)。利用網(wǎng)絡(luò)流量、應(yīng)用進(jìn)程、CPU利用率、內(nèi)存利用率等系統(tǒng)運(yùn)行監(jiān)測(cè)結(jié)果進(jìn)行分析評(píng)價(jià)。系統(tǒng)監(jiān)控檢測(cè)。利用對(duì)應(yīng)用、數(shù)據(jù)、主機(jī)、網(wǎng)絡(luò)、機(jī)房環(huán)境設(shè)備設(shè)施等方面的系統(tǒng)運(yùn)行監(jiān)控記錄進(jìn)行分析評(píng)價(jià)。第六十條 風(fēng)險(xiǎn)評(píng)估方法：信息系統(tǒng)內(nèi)外部風(fēng)險(xiǎn)評(píng)估。在對(duì)信息系統(tǒng)總體風(fēng)險(xiǎn)的評(píng)估中，要充分考慮被審計(jì)單位信息系統(tǒng)及其經(jīng)濟(jì)業(yè)務(wù)活動(dòng)所面臨的國(guó)內(nèi)外經(jīng)濟(jì)環(huán)境、政策影響、市場(chǎng)影響、技術(shù)影響、文化影響和組織架構(gòu)影響等因素，以便做出客觀的評(píng)價(jià)。信息系統(tǒng)控制缺失風(fēng)險(xiǎn)評(píng)估。對(duì)檢查測(cè)評(píng)發(fā)現(xiàn)的系統(tǒng)各類控制缺失應(yīng)當(dāng)進(jìn)行風(fēng)險(xiǎn)程度評(píng)估，區(qū)分可接受的風(fēng)險(xiǎn)和不可接受的風(fēng)險(xiǎn)，尤其要重視潛在風(fēng)險(xiǎn)的評(píng)估?？刂迫笔?dǎo)致業(yè)務(wù)數(shù)據(jù)風(fēng)險(xiǎn)的評(píng)估。對(duì)檢查測(cè)評(píng)發(fā)現(xiàn)的控制缺失不可接受的風(fēng)險(xiǎn)，要對(duì)是否導(dǎo)致經(jīng)濟(jì)業(yè)務(wù)活動(dòng)相關(guān)數(shù)據(jù)的風(fēng)險(xiǎn)進(jìn)行評(píng)估，指出具有風(fēng)險(xiǎn)的數(shù)據(jù)庫和數(shù)據(jù)表，評(píng)估數(shù)據(jù)風(fēng)險(xiǎn)的程度。信息系統(tǒng)風(fēng)險(xiǎn)責(zé)任界定評(píng)估。按照固有風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)和檢查風(fēng)險(xiǎn)的審計(jì)風(fēng)險(xiǎn)理論，對(duì)信息系統(tǒng)的設(shè)計(jì)與建設(shè)、運(yùn)行與維護(hù)、檢查與監(jiān)督等各環(huán)節(jié)的風(fēng)險(xiǎn)進(jìn)行評(píng)估，對(duì)各部門的責(zé)任進(jìn)行界定。第六十一條 專家評(píng)審方法。組織信息系統(tǒng)等相關(guān)方面的專家或者委托有資質(zhì)的專業(yè)機(jī)構(gòu)，對(duì)信息系統(tǒng)審計(jì)中的相關(guān)專業(yè)領(lǐng)域、關(guān)鍵技術(shù)等進(jìn)行必要的評(píng)審。第七章 附 則第六十二條 本指南適用于國(guó)家審計(jì)機(jī)關(guān)組織開展的各類信息系統(tǒng)審計(jì)活動(dòng)。第六十三條 本指南的審計(jì)內(nèi)容和審計(jì)指標(biāo)，均依照國(guó)家關(guān)于信息系統(tǒng)建設(shè)和管理的相關(guān)規(guī)定，參照國(guó)內(nèi)外信息系統(tǒng)審計(jì)的研究成果，在總結(jié)我國(guó)審計(jì)機(jī)關(guān)信息系統(tǒng)審計(jì)實(shí)踐的基礎(chǔ)上提出。第六十四條 本指南的審計(jì)事項(xiàng)、審計(jì)指標(biāo)和審計(jì)方法，需要在審計(jì)實(shí)踐中不斷完善、調(diào)整和擴(kuò)充，逐步建立適合我國(guó)國(guó)家審計(jì)機(jī)關(guān)的信息系統(tǒng)審計(jì)指標(biāo)體系和審計(jì)方法體系。第六十五條 本指南由中國(guó)審計(jì)學(xué)會(huì)計(jì)算機(jī)審計(jì)分會(huì)、審計(jì)署信息化建設(shè)辦公室、審計(jì)署計(jì)算機(jī)技術(shù)中心、審計(jì)署科研所、審計(jì)署外資審計(jì)中心，審計(jì)署京津冀特派員辦事處、上海特派員辦事處、南京特派員辦事處、武漢特派員辦事處、長(zhǎng)沙特派員辦事處，浙江省審計(jì)廳，南京審計(jì)學(xué)院、北京大學(xué)數(shù)字中國(guó)研究院等單位起草。第六十六條 本指南的解釋權(quán)屬審計(jì)署計(jì)算機(jī)技術(shù)中心。第六十七條 本指南自發(fā)布之日起生效。附錄信息系統(tǒng)中容易產(chǎn)生數(shù)據(jù)風(fēng)險(xiǎn)的審計(jì)內(nèi)容1．第二十條信息系統(tǒng)業(yè)務(wù)流程控制審計(jì)事項(xiàng)的（一）至（三）測(cè)評(píng)指標(biāo)。2．第二十三條至第二十五條的數(shù)據(jù)輸入、處理和輸出審計(jì)事項(xiàng)的（四）至（十七）測(cè)評(píng)指標(biāo)。3．第二十七條信息共享與業(yè)務(wù)協(xié)同控制審計(jì)事項(xiàng)的（十八）、（二十）至（二十二）測(cè)評(píng)指標(biāo)。4．第二十九條共享外部數(shù)據(jù)審計(jì)事項(xiàng)的（二十七）測(cè)評(píng)指標(biāo)，第三十條供給外部數(shù)據(jù)審計(jì)事項(xiàng)的（二十九）測(cè)評(píng)指標(biāo)。5．第三十四條信息安全技術(shù)控制審計(jì)事項(xiàng)的（三十七）、（三十八）至（四十）測(cè)評(píng)指標(biāo)。主題詞：審計(jì) 計(jì)算機(jī) 公告 通知 署內(nèi)分送：署領(lǐng)導(dǎo)，總經(jīng)濟(jì)師，辦公廳、計(jì)算中心（4）。 審計(jì)署辦公廳 2012年2月2日印發(fā) （只發(fā)電子文件）33 /