浅谈信息系统审计的内容和策略
摘要：伴随着科技进步和企业管理理念的发展，越来越多的组织更加依赖于信息技术。与此同时，对信息系统审计的研究和实践也正不断发生着变化。笔者认为，信息系统审计有其自身的特点，是审计的新领域，与传统审计相对独立，应从组织的整体风险控制、价值实现以及整个审计体系的角度来重新认识。
关键词：信息系统信息技术审计内容策略
伴随着科技进步和企业管理理念的发展，以计算机技术、通信技术以及网络技术为主要内容的信息技术在社会各行业的管理中正发挥着越来越重要的作用。无论是企事业单位，还是政府公共服务机构，都越来越依赖于信息系统。信息系统的可靠性、有效性和效率性影响着组织的正常运转。
与此同时，对信息系统审计的研究和实践也正不断发生着变化。从计算机辅助审计到面向系统数据的审计，再到对应用系统的审计，信息系统的审计范围和领域不断扩大。目前，对信息系统审计的认识受到较多传统审计的影响，不少研究人员认为信息系统条审计是传统审计的补充和延伸，是为传统审计提供支撑和服务的。但笔者认为，信息系统审计有其自身的特点，是审计的新领域，对信息系统审计的认识和研究要从企业整体风险控制、价值实现以及整个审计体系的角度来重新认识。
一、信息系统审计的内容
从信息系统在组织中所处地位以及信息系统的开发、运行和维护过程分析，信息系统审计应包括对IT治理结构审计等9个方面的主要内容。
1.对IT治理结构与实施的审计。信息技术过去被认为仅仅是企业组织战略的强化器，而现在被认为是组织战略的重要组成部分，越来越受到管理层的关注。通过有效使用安全、可靠的信息和适用的技术，IT治理有助于企业获得成功。因此，在对信息系统审计中，审计人员应首先关注组织的IT治理机构，判断组织是否做到了IT与业务的融合，并保持目标一致。
2.对系统开发过程的审计。传统的系统开发生命周期法(SDLC)仍是目前大多数系统开发的首选方式。审计人员的职责是参与全过程的监督和评价。
3.对系统和运行的审计。信息系统的运行承担了计算机系统软件、硬件的日常支持工作。
4.对应用控制的审计。审计人员应通过对重要应用程序组件和贯穿系统的事务流的识别，审核系统中的事务进入点、处理点和输出点，以发现控制弱点。一般可以通过审核用户活动报告和违例报告，以及通过平行作业、整体测试等方法来实现对应用控制的审计。
5.对系统安全策略的审计。随着组织对信息系统的依赖性越来越强，信息安全问题正变得日益突出，信息资产比传统资产更容易受到损害。一般而言，为了有效保护信息资产，组织需要建立信息安全管理的一些要素，关键的有：高级管理层的承诺与支持、信息安全政策与程序、组织、安全意识与教育、监督与符合性审核、应急处理与响应。
6.对逻辑访问控制的审计。逻辑访问控制是通过一定的技术方法去控制用户可以利用什么样的信息，可以运行什么样的程序，可以修改什么样的数据。这些控制可以内置在操作系统中，通过单独的访问控制软件进行调用;也可以内置在应用系统、数据库系统和网络控制设施(实时性能监测)中。
7.对物理访问控制的审计。物理访问的暴露可能使企业的业务资源面临非授权访问，导致组织受损。组织一般通过使用胸牌、内存卡、门锁、生物测定设备等限制人员进出机房和数据中心等敏感区域。
8.对环境控制的审计。环境风险可能来自自然灾害，还可能来自电力故障、设备故障、温度、湿度、静电、恐怖袭击等方面。
9.业务连续性计划的审计。业务连续性计划(BCP)是组织为避免关键业务功能中断，减少业务风险而建立的一个控制过程。一般包括对支持组织关键功能的人力、物力需求和关键功能所需的最小级别服务水平的连续性保证。BCP的目标就是要把组织的剩余风险和因意外事件产生的风险降到组织可接受的程度。BCP主要包括灾难恢复计划、作业计划和重建计划。
二、信息系统审计的策略
1.评估现有审计人员的专业胜任能力，补充完善审计人力资源。“知己知彼”才能有效开展审计项目。前面着重阐述的是审计对象，是“彼”，面对新的审计领域，审计人员自身也需要客观审视“己”的专业胜任能力。目前，我国内审人员绝大多数来自财务和审计专业，从事IT开发和管理的人员凤毛麟角，接受过信息系统审计培训的人员也极少。从9个方面的审计内容看，仅在对IT治理结构和实施以及环境控制审计两个方面，目前的审计人员能够基本胜任，其余7个方面都不能完全胜任。这是开展信息系统审计的最大障碍，因此，尽快补充新的审计人力资源是当务之急。
补充完善审计人力资源的途径有两个：一是直接招聘有信息系统背景的审计人员;二是签订信息系统审计业务外包协议。两种途径各有利弊，审计部门负责人可以视具体情况灵活掌握。
2.对现有信息系统的再认识。信息系统是个大系统、大概念，其中包含了众多小的应用系统。以某市通信公司为例，该公司除了使用了上级统一开发的MSS、CRM、综合营帐系
统和物资管理系统等之外，又结合自身管理需要陆续开发了增值业务系统、中间渠道管理系统等20多个小型管理应用系统。
要对如此庞杂的系统进行审计，审计人员须要对整个信息系统进行有效的归类整理，划清生产系统、管理系统和支撑系统等的界限，分析系统与系统之间的相互联系，识别核心系统与非核心系统，为下一步具体实施审计奠定良好的基础。
3.制定信息系统审计的长期规划。信息系统审计的内容繁杂，专业技术性强，有效实施审计不可能“全面开花”，一蹴而就。制定长期规划十分必要。与其他长期规划制定工作类似，信息系统审计的长期规划要与组织的价值目标相一致，需要明确审计的最终目的和任务。规划时间一般为5年，规划期内各年的主要任务和重点工作清楚，并对完成规划所需的人力资源、物质资源等有科学的测算。
4.确定中短期审计目标和重点审计领域。中短期审计目标就是将长期规划具体化，主要明确今后2到3年内的具体审计项目。这些项目的确定需要注意以下几个原则：
(1)与组织中短期的经营管理目标一致。
(2)符合长期规划的步骤。
(3)内容具体，可操作性强。
(4)有相应的考核评价体系。
同时，在具体实施中短期审计计划过程中，要注意量力而行，对暂时不能完成的长期规划任务，要及时反馈，适时修订。
5.协调好自审与业务外包的关系。考虑到人力资源成本、管理专业化以及人类认知的固有局限性，目前国际上通行的信息系统审计方式是采用审计人员与外聘专家共同工作的方式。彼此发挥自身优势，取长补短。笔者认为，在信息系统审计中，一般不宜采取完全外包的方式，这不利于审计人员专业素质的提升，也不利于组织信息安全管理。通常，在信息系统审计开展的初期，外包审计的范围可稍大一些，之后，应逐步降低，并保持在适当的比例水平。
6.建立良好的沟通渠道。同传统审计一样，“沟通”在信息系统审计中也显得十分重要。良好的外部沟通有利于审计人员更为全面地认识信息系统的内在控制过程，有利于审计目标与管理目标的结合，有利于审计结果的落实和执行。
另外，还需要做好审计人员的内部沟通，实现审计信息共享。一方面，信息系统审计人员要注意搜集在其他财务审计项目中发现的异常而又暂时难以解决的信息系统方面的问题，提高信息系统审计的针对性和实用性;同时，信息系统审计人员还应将可信赖的信息系统及时反馈给财务审计人员，以减少他们相应的测试工作量，提高审计工作效率，实现整体审计目标。
