|
|
|
|
|
美国信息系统审计的权威专家Ron Weber将信息系统审计定义为“收集并评估证据以决定一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济地使用资源”。
|
|
|
|
信息系统审计的目的是评估并提供反馈、保证及建议，主要关注：
|
|
|
|
.可用性：商业高度依赖的信息系统能否在任何需要的时刻都能提供服务，信息系统是否被完好保护以应对各种损失和灾难？
|
|
|
|
.保密性：系统保存的信息是否仅对需要这些信息的人员开放，而不对其他人开放？
|
|
|
|
.完整性：信息系统提供的信息是否始终保持正确、可信、及时，能否防止未授权的对系统数据和软件的修改？
|
|
|
|
|
|
|
|
.传统审计理论：提供了丰富的内部控制理论与实践经验，同时收集并评价证据的方法论也在信息系统审计中广泛应用。
|
|
|
|
.信息系统管理理论：是一门关于如何更好地管理信息系统的开发与运行过程的理论，它的发展提高了系统保护资产安全、保证信息完整，并能有效地实现企业目标的能力。
|
|
|
|
.行为科学理论：行为科学特别是组织学理论解释了组织中产生的“人的问题”，也为审计人员了解哪些行为因素可能导致系统失败提供了依据。
|
|
|
|
.计算机科学：计算机科学本身的发展也在关注如何保护资产安全、保证信息完整，并有效地实现企业目标。
|
|
|
|
|
|
信息系统审计业务将随着信息技术的发展而发展，为满足信息使用者不断变化的需要而增加新的服务内容，目前其基本业务如下：
|
|
|
|
.系统开发审计：包括开发过程的审计、开发方法的审计、为IT规划指导委员会及变革控制委员会提供咨询服务。
|
|
|
|
.主要数据中心、网络、通信设施的结构审计：包括财务系统和非财务系统的应用审计。
|
|
|
|
.支持其他审计人员的工作，为财务审计人员与经营审计人员提供技术支持和培训。
|
|
|
|
.为组织提供增值服务，为管理信息系统人员提供技术、控制与安全指导，推动风险自评估程序的执行。
|
|
|
|
.软件和硬件供应商及外包服务商提供的方案、产品及服务质量是否与合同相符的审计。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
.一般公认的信息系统审计准则：包括职业准则、ISACA公告和职业道德规范。
|
|
|
|
.信息系统的控制目标：信息系统审计与控制协会在1996年公布的COBIT被国际上公认为最先进、最权威的安全与信息技术管理和控制标准。
|
|
|
|
|
|
|
|
采用新技术能带来好处，但也会带来很多风险。此时，审计从基于控制的方法演变为基于风险的方法。
|
|
|
|
|
|
|
|
|
|
（3）评估哪些风险会影响这些系统及对商业运作的冲击。
|
|
|
|
（4）在上述评估的基础上对系统分级，决定审计优先级、资源、进度和频率。
|
|
|
