个忠实的仆人带你走进it审计

《个忠实的仆人带你走进it审计》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、六个忠实的仆人带你走进IT审计“我有六个忠实的仆人，他们教会了我一切，他们是：‘是什么’、‘为什么’、‘何时’、‘如何’、‘何地’和‘谁’。”——拉迪亚德吉卜林，引自JustSoStories中《大象的孩子》　　随着科技的发展，信息系统在当今社会所扮演的角色已经从幕后走到了台前，IT技术不再是仅仅用来提高计算速率的加分项，而是作为保证单位/企业顺利地开展业务、实现目标、获得利益的基础条件。IT审计迅速发展，仿佛突然之间成为高检索率的热门词汇阵营。我国IT审计的发展相对迟缓，对于IT审计的认识目前仍然主要停留在计算

2、机辅助工具层面，认为IT审计只是通过使用计算机技术提高传统审计的效率，却很少或没有从审计对象的角度审视信息系统。因此，当身边的人们反复提起IT审计时，我们很自然会产生困惑：IT审计究竟是什么、有何特点、为什么要开展IT审计、如何开展IT审计、由谁执行IT审计、开展IT审计需要满足哪些条件，等等。本文将为读者一一解开这些谜团。　　IT审计是什么　　IT审计（InformationTechnologyAudit），也称作信息系统审计。很多研究人员认为，IT审计的概念源于在20世纪60年代。1960年起，IBM公司相继

3、出版了《TheAuditorEncountersElectronicDataProcessing》、《In-lineElectronicProcessingandAuditTrail》等一系列文献，介绍了电子数据环境下的内部审计规则和组织方法，并首次将计算机审计的概念带入人们的认识中；1968年，美国注册会计师协会出版了《会计审计与计算机》，指导会计师事务所对利用计算机较早、较为深入的金融行业开展审计。严格来讲，电子数据处理审计或计算机审计并非真正意义上的信息系统审计，计算机审计的定位是扩展传统财务审计的一种技术

4、资源，为审计师开展涉及到电子数据的财务审计业务时提供必要的技术支持。　　业界始终没有就IT审计的定义达成统一的意见，目前使用较广的是美国信息系统审计与控制协会ISACA给出的描述。ISACA认为，IT审计是一个过程，在这个过程中IT审计师（CISA）通过获取和评价相关证据，判断被审查的信息系统能否保证单位或企业的资产安全、数据完整，以及能否有效地利用资源并高效地实现目标。除ISACA的定义外，国际上认可度相对高的IT审计定义包括，国际权威的IT审计专家RonWeber在《InformationSystemsAud

5、itandControl》一书中对IT审计的定义，他认为IT审计是一个搜集并评价证据，以判断计算机系统（信息系统）能否在经济划算地利用资源的情况下，有效保护资产安全、维护数据完整并实现组织目标的过程；日本通产省情报处理开发协会信息系统审计委员会于1996年修订该协会11年前对计算机审计的定义，描述信息系统审计是“为保证信息系统安全、可靠、有效，由独立于审计对象的IT审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合检查与评价，并向IT审计对象的最高领导层指出系统存在的问题及改进建议的一组连续的活动”。由

6、于IT审计在我国的发展相对迟缓，目前尚未形成被普遍认可的IT审计定义。　　虽然对IT审计的描述没有达成统一，但是我们不难发现，专家们对IT审计的理解至少在以下几个方面是一致的：首先，IT审计是一个过程，这个过程需要由获得CISA认证的IT审计师，以独立客观的身份执行；其次，IT审计的过程中，IT审计师需要获取证据并分析证据，目的是检查信息系统的安全性、可靠性、有效性以及高效性；第三，审计师得到结果并不意味IT审计过程的完结，还需要向被审计单位报告审计结果，指明审查过程中发现的、信息系统存在的问题，以及针对这些问题

7、向被审计单位的高层提供改进的建议。　　IT审计由谁审　　IT审计要求执行者必须具备CISA**。作为一门跨领域的边缘性学科，信息系统审计与控制协会严格考核从业者的知识和技能，从传统审计理论、信息系统管理理论、行为科学理论和计算机科学等四个领域的要求，综合评价申请者知识技能的掌握程度，判断是否认可申请者的IT审计从业资格。IT审计是一个对从业者无论知识技能还是实际经验，要求均非常高的专业领域。我们知道，信息系统本身具有很强的复杂性，当把多个复杂的对象糅合在一起，其结果很明显：正如一团乱麻，要求梳理这团乱麻的人员必须

8、具备足够的素质才能获得期望中的结果，否则，结局只会是使眼前复杂的问题变得更加复杂。因此，IT审计师必须具备专业的能力和良好的素质，才能针对审计对象做出合理有效的评价。　　IT审计要求审计师必须以独立客观的身份执行审查。独立客观，强调IT审计师执行某项IT审计任务时，必须与被审计信息系统不存在任何的利益关系。此处的利益关系，既包含不参与（包括不曾参与）信息系统生命周期的有关