信息系统审计(ppt 67)

信息系统审计概述一、信息系统审计总体要求(-)信息系统审计的概念信息系统审计是指内部审计机构和内部审计人员对组织信息系统建设的合法合规性、内部控制的有效性、信息系统的安全性、业务流程的合理有效性、信息系统运行的经济性所进行的检查与评价活动。

信息系统审计包括审计计划、审计依据、审计方法、审计技术、审计人员配置、审计实施流程、审计报告以及审计质量控制等内容。

内部审计机构应建立信息系统审计的相应组织管理体系，对信息系统审计的流程和质量进行管控，并依照规章制度开展信息系统审计。

(二)信息系统审计的一般原则组织应建立信息系统审计组织管理体系，并根据有关制度、标准和要求开展信息系统审计活动。

其一般原则包括：1 .信息系统审计需结合所在组织的战略目标、业务目标、治理要求和管理授权开展审计。

——目标导向2 .信息系统审计应合理保证信息系统的运行符合法律法规以及相关监管要求。

——合法合规3 .信息系统审计应在充分了解组织信息系统治理、管理和应用的基础上做出客观评价。

——客观性4 .信息系统审计应结合组织的业务流程、信息系统及应用数据开展审计工作。

5 .信息系统审计应不断提升内部审计人员技能，严格履行审计程序，提高审计工作质量。

(三)信息系统审计的目标1 .总体目标通过对信息系统的审计，揭示信息系统面临的风险、评价信息系统技术的适用性、创新性、信息系统投资的经济性、信息系统的安全性、运行的有效性等内容，合理保证信息系统安全、真实、有效、经济。

2 .具体目标(1)保证信息系统建设符合国家有关法律法规和组织内部制度。

保证信息系统建设方案、规划内容充分体现组织的战略目标，对信息系统建设、应用与公司的经营目标的一致性作出评价。

——目标导向(2)信息系统审计应促进信息系统在购置、开发、使用、维护过程中，以及数据在生产、加工、修改、转移、删除等处理中都必须符合国家相关法律法规、准则、组织内部规定等，并应促进信息系统有效实现既定业务目标。

信息系统一般控制审计一、应用系统开发、测试与上线审计A.应用系统开发审计（一）业务概述组织的信息系统开发根据方式不同，通常包括自主开发、外委开发、或者二者兼有的开发方式。

组织在进行信息系统开发时，应当根据自身技术力量、资金状况、发展目标等实际情况，选择适合自身的开发方式和合作伙伴。

应用系统开发工作包括需求分析、架构设计、软件实现、系统测试、用户测试、系统试运行、系统验收、系统上线、数据迁移和产品维护等内容。

（二）审计目标和内容审计目标：通过规范开发程序，提高信息系统开发的可控性、安全性、可靠性和经济性，揭示信息系统开发环节存在的风险及问题，提出完善信息系统开发控制的审计意见和建议，实现组织目标。

审计内容：开发组织机构设置、资源配置情况。

开发过程中与业务部门的沟通情况。

系统开发全过程的需求分析、架构设计、软件实现、系统测试、用户测试、系统试运行、系统验收、系统上线和数据迁移、产品维护等内容的质量、安全管理情况。

（三）常见问题和风险组织自主开发方式下的应用系统主要存在以下常见问题及风险：1.组织未成立专门的开发建设项目组，可能导致信息系统开发建设责任制未落实的风险。

2.信息系统开发工作缺乏必要支持。

组织内部无专业技术人员或是缺乏必要的财务支持，导致开发失败的风险。

3.信息系统开发过程没有业务部门人员参与，未定期与业务部门共同审核信息系统的开发建设情况，未及时发现系统不能满足业务的需要，可能导致与业务需求不相符的风险。

4.组织未制定合理的项目生命周期管理方案和符合质量管理标准的质量控制体系，不能有效控制开发质量；开发过程中未进行必要的安全控制，未对源代码进行有效管理和严格审查可能导致的风险。

5.项目需求说明书阐述业务范围及内容不清晰，未能结合需求制定出最优化的技术设计方案的风险。

开发环境、测试环境和生产环境未分离，网络未有效隔离，设备未独立于生产系统，开发人员直接接触生产系统，直接使用未经批准并脱敏的生产数据，导致泄密或造成生产系统受损的风险。

信息系统审计内容及重点、步骤和方法一、审计内容（一）信息系统一般控制情况1.信息系统总体控制情况;2.信息安全技术控制情况;3.信息安全管理控制情况。

（二）信息系统应用控制情况1.信息系统业务流程控制情况；2.数据输入、处理和输出控制情况；3.信息共享和业务协同情况。

二、审计重点及审计步骤和方法（一）一般控制审计1.总体控制审计审计思路：通过检查被审计单位信息系统总体控制的战略规划、组织架构、制度机制、岗位职责、内部监督等，分析信息系统在内部环境、风险评估、控制活动、信息与沟通、内部监督方面的有效性及其风险，形成信息系统总体控制的审计评价和结论。

审计方法：召开座谈会、发放调查问卷、查阅文件等。

审计步骤：（1）战略规划评价。

检查被审计单位是否建立了信息系统战略发展规划，是否明确了战略目标、整体规划、实现指标和相应的实施机制。

（2）组织架构评价。

检查被审计单位是否建立了与信息系统战略发展规划相匹配的决策与管理层领导机构、项目实施层工作机构，以及行业内各层级的信息化工作机构，是否建立了各类机构的权力责任和制约机制。

（3）制度体系评价。

检查被审计单位是否建立了与信息系统战略规划和组织架构相匹配的项目管理制度、项目建设制度、质量检查制度等。

4）岗位职责评价。

检查被审计单位信息系统规划、建设、运维等方面的岗位设置、人员配置、岗位职责。

（5）内部监督评价。

检查被审计单位是否建立健全了信息系统建设和运维全过程的内部监督机构和监督机制，是否形成了对信息系统的风险评估、控制活动和信息交互等方面的有效控制和监督。

2.信息安全技术控制审计审计思路：通过检查被审计单位信息系统的信息安全技术及其控制的整体方案，检查安全计算环境、区域边界、通讯网络等方面的安全策略和技术设计，检查信息系统的安全技术配置和防护措施，发现并揭示信息系统安全技术控制的缺失，分析并评价风险程度，形成信息安全技术控制的审计结论。

审计方法：实地观察法、审阅法、系统测试法和利用入侵检测、漏洞扫描等工具的安全工具检测法，以及利用网络分析检测、系统配置检测、日志分析检测等工具的测评工具检测法。

信息系统专项审计一、信息科技外包审计信息科技外包是指组织将原来由自身负责处理的某些业务活动委托给服务提供商进行持续处理的行为，包括系统研发类外包、咨询服务类外包、系统运行维护类外包及业务外包中的相关信息科技活动等内容。

服务提供商包括独立的第三方、组织母公司或其所属集团设立在中国境内外的子公司、关联公司或附属机构。

非驻场外包是一种特殊形式的外包，与驻场外包一样也会导致各类风险，但具体管控环节和方式不同。

A.信息科技外包战略规划审计（一）业务概述信息科技外包战略是指企业对信息科技外包的目标和策略的组合。

企业信息科技外包的远景、使合、合题等的全局规划和方针及定位。

（二）审计目标和内容通过对信息科技外包战略规划的审计，判断组织在外包战略规划方面：1.是否建立了信息科技外包战略，所建立的外包战略是否具有全局性、长远性及可操作性的特点。

2.是否明确了外包管理基本原则，是否能确保风险、成本和效益的平衡，并考虑了减少对供应商过分依赖和掌握核心技术的相关因素。

3.是否定期修正外包战略；外包战略是否定期由高级管理层审阅，外包战略是否被各相关部门知悉。

B.信息科技外包治理审计（一）业务概述信息科技外包治理是指组织中的信息科技外包的决策机制和管理方式和管理制度等内容。

（二）审计目标和内容通过对信息科技外包治理的审计，判断组织在外包治理方面：1.是否建立信息科技外包组织、明确组织职责、岗位职责；是否建立信息科技外包管理体系，明确管理流程和管理方法。

2.是否建立了正式的信息科技外包管理制度，并评价外包制度和流程的可操作性。

3.是否建立了针对信息科技外包各个环节的风险评估要求，是否建立了外包商尽职调查、外包集中度评估和外包应急预案制订等规定，并得到了有效执行。

C.信息科技外包商管理审计（一）业务概述信息科技外包商管理是指对为组织提供信息科技服务的外包商进行准入、外包采购需求管理、外包商选择与尽职调查、外包合同签订等方面的管理工作。