某信息系统审计师在审核

作为信息系统审计师，与注册会计师合作共同评估电子交易的真实性，需要进行以下几个步骤：首先，您需要与注册会计师协商确定评估的范围和目标，以确保双方的工作是协调一致的。这包括确定评估所涉及的电子交易类型、评估的时间范围和评估的目的等。其次，您需要对电子交易进行审计，以确定其真实性和完整性。这包括对电子交易的源头、传输和存储进行审计，以确保电子交易的完整性和真实性。然后，您需要与注册会计师共同分析审计结果，并确定是否存在任何异常或不一致之处。如果存在异常或不一致之处，您需要与注册会计师共同确定其原因，并采取适当的措施进行纠正。最后，您需要与注册会计师共同编制评估报告，以概述审计结果和结论，并提出建议和改进措施。这将有助于确保电子交易的真实性和完整性，并提高企业的信息安全和财务透明度。总之，信息系统审计师和注册会计师需要密切合作，共同评估电子交易的真实性和完整性。这需要双方具备专业知识和技能，并采取适当的审计方法和工具，以确保评估的准确性和可靠性。

审计信息化是指内部审计组织以信息技术为手段，组织计划审计项目、实施审计的全过程，以及以确认审计风险或评价企业信息战略、优化组织运营为目标，对组织营运所依赖的信息系统进行独立的、客观的确认和咨询活动。基本原则：1．客观性原则。各地有各地的情况，每个审计机关也都有各自的情况，搞审计信息化要从客观实际和现实需求出发，当前最重要的是要防止贪大求全和“一窝蜂”。要做人力、物力和财力范围内的事，做到立足现实和长远打算相结合。2．重在应用原则。走审计信息化之路、目的是适应信息化社会的发展，更好的发挥审计免疫系统的功能，只有充分将其应用到审计实践中才能达到这一目的，否则搞再多的软硬件设施、装备都是摆设。3．开放性原则。金审工程的成果目前正在全面推广，这是审计信息化工作的统一要求，但各地审计机关在审计信息化工作中形成的有特色的工作方法、经验和成果应当予以继承和发展，不应轻易放弃，要鼓励“八仙过海、各显神通”。4．全员参与原则。审计信息化涉及全部审计人员，在这场审计技术变革中，没有人可以作壁上观，否则就将失去审计的资格。必然性：1．审计信息化是审计技术创新的最重要方面。从免疫过程看，发挥免疫作用的前提条件是免疫识别。审计要发挥“免疫系统”功能，首先要进行审计“免疫识别”。而审计“免疫识别”离不开先进的审计技术方法。就如同传统“望、闻、问、切”诊疗方法发展到各种高科技诊疗方法一样。随着信息技术的快速发展，传统手工条件下的审计技术遇到了来自计算机技术的严竣挑战。审计对象的信息化要求审计手段必须信息化，否则审计人员面临进不了门、打不开账的无奈局面。2．信息化审计手段的固有优势与“免疫系统”功能的特点相吻合。审计真正发挥“免疫系统”功能，其产生的作用与常规监督性审计的作用是有区别的，集中体现在“三性”上，一是宏观性，传统审计关注的都是某个具体的受托责任关系，而审计免疫系统论关注的则是整个社会经济系统中的受托责任关系。

随着信息技术的发展，信息系统环境给企业的管理带来了翻天覆地的变化，信息系统审计更多地体现在为企业的IT治理提供了安全有效的保障，降低了企业面临的信息系统风险、管理风险，然而关于信息系统审计的操作流程，很多人还不是很清楚，快来跟时代新威一起来了解一下吧！

1.审计规划阶段

规划阶段是整个审计过程的起点。其主要任务包括：

1 ）了解审判中制度的基本情况

了解被审计系统的基本情况是实施任何信息系统审计的必要程序，了解基本情况有助于审计机构对系统的组成、环境、运行寿命、控制等有初步印象，以便决定是否对系统进行审计，澄清审计的困难、所需时间和人员情况等。在了解了基本情况后，审计机构可以粗略地判断系统的复杂性、管理人员对审计的态度、内部控制的状况、以往审计的状况、审计的困难和要点，以确定是否审计。

2 )对被审查单位内部控制和外部控制的初步评价

传统的内部控制系统是以内部审计和相互约束为核心，防止欺诈和差错的工作体系，随着信息技术的发展和应用，特别是以互联网为代表的网络技术的进一步发展，企业信息系统得到了深入的发展，这些变化无疑给企业带来了巨大的利益，同时也给内部控制带来了新的问题和挑战，时代新威IT审计加强了对内部控制制度是信息系统安全可靠运行的有力保证，根据控制对象的范围和环境，信息系统内部控制系统的审计内容包括一般控制和应用控制。一般控制是对系统运行环境的控制，是指对信息系统各组成部分(人、机器、文件)的控制，它为应用程序的正常运行提供了外围保障，影响着计算机应用的成败和应用控制的强度，主要包括：组织控制、操作控制、软硬件控制和系统安全控制。应用控制是对信息系统中特定数据处理活动的控制，是预测、检测和纠正错误、处理特定应用系统违法行为的一种控制措施，信息系统的应用控制主要体现在输入控制、处理控制和输出控制三个方面，应用控制有其特殊性，不同的应用系统有不同的处理方法和环节，有不同的控制问题和不同的控制要求，但可以分为输入控制、处理控制和输出控制。通过对信息系统组织控制、系统开发维护控制、安全控制、软硬件资源控制、输入控制、过程控制、输出控制等审计分析，时代新威建立了内部控制强度评价的指标体系和评价模型，审计员通过人机交互对话输入各评价指标的评价指标，内部控制审计评价系统可以进行多层次的综合审计评价，通过对内部控制系统的审计，实现系统的预防性控制、检测控制和纠正控制。

3 )承认重要性

为了有效地实现审计目标和合理利用审计资源，信息系统审计人员在制定审计计划时应正确评价系统的重要性。对重要性的评估一般需要使用专业判断。在考虑重要程度时，应依据审计人员的专业判断或共同标准、系统的服务对象和业务性质以及内部控制的初步评估结果。重要性的判断离不开特定的环境，审计师必须根据特定的信息系统环境来确定重要性。重要性具有数量和质量两方面的特点。子系统越重要，就越需要足够的审计证据来支持审计结论或意见。4 )编制审计计划经过上述程序后，审计计划已做好准备，审计师可编制全面和具体的审计计划。总体规划包括：被审计人的基本情况；审计目的、审计范围和战略；重要问题和重要审计领域；工作进展和时间；审计小组成员之间的分工；重要性确定和风险评估。具体计划包括：IT信息系统审计具体的审计目标；审计程序；从业人员和时限。

2.审计执行阶段

审计可以充分准备上诉材料，包括以下内容：

1 )审计计划中的信息系统开发阶段

对信息系统计划发展阶段的审计包括对计划的审计和对发展的审计，无论是个案审计还是事后审计。相比之下，审计更有意义，审计结果有利于及早发现错误和问题，有利于计划的调整，有利于改进发展顺序。IT信息系统审计规划阶段的关键控制点是：该计划是否有明确的目的，该计划是否清楚地描述了该系统的作用，是否界定了系统开发的组织，是否正确地预测了总体规划过程，该计划是否能够随着业务环境的变化而及时修订，是否有关于该计划是否制定的可行性报告，是否有关于该计划的过程和结果的文件，等等。系统开发阶段包括三个部分：系统分析、系统设计、代码编写和系统测试，包括功能需求分析、业务数据分析、总体框架设计、结构设计、代码设计、数据库设计、输入输出设计、处理流程和模块功能设计，根据系统设计阶段的设计图、数据库结构和代码设计，系统的过程用计算机程序语言实现，测试包括动态测试和静态测试，这是系统开发和试运行前的必要程序，其关键控制点是：

分析控制点：是否仔细分析了企业的组织结构；是否确定了用户的功能和性能要求；是否确定了用户的数据需求等。

设计控制点：设计界面是否方便用户使用；设计是否与业务内容一致；性能是否满足需要；是否考虑故障对策和安全保护等。

编程控制点：是否有程序规范，并按照规范编写；程序设计与设计是否一致，是否违反编程原则；程序作者是否进行自我测试；是否有程序作者以外的第三人进行测试；程序编写、变量命名等是否标准化。

测试控制点：测试数据的选择是否按照计划和需要进行，是否具有代表性；测试是否在公平和客观的位置进行；是否有用户参与测试；测试结果是否被正确记录等。

2 )对信息系统操作和维护阶段的审计

信息系统运行维护阶段审计分为运行阶段审计和维护阶段审计，系统运行过程审计是在信息系统正式运行阶段进行的，目的是为了真正实现信息系统的发展目标，满足用户的需要，时代新威对信息系统运行过程的审计分为六个部分：系统输入审计、通信系统审计、过程审计、数据库审计、系统输出审计和运行管理审计。输入审计的关键控制点是否制定和遵守输入管理规则，是否有数据生成顺序、处理错误预防、保护措施、错误预防和保护措施等。通信系统实现实际数据的传输。在通信系统中，审计跟踪应记录输入数据、传输数据和工作通信系统。通信系统审计的关键控制点是否制定和遵守通信规则，网络访问控制和监控是否有效等。处理过程是指处理器在接收到输入数据后对数据进行处理的过程。此时，审计主要针对数据输入系统是否正确处理，关键控制点是：处理数据、数据处理器、数据处理时间、数据处理结果、数据处理目的、系统处理错误率、平均无故障时间、可恢复时间和平均恢复时间等。

数据库审计确保数据库正确地行使数据操作的有效性和异常操作时数据的保护功能(正确数据不丢失，数据回滚以保证数据的一致性)。关键控制点是：数据的访问控制和监控是否有效，是否记录数据的使用，是否考虑数据的保护功能，是否存在错误预防、保密功能、错误预防和保密功能等。输出审计不同于测试阶段的输出审计。此时，输出是根据实际数据进行的。输出审计可以根据用户的需要对系统的输出进行重新控制。关键控制点是：在获取和处理输出信息时是否有防止不当行为和保密保护的措施，输出信息是否准确和及时，输出信息的形式是否为客户接受，是否定期记录和分析输出错误等。运行管理审计是对人机系统中人的行为的审计，其关键控制点是：操作顺序是否规范，作业进度是否优先，操作是否按照标准进行，人员是否交替进行，实际操作中期望运行的差异是否可以分析，出现问题时能否相互沟通，是否有定期的培训和教育等等。对维修过程的审计包括对维修活动的审计，如维修计划、维修实施、改进后的系统的试运行和旧制度的废除。维修过程的关键控制点是：维修组织的规模是否符合需要，分工是否明确，是否有一套管理机制和协调机制，维修过程能否得到改进，维修是否得到维修主管的批准，维修记录中是否有文件，是否定期分析维修记录，是否在授权下废除旧制度等。

3.审计完成阶段

时代新威完成阶段是对整个信息系统进行实质性审计的结束，其主要任务如下：

1 ）对执行审计业务过程中收集到的证据进行整理和评价

在现代信息系统审计管理阶段，收集到的数据存储在管理系统中，审计人员只需对其进行分析和调用。

2 ）审查审计草案并完成第二级审查

传统审计的三级审查制度也适用于信息系统审计，是保证审计质量、降低审计风险的重要措施。第一级审查是信息系统审计项目负责人在审计过程中对工作文件的审查，主要是评价已完成的审计工作和编写工作文件所形成的结论；第二级审查是审计部门领导在外地工作结束时对工作文件的关键审查。在今天的审计办公室自动化中，辅助审查系统也可以通过在线报告和呼叫来实现。

3 ）评估审计结果，形成审计意见，完成三级评审，并准备审计报告

评价审计结果的主要目的是确定要发表的审计意见的类型，以及在整个审计过程中是否遵循了独立的审计标准。信息系统审计师需要对审计的重要性和审计风险做出最终的评价。这是审计员决定发表哪类审计意见的必要程序，所查明的可接受的审计风险必须有充分和适当的审计证据作为佐证。在发布审计报告之前，最后(三级)审查应与工作草案一起进行，三级审查应由审计部门主任进行。主要审查应包括所采用的审计程序是否适当、审计工作草案是否充分、审计过程中是否存在重大遗漏、审计工作是否符合事务所的质量要求等。坚持三级审查制度是控制审计风险的重要手段.审计报告是审计工作的最终结果。首先，审计报告应对被审查系统的安全性、可靠性、稳定性和有效性提出审计意见，并提出改进建议。当前，审计工作的发展正经历着前所未有的发展和转型时期，时代新威要发展审计工作，既要适应信息化的发展，又要适应审计对象、内容和手段的变化，充分利用信息资源，不断转变审计观念，不断向前发展。审计工作要抓住机遇，大力推进信息化，加强审计信息化研究，让审计信息技术更好地服务于审计工作。

CISA(Certified Information System Auditor),自1978年起,由国际信息系统审计和控制协会(ISACA)开始实施注册。CISA认证已经成为持证人在信息系统审计、控制与安全等专业领域中取得成绩的象征，并逐步发展成全球公认的标准。中国获得CISA认证的审计师在信息安全与控制领域内发挥着重要的作用，信息系统审计也越来越被国内企业认可，截至2008年4月世界范围内获得认证的有47，145人，中国大陆获得认证的人数仅有666人。此外，它还会带来相当数量的职业与个人收益。课程大纲信息系统审计过程：14%IT控制与治理：14%信息系统获取，开发和实施：19%信息系统操作、维护与支付：23%信息资产的保护：30%培训对象1 信息系统审计咨询顾问2 传统的审计专业人员3 企业内部负责信息系统审计的从业人员4 企业内部负责信息系统安全管理和规划等工作的从业人员5 IT经理，信息安全经理 6 CISA应试者讲师简介陈 伟 CISA资深讲师 谷安信息化与信息安全首席顾问，国际注册信息系统审计师(CISA)，BS7799主任审核员，国际信息系统审计与控制协会会员，管理信息系统硕士。在IT行业系统集成、软件开发、信息安全与控制领域有十六年工作经验，精通网络技术、软件开发技术、信息安全技术，长期从事企业信息化建设，对国内大中型企业的计算机网络及应用系统的规划、设计、实施有较丰富的经验。谷安CISA培训的通过率为80%以上,其实更多 的你可以百度去了解，网上很多消息。还有什么需要的可以联系我，多交流下。联系方式见空间

信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。信息系统审计过程与一般审计过程一样，分为准备阶段、实施阶段和报告阶段。其中，准备阶段和报告阶段所涉及的技术方法与财务审计所运用的技术方法区别不大，而实施阶段所涉及的技术方法则具有信息技术的特色。在实施阶段，针对被审计的信息系统，审计人员所开展的工作可以分为三个层次，即了解、描述和测试。计算机信息系统环境下审计技术方法与手工环境下传统的审计技术方法相比，相应增加了计算机技术的内容。对信息系统审计的方法既包括一般方法即手工方法，也包括应用计算机审计的方法。信息系统审计的一般方法主要用于对信息系统的了解和描述，包括：面谈法、系统文档审阅法、观察法、计算机系统文字描述法、表格描述法、图形描述法等。应用计算机的方法一般用于对信息系统的控制测试，包括：测试数据法、平行模拟法、在线连续审计技术(通过嵌入审计模块实现)、综合测试法、受控处理法和受控再处理法等。应用计算机技术的审计方法主要是指计算机辅助审计技术与工具的运用。但不能把计算机辅助审计技术与工具的使用过程与信息系统审计等同起来。在信息系统审计的过程中，仍然需要运用大量的手工审计技术。

随着企业信息化工作从初期的关注系统建设到目前关注信息化效益，由“功能驱动”转向“价值驱动”，IT系统、制度和流程等日常的执行和管控已经日益重要起来，并正在成为企业信息化工作的主要内容。在这种情形下，建立一套有效的IT内部审计体系以完善组织整体信息化体系，并确保信息化体系的有效运行尤为显得更有意义。

那么到底何为IT审计？IT审计的对象范围有哪些？作为企业，建立一个完善的IT审计制度需要怎么做？针对诸多疑问，IT审计专家时代新威来为您解答！IT审计就是信息系统审计，也称IT监查，是独立于信息系统本身、信息系统相关开发、使用人员的第三方－IT审计师采用客观的标准对信息系统的策划、开发、使用维护等相关活动和产物进行完整地、有效地检查和评估。 IT审计的出处源自60年代IBM出版的《Audit encounters Electronic Data Processing》等有关在EDI环境下进行审核和组织的论述。不久后有关该方面的研究结果不断涌现， IT审计的雏形初步形成。但是由于信息系统在社会上尚未得到较为广泛的应用，因此IT审计并未在社会上形成意识。

IT审计-对象范围

IT审计设计整个信息系统的生命周期，IT审计不是单纯强调对软硬件的审计。它的审计对象涵盖整个信息系统所有活动和中间产物，并包括信息系统实施相关的外部环境。一般来说，对企业实施IT审计的对象有：本企业内的IT审计师、外部IT审计事务所委托审计师和国家审计机构。IT审计按照信息系统的生命周期分为业务计划审计，业务开发审计、业务执行审计和业务维护审计以及涵盖整个信息系统周期的共通业务审计。1、业务计划审计主要面向信息系统的企划，对信息系统的投资可行性，系统规划与公司战略的相关性，系统开发计划的可行性以及系统需求的完整性和正确性进行审核和验证。2、业务开发审计对信息系统开发的各个阶段的相关人员的活动、信息、中间产物进行审核，确认这些活动、信息和中间产物的规范性、有效性和对于信息系统目标的针对性。3、业务执行审计确认与信息系统运行相关的数据、软硬件、安装环境等是否符合信息系统的运营要求，同时对信息系统的功能、性能、易用度、可操作性等进行评估。4、业务维护审计对信息系统的维护活动和维护结果实施审核和评价。发现在维护中可能出现的各种漏洞和信息系统维护中急待改善的问题。5、共通业务审计涉及文档管理、进度管理、人员管理、采购管理、风险管理等，检查这些过程的规范性和有效性，并提出改良建议。

IT审计-审计制度

作为企业，建立一个完善的IT审计制度需要做到以下几点：(1)IT审计师是跨信息技术和审计技术的复合型人才，要实施企业的IT审计制度，必须重视和培养合格的IT审计师；(2)企业应该建立相应的IT审计部门或审计岗位，确定其部门和岗位职责，并将之置于企业经营者的直接管理之内；(3)企业应该制定相应的IT审计准则、实施报表、报告等进行IT审计所必须的凭据；只得一提的是，企业在建立IT审计制度时应当遵循国家相关IT审计的法规并结合本企业的业务实际进行。企业的IT审计制度不是一成不变的，根据具体企业的营运情况可以在每个审计年度终结后新的审计年度开始前做相应的修改和增删。

IT审计-注意事项

作为企业，建立一个完善的IT审计制度需要做到以下几点：(1)IT审计师是跨信息技术和审计技术的复合型人才，要实施企业的IT审计制度，必须重视和培养合格的IT审计师；(2)企业应该建立相应的IT审计部门或审计岗位，确定其部门和岗位职责，并将之置于企业经营者的直接管理之内；(3)企业应该制定相应的IT审计准则、实施报表、报告等进行IT审计所必须的凭据；企业在建立IT审计制度时应当遵循国家相关IT审计的法规并结合本企业的业务实际进行。企业的IT审计制度不是一成不变的，根据具体企业的营运情况可以在每个审计年度终结后新的审计年度开始前做相应的修改和增删。IT审计作为企业信息化过程中的重要环节，可以高效管理与企业信息系统开发、运行、维护及在整个生命周期中共同业务的相关风险，从而确保信息系统的安全。企业信息系统进行IT审计，客观评价系统实现其目标的完成程度和企业的收益程度，并对系统的实施和风险加以控制。IT审计对企业信息系统整体效能提升影响显着，是企业信息化的可靠保证。