信息系统审计师要求

CISP （CISE/CISO）认证条件教育与工作经历：硕士研究生以上，具有 1 年工作经历；或 本科毕业，具有 2 年工作经历；或大专毕业，具有 4 年工作经历。专业工作经历：至少具备 1 年从事信息安全有关的工作经历。如不满足以上条件，可先参加培训及考试获得培训合格证书，期限满换发认证证书，考试成绩有效期三年。

IT审计师，主要考以下科目（含占分比例）：信息系统的审计流程 (14%)，IT治理与管理(14%)，信息系统的购置、开发与实施(19%)，信息系统的操作、维护与支持(23%)，信息资产的保护(30%)。注册信息系统审计师（通常称IT审计师）目前已经成为全球范围最抢手的高级人才。这些人才一般都具备全面的计算机软硬件知识，对网络和系统安全有独特的敏感性，并且对财务会计和单位内部控制有深刻的理解。随着计算机技术在管理中的广泛运用，传统的控制、管理、检查和审计技术都受到巨大的挑战。国际会计师审计师事务所、专业咨询公司、软件供应商特别是经济管理类的集成软件供应商和高级管理顾问都将控制风险，尤其是控制计算机环境风险和信息系统运行风险作为管理咨询和服务的重点。几乎所有的大型跨国公司，由于普遍使用大型管理信息系统，都非常重视对信息系统安全和稳定性的控制，常常高薪聘请IT审计师进行内部审计。

计算机审计专员应掌握的专业知识与技能

《审计法》第十二条规定：审计人员应当具备与其从事的审计工作相适应的专业知识和业务能力。审计工作是一项综合性很强的工作，客观需要其人员的知识结构层次呈现多学科、多领域的状态。因此，审计人员必须随着时代的发展，不断学习，尽快实现知识更新换代，努力达到一专多能、精益求精的要求。随着计算机信息技术和会计电算化的迅猛发展，计算机辅助审计技术在审计实务中得到了广泛应用和推广，计算机审计在提高审计效率和审计质量方面发挥着越来越重要的作用，同时也对广大审计人员特别是从事计算机辅助审计工作的人员在知识技能方面提出了更高的要求。笔者认为，一名合格的计算机审计人员至少应具备以下专业知识与技能。

一、计算机专业知识。

作为一名计算机审计人员，首先必须掌握扎实的计算机专业知识，这是计算机审计人员与一般审计人员在专业知识要求上的最大差别。一般审计人员能够熟练运用AO软件进行计算分析、查询汇总等操作即可，而计算机审计人员则必须掌握更高层次的计算机知识，具体包括：一是系统相关知识，包括计算机软、硬件系统的构成及工作原理，操作系统及常用软件的安装、使用及维护等。二是数据库系统相关知识。计算机审计人员必须掌握数据库的基础理论知识，了解数据库系统的组成、结构以及关系数据库理论基础等相关知识，熟悉常见的Access、SqlServer、db2、Oracle等数据库系统的数据操作及不同数据库之间数据的相互转换。三是计算机网络相关知识。包括数据交换技术、TCP/IP协议、常见网络互联设备的使用、网络连接与配置等。四是计算机语言相关知识。

计算机审计人员应熟练掌握SQL语句、审计脚本语言(ASL)等计算机语言，能够运用计算机语言进行审计数据分析、查找审计疑点。五是信息系统相关知识。计算机审计人员应了解信息系统的基本构成及设计原理，熟悉信息系统审计的内容及开展信息系统审计的主要技术方法。笔者认为，计算机审计人员的计算机专业知识应保证计算机审计人员具备以下五种能力：

一是能打开被审计单位的数据库并将被审计单位数据库转换过来。计算机审计人员需要熟悉被审计单位的计算机操作系统和数据库管理系统，能够进行基本的数据库操作，对数据库进行备份、恢复或导入导出等，要能将被审计单位数据库业务数据和财务数据转换到审计人员熟悉的数据库系统或审计软件中。二是能采取多种方式进行数据分析。除使用专门的审计软件外，最好还能够掌握数据库客户端软件的使用，可以更加灵活地进行数据分析。三是能在审计现场搭建临时网络。临时网络主要是利用服务器运算速度快、存储容量大的特点来提高数据分析效率，发挥协同办公作用，尤其适合数据量大的项目，同时也有利于数据的安全管理。四是能排除常见的软硬件故障。在数据采集和分析过程中，计算机审计人员要具备一些解决操作系统和数据库管理系统基本故障能力，解决操作过程中出现的小问题，使数据采集和分析工作顺利开展。五是能够运用信息系统了解、描述、测试的相关方法对被审计单位信息系统开展信息系统内部控制、信息系统组成部分及信息系统生命周期的审计。

二、审计专业知识。

审计方法选择恰当与否，不但会直接影响到审计工作效率的提高，而且还会对审计质量、结果产生很大影响。计算机审计人员首先是一名审计人员，因此，必须熟悉和掌握审计专业相关知识。一是必须熟练掌握并灵活运用各种审计方法，如审阅法、核对法、查询法、比较法、分析法、顺查法、逆查法、详查法、抽查法、盘点法、调节法、观察法等，熟知并在实践中实施审计全过程。二是熟知审计实施全过程的程序及内容。就国家审计而言，审计实施阶段可划分为三个阶段：审计准备阶段、审计实施阶段、审计终结阶段。(1)审计准备阶段。其工作主要包括：①了解被审计单位的基本情况。②下达审计通知书。③初步评价被审计单位的内部控制制度，分析审计风险。④编制审计计划。(2)审计实施阶段。审计实施阶段是审计全过程的中心环节，其主要工作是：①按照审计计划要求，对被审计单位内部控制系统的建立及其遵守情况进行检查。②对会计报表项目实施重点、细致地检查。③收集审计证据并编制审计工作底稿。(3)审计终结阶段。审计终结阶段是报表项目审计工作的结束。其主要工作有：①整理、评价审计过程收集的审计证据。②复核审计工作底稿。③评价审计结果。④编写审计报告。

三、会计专业知识。

会计专业知识是开展审计工作的基础知识，在一定程度上影响着审计工作质量的`提高。因此，计算机审计人员还应熟悉掌握《财务会计》、《财务管理》等会计专业的相关知识，通过审查分析财务会计数据，反映被审计单位管理过程中的利弊得失，为改进被审计单位的财务管理工作提出合理化建议和措施。同时，计算机审计人员应了解会计信息系统的基本核算原理、存储程序控制原理与构成、主要数据文件分类以及辅助核算等相关知识，熟悉信息化条件下的会计专业知识。

四、法律法规知识。

开展计算机审计的过程就是将审计思路转化为计算机语言并执行的过程。而要针对被审计单位的财务或业务数据确定审计思路，首先必须熟悉国家的法律法规和相关行业的规章制度。例如在开展五项社保基金审计时，计算机审计人员首先应该掌握和了解与五项社保有关的法律法规制度，能够把握社保资金管理使用中的热点和重点，充分利用计算机实现审计目标。再如在开展新农合基金审计时，如果不了解国家及当地政府关于新农合基金管理的相关规定，就无法确定对被审计单位电子数据应该进行哪些分析，设定何种条件查找哪些疑点数据。因此，计算机审计人员必须熟悉相关的法律法规，因为这是确定审计思路的基础。

在法律法规的具体使用方面，应从以下几个方面把握：一是定性依据要注意法律、法规的层次性。法律、法规范围广，有国家立法机关制定的法律，有国务院颁布的行政法规，有地方立法机关和行政机构制定的地方性法律、法规，有行业、部门制定的规章制度，层次越高的政策法规覆盖面越大，宏观指导性越强，而政策法规的层次越低，其针对性、适用性越强。在具体引用时，应从实际出发，具体问题具体对待，一般情况下，宜从低层次向高层次选择，若遇到低层次法规与高层次法规相抵触时，应适用高层次法规。二是要注意法律、法规的时效性。审计定性时，应以审计事项发生时适用的法规、制度作为衡量标准，而不能以现时或过时的法规、制度作为衡量标准。三是要注意法律、法规的地域性。有些法规只在一定的地区有效，不能把其他地区制定的地方性法规作为本地区审计定性的依据。

五、表达沟通能力。

对一个审计项目而言，审计项目质量的高低，需要审计组集体的智慧，计算机审计人员作为审计组的成员，需要将审计组的审计思路和个人的计算机技术融合起来，才能充分发挥作用，这就需要计算机审计人员能够通过与其他审计人员的沟通，将审计思路转化为计算机语言去执行;在对被审计单位信息系统进行调查了解以及提出数据采集要求时，计算机审计人员必须向被审计单位相关人员进行必要的说明。这些都要求计算机审计人员有较强的表达沟通能力，具体应达到一下几点要求：一是审计内容、审计目标能够说清楚。不仅是向领导汇报工作时要把情况说清楚，对被审计单位或者进行调查取证时，更要把审计内容、审计目标或者意图说清楚，以建立起和谐的审计关系，营造良好的审计执法环境。二是审计事实要说清楚。不能凭经验、凭感觉进行审计，更不能搞合理推测。对每个审计问题都必须搞清来龙去脉，做到一事一证，事实清楚，证据确凿。三是审计定性依据、处理结果能够说清楚。对被审计单位的意见与要求能够说得明白。四是审计建议能够说清楚。要能对审计中查出的问题或现象，进行深入地剖析，查找深层次的原因，提出有针对性、可操作的审计意见和建议，以满足不同层面的需求，促进审计成果转化。

六、文字写作能力。

计算机审计人员要能够对审计过程中利用计算机审计发现问题的事实、定性、处理处罚以及审计建议在审计报告中进行准确的表述，同时，计算机审计人员还应该及时总结开展计算机审计的方法及经验，编写AO应用实例及计算机审计方法，这些都需要计算机审计人员具有较强的文字写作能力，对审计专业方面的内容能够准确、清晰、简练的进行表述。具体来说，应达到三项要求：一是要重视谋划布局。审计文书不是资料的简单堆积，更不是任意地罗列。要精心设计撰写提纲，按公文要求分清段落，突出层次性，增强审计文书的内在逻辑性。同时，要笔墨均衡，保证文章的整体性。二是要简明扼要、通俗易懂。审计文书实质是法律文书的一种，简明扼要、严谨是法律文书的共性。切不可冗长，总怕别人看不明白，画蛇添足。

同时，要注意改进文风，切不可数字连串、专业术语连篇。对于报告中涉及到的比较生疏的专业术语或一些主要数据的勾稽关系，一定要加以注明，防止让人越看越糊涂，不得要领。三是用词规范、严谨。不用或尽可能少用形容词、词意表达不准确的词或生疏的字、词。对问题的定性语要认真推敲，从法律角度、政策规定角度进行考证。

信息系统审计师是：国际注册信息系统审计师的简称，也称为IT审计师，是指获得信息系统审计和控制协会颁发的CISA资格证书的专业人士。

随着计算机技术在管理中的广泛运用，传统的管理、控制、检查和审计技术都面临着巨大的挑战。

在信息技术突飞猛进的网络时代，国际会计公司、专业咨询公司和高级管理顾问都将控制风险、特别是控制计算机环境风险和信息系统运行风险作为现代审计、管理咨询和服务的重点。

由于普遍使用大型管理信息系统，几乎所有的大型跨国公司，都非常重视对信息系统安全和稳定性的控制，常常高薪聘请IT审计师进行内部审计。在网络经济迅猛发展的今天，IT审计师已被公认为全世界范围内非常抢手的高级人才。

职责如下：

一、信息系统审计师首先要关注信息安全。采用各种方法来测试系统的安全性，并对来自内部和外部的安全隐患提出相应对策。

二、信息系统审计师还要关注信息系统的稳定性。会提出一系列对策保证客户信息系统的万无一失。

三、信息系统审计师最擅长鉴别信息系统的有效性。最安全和最稳定的系统不一定是最有效的系统，而效率不高的系统就会消耗企业大量的资源，信息系统审计师的优势就是对财经管理和信息技术融会贯通，为企业信息系统的改造提供建议。