信息系统审计

党的十八大以来，随着我国经济快速发展和新一代信息技术的崛起，我国信息化建设已经遍
及政治、经济、文化、社会等各领域，为国家治理体系和治理能力现代化提供了充分保障。为强化对各类信息系统的审计监督，中华人民共和国第十三届全国人民代表大会常务委员会第三十一次会议于2021年10月23日通过了修订的《中华人民共和国审计法》，该法案提出，审计机关有权检查被审计单位信息系统的安全性、可靠性、经济性，这为开展信息系统审计奠定了重要的法律基础。因此，应当建立我国自己的信息系统审计职业队伍，加强信息系统的审计监督，促进信息系统组织目标的实现。为此，中国计算机用户协会政务信息化分会组织编写了《信息系统审计》一书，这本书作为信息系统审计职业队伍的培训教材，也是对当前国家启动新职业政策的积极响应。
本书借鉴国外信息系统审计理论和中国信息系统审计实践的发展需要，构建了中国的信息
系统审计知识体系和技能体系，组建信息系统审计职业队伍，为国家治理体系和治理能力现代化建设提供支撑。在“信息系统审计”教学大纲指导下，本书内容主要体现6个方面的30个主题：一是信息系统审计，包括①信息系统审计概论；②信息系统法规知识；③承载业务专业知识；④信息系统技术知识；⑤信息系统审计知识。二是信息系统管理控制审计，包括⑥组织管理控制审计；⑦项目立项控制审计；⑧项目实施控制审计；⑨项目投资控制审计；⑩项目验收控制审计； 项目绩效控制审计。三是信息系统应用控制审计，包括应用规划控制审计；应用能力控制审计；信息资源控制审计；分析模型控制审计；新技术运用控制审计。四是信息系统网络控制审计，包括网络系统控制审计；计算系统控制审计；存储系统控制审计；备份系统控制审计；机房系统控制审计。五是信息系统安全控制审计，包括网络安全控制审计；等级保护控制审计；风险评估控制审计；应急预案控制审计。六是信息系统审计案例，包括信息系统审计案例概述；管理控制审计案例；应用控制审计案例，网络控制审计案例；安全控制审计案例。
信息系统审计机构和审计人员依据国家对信息系统的法规类、标准类、规则类控制规定，按
照信息系统的审计程序、审计方法、审计判断、审计质量的要求，通过对信息系统的管理控制、应用控制、网络控制、安全控制的审计检查，提出审计意见和建议，促进可靠性、安全性、经济性组织目标的实现。信息系统审计师应当了解和掌握信息系统审计的法规知识、专业知识、技术知识和审计知识，不断提升审计实践能力。信息系统建设和运维中存在的关键问题和关键技术，将通过信息系统高级审计师的关键技术突破性攻关逐步解决。在提升信息系统审计人员综合素质的同时，不断推进信息系统审计机构的基本能力、管理能力、实施能力、报告能力和质量控制能力，推进我国信息系统审计职业队伍的壮大，提升信息化治理体系和治理能力现代化的能力。
本书的编写人员为周德铭（提出审计教材的体系框架，负责第三章“应用控制审计”、第六章“信息系统审计案例”的编写），石跃军（负责第二章“管理控制审计”、第五章“安全控制审计”的编写），曹洪泽（负责章“信息系统审计总论”、第四章“网络控制审计”的编写）。唐群、赵进延、信息系统审计机构和审计人员依据国家对信息系统的法规类、标准类、规则类控制规定，按照信息系统的审计程序、审计方法、审计判断、审计质量的要求，通过对信息系统的管理控制、应用控制、网络控制、安全控制的审计检查，提出审计意见和建议，促进可靠性、安全性、经济性组织目标的实现。信息系统审计师应当了解和掌握信息系统审计的法规知识、专业知识、技术知识和审计知识，不断提升审计实践能力。信息系统建设和运维中存在的关键问题和关键技术，将通过信息系统高级审计师的关键技术突破性攻关逐步解决。在提升信息系统审计人员综合素质的同时，不断推进信息系统审计机构的基本能力、管理能力、实施能力、报告能力和质量控制能力，推进我国信息系统审计职业队伍的壮大，提升信息化治理体系和治理能力现代化的能力。
本书的编写人员为周德铭（提出审计教材的体系框架，负责第三章“应用控制审计”、第六章“信彭维民对本书、信息系统审计团体标准和相关实施规则的撰写与培训等工作给予了大力指导和支持。工业和信息化部原副部长杨学山为本书撰写了序，审计署原副审计长石爱中、中国工程院院士沈昌祥给予了大力指导；本教材得到了计算机用户协会王智玉、胡帆、张保印、吴幼毅、刘建国、顾炳中、陈天晴、陆锡林、李忱、孔祥清、杜维成、胡鹏举等的热情帮助，在此一并表示感谢！
由于我国正在构建信息系统审计的知识体系和技能体系，《信息系统审计》一书仅仅提出了
体系框架，一定存在诸多不足，需要在日后审计实践中不断发展和调整扩充，也敬请各位读者多多批评和指导。

《信息系统审计》编写组
2021年11月

《信息系统审计》是基于我国政治、经济、文化、社会各行业信息系统的发展和国家网络安全的需要，构建我国自己的信息系统审计职业队伍，对信息系统的管理控制、应用控制、网络控制、安全控制等进行审计，提出审计意见和建议，保障我国信息系统的可靠性、安全性、经济性组织目标的实现。

周德铭，经济专业研究生，高级经济师兼任大学教授，长期从事财务和审计业务工作，2000年任审计署办公厅副主任（巡视员）兼审计署信息化建设领导小组办公室主任，是金审工程一期和二期项目的责任人。2011年退休后， 在兼任中国审计学会计算机审计分会会长、中国计算机用户协会政务信息化分会会长期间，研究、编辑了《信息系统审计》，组织开展了组建我国信息系统审计职业队伍的培训和建设。

章信息系统审计总论
节信息系统审计概论
第二节信息系统的法规知识
第三节承载业务的专业知识
第四节信息系统的技术知识
第五节信息系统的审计知识
第二章管理控制审计
节组织管理控制审计
第二节项目立项控制审计
第三节项目实施控制审计
第四节项目投资控制审计
第五节项目验收控制审计
第六节项目绩效控制审计
第三章应用控制审计
节应用规划控制审计
第二节应用能力控制审计
第三节数据资源控制审计
第四节分析模型控制审计
第五节新技术运用控制审计
第四章网络控制审计
节网络系统控制审计
第二节计算系统控制审计
第三节存储系统控制审计
第四节备份系统控制审计
第五节机房系统控制审计
第五章安全控制审计
节网络安全控制审计
第二节等级保护控制审计
第三节风险评估控制审计
第四节应急预案控制审计
第六章信息系统审计案例
节信息系统审计案例概述
第二节管理控制审计案例
第三节应用控制审计案例
第四节网络控制审计案例
第五节安全控制审计案例