正版现货新书 信息系统审计 9787121437717 朱谱熠

1.1信息系统审计概述

1.1.1信息系统审计的概念

审计是经济发展到一定阶段的产物，随着经济和社会的进步也在不断地发生着变化，但许多人仍然把审计理解为对会计账目的监督。实际上，审计是指具有一定资格的独立机构或个人接受委托，客观地收集和评价特定经济实体的可衡量的信息证据，从而确定这些信息与既定标准的遵从程度，并向利益相关者报告。因此，在现代经济中审计的类型是多种多样的，包括财务报表审计、绩效审计、法律合规审计、内部审计和企业审计等。

信息系统审计(Information System Audit)是指在信息系统从计划、研发、实施到运行维护的整个过程中，审计人员依据公认的规范或准则对信息系统各方面进行审查和评价，以判断计算机系统是否能够保证资产的安全，数据的完整、真实、合法，以及有效率地利用资源并有效果地实现组织目标的过程。

为什么需要信息系统审计呢？随着社会的发展和科技的进步，近年来伴随着“工业4.0、智能制造、互联网+制造”等诸多概念更加深入地融入以制造业为代表的中国传统企业中，企业的业务流程对信息系统的依赖性逐渐变强，信息系统成为企业业务处理的核心系统。不止企业如此，现代社会生产生活的各个环节和实体要维持其正常运转，都不同程度地需要信息系统提供支持，而信息系统自产生以来便始终伴随着各种安全问题，与其他审计对象的风险相比，信息系统的风险更具破坏性和隐蔽性，舞弊的手段和方法也更为先进。如果不采取严格的质量控制标准或措施，即使是很小的程序代码漏洞或控制的缺失，都可能导致整个信息系统崩溃，造成巨大的经济损失。企业或组织更加关注财务与信息安全的平衡性，不会为了一味地降低成本而牺牲信息安全，因而信息系统审计在企业或组织中发挥着愈加重要的作用。

例如，2008年，法国第二大银行兴业银行一名精通计算机的交易员入侵银行计算机系统，进行未经授权的交易，造成49亿欧元的损失，几乎相当于银行一年的总收入。这是历史上单个交易员造成的最大损失，超过英国巴林银行一名交易员通过开设系统隐蔽账户，大肆进行日经指数期货和利率期货交易造成的巴林银行破产的14亿美元损失；再比如UT斯达康深圳分公司的一名工程师，轻松绕过耗资1.2亿元的网络安全防护系统，入侵了北京移动通信公司充值中心的数据库，通过修改充值卡的数据、盗取充值卡密码，然后通过淘宝、QQ进行售卖，导致北京移动通信公司损失近380万元。

因此，信息的真实性、安全性和绩效性被管理者高度重视。然而，由于专业能力等诸多因素的制约，信息系统使用者自身无法验证信息质量，无法对信息系统的抗风险能力做出准确评估，需要借助第三方独立专业机构，提高信息系统资产的安全性，确保业务数据的完整性，提高系统的整体效率和法律合规性。因此，信息系统审计这个由审计师收集并评估证据，以判断信息系统是否有效做到保护信息资产的真实和安全、维护数据完整、保障信息系统有效运行、完成既定组织目标的行业应运而生，并迅速获得了业界的认可。

综上所述，信息系统审计是基于风险导向审计的理论和方法。信息系统审计师面临着审计什么、何时审计以及如何帮助信息系统管理者管理和控制风险，以实现组织战略目标的问题。

1.1.2信息系统审计的特点

信息系统审计作为信息系统环境下新的审计模式，其产生和发展与信息化的发展密不可分，主要特点如下：

1.从审计实施时间看，信息系统审计是贯穿事前、事中和事后审计的全过程审计传统的财务审计通常是注册会计师对被审计单位前一周期的财务情况进行的审计，属于事后审计。而信息系统审计是事前、事中和事后审计兼而有之。比如信息系统在规划设计时，由审计人员介入所进行的审计属于事前审计；在信息系统开发过程中所进行的审计属于事中审计，同时此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对系统的运行维护情况所进行的审计则为事后审计。因而，信息系统审计贯穿于信息系统生命周期的全过程。

2.信息系统审计拓展了传统审计的对象和内容

信息系统审计的对象是全面而复杂的。从信息系统的生命周期看，包含信息系统从开发、运行和维护的全生命周期的各种业务；从信息系统的各阶段来看，包含对系统的长期和短期规划审计、软硬件的获取审计、内部控制审计、安全审计和绩效审计。从这个角度看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同生产经营活动有关的所有信息系统及其内部控制环境。

3.信息系统审计拓展了传统审计的目标

传统审计目标仅仅包括“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号——计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”。由此可见，电子数据处理审计、电算化审计和计算机辅助审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括审查和评价信息资产的安全性、数据的真实性和完整性，以及系统的可靠性和绩效性。