內審人員開展信息系統審計指南針

在大智移云的今天，隨著各類組織加快上系統、上云，內部審計作戰的陣地也加快由賬簿、制度向信息系統轉變。當前受具有IT專業背景的內審同仁占比較少、信息系統審計的實踐相對偏少、且各組織信息系統審計實踐呈現參差不齊的狀態等因素影響，信息系統審計需求的不斷增長與有效供給顯著不足的矛盾愈來愈突出，已成為困擾內審同仁的一大痛點。為了解決這一痛點，將行業標桿關于信息系統審計的至佳實踐賦能內審同仁，通過規范性的操作規程和方法，以規范信息系統審計行為，控制審計工作風險，提高審計工作效率和質量，更好地為組織的戰略目標服務，更充分地發揮新時代內部審計的價值，中國內部審計協會組織編寫了《第3205號內部審計實務指南——信息系統審計》（以下簡稱《指南》）。

為幫助內審人員進一步了解《指南》的特點和主要內容，推動《指南》的學習和應用，我們邀請了《指南》起草人為您做如下解讀。

一、《指南》的主要特點

《指南》共分六章、14萬余字，看起來像一部大部頭的書，也許有的同仁一看就怕了，覺得離自己太遠，心想：我不是學IT的，估計看不懂；IT雖然我略懂一二，但指南估計寫得很枯燥；我是做IT審計實務的，理論性的指南管用嗎？這么厚的指南，我什么時間能看完啊？還是不看了吧……

如果您有上述對《指南》的刻板印象，估計起草者要難過了……事實上，起草者從開始醞釀該指南的那天起，就定下了簡明易懂好用的原則，就是想讓同仁們真正懂指南、用指南，幫助同仁解決信息系統審計中遇到的實際困難和實際問題。

首先，《指南》盡可能減少使用復雜的專業術語，少量的專業術語也均給出了釋義，深入淺出，很容易理解。

其次，《指南》立足于審計實務，解決實際問題，幾乎沒有看起來空洞復雜的理論，和日常的審計工作息息相關。

第三，《指南》以風險為基礎，以內部控制為重點，審計的思路、方法與常規的審計工作是相通的，完全不難理解。

第四，《指南》以用戶為導向，堅持易于操作的原則，對各方面的審計列出了常見問題和風險清單，方便應用和操作。

第五，《指南》堅持源于實踐、遵循中國內部審計協會2014年發布實施的《信息系統審計準則》的思路，根據信息化不斷演進變化的實際情況做適當拓展，您不僅能看到常見的信息系統審計內容，而且能了解到云安全、數據安全、移動互聯網安全、物聯網安全等新興的審計內容。

第六，《指南》涵蓋了當下信息系統審計的絕大部分的內容，也許有些工作在您的組織中還并未開展，但《指南》的前瞻性和指導性一定會為您在實際工作中提供有益的幫助。

所以，希望您擯棄對《指南》的刻板印象，學習《指南》，應用《指南》。因為，這本具有全面性和系統性特點的《指南》能幫助您解決信息系統審計實踐中遇到的問題和困惑，為您拓寬視角，打開思路。

二、《指南》有什么？

《指南》共分六章，其中：

第一章介紹了信息系統審計的基本概念、內容體系和審計程序等基礎理論，提出了關于信息系統審計的總體概念框架。看完本章，您會對信息系統審計的目標、原則、特點、內容、程序、方法、工具等有全面的了解。

第二章介紹了組織層面信息系統管理控制審計。組織層面信息系統管理控制是企業信息化設計與建設的關鍵。看完本章，您不僅會對堪稱組織信息化建設頂層設計的信息系統治理審計、信息系統與業務目標一致性審計深入了解，而且會對信息系統投資與績效、組織與制度、風險管理、項目管理等審計有更深入的認識。

第三章介紹了信息系統一般控制審計。看完本章，您將登堂入室，對于應用系統開發、測試與上線，信息系統運維與服務管理，信息安全管理等傳統的IT審計項目，有了比較全面的掌握。

第四章介紹了信息系統應用控制審計。看完本章，您將曲徑通幽，對于核心業務流程控制，應用系統輸入控制、處理控制、輸出控制，信息共享與業務協調等審計內容，有了更清晰的工作路徑。

第五章介紹了信息系統相關專項審計。這一章，基礎與升級并存。既有常見的信息科技外部審計、災備與業務連續性審計、關鍵信息基礎設施安全審計等專項審計的內容，又有云安全審計、數據安全審計、移動互聯網安全審計、工控系統安全審計、物聯網安全審計等新興安全審計的內容。如果您能對這一章的內容應用自如，您將成為一名資深IT審計專家。

第六章介紹了信息系統審計的質量控制。審計質量是審計工作的生命線。無論是傳統審計，還是信息系統審計，都要強化審計的質量控制。一方面，要加強審計全過程的質量控制；另一方面，還要加強審計人員的專業勝任能力培養。

附錄包含了本指南中的相關術語、主要法規參考標準及相關實務案例。通過這部分的繼續學習，您既可以了解更多關于信息系統審計的法規、標準、文獻，又可以將信息系統審計的計劃、方案拿來所用。

三、《指南》怎么用？

如果您正在從事信息系統審計工作，《指南》可以作為您的工具書，時常用來參考，結合您所在組織實際情況，進一步拓展您工作的寬度和深度。

如果您希望了解和學習信息系統審計知識經驗，《指南》可以作為您的教科書，全面系統地幫您補足短板。

如果您是其他組織或者人員接受委托、聘用，承辦或者參與內部審計業務的人員，《指南》可以作為您參考的工作標準，指導您為客戶交付更好的審計成果。

如果您是信息系統的設計者、建設者或管理者，《指南》可以作為您的“燈塔”，指引您正確設計、建設和運維，避開盲目建設、重復建設、信息孤島、信息安全事件等“暗礁”和“漩渦”。

《指南》由中國內部審計協會組織，由中國石油化工集團審計部和北京谷安天下科技有限公司共同編寫，歷時兩年半時間完成。希望《指南》能為更多內審同仁賦能。同時，也希望更多同仁在學習和應用《指南》的過程中，提出進一步完善的意見和建議，不斷推動信息系統審計實踐的深入發展。

附件：第3205號內部審計實務指南——信息系統審計.pdf