信息系统审具体准则28号.doc

内部审计具体准则第28号 —信息系统审计 第一章?? 总? 则 　　第一条　为了规范组织内部审计机构及人员开展信息系统审计活动，保证审计质量，根据《内部审计基本准则》制定本准则。 　　第二条　本准则所称信息系统审计，是指由组织内部审计机构及人员对信息系统及其相关的信息技术内部控制和流程开展的一系列综合检查、评价与报告活动。 　　第三条　本准则适用于各类组织的内部审计机构、内部审计人员及其从事的信息系统审计活动。 第二章?? 一般原则 　　第四条　信息系统审计的目的是通过实施信息系统审计工作，对组织是否达成信息技术管理目标进行综合评价，并基于评价意见提出管理建议，协助组织信息技术管理人员有效地履行其受托责任以达成组织的信息技术管理目标。组织的信息技术管理目的是保证组织的信息技术战略充分反映该组织的业务战略目标，提高组织所依赖的信息系统的可靠性、稳定性、安全性及数据处理的完整性和准确性，提高信息系统运行的效果与效率，合理保证信息系统的运行符合法律法规及监管的相关要求。 　　第五条　组织中信息技术管理人员的责任是信息系统的开发、运行和维护以及信息技术相关的内部控制的设计、执行和监控；信息系统审计人员的责任是实施信息系统审计工作并出具审计报告。 　　第六条　从事信息系统审计人员的专业胜任能力是指在信息系统审计领域，胜任管理层与其他利益方的委托、履行其信息系统审计职能所应拥有的相关知识、技能和素质。信息系统审计人员应当熟悉内部审计业务并具备必要的信息技术及信息系统审计的专业知识。此外，审计项目负责人员应具有三年以上信息系统审计相关工作经验，或六年以上相关业务的从业经验。由于组织特殊性而产生的例外情况，应当获得组织管理层的特别授权。组织应当建立信息系统审计人员培训制度，鼓励审计人员取得注册信息系统审计师等执业资格，以保证审计人员的专业胜任能力。必要时，信息系统审计可利用外部专家的服务。 　　第七条　信息系统审计可作为独立的审计项目组织实施、或作为综合性内部审计项目的组成部分实施。 　　第八条　信息系统审计划分为以下阶段：审计计划阶段、审计实施阶段、审计报告与后续工作阶段。 　　第九条　审计人员应采用以风险为导向的审计方法进行信息系统审计，风险评估应贯穿审计的计划、实施、报告与后续工作各个阶段。 第三章?? 审计计划 　　第十条　内部审计人员在执行信息系统审计之前，需要确定审计目标并初步评估审计风险，估算完成信息系统审计或专项审计所需的资源，确定重点审计领域及审计活动的优先次序，明确审计组成员的职责，并以此制定信息系统审计计划。 　　第十一条　　制定信息系统审计计划时，应遵循其他相关内部审计具体准则规定的因素，同时针对信息系统审计的特殊性，审计人员还应充分考虑以下因素： 　　（一）　高度依赖信息技术、信息系统的关键业务流程及相关的组织战略目标； 　　（二）　信息技术管理的组织架构； 　　（三）　信息系统框架和信息系统的长期发展规划及近期发展计划； 　　（四）　信息系统及其支持的业务流程的变更情况； 　　（五）　信息系统的复杂程度； 　　（六）　以前年度信息系统内、外部审计等相关的审计发现及后续审计情况。 　　第十二条　　信息系统审计作为综合性内部审计项目的一部分时，审计人员在审计计划阶段还应综合考虑相关内部审计的审计目标及要求。 第四章?? 信息技术风险评估 　　第十三条　　进行信息系统审计时，审计人员应当识别组织所面临的与信息技术相关的内、外部风险，并采用适当的风险评估技术与方法，分析及评价其发生的可能性及影响程度，为确定审计目标、范围和方法提供依据。 　　第十四条　　信息技术风险是指组织在信息处理和信息技术运用过程中产生的、可能影响组织目标实现的各种不确定因素。信息技术风险包括组织层面的信息技术风险、一般性控制层面的信息技术风险及业务流程层面的信息技术风险等。 　　第十五条　　审计人员在识别、评估组织层面、一般性控制层面的信息技术风险时需要关注以下几方面： 　　（一）　业务关注度，即组织的信息技术战略与组织整体发展战略规划的契合度以及信息技术（包括硬件及软件环境）对业务和用户需求的支持度； 　　（二）　信息资产的重要性； 　　（三）　对信息技术的依赖程度； 　　（四）　对信息技术部门人员的依赖程度； 　　（五）　对外部信息技术服务的依赖程度； 　　（六）　信息系统及其运行环境的安全性、可靠性； 　　（七）　信息技术变更； 　　（八）　法律规范环境； 　　（九）　其他。 　　第十六条　　业务流程层面的信息技术风险受行业背景、业务流程的复杂程度、上述组织层面及一般性控制层面的控制有效性等因素的影响而存在差异。一般而言，审计人员应了解业务流程并关注以下几方面信息技术风险： 　　（一）　数据输入； 　　（二）　数据处理； 　　（三）　数据