S10 信息技术管理.pdfVIP

信息系统审计标准 信息技术管理 文件号 S10 信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以实现这个目标 是信息系统审计与控制协会（ISACA?）的宗旨之一。信息系统审计标准的发展和传播是ISACA为审计业界作出专业贡献的基础。信息系统审计 标准的框架提供了多层次的指引： ? 标准为信息系统审计和报告定义了强制性的要求。它们宣告： – 根据ISACA职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。 – 管理层和其他利益方对执业者在专业工作上的期待。 – 认证信息系统审计师（CISA?）资格持有人的相关特定要求。CISA资格持有人未能遵守上述标准的可能会导致ISACA董事会或相应ISA CA委员会对其进行调查直至最终的纪律处分。 ? 指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离标准的做法 应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。 ? 程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的 信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。 CobiT?资源应被当作最佳操作实施指南的来源。CobiT框架强调，“保护企业的所有资产是管 理层的责任，为履行这一责任以及实现企业的期望，管理层必须建立起一套完善的内部监 控体系。” CobiT为信息系统管理环境提供了详细的监控和监控方法。 基于特殊的CobiT信息技术程序选择和对CobiT信息标准的考虑来选用与特定审计范围最相关的 材料。 依CobiT框架中所定义，以下各项由IT管理程序进行组织。CobiT为商业及IT管理层以及信息系统审计师而计 ，所以它的运用有助于商业目标的理解，最佳操作实施的交流和围绕已经达成共识和广受尊重的标准参考体系的意见的形成。COBIT包括： ? 监控目标—广义上所需达到的最低限度良好监控之总括和详述。 ? 监控实施—监控目标的实务原理和“如何实现”监控目标的指南。 ? 审计指南—对于不同监控领域，如何理解和评估各种监控，考核监控的符合性和证实失控风险的指南。 ? 管理方针—如何运用成熟度模型，指标和关键性成功因素等方法来评估和提高IT程序执行绩效的指南。它们提供一种针对管理层的框架 应用于连续性和自发性的监控自我评估，特别专注于： – 绩效衡量—IT功能支持商用需求效果如何？管理方针既可用于支持自我评估的专题研讨，也可被管理层作为IT管治方案的一部分， 用以支持持续监督和程序改进的推行。 – IT监控概况—哪些IT程序是重要的？哪些是监控的关键性成功因素？ – 监控意识—达不到目标会有哪些风险？ – 监控基准—其他人做了什么？如何衡量和比较结果？管理方针提供了对IT绩效的范例指标，可用于商业意义上对IT执行绩 效的评估。关键的目标指标可以识别并衡量IT程序的成果，同时关键的执行绩效指标可以通过衡量程序的实现者来评估程序的执行 绩效。透过成熟度模型和成熟度属性提供能力评估和基准，帮助管理层衡量监控能力，找到差距并提出相应改善策略。 术语表可在ISACA的网站：/glossary上查阅。审计和审查这两个词可以互换使用。 免责声明根据ISACA职业道德规范中对职业责任的规定，ISACA设计本指南作为执行绩效所应达到的最低标准。ISACA并未声明使用此产品一定 会出现成功的结果。本出版物不能被视作包括所有合适的程序和测试，也不能被视作排斥通过合理引导获得同样结果的其它程序和测试。在决 定任何具体的程序或测试的合理性时，监控专业人士应根据其自身的专业判断来