信息系统审计理论与实务.pptVIP

组织管理审计目标与程序 审计目标： （1）确认企业是否制订了信息系统规划，规划是否得当 （2）确定职责划分是否合理，不相容职责是否相分离，确定职责划分是否认真执行。 审计程序 （1）获取被审计单位的信息系统规划文档，分析其规划是否得当，能否支持企业目标，满足业务活动需求和信息需求 （2）审阅组织结构文件，如组织结构图、重要岗位的工作描述和作业流程，确认各项职责划分是否合理，不相容职责是否进行了严格的分离 （3）实地观察与组织控制相关的作业活动，确认各项关键职能工作是否有由不同员工担任，以及职责分离政策是否在实际作业活动中得以贯彻落实 （4）观察员工的操作是否符合流程描述 （5）检查用户权限，确认有关人员的权限是否与其工作描述一致。 第三十页，共六十二页。 信息中心的职责分离矩阵 第三十一页，共六十二页。 操作系统的审计目标与程序 操作系统的审计目标： （1）验证访问权限的分配是滞与不相容职责分离的要求相一致，并符合企业的政策 （2）确认企业是滞有恰当和有效的口令控制对操作系统的访问 （3）确定管理政策、程序和控制步骤是否严密有效，是否能防护操作系统不受硬件失灵，软件差错、人为故障和病毒侵蚀等因素干扰 审计程序： （1）查阅企业有关不相容职责的分离政策，确定其能否实现合理的安全水平 （2）检查是否建立操作系统口令制度，对口令的授予和更改程序是否合理得当 （3）查阅员工招聘记录，检