信息技术审计与评估手册（执行版）.docxVIP

信息技术审计与评估手册（执行版）

第1章审计目标与范围界定

1.1信息技术审计核心目标阐述

信息技术审计的核心目标是为了评估信息系统在支持组织运营过程中，是否按照既定的控制政策和程序有效运行，同时确保关键业务数据的完整性、准确性与安全性，最终实现业务连续性与信息资产保值增值。在数字化时代，审计目标已从传统的财务合规扩展至全生命周期的“合规+安全+效率”三维目标，即不仅要验证系统逻辑正确，还要确保系统架构符合最新的安全标准，并支持业务的高并发与低延迟需求。

具体而言，审计目标包含三个层次：第一层是操作层目标，确保日常业务处理流程无重大异常；第二层是控制层目标，验证关键控制点（CCP）是否被执行；第三层是战略层目标，评估系统对组织数字化转型的贡献度及风险敞口水平。审计目标的实现依赖于明确“做什么”和“不做什么”，即界定审计范围，避免审计师陷入无休止的系统功能测试中，而是聚焦于与审计目标相关的控制有效性、数据治理及风险管理领域。对于大型集团企业，信息技术审计的目标往往还涉及跨部门协同与数据共享的合规性检查，确保不同子公司或部门间的数据交换符合统一的审计策略和监管要求。

最终，审计目标需转化为可量化的交付物，如审计报告中的风险评级、控制测试样本量、数据修复清单及系统优化建议，而非单纯的口头确认。

1.2审计范围确定原则与方法

确定审计范围的首要原则是“重要性