一、什么是信息系統(tǒng)審計

　　信息系統(tǒng)審計是一個獲取并評價證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整，以及有效率地利用組織的資源并有效果地實現(xiàn)組織目標的過程（國際信息系統(tǒng)審計與控制協(xié)會ISACA的定義）。

　　目前審計機關信息系統(tǒng)審計主要有兩種方式，一種是將信息系統(tǒng)審計作為常規(guī)審計的一部分，為實現(xiàn)審計項目的總體目標服務，即數(shù)據(jù)審計、信息系統(tǒng)審計和系統(tǒng)內部控制審計“三位一體”的結合方式。信息系統(tǒng)審計和系統(tǒng)內部控制審計為數(shù)據(jù)審計服務，通過審計數(shù)據(jù)得出結論。另一種是獨立立項的，直接審計信息系統(tǒng)本身的安全性、可靠性和有效性。

　　二、為什么要開展信息系統(tǒng)審計

　　信息系統(tǒng)審計作為國家審計機關的一項重要工作，是信息化發(fā)展到一定程度的必然產(chǎn)物。

　　（一）開展信息系統(tǒng)審計是控制審計風險的要求。近幾年，審計紙質賬目時，內部控制也要審計，不能假賬真審。同樣的道理也不能假電子數(shù)據(jù)真審，如果被審計單位運載電子數(shù)據(jù)的信息系統(tǒng)的安全性、可靠性和有效性出現(xiàn)了問題，計算機數(shù)據(jù)審計就會存在風險，系統(tǒng)的可信與可靠程度是數(shù)據(jù)審計得以進行的前提和最終實現(xiàn)的基本條件。

　　（二）開展信息系統(tǒng)審計是全面履行審計職責的要求。信息化環(huán)境下的審計，電子數(shù)據(jù)、信息系統(tǒng)、系統(tǒng)內部控制審計必須“三位一體”，在審計過程中，這三項內容不能少。只有這樣，我們才能完成審計署黨組強調的“全面審計，突出重點”的要求，全面履行審計職責。

　　三、現(xiàn)階段如何開展信息系統(tǒng)審計

　　（一）提高全體審計人員信息系統(tǒng)審計的意識。

　　“審計人員不掌握計算機技術，將失去審計資格”這一觀點基本得到了八萬審計人員的認同，這些年計算機在審計領域得到了普遍的應用，數(shù)據(jù)審計得到了有力的推進，但大多數(shù)人對于信息系統(tǒng)審計的認識還不到位，對開展信息系統(tǒng)審計的必要性、緊迫性認識不足，甚至對開展信息系統(tǒng)審計的可行性持懷疑態(tài)度。為保證信息系統(tǒng)產(chǎn)生的數(shù)據(jù)真實完整，信息系統(tǒng)的安全、可靠和有效是前提，重大的審計項目，只要被審計單位應用的是信息系統(tǒng)，我們就必須審計信息系統(tǒng)，檢查系統(tǒng)內部控制，只有這樣才能防止假賬真審。

　　（二）學習國外先進的信息系統(tǒng)審計理論。

　　國際上的信息系統(tǒng)審計已經(jīng)發(fā)展多年，信息系統(tǒng)審計最早出現(xiàn)于美國。20世紀60年代，人工數(shù)據(jù)處理開始轉向電子數(shù)據(jù)處理，產(chǎn)生了電子數(shù)據(jù)審計，可以看作是信息系統(tǒng)審計的雛形；20世紀90年代以來，隨著計算機信息系統(tǒng)的應用，出現(xiàn)了信息系統(tǒng)審計。成立于1969年的美國信息系統(tǒng)審計與控制協(xié)會ISACA，于1996年推出了用于“IT審計”的知識體系COBIT，作為IT治理的核心模型，COBIT包含34個信息技術過程控制，歸集為四個控制域：IT規(guī)劃和組織、系統(tǒng)獲得和事實、交付與支持以及信息系統(tǒng)運行性能監(jiān)控。COBIT目前已成為國際上公認的IT管理與控制標準。ISACA協(xié)會制定了信息系統(tǒng)審計職業(yè)道德規(guī)范、準則、指南和程序。通過學習國外經(jīng)驗，以去粗取精，去偽存真，可以使我們信息系統(tǒng)審計理論與實踐少走彎路，節(jié)約時間和資源。

　　（三）分層次進行信息系統(tǒng)審計人才的培養(yǎng)。

　　信息系統(tǒng)審計人才的培養(yǎng)應從三個方面入手：一是信息系統(tǒng)審計領軍人才的培養(yǎng)。信息系統(tǒng)審計是信息化環(huán)境下一種新的審計模式，是審計方式的重大變革，廳局長、處長的科學指導是這項工作得以開展的重要前提，可以通過短期培訓提高他們信息系統(tǒng)審計的意識，知曉通常的審計項目中，如何安排信息系統(tǒng)審計的內容。

　　二是信息系統(tǒng)審計師資的培訓。信息系統(tǒng)審計是一個交叉學科，要求教師既懂得信息科學的理論又通曉審計實務，可采取選拔優(yōu)秀高校教師參加具體的審計項目，具備一定的審計實際經(jīng)驗后擔當此任，也可以采取在審計署范圍內選拔具有信息系統(tǒng)審計實際經(jīng)驗的計算機審計骨干，通過短期理論培訓走上講臺的方式，這兩種師資隊伍相比較而言，前者注重傳授理論，后者注重介紹審計實踐，只有這樣才能保證科學嚴謹、前后一致、各有側重。

　　三是信息系統(tǒng)審計專業(yè)人才的培養(yǎng)。可通過選送具有計算機專業(yè)背景的審計人員和通過審計署計算機中級考試的業(yè)務骨干參加審計署信息系統(tǒng)審計培訓班的方式，培養(yǎng)信息系統(tǒng)審計專業(yè)人才，培訓班學員應具備軟件工程、信息安全等方面的預備知識，培訓課程的安排可參照ISACA協(xié)會的COBIT標準，包括IT治理、信息系統(tǒng)開發(fā)過程審計、信息系統(tǒng)一般控制審計和信息系統(tǒng)應用控制審計等內容，可結合具體的信息系統(tǒng)審計案例講解。通過培訓使學員能夠編制信息系統(tǒng)審計方案，擔任信息系統(tǒng)審計主審。

　　（四）努力探索信息系統(tǒng)審計實踐。

　　一是調動全國審計系統(tǒng)力量，上下共同努力探索信息系統(tǒng)審計實踐。每年可由審計署機關領導擔任項目組長，在全國范圍內抽調信息系統(tǒng)審計高級人才開展一至兩個信息系統(tǒng)審計項目，同時鼓勵地方省廳、特派辦每年在署安排的項目中挑選一至兩個項目開展信息系統(tǒng)審計，繼續(xù)征集高水平的信息系統(tǒng)審計案例，充實信息系統(tǒng)審計案例庫。

　　二是分行業(yè)、分領域開展信息系統(tǒng)審計。不同行業(yè)、領域的信息系統(tǒng)開展的業(yè)務各不相同，都有其各自的特點，如金融、海關、稅務等，我們可以分領域進行人才的培養(yǎng)，由這些人才在各自的領域中探索信息系統(tǒng)審計的方法和程序，每個領域都要有意識地培養(yǎng)一兩個專家型的人才，并相對固定，每次審計都派這些人參加，以便起到事半功倍的效果。

　　三是將信息系統(tǒng)模塊化設計思想引入信息系統(tǒng)審計中。在信息系統(tǒng)審計中面對被審計單位龐大的信息系統(tǒng)，審計人員無從下手，有些信息系統(tǒng)被審計單位委托專業(yè)的軟件公司開發(fā)了好些年，中間又經(jīng)過了多次的改版升級，投入上億元資金，如銀行、高速公路等信息系統(tǒng)。面對這樣的“巨無霸”可采取模塊化的審計方法，目前被審計單位的信息系統(tǒng)絕大多數(shù)都是采取結構化設計方法，由若干個功能不同的模塊組合在一起，模塊設計原則是高內聚低耦合，模塊之間聯(lián)系少，每個模塊相對獨立，鑒于這種情況我們可以先挑選一些最重要的模塊來審，將這些審計資料保存下來，下次審計的時候再審另外一些模塊，同時對比上次審的模塊有無變化，最后達到審計的目標。

　　（五）盡快建立適合中國國情的信息系統(tǒng)審計理論和方法。

　　審計署早在三年前就提出對信息系統(tǒng)審計進行探索，三年來無論是實踐還是科研都將信息系統(tǒng)審計列為重點之一，通過將審計機關在信息系統(tǒng)審計方面的探索與國外的經(jīng)驗進行比較，發(fā)現(xiàn)國外的東西也僅能是借鑒。目前審計工作急需適合中國國情的信息系統(tǒng)審計準則和指南，這是信息系統(tǒng)審計進一步發(fā)展的要求，審計機關應加快進行信息系統(tǒng)審計方法體系研究，在實踐中不斷提煉總結，將審計人員的經(jīng)驗上升成理論與方法，逐步建立適合中國國情的信息系統(tǒng)審計理論和方法。

　　信息系統(tǒng)審計是審計發(fā)展的新路徑，目前還處于探索或嘗試階段，還有相當多的問題，需要進一步研究、解決。我們相信在審計署黨組的正確領導下，在全體審計人員的共同努力下，一定會走出一條具有中國特色的信息系統(tǒng)審計之路，任重而道遠！