信息系統(tǒng)審計師，也稱IT審計師或IS審計師，是指一批專家級人士，既通曉信息系統(tǒng)的軟件、硬件、開發(fā)、運營、維護、管理和安全，又熟悉經(jīng)濟管理的核心要義，能夠利用規(guī)范和先進的審計技術(shù)，對信息系統(tǒng)的安全性、穩(wěn)定性和有效性進行審計、檢查、評價和改造。IT審計師是由“國際信息系統(tǒng)審計與控制協(xié)會（ISACA）”認證的。ISACA是國際上惟一的信息系統(tǒng)審計師專業(yè)組織。會員被稱為信息系統(tǒng)審計師，也就是我們通常所說的IT審計師，其主要從事的工作包括：向客戶提供與信息系統(tǒng)相關(guān)的服務(wù)，在財務(wù)審計中對被審計單位的信息系統(tǒng)的了解、測試和評價以及計算機輔助審計技術(shù)的運用等方面。一般的IT審計師都具備全面的計算機軟硬件知識，對網(wǎng)絡(luò)和系統(tǒng)安全有獨特的敏感性，并且對財會和單位內(nèi)部控制有深刻的理解。

 

　　隨著計算機技術(shù)在管理中的廣泛運用，傳統(tǒng)的控制、管理、檢查和審計技術(shù)都受到巨大的挑戰(zhàn)，國際會計公司、專業(yè)咨詢公司和高級管理顧問都將控制風(fēng)險，特別是控制計算機環(huán)境風(fēng)險和信息系統(tǒng)運行風(fēng)險作為管理咨詢和服務(wù)的重點。幾乎所有的大型跨國公司，由于普遍使用大型管理信息系統(tǒng)，都非常重視對信息系統(tǒng)安全性和穩(wěn)定性的控制。這就常常需要高薪聘請國際信息系統(tǒng)審計師（簡稱IT審計師）進行內(nèi)部審計。因此，目前IT審計師已經(jīng)成為全球范圍最搶手的高級人才之一。

 

　　二、IT審計師的出現(xiàn)迎合了計算機審計的發(fā)展

 

　　計算機審計的發(fā)展一般要經(jīng)過繞過計算機審計，穿過、利用計算機審計，網(wǎng)絡(luò)審計三個階段。其中前兩個階段屬于計算機桌面審計系統(tǒng)。繞過計算機審計是指將計算機處理系統(tǒng)看作是一個“黑箱”。根據(jù)被審對象對計算機數(shù)據(jù)處理系統(tǒng)輸入的原始數(shù)據(jù)，通過手工操作，將處理結(jié)果于計算機處理系統(tǒng)的輸出進行對比，檢查其是否一致，屬于計算機審計的初級階段。穿過計算機審計是對計算機數(shù)據(jù)處理系統(tǒng)進行審計，包括系統(tǒng)目的與功能需求是否達到，系統(tǒng)分析與系統(tǒng)設(shè)計是否先進、科學(xué)和實用，程序設(shè)計是否正確可靠，內(nèi)部控制是否健全、可靠，管理制度是否嚴密、有效，文件資料是否齊全、完整等。利用計算機審計是為實施審計專門開發(fā)電子計算機程序，檢驗被審單位電子計算機程序的可靠性。網(wǎng)絡(luò)審計是指綜合運用計算機網(wǎng)絡(luò)及其相關(guān)技術(shù)手段對網(wǎng)絡(luò)經(jīng)濟及網(wǎng)絡(luò)系統(tǒng)進行審查的新型審計，是計算機桌面審計系統(tǒng)發(fā)展的高級階段。

 

　　隨著目前電子商務(wù)等網(wǎng)絡(luò)經(jīng)濟的發(fā)展和完善，網(wǎng)絡(luò)審計勢在必行。網(wǎng)絡(luò)審計的模式，從審計的客體角度方面，是建立在網(wǎng)絡(luò)基礎(chǔ)上，對被審單位一定時期內(nèi)全部或部分經(jīng)濟活動，特別是正在發(fā)展中的電子商務(wù)、電子金融、網(wǎng)絡(luò)財務(wù)、網(wǎng)絡(luò)會計等進行審計的計算機系統(tǒng)。它包括兩個方面：其一是對被審系統(tǒng)開發(fā)過程進行審計；其二是對被審系統(tǒng)運行過程及其結(jié)果進行審計。目前計算機審計的發(fā)展大多還處在只是對被審系統(tǒng)運行結(jié)果進行審計，或進一步對被審系統(tǒng)運行過程進行審計，這樣的審計是建立在假定被審系統(tǒng)安全、可靠基礎(chǔ)上的。而實際上這種假定是否合理，是應(yīng)當予以驗證的，這種驗證也就是要對被審系統(tǒng)的安全性、穩(wěn)定性、有效性進行審計、檢查、評價和提出改造建議。而這也正是IT審計師的主要工作，并且這部分工作也是一直上溯到被審系統(tǒng)開發(fā)過程的。因此，IT審計師的出現(xiàn)正好迎合了網(wǎng)絡(luò)審計模式的需要。IT審計師雖然主要源于信息系統(tǒng)安全問題而產(chǎn)生，其主要工作也含有較高的計算機技術(shù)因素，但就發(fā)展來看，IT審計師的出現(xiàn)迎合了計算機審機的發(fā)展趨勢，昭示著計算機審計不久將隨著電子商務(wù)、網(wǎng)絡(luò)財務(wù)等的全面展開而逐步發(fā)展到網(wǎng)絡(luò)審計階段，未來的IT審計師們也將成為網(wǎng)絡(luò)審計的“主力軍”。從這個角度上講，IT審計師也是計算機審計發(fā)展的必然產(chǎn)物。

 

 

　     三、IT審計師在網(wǎng)絡(luò)審計的重要作用

 

　　計算機審計發(fā)展到網(wǎng)絡(luò)審計后，計算機審計的主要內(nèi)容將包括網(wǎng)絡(luò)安全技術(shù)與內(nèi)部控制系統(tǒng)的審計、系統(tǒng)開發(fā)審計、應(yīng)用程序?qū)徲嫛?shù)據(jù)文件審計等四個部分。通過研究分析可以發(fā)現(xiàn)，這四個部分的內(nèi)容，不同程度地與IT審計師相關(guān)聯(lián)，IT審計師在其中將起重要的作用。

 

　　（一）網(wǎng)絡(luò)安全技術(shù)與內(nèi)部控制系統(tǒng)的審計

 

　　從Internet誕生起，信息和網(wǎng)絡(luò)的安全性就成為關(guān)注的一個焦點。在Internet發(fā)展的每一個階段，安全問題也都是基礎(chǔ)性的、關(guān)鍵性的因素。對于網(wǎng)絡(luò)審計，其首先遇到的也是網(wǎng)絡(luò)的安全性測試問題。與安全性相應(yīng)的還有網(wǎng)絡(luò)系統(tǒng)的內(nèi)部控制的測試問題，網(wǎng)絡(luò)系統(tǒng)的內(nèi)部控制包括一般控制和應(yīng)用控制兩個方面。一般控制包括組織控制、軟件開發(fā)、硬件和系統(tǒng)軟件控制、系統(tǒng)安全控制、維護控制和文檔控制等方面的審查與測試。應(yīng)用控制包括輸入控制、處理控制、輸出控制。IT審計師的主要工作就是利用標準、規(guī)范和先進的審計技術(shù)，對信息系統(tǒng)的安全性、穩(wěn)定性和有效性進行測試、檢查、評價和改造。IT審計師首先關(guān)注信息系統(tǒng)的安全性，沒有安全就沒有一切，IT審計師會采用各種方法來測試系統(tǒng)的安全性，并對來自內(nèi)部和外部的安全隱患提出相應(yīng)對策；IT審計師還要審查信息系統(tǒng)的穩(wěn)定性，沒有長期穩(wěn)定性，信息系統(tǒng)就無法承擔(dān)起激烈競爭的壓力，IT審計師會提出一系列對策保證客戶信息系統(tǒng)的萬無一失；IT審計師還要鑒別信息系統(tǒng)的有效性，最安全和最穩(wěn)定的系統(tǒng)不一定是最有效的系統(tǒng)，而效率不高的系統(tǒng)就會消耗企業(yè)大量的資源，一般情況下，一說到信息系統(tǒng)建設(shè)，大家都覺得是工程師或程序員的事，事實上，這是非常錯誤的觀點。一個好的系統(tǒng)，在安全和穩(wěn)定的前提下，必須最大程度符合企業(yè)經(jīng)營流程的特點，經(jīng)濟、有效地解決問題和提供信息。要做到這一點，信息系統(tǒng)開發(fā)和維護過程中，就必須有大量的經(jīng)營管理人員參與， 設(shè)計出最優(yōu)的信息流轉(zhuǎn)路徑。如果不重視信息系統(tǒng)的有效性，其危害同樣是巨大的。一方面由于其繁瑣和復(fù)雜，導(dǎo)致內(nèi)部業(yè)務(wù)人員不會用、不想用或使用不當；另一方面使用過程中的差錯又會導(dǎo)致穩(wěn)定性和安全性方面的問題。顯然，要對信息系統(tǒng)的安全、穩(wěn)定和有效進行監(jiān)控，就不單純是某類技術(shù)人員能夠完成的任務(wù)，經(jīng)過專業(yè)訓(xùn)練，經(jīng)驗豐富的信息系統(tǒng)審計師將在這一領(lǐng)域發(fā)揮重要的作用。信息系統(tǒng)審計師的突出特點就是兼通技術(shù)和管理，能夠利用規(guī)范的審計手段，比較客觀和冷靜地分析、評價企業(yè)現(xiàn)有信息系統(tǒng)的運行，并從專業(yè)的角度提出建議。

 

　　通過以上分析我們看到，IT審計師的工作中實際上已經(jīng)包含了網(wǎng)絡(luò)安全技術(shù)與內(nèi)部控制審計的內(nèi)容。進一步從IT審計師的服務(wù)對象分析，IT審計師主要是為以下幾類對象服務(wù)：

 

　　軟件供應(yīng)商。特別是經(jīng)濟管理類的集成軟件供應(yīng)商，需要信息系統(tǒng)審計師參與產(chǎn)品設(shè)計、規(guī)劃和檢測，并對客戶現(xiàn)有信息系統(tǒng)進行評價，提出改造設(shè)想。全球所有重要的ERP和CRM產(chǎn)品供應(yīng)商都聘請大量信息系統(tǒng)審計師。

 

　　管理咨詢機構(gòu)。20世紀90年代以后，管理咨詢的重點已經(jīng)逐步發(fā)展為提供一攬子解決方案，其中信息系統(tǒng)的配置，就是解決方案成功的基礎(chǔ)。國際知名的管理咨詢機構(gòu)中，有50%以上的員工熟悉信息技術(shù)，其中20%擁有信息系統(tǒng)審計師資格。

 

　　會計師審計師事務(wù)所，是信息系統(tǒng)審計師最早的落腳點，“五大”國際會計公司超過30%的收入來自于風(fēng)險管理部門。這個部門的最主要工作就是監(jiān)控客戶的信息系統(tǒng)風(fēng)險和運營風(fēng)險，同時為客戶提供ERP或CRM的安裝、維護和培訓(xùn)。會計師審計師事務(wù)所中傳統(tǒng)財務(wù)報表審計也越來越離不開信息系統(tǒng)審計師的貢獻。沒有他們的工作，評估內(nèi)部控制風(fēng)險和企業(yè)固有風(fēng)險將成為一句空話。人們常常看到，“五大”會計公司里，最年輕的合伙人或經(jīng)理，往往都是信息系統(tǒng)審計師，因為這是一項年輕人的工作。

 

　　跨國公司。作為信息系統(tǒng)最集中的用戶，跨國公司急需大量信息系統(tǒng)審計師，一方面參與信息化建設(shè)的過程，另一方面時刻保持對分支機構(gòu)的信息監(jiān)控。還有一種最新跡象表明，跨國公司內(nèi)部審計部門也在大量招聘信息系統(tǒng)審計師，以加強內(nèi)部的監(jiān)督和牽制。

 

　　大型國有企業(yè)和上市公司。這些機構(gòu)往往有雄厚的財力來實現(xiàn)管理的信息化、保證生產(chǎn)經(jīng)營的穩(wěn)定性，他們對信息系統(tǒng)審計師的要求和跨國公司類似。

 

　　（二）系統(tǒng)開發(fā)審計

 

　　系統(tǒng)開發(fā)過程一般分為：系統(tǒng)初步調(diào)查和可行性研究、系統(tǒng)詳細調(diào)查和系統(tǒng)分析、系統(tǒng)總體設(shè)計、系統(tǒng)詳細設(shè)計、程序編制、程序調(diào)試、系統(tǒng)調(diào)試、系統(tǒng)轉(zhuǎn)換、平行操作試驗、系統(tǒng)評審、系統(tǒng)維護和評價等過程。系統(tǒng)開發(fā)審計是事前審計，實際上是審計人員參與系統(tǒng)的全過程。主要監(jiān)督審查下列問題：（1）系統(tǒng)的功能是否恰當、完備，能否滿足用戶商務(wù)活動的需要；（2）系統(tǒng)的數(shù)據(jù)流程、處理方法是否符合有關(guān)商貿(mào)法規(guī)；（3）系統(tǒng)是否建立了恰當?shù)某绦蚩刂疲苑乐够虬l(fā)現(xiàn)無意的差錯或有意的舞弊；（4）系統(tǒng)是否保留充分的審計線索，保證了電子商務(wù)系統(tǒng)的可審性；（5）系統(tǒng)的安全保密措施和管理制度是否健全，能否保證系統(tǒng)安全可靠地運行；（6）系統(tǒng)的文檔資料是否全面、完整。這部分內(nèi)容和IT審計師的工作內(nèi)容實際也是相適應(yīng)的。因為IT審計師正是參與一個系統(tǒng)分析、設(shè)計和調(diào)試運行全過程的“保健醫(yī)生”，并且IT審計師最關(guān)注系統(tǒng)的安全、穩(wěn)定、有效。

 

　　（三）應(yīng)用程序?qū)徲嫼蛿?shù)據(jù)文件審計

 

　　應(yīng)用程序是信息系統(tǒng)的核心，其是否遵守國家財經(jīng)法規(guī)和政策，對經(jīng)濟業(yè)務(wù)的處理是否合規(guī)、合法、正確等，均體現(xiàn)于應(yīng)用程序。可以手工對應(yīng)用程序直接進行審查，也可以使用計算機輔助方法，也可以通過數(shù)據(jù)在程序上的運行間接測試。電算化會計信息系統(tǒng)中，實質(zhì)性測試的對象是數(shù)據(jù)文件。對數(shù)據(jù)庫或數(shù)據(jù)文件的審計主要目的是為確保數(shù)據(jù)的完整性與正確性等。對數(shù)據(jù)文件的實質(zhì)性測試包括：對各賬戶余額和發(fā)生額直接進行檢查；對會計數(shù)據(jù)進行分析性復(fù)核，旨在對數(shù)據(jù)文件進行實質(zhì)性測試；測試一般控制措施或應(yīng)用控制的符合性。可以使用不處理數(shù)據(jù)文件的實質(zhì)性測試方法、處理實際數(shù)據(jù)文件的實質(zhì)性測試方法及處理虛擬數(shù)據(jù)文件的實質(zhì)性測試方法。這兩部分內(nèi)容沒有IT審計師的技術(shù)支持，一般審計人員也難勝其任。

 

　　四、結(jié)論

 

　　由上可知，審計業(yè)務(wù)發(fā)展至今，傳統(tǒng)財務(wù)審計工作只是現(xiàn)代審計中一個特別小的組成部分。審計師最重要工作之一，是發(fā)現(xiàn)被審計單位最重大的風(fēng)險隱患，在認定其持續(xù)經(jīng)營的基礎(chǔ)上，再對財務(wù)報表的真實、公允性發(fā)表審計意見。如果審計師認為被審計單位的信息系統(tǒng)是業(yè)務(wù)運轉(zhuǎn)的平臺，是風(fēng)險高發(fā)區(qū)，那么對信息系統(tǒng)的安全、穩(wěn)定和有效的評價就成為審計的基礎(chǔ)和重點。當然，對信息系統(tǒng)的審計和對財務(wù)事項的審計，手段有所不同，但基本的程序和原理都是一樣的。同時計算機審計的主要內(nèi)容均和IT審計師有重要關(guān)聯(lián)，IT審計師是開展計算機審計工作的重要推動力量。因此，我們在培養(yǎng)高級審計人才時，應(yīng)注重參考IT審計師知識結(jié)構(gòu)，在數(shù)學(xué)體系上增設(shè)以下內(nèi)容：信息系統(tǒng)審計程序；信息系統(tǒng)的管理計劃和組織；技術(shù)基礎(chǔ)和操作實務(wù)；信息資產(chǎn)的保護；災(zāi)難恢復(fù)和業(yè)務(wù)持續(xù)計劃；業(yè)務(wù)應(yīng)用系統(tǒng)的開發(fā)、取得、實施和維護；業(yè)務(wù)過程的評價和風(fēng)險管理等。