信息化建設(shè)的突飛猛進(jìn)給現(xiàn)代審計(jì)帶來了一種新的范式，有人預(yù)言，信息系統(tǒng)審計(jì)(Information System Audit，簡稱IS審計(jì)，下同)將成為未 來審計(jì)行業(yè)和審計(jì)技術(shù)最為強(qiáng)勁的驅(qū)動(dòng)力最。如今，在很多大型公司內(nèi)部，IS審計(jì)部門已成為一個(gè)獨(dú)立的向組織提供多種服務(wù)的部門。尤其是 互聯(lián)網(wǎng)和電子商務(wù)的興起，更是為IS審計(jì)業(yè)務(wù)帶來了無盡的商機(jī)，與信息安全相關(guān)的防火墻審計(jì)、安全診斷、災(zāi)難恢復(fù)、信息技術(shù)認(rèn)證以及與 ERP相關(guān)的新型咨詢業(yè)務(wù)將不斷涌現(xiàn)。在實(shí)踐活動(dòng)中，IS審計(jì)給政府、組織挽回或減少了巨額的經(jīng)濟(jì)損失 例如美國各州曾對(duì)包括國防部信息系 統(tǒng)、電子政務(wù)信息系統(tǒng)等多個(gè)國家或非國有的系統(tǒng)進(jìn)行了審計(jì)，提出了包括硬件、軟件、安全、人員、組織等多方面的改進(jìn)建議；我國審計(jì)署 駐廣州特派員辦事處近幾年來，在對(duì)某國有商業(yè)銀行省分行進(jìn)行年度資產(chǎn)負(fù)債表及信貸資產(chǎn)質(zhì)量審計(jì)工作中，利用計(jì)算機(jī)輔助審計(jì)，發(fā)現(xiàn)了14 家關(guān)聯(lián)企業(yè)聯(lián)合騙貸3億多元；審計(jì)署駐南京特派員辦事處在對(duì)某商業(yè)銀行信用卡業(yè)務(wù)應(yīng)用軟件系統(tǒng)進(jìn)行審計(jì)時(shí)，審計(jì)查出該軟件系統(tǒng)在開發(fā)、 設(shè)計(jì)、運(yùn)行、維護(hù)、管理、控制及核算等方面存在的缺陷與漏洞，并提出了改進(jìn)對(duì)策和建議。IS審計(jì)的作用可以概括為，它是一種具有充分和 相關(guān)的內(nèi)部控制的措施；從內(nèi)部和外部都獲得很好保護(hù)的安全網(wǎng)絡(luò)；介于工程再造和控制之間的平衡；適時(shí)的起作用的IT安全政策；對(duì)IT安全 性的高度警覺和對(duì)更好的商業(yè)連續(xù)性的準(zhǔn)備；能獲得IT投資上更好回報(bào)的方式。
　　有人認(rèn)為，IS審計(jì)只是一個(gè)現(xiàn)代社會(huì)新興職業(yè)或?qū)I(yè)技能的代名詞，沒有理論研究的必要。我們認(rèn)為不妥。美國審計(jì)專家羅伯特·K·莫茨和侯 賽因·A·夏拉夫指出：“一種職業(yè)要牢牢地立足于社會(huì)，就必須建立一套成熟的理論體系。否則，它將僅僅是一門實(shí)踐學(xué)，是一種手藝，而不 是一門科學(xué)。”大力開展IS審計(jì)研究，對(duì)于保證信息系統(tǒng)的安全、可靠，維護(hù)信息時(shí)代的市場(chǎng)經(jīng)濟(jì)秩序，為我國信息化建設(shè)與發(fā)展保駕護(hù)航， 具有重大的理論意義和廣闊的應(yīng)用前景。
　　二、國內(nèi)外IS審計(jì)研究現(xiàn)狀及分析
　　2O世紀(jì)8O～9O年代以來，由于經(jīng)濟(jì)全球化、網(wǎng)絡(luò)化的影響，信息技術(shù)向傳統(tǒng)產(chǎn)業(yè)的滲透不斷提升，IS審計(jì)初現(xiàn)端倪。值得關(guān)注的是，lS審計(jì)理 論研究與實(shí)踐工作的領(lǐng)導(dǎo)者和主要推動(dòng)者，國際信息系統(tǒng)審計(jì)與控制協(xié)會(huì)(ISACA，Information System Audit and Control Association)，自 成立3O多年來，推出了一系列IS審計(jì)準(zhǔn)則、職業(yè)道德準(zhǔn)則等規(guī)范性文件，開展了～定的理論研究，并把焦點(diǎn)集中于信息系統(tǒng)保障、控制、安全 和信息技術(shù)管理專業(yè)的技術(shù)與管理主題上；1996年ISACA 研制了《信息系統(tǒng)及相關(guān)技術(shù)的控制目標(biāo)(C0BIT，Control Objectives for  Information and Related Technology)》，建立了控制模型，COBIT在商業(yè)風(fēng)險(xiǎn)、控制需要和技術(shù)問題之間架起了一座橋梁，打通不同部門、 不同系統(tǒng)之間的障礙，建立通暢的信息貫通渠道L4 ；1998年ISACA 又創(chuàng)立信息系統(tǒng)管理協(xié)會(huì)(IT Governance Institute)。目前已有170多個(gè)分 會(huì)遍布在全球100多個(gè)國家，擁有會(huì)員超過28 000人。2O世紀(jì)9O年代后期IS審計(jì)思想傳播到我國，2002年6月，ISACA舉辦了首次CISA(注冊(cè)信息 系統(tǒng)審計(jì)師)資格考試，與IS審計(jì)相關(guān)的概念、技術(shù)、實(shí)踐才慢慢引入，IS審計(jì)的理論研究也剛剛破題。
　　雖然國內(nèi)外對(duì)IS審計(jì)理論和應(yīng)用的研究已有相當(dāng)規(guī)模和成果，但由于IS審計(jì)形成時(shí)間較短，IS審計(jì)研究(特別是在我國)還很不完整、不系統(tǒng)， 相關(guān)研究內(nèi)容比較零星、分散。目前我國的審計(jì)實(shí)務(wù)還停留在繞過計(jì)算機(jī)審計(jì)階段，由于不對(duì)計(jì)算機(jī)程序處理過程進(jìn)行審計(jì)而只對(duì)有限的部分 數(shù)據(jù)進(jìn)行審計(jì)，顯然是片面的。IS審計(jì)工作目前還處于探索階段，還沒有形成一套成形的專業(yè)規(guī)范理論結(jié)構(gòu)，會(huì)計(jì)審計(jì)界所進(jìn)行的一些信息系 統(tǒng)審計(jì)的探索和嘗試以及開發(fā)的一些信息系統(tǒng)審計(jì)軟件還大都停留在對(duì)被審計(jì)單位的電子數(shù)據(jù)進(jìn)行處理的階段。理論研究主要集中在IS審計(jì)執(zhí) 業(yè)標(biāo)準(zhǔn)和規(guī)范、IS審計(jì)作用意義、IS審計(jì)業(yè)務(wù)內(nèi)容、IS審計(jì)技術(shù)方法及應(yīng)用模式和IS審計(jì)人員資格的規(guī)范等方面。理論界對(duì)IS審計(jì)的理解千差 萬別，沒有形成統(tǒng)一認(rèn)識(shí)，甚至存在一些認(rèn)識(shí)上的誤區(qū)，如將IS審計(jì)與計(jì)算機(jī)輔助審計(jì)(CAA，Co mputer Assisted Audit)混為一談，或認(rèn)為IS 審計(jì)可由信息工程監(jiān)理(IPS，information Projects Supervisal)代替，或認(rèn)為IS審計(jì)僅是對(duì)財(cái)政財(cái)務(wù)收支處理的審計(jì)等。
　　三、構(gòu)建IS審計(jì)理論結(jié)構(gòu)
　　(一)IS審計(jì)理論基礎(chǔ)
　　審計(jì)理論基礎(chǔ)作為審計(jì)理論產(chǎn)生和發(fā)展的起點(diǎn)，是整個(gè)審計(jì)理論體系大廈的基石。審計(jì)理論基礎(chǔ)并不等同于審計(jì)理論，它不具備審計(jì)理論所特 有的高度抽象性、適用性、嚴(yán)密邏輯性和普遍指導(dǎo)性。IS審計(jì)理論基礎(chǔ)勾畫了IS審計(jì)理論與其他相關(guān)邊緣性學(xué)科理論相互交融的學(xué)科群輪廓， 相關(guān)學(xué)科理論正向IS審計(jì)領(lǐng)域侵蝕。傳統(tǒng)審計(jì)理論為IS審計(jì)提供了豐富的內(nèi)部控制理論與實(shí)踐經(jīng)驗(yàn)，使IS審計(jì)師能“用批判的眼光”向系統(tǒng)信 息使用者提供外部鑒證服務(wù)；行為科學(xué)理論將幫助IS審計(jì)師解釋組織中產(chǎn)生的“人的問題”，研究人的行為，預(yù)防系統(tǒng)人為的故障，解決系統(tǒng) 的安全問題；信息管理理論將為IS審計(jì)提供如何提高系統(tǒng)運(yùn)行的效率、控管系統(tǒng)資源等方面的理論和方法，提高實(shí)現(xiàn)企業(yè)內(nèi)部管理目標(biāo)的能力 ；信息技術(shù)學(xué)本身的發(fā)展也在關(guān)注如何保護(hù)資產(chǎn)安全、保證信息完整，并能有效地實(shí)現(xiàn)組織目標(biāo)。各學(xué)科相互交叉、滲透、融合、互動(dòng)，共同 打造一個(gè)多元化動(dòng)態(tài)網(wǎng)絡(luò)，它為審計(jì)理論與其他學(xué)科理論提供了一個(gè)公共區(qū)域。審計(jì)理論基礎(chǔ)決定著審計(jì)理論發(fā)展的方向、趨勢(shì)，審計(jì)理論基 礎(chǔ)的每一次變革都會(huì)引起審計(jì)理論發(fā)生相應(yīng)的變化。隨著IS審計(jì)的進(jìn)化，傳統(tǒng)模式會(huì)發(fā)生變革，審計(jì)學(xué)科將逐漸脫離傳統(tǒng)學(xué)科歸屬范式束縛而 獨(dú)立存在、自成一體，我們認(rèn)為，審計(jì)學(xué)科的重新定位必將推動(dòng)審計(jì)理論的創(chuàng)新和進(jìn)步。
　　(二)IS審計(jì)理論結(jié)構(gòu)要素
　　理論界關(guān)于審計(jì)理論結(jié)構(gòu)要素的研究由來已久、眾說紛紜、各無定論，其中，莫茨、夏拉夫的觀點(diǎn)提供了審計(jì)理論研究的指導(dǎo)性依據(jù)，兩位學(xué) 者在其著作《審計(jì)理論結(jié)構(gòu)》中主張審計(jì)理論結(jié)構(gòu)應(yīng)是在審計(jì)概念基礎(chǔ)上制定程序和標(biāo)準(zhǔn)，其關(guān)系呈現(xiàn)錐形，概念處于錐頂，程序在錐底。按 此從抽象到其體的思路，我們可以將信息技術(shù)條件下IS審計(jì)理論結(jié)構(gòu)要素規(guī)劃為如下層級(jí)(見圖1)。

　　1．IS審計(jì)概念。
　　Ron A．Weber認(rèn)為IS審計(jì)是一個(gè)獲取并評(píng)價(jià)證據(jù)，以判斷信息系統(tǒng)是否能保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織 的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過程。日本通產(chǎn)省情報(bào)協(xié)會(huì)的表述是，為了信息系統(tǒng)的安全、可菲與有效，由獨(dú)立于審計(jì)對(duì)象的IS審計(jì)師， 以第三方的客觀立場(chǎng)對(duì)以計(jì)算機(jī)為核心的信息系統(tǒng)進(jìn)行綜合的檢查與評(píng)價(jià)，向IS審計(jì)對(duì)象的最高領(lǐng)導(dǎo)提出問題與建議的一連串的活動(dòng)。因而， IS審計(jì)并非傳統(tǒng)審計(jì)業(yè)務(wù)的簡單擴(kuò)展，其以電子計(jì)算機(jī)為核心的信息系統(tǒng)為對(duì)象，從縱向(生命周期)看，IS審計(jì)覆蓋了信息系統(tǒng)從計(jì)劃、分析 、設(shè)計(jì)、編程、測(cè)試、運(yùn)行、維護(hù)到報(bào)廢的全過程的各種業(yè)務(wù)；從橫向(各階段截面)看，它包含對(duì)硬軟件的獲取審計(jì)、軟件審計(jì)、應(yīng)用程序?qū)?計(jì)、數(shù)據(jù)完整性審計(jì)、安全審計(jì)和生命周期共同業(yè)務(wù)(如文檔管理、人員管理、進(jìn)度管理、外部委托、災(zāi)難恢復(fù)等)審計(jì)等內(nèi)容。我們認(rèn)為，IS 審計(jì)的概念可以定義為，專業(yè)審計(jì)人員根據(jù)審計(jì)準(zhǔn)則及相關(guān)規(guī)制，對(duì)信息系統(tǒng)從計(jì)劃、研發(fā)、實(shí)施到運(yùn)行維護(hù)各個(gè)環(huán)節(jié)進(jìn)行審查與評(píng)價(jià)，以保 證被審計(jì)信息系統(tǒng)安全、穩(wěn)定和有效，并提出一系列改進(jìn)建議的管理活動(dòng)。
　　2．IS審計(jì)目標(biāo)。
　　審計(jì)目標(biāo)是審計(jì)理論研究的起點(diǎn)之一，目標(biāo)定在何處是相當(dāng)關(guān)鍵的。在信息時(shí)代，企業(yè)價(jià)值鏈上許多環(huán)節(jié)的信息都需與信息使用者(企業(yè)管理者、交易伙伴以及投資人)分享，社會(huì)的需要促使了現(xiàn)代審計(jì)目的的改變。IS審計(jì)師不僅要對(duì)系統(tǒng)信息的合法性、公允性進(jìn)行審計(jì)，還要對(duì)信息系統(tǒng)的硬件和軟件，以及整個(gè)信息系統(tǒng)的安全性、穩(wěn)定性、內(nèi)部控制的健全性與有效性等方面進(jìn)行審計(jì)，指出被審計(jì)單位信息系統(tǒng)內(nèi)部管理和控制上的薄弱環(huán)節(jié)，提高其信息系統(tǒng)的可靠性和真實(shí)性，有效地防止利用信息技術(shù)隨意篡改系統(tǒng)信息或破壞磁性介質(zhì)上的數(shù)據(jù)等舞弊行為的發(fā)生。因此，IS審計(jì)目標(biāo)不僅僅在于應(yīng)用計(jì)算機(jī)進(jìn)行審計(jì)(即傳統(tǒng)EDI審計(jì)或計(jì)算機(jī)輔助審計(jì))，更重要的是要對(duì)信息系統(tǒng)本身的安全性、穩(wěn)定性及其實(shí)現(xiàn)組織目標(biāo)的有效性進(jìn)行實(shí)時(shí)的檢查、評(píng)價(jià)和改造。
　　3．IS審計(jì)職能。
　　審計(jì)職能即審計(jì)在客觀上所固有的功能。我們認(rèn)為，為了實(shí)現(xiàn)審計(jì)目標(biāo)，保證和咨詢應(yīng)成為對(duì)信息系統(tǒng)進(jìn)行審計(jì)的兩大基本職能。“保證”即“系統(tǒng)可靠性保證”，就是通過對(duì)信息系統(tǒng)運(yùn)行過程、商業(yè)連續(xù)性能力、維護(hù)狀況進(jìn)行評(píng)價(jià)，合理保證信息系統(tǒng)安全、穩(wěn)定、有效，它是IS審計(jì)最基本的職能。“咨詢”就是指審計(jì)人員能夠向信息系統(tǒng)的高層管理者以及使用者提供解決問題的方案，以達(dá)到改善經(jīng)營和為組織增加價(jià)值的目的。
　　4．IS審計(jì)依據(jù)。
　　審計(jì)依據(jù)是提出審計(jì)意見，做出審計(jì)決定的標(biāo)準(zhǔn)，是審計(jì)人員在審計(jì)過程中用來衡量被審計(jì)事項(xiàng)是非優(yōu)劣的準(zhǔn)繩。在信息時(shí)代，審計(jì)人員執(zhí)行IS審計(jì)時(shí)，主要以信息系統(tǒng)的管理制度、條例和法規(guī)、ISO9000、信息系統(tǒng)的實(shí)際運(yùn)行情況等為主要依據(jù)。目前IS審計(jì)工作還處于探索階段，沒有形成一套成形的專業(yè)規(guī)范，IS審計(jì)人員可遵照CISA發(fā)布的《信息系統(tǒng)審計(jì)準(zhǔn)則》執(zhí)行IS審計(jì)業(yè)務(wù)。
　　5．IS審計(jì)風(fēng)險(xiǎn)。
　　從審計(jì)的理論基礎(chǔ)看，審計(jì)經(jīng)歷了主觀基礎(chǔ)審計(jì)—— 制度基礎(chǔ)審計(jì)—— 風(fēng)險(xiǎn)基礎(chǔ)審計(jì)。審計(jì)人員應(yīng)運(yùn)用風(fēng)險(xiǎn)基礎(chǔ)審計(jì)的基本理論，從社會(huì)和客戶的需要(期望)出發(fā)，整合IS審計(jì)風(fēng)險(xiǎn)模式中的各要素(固有風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)和檢查風(fēng)險(xiǎn))，構(gòu)建IS審計(jì)風(fēng)險(xiǎn)模型，科學(xué)分析與評(píng)價(jià)信息系統(tǒng)的操作程序、審計(jì)環(huán)境等，對(duì)系統(tǒng)控制要素進(jìn)行測(cè)試，以確定IS審計(jì)線索、范圍和重點(diǎn)，研判信息系統(tǒng)內(nèi)部控制的有效性以及IS審計(jì)程序設(shè)計(jì)和執(zhí)行的恰當(dāng)性。評(píng)估風(fēng)險(xiǎn)、信息安全政策、安全和災(zāi)難計(jì)劃是掌控信息安全的途徑，系統(tǒng)發(fā)展和維護(hù)、接近和使用信息、個(gè)人方法、保密原則和物理安全控制是衡量安全的中心政策和一般指南。根據(jù)審計(jì)風(fēng)險(xiǎn)的概念，我們可以將IS審計(jì)風(fēng)險(xiǎn)定義為，信息系統(tǒng)的安全性、穩(wěn)定性和有效性存在重大隱患，而IS審計(jì)師驗(yàn)證后發(fā)表不恰當(dāng)審計(jì)意見的可能性。
　　6．IS審計(jì)技術(shù)。
　　企業(yè)引用信息系統(tǒng)的目的就在于通過先進(jìn)管理理念、先進(jìn)作業(yè)技術(shù)，實(shí)現(xiàn)業(yè)務(wù)流程的重組，降低人力、物力、財(cái)力損耗，提高系統(tǒng)運(yùn)行效率。為了保證信息系統(tǒng)安全、穩(wěn)定與有效，審計(jì)人員應(yīng)采用一定的方法對(duì)系統(tǒng)風(fēng)險(xiǎn)進(jìn)行測(cè)試(符合性測(cè)試、實(shí)質(zhì)性測(cè)試)，并對(duì)來自內(nèi)部和外部的安全隱患，進(jìn)行系統(tǒng)診斷，提出相應(yīng)對(duì)策，幫助企業(yè)調(diào)整現(xiàn)有的管理架構(gòu)和流程，使信息系統(tǒng)更好地為管理服務(wù)。審計(jì)人員應(yīng)在充分利用傳統(tǒng)財(cái)務(wù)審計(jì)技術(shù)的基礎(chǔ)上，逐步構(gòu)建新的審計(jì)技術(shù)方法體系，諸如測(cè)試數(shù)據(jù)法、并行測(cè)試法、受控處理法、程序比較法、嵌入審計(jì)程序法和程序追蹤法等，以促進(jìn)完成系統(tǒng)檢查、風(fēng)險(xiǎn)評(píng)估以及實(shí)質(zhì)性測(cè)試。
　　7．IS審計(jì)流程。
　　證據(jù)理論是審計(jì)學(xué)科的一個(gè)重要組成部分，審計(jì)過程實(shí)質(zhì)是一個(gè)收集、評(píng)價(jià)和鑒證審計(jì)證據(jù)的過程。IS審計(jì)是一個(gè)獲取并評(píng)價(jià)證據(jù)，以研判信息系統(tǒng)是否能夠保證資產(chǎn)的安全、有效以及提供真實(shí)、完整的系統(tǒng)信息的動(dòng)態(tài)循環(huán)流程。由于信息風(fēng)險(xiǎn)對(duì)審計(jì)風(fēng)險(xiǎn)的影響，在實(shí)施審計(jì)程序時(shí)，審計(jì)人員應(yīng)采用傳統(tǒng)的被實(shí)踐證明為有效的審計(jì)體系，重點(diǎn)研究風(fēng)險(xiǎn)理論下可供操作的IS審計(jì)流程框架，包括依據(jù)IS審計(jì)目標(biāo)、識(shí)別各種限制條件、制定IS審計(jì)的計(jì)劃、確定IS審計(jì)的指標(biāo)體系、選擇IS審計(jì)方法，實(shí)施IS審計(jì)、編寫IS審計(jì)報(bào)告。恰當(dāng)?shù)膶徲?jì)流程有助于審計(jì)工作循序漸進(jìn)、有條不紊地實(shí)現(xiàn)審計(jì)目標(biāo)，并對(duì)審計(jì)風(fēng)險(xiǎn)的控制有著重要的意義。
　　四、結(jié)語
　　信息系統(tǒng)不斷發(fā)揮其先進(jìn)技術(shù)的力量，把進(jìn)步帶到世界的每一個(gè)角落。IS審計(jì)是一個(gè)完全嶄新的領(lǐng)域，它隨著信息系統(tǒng)的產(chǎn)生而產(chǎn)生，也必將隨著信息系統(tǒng)的發(fā)展而越來越受到人們的重視。IS審計(jì)既要實(shí)現(xiàn)信息系統(tǒng)外部審計(jì)的鑒證目標(biāo)，即對(duì)被審計(jì)單位信息資產(chǎn)的安全性及系統(tǒng)數(shù)據(jù)的合法性、完整性進(jìn)行鑒證，叉要達(dá)到內(nèi)部審計(jì)的管理目標(biāo)，即信息系統(tǒng)能否有效地保證組織價(jià)值增值。無論是政府審計(jì)、民間審計(jì)還是內(nèi)部審計(jì)，離開IS審計(jì)將寸步難行。面對(duì)信息化時(shí)代，內(nèi)、外部審計(jì)均面臨著需求環(huán)境變化、角色轉(zhuǎn)變的壓力與挑戰(zhàn)，合理鑒定內(nèi)、外部審計(jì)在IS審計(jì)市場(chǎng)的地位和作用及其市場(chǎng)份額是IS審計(jì)研究的重點(diǎn)和難點(diǎn)。