第三章 信息系统治理
信息化的重要管控手段，组织治理的组成部分主要目标：与业务目标一致、有效利用信息与数据资源、风险管理管理层次:最高管理层、执行管理层、业务与服务执行层IT治理的核心：关注IT定位和信息化建设与数字化转型的责权利划分关键原则：IT原则、IT架构、IT基础设施、业务应用需求、IT投资和优先顺序IT治理本质:IT治理体系框架: IT治理的核心内容包括六个方面:建立IT治理机制的原则包括: 组织开展IT治理活动的主要任务聚焦在五个方面:全局统筹、价值导向、机制保障、创新发展、文化助推全局统筹价值导向机制保障创新发展文化助推IT治理标准IT治理通用要求-GB/T34960.1《信息技术服务治理第1部分:通用要求》 IT治理实施指南-GB/T34960.2《信息技术服务治理第2部分:实施指南》IT治理实施框架包括治理的实施环境、实施过程和治理域。治理目标 属于评估、指导和监控（EDM）领域，治理机构将评估战略方案，指导高级管理层执行所选的战略方案并监督战略的实施。董事会和执行管理层负责管理目标分为四个领域: 治理目标与治理流程有关，而管理目标与管理流程有关。 高效和有效的IT治理系统是创造价值的起点。COBIT定义的IT治理系统设计因素包括组织战略、组织目标、风险概况、IT相关问题、威胁环境、合规性要求、IT角色、IT采购模式、IT实施方法、技术采用战略、组织规模和未来因素COBIT给出了建议设计流程:ISO/IEC正式发布IT治理标准IS0/1EC38500,它的出台不仅标志着IT治理从概念模糊的探讨阶段进入了一个正确认识的发展阶段，而且也标志着信息化正式进入IT治理时代。 1、IT审计的目的是指通过开展IT审计工作，了解组织IT系统与IT活动的总体状况，对组织是否实现IT目标进行审查和评价，充分识别与评估相关IT风险，提出评价意见及改进建议，促进组织实现IT目标。 2、组织的IT目标主要包括:3、IT审计范围总体范围 需要根据审计目的和投入的审计成本来确定 组织范围 明确审计涉及的组织机构、主要流程、活动及人员等 物理范围 具体的物理地点与边界 逻辑范围 涉及的信息系统和逻辑边界4、根据GB/T34690.4《信息技术服务治理第4部分:审计导则》,对IT审计人员的要求包括职业道德、知识、技能、资格与经验、专业胜任能力及利用外部专家服务等方面。5、IT审计风险主要包括固有风险、控制风险、检查风险和总体审计风险。固有风险 控制风险 检查风险 总体审计风险 6、常用审计方法包括:访谈法、调查法、检查法、观察法、测试法和程序代码检查法7、常用的IT审计技术包括风险评估技术、审计抽样技术、计算机辅助审计技术及大数据审计技术。 风险评估技术 8、审计证据是指由审计机构和审计人员获取，用于确定所审计实体或数据是否遵循既定标准或目标，形成审计结论的证明材料。审计证据是审计意见的支柱，是审计人员形成审计结论的基础。审计人员必须基于足够、相关和适当的审计证据，为其审计观点提供合理的结论。审计证据还可以被作为解除或追究被审计人经济责任的依据，并且审计证据还是控制审计工作质量的关键9、审计证据的特性10、审计工作底稿是指审计人员对制订的审计计划、实施的审计程序、获取的相关审计证据，以及得出的审计结论做出的记录。审计工作底稿是审计证据的载体，是审计人员在审计过程中形成的审计工作记录和获取的资料。它形成于审计过程，也反映整个审计过程。 11、审计底稿的作用表现在: 12、审计工作底稿一般分为综合类工作底稿、业务类工作底稿和备查类工作底稿。 综合类 指审计人员在审计计划阶段和审计报告阶段，为规划、控制和总结整个审计工作并发表审计意见所形成的审计工作底稿，主要包括:审计业务约定书、审计计划、审计总结、审计报告、管理建议书、被审计单位管理当局声明书以及审计人员对整个审计工作进行组织管理的所有记录和资料 业务类 指审计人员在审计实施阶段为执行具体审计程序所形成的审计工作底稿，包括:符合性测试中形成的内部控制问题调查表和流程图、实质性测试中形成的项目明细表 备查类 指审计人员在审计过程中形成对审计工作仅具有备查作用的审计工作底稿。备查类工作底稿应随被审计单位有关情况的变化而不断更新;应详细列明目录清单，并将更新的文件资料随时归档;应根据需要，将其中与具体审计项目有关的内容复印、摘录、综合后归入业务类审计工作底稿的具体审计项目之后。通常，备查类审计工作底稿是由被审计单位或第三者根据实际情况提供或代为编制，审计人员应认真审核，并对所取得的有关文件资料标明其具体来源13、审计工作底稿三级复核制度是指以审计机构负责人、部门负责人和项目负责人（或项目经理)为复核人； 14、下列两种情况需要查阅审计工作底稿的，不属于泄密情形: （1）法院、检察院及国家其他部门依法查阅，并按规定办理了必要手续; （2）审计协会或其委派单位对审计机构执业情况进行检查。 15、审计工作底稿按照一定的标准归入审计档案后，应交由档案管理部门进行管理，并确保审计档案的安全、完整。 16、审计流程一般分为审计准备、审计实施、审计终结及后续审计四个阶段。 审计准备 IT审计项目从计划开始，到发出审计通知书为止的期间；工作包括:①明确审计目的及任务;②组建审计项目组;③搜集相关信息;④编制审计计划等 审计实施 审计人员将项目审计计划付诸实施的期间。工作包括:①深入调查并调整审计计划;②了解并初步评估IT内部控制;③进行符合性测试;④进行实质性测试等 审计终结 整理审计工作底稿、总结审计工作、编写审计报告、做出审计结论的期间;工作包括:①整理与复核审计工作底稿;②整理审计证据;③评价相关IT控制目标的实现;④判断并报告审计发现;⑤沟通审计结果;⑥出具审计报告;⑦归档管理等 后续审计 在审计报告发出后的一定时间内，审计人员为检查被审计单位对审计问题和建议是否已经采取了适当的纠正措施，并取得预期效果的跟踪审计17、IT审计业务和服务通常分为IT内部控制审计和IT专项审计。 ➢ IT内部控制审计主要包括组织层面IT控制审计、IT一般控制审计及应用控制审计; ➢ IT专项审计主要是指根据当前面临的特殊风险或者需求开展的IT审计，审计范围为 IT综合审计的某一个或几个部分。