IT审计要求(KPMG)
IT审计和合规性检查制度
IT审计和合规性检查制度一、引言IT系统在企业中扮演侧紧要的角色，它们的运行稳定性、数据安全性以及合规性对企业的稳定经营至关紧要。
为了确保企业的信息技术系统正常运作和合规性管理，订立本制度，明确IT审计和合规性检查的管理标准和考核标准。
二、管理标准1. IT审计（1）审计范围•审计范围涵盖企业全部与信息技术相关的业务和系统，包含但不限于网络设备、服务器、数据库、软件应用等。
•依据实际情况，每年确立审计重点和轮次，并及时进行调整。
（2）审计计划•订立IT审计计划，明确审计目的、内容和时间节点。
•审计计划应经相关部门审核批准，并在全公司范围内发布。
（3）审计程序•审计程序包含：数据收集、风险评估、审计测试、异常分析、问题跟踪、整改汇报等。
•审计程序应依据实在情况进行调整，确保全面、有效地完成审计工作。
（4）审计报告•审计报告应详尽、准确地反映审计工作的结果，包含问题描述、风险评估、看法建议等。
•审计报告应由审计部门或由外部审计机构编制，报送企业高层管理层，并保管备查。
2. 合规性检查（1）检查范围•合规性检查范围涵盖企业的法律、法规、政策、标准、规范等相关要求。
•依据实际情况，每年确立合规性检查重点和轮次，并及时进行调整。
（2）检查计划•订立合规性检查计划，明确检查目的、内容和时间节点。
•检查计划应经相关部门审核批准，并在全公司范围内发布。
（3）检查程序•检查程序包含：文件审查、现场检查、访谈、数据分析等。
•检查程序应依据实在情况进行调整，确保全面、有效地完成检查工作。
（4）检查报告•检查报告应详尽、准确地反映检查工作的结果，包含问题描述、风险评估、看法建议等。
•检查报告应由检查部门或由外部检查机构编制，报送企业高层管理层，并保管备查。
三、考核标准1. 考核内容•IT审计和合规性检查的执行情况。
•发现的问题、风险和整改情况。
•文档和报告的准确性和完整性。
•是否依照计划完成审计和检查工作。
2. 考核方法•定期组织内部或外部专家对IT审计和合规性检查工作进行考核。
IT审计与信息系统审计
IT审计与信息系统审计IT审计与信息系统审计是指对企业的信息技术系统和相关流程进行全面评估和审查，以确保其合规性、安全性和高效性。
随着信息技术的不断发展，企业对IT系统的依赖程度日益增加，IT审计与信息系统审计也变得愈发重要。
本文将介绍IT审计与信息系统审计的概念、意义以及常见的审计方法与步骤。
一、概念与意义1.1 IT审计IT审计是指对企业的信息技术系统进行全面的评估、分析和审查的过程。
IT审计旨在评估和改进企业的信息系统、信息安全和相关流程，以确保其符合法规、政策和最佳实践要求。
IT审计可以帮助企业发现潜在的风险和问题，并提供相应的解决方案，以加强企业的信息系统管理和风险控制能力。
1.2 信息系统审计信息系统审计是对企业信息系统的一种审查和评估过程，旨在确认信息系统的可靠性、完整性和保密性。
信息系统审计可以帮助企业确定信息系统存在的问题和潜在的风险，并提供改进和加强控制措施的建议。
通过信息系统审计，企业可以及时发现并解决信息系统的漏洞和问题，保障企业的信息安全和业务连续性。
二、审计方法与步骤2.1 IT审计方法IT审计可以采用多种方法和技术来进行，常见的方法包括：（1）取样审计：通过对信息系统中的数据和操作进行抽样分析，来评估整体的合规性和安全性。
（2）技术测试：运用网络扫描、漏洞评估等技术手段，对企业的信息系统进行安全性测试，发现潜在的漏洞和问题。
（3）文件审计：审查企业的相关文件和记录，了解信息系统的组成、运行和管理情况，评估合规性和流程控制。
2.2 信息系统审计步骤信息系统审计一般包括以下步骤：（1）规划与准备：明确审计的目标和范围，制定审计计划和时间表，准备所需的资源和工具。
（2）调查与收集证据：对企业的信息系统进行调查，收集相关的数据和证据，了解系统的运行和管理情况。
（3）评价与分析：根据收集到的数据和证据，评估信息系统的合规性、安全性和高效性，发现潜在的问题和风险。
（4）撰写审计报告：根据评估结果，撰写审计报告，详细描述发现的问题和风险，并提供相应的建议和解决方案。
it审计的内容
it审计的内容IT审计的内容IT审计是指对企业或组织的信息技术系统进行全面检查和评估的过程。
它涉及到对信息技术基础设施、数据管理、信息安全、业务流程以及合规性等方面的审查。
IT审计的目的是确保信息技术系统的正常运作、安全可靠，并且符合相关法规和标准。
下面将从不同方面介绍IT审计的内容。
一、信息技术基础设施审计信息技术基础设施是企业或组织正常运作的基础，包括硬件设备、软件系统、网络设施等。
在IT审计过程中，会对这些基础设施进行审查，包括设备的完整性、性能、可用性、备份和恢复机制等方面。
审计人员会评估基础设施的安全性，检查是否存在安全漏洞和薄弱点，并提出相应的改进建议。
二、数据管理审计数据是企业或组织最重要的资产之一，因此数据管理是IT审计的重要内容之一。
审计人员会对数据的完整性、准确性、保密性和可用性进行评估。
他们会检查数据的备份和恢复机制，以及数据的访问控制和权限设置。
此外，审计人员还会关注数据的合规性，例如数据保护和隐私政策是否符合相关法规和标准。
三、信息安全审计信息安全是IT审计的核心内容之一。
审计人员会评估企业或组织的信息安全策略、安全管理制度和安全控制措施。
他们会检查网络安全防护措施，包括防火墙、入侵检测系统和安全策略的执行情况。
审计人员还会对员工的安全意识进行评估，以确定是否存在安全培训和教育的需求。
四、业务流程审计IT系统在企业或组织的业务流程中起到关键作用，因此审计人员会对业务流程进行审查。
他们会评估业务流程的合理性和高效性，检查业务流程中的控制措施是否有效。
审计人员还会关注业务流程的自动化程度和信息系统的集成情况，以确定是否存在改进和优化的空间。
五、合规性审计合规性是企业或组织必须遵守的法规和标准。
IT审计人员会对企业或组织的信息技术系统是否符合相关法规和标准进行评估。
他们会检查企业的信息安全政策、数据保护政策和合规性程序，以确定是否存在合规性风险和违规行为。
IT审计涵盖了信息技术基础设施、数据管理、信息安全、业务流程和合规性等方面的内容。
IT审计岗位职责
IT审计岗位职责
IT审计岗位职责主要由以下几个方面：
1. 审计计划：制定符合公司目标和法规要求的审计计划，根据
公司业务发展和风险特点，确定审计人员、时间、资源等方案。
2. 市场风险评估：对市场风险、政治风险、法律法规风险等进
行综合评估，制定符合实际情况的控制措施，减少风险发生的可能性。
3. 内部控制评估：对公司内部控制进行评估和测试，识别并量
化风险，提出改进和建议方案，以保证控制措施的有效性和合规性。
4. 信息系统审计：对公司信息系统的安全性、完整性、可用性
等进行审计，监督网络安全、应用安全、系统运行等方面的情况，
提出改进建议。
5. 项目审计：对公司所推出的项目进行审计，评估项目的风险
和可行性，监督项目执行进度，确保项目能按时按质完成。
6. 合规审计：对公司的各项业务活动和财务报告进行查证、核实，保证公司的财务报告合规性和准确性，确保公司的经营合法合规。
7. 培训与咨询：命令公司员工合规的要求和内部控制措施的知识，开展相关培训和咨询，确保员工对内控与合规有深刻的理解和
认知。
以上是IT审计岗位职责的几个方面，需要具备较扎实的专业知识，同时也需要有较高的责任感与敬业精神，能够善于把控风险，
具备较强的应对突发事件的能力。
IT合规性和法律事务审计制度
IT合规性和法律事务审计制度一、背景介绍为了维护企业的合法经营和规范运作，保障信息技术（IT）系统的合规性和法律事务审计，本规章制度旨在明确相关管理和考核标准，确保IT系统的合规性和法律事务审计工作的有效开展。
二、管理标准2.1 IT合规性管理1.IT合规性管理的目标是确保企业的信息技术系统和业务操作符合国家法律法规、行业规范和企业内部规定。
2.职能部门需建立并定期更新IT合规性管理制度，确保IT系统的合规性工作得到有效落实。
3.针对IT系统的合规性工作，职能部门应订立认真的操作规程和流程，并定期对其进行评估和改进。
4.职能部门应建立合规性培训计划，提高员工对IT合规性管理的认得和重视程度。
5.需要建立合规性监测机制，及时发现和矫正IT系统中的合规性问题。
6.职能部门应与相关部门建立紧密沟通和合作，共同推动IT合规性管理工作的开展。
2.2 法律事务审计管理1.法律事务审计管理的目标是确保企业的信息技术系统在法律事务方面的合规性和稳定性。
2.职能部门需建立并定期更新法律事务审计管理制度，确保法律事务审计工作的有效进行。
3.需要建立法律事务审计的工作流程和标准，确保审计工作的全面、准确和及时性。
4.职能部门应建立法律事务审计的记录和档案管理制度，确保审计过程和结果的可查证性和可追溯性。
5.需要建立法律事务审计的风险评估和缓解机制，确保审计工作的高效性和有效性。
6.职能部门应定期进行法律事务审计工作的回顾和评估，及时发现和解决存在的问题。
三、考核标准3.1 IT合规性考核1.IT合规性考核的目标是评估IT系统的合规性管理工作的有效性和合规性程度。
2.职能部门应订立合规性考核的评估指标和标准，涵盖合规性政策订立、培训开展、监测管理等方面。
3.考核以年度为周期进行，职能部门应及时收集、整理和分析相关数据，订立合规性考核的评估报告。
4.职能部门应定期组织合规性考核的结果沟通和反馈，旨在推动相关部门改进工作，提高合规性管理水平。
IT审计程序和合规性检查制度
IT审计程序和合规性检查制度一、制度目的本制度旨在规范企业的IT审计程序和合规性检查，确保企业信息技术系统的安全性、可靠性和合规性，保护企业数据资产，减少风险和损失，并提升企业整体运营效率和竞争力。
二、适用范围本制度适用于企业全部涉及信息技术系统的部门和人员。
三、概述1. IT审计程序•IT审计程序简称为IT审计，是对企业信息技术系统的检查和评估过程，包含对软件、硬件、网络、数据库等方面的审查。
•IT审计应在确定的审计范围和时间内进行，并由专业的IT审计人员完成。
2. 合规性检查•合规性检查是对企业信息技术系统是否符合相关法律法规、行业标准、企业政策及业务要求进行的检查。
•合规性检查应在定期或特定事件触发时进行，检查内容应包含但不限于数据保护、网络安全、访问掌控等。
四、IT审计程序1. IT审计计划•企业应依据实际情况订立IT审计计划，明确审计范围、时间、人员和方法。
•IT审计计划应事先向相关部门和人员进行通知，并征得相关部门和人员的搭配。
2. 审计数据收集•IT审计人员应向相关部门和人员收集与审计范围相关的数据、文件和记录，包含但不限于系统配置文件、日志、运维报告等。
•审计数据应妥当保管，并防止被非授权人员取得和窜改。
3. 审计程序执行•IT审计人员应依照IT审计计划进行审计程序的执行，包含但不限于物理检查、系统访问评估、安全漏洞扫描、数据完整性检查等。
•审计过程中，IT审计人员应与相关部门和人员进行充分的沟通与协作，确保审计工作的顺利进行。
4. 审计结果报告•审计人员应依据审计结果撰写审计报告，报告内容应包含审计范围、审计程序、发现问题及建议等。
•审计报告应及时提交给有关部门领导，并抄送给相关部门和人员。
五、合规性检查1. 合规性检查计划•企业应订立合规性检查计划，明确检查范围、时间和方法。
•合规性检查计划应事先向相关部门和人员进行通知，并征得相关部门和人员的搭配。
2. 合规性检查执行•合规性检查由专职人员或委派人员执行，检查内容应与企业的法规、行业标准、政策及业务要求相匹配。
it审计工作内容
it审计工作内容
IT审计工作的内容包括对IT基础架构的审计，包括网络，系统，安全，数据库以及
应用程序；以及对IT环境中信息安全内容的审计。
具体来说，IT审计可能涵盖以下几个方面：
一、网络审计：检查企业网络系统的安全性是否能够满足企业的安全策略要求；同时，加强对网络的安全性审计，防止网络攻击，以及及时发现和纠正网络安全缺陷，以及审计
网络上访问资源的控制状况等。
二、系统审计：检查企业系统是否符合安全策略要求，审计系统配置、安装、升级和
系统数据处理等方面是否有安全风险，以及系统外部临时存储资源是否安全，是否满足数
据保护及完整性要求等。
三、安全审计：审计安全措施，检查企业对信息的安全管理措施是否合理，以及对于
安全和可靠性的防护有没有进行审计，以及企业对于数据库，计算机网络，程序设计，系
统集成，软件开发，安全性审计配置，访问控制，系统可靠性的审计等都有怎样的安全控制。
四、数据库审计：审计数据库的安全性，检查企业在数据库操作上是否存在安全隐患，以保证数据库资源能够及时和准确地使用，以及检查数据库安全管理是否能够满足要求，
确保安全管理质量可控。
五、应用程序审计：审计企业应用程序有没有满足安全要求，以及应用程序有效性检查，还有对程序设计进行审计，确保设计安全，符合安全策略的要求，从而建立可靠的应
用程序系统，实现系统信息安全性和可靠性。
最后，IT审计需要定期检查企业系统是否满足安全要求，掌握最新的审计标准，以保障企业信息的安全性和可用性。
it审计方案
IT审计方案1. 引言IT审计是组织内部的一项重要工作，用于评估信息技术系统的运作情况并确保其符合相关的法规和准则。
本文档旨在提供一个全面的IT审计方案，以帮助组织对其信息技术系统进行审计。
2. 目标与范围2.1 目标本IT审计方案的主要目标是评估组织的信息技术系统的安全性、可用性和合规性。
具体目标包括：•评估信息技术系统的风险和安全威胁；•确保信息技术系统的合规性，包括符合相关法规、行业标准和内部准则；•评估信息技术系统的运作情况，包括性能、可用性和灾难恢复能力。
2.2 范围本IT审计方案的范围包括组织内部的所有关键信息技术系统，包括：•网络基础设施，包括路由器、交换机、防火墙等；•服务器和操作系统；•数据库系统；•应用程序系统；•存储系统；•安全控制措施，如身份验证和访问控制。
3. 审计流程IT审计的流程可以分为以下几个步骤：3.1 筹备阶段在筹备阶段，我们将与组织的信息技术部门进行沟通，了解他们的需求和要求。
同时，我们会收集相关的文档和资料，对信息技术系统进行全面的了解。
3.2 风险评估在风险评估阶段，我们将对信息技术系统中存在的风险进行评估。
这包括内部和外部的威胁，如网络攻击、数据泄露等。
我们将使用各种工具和技术来发现和评估这些风险。
3.3 合规性评估在合规性评估阶段，我们将评估信息技术系统是否符合相关的法规和准则。
我们将审查组织的安全策略和流程，以确保其符合相关的标准。
3.4 系统评估在系统评估阶段，我们将评估信息技术系统的运作情况。
这包括系统的性能、可用性和灾难恢复能力等。
我们将对系统进行测试，并分析测试结果，以提供改进建议。
3.5 编写报告在完成审计工作后，我们将编写一份审计报告。
该报告将包括我们的发现、评估结果以及针对改进的建议。
报告将以清晰简洁的方式呈现，以便组织能够理解和实施。
4. 资源需求进行IT审计需要一些资源的支持。
以下是一些主要资源的需求：•计算机设备：用于进行审计工作的计算机设备，包括台式机和笔记本电脑。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3
系统变更
系统变更管理
系统变更管理规章制度
系统变更审批、开发、测试(用户及IT)之步骤及记录(需抽样各阶段之文件及记录–参见附注)
1、要求有完整的系统变更流程，流程中包括紧急变更的处理流程；
2、变更过程中应有各种表单支持，如用户申请、上级审批、开发需求、IT测试、用户测试、实施记录、用户签收等相关表单；
附注
控制活动频率样本抽取数量
每年1
每季1 + 1(年末)
每月2
每周5
每天15
多于每天25
范围
所需資料、文件
要求
1
公司层面控制
IT部门架构图、IT人员职责说明
IT预算、策略和年度规划(2005-2007年)
IT内部、IT与业务部门、IT与管理层之会议记录
与第三方供货商之服务协议(若IT服务外判)
IT风险评估制度和报告
财务系统与其它系统间之数据流程图
IT内部审计报告和审计发现之跟进
1、完整清晰的部门架构以及职员职责说明；
保安设施(如门禁系统、访客记录)
1、物理要求：门禁系统、烟雾报警器（置于地板夹层或顶棚夹层）、监控、UPS、空调（接UPS）、干粉灭火器、防火防水装修材料；
2、机房管理：专人管理钥匙、有访客记录、机柜门应上锁；
3、服务器管理：密码变更设置（文档/流程/频率）、密码策略（windows/sql用户密码强制策略、windows帐号锁定策略、密码长度8位以上、历史密码6次）、windows界面自动锁定、应急管理/流程（备用钥匙、密码文件密封置于机房上锁的柜子中或密封的信封里面）；
用户部门及IT部门审批程序,申请表格之处理和保存(需抽样申请表格,可和上面的样本相同)
1、完整的用户帐号增加、修改、删除审批流程；
2、有与人力资源中心提供的入职、离职名单相匹配的用户帐号增加、删除记录；
系统密码设定
系统密码设定(应用系统层、操作系统层、网络层、数据库)
密码长度
密码最大更改日数
密码复杂性
备份制度
系统备份制度、核对(需抽样备份核对清单–参见附注)
1、完整在备份制度，包括数据备份及系统备份；
2、每天的自动备份文件应保留6天以上而不能每天自动覆盖；且要有每天的备份任务执行情况的检查记录；
3、应有多重的备份机制，如本地磁盘备份、磁带备份、光碟备份、异地备份；
4、应有完善的备用环境，如异地双机热备；
备份定期恢复测试制度和记录(需抽样备份恢复测试记录–参见附注)
异地备份制度
异地备份之物理安全(需抽样异地备份转移记录)
用户问题管理
用户就系统有关问题之管理制度、问题处理、问题严重性分级、上报机制、问题汇总和审核制度(需抽样问题处理记录–参见附注)
1、对问题管理应有完善的机制，包括问题收集、汇总，按严重性、紧急性分级，以及上报机制。
2、问题的处理应有跟踪反馈机制，确保问题被及时有效解决。
6
最终用户应用程序管理
对与财务报告有关之重要最终用户应用程序之管理制度(如用户编制含Macro等程序之Excel, Access等) (如适用)
1、相关软件的使用权（即正版软件）的购买应在预算中体现，并有购买的凭证；
2、对禁止使用盗版软件应有严格规定并依此执行；
2
信息安全
信息安全制度、用户信息安全意识
信息技术安全规章制度
令员工充份了解信息技术安全规章制度的措施
信息安全培训记录
1、制定完善的安全规章制度，并采取广泛的宣传措施将该制度灌输至每位公司职员。
2、规章制度写入员工手册并印发，新员工入职便能了解公司要求，并做定期培训，做好培训记录。
物理安全
机房物理安全规章
开发环境和测试环境之逻辑或物理分开之证明
参数变更
应用系统、操作系统、数据库系统参数变更管理规章制度
系统变更审批、测试(用户及IT)之步骤及记录(需抽样各阶段之文件及记录–参见附注)
紧变更
无法循正常变更流程的紧急变更管理规章制度、审批、测试(用户及IT)之步骤及记录(需抽样各阶段之文件及记录–参见附注)
4、机房显眼处应有机房管理制度；
用户权限设定
用户系统权限的列表
用户设置不同系统权限之制度和审批等步骤
不同权限是否显示在用户申请表上
(需抽样申请表格–参见附注)
1、用户权限组有详细的权限定义；
2、完整的用户帐号增加、修改、删除审批流程；
3、用户帐号审批流程中应体现具体的权限选择；
用户设定制度
增加、更改、删除系统用户的步骤
可重用旧密码次数
锁定用户前之容许错误登录次数
1、密码长度应大于8位、应由字母和数字组成或者再区分大小写、客户端密码变更的频率应有控制（如30天强制要求变更密码）；
2、错误密码登陆次数应不超过3次，且系统应用提示信息；
3、密码修改时应不允许与原密码相同的密码进行修改操作，应有历史密码控制策略；
4、对各种不同密码的变更频率及设置要求等应有完整的密码管理制度；
用户权限审阅
用户系统权限之定时审阅和复核,及有关记录(需抽样各阶段之文件及记录–参见附注)
1、对系统用户帐号的申请及权限分配等，应有定期进行复核的操作，并有相关文档记录，且文档应由相关领当定期审阅；
超级用户
应用系统、操作系统、数据库超级用户的申请、管理、使用审核的步骤和记录
拥有超级用户的人员名单
1、对系统超级用户的使用应有审批授权制度，并有相匹配的流程；
4
系统开发
(如适用)
系统开发方法论
系统开发方法论
系统开发流程
系统开发流程(审批、开发、测试、上线)
数据转换
数据转换制度(审批、测试、方案制定)
5
信息技术运作
批处理工作
日常系统批处理工作监察(需抽样批处理核对清单–参见附注)
对于批量处理的事务应有完整的流程相匹配，如需要对数据源的确认、批处理完成后数据的校对。
5、对备份介质应定期进行恢复测试，有相关业务部门进行确定数据的准确性，并保留相关记录，该记录要求有用户、信息部门、管理层签字确认；
6、异地备份的物理环境应同于实际业务环境，以确保实际环境发生意外时备用环境能立即切换启用；
7、对于异地备份根据区域的不同可有不同的定义，不一定要求在5公里以上的间隔距离；
3、测试环境与正式业务系统环境应有严格区分，并有证据证明（可截图说明）；
4、紧急变更中应体现允许时候补走流程的内容；
5、系统中应有系统变更的日志记录，以方便查询历史变更；
系统变更上线
系统变更上线审批之步骤及记录(需抽样文件及记录–参见附注)
开发人员和上线人员之分工(开发人员没有生产环境之权限)之证明
2、有完善的费用预算机制，有经过授权并正式签发的费用预算文件；有与公司战略相匹配的IT策略及每年的年度规划；
3、内部、与业务部门、与管理层之间的会议记录；
4、签订相关服务合同；
5、完善的风险评估机制，或引进专业风险评估机构；
6、提供数据流程图；
7、应建立内审机制并定期内审，以辅助外审，建议引进专业机构定期内审。