信息系统一般控制审计
注会审计：信息技术一般性控制审计
（⼀）信息技术⼀般性控制审计信息系统⼀般性控制是指为了保证信息系统的安全，对整个信息系统以及外部各种环境要素实施的、对所有的应⽤或控制模块具有普遍影响的控制措施。
信息技术⼀般控制通常会对实现部分或全部财务报告认定做出间接贡献。
有些情况下，信息技术⼀般控制也可能对实现信息处理⽬标和财务报告认定做出直接贡献。
这。
由于程序变更控制、计算机操作控制及程序数据访问控制影响到系统驱动组件的持续有效运⾏，注册会计师需要对上述三个领域实施控制测试。
信息技术⼀般控制包括程序开发、程序变更、程序和数据访问以及系统运⾏等四个⽅⾯。
1．程序开发程序开发领域的⽬标是确保系统的开发、配置和实施能够实现管理层的应⽤控制⽬标。
程序开发控制的⼀般要素包括:（1）对开发和实施活动的管理；（2）项⽬启动、分析和设计；（3）对程序开发实施过程的控制软件包的选择；（4）测试和质量确保；（5）数据迁移；（6）程序实施；（7）记录和培训；（8）职责分离。
2．程序变更程序变更领域的⽬标是确保对程序和相关基础组件的变更是经过请求、授权、执⾏、测试和实施的，以达到管理层的应⽤控制⽬标。
程序变更的⼀般包括以下要素：（1）对维护活动的管理；（2）对变更请求的规范、授权与跟踪；（3）测试和质量确保；（4）程序实施；（5）记录和培训；（6）职责分离。
3．程序和数据访问程序和数据访问这⼀领域的⽬标是确保分配的访问程序和数据的权限是经过⽤户⾝份认证并经过授权的。
程序和数据访问的⼦组件⼀般包括安全活动管理、安全管理、数据安全、操作系统安全、络安全和物理安全。
4．计算机运⾏计算机运⾏这⼀领域的⽬标是确保⽣产系统根据管理层的控制⽬标完整准确地运⾏，确保运⾏问题被完整准确地识别并解决，以维护财务数据的完整性。
计算机运⾏的⼦组件⼀般包括计算机运⾏活动的总体管理、批调度和批处理、实时处理、备份和问题管理以及灾难恢复。
信息系统一般控制审计过程实例解析
信息系统一般控制审计过程实例解析作者：张玉琳贺颖奇来源：《财会学习》2013年第11期随着信息技术在企业应用越来越广泛，信息系统控制和审计已经成为很多企业面临的迫切问题。
信息系统控制包括一般控制和应用控制两部分，一般控制包括规划与组织控制、系统建设控制、日常运行控制等。
应用控制与实际系统的业务有关，主要包括输入控制、处理控制、输出控制。
对一般控制的审计就是要获取证据鉴证在被审期间企业有关的制度和规程是否健全，计算机信息系统是否按规定的制度和规程工作，控制的作用是否达到了预期的结果。
一、信息系统审计的计划阶段计划阶段是信息系统审计过程的起点。
计划阶段的主要任务是了解被审计单位以及业务和系统运营情况；识别风险和内部控制；以及确定审计的性质、范围和重点等。
（一）了解被审计单位业务和系统运营情况审计人员首先需要了解被审单位的基本情况，主要包括业务和系统运营情况。
通过对这些基本情况的调查了解，可以对被审单位审计的固有风险进行初步评价。
本文对信息系统一般控制的审计实例以一家提供医疗保险服务的公司（以下以R公司代称）为背景。
R公司总部位于上海，在全国多地拥有分公司和业务部门。
公司信息部负责整个公司信息系统的管理和维护工作。
公司现在用的主要业务系统——医疗保险管理系统（HIMS）是由公司2003年自主研发的，系统于2005年进行测试，2006年3月正式运行使用。
到今天系统经过了多次改版和升级。
系统采用进行开发，后台数据库为SQL Server2005，医疗保险管理系统采用了B/s结构模式，现在服务器端操作系统为windows 7.0，客户端操作系统主要为Windows XP。
公司每年都投入资金对其硬件环境进行升级改造，目前共有服务器10台、计算机1200多台、交换机87台、硬件防火墙6台，打印机103台。
公司机房在上海总部办公大楼一楼，放置了温度、湿度探测器，同时配备了UPS不间断电源和自动灭火系统，为系统正常运行提供了保障。
《信息系统审计》 第3章
与传统手工控制相比，信息系统内部控制特点： 1、 控制的重点转向系统职能部门； 2、 控制的范围扩大； 3、 控制方式和操作手段由人工控制转为人工 控制与信息技术控制相结合。
内部控制分类： 从信息系统对象范围角度，信息系统可分为信息系 统环境和信息系统应用程序两部分组成。 因此，从该角度信息系统内部控制通常分为： 信息系统一般控制（即对信息系统环境的控制） 信息系统应用控制（即对应用程序的控制）
（2）场地（机房场地、信息存储场地）审查 审计内容：地址选择条件；温度、湿度条件； 照明、日志、电磁场干扰条件；接地、 建筑结构条件；防水、防火、防雷、防 磁、防尘措施等。 审计标准：标准GB/T 2887—2000
（3）机房审查 审计内容：防火、内部装修、供配电系统、 空调系统、火灾报警系统、消防设施、 防静电、防雷击等。 审计标准：标准GB 9361—1998（分为A、 B、C三类）
硬件控制与审计直接关系到信息系统的安全、可靠 的运行。其内部控制及其审计，主要涉及：
硬件设施的采购、运行、维护、监控和能力管 理等。 1、硬件基础设施采购控制 硬件基础设施采购控制应考虑的问题： 购买什么样的硬件？如何保障硬件的质量？ 主要控制包括： （1）招标书（ITT）或请求建议书（RFP）控制 要求： 全面明确说明所需设备用途、 任务 和要求，及对设备所处环境的描述。
（4）硬件设备应具有的基本控制功能因素 计算机设备应具有控制功能：重复处理控制、 回波检验、设备校验、有效性校验等。 可以通过审核硬件厂家的文献资料和书面凭 证确定。
2、硬件基础设施维护与监控 目的：提供系统正常运行的硬件基础设施保障。 控制措施包括： 形成维护计划（维护程序）并得到管理层批准； 维护的落实与监督检查； 维护变更的控制。
信息系统一般控制审计
信息系统一般控制审计一、应用系统开发、测试与上线审计A.应用系统开发审计（一）业务概述组织的信息系统开发根据方式不同，通常包括自主开发、外委开发、或者二者兼有的开发方式。
组织在进行信息系统开发时，应当根据自身技术力量、资金状况、发展目标等实际情况，选择适合自身的开发方式和合作伙伴。
应用系统开发工作包括需求分析、架构设计、软件实现、系统测试、用户测试、系统试运行、系统验收、系统上线、数据迁移和产品维护等内容。
（二）审计目标和内容审计目标：通过规范开发程序，提高信息系统开发的可控性、安全性、可靠性和经济性，揭示信息系统开发环节存在的风险及问题，提出完善信息系统开发控制的审计意见和建议，实现组织目标。
审计内容：开发组织机构设置、资源配置情况。
开发过程中与业务部门的沟通情况。
系统开发全过程的需求分析、架构设计、软件实现、系统测试、用户测试、系统试运行、系统验收、系统上线和数据迁移、产品维护等内容的质量、安全管理情况。
（三）常见问题和风险组织自主开发方式下的应用系统主要存在以下常见问题及风险：1.组织未成立专门的开发建设项目组，可能导致信息系统开发建设责任制未落实的风险。
2.信息系统开发工作缺乏必要支持。
组织内部无专业技术人员或是缺乏必要的财务支持，导致开发失败的风险。
3.信息系统开发过程没有业务部门人员参与，未定期与业务部门共同审核信息系统的开发建设情况，未及时发现系统不能满足业务的需要，可能导致与业务需求不相符的风险。
4.组织未制定合理的项目生命周期管理方案和符合质量管理标准的质量控制体系，不能有效控制开发质量；开发过程中未进行必要的安全控制，未对源代码进行有效管理和严格审查可能导致的风险。
5.项目需求说明书阐述业务范围及内容不清晰，未能结合需求制定出最优化的技术设计方案的风险。
开发环境、测试环境和生产环境未分离，网络未有效隔离，设备未独立于生产系统，开发人员直接接触生产系统，直接使用未经批准并脱敏的生产数据，导致泄密或造成生产系统受损的风险。
信息系统审计内容
信息系统审计内容一、信息系统审计内容概述信息系统审计对象，包括操作系统、主机、网络、数据库、应用软件、数据、管理制度等。
信息系统审计内容主要包括对组织层面信息技术控制、信息技术一般性控制及业务流程层面相关应用控制的检查和评价。
二、对组织层面信息技术控制的审计组织层面信息技术控制审计的内容包括：（一）控制环境内部审计人员应当关注组织的信息技术战略规划与业务布局的契合度、信息技术治理制度体系建设、信息技术部门的组织架构、信息技术治理的相关职权与责任分配、信息技术的人力资源管理、对用户的教育和培训等方面。
（二）风险评估内部审计人员应当关注组织在风险评估总体架构中关于信息技术风险管理流程，信息资产的分类及信息资产所有者的职责，以及对信息系统的风险识别方法、风险评价标准、风险应对措施。
（三）控制活动内部审计人员应当关注信息系统管理的方法和程序，主要包括职责分工控制、授权控制、审核批准控制、系统保护控制、应急处置控制、绩效考评控制等。
（四）信息与沟通内部审计人员应当关注组织决策层的信息沟通模式，信息系统对财务、业务流程的支持度，信息技术政策、信息安全制度传达与沟通等方面。
（五）内部监督内部审计人员应当关注组织的监控管理报告系统、监控反馈、跟踪处理程序以及对信息技术内部控制自我评估机制等方面。
三、对信息系统一般性控制的审计信息系统一般性控制是确保组织信息系统正常运行的制度和工作程序，目标是保护数据与应用程序的安全，并确保异常中断情况下计算机信息系统能持续运行。
信息系统一般性控制包括硬件控制、软件控制、访问控制、职责分离等关键控制。
审计人员应当采用适当的方法、合理的技术手段对信息系统建设的合规合法、信息系统的安全管理、访问控制、基础架构、数据保护以及灾难恢复等方面开展审计。
信息系统一般性控制审计应当重点考虑下列控制活动：（一）系统开发和采购审计内部审计人员应当关注组织的应用系统及相关系统基础架构的开发和采购的授权审批，系统开发所制定的系统目标以及预期功能是否合理，是否能够满足组织目标；系统开发的方法，开发环境、测试环境、生产环境的分离情况，系统的测试、审核、验收、移植到生产环境等环节的具体活动。
IT审计简述
IT审计概述：IT审计是分为：信息技术一般控制审计（ITGC)和应用层面控制审计（ITAC）1，ITAC（支持财审做对一些对具体余额的认定进行审计）ITAC即针对某一个应用软件的控制，例如对于银行来说，就有银行利息的计算软件。
那么审计这个计算过程对不对，就是ITAC了。
IT审计员会在系统中查看这个程序的源代码，看看利息是不是用借款乘以利率算出来的，另外，也会在系统中生成一个存款，然后看看系统计算的对不对。
2，ITGC（IT一般控制）但是我们知道，我们只能在一年中某已一个点来测试ITAC，如何保证在过去的一个财年内这个软件计算过程都是对的呢？这就需要ITGC是不是有效的，如果这个程序没有被乱篡改，所有的程序变更都事先得到了许可和授权，这个程序出问题的时候可以得到及时有效的解决，也就是ITGC有效的情况下，IT审计员就可以得出这个利率计算过程是有效的。
ITGC内容（可以先不看）：（1）ELC（entity level control）控制。
就是看看客户在IT治理方面的相关组织架构是否合理，书面的管理制度是不是健全，具体的审计程序就是获取客户的组织结构图，及一些比较虚的总纲类的书面管理制度如《IT 管理制度》等等。
（2）系统开发和变更。
就是关注系统开发和系统后续小变更中的一些控制，具体的审计程序就是获取系统开发及变更相关的管理制度典型的如《系统开发制度》《系统变更管理制度》等来看一看，再看系统开发是否经过了需求提出、可行性研究、领导层审批，系统上线之前是不是经过了充分的测试，获取一些内控痕迹和表单，如《××系统需求报告》、《××系统可行性报告》、《××系统立项审批单》、《××系统单元测试报告》、《××系统集成测试报告》、《××系统上线审批单》，然后变更方面比较重要的就是《变更审批单》，这个一般来说还要进行抽样，而上面的开发流程一般来说做一两个穿行测试就行了。
IT审计简述
IT审计简述IT审计概述：IT审计是分为：信息技术⼀般控制审计（ITGC)和应⽤层⾯控制审计（ITAC）1，ITAC（⽀持财审做对⼀些对具体余额的认定进⾏审计）ITAC即针对某⼀个应⽤软件的控制，例如对于银⾏来说，就有银⾏利息的计算软件。
那么审计这个计算过程对不对，就是ITAC了。
IT审计员会在系统中查看这个程序的源代码，看看利息是不是⽤借款乘以利率算出来的，另外，也会在系统中⽣成⼀个存款，然后看看系统计算的对不对。
2，ITGC（IT⼀般控制）但是我们知道，我们只能在⼀年中某已⼀个点来测试ITAC，如何保证在过去的⼀个财年内这个软件计算过程都是对的呢？这就需要ITGC是不是有效的，如果这个程序没有被乱篡改，所有的程序变更都事先得到了许可和授权，这个程序出问题的时候可以得到及时有效的解决，也就是ITGC有效的情况下，IT审计员就可以得出这个利率计算过程是有效的。
ITGC内容（可以先不看）：（1）ELC（entity level control）控制。
就是看看客户在IT治理⽅⾯的相关组织架构是否合理，书⾯的管理制度是不是健全，具体的审计程序就是获取客户的组织结构图，及⼀些⽐较虚的总纲类的书⾯管理制度如《IT 管理制度》等等。
（2）系统开发和变更。
就是关注系统开发和系统后续⼩变更中的⼀些控制，具体的审计程序就是获取系统开发及变更相关的管理制度典型的如《系统开发制度》《系统变更管理制度》等来看⼀看，再看系统开发是否经过了需求提出、可⾏性研究、领导层审批，系统上线之前是不是经过了充分的测试，获取⼀些内控痕迹和表单，如《××系统需求报告》、《××系统可⾏性报告》、《××系统⽴项审批单》、《××系统单元测试报告》、《××系统集成测试报告》、《××系统上线审批单》，然后变更⽅⾯⽐较重要的就是《变更审批单》，这个⼀般来说还要进⾏抽样，⽽上⾯的开发流程⼀般来说做⼀两个穿⾏测试就⾏了。
计算机信息系统的控制及其审计
计算机信息系统的控制及其审计[内容提要] 当信息处理的方式由手工转向计算机后,为了确保输出信息的及时、准确和完整，为防止或及时发现差错及舞弊行为的发生，信息系统的控制就显得尤为重要。
本章专门研究计算机信息系统的一般控制及应用控制的各种控制措施和管理制度及其审计问题。
本章最后还介绍了控制矩阵及其在信息系统控制审计中的应用。
第一节信息系统控制的重要性信息系统所提供的信息是投资者、债权人及企业经营管理者作出投资决策以及生产经营决策的重要依据，因此，如何才能确保信息的有效、准确、及时、完整和安全，是我们在设计和运行信息系统时所需考虑的一个重要问题，而这一问题的关键在于如何完善信息系统的控制。
一、控制的定义对一个企业来说，所谓控制是指企业经营管理者为了维护企业资产的安全、资源的有效利用和提高企业财会和管理信息的真实、正确性，确保企业方针政策的贯彻执行，促进各项工作与企业经营效率的提高而实施的各项措施。
内部控制由控制环境、风险评估、控制活动、信息与沟通和监督五部分构成。
一个良好的企业控制系统应具有以下4个方面的功能：1. 确保企业各种经济资源的安全。
一个企业，如果没有一套良好的控制企业经济资源的措施，就会发生各种经济资源的损毁、贪污、浪费、盗窃、丢失等现象，使企业蒙受损失。
所以，要采取有力的控制措施，有效地提高企业各种经济资源的安全，保护企业所有者的利益。
2. 确保各种经济信息、尤其是财会信息的准确、完整和及时性。
只有及时、准确、完整的经济信息，才能引导企业经营管理者正确地作出各种经济预测和决策，圆满实现企业的经营目标；反之，则会对企业的生产经营起误导作用，使企业在面临各种问题时，作出错误的选择。
可见，建立良好的信息系统控制，是保证信息质量的重要途径。
3.促进企业各部门工作效率的提高，使企业保持良好的运行效率。
提高企业各部门工作效率是保证企业良好运行，顺利实现企业经营目标的重要途径。
因此，在企业内建立一套有效的业绩考核和评估体系，使企业内形成一种相互激励，相互约束的竟争机制，可以大大提高企业对各种经济资源、人力资源的利用率，使企业保持良好的运行效率。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息系统审计
35
五、错误报告和错误处理方法
(1)仅拒绝有错误的事务。 (2)拒绝整批事务。 (3)暂停输入批次。 (4)整批接收并对错误事务做标志。
六、联机系统的输入完整性 七、内部审计与监测
信息系统审计
36
第二节 数据处理控制
一、规范的数据处理程序
二、数据确认和编辑检查程序
(1)顺序检查。 (2)极限检查。 (3)范围检查。 (4)有效性检查。
一级章节 第六章 信息系统一般控制审计
第一节 信息系统硬件 一、硬件获取
(一) 招标书
信息系统审计
20
1.组织环境 2.处理需求 3.硬件需求 4.系统软件 5.支持需求 6.适应需求 7.实施需求 8.约束条件
(二) 获取步骤
信息系统审计
21
(1)好转时间——发生故障时,帮助台或厂商从登录系统到解决问题所需的时间。 (2)响应时间——系统响应一个特定的用户查询所需的时间。 (3)吞吐量——单位时间内系统的有效工作量,吞吐量的衡量指标可以是每秒执行的指令。 (4)数或其他性能单位。 (5)负载——执行必要工作的能力,或系统在给定时间区间内能完成的工作量。 (6)兼容性——供应商提供的新系统对现有应用的运行支持能力。 (7)容量——新系统处理并发网络应用请求的数目,以及系统能够为每个用户处理的数据量。 (8)利用率——新系统可用时间与故障时间之比。
28
(二)逻辑环境的检查 (三)硬件基础设施的检查 (四)软件设施的检查
二、系统访问控制审计
(一)逻辑访问控制审计
(1)验证逻辑访问路径。
(2)检查逻辑访问控制软件。
(3)检查身份识别与验证。
(4)检查逻辑访问授权。
信息系统审计
29
(5)检查远程访问控制。 (6)利用审计日志检测系统访问。
(二)物理访问控制审计
五、灾难恢复与业务持续性审计
(1)评价被审计单位的业务持续性策略及其与业务目标的符合性、充分性和有效性。 (2)审核信息系统和终端用户以前所作测试的结果,验证业务持续性计划的有效性。 (3)审核异地应急措施及其内容、安全和环境控制,评估异地存储站点的适当性。 (4)审核应急措施、员工培训、测试结果,评估信息系统和终端用户在紧急情况下的有效反应能力 。
1.制订并核准有效的事件应对计划
信息系统审计
26
2.有效记录并确认事件 3.正确分析事件并采取适当行动
五、物理访问控制
第四节 职责分离 一、制定职责分离的管理制度
信息系统审计
27
二、员工明确其岗位职责 三、对关键岗位进行监控
第五节 一般控制审计程序 一、系统环境控制审计
(一)物理环境的检查
信息系统审计
三、校验审查
四、批控制和批平衡
(一)批控制的类型
(1)总金额:确认一个批次中被系统处理的项目总金额等于处理前项目金额之和。
信息系统审计
34
(2)总项目数:确认一个批次中的每一个文件中的项目总数等于被处理的项目总数。 (3)总文件数:确认一个批次中文件总数等于被处理的文件总数。 (4)杂数总和:确认一个批次中的所有文件中的数值类字段的总和(虽然不同类型字段加起来的值 并没有实际意义)等于系统计算出来的总和。
信息系统审计
24
4.并行处理能力 5.可移植性和可扩展性
二、软件获取与实施
第三节 访问控制 一、制定访问控制的制度、程序和计划
信息系统审计
25
(一) 访问控制要求 (二) 形成访问控制策略文件
二、实施有效的识别和认证机制
三、实施有效的授权控制
(一) 管理用户账号 (二) 控制进程和服务
四、执行有效的审计和监督
信息系统审计
32
(5)审核被审计单位对业务持续性计划的维护措施。
第七章 信息系统应用控制审计
第一节 数据输入控制 一、数据规划和设计 二、输入授权
信息系统审计
33
(1)在一批表格或源文件上签字,提供恰当的授权证据。 (2)在线访问控制,保证只有经授权的人可以访问数据或执行敏感的操作。 (3)唯一性口令,系统为每个用户分发相互区别的唯一口令,用户输入自己的口令来对系统实施授 权的操作并对数据变动承担责任。 (4)终端或客户工作站的识别,用于限制系统只接受由特定的终端、工作站和个人输入的信息。
三、系统网络架构控制审计
(一)局域网风险与控制审计 (二)客户机/服务器架构安全审计 (三)互联网安全控制审计 (四)网络安全技术应用的审计
信息系统审计
30
(五)网络基础架构审计
(1)审核网络拓扑图,确定网络结构及设施。 (2)审核对局域网的控制,保证体系结构的设计和选择遵循了适当的标准,以及获取和运行成本不 超过其效益,包括物理控制审核、环境控制审核、逻辑控制审核。 (3)远程访问审核。 (4)网络穿透测试。 (5)网络变更控制审核。
(二)批平衡的类型
(1)批注册:通过注册项对批总计进行人工记录,并与系统报告的总计进行比较。 (2)控制账户:使用控制账户是通过一个初始编辑文件来确定批总计。 (3)计算机一致:批总计的计算机一致是通过输入记录批总计的批标题细目来执行的。 (4)系统将其与计算出来的总计进行比较,再决定接受或拒绝本批次。
信息系统审计
37
(5)合理性检查。 (6)查表。 (7)存在性检查。 (8)击键校验。 (9)校验数位。 (10)完整性检查。 (11)重复检查。 (12)逻辑关系检查。
三、处理控制
四、数据与数据库安全控制审计
(1)审核信息系统在数据处理、传输过程中的数据加密、数字签名、数字信封、数字证书认证等 安全策略控制是否完整有效,评价系统数据的机密性、完整性和可靠性。
信息系统审计
31
(2)审核数据库的存取管理、安全管理和数据库加密技术,评价数据库的安全性。 (3)审核数据库用户的角色、权限管理、身份验证和访问控制等安全控制,评价数据库的安全性。 (4)审核数据库的备份和恢复策略,检查备份数据存放、安全、维护管理,确保数据库的可用性。
(三) 硬件获取过程的控制与审计
信息系统审计
22
二、硬件维护 三、硬件监控
(一)硬件错误报告 (二)可用性报告 (三)利用率报告
四、硬件的容量管理
信息系统审计
23
第二节 信息系统软件
一、信息系统软件组成
(一) 操作系统 (二) 数据库管理系统
1.程序开发的难易程度 2.数据库管理系统的性能分析 3.对分布式应用的支持