计算机信息系统控制审计
计算机和信息系统安全保密审计报告
文件制修订记录计算机和信息系统安全保密审计报告根据市国家保密局要求，公司领导非常重视计算机信息系统安全保密工作，在公司内部系统内开展自查，认真对待，不走过场，确保检查不漏一机一人。
虽然在检查中没有发现违反安全保密规定的情况，但是，仍然要求计算机使用管理人员不能放松警惕，要时刻注意自己所使用和管理的计算机符合计算机信息系统安全保密工作的规定，做到专机专用，专人负责，专人管理，确保涉密计算机不上网，网上信息发布严格审查，涉密资料专门存储，不交叉使用涉密存储设备，严格落实计算机信息系统安全保密制度。
通过检查，进一步提高了全公司各部门员工对计算机信息系统安全保密工作的认识，增强了责任感和使命感。
现将自查情况汇报如下：一、加大保密宣传教育，增强保密观念。
始终把安全保密宣传教育作为一件大事来抓，经常性地组织全体职工认真学习各级有关加强安全保密的规定和保密常识，如看计算机泄密录像等，通过学习全公司各部门员工安全忧患意识明显增强，执行安全保密规定的自觉性和能力明显提高。
二、明确界定涉密计算机和非涉密计算机。
涉密计算机应有相应标识，设置开机、屏保口令，定期更换口令，存放环境要安全可靠。
涉密移动硬盘、软盘、光盘、U盘等移动存储介质加强管理，涉密移动存储介质也应有标识，不得在非涉密计算机中使用，严防泄密。
非涉密计算机、非涉密存储介质不得以任何理由处理涉密信息，非涉密存储介质不得在涉密计算机中使用涉密信息。
涉密信息和数据必须按照保密规定进行采集、存储、处理、传递、使用和销毁。
计算机信息系统存储、处理、传递、输出的涉密信息要有相应的密级标识，密级标识不能与正文分离。
涉密信息不得在与国际网络联接的计算机信息系统中存储、处理、传递。
三、加强笔记本电脑的使用管理。
笔记本电脑主要在公司内部用于学习计算机新软件、软件调试，不处理涉密数据或文件。
四、计算机的使用人员要定期对电脑进行安全检查，及时升级杀毒软件，定时查杀病毒。
对外来计算机介质必须坚持先交计算机管理人员查杀病毒再上中转机使用的原则。
计算机审计学专业就业方向
计算机审计学专业就业方向计算机审计学是一门结合计算机科学和审计学的专业。
随着信息技术的飞速发展和企业对信息安全的重视，计算机审计学专业的就业前景越来越广阔。
本文将重点探讨计算机审计学专业的就业方向，并介绍相关的职业发展路径和能力要求。
一、就业方向1. 信息系统审计师：信息系统审计师负责对企业的信息系统进行全面评估和审计，确保信息系统的安全性、合规性和有效性。
他们需要熟悉计算机网络和安全技术，能够发现和解决信息系统中存在的风险和问题。
2. 数据分析师：数据分析师利用统计学和数据挖掘技术，对企业的数据进行分析和解读，为企业的决策提供科学依据。
计算机审计学专业的学生在数据处理和分析方面具有较强的能力，很适合从事数据分析工作。
3. 风险管理师：风险管理师负责对企业的风险进行评估和管理，帮助企业避免潜在的风险和损失。
计算机审计学专业的学生在学习过程中接触到了很多风险管理的知识和方法，具备较强的风险识别和评估能力。
4. 内部审计师：内部审计师负责对企业的内部控制和运营过程进行审计，发现和解决企业内部存在的问题和风险。
计算机审计学专业的学生熟悉企业内部控制和审计流程，能够胜任内部审计工作。
5. 信息安全专家：随着网络攻击和数据泄露事件的增多，企业对信息安全的需求不断增加。
信息安全专家负责保护企业的信息资产和敏感数据，预防和应对安全事件。
计算机审计学专业的学生在学习过程中接触到了信息安全的基础知识和技术，具备一定的信息安全专业能力。
二、职业发展路径1. 初级职位：毕业后，可以从基础的审计员、分析师等职位起步，熟悉企业的运营和审计工作流程，积累实战经验。
2. 中级职位：在初级职位上工作一段时间后，可以晋升为高级审计师、风险管理师等职位，负责更复杂的审计和风险管理工作。
3. 高级职位：在中级职位上积累丰富经验后，可以晋升为内部审计经理、信息安全专家等职位，负责团队管理和决策支持工作。
4. 顾问或独立咨询师：有一定经验和专业知识的计算机审计专业人士可以选择成为独立咨询师或顾问，为企业提供专业的审计和咨询服务。
计算机审计的工作内容
计算机审计的工作内容
计算机审计的工作内容包括对计算机系统本身的审计和对计算机辅助审计。
对计算机系统本身的审计包括系统安装、使用成本，系统和数据、硬件和系统环境的审计。
计算机辅助审计则包括用计算机手段进行传统审计，用计算机建立一个审计数据库，帮助专业部门进行审计。
此外，计算机审计还包括对系统内部控制进行调查、测试和评价，以及对电子数据直接进行测试，深入到计算机信息系统的底层数据库，通过对底层数据的分析处理，获得非财务信息、自行组合的新财务信息、财务数据与非财务数据组合的混合型信息等。
总的来说，计算机审计的目的是对企业的计算机系统进行全面和客观的评估，并提供相应的改进建议。
如需了解更多相关信息，可以查阅相关书籍获取。
计算机审计详细概述
计算机审计详细概述1. 概述计算机审计是指对计算机系统、应用程序、网络通信等进行检查和评估，以确保其合规性、安全性和有效性。
计算机审计的目的是评估组织的信息技术控制措施，发现并解决潜在的风险和问题。
本文将详细介绍计算机审计的各个方面，包括审计的目的、过程、方法和技术工具等。
2. 审计目的计算机审计的主要目的是帮助组织评估其信息技术控制措施，发现并解决潜在的风险和问题。
具体而言，审计的目标包括：•评估信息系统的安全性：检查系统和应用程序的安全设置，评估密码策略、身份验证和访问控制等安全措施。
•评估信息系统的可靠性：检查系统和应用程序的可靠性，包括备份和恢复策略、故障处理过程等。
•评估信息系统的合规性：确保系统和应用程序符合法律、法规和标准的要求，例如个人隐私保护法、数据安全标准等。
3. 审计过程计算机审计通常包括以下几个步骤：3.1. 筹备阶段在审计开始之前，审计师需要与组织内部的相关人员进行沟通，了解审计的范围、目标和要求。
同时，还需要收集相关文件和资料，包括安全策略、系统文档、日志记录等。
3.2. 风险评估审计师需要评估潜在的风险，确定审计的重点和范围。
这通常包括分析系统的安全漏洞、评估潜在的攻击风险、查找系统中的弱点等。
在确定审计的范围和重点之后，审计师需要制定详细的审计计划。
该计划应包括审计的时间表、审计的目标和具体的审计方法。
3.4. 数据采集与分析审计师需要收集并分析相关的数据和信息，包括系统日志、安全事件记录等。
通过对这些数据和信息的分析，审计师可以发现潜在的问题和风险。
3.5. 发现与解决问题在数据采集和分析的基础上，审计师需要发现并解决潜在的问题和风险。
这包括制定相应的改进措施、修复安全漏洞等。
审计师需要撰写一份审计报告，汇总审计的结果、问题和建议。
该报告应发送给组织的管理层和相关人员，以便他们了解审计结果并采取相应的措施。
4. 审计方法计算机审计可以采用多种方法和技术工具来实施。
第十一章 计算机审计与信息系统审计
第二节 信息系统审计概述
一、信息系统审计的必要性 随着信息技术的高速发展和企业信息化进程的
不断加快，企业对信息系统的依赖日益增强，信 息系统已经成为企业的重要资产。同其他资产一 样，信息系统也需要严格管理与控制，并应定期 进行审计。通过审计可以发现信息系统本身及其 控制环节的不足与缺陷，以便及时改进与完善， 从而使信息系统在企业的生产、经营和管理工作 中发挥更大的作用。
举例：
如图11.1所示，对现金余额的实质性测试包括对 银行账户余额的直接函证，对应收账款的实质性 测试包括对客户余额的直接函证。
交易
会计信息系统
过渡审计
符合性测试：确认内控存在 性；有效性和持续性。
图11.1 财务报表审计的结构
财务报告
.
现金
银行
应收账款
顾客
.
（确认余额）
.
财务报表审计信息系统审计的目标
审计目标是指审计主体通过审计实践活 动所期望达到的境地或最终结果，或者说 是审计活动的目的和要求。信息系统审计 的目标是对被审计单位的计算机信息系统 的安全性、可靠性、有效性和运行效率进 行审查与评价，并对存在的不足提出改进 意见，使之更完善。
1. 系统的安全性
系统的安全性是指构成信息系统的硬件、软件和数据 资源是否得到妥善保护，不因自然或人为的因素而遭到破 坏。
四、计算机审计的优越性
审计人员对信息技术的应用不再是任意的，而是必须 的。审计人员面对的评估数据大部分都是电子版，为了 审计而将电子版转化为书面版除了浪费是没有任何意义 的。更何况考虑审计自身的竞争压力，运用信息技术提 高审计的工作效率也是完全必要的。因为计算机审计具 有如下优越性：
1. 计算机生成的工作底稿更易读、更一致。这样的工作底稿更易存 储、访问和修改。
计算机信息系统功能的审计
《规范》对账务处理子系统的主要要求
2. 数据处理： ⑴提供根据审核通过的凭证登记账簿的功能，
计算出科目发生客和余额。 ⑵提供按规定期间进行结账的功能。 3 . 数据输出： ⑴提供对机内会计数据查询的功能。 ⑵提供记账凭证、账簿的打印输出功能，打
印的格式与内容符合统一会计制度规定。 （此条不作检测）
2.缺点：模拟系统的开发通常需要花费较 长的时间，开发或购买费用都较高；而 且，如果实际使用的系统更新，则模 拟系统亦要随之更新，相应要增加费用。
七、程序比较法
程序比较法——是一种通过把被审程序 与标准程序进行比较，进而确定二者是 否一致，被审程序功能是否正确的一种 审查方法。
七、程序比较法
（一）采用程序比较法进行审计的步骤 1 ．被审的应用程序曾被审查过且证实其处
二、程序编码审查法
（二）影响程序编码审查法有效性的因素 1 . 被审程序文档资料的详细程度与这些材
料反映被审程序的准确程度。 2. 被审程序的复杂程度。 3. 被审程序的编程语言和程序编写方式。 4.审计人员对程序语言和编程技术的精通
程度。
二、程序编码审查法
( 三）程序编码审查法的优缺点 1. 优点:审计人员审查的是程序的本身，
五、整体测试法
（一）采用整体检测法进行审查的步骤 3．在被审系统正常运行时，把虚构公司
的测试数据和被审单位的真实数据一起输 入系统处理。 4．把系统对虚拟公司测试业务的处理结 果与应有的正确结果比较，从而判断被审 系统的处理和控制功能是否正确。
五、整体测试法
（二）消除测试数据对被审单位真实数据 影响的方法
第一节 计算机信息系统功能 审计的目标
一、查明信息系统处理功能的合法性 二、查明信息系统处理功能的正确与恰
信息系统审计的指南—计算机审计实务公告
信息系统审计的指南—计算机审计实务公告计算机审计实务参考指南是一个相对完整的框架，用于帮助审计人员进行计算机审计工作。
以下是一个关于计算机审计实务的公告，介绍了信息系统审计的指南和一些建议，帮助审计人员进行有效的计算机审计工作。
尊敬的领导、各位同事：为了提高企业的信息系统安全性和风险管理水平，确保信息系统的正常运行和数据的可靠性，本公司决定进行一次信息系统审计。
为了便于大家的工作，制定了以下指南和建议，希望能够帮助大家有效地完成计算机审计工作。
1.审计目的和范围：明确审计的目的和范围，包括所审计的信息系统的规模和功能，以及需要审计的重点和关注的问题。
2.审计计划：制定一份详细的审计计划，包括审计的时间表、人员安排和审计程序。
确保审计工作可以按照计划进行，并保证每个环节都得到充分的关注。
3.风险评估：对信息系统的风险进行评估，确定可能存在的威胁和漏洞。
基于评估结果，确定审计的重点和关注的问题，优化审计资源的分配。
4.审计程序：根据审计目标和风险评估结果，制定相应的审计程序。
审计程序应该包括对系统漏洞的扫描和检测、对权限和访问控制的审查、对安全策略和控制措施的评估等。
5.数据采集和分析：采集所需的数据，并进行必要的分析。
数据的采集和分析是评估信息系统安全性和效率的关键步骤，必须进行全面和准确的数据采集，并进行合理的数据分析。
6.风险管理：根据审计发现的问题，制定相应的风险管理措施。
风险管理措施应该包括对系统漏洞的修复、对权限和访问控制的改进、对安全策略和控制措施的更新等。
7.审计报告：根据审计结果，编写一份详细的审计报告。
审计报告应该包括所审计的信息系统的概述和背景、审计的目的和范围、审计的程序和结果、审计发现的问题和建议等。
8.问题跟踪和改进：针对审计报告中的问题和建议，制定相应的改进计划，并跟踪实施情况。
确保问题得到及时解决，改进措施得以落实。
本次信息系统审计的指南和建议，主要是为了帮助大家更好地进行计算机审计工作，提高企业的信息系统安全性和风险管理水平。
计算机会计信息系统内部控制审计
了更新 的职责 和使命 ． 于价值增 值 的 任 ” ＳＡＳＮ ．将控 制界 定 为 ： 管理 层 管 理 与 控 制 体 系 ” 基 。Ｉ ｏ １ “ ：关 于 内 部 控 制 。 内 “
目标 ， 内部 审 计 更 强 调 服 务 职 能 ． 服 为 达成 既 定 目的及 目标 所采 取 的各 种 部审 计 活动 应该 评 价控 制 的效 率 与效 将 促 以 务与监督 放在 同等重 要的位 置 风险导 行 动 ” ，它特 别 声 明 ： 本 说 明 书 所 称 果 、 进 控 制 的 不 断 改 善 ． 此 来 帮 助 “ 向 内 部 审 计 的 职 能 是 以 确 认 与 咨 询 为 ‘ 理 层 ’ 管 包括 组 织 内负 责 制 定 及（ 组织保 持有效 的控制 ”关 于公 司治 理 ， 或１ ； ． 管 内部 审 计 活 动 应 该 评 价 并 改 进 组 织 的 主 要 内 容 的 监 督 职 能 与 服 务 职 能 的 融 达 成 目 的 任 何 人 ” 而 且 “ 理 层 和 内 “ 合 ． 两 项 职 能 都 是 紧 密 结 合 内部 审 计 部 审 计 人 员 所关 心 的是 广 义控 制 ． 这 外 治 理 程 序 ， 组 织 的 治 理 作 贡 为 风 险管理 与公 司 治理
公 司治理 服务 。风 险 导 向 内部 审计 的
目标 由 微 观 转 向宏 观 。将 其 目标 与 组 审计 的对象 扩展 到风 险管 理 、控 制 和 关 注 点 转 向 了 科 学 决 策 ． 因 此 风 险 是 织 的 目标 联 系 在 一 起 ．开 始 关 注 组 织 治 理 程 序 。 风 险 作 为 一 种 核 心 理 念 ． 必 须 考虑 的 因 素 就后 者 而 言 ． Ｏ Ｏ 而 Ｃ Ｓ 的 战 略 方 向 ．评 估 和 改 善 组 织 的 风 险 贯 穿 在 整 个 内 部 审 计 过 程 中 委 员 会 的 Ｅ Ｍ 框 架 报 告 认 为 ．Ｒ Ｒ Ｅ Ｍ
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机信息系统控制审计
学习目的
通过学习，我们要掌握以下三个问题：
◆一、在信息技术环境下，审计有什么改变？
◆二、信息技术环境下控制测试的范围。
◆三、信息技术一般控制与运用控制的关系，及其如何影响实质性测试？
案例1.1信息系统环境下控制测试
•华兴集团公司是今明会计师事务所的常年审计客户，上年度各项内部控制设计合理并运行有效。
注册会计师正在对华兴集团公司本年度的内部控制进行了解，并评估重大错报风险。
华兴集团公司有20余家子公司。
2018年初，为了满足集团公司对财务信息实时性、准确性、真实性的要求，推行企业信息化管理。
通过与ERP系统开发公司的协商，购进新开发的ERP系统并投入使用。
由于采用ERP系统，财务核算人员由原来的163减至61人。
案例1.1信息系统环境下控制测试
•注册会计师了解采购与付款循环时，注意到供货单位的发票信息由会计部输入，并由计算机将其与其他信息（订购单等）相核对。
在收到货物时，由验收部门将验收入库信息输入计算机系统，计算机会自动生成一份入库单，由仓库审核后自动更新存货记录。
计算机能够自动将订购单、验收单、入库单和供货单位的发票上的信息（如供货单位、型号、规格、单价等）相核对并经审批后开出未付凭单。
付款部门根据未付凭单打印出支票，计算机自动将该未付凭单标记，防止重复付款。
通过询问采购人员，发现有一供货商将同一笔交易发来两张不同编号的发票，在月末存货监盘时发现重复记录购货，追回了多付的货款。
后来公司加强了该系统的手工校验程序。
案例1.1分析与思考
•1.信息系统下控制测试的范围如何变化？为什么？
•2.分析信息系统控制存在什么缺陷？这些缺陷影响哪些认定？如何应对？
信息技术对审计过程的影响
•对审计线索的影响;
•对审计技术手段的影响;
•对内部控制的影响;
•对审计内容的影响;
•对注册会计师的影响。
上信息系统后，审计的不变
•不变：
•注册会计师制定审计目标、进行风险评估和了解内部控制的原则性要求，基本审计准则和财务报告审计目标在所有情况下都适用。
•内部控制的目标
•人工控制的基本原理与方式
信息系统下控制测试
•1.人工控制的基本原理与方式在信息环境下并不会发生实质性的改变，注册会计师仍需要按照标准执行相关的审计程序
•2.对于自动控制，就需要从信息技术一般控制审计、信息技术应用控制审计以及公司层面信息技术控制审计三方面进行考虑
公司层面信息技术控制
•公司层面信息技术控制是公司信息技术整体控制环境，决定了信息技术一般控制和信息技术应用控制的风险基调。
包括：
•对于信息技术的重视程度和依赖程度
•信息技术复杂性
•对于外部信息技术资源的使用和管理情况
•信息技术风险偏好
•这些要素会影响该公司的信息技术一般控制和信息技术应用控制的部署和落实。
信息系统一般性控制
•信息系统一般性控制是指为了保证信息系统的安全，对整个信息系统以及外部各种环境要素实施的、对所有的应用或控制模块具有普遍影响的控制措施，信息技术一般控制通常会对实现部分或全部财务报告认定做出间接贡献。
•信息技术一般控制是基础，信息技术一般控制的有效与否会直接关系到信息技术应用控制的有效性是否能够信任。
信息技术应用控制
•信息技术应用控制是指主要在业务流程层次运行的人工或自动化程序，与用于生成、记录、处理、报告交易或其他财务数据的程序相关，通常包括：
•检查数据计算准确性，
•审核账户和试算平衡表，
•设置对输入数据和数字序号的自动检查，
•对例外报告进行人工干预。
•应用控制是设计在计算机应用系统中的、有助于达到信息处理目标的控制。
如何确定系统控制测试的范围？
•信息系统对控制的影响，取决于被审计单位对信息系统的依赖程度。
•与财务报告相关的控制活动一般由一系列手工控制和自动控制所组
成。
自动控制程度愈高，信息系统对控制的影响愈大。
•无论被审计单位运用信息技术的程度如何，注册会计师均需了解与审计相关的信息技术一般控制和应用控制。
•在理论上，测试每个自动系统控制时都要与其对应的手工控制一起进行测试，才能得到控制是否可信赖的结论。
信息系统审计关联范围表
对信息系统的依赖程度对系统环境的了
解与评估（是/
否）
验证手工控
制（是/否）
验证系统应用
控制（是/否）
了解、验证系统一
般性控制（是/否）
（1）不依赖信息系统是否否否
（2）仅依赖手工控制，此类
手工控制不依赖系统所生成
的信息或报告
是是否否
（3）仅依赖手工控制，此类
手工控制依赖系统所生成的
信息或报告，审计需要通过
实质性程序来验证控制有效
性
是是否否(4) 同时依赖手工及自动控制是是是是
信息技术审计范围影响因素
•注册会计师应当按信息系统各自特点制定审计计划中包含的信息技术审计内容•如果注册会计师计划依赖自动控制或自动信息系统生成的信息，那么他们就需要适当扩大信息技术审计的内容。
•影响信息技术审计范围影响因素：
•企业业务流程复杂度
•信息系统复杂度
•系统生成的交易数量
•信息和复杂计算的数量
•信息技术环境规模和复杂度
•如果注册会计师计划依赖自动控制或自动信息系统生成的信息，那么他们就需要适当扩大信息技术审计的范围。
信息技术审计的范围与被审计单位在业务流程及信息系统相关方面的复杂度成正比。
IT控制如何影响控制风险和实质性程序？
•首先针对每个具体的审计目标，了解和识别相关的控制与缺陷。
在此基础上，对每个相关审计目标评估初步控制风险。
•但对于一般控制而言，由于其影响广泛，注册会计师通常不将控制与具体的审计目标相联系。
•如果一般控制有效，注册会计师可以更多地信赖应用控制，测试这些控制的运行有效性，并将控制风险评估为低于“最高”水平。
•如果一般控制无效，增加了应用控制，也不能防止或发现并纠正认定层次重大错报的可能性，即使这些应用控制本身得到了有效设计，注册会计师也不应当信赖应用控制。
•如果针对某一具体审计目标，注册会计师能够识别出有效的应用控制，在通过测试确定其运行有效后，注册会计师能够减少实质性程序。
一般控制评价结果的影响 无效
有效 一般
控
制
增加应用控制，也不能防止或发现并纠正认定层次
重大错报风险，不应信赖应用控制 更多地信赖应用控制，测试这些控制的运行有效性，
并将控制风险评估为低于“最高”水平
谢谢大家！。