下半年注册内部审计师：信息系统安全模拟试题
吉林省2015 年下半年注册内部审计师：信息系统安全
模拟试题
一、单项选择题（共25题，每题 2 分，每题的备选项中，只有 1 个事最符合题意）
1、评价工作绩效最失效的方法是
A: a?特质导向法
B: b?行为导向法
C: c.结果导向法
D: d.目标导向法
2、以下哪项不是出具中期报告的优势
A :正式的书面中期报告打消了对特定情形的审计报告的需要
B：中期报告使需要立即引起关注的信息得到沟通
C:中期报告可以是非正式的，可以只通过口头来传递
D :缩短撰写最终报告的时间
3、通用审计软件（GAS）允许审计师
A :监控应用程序的执行；
B:对包含实际数据和虚拟数据的主文件进行数据测试；
C:从文件中选择抽样数据项和检查计算结果；
D:在日常应用程序中插入特定的审计方法。
4、近年全球发生了一些灾难，鉴于灾难可能对其组织造成破坏性影响，内部审
计师应该鼓励管理者制定危机管理程序，识别制定危机管理程序的第一步工作是
什么？
A:制定应急计划
B:开展风险分析
C:创建危机管理小组
D:练习对危机的反应
5、已验收货物未被记录在案可能引发的问题是
A:错误的库存缺货报告
B:签收已注销订单
C:签收未订购商品
D :签收重复运单
6、管理人员在填写一份内部控制查问卷时对每一个问题都回答“是”，并声明所有列示的要求及控制活动都是他们程序的一部分。某内部审计师在进行初步调查访问时从管理人员处取回了调查问卷，但没有在现场复核管理人员回答的情况。该内部审计师的主管人对上述程序不满的原因是
A:业务信息应以某种方式得到证实；
B:不能依赖内部控制调查问卷；
C:管理人员填写调查问卷时内部审计师不在场；
D:调查问卷的设计没有涉及会计操作和控制。
7、内部审计人员向内部审计主管报告可能存在的舞弊行为。主管将该整个案件移交给安全部门。但安全部门却未对该案件进行调查并及时向管理层报告，直到两年以
后才有一名直线经理发现嫌疑人的持续舞弊行为。审计主管当时应采取的恰当措施应当是
A :主管的做法是正确的。
B:主管人员应当定期协同安全部门复核案件处理情况；
C:主管人员应当直接实施调查；
D:主管人员应当解雇嫌疑人
8、某公司上一年度的流动比率增加而速动比率降低，以下解释中最能说明这一现象的原因是
A :付账款的大量增加，影响了流动比率但不影响速动比率。
B:存货价格大幅度上涨。
C:收账款大幅度增加。
D:形资产余额大幅度增加，影响了流动比率但不影响速动比率。
9、审计人员定期评价控制措施及控制程序。下列陈述哪项是内部审计师认为的最佳内部控制概念
A :管理当局定期地解雇未达到预期业绩的员工；
B:管理当局采取措施提高实现既定目标的可能性；
C:控制表示会计师及审计师设计的用以保证处理过程正确性的特定程序；
D:控制程序应当自下而上设计以确保对各具体细节问题的关注。
10、下列哪项能够解释内部审计复核控制系统恰当性的主要目标
A: a协助明确完成审计目标必须进行的测试的实质、时限以及范围；
B： b.保证内部控制系统的重大缺陷已被修正；
C: c.明确内部控制系统能够合理保证组织目标有效和经济地实现；
D: d.明确内部控制系统能够保证会计记录正确以及财务报表公允表达。
11、内部审计师编制工作底稿主要有利于
A:外部审计师；
B:内部审计活动；
C:业务客户；
D:管理高层。
12、一家软件公司的一名程序员正在使用一种语言来编程序，该语言能用一一对应的符号代码来替换二进制操作代码和内存地址，根据以上信息及计算机知识可知这种语言是
A: a咼级语言
B： b.非程序语言
C: c.机器语言
D: d.汇编语言
13、下列X 条形图是一个健康保险公司应用计算机输出结果监督医生为各种外科治疗过程所开账单金额的例子。图上标注的数据表明
A: a.随机变化
B：b. 非正常变化
C：c. 正常变化
D ： d. 循环变化
14、在对资金运营的保证审计业务中，要求内部审计师应考虑如下因素，除了
A :审计委员会要求保证资金运营部门遵守一项有关金融工具使用方面的新政策。
B:资金运营部门的管理层还没有制订任何风险管理政策。
C:由于近期出售某分部，资金运营部门所管理的现金和可出售的有价证券增加了350％
D:外部审计师指出在获取账户函证方面存在一些困难。
15、以下哪项审计程序在确定供应商发票在得到及时处理的同时，公司能最大限度的运用现金方面最为有效
A:确定收到供应商发票到相应的支付日期之间的处理时间间隔；
B:与应付账款经理交谈，确定处理供应商发票的程序和标准；
C:将供应商发票应付日与注销支票注明的支付日进行比较；
D:将收到供应商发票的印戳日期与相应的支付日期进行比较。
16、以下哪些控制措施能够防止订购数量超出公司需要？
A:在向采购部门提交采购申请书之前，由用户部门的一位监督人员审查所有采
购申请书；
B:当系统显示低库存水平时由采购部门自动重新订货；
C: 一项要求在接收一批新的货物之前审查采购订单的政策；
D: —项要求在储存新收到的货物之前确认收货报告和装货单保持一致的政策。
17、某个企业家购买了一个电子表格软件，它只能在办公室一台个人电脑上使用。以下哪项行动最可能不违反软件授权协议？
A :作一个备份
B:将电子表格软件安装在多用户的网络上
C:在家里为了私人目的使用电子表格软件
D:将电子表格软件重新出售
18确认以前已经报告过的问题领域，以便进一步采取跟踪措施。U、再进一步
审查时排除以前已经审计过的领域。川、了解被审计领域的业务程序和控制活动。
切、理解管理层关注的问题或提出的要求。
A :只有川是对的。
B:只有U和川是对的。
C:只有I和川是对的。
D:只有I、川和切是对的。
19、内部控制仅能为组织的目标和目的有效和效果的实现提供合理的保证。以下哪些因素限制了内部控制实现上述目标的可能性
A :内部控制的成本不应超出其收益
B:管理层监督业绩
C:内部审计师的首要职责是检查舞弊
D :审计委员会是能起作用的，独立的
20、如果审计师运用的是非统计抽样，而不是统计抽样。下列哪个正确？
A:存货预计价值的可靠性下降
B:精确度会提高
C:置信水平不能被量化
D:误受风险增加
21、为提高内部审计师的效率，内部审计师可以依赖外部审计师的工作，如果
A :外部审计工作是在内部审计工作之后开展的；
B:外部审计工作主要关注经营目标和活动；
C:外部审计工作与内部审计工作协调；
D:外部审计工作的开展遵守了道德规范。
22、内部审计师在对货运部门进行运营审计。他从货运部门的文件中选择了45
份货运日志作为样本，其中44 天的日志的装运数量达到了日常限额。根据上述测试结果，内部审计师得出结论，货运部门在完成限额任务方面是有效的。有关内部审计师的结论，以下哪项是准确的
A:选择用以证实结论合理的样本量不适当；
B:货运部门在完成其职责方面是有效的；
C:这个结论打消了进行任何效率测试的念头；
D:上述答案都不正确。
23、对外部审计师工作的监督，包括对内外部审计部门协调情况的监督，归根到底属于谁的职责？
A :董事会的职责。
B:审计执行主管的职责。
C:财务总监的职责。
D :外部审计业务合作伙伴的职责。
24、业务的最后沟通强调了薪金支付部门的缺陷，并提出了纠正活动的建议。这对公司的以下哪类人员最有用
A :财务人员
B:董事会下属的审计委员会
C:薪金支付部门经理
D:总裁
25、财务报告期的合规性审计正处于规划阶段。审计人员特别关注季度报告中可能为竞争对手利用的敏感性信息。这类敏感性财务数据的签发由谁决定？
A:财务副总裁；
国际信息系统审计标准(中文版)
信息系统审计标准 S1-审计章程 导言 01 ISACA 标准和其它相关指南包含强制性的基本原则和重要程序（以粗体标出）。 02 制定信息系统审计标准的目的是就审计章程在审计程序中的运用制定和提供指南。 标准 03 信息系统审计职能或信息系统审计任务的目的、责任、授权方和义务应在审计章程或委托书中予以正确的登载。 04 审计章程或委托书应在组织内的适当层次得到同意和通过。 注释 05 对于内部信息系统审计职能，应为所有进行中的业务活动制定一份审计章程。审计章程应通过年度审查。如果责任发生变动或变化，则应缩短审查周期。内部信息系统审计师可用委托书来进一步澄清或确认参与特定的审计或非审计任务。外部信息系统审计师参与每项审计或非审计任务通常应当准备委托书。 06 审计章程或委托书应足够详细以便能表达审计功能或审计任务的目的、责任和限制。 07 审计章程或委托书应定期审查，以确保（审计的）目的和责任已经记录在案。 08 如需有关准备审计章程或委托书进一步的信息，应参考下列指南： 信息系统审计指南G5，审计章程 COBIT 框架，监控目标M4 实施日期 09 此ISACA 标准适用于所有信息系统的审计，于2005 年1 月1 日起（之后）实施。 信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以 实现这个目标是信息系统审计与控制协会（ISACA?）的宗旨之一。信息系统审计标准的发展和传播是ISACA 为审计业界作出专 业贡献的基础。信息系统审计标准的框架提供了多层次的指引： 标准为信息系统审计和报告定义了强制性的要求。它们宣告： –根据ISACA 职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。 –管理层和其他利益方对执业者在专业工作上的期待。 –认证信息系统审计师（CISA?）资格持有人的相关特定要求。CISA 资格持有人未能遵守上述标准的可能会导致ISACA 董事会或相应ISACA 委员会对其进行调查直至最终的纪律处分。 指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离 标准的做法应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。 程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的 信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。COBIT?资源应被当作最佳操作实施指南的来源。COBIT 框架强调，“保护企业的所有资产是管理层的责任，为履行这一责任以及 实现企业的期望，管理层必须建立起一套完善的内部监控体系。” COBIT 为信息系统管理环境提供了详细的监控和监控方法。
涉密计算机信息系统的安全审计
涉密计算机信息系统的安全审计 来源：CIO时代网 一、引言 随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。 在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地区、跨网段、集中管理才是综合审计系统最终的发展目标。 本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后的发展方向做出了讨论。 二、什么是安全审计 国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，简称“五性”。安全审计是这“五性”的重要保障之一，它对计算机信息系统中的所有网络资源(包括数据库、主机、操作系统、安全设备等)进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。 近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况，就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。 为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据资源等进行监控和管理，在必要时通过多种途径向管理员发出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作用有以下几个方面： 1. 对潜在的攻击者起到震慑和警告的作用; 2. 对于已经发生的系统破坏行为提供有效的追究证据; 3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞; 4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要改进和加强的地方。 三、涉密信息系统安全审计包括的内容 《中华人民共和国计算机信息系统安全保护条例》中定义的计算机信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。涉密计算机信息系统(以下简称“涉密信息系统”)在《计算机信息系统保密管理暂行规定》中定义为：采集、存储、处理、传递、输出国家秘密信息的计算机信息系统。所以针对涉密信息系统的安全审计的内容就应该
国际注册内部审计师实务框架1
职业道德规范 《职业道德规范》的建立对于内部审计职业必要而又适用,它是给予内部审计对风险管理、控制和治理作出的客观确认以信任的基础。协会的《职业道德规范》延展了内部审计的定义，包括两个基本部分： 1.与内部审计职业和实务相关的原则； 2.描述内部审计师行为规范的行为规则。这些规则有助于将上述原则运用于实践中，目 的在于指导内部审计师的道德行为。 《职业道德规范》与协会的实务框架和其他相关的公告一起，为服务于他人的内部审计师提供指导。“内部审计师”指协会会员，IIA职业资格的获得者或申请者以及那些在内部审计定义范围内提供内部审计服务的人。 适用性与执行 《职业道德规范》既适用于提供内部审计服务的个人，也适用于提供内部审计服务的团体。 对于协会会员、IIA职业资格的获得者或申请者，违反《职业道德规范》将根据协会的规章和行政指南予以评价和管理。在行为规则中没有提及的特殊行为，如果其无法接受或有损信誉，会员、资格获得者或申请者有责任接受纪律处罚。 原则 内部审计师应运用并信守以下原则： 1 内部审计师的公正建立信用，从而为对其判断的信任提供基础。 2 在收集、评价和沟通有关被检查的活动或过程的信息时，内部审计师展示其最大限度的职业客观。在作出判断时，内部审计师不受其个人喜好或他人的不适当影响，对所有相关环境作出公正的评价。 3 内部审计师尊重其获取的信息的价值和所有权，没有适当授权不得披露信息，除非是在有法律或职业义务的情况下。 4 内部审计师在执行内部审计业务时能够使用所需要的知识、技能和经验。 行为规则 公正 内部审计师： 11应当诚实、勤恳并负责地开展工作。 12应当遵守法律，按照法律及职业要求进行披露。
信息系统安全审计管理制度
信息系统安全审计管理制度 第一章工作职责安排 第一条安全审计员的职责是： 1.制定信息安全审计的范围和日程； 2.管理具体的审计过程； 3.分析审计结果并提出对信息安全管理体系的改进意见； 4.召开审计启动会议和审计总结会议； 5.向主管领导汇报审计的结果及建议； 6.为相关人员提供审计培训。 第二条评审员由审计负责人指派，协助主评审员进行评审，其职责是： 1.准备审计清单； 2.实施审计过程； 3.完成审计报告； 4.提交纠正和预防措施建议； 5.审查纠正和预防措施的执行情况。 第三条受审员来自相关部门，其职责是： 1.配合评审员的审计工作； 2.落实纠正和预防措施； 3.提交纠正和预防措施的实施报告。 第二章审计计划的制订
第四条审计计划应包括以下内容： 1.审计的目的； 2.审计的范围； 3.审计的准则； 4.审计的时间； 5.主要参与人员及分工情况。 第五条制定审计计划应考虑以下因素： 1.每年应进行至少一次涵盖所有部门的审计； 2.当进行重大变更后（如架构、业务方向等），需要进行一次涵盖所有部门的审计。 第三章安全审计实施 第六条审计的准备： 1.评审员需事先了解审计范围相关的安全策略、标准和程序； 2.准备审计清单，其内容主要包括： 1)需要访问的人员和调查的问题； 2)需要查看的文档和记录（包括日志）； 3)需要现场查看的安全控制措施。 第七条在进行实际审计前，召开启动会议，其内容主要包括：1.评审员与受审员一起确认审计计划和所采用的审计方式，如在审计的内容上有异议，受审员应提出声明（例如：限制可访问的人员、可调查的系统等）；
2.向受审员说明审计通过抽查的方式来进行。 第八条审计方式包括面谈、现场检查、文档的审查、记录（包括日志）的审查。 第九条评审员应详细记录审计过程的所有相关信息。在审计记录中应包含下列信息： 1.审计的时间； 2.被审计的部门和人员； 3.审计的主题； 4.观察到的违规现象； 5.相关的文档和记录，比如操作手册、备份记录、操作员日志、软件许可证、培训记录等； 6.审计参考的文档，比如策略、标准和程序等； 7.参考所涉及的标准条款； 8.审计结果的初步总结。 第十条如怀疑与相关安全标准有不符合项的情况， 审计员应记录所观察到的详细信息(如在何处、何时，所涉及的人员、事项，和具体的情况等)并描述其为什么不符合。关于不符合的情况应与受审员达成共识。 第十一条在每项审计结束时应准备审计报告，审计报告应包括： 1.审计的范围； 2.审计所覆盖的安全领域；
isaca_cisa_信息系统审计标准_审计独立性_s2
信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以实现这个目标是信息系统审计与控制协会（ISACA?）的宗旨之一。信息系统审计标准的发展和传播是ISACA为审计业界作出专业贡献的基础。信息系统审计标准的框架提供了多层次的指引： 标准为信息系统审计和报告定义了强制性的要求。它们宣告： – 根据ISACA职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。 – 管理层和其他利益方对执业者在专业工作上的期待。 – 认证信息系统审计师（CISA?）资格持有人的相关特定要求。CISA资格持有人未能遵守上述标准的可能会导致ISACA 董事会或相应ISACA委员会对其进行调查直至最终的纪律处分。 指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离标准的做法应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。 程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的 信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。 C OBI T?资源应被当作最佳操作实施指南的来源。C OBI T框架强调，“保护企业的所有资产是管理层的责任，为履行这一责任以及实现企业的期望，管理层必须建立起一套完善的内部监控体系。” C OBI T为信息系统管理环境提供了详细的监控和监控方法。 基于特殊的C OBI T信息技术程序选择和对C OBI T信息标准的考虑来选用与特定审计范围最相关的材料。 依C OBI T框架中所定义，以下各项由IT管理程序进行组织。C OBI T为商业及IT管理层以及信息系统审计师而计，所以它的运用有助于商业目标的理解，最佳操作实施的交流和围绕已经达成共识和广受尊重的标准参考体系的意见的形成。C OBI T包括： 监控目标—广义上所需达到的最低限度良好监控之总括和详述。 监控实施—监控目标的实务原理和“如何实现”监控目标的指南。 审计指南—对于不同监控领域，如何理解和评估各种监控，考核监控的符合性和证实失控风险的指南。 管理方针—如何运用成熟度模型，指标和关键性成功因素等方法来评估和提高IT程序执行绩效的指南。它们提供一种针对管理层的框架应用于连续性和自发性的监控自我评估，特别专注于： – 绩效衡量—IT功能支持商用需求效果如何？管理方针既可用于支持自我评估的专题研讨，也可被管理层作为IT管治方案的一部分，用以支持持续监督和程序改进的推行。 – IT监控概况—哪些IT程序是重要的？哪些是监控的关键性成功因素？ – 监控意识—达不到目标会有哪些风险？ – 监控基准—其他人做了什么？如何衡量和比较结果？管理方针提供了对IT绩效的范例指标，可用于商业意义上对IT执行绩效的评估。关键的目标指标可以识别并衡量IT程序的成果，同时关键的执行绩效指标可以通过衡量程序的实现者来评估程序的执行绩效。透过成熟度模型和成熟度属性提供能力评估和基准，帮助管理层衡量监控能力，找到差距并提出相应改善策略。 术语表可在ISACA的网站：https://www.360docs.net/doc/f05462462.html,/glossary上查阅。审计和审查这两个词可以互换使用。 免责声明根据ISACA职业道德规范中对职业责任的规定，ISACA设计本指南作为执行绩效所应达到的最低标准。ISACA并未声明使用此产品一定会出现成功的结果。本出版物不能被视作包括所有合适的程序和测试，也不能被视作排斥通过合理引导获得同样结果的其它程序和测试。在决定任何具体的程序或测试的合理性时，监控专业人士应根据其自身的专业判断来判别由特定系统或信息技术环境产生的特定监控条件。 ISACA标准管理委员会致力于为信息系统审计标准、指南和程序的制定作出广泛的咨询。在发布任何文件之前，标准管理委员会向全球提供公开草案，供大众评论。标准管理委员会也寻求相关领域的专家和相关人士对必要处提出咨询意见。标准管理委员会现有研发计划，欢迎ISACA成员和其它相关人士报告任何新出现问题及其所需的新标准。所有建议请电邮至 (standards@https://www.360docs.net/doc/f05462462.html,)。或传真（+1.847.253.1443）或写信（地址在文件末尾）至ISACA国际总部，收件人注明研究标准和学术关系主任。本材料于2004年10月15日颁布。
简述信息系统审计的主要内容--(出自第七单元)
第1页（共3页） 管理学作业答题纸 管理信息系统作业02（第5-8单元）答题纸 学籍号：姓名：分数： 学习中心：专业：____________ 本次作业满分为100分。请将每道题的答案写在对应题目下方的横线上。 题目1 [50 分] 答：内部控制制度审计：为了保证信息系统能够安全可靠地运行，严格内部控制 制度十分必要，它可以保证数据功能所产生的信息具有正确性、完整性、及时性 和有效性。 应用程序审计：计算机应用程序审计是信息系统审计的重要内容，这是因为企业 处理经济业务的目的、原则和方法都体现在计算机程序之中，他们是否执行国家 的方针政策，是否执行财经纪律和制度也往往在应用程序中体现出来。 数据文件审计：数据文件审计包括由打印机打印出来的数据文件和存储在各种介 质之上的数据文件的审计，包括会计凭证、会计帐本和会计报表，需要通过信息 技术进行测试。主要包括三个方面： 测试信息系统数据文件安全控制的有效性； 测试信息系统数据文件安全控制的可靠性； 测试信息系统数据文件安全控制的真实性和准确性。 处理系统综合审计：对信息系统中的硬件功能、输入数据、程序和文件４个因素 进行综合的审计，以确定其可靠性和准确性。 系统开发审计： 指对信息系统开发过程进行审计。包括两个目的：一是要检查开发的方法和程序 是否科学合理，是否受到恰当的控制；
第2页（共3页）二是要检查开发过程中产生的系统资料和凭证是否符合规范。 题目2 [50 分] 答：(1) 模块 通常是指用一个名字就可以调用的一段程序语句为物理模块。 在模块结构图中，用长方形框表示一个模块，长方形中间标上能反映模块处理功 能的模块名字。 模块名通常由一个动词和一个作为宾语的名词组成。 (2) 调用 模块间用箭头线联接，箭尾表示调用模块，箭头表示被调用模块。箭尾菱形表示 有条件调用，弧形箭头表示循环调用。 调用关系有：直接调用、条件调用（判断调用）和循环调用（重复调用）。(3) 数据 模块之间数据的传递，使用与调用箭头平行的带空心圆的箭头表示，并在旁边标 上数据名。箭头方向表示数据传送方向。 (4) 控制信息 为了指导程序下一步的执行，模块间有时还必须传送某些控制信息，例如，数据 输入完成后给出的结束标志。 控制信息与数据的主要区别是前者只反映数据的某种状态，不必进行处理。在模 块结构图中，用带实心圆点的箭头表示控制信息。 其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。 二．培训的及要求培训目的 安全生产目标责任书
国际注册内部审计师考试《内部审计业务》模拟题及答案
国际注册内部审计师考试《内部审计业务》模拟 题及答案 2017国际注册内部审计师考试《内部审计业务》模拟题及答案 模拟题一： 1.下列哪种情况是上述病毒出现的征兆： A.电压猛增，从而损坏计算机设备; B.未知原因的数据丢失和改变; C.不完全的备份、恢复和权变计划; D.大量由于未授权的软件使用而造成的侵犯版权事件。 答案：B 解析：答案A不正确，电压猛增可能是硬件或者供电设备造成的; 答案B正确，计算机病毒的影响从无害到完全破坏系统内的数据。计算机病毒的一种征兆可能是未知原因的数据丢失和改变。 答案C不正确，不完全的备份、恢复和权变计划是系统操作政策出现的问题; 答案D不正确，侵犯版权表明公司的软件政策不完善。 2.下列哪种操作程序增加了组织感染计算机病毒的可能性： A.对数据文件加密; B.对文件经常备份; C.从互联网上下载软件; D.在硬盘上安装软件的原装拷贝。
答案：C 解析：答案A不正确，病毒通过被感染的程序传播; 答案B不正确，对文件备份不会增加计算机感染病毒的可能性; 答案C正确，病毒主要通过共享数据传播。从互联网上下载软件，将增加计算机数据被病毒感染的可能性。 答案D不正确，应用软件原装拷贝是没有病毒的。 3.以下哪项不是在审计过程中使用计算机的一个优点： A.审计师可以独立于被审计者而工作; B.可以从远程看到工作底稿，从而节省了出差成本; C.审计师可以在很远的地方进入交易记录; D.如果需要，审计师可以更改公司数据。 答案：D 解析：答案A、B和C都不正确，它们都是在审计过程中使用计 算机的优点。 答案D正确，审计师使用计算机可以在很多方面简化审计过程和提高审计的质量。审计师可以独立于被审计者进行工作，也可以在 远方进入交易记录，从而节省出差费用。但是，审计师无论如何都 不能修改公司的数据。 4.现代技术使得进行无纸化审计成为可能。例如，在进行以计算机为基础的客户的应收账款的审计中，审计师可以使用微型计算机 直接进入应收账款账户，将选择的客户记录拷贝到微型计算机中， 进行审计分析。以下哪项是使用无纸化审计应收账款账户的优点： A.它减少了对支持性凭证的测试数量; B.它允许使用电子表格工作底稿立即处理审计数据; C.它增加了每个审计师所必备的技术和技能;
信息系统审计重点及应对措施
信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。随着计算机及网络技术的迅速发展，审计机关要想完成“全面审计，突出重点”的审计目标，担负起社会经济运行的“免疫系统”作用，就必须加快信息系统审计的步伐。为此，笔者认为，审计机关要开展好信息系统审计，就必须把握重点，加强组织，制定措施，积极推进。 一、开展信息系统审计应把握的重点 1、信息系统审计的目标和内容 信息系统审计目标：信息系统审计不仅要对系统信息的合法性、公允性进行审计，还要对信息系统的硬件和软件，以及整个信息系统的安全性、稳定性、内部控制的健全性与有效性等方面进行审计，指出被审计单位信息系统内部管理和控制上的薄弱环节，提高其信息系统的可靠性和真实性，有效地防止利用信息技术随意篡改系统信息或破坏磁介质上的数据等舞弊行为的发生。因此，信息系统审计目标不仅仅在于应用计算机进行审计（即传统EDI 审计或计算机辅助审计），更重要的是要对信息系统本身的安全性、稳定性及其实现组织目标的有效性进行实时的检查、评价和改造。 信息系统审计内容：主要包括信息系统开发过程审计、一般控制审计和应用控制审计三个方面。 2、信息系统审计的职能和方式 为了实现审计目标，保证和咨询应成为对信息系统进行审计的两大基本职能。“保证”即“系统可靠性保证”，就是通过对信息系统运行过程、商业连续性能力、维护状况进行评价，合理保证信息系统安全、稳定、有效，它是信息系统审计最基本的职能。“咨询”是指审计人员能够向信息系统的高层管理者以及使用者提供解决问题的方案，以达到改善经营和为组织增加价值的目的。 信息系统审计组织方式：一种是将信息系统审计作为常规项目审计的一部分，是为整个审计项目的总体目标服务的。检查信息系统本身及其内部控制的可靠性和有效性，为数据审计服务，最终通过审计数据得出审计结论，即数据审计、信息系统审计和系统内控审计“三位一体”的结合方式。另一种是独立立项的信息系统审计，直接针对信息系统进行审计，将信息系统本身的安全性、可靠性和有效性作为审计目标。现阶段开展的信息系统审计以第一种方式为主。 3、信息系统审计的依据和原则
信息系统审计(IT审计)的实施
1. 信息系统审计的准备－审计部门 为了实施信息系统审计，需要在事前进行充足的准备，以获得良好的审计效果。 为了导入信息系统审计，事先需要进行下列的活动： ·信息系统审计的环境构建、文化导入； · IT审计师的培养； ·各种审计相关规章的整备； 信息系统审计的宗旨在于提高作为企业中枢神经的信息系统的可靠性、安全性和开发、运营效率，使企业能够健康地运营和发展。要使信息系统审计能够达成既定目标，上级主管 的完全授权是最重要的一环。 2. 信息系统审计的准备－被审计部门 IT审计师在实施信息系统审计的时候，常常要求被审计部门提供诸如文档之类相应的 资料作为审计依据。 被审计部门为此事先应该对文档、操作说明书等进行整理和准备。还要准备好计算机安全措施、个人信息保密措施等实施情况的说明。这些资料要尽可能让IT审计师一目了然。通常，被审计部门（信息化部门，用户部门）需要准备的东西如下面所示。当然，有关的系统设计书、程序设计说明书之类的必须保持最新的更新状态。 信息化部门： ·系统开发计划书 ·系统设计书 ·系统构成图 ·程序一览表 ·信息管理相关规章 ·操作指南 ·故障对应指南 ·计算机安全对策现状说明 用户部门： ·终端设备操作手册 ·系统输出列表 ·系统输入式样 ·系统使用指南
3. 信息系统审计的实施步骤 信息系统审计的实施步骤如下所示： 审计计划 ·基本计划（每年一度的审计计划，属于年度计划，概要性的计划） ·个别计划（个别，具体的审计实施计划，有实施细则） 审计实施 ·审计通知（实施前1－3周通知被审计部门） ·预备调查（审计实施前准备） ·审计实施（实际的审计活动） ·审计意见整备（基于审计结果的记录和文档） ·评议会（基于审计结果，与被审计部门交换本次审计意见） 审计报告 ·审计报告制作（完成信息系统审计报告） ·报告书提交（向上级主管提交信息系统审计报告） ·报告会（召集相应的干系人进行会议） ·改良指示（上级主管根据审计意见责令被审计部门进行相关的改良活动） ·审计追踪（IT审计师对改良情况进行检查） 4. 信息系统审计的留意点 在实施信息系统审计的时候为了确保审计高效的得以实施，必须制作相应的审计计划。 IT审计师在审计计划中必须明确审计的对象、审计目的、审计主题。 审计对象、审计主题的选定、优先度确定之类留意点可参照下面所述。 ·企业经营方针、上级主管的需求 ·信息化部门的问题、要求 ·用户部门的问题、要求 ·审计对象的业务特征 ·信息系统的重要度
内部审计人员岗位资格证书实施办法.
内部审计人员岗位资格证书实施办法 中内协发[2003]22号 第一条为了适应内部审计工作的需要,提高内部审计人员的素质,根据《审计署关于内部审计工作的规定》及有关规定,制定本办法。 第二条内部审计人员岗位资格证书(以下简称资格证书是从事内部审计工作的专兼职人员应具备的任职资格证明。 第三条资格证书的取得采取资格认证和考试两种办法。 (一凡具备下列条件之一者,经省级内部审计(师协会审批,报中国内部审计协会备案后,可发给资格证书: 1. 具有审计、会计、经济及相关专业中级及中级以上专业技术职称的人员; 2. 具有国际注册内部审计师证书的人员; 3. 具有注册会计师、造价工程师、资产评估师等相关执业证书的人员; 4. 审计、会计及相关专业本科以上学历工作满两年以上,以及大专学历工作满4年以上的人员。 对已取得省(行业级内部审计(师协(学会颁发的内部审计资格证书,时间不超过两年的人员,在本办法实施后可进行一次性的确认,发给资格证书。 (二不具备上述第(一款条件者,须参加中国内部审计协会统一组织的资格考试,考试合格者发给资格证书。 第四条资格证书考试内容: (一内部审计原理与技术;
(二有关法律法规与内部审计准则; (三计算机基础知识与应用。 第五条资格考试一般每年统一举行一次,时间为每年9月第三周的星期六。开始施行阶段,也可由中国内部审计协会授权省级内部审计(师协会根据实际情况做出考试安排。 第六条资格证书审核发放程序。凡具备取得资格证书条件的人员,由本人填写《内部审计人员岗位资格证书申请表》(略,经所在单位审核签章后,连同资格证明文件(职称证、执业资格证、学历证、人事部门出具的工作年限证明、考试合格证明原件及复印件、免冠2寸彩色照片,报省级内部审计(师协会审核后,发给资格证书。 第七条资格证书实行年检注册制度,每两年为一个年检注册周期。 符合下列条件的可通过年检,并进行注册: (一遵守国家的法律法规; (二严格执行《内部审计准则》; (三遵守内部审计职业道德; (四按照有关规定完成后续教育。 第八条因借调、出国等原因不能参加后续教育或年检的人员,须持本单位人事部门出具的证明,向所在省的内部审计(师协会提出延缓年检注册的申请。 第九条对无故不参加年检和注册的人员,应收回并注销其资格证书。 第十条因违法犯罪被追究刑事责任或弄虚作假骗取资格证书的人员,一律吊销其资格证书。
网络安全审计系统(数据库审计)解决方案
数据库审计系统技术建议书
目次 1.综述 (1) 2.需求分析 (1) 2.1.内部人员面临的安全隐患 (2) 2.2.第三方维护人员的威胁 (2) 2.3.最高权限滥用风险 (2) 2.4.违规行为无法控制的风险 (2) 2.5.系统日志不能发现的安全隐患 (2) 2.6.系统崩溃带来审计结果的丢失 (3) 3.审计系统设计方案 (3) 3.1.设计思路和原则 (3) 3.2.系统设计原理 (4) 3.3.设计方案及系统配置 (14) 3.4.主要功能介绍 (5) 3.4.1.数据库审计....................... 错误！未定义书签。 3.4.2.网络运维审计 (9) 3.4.3.OA审计........................... 错误！未定义书签。 3.4.4.数据库响应时间及返回码的审计 (9) 3.4.5.业务系统三层关联 (9) 3.4.6.合规性规则和响应 (10) 3.4.7.审计报告输出 (12) 3.4.8.自身管理 (13) 3.4.9.系统安全性设计 (14) 3.5.负面影响评价 (16) 3.6.交换机性能影响评价 (17) 4.资质证书......................... 错误！未定义书签。
1.综述 随着计算机和网络技术发展，信息系统的应用越来越广泛。数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为商业和公共安全中最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。 围绕数据库的业务系统安全隐患如何得到有效解决，一直以来是IT治理人员和DBA们关注的焦点。做为资深信息安全厂商，结合多年的安全研究经验，提出如下解决思路： 管理层面：完善现有业务流程制度，明细人员职责和分工，规范内部员工的日常操作，严格监控第三方维护人员的操作。 技术层面：除了在业务网络部署相关的信息安全防护产品（如FW、IPS 等），还需要专门针对数据库部署独立安全审计产品，对关键的数据库操作行为进行审计，做到违规行为发生时及时告警，事故发生后精确溯源。 不过，审计关键应用程序和数据库不是一项简单工作。特别是数据库系统，服务于各有不同权限的大量用户，支持高并发的事务处理，还必须满足苛刻的服务水平要求。商业数据库软件内置的审计功能无法满足审计独立性的基本要求，还会降低数据库性能并增加管理费用。 2.需求分析 随着信息技术的发展，XXX已经建立了比较完善的信息系统，数据库中承载的信息越来越受到公司相关部门、领导的重视。同时数据库中储存着诸如XXX等极其重要和敏感的信息。这些信息一旦被篡改或者泄露，轻则造成企业或者社会的经济损失，重则影响企业形象甚至社会安全。 通过对XXX的深入调研，XXX面临的安全隐患归纳如下：
信息系统审计和监理比较
信息系统审计与信息系统监理的再比较 孟秀转孙强 所谓信息系统审计是指，审计人员接受委托或授权，收集并评估证据以判断一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整并最有效率地完成组织目标的活动过程。它既包括信息系统外部审计的鉴证目标——即对被审计单位的信息系统保护资产安全及数据完整的鉴证，又包含内部审计的管理目标--即不仅包括被审计信息系统保护资产安全及数据完整而且包括信息系统的有效性目标。信息系统工程监理，依据信息产业部《信息系统工程监理暂行规定》，是指依法设立且具备相应资质的信息系统工程监理单位，受业主单位委托，依据国家有关法律法规、技术标准和信息系统工程监理合同，对信息系统工程项目实施的监督管理。两者都可以服务于信息化建设，可以降低信息化投资风险。但目前在信息化建设领域，信息系统审计尚未被人们接受，在国内的推动中一提到审计，大家就认为是只有对会计报表的审计，似乎与IT和信息系统无关，相比较而言，人们更接受信息系统监理的概念，有些人甚至认为信息系统监理就是信息系统审计。对这两者认识的模糊，不仅影响到我国信息系统审计业的发展，而且影响到信息时代的市场经济秩序与国家安全等问题。国外没有信息系统监理的概念，在我国这一概念的提出是借鉴工程建设监理，而信息系统审计是21世纪初从国外介绍到国内的，尽管人们对两者存在模糊认识，但目前尚未见到系统比较两者的文章，笔者想通过比较，使人们认识到在信息化建设中，信息系统审计是不可替代与必不可少的，推动我国信息系统审计的发展是信息时代的要求。 1信息系统审计与信息系统监理的发展与实践 1.1信息系统审计。信息系统审计最早称为计算机审计，是随着计算机在财务会计领域的应用而产生的，作为传统财务审计业务的一种辅助工具，对客户的电子化会计数据进行处理和分析，为财务报表审计人员提供服务。随着计算机技术应用范围的不断扩展，计算机对被审计单位各个业务环节的影响越来越大，计算机审计所关注的内容也从单纯的对电子的处理，延伸到对计算机系统的可靠性、安全性进行了解和评价。信息技术的爆炸性发展改变了经济、社会、文化的结构和运行方式，网上商务、网上银行、网上证券、网上政府等相继出现，信息资源的作用得到充分发挥。人们的生活、工作越来越依赖信息技术。利用信息技术攻击对手信息系统，窃取机密，借助网络非法占有财富，
国际注册内部审计师(CIA)考试大纲(第二部分)
国际注册内部审计师（CIA）考试大纲（第二部分） 第二部分：内部审计实务 I管理内部审计活动(20%) 1.内部审计的运营 A描述有关计划、组织、指导和监督内部审计运营的政策和流程 B理解内部审计活动的行政工作（如预算、资源管理、招募、人员配置等） 2.制定以风险为基础的内部审计计划 A确定潜在的审计业务来源（审计范围、审计周期需求、管理层的要求、监管要求、相关市场和行业走向、新出现的问题等） B确定风险管理框架，用于评估风险，并根据风险评估的结果确定审计业务的重点C理解确认业务的种类（风险和控制评估、第三方审计和合同审计、安全与保密、绩效和质量审计、关键绩效指标、运营审计、财务和合规审计等） D理解旨在提供意见和建议的咨询业务的种类（培训、系统设计、系统开发、尽职调查、保密、对标分析、内部控制评估、流程设计等） E描述内部审计与外部审计、监管机构以及其他内部确认职能部门之间的协作，以及内部审计与其他确认服务提供方之间相互利用工作成果的可能性 3.与高级管理层和董事会沟通并向其报告 A了解首席审计执行官负责向高级管理层和董事会报告年度审计计划，并寻求获得董事会的批准 B确定重大风险的暴露、控制和治理，以便首席审计执行官向董事会报告 C了解首席审计执行官负责向高级管理层报告组织内部控制和风险管理程序的整体有效性 D了解首席审计执行官定期与高级管理层和董事会沟通的内部审计关键绩效指标 II计划审计业务(20%) 1.制定计划 A确定审计业务的目标、评估标准和业务范围 B制定业务计划，确保能够识别关键的风险和控制 C对每个审计领域开展具体风险评估，包括评估风险和控制因素，并确定其重要程度
2020会计继续教育业财融合的具体实施——信息系统审计
单项选择题（共 2 题） 1 在我国，审计署干部培训中心与信息系统审计与控制协会合作，在哪 年正式推出注册信息考试与培训（）。 2002年 2001年 2000年 2003年 2 下列各项不属于信息系统审计的目标的是（）。 系统的及时性 系统的安全性 系统的可靠性 系统的有效性 多选题（共 2 题） 3 下列各项属于信息系统的资源的有（）。 系统文档 数据文件 消耗性材料 硬件 软件 4 下列各项属于信息审计与控制协会发布的息系统审计准则的内容的有 （）。 信息技术管治 前期工作 审计报告 审计联合性 职业道德和标准
判断题（共 2 题） 5 数据的可靠性是指数据真实、准确和合理。（） 错误 正确 6 CISA成为信息系统审计发展的重要标志。（） 正确 错误 单项选择题（共 2 题） 1下列不属于获取审计证据的主要方法是（）。 监督 重新执行 询问和访谈 函证 2下列关于计算机辅助审计技术说法错误的是（）。 映像是用专门的软件测量包监控程序的执行 嵌入审计程序是在应用程序中嵌入审计模块，用于采集审计所需的信息 平行模拟是指审计人员复制被审计应用程序的功能与特点 综合测试需要在应用系统中建立一个虚拟实体，测试数据被认为是该实体数据多选题（共 2 题） 3下列各项属于获取审计证据的主要方法的有（）。 分析 审核 函证 观察 监督
4下列各项属于计算机辅助审计技术的有（）。 嵌入审计程序 间断审计 实用软件 测试数据 平行模拟 判断题（共 2 题） 5函证是指审计人员间接从第三方（被询证者）获取书面答复。（）错误 正确 6嵌入审计程序是在应用程序中嵌入审计模块，用于采集审计所需的信息。（）正确 错误 单项选择题（共 2 题） 1下列关于获取审计证据方法中的分析说法错误的是（）。 可以取得操作系统层、数据库管理层和应用系统层的系统运行记录 分析是指审计人员对相关资料进行系统分析 可以分析不同数据之间的内在关系，评价其合理性，以发现问题 分析是获取审计证据最重要的方法 2下列不属于获取审计证据的主要方法是（）。 重新执行 监督 询问和访谈 函证 判断题（共 2 题）
信息安全审计报告
涉密计算机安全保密审计报告 审计对象：xx计算机审计日期：xxxx年xx月xx日审计小组人员组成：姓名：xx 部门：xxx 姓名：xxx 部门：xxx 审计主要内容清单： 1. 安全策略检查 2. 外部环境检查 3. 管理人员检查 审计记录 篇二：审计报告格式 审计报告格式 一、引言 随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、 入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御 外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或 入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到 重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。 在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计 以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的 局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地 区、跨网段、集中管理才是综合审计系统最终的发展目标。 本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后 的发展方向做出了讨论。 二、什么是安全审计 国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、 可控性、可用性和不可否认性(抗抵赖)，简称“五性”。安全审计是这“五性”的重要保障之 一，它对计算机信息系统中的所有网络资源(包括数据库、主机、操作系统、安全设备等)进 行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。 安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银 行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记 录和行为记录，确定问题所在，以便采取相应的处理措施。 近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己 的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数 据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系 统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面 综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况， 就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。 为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它 的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据 资源等进行监控和管理，在必要时通过多种途径向管理员发 出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作 用有以下几个方面： 1. 对潜在的攻击者起到震慑和警告的作用; 2. 对于已经发生的系统破坏行为提供有效的追究证据; 3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行 为或潜在的系统漏洞; 4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要 改进和加强的地方。
国际内部审计师协会发布新内部审计准则
国际内部审计师协会发布新内部审计准则（2004年） 2004-1-1 0:0【大中小】【打印】【我要纠错】 协会从1941年成立以来，先后发布过4个准则。本次修订是对2001年准则的修订。协会在修订前先在2003年1月发出征求意见稿。同年12月根据反馈的意见写出修订稿，经内部审计准则委员会批准，于2004年1月开始执行。 本次修订主要是针对保证性服务准则，以适应当前风险管理的需要。修订也为咨询性服务提供机会，以及为公司对外披露审计工作结果提供指导。 本次修订增加了5条准则： 1.1210.A3：对内部审计师知识和技能的要求 2.2201.A1：对接受第三方业务委托的规定 3.2220.A2：关于同时提供审计和咨询服务问题 4.2410.A3：向外部第三方分发审计报告时的沟通 5.2440.A2：分发审计报告无法律限制时的措施 本次修订还在不同程度上涉及原有的17条准则： 1.1130.A1：内部审计师应避免评价他们曾经负责过的运营工作 2.1220.A2：关于计算机辅助审计技术的应用 3.1300：质量保证与改进项目 4.2100：工作性质 5.2130：治理 6.2130.A1：内部审计师在组织道德文化建设中的作用 7.2200：审计业务计划 8.2210：审计业务的目标 9.2210.A1：审计工作的目标应反映风险评估的结果
10.2240.A1审计业务工作方案的审批 11.2400：报告审计结果 12.2410.A1：最终报告的必要 内容 13.2410.A2：对被审计单位的业绩应予肯定 14.2421：错误与遗漏 15.2440：发布审计结果 16.2440.A1：审计执行主管负责分发最终审计报告 17.2600：管理层对风险的接受 下面对此次修订的主要内容介绍如下： 一、确认内审准则的适应范围 修改后准则在引言中确认：内审准则可应用于不同的法律和文化环境。可应用在经营目标、经营规模、复杂性和结构多变的企业中。确认内审工作可由公司内部或外部人员来执行。 二、设定内审准则有一个假定前提 鉴于内审准则执行环境的多样性，而执行人员的水平又参差不齐，那么内审准则应当定在什么水平上？在修订时要有一个假定。这个假定就是：首席执行官和审计师在应用内审准则时，对内审概念具有良好的判断能力。也就是说能理解内审准则的规定。 三、强调执行内审准则是法定义务 修订后的内审准则规定，不论任何单位，也不论内审工作由谁来执行，都必须执行内审准则。新准则规定：“内部审计师如果由于法律、法规的原因不能遵循准则的某些部分的话，他们亦应该遵循准则的其它部分，并对这种情况做出适当的披露。” 准则用“应该”这个词来表示其法定义务。以工作准则2100条为例，修改前条文是：“内部审计活动评价并帮助改进机构的风险管理、控制和治理体系。”这个规定像是对内审活动的描述。新准则对此修改为“内部审计活动应该运用系统化 和严谨的方法去评价和帮助改善风险管理、控制和治理体系。“这里用了”应该“一词，表示执行内审准则是一种法定的义务。
一个专业IT审计师解读GMP附录
一个专业IT审计师解读GMP附录: 计算机化系统 NNIT 生命科学行业总监路璐（NNIT版权所有，如有转载请注明出处） 2015年五月，CFDA发布了GMP附录一：计算机化系统，从2015年12月1日开始执行。从食品 药品审核查验中心（CFDI）的资料显示，该附录起草背景如下： 1．科技发展，自动化越来越高 2．专业属性强，风险识别困难 3．数据完整性越来越被重视 4．多个国家/组织已将其作为单独附录发布 该附录共分为六章，分别从范围、原则、人员、验证、系统、术语几个角度，对GMP范围内的计算机 化系统提出了合规的要求。笔者在医药行业有六年的经验，在与医药行业相关的IT公司从事IT审计工 作八年的时间，取得了IT审计师资格证书。下面，就从IT审计的角度来解读一下这个附录的内容，希 望对于大家做自查或审计供应商有所帮助。 第一章范围 第一条本附录适用于在药品生产质量管理过程中应用的计算机化系统。计算机化系统由一系列硬件和软 件组成，以满足特定的功能。 第一章是最简单的一个章节，但是信息量非常大。如何界定范围一向是审计的关键。我们一定要把和GMP相关的系统界定出来，也就是要在GMP生产的整个环节去梳理，形成计算机化系统的清单。这个清单可以统一管理，也可以在部门或车间为单位管理，甚至这些信息可以存在于系统中，随时可以导出。很多系统其实在资产管理的台帐里都有体现，只是没有区分哪些是GMP相关的，哪些是GMP不相关的，那就需要在这些现有的台帐里加上一列，去识别GMP相关性。在我们做审计的时候，一个GMP 相关系统的完整清单通常是审计师最先要求的一个文档，因为这样便于我们规划审计。这个清单通常在 审计之前就会要求提供。有些药厂会故意隐瞒一些系统，这种做法是非常错误的。因为在审计的过程中，我们通常会关注数据的出处，这样就很容易发现一些不在清单上的系统，这样就会导致一个发现项：清 单没有及时更新，严重的时候，审计师会质疑被审方的诚信，会扩大审计范围或导致数据完整性的发现项。 很多人会问，那么如何界定哪些是和GMP相关的系统。这个就会用到风险评估的一些工具。对于审计 师来说，只要你有自己的评估方法，并且你的评估方法是合理的，我们通常会认可你的结论。合理的评 估方法就是，多关注系统里的数据，而不是单纯针对系统去评估。比如，我在培训的时候经常有人问我，ERP算不算GMP相关，PLC算不算GMP相关，等等。这个理念本身就是错误的，再复杂的系统，如 果你只是在里面输入一些财物、行政办公类的数据，它就不是GMP相关。反之，哪怕是一个excel表格，如果用来管理质量数据，它也是GMP相关。EMA的网站上问答里明确说到，与GMP相关的 excel表格也是需要验证的。所以，如果你的系统里用来管理GMP相关的数据，它就是GMP相关系统。至于哪些数据属于GMP相关的数据，相信在药厂工作的你比我要清楚。 在第一章，还有一个重点是说明了什么是计算机化系统。计算机化系统由一系列硬件和软件组成，以满 足特定的功能。我们在药厂有很多设备、仪器，现在由于自动化的发展，很多都带有软件和工作站。这 些软件如果在设备或仪器验证的时候已经验证了，我们在审计时不会要求单独再出一份验证文件，但是 我们会审核一下设备或仪器的这些验证文档里是否涵盖了软件这部分的功能。同时，我们会更关注这些 软件的运行和维护，比如用户名和密码、系统时间、审计追踪等功能。对于与设备相连的PLC，属于GAMP 5里界定的3类软件，不可配置的类型。要按照三类软件进行验证和管理。对于更高级别的软件，如ERP、MES等，要按照4类或4+5类来管理。还有很多药厂定制了一些软件，这些不是商业化的通用软件，而是企业按照自己的需求外包给开发商或内部IT部门自行开发的系统，这类系统属于5类软件，相对于其它类别来说，成熟度相对较低，风险较高，因此需要验证和管理的工作量加大。 目前IT审计的通行做法也是基于风险的，也就是说更关注风险较高的系统，如5类软件，可能会审到 代码的级别，或者至少会关注如何管理源代码。但是对于1、3、4类软件，会将关注点放在需求、功能、配置方面，不会涉及到源代码的问题。