- 相關(guān)推薦
企業(yè)信息審計的探索與實(shí)踐論文
一、基于PDCA循環(huán)的審計整改全壽命工作法
(一)方法的提出。PDCA循環(huán)理論由休哈特提出,是全面質(zhì)量管理的基本方法,也稱(chēng)為“戴明環(huán)”,包括計劃、實(shí)施、檢查和處置四個(gè)階段,適用于任何有目的有過(guò)程的活動(dòng)。本文借鑒PDCA循環(huán)的思想,提出審計整改全壽命工作法,設定審計計劃、審計實(shí)施、審計評價(jià)、后續審計四個(gè)閉合循環(huán)的階段,審計質(zhì)量控制貫穿全過(guò)程。
(二)方法的應用思路。
1.審計計劃階段。主要包括審前調查、信息系統基本情況的收集和信息系統相關(guān)制度文件的審閱等。此外,還應依據計劃編制詳細的信息系統審計工作方案,確定審計內容、步驟、方法,制定并送達審計通知書(shū)等。在本階段,相關(guān)責任人要全程監督審計工作安排,審核審計工作方案是否滿(mǎn)足審計目標要求,了解并考慮企業(yè)戰略目標、信息技術(shù)的依賴(lài)程度、信息技術(shù)管理的組織架構、信息系統框架、信息系統及其支持的業(yè)務(wù)流程的變更情況、信息系統的復雜程度等特定內容。
2.審計實(shí)施階段。完整的信息系統審計通常涵蓋三個(gè)層面:一是組織層面信息技術(shù)控制,指企業(yè)管理層對信息技術(shù)治理職能及內部控制的重要性的態(tài)度、認識和措施,審計人員要關(guān)注與信息系統相關(guān)的控制環(huán)境、風(fēng)險評估、信息與溝通、監控四個(gè)方面的控制要素;二是信息技術(shù)一般性控制,指與網(wǎng)絡(luò )、操作系統、數據庫、應用系統及其相關(guān)人員有關(guān)的信息技術(shù)政策和措施,審計中應考慮信息安全管理、系統變更管理、系統開(kāi)發(fā)和采購管理、系統運行管理有關(guān)的控制活動(dòng);三是業(yè)務(wù)流程層面相關(guān)應用控制,指在業(yè)務(wù)流程層面為了合理保證應用系統準確、完整、及時(shí)完成業(yè)務(wù)數據的生成、記錄、處理、報告等功能而設計、執行的信息技術(shù)控制,審計中應考慮與數據輸入、數據處理以及數據輸出環(huán)節相關(guān)的控制活動(dòng)。審計過(guò)程中,可以綜合采用詢(xún)問(wèn)、觀(guān)察、審閱文件和報告、通過(guò)穿行測試追蹤交易在信息系統中的處理過(guò)程、驗證系統控制和計算邏輯、登錄信息系統進(jìn)行系統查詢(xún)等審計方法。信息系統審計的項目負責人應當既具有IT背景又具有內審專(zhuān)業(yè)技能,在實(shí)施審計過(guò)程中建立審計復核機制,檢查審計底稿和相關(guān)證據,掌控項目進(jìn)度,確保審計工作質(zhì)量和效率。
3.審計評價(jià)階段。進(jìn)行評估時(shí),獲取的審計證據必須充分可靠相關(guān),以支持審計結論。審計人員運用專(zhuān)業(yè)判斷,對審計證據進(jìn)行分析、撰寫(xiě)征求意見(jiàn)稿、征求有關(guān)部門(mén)意見(jiàn)、形成審計報告、下達審計意見(jiàn)或審計建議書(shū)。審計報告作為審計的最終結果非常重要,審計項目負責人要從重要性和增值性?xún)蓚�(gè)方面認真討論確定審計報告,保證審計報告的高質(zhì)量。重要性指審計發(fā)現對企業(yè)內部控制的影響程度;增值性指審計建議是否恰當、有意義,是否有助于提高審計對象效率效果。
4.后續審計階段。即對信息系統審計已報告的缺陷和建議所采取行動(dòng)的完整性、效果性和時(shí)效性跟蹤檢查的過(guò)程。一般和下一次信息系統審計融合在一起進(jìn)行,從而形成審計流程的閉合式循環(huán)。審計結果整改情況應納入企業(yè)績(jì)效考評體系,保證審計整改工作質(zhì)量。
二、應用審計整改全壽命工作法開(kāi)展信息系統審計的實(shí)踐
某科研生產(chǎn)企業(yè)信息化程度較高,目前使用的信息系統為涉密信息系統,有上千個(gè)終端用戶(hù),數百個(gè)業(yè)務(wù)工作流程,數十個(gè)業(yè)務(wù)系統,采取單點(diǎn)登陸、統一身份認證,部署相關(guān)審計系統的方式運行。由于該信息系統涉密等級較高,用戶(hù)數較多,系統組成復雜,對開(kāi)展信息系統審計提出了較高要求。本文按照審計整改全壽命工作法的工作思路,進(jìn)行了信息系統審計的實(shí)踐和探索。
(一)計劃階段。由具有信息系統研發(fā)背景和高級工程師資格的專(zhuān)家擔任組長(cháng),并從企業(yè)內部信息技術(shù)部門(mén)抽調專(zhuān)家,組建一支包括信息技術(shù)及內部審計人員在內的專(zhuān)業(yè)隊伍。該科研生產(chǎn)企業(yè)建立了比較完備的信息系統管理體系,對信息系統安全運行和管理有明確具體的要求。審前組織學(xué)習研究該企業(yè)的信息系統管理制度、行為規范制度、安全控制策略、內部控制制度體系等文件,將這些制度的相關(guān)要求作為審計依據,制定信息系統專(zhuān)項審計工作方案。明確重點(diǎn)審計內容為對信息系統的邏輯訪(fǎng)問(wèn)與物理安全控制,包括系統輸入控制、用戶(hù)行為控制和訪(fǎng)問(wèn)權限控制三個(gè)方面。同時(shí),獲取企業(yè)管理層和信息系統管理部門(mén)的支持。
(二)實(shí)施階段。在該科研生產(chǎn)企業(yè)已經(jīng)建立的信息監控系統的基礎上,采取專(zhuān)項審計的方式,對于企業(yè)的行為監控系統、權限審查系統開(kāi)展信息系統審計,這也是本次審計工作的重點(diǎn)。該單位在設計信息系統監控系統時(shí),采取了B/S結構,在終端計算機上安裝客戶(hù)端,后臺運行自動(dòng)記錄用戶(hù)行為,利用SQLServer數據庫對用戶(hù)數據進(jìn)行存儲。在SQLServer數據庫中,管理各種安全策略、系統運行參數、網(wǎng)絡(luò )客戶(hù)端設備信息、報警和日志。系統前臺使用WEB瀏覽器方式,進(jìn)行系統策略設置、系統維護等操作,各種日志記錄和報警信息在這里顯示。審計系統可提供完整的用戶(hù)行為日志,該企業(yè)基于日志數據開(kāi)展系統安全策略配置、違規介質(zhì)使用、病毒情況、信息輸入輸出、文件打印、用戶(hù)終端網(wǎng)絡(luò )訪(fǎng)問(wèn)等審計工作。審計人員根據用戶(hù)操作行為日志,綜合應用詢(xún)問(wèn)、數據采集、穿行測試、控制測試和分析等審計方法,獲取有效的審計證據,并對重要發(fā)現及時(shí)與有關(guān)各方溝通。
(三)評價(jià)階段。審計人員根據審計發(fā)現和審計工作底稿撰寫(xiě)審計報告,就完善制度、制度執行、系統建設、安全策略適當性等提出審計建議,提交管理層審批后交信息系統管理部門(mén)整改完善。(四)后續審計階段。根據信息系統管理部門(mén)整改完成情況,對審計發(fā)現的缺陷和提出的管理建議進(jìn)行后續審計。從近期已實(shí)施的4次審計情況看,日志數據的抽樣異常率從第一次的12%下降到1%。
三、結束語(yǔ)
通過(guò)應用審計整改全壽命工作法,組織實(shí)施信息系統專(zhuān)項審計,報送審計結果,督促落實(shí)整改,為完善規章制度、發(fā)現并減少用戶(hù)異常行為,防止非法操作,確保信息系統安全有效運行提供了有力的保障,但也對內部審計人員的學(xué)習能力和信息技術(shù)專(zhuān)業(yè)勝任能力提出了較高要求。利用審計整改全壽命工作法開(kāi)展企業(yè)信息系統審計是一個(gè)不斷探索、改進(jìn)和提高的過(guò)程,在諸如如何進(jìn)一步劃分各階段工作界面、如何開(kāi)展對信息系統其他各業(yè)務(wù)子系統的審計等方面還需要結合企業(yè)實(shí)際進(jìn)行進(jìn)一步探索與研究。
【企業(yè)信息審計的探索與實(shí)踐論文】相關(guān)文章：
兒童校外教育理論與實(shí)踐探索論文12-02
企業(yè)信息系統審計的研究12-10
內部審計外包實(shí)踐性的論文12-02
審計論文06-10
審計論文[經(jīng)典]06-12
針對高校藝術(shù)生入學(xué)教育實(shí)踐與探索論文01-18