一、信息系統(tǒng)審計基礎 1. 概念與定義 - 信息系統(tǒng)審計是為了信息系統(tǒng)的安全、可靠與有效，由獨立于審計對象的IT審計師，以第三方的客觀立場對以計算機為核心的信息系統(tǒng)進行綜合的檢查與評價，向IT審計對象的最高領導提出問題與建議的活動。在?？诘男畔⑾到y(tǒng)審計培訓中，對這一基本概念的深入理解是必不可少的內(nèi)容。學員需要明確信息系統(tǒng)審計的目標，即保障信息系統(tǒng)的安全性、可靠性和有效性等多方面的特性。 2. 通用計算機控制審計 - 這是信息系統(tǒng)審計的重要部分。通用計算機審計涵蓋多個領域，例如信息系統(tǒng)運作方面，包括系統(tǒng)的日常運行、維護等環(huán)節(jié)的審計。像系統(tǒng)是否按照規(guī)定的流程和標準運行，有無潛在的運行風險等都是審計關注的要點。同時，信息安全也是重點內(nèi)容，在當今網(wǎng)絡環(huán)境下，信息安全至關重要，審計要檢查系統(tǒng)的安全防護措施是否到位，如防火墻的設置、數(shù)據(jù)加密等是否符合要求。
二、應用系統(tǒng)相關審計 1. 應用系統(tǒng)的實施及維護審計 - 在?？诘男畔⑾到y(tǒng)審計培訓中，會涉及應用系統(tǒng)從實施到后續(xù)維護的整個過程的審計內(nèi)容。對于應用系統(tǒng)的實施，要審計其是否按照預定的計劃和標準進行，是否滿足企業(yè)或組織的業(yè)務需求。在維護方面，要檢查是否定期對應用系統(tǒng)進行更新、修復漏洞等操作，以確保其正常運行并適應業(yè)務的發(fā)展變化。 2. 數(shù)據(jù)庫的實施及支持審計 - 數(shù)據(jù)庫是信息系統(tǒng)的核心組成部分。培訓內(nèi)容會包括數(shù)據(jù)庫的實施審計，如數(shù)據(jù)庫的架構(gòu)設計是否合理，是否滿足數(shù)據(jù)存儲和管理的需求等。在數(shù)據(jù)庫的支持方面，要審計是否有足夠的技術資源來保障數(shù)據(jù)庫的穩(wěn)定運行，例如備份恢復機制是否健全，數(shù)據(jù)的完整性和準確性是否得到保障等。
三、組織層面信息技術控制審計 1. 控制環(huán)境 - ?？诘男畔⑾到y(tǒng)審計培訓中，會強調(diào)組織的信息技術戰(zhàn)略規(guī)劃與業(yè)務布局的契合度這一內(nèi)容。如果信息技術戰(zhàn)略規(guī)劃不能與業(yè)務布局相匹配，可能會導致資源浪費或者業(yè)務發(fā)展受限等問題。同時，信息技術治理制度體系建設也是重要內(nèi)容，完善的制度體系能夠規(guī)范信息系統(tǒng)的管理和運行。此外，信息技術部門的組織架構(gòu)、職權(quán)與責任分配以及信息技術的人力資源管理等方面都是審計的關注點，例如部門內(nèi)部人員的職責是否明確，人員的專業(yè)技能是否滿足工作需求等。對用戶的教育和培訓情況也在審計范圍內(nèi)，因為用戶的正確操作對于信息系統(tǒng)的安全和有效運行有著重要影響。 2. 風險評估 - 組織在風險評估總體架構(gòu)中關于信息技術風險管理流程是培訓中的重點內(nèi)容。學員需要學習如何識別信息系統(tǒng)面臨的風險，如網(wǎng)絡攻擊風險、數(shù)據(jù)泄露風險等。同時，對于信息資產(chǎn)的分類及相應的風險評估方法也是培訓內(nèi)容的一部分，不同類型的信息資產(chǎn)可能面臨不同的風險，需要采用不同的評估和管理方法。
四、信息技術一般性控制及業(yè)務流程層面相關應用控制 1. 信息技術一般性控制 - 這包括對網(wǎng)絡支持的審計，網(wǎng)絡是信息系統(tǒng)運行的基礎，審計要檢查網(wǎng)絡的穩(wěn)定性、帶寬是否滿足需求等。還有系統(tǒng)軟件支持的審計，系統(tǒng)軟件的正常運行是信息系統(tǒng)正常工作的前提，要檢查系統(tǒng)軟件是否存在漏洞，是否及時進行了升級等。此外，信息資源戰(zhàn)略及規(guī)劃的審計也是內(nèi)容之一，要確保組織的信息資源戰(zhàn)略與整體戰(zhàn)略相協(xié)調(diào)，并且規(guī)劃具有合理性和前瞻性。 2. 業(yè)務流程層面相關應用控制 - 在業(yè)務流程層面，培訓內(nèi)容會涉及到對應用控制的檢查和評價。例如，在企業(yè)的財務報銷流程中，信息系統(tǒng)中的相關應用是否能夠準確地記錄和審核報銷信息，是否符合企業(yè)的財務制度和相關法規(guī)要求等。這需要學員掌握如何分析業(yè)務流程與信息系統(tǒng)應用控制之間的關系，以及如何進行有效的審計。
五、審計技術與方法 1. 計算機輔助審計技術介紹 - 在?？谛畔⑾到y(tǒng)審計培訓中，計算機輔助審計技術是重要的教學內(nèi)容。這種技術能夠提高審計效率和準確性，例如利用數(shù)據(jù)分析軟件對大量的信息系統(tǒng)數(shù)據(jù)進行分析，快速發(fā)現(xiàn)數(shù)據(jù)中的異常情況。學員需要學習如何運用這些技術來輔助審計工作，包括數(shù)據(jù)采集、數(shù)據(jù)清理、數(shù)據(jù)分析等環(huán)節(jié)的操作方法。 2. 測試和評估信息系統(tǒng)控制的方法 - 符合性測試和實質(zhì)性測試是信息系統(tǒng)審計中常用的方法。符合性測試主要檢查信息系統(tǒng)的控制是否按照規(guī)定的制度和流程執(zhí)行，例如檢查用戶權(quán)限的設置是否符合規(guī)定。實質(zhì)性測試則更側(cè)重于對數(shù)據(jù)和業(yè)務結(jié)果的審查，如檢查財務數(shù)據(jù)的準確性等。培訓內(nèi)容會詳細講解這些測試方法的原理、操作步驟以及如何根據(jù)測試結(jié)果對信息系統(tǒng)控制進行評估。
六、其他相關內(nèi)容 1. 信息技術控制缺陷的評估 - 當發(fā)現(xiàn)信息系統(tǒng)存在控制缺陷時，如何進行評估是培訓的內(nèi)容之一。學員要學習識別缺陷的嚴重程度，判斷其對信息系統(tǒng)整體安全性、可靠性和有效性的影響程度，以便確定是否需要立即采取措施進行修復，以及采取何種措施進行修復等。 2. 對外包服務商內(nèi)部控制的考慮 - 在一些情況下，企業(yè)會將信息系統(tǒng)的部分業(yè)務外包給服務商。培訓內(nèi)容會涉及到如何對外包服務商的內(nèi)部控制進行審計，包括服務商的資質(zhì)審查、合同管理、服務質(zhì)量監(jiān)控等方面。確保外包服務商的內(nèi)部控制符合要求，能夠保障企業(yè)信息系統(tǒng)的正常運行和數(shù)據(jù)安全等。
轉(zhuǎn)載：http://runho.cn/zixun_detail/139335.html