信息系统审计论文范文

前言：我们精心挑选了数篇优质信息系统审计论文文章，供您阅读参考。期待这些文章能为您带来启发，助您在写作的道路上更上一层楼。

第1篇

（一）信息系统审计的定义。中国内部审计协会（2014）认为信息系统审计是指“内部审计机构和内部审计人员对组织的信息系统及其相关的信息技术内部控制和流程所进行的审查与评价活动”。按照上述定义，信息系统审计的重点跟传统审计一样，还是专注于内部控制与流程，但关注点不同，信息系统审计的关注点是信息系统的控制和流程，而不仅仅只关注相关的制度和规范。

（二）信息系统审计的目标。信息系统审计和控制联合会（ISACA）COBIT框架认为组织内部的信息系统需求三原则是：质量、成本和安全，即在保证信息系统满足组织需求的前提下，尽可能避免组织内外部风险，并减少研发和维护成本。因此信息系统审计的目标就是对组织信息系统的运行的可靠性，数据的真实性和安全性提供评价。

（三）信息系统审计的步骤。由于大多数高校内审机构在“数字化校园”开发阶段并没有参与其中。本文所述的信息系统审计专指信息系统运行维护阶段的审计。

1.审计准备阶段。信息系统审计准备阶段步骤与传统审计类似，通过从被审计单位获取相关信息系统管理的规章制度，找负责系统维护管理的工作人员座谈，实地观察等方式，完成审前调查，进行风险评估、初步确定审计重点和制定审计实施方案等工作。

2.审计实施阶段。信息系统审计在实施阶段分为两部分，分别为信息系统一般控制审计和应用控制审计。一般控制审计往往比应用控制审计更为重要，因为应用控制的有效性常常受到一般控制的影响。根据审计项目不同，审计人员可以只实施一般控制审计或者两者结合进行审计。（1）一般控制审计。一般控制审计又可以分为硬件和软件两部分，两部分的审计重点和方法有所不同，分别为：对硬件的审计通过实地观察法实施，主要有审计网络接口是否安全，是否有硬件防火墙，硬件设备存放环境是否安全，防火、防雷、防盗措施是否完备，是否装备了UPS，在硬件出现故障时是否制定了应急响应计划等。对软件的审计通过抽样、观察和面谈实施，审计重点为：一是系统管理控制，主要有系统设定的职责分离是否合理，授权管理是否充分，是否做到一个系统账户对应一个工作人员，是否确保了只有被授权的用户才能对特定资源和数据进行访问等；二是软件安全控制，主要有是否安装了杀毒软件，软件是否定时升级，未经授权的软件能否安装，是否有系统操作规范等；三是数据管理控制，主要有数据传输是否加密，系统数据是否定期备份，有无冗余备份，数据修改是否按照规定程序进行审核，向外部传输系统数据是否有身份认证，是否定期对数据质量进行检查等。（2）应用控制审计。信息系统应用控制是指为保证应用程序处理数据时按照组织流程运行，确保数据的完整性和真实性的控制，包括输入控制、处理控制、输出控制三部分。输入控制包括输入授权、数据转换和编辑校验，处理控制包括运行总数控制、计算机匹配和批处理控制，输出控制包括复核系统处理日志、审核输出文本、审核程序。对应用控制的审计，主要通过分析性复核和计算机辅助模拟的方法，审计重点为信息系统业务的控制点设置是否合理，数据处理程序最多运行数，是否有审核系统日志程序等。

3.报告阶段。内审人员根据实施阶段编制的工作底稿，出具审计报告初稿，与被审单位充分沟通后，修改审计报告，报相关层级领导审核后，签发正式审计报告。

二、高校做好信息系统审计的措施

1.转变观念，提高开展信息系统审计必要性的认识。“数字化校园”建成以后，高校内部控制环境已经悄然发生改变，内部审计要想充分发挥其独有的管理评价职能，必须迎头而上，及时开展信息系统审计。不少内审机构认为信息系统审计专业性太强，无从着手，实际上信息系统审计的核心并没有改变，还是对信息系统控制的评价，并没有超出审计人员专业知识的范畴。

2.结合实际，建立信息系统审计的体系。当前，国际上已经有比较成熟的关于信息系统审计的体系，那就是信息系统审计和控制联合会（ISACA）COBIT体系，但完全照搬肯定是不行的，在实际操作中，内审机构必须结合国情、校情，进行修订更改，出台符合自身工作实际的、具备可操作性的信息系统审计体系，以规范审计工作。

3.加强对内审人员的培养。内审机构可以通过以下方式提高内审人员业务素质：一是鼓励内审人员取得CISA资格。由ISACA颁发国际信息系统审计师（CISA）执业证书是唯一在国际上获得认可的证书，具有很强的权威性。二是在聘请外部审计机构进行信息系统审计的同时，让内审人员参与其中，做到边实践边总结，起到“以审带练”的作用。

第2篇

关键词：信息系统审计;企业信息化;信息系统

信息化是国家现代化的基本标志，也是一个国家综合国力的集中体现。信息化建设是一项长期的、综合的系统工程，在改善企业运作管理水平、提高工作效率的同时，也产生了巨大的风险。因此，建立信息系统审计制度，发展信息系统审计是信息化过程中必不可少的制度保证和手段。

一、信息系统审计的概述

1.信息系统审计的定义

信息系统审计（InformationSystemAudit信息系统，简称ISA）目前还没有公认的通用定义，国际信息系统审计领域的权威专家RonWeber将它定义为：收集并评估证据，以判断一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济地使用资源。可通俗的理解为是对信息系统的规划、开发、实施、运行和维护等各个环节进行评价，确保其符合企业经营目标的过程。

2.信息系统审计的业务内容

信息系统审计的业务内容包括计算机资源管理审计、软硬件等获取审计、系统软件审计、程序审计、数据完整性审计、系统生命周期审计、应用系统开发审计、系统维护审计、操作审计和安全审计。

信息系统审计项目按生命周期来划分，一般分为信息系统开发过程的审计、信息系统运行维护过程的审计和信息系统生命周期共同业务的审计。

信息系统开发过程中的审计是伴随着系统规划、系统分析、系统设计、编码、测试和系统试运行这几个阶段同步进行的。信息系统运行过程中的审计包括系统输入审计、通信过程审计、处理过程审计、数据库审计、系统输出审计和运行管理审计；信息系统维护过程中的审计包括维护组织审计、维护顺序审计、维护计划审计、维护实施审计、维护确认审计、改良系统试运行审计和旧信息系统报废审计。

3.信息系统审计的流程

信息系统审计流程包括三个阶段即:审计计划阶段、审计实施阶段和审计完成阶段。

计划阶段是信息系统审计流程的第一步，主要任务是了解被审系统的基本情况；与委托单位签订业务约定书；初步评价被审系统的内部控制及外部控制；确定重要性水平；分析审计风险和编制审计计划。

实施阶段的主要任务是根据重要性水平、风险和计划获取有关资料；进行符合性测试和实质性测试；对测试结果进行分析；找出导致结果的原因。

完成阶段的主要任务是整理、评价审计证据；复核工作底稿，完成二级复核，汇总审计差异，同被审系统管理层交流；对重要性水平和风险进行最终评价，形成审计意见，编制审计报告，完成三级复核。

二、信息系统审计的方法、技术与工具

由于信息系统本身的多样性和复杂性，信息系统审计的难度也随之增加。面对错综复杂的信息系统和审计环境，要求审计师可以根据审计组织及信息系统的实际情况，结合审计目标、成本效益、审计小组的人员与设备配置情况等，采用多种方法、技术和工具来帮助他们进行审计工作。

1.常规的审计方法、技术与工具

常规的审计方法包括面谈法、问卷调查法、系统评审会、流程图检查、程序代码检查、程序代码比较和测试等。但在高度计算机化的信息系统中，只采用常规审计法显然是不够的，无论是审计证据的收集、评价，还是实现审计工作的现代化，都需要借助计算机来高效完成。

2.计算机辅助审计的技术与工具

信息系统被普遍应用与企业生产、管理及经营活动的各个环节，审计师为达到审计目的，必须要收集大量储存于计算机中的数据，并借助于计算机对这些数据进行分析，以得出审计的结论。因此审计师在收集证据并分析证据时，必需利用计算机辅助审计工作，计算机辅助审计技术（ComputerAssistedAuditTechniques，简称CAAT）越来越成为审计师不可或缺的手段。

计算机辅助审计技术可以使信息系统审计师独立收集审计信息，按照预定审计目标访问和分析数据、报告系统产生和维护的记录的可靠性等审计发现。所用信息来源的可靠性为得出审计结论提供了再保证。

常用的计算机辅助审计软件与技术：共用软件、测试数据、应用程序检查、审计专家系统、整体测试、快照、系统控制审计审核文档、其他特殊的审计软件等。三、信息系统审计的应用价值

信息化是有风险的，信息系统规模越大，功能越复杂，风险也就越大。信息系统审计为企业信息系统的有效管理提供了一系列详细的审计方法，从项目计划开始介入信息系统建设的每个环节，从项目的初始阶段一直到运营阶段的全过程，给予项目投资者风险控制的评价和建议，提高信息系统的投资效益。

信息系统审计可以查出各种错误和舞弊，合理地保证企业信息系统及其处理、产生的信息的真实性、完整性与可靠性；可以促进企业更有效地融入到社会生活中；可以促进企业改进内部控制，加强管理，提高信息系统实现组织目标的效率。信息系统审计在信息化过程中，帮助企业建立健全的内部控制制度，进行系统诊断。确定信息化的目标和内容，帮助企业调整现有的管理框架和流程或修改软件产品使其更好地服务于管理的需要。

参考文献:

[1]胡克瑾:IT审计[M].电子工业出版社，2004.

[2]孙强:信息系统审计:安全、风险管理与控制[M].机械工业出版,2003.

第3篇

［论文摘要］本文分析了信息系统环境下审计工作系统的功能特征、运作环节以及系统的构成，介绍了系统测试的方法，以期提高审计信息化水平，提高审计效率和效果。

数据库技术在审计信息管理中的广泛运用，能为审计人员充分、有效、便利地提供信息，为满足快捷决策需要奠定了基础。其主要设计思想是将分析决策所需的大量数据从传统的操作环境中分离出来，把分散的、难以访问的操作数据转换成集中统一、随时可用的信息而建立的一个大的数据库，其中存储了所有审计数据。

一、审计工作系统的功能特征

在审计工作系统中，审计数据库将信息按照主题来进行组织、管理、控制，审计系统对信息的组织、管理、控制方式一般具有以下特征：

1.一致性

不同来源的多种数据一旦进入数据库，就必须按照统一的主键和结构与编码规则重新组合，因而在审计系统中的数据信息具有一致性的特点。当业务事件发生时，所有原始数据被适当加工成标准编码的源数据，集成于一个逻辑数据库(或数据仓库)，而不是重复存储于多个低耦合系统中。数据库不只记录符合会计事项定义的业务事件，而且记录管理者想要计划、控制和评价的所有业务事件，并且存储业务活动中多方面的细节信息。任何授权用户都可以通过数据库所存储的数据来定义和获取所需的有用信息，这样既能提供多种视图驱动应用所能提供的全部视图，又能避免数据重复存储和数据不一致的问题。此外，这种体系结构还实现了信息处理的实时控制，数据库中的处理单元在业务发生时捕捉业务数据，既能执行业务规划和控制，又能校验数据的准确性和完整性。

2.时间变量

审计数据库中的数据键始终包括时间元素，数据保存的时间通常较长，具有作历史比较和趋势分析预测的长期数据基础。数据库技术是将计算机应用于数据管理而产生的一种新的技术，它仅是审计信息系统凭借的一种新的管理手段，对于数据库的基本要素和管理对象——审计信息的源数据，并不是指没有经过任何加工的原始数据，而是在原始数据的基础上，经过了类似于会计流程中的原始凭证确认、统—会计科目标准编码等加工后所形成的数据。

二、审计工作系统的运作环节

审计数据库在审计工作系统的运作过程大致有如下4个重要方面：

1.数据获取

获取企业的数据信息，记录数据信息的功能和处理过程。根据审计人员的需要，对在数据库中运算所需的数据通过一定的方式进行采集，可以得到企业完整而清晰的数据信息，选取和不断更新数据，保证数据的一致性，使审计信息系统的数据不断更新与补充，并使数据在审计信息系统内部各部件之间可以沟通；利用现有系统的信息，确定从企业数据到审计信息系统的数据模型所必需的转化／综合模式。生成审计信息数据，是进行审计工作的数据基础，类似于传统手工环境下的审计对象。审计信息系统上的财务信息不再是简单的纯文本传统财务信息，它是特定协议标准格式，如超文本格式(HTML)的电子报表，所有数据只要点击都可以被随意移植使用。通过网络传输而来的电子报表按照一定的协议标准格式编制，也可以转换成审计信息系统所需的数据。通过数据获取环节，把这些数据转换成审计信息系统所能识别的形式，或直接采用被审计单位所提供电子数据加工出审计信息系统想要的形式。

2.数据管理

此环节包括会计信息库和用户信息库两部分，前者主要依据数据库技术进行管理，注重于对信息的分类、组织、维护、检索等，对存储的数据建立模型，通过数据模型来对信息进行保存和管理；后者主要包括有关用户个性特征的信息，个性特征数据结构设计是这部分的关键问题，决定了个性化信息服务系统服务质量的优劣，也是实现信息服务自动化和智能化的关键。通过将各种数据装入数据管理库之中，生成必需的、能为审计人员所直接使用的数据管理库，或通过其他方法为审计人员提供查询工具，以便审计人员能方便地从数据管理库中获取所需的信息，并可以通过一定的形式将其输出。生成审计工作所需的数据管理库包含各种审计计算底稿、审定表、审计报告、管理建议书等信息的结构化数据库，并形成与其他部件进行联系的桥梁。

3.分析推理

这是审计信息系统中对信息流进行控制的核心，其主要功能是接受审计人员通过审计信息系统传来的信息需求，判断需求指向的是已存在的信息，还是不存在的信息，或者是哪一层次的信息。对已存在的信息可直接调出并通过用户浏览器予以显示，对不存在的信息需要进行记录，并判断是否经适当可行的计算或处理即可提供，如是，则进行计算处理并显示；否则，作为遗留问题提示进行特别设置处理。此环节是审计工作数据库的主要组成部分之一，可以利用采集到的数据信息，根据程序设置，推断出审计人员工作需要的可能解；提供方便的审计分析模块。

4.解释报告

审计软件可以提供审计报告生成功能，审计人员可以通过它选择具体的信息项目、类型和表达形式，主要内容包括：（1）设置报告模式。模式中列有会计系统中与要素模块相应的数据项目，模式中的项目与含有多种会计方法的对话框或序列框相联，以便审计人员选择他们需要的会计方法来处理其选择的信息项目。（2）初始选择。在生成报告时，现行的会计准则和法规作为初始选择存放在对话框架或子对话框中。如不进行任何选择，审计人员可以得到一份通用的标准的审计报告。（3）选择项目。除初始选择以外，模式报告还提供可选择项目来满足审计人员不同的信息报告要求，这些选择项目可以是会计准则和法规、会计计量和估价方法、财务信息与非财务信息的类型、报告的频率、范围、使用的语言、形式等，提供可选择项目能够增强交互性相对化特征，既能满足审计人员的特殊信息报告需要，又能减少报告使用人员的信息负担。（4）帮助功能。可以采取3种方式：自动显示专业技术概念解释；在对话框中提供环境敏感帮助；一个全面的包括如何应用更复杂的会计技术和方法的目录。帮助功能可以避免审计人员和报告使用者有限的时间被信息的多样化这种无实际意义的工作浪费，有利于及时、准确、有效地寻找有用信息，提高对信息的利用效率。

三、审计工作系统的组成及内容

1.审计项目管理部分

通过建立审计项目管理组件，对每一个被审计项目的各方面情况进行记录并生成电子档案，可以让审计人员更方便地查阅、了解被审计单位的情况，让审计项目的新进人员可以更快熟悉工作；可以建立审计质量控制系统，明确审计人员的工作职责。2.审计法规管理部分

可以自动检查有关处理是否合法合规，能完成法规资料的录入、修改、删除、检索、打印等功能。检索功能不仅可以为用户按各种条件查找审计法规的目录，而且可以根据目录查找法规全文，可以按要求摘要其中的内容并打印输出。审计法规数据库也可以单独成为一个软件，现已成功地应用于审计工作第一线，是我国目前开发和应用较成功的专项审计软件之一。

3.审计操作管理部分

审计操作管理的功能：（1）参考功能。提供计算机审计中常用的工具、手段、可使用的审计程序，其主要内容有：审计环境建立、查询、抽样、汇总与计算、排序与分类、财务与效益分析、编制与输出工作底稿、打印各类审计文件等。（2）图像处理功能。通过对图像显示参数的设置，可以使审计结果以图表的形式表达出来，可以让内部审计人员直观地了解被审计单位的情况。（3）底稿处理功能。能完成审计工作底稿及有关参数和数据的增、删、改等维护工作。针对计算机系统还能自动查找、计算、输入底稿所需数据，并按格式打印，针对手工系统则可以提示审计人员输入有关数据，并进行计算性复核。

4.专用程序管理部分

对于一些需要对外报送资料的项目，尤其是需要送交政府部门的项目，有的政府部门可能提供了单独的审计软件，或者需要单独配备专用的审计功能，以满足政府部门的数据需要。还有的审计项目因数据量大，牵涉面广，并且各被审计单位的情况又不尽一致，为了对这些项目进行有效的审计，也需要针对每个项目的不同情况，单独配备专用的审计功能，以满足审计工作的要求。

四、审计工作系统的测试方法

1.现场交易选择测试数据

对被审计单位的现场交易作标记输入到应用程序中，把带标记的交易当作测试数据。采用这种方法，应用程序中必须有特定的计算机程序能够识别出带标记的交易，并且使这些交易既要更新应用系统的主文件，同时也要更新做检测用的虚拟实体。现场交易作标记选择和识别带记号的交易测试数据有多种策略：第一，在源文件中或屏幕布局中包含一个专门的标识字段，用来表示一笔交易既为正常交易又为带记号交易。由审计人员来选择确定对哪些现场交易作标记，所选交易的特征可以与测试数据的设计相一致，也可以根据制定的抽样计划进行选择。第二，在应用系统的程序中嵌入审计软件模块，利用审计软件来选择交易并给交易加标记使其成为带记号交易。第三，在应用系统中嵌入抽样程序，抽样程序具有根据抽样计划给交易作标记，并使其成为带记号交易的功能。不论采用何种策略，应用系统中必须有相应的处理程序，专门处理带标记的交易。

2.自行设计测试数据

自行设计测试数据是将测试数据与现场交易数据一同输入应用系统。采用这种方法，审计人员应当根据所要使用的测试数据特征设计并创建测试数据。自行设计测试数据的优点是覆盖面广，可全面测试系统；但设计和建立测试数据要花费一定的时间和费用。笔者认为，应用程序进行检测时，首先要在应用程序的文件中建立一个虚拟实体，并让应用程序处理该实体的审计测试数据。如果应用程序是工资系统，可在其数据库中建立一个虚拟的职员资料库；如果应用程序是存货系统，可在其数据库中建立一个虚拟的存货项目。将带标记的实际数据或模拟数据一同输入应用程序和审计软件进行处理，通过将应用程序对数据处理的结果同审计软件处理的结果进行比较，可确定应用程序的处理和控制功能是否恰当、可靠。当应用程序非常庞大或复杂时，全面追踪通过系统的不同执行路径会有一定难度，审计人员对交易进行审查时，可以在应用系统的重要处理发生点嵌入软件，当交易通过不同处理点时，嵌入软件可捕捉交易的过程。为证实不同关键点的处理，审计人员使用软件捕捉交易的前后过程，通过检验前后过程及其变换，评价交易处理的真实性、准确性和完整性。

主要参考文献

［1］WayneMoreandDavidHendrey．ITAuditRenewal［J］.InternalAuditor，l999，（4）：17.

第4篇

关键词：网络；安全审计；主机审计；系统设计

1引言

随着网络与信息系统的广泛使用，网络与信息系统安全问题逐渐成为人们关注的焦点。

网与因特网之间一般采取了物理隔离的安全措施，在一定程度上保证了内部网络的安全性。然而，网络安全管理人员仍然会对所管理网络的安全状况感到担忧，因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应，单个用户计算机的安全性不足时刻威胁着整个网络的安全[1]。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。

本文从系统的、整体的、动态的角度，参照国家对安全审计产品的技术要求和对部分主机审计软件的了解，结合实际的信息安全管理需求，讨论主机审计系统的设计，达到对终端用户的有效管理和控制。

2安全审计概念。

计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性，简称“五性”，安全审计是这“五性”的重要保障之一[2]。

凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以叫做安全审计[3]。

传统的安全审计多为“日志记录”，注重事后的审计，强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架（IATF）中提出在信息基础设置中进行所谓“深层防御策略（Defense2in2DepthStrategy）”，对安全审计系统提出了参与主动保护和主动响应的要求[4]。这就是现代网络安全审计的雏形，突破了以往“日志记录”

等浅层次的安全审计概念，是全方位、分布式、多层次的强审计概念，符合信息保障技术框架提出的保护、检测、反应和恢复（PDRR）动态过程的要求，在提高审计广度和深度的基础上，做到对信息的主动保护和主动响应。

3主机审计系统设计。

安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作，并从已有的主机系统审计记录中提取信息，依据审计规则分析判断是否有违规行为。

一般网络系统的主机审计多采用传统的审计，系统的主机审计应采用现代综合审计，做到对信息的主动保护和主动响应。因此，网络的主机审计在设计时就应该全方位进行考虑。

3.1体系架构。

主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/S架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限于Windows,浏览器也不是只有IE。管理端地位重要，应有一定保护措施，同时管理端和控制中心的通讯应有安全保障，可考虑隔离措施和SHTTP协议。

主机审计能够分不同的角色来使用，至少划分安全策略管理员、审计管理员、系统管理员。

安全策略管理员按照制定的监控审计策略进行实施；审计管理员负责定期审计收集的信息，根据策略判断用户行为（包括三个管理员的行为）是否违规，出审计报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控制中心。因此，控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警，提醒管理员及时备份并删除信息，保证审计系统能够采集新的信息。超级秘书网

3.2安全策略管理。

不同的安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩，体现安全管理意志。在审计系统上实施安全策略前，应根据安全管理思想，结合审计系统能够实现的技术途径，制定详细的安全策略，由安全员按照安全策略具体实施。如安全策略可以分部门、分小组制定并执行。安全策略越完善，审计越彻底，越能反映主机的安全状态。

第5篇

信息系统审计对审计人员的素质要求较高，既需要熟悉计算机技术，同时又要精通人民银行各项业务。目前，从现有的人民银行内审人员构成来看，具有计算机专业背景人员较少，从而制约了信息系统审计开展的深度和广度。尤其是中心支行这一级，大部分单位缺少信息技术审计人员，即使有在数量上也很少，难以独立开展高质量的信息技术审计项目。

二、转型环境下提高基层人民银行信息系统审计水平的对策

（一）创新审计流程，强化信息系统事前和事中审计。信息系统审计是以保证计算机信息系统安全平稳运行，有效控制风险为目标的，如果仅从合规性的角度进行信息系统审计，无法达到上述目标，因此，开展信息系统审计的目的不仅要善于发现问题，有效防范已暴露的风险，更要分析化解潜在的风险，以提高审计效果。这就要求我们要创新审计流程，改变传统审计方法，采用“参与式”的审计方式，加强与科技等部门的沟通交流，重视事前与事中审计。一要完善沟通机制。科技与系统应用部门应及时将制定的有关制度、操作规程、系统运行中的事故情况、解决措施、处理结果发送给内审部门；内审部门应就审计系统时发现的问题，及时向科技和系统应用部门进行通报和反馈，并与他们定期或不定期地磋商、交流，了解各业务系统运行情况，更好地发挥信息系统审计的作用。二要组织审计人员参与新系统的开发、评估，并设计满足审计业务需要的功能，真正做到对信息系统的事前和事中审计。三是在审计过程中采用“参与式”审计方法，参与信息系统审计目标、内容、计划的制订，参与审计中发现问题的分析、讨论，参与信息系统风险的评估及改进措施的制订等。

（二）确立风险导向审计，从风险管理的视角推动信息系统审计。对信息系统的审计，往往需要对信息系统的潜在风险进行分析评估，这就需要引入风险导向审计。风险导向审计的重点是分析评估系统固有、控制和检查三类风险。即：评估分析计算机系统本身存在的脆弱性，如容易感染病毒、易受到侵害、攻击以及软件、硬件、网络方面出现的故障等；分析评估系统操作人员没有按照内控制度的要求进行操作，而又没有被内控防止或者纠正的可能性；分析评估审计人员没有进行实质性测试而不能发生被审计单位差错的可能性。通过风险分析评估，量化各类风险的大小，从而把审计资源集中到高风险的审计领域，以最大限度降低信息系统审计风险，提高信息系统审计的质量。

第6篇

通信企业信息化环境下的控制活动分为两部分：信息化管理层面、业务层面控制和信息系统控制。

信息化管理层面、业务层面控制是对企业的生产经营过程的控制，但其形式和控制手段相对以往发生了很大变化，它以计算机程序的形式嵌入于公司信息系统之中，对业务的控制由计算机自动完成。

信息系统控制是公司为了保证信息系统正确性、完整性和安全性而采取的控制措施，其控制对象是公司信息系统，随着网络技术和电子商务的发展，信息系统控制还必须考虑网络安全和电子商务控制的问题。

信息化管理层面、业务层面控制和信息系统控制对控制活动有着不同要求，内部控制必须根据公司业务流程的情况和具体的控制点进行设置，因此，控制活动受到公司信息化的直接影响。

二、信息化环境下，通信企业内部审计采取的应对措施

随着国内四大通信运营公司在海内外上市，在当今信息化环境下，通信企业经营业务、经营领域的不断扩大，公司管理的难度、跨度、层次比以前更加复杂，面临的风险更多，管理层更关注公司政策、制度在集团所属单位的贯彻执行情况，关注公司资产的安全性和效益性，关注信息是否失真，关注权力是否失衡，控制是否缺失等。

(一)审计观念的转变

观念问题就是认识问题，通信企业必须积极转换审计观念，将审计目标不仅仅局限在查错纠弊，而应全面树立以风险为基础的审计观念，理解信息化环境下内部审计的重要意义；一个在信息化环境下，完善、良好的控制系统，应该能够防止、发现或纠正自身存在的问题，审计的任务就是帮助和促进被审计者建立、健全这种机制，而不应该是代替被审计者去履行他们的“管理责任”。

1.内部审计应积极参与信息化环境下的审计项目

内审人员应以相对独立的身份，在审计中可以保持客观态度，有助于公司治理、风险管理和内部控制制度的健全和完善。

2.加强信息化知识的培训和学习

目前，随着信息化的实施，对内审工作也提出了新的要求，审计人员不再局限于以前的工作方法和思路，通信企业应以上市执行内部控制制度为契机，以效益为中心，以内控体系为载体，以外部审计为驱动力，通过各种培训，使全体审计人员对企业信息化有全面的了解和认识。

3.明确信息化环境稳定后内审工作的新方向

内审的职能应从查错防弊逐步向为强化管理，加强内部控制方向转变。通信企业审计工作的方向和重点应向管理审计和效益审计转型，应积极开展信息化环境下风险的分析，协助企业完善内部控制体系。

(二)信息化环境下审计工作的方法

信息化环境下，通信企业应统一审计项目计划，统一调配审计资源，统一审计办法。主要审计工作方法可归纳如下：

1.计划阶段

(1)深入了解、分析业务流程，寻找内控薄弱环节，确定审计重点；

(2)分析存在的内控薄弱环节；

(3)确定审计重点；

(4)进行穿行测试，评估信息化系统控制的实现情况，根据评估结果适时调整审计重点；

(5)熟练掌握信息化系统中相关查询功能，搜集所需的相关资料和信息；

(6)导出所需的业务资料，进行分析、比较；

(7)编制可行的审计工作方案，进行合理人员分工。

2.实施阶段

(1)追溯原始数据的来源，抽样核对原始数据的准确性；

(2)分析会计核算方法的差异、对会计报表的影响以及前后期是否一贯执行；

(3)对集成部分数据形成的报表进行对比分析，寻找异常，并抽查验证；对非集成数据从系统中导出相关凭证，抽样查阅原始凭证；

(4)利用信息化环境提供审计线索的功能，查阅相关修改记录并进行追查；

(5)形成审计工作底稿。为了便于以后更好地开展信息化环境下的内审工作，将审计过程所涉及到的审计发现以“实事描述”“信息背景”“风险影响”“审计建议”为内容全部记录下来，形成相应的工作底稿，以待备查，为撰写审计报告打下基础。

3.报告阶段

(1)完成审计工作底稿的三级复核；

(2)根据相关业务统计数据、审计结果，分析企业经营、管理方面存在的不足，编写审计报告，提出管理建议；

(三)消除信息化环境下内审工作认识上的误区

误区一，信息化环境下内审工作职能的削弱。有人认为，实施信息化内部审计部门没事干了，原先很多审计工作可以通过信息化环境下的业务流程的整合，内审工作职能就相应削弱。

误区二，按照传统审计思路开展审计工作。有人认为：信息化环境下，只需将所需数据从信息化环境下系统中导出，然后按传统的审计工作思路和方法进行核对，不加分析，不加判断，继续按照旧环境下容易出现的错误及舞弊为起点进行审计，其结果可能是既浪费时间又没有成效。因为许多核对工作信息化环境下系统已经能自动完成，或者说通过添加一些程序能较快地完成，能大量地减少核对工作。

在新的环境下对通信企业内审人员来说，一方面，要加强信息化相关知识的学习和培训，提高综合素质；另一方面，要积极开展信息化环境下审计的研究工作，将审计工作重点逐步进行转移。从现实意义上讲，信息化环境下内审活动是公司治理、风险管理的控制系统，审计的职能从查错防弊逐步向如何加强企业管理、强化企业内部控制、风险分析与控制等方向转变。

信息化环境下的内部审计工作目前还处于摸索阶段，一些观念和做法还不是很成熟，同时，随着信息化环境下的内部审计逐步完善，内审工作的重点和方法也需逐步调整，这就要求通信企业内部审计人员不断地学习和探索，切实提高审计能力；为适应信息化时代企业生产经营发展的需要，适应信息化环境下的审计要求，审计人员更应该改变审计理念、创新审计思路和方法，跟踪信息环境下内审工作的新方向，使通信企业内审工作进一步发展和提高。

【摘要】随着全球信息化和审计理论的发展，信息化对公司内部控制的影响逐渐引起人们的关注。本文讨论了信息化对通信企业内部控制的影响，并分析了内部审计应采取的对策；旨在引起通信企业管理层对信息化影响和内部审计对策的重视，尽快加强信息化环境下通信企业内部控制的审计。

【关键词】通信企业内部控制信息化影响审计对策

目前，我国信息化建设进入全新的发展阶段，通信企业由于传统业务收入下滑，也正在积极探索业务转形，而信息化的发展是公司实现成功转型的关键所在。信息化提高了公司业务流程的自动化程度，改变了数据和信息的获取、传递、存储的方式，提高了信息处理的效率，提高了信息的集成性。同时也造成通信企业内部控制环节随之发生变化，使传统的控制手段逐渐失去意义；评价和改进内部控制必须以信息系统的运转为基础，而公司信息系统的安全问题会导致管理风险日益增长，与之对应的公司内部控制审计也面临着前所未有的挑战，已经成为需要认真研究的课题。

参考文献：

[1]李荣华.信息化时代的企业管理创新[J].广东科技，2003，(11).

第7篇

Abstract: This paper describes the conceptual framework of the continuous audit, conducted a comparative analysis of the traditional continuous audit model, combines the characteristics of XBRL technology, analyzes the basic elements of building continuous auditing under XBRL environment, builds a new type of continuous audit model based on XBRL environment on this basis, in order to achieve real-time continuous audit function of financial reporting. On this basis, the operation mechanism of the new type of continuous audit model based on XBRL environment is analyzed.

关键词：XBRL；连续审计；审计模式；构建要素

Key words: XBRL；continuous audit；audit mode；building elements

中图分类号：F239 文献标识码：A 文章编号：1006-4311（2012）20-0152-02

0 引言

随着XBRL的发展以及一系列XBRL技术标准的，XBRL与企业经营活动的结合日渐紧密，基于该环境，本文将连续审计定义为：审计人员在充分利用现代化信息技术的基础上，通过计算机网络建立与被审客户之间的实时有效连接，对被审计单位财务系统生成的基于XBRL的数据信息以及内部控制系统的运行情况进行连续监控，随时对企业异常情况进行检测，获取实时审计证据，对审计报告随时更新并向信息使用者提供实时的审计报告的一种审计模式。

1 连续审计的概念框架

连续审计概念框架是连续审计模式的基础，只有在明确连续审计概念框架的前提下，才能成功分析连续审计模式所需要的构建要素，才能实现新型连续审计模式的构建。连续审计的概念框架分以下七个组成部分。

1.1 网络服务器 专用网络服务器安装配置被审计单位的实时报告系统。对接特殊服务器使得内部审计师和审计单位连接起来，使内部审计人员审计核查相关的数据库就可以监视和控制被审计单位专用服务器的运行情况，审计后产生的报告置于单位内部审计师的特殊服务器里，为被授权的第三方提供审核的数据材料。

1.2 审计环境 被审计单位的实时会计报告系统和内部审计人员的监控设备持续不断的运作产生的信息流组成连续审计环境。这些信息流将会被会计系统进行具备时效性的，由此可见，内部审计人员的服务也是随着时间的更近进行更新的。

1.3 审计业务约定 连续审计业务约定是连续审计当事人之间的合同，业务约定的相关条件和款项主要取决于所提供的服务类型，包括传统审计部分和连续审计技术两个方面。

1.4 审计信息系统 连续审计的实际采用完全取决于相互连接的信息系统是否可靠，也就是说审计系统是否是完整的，安全的，有效的，以及可维修护理的。

1.5 安全信息传输 得到授权特定信息传输具有身份识别功能，能够保证私密信息不外漏并保持其完整性。确保服务认定水平的图章或标签可通过内部审计人员整理随时更新的审计报告电子版来生成。

1.6 长青报告 长青报告是指只要特定的第三方有需要，连续审计环境殊服务器可随时生成审计报告供其使用。访问服务器的时间内审计报告完全是开放的，动态更新的。连续审计报告提供三个层次的保证类型，根据重要性程度和对内部审计人员的特定要求而定。

2 传统连续审计模式比较分析

连续审计模式是连续审计系统整体实现的理论模式，以技术实现为外在逻辑形式，内含审计各要素排列以及审计契约各方关系而形成的抽象逻辑框架。至今为止学术界提出过不少连续审计模式，目前，国际上应用连续审计的模式有以下四种：①Woodroof—SearCy模式；②Rezaee模式；③Onions模式；④ABCAM模式。每一种连续审计模式在精确性、报告方法和实时性等方面都有各自的优势和特点，具体差别如表1所示。由表1可以看出，四种模式通过采用数字、嵌入技术等不同的审计技术实现了连续审计，但是这些模式大多数所采用的审计技术，不可避免的存在不支持XBRL，占用大量系统资源等缺陷，而随着XBRL财务报告被广泛的应用，为了适应审计环境的这一变化，就需要一个适应XBRL环境的连续审计模式，基于已有模式的比较研究，论文将尝试构建一个新型连续审计模式。

第8篇

论文关键词：会计信息系统审计数据有效性内部控制

论文摘要：本文根据财务报表审计对会计信息系统数据的要求，先给出数据有效性的定义分析，然后分析了影响会计信息系统数据安全有效的几个方面，初步探讨了解决数据有效性威胁的一些方法。

一、数据有效性的定义

在目前的财务报表审计工作中，审计人员在了解被审计单位及其环境之后，实施控制测试程序和实质性测试程序，而在实施实质性测试的时候，会先从被审计单位的会计信息系统中采集所有与审计相关的数据，假设审计人员能够采集与被审计单位的会计信息系统中的数据完全一致。但是由于会计信息系统本身所固有的风险性，会使得其产生大量的数据不正确，或者不真实可靠，这将使审计的风险大大增加，产生事务所可能无法接受的风险，这时候就不应该继续审计工作。所以，在审计工作实施之前，应当把分析被审计单位会计信息系统所产生数据的有效性作为应当执行的程序。

数据有效性是指体现审计需求的程度。审计中利用会计信息系统所产生的数据的主要目的是为了取得审计证据，支持其关于审计事项的判断或结论。据此，我将会计信息系统的数据有效性定义为以下几个方面：可验证性、可理解性、可分析性、正确性、完整性和惟一性。

二、数据有效性的影响因素分析

会计信息系统由计算机硬件及其环境，计算机网络，系统管理软件和应用软件组成。影响被审计数据的有效性主要是会计信息系统的风险性。会计信息系统的风险是指由于各种不确定因素的影响，系统输出的会计信息与真实信息发生背离的可能性。会计信息系统既给会计工作带来了高效率，同时也带来了一些手工条件下所没有的风险。种种安全隐患在会计信息系统中突出表现在以下四个方面：

（一）系统环境

系统环境因素主要是指会计信息系统的硬件和软件、系统开发以及自然环境等方面的因素。

1．硬件和软件

在硬件和软件方面由于硬件失灵、逻辑线路错误等而造成信息传递或处理中的失真，或由于网络软件自身的程序、后门程序、通信线路不稳定等因素都为系统的安全带来诸多隐患，使系统面临病毒和黑客的攻击。

2．系统开发

在系统开发方面，主要表现为没有按科学的方法架构网络、开发系统和设计程序，系统未经测试和调试等，而致使财务信息面临被窃取的安全隐患。

3．自然环境

在自然环境方面，火灾、水灾、风灾、地震等都有可能造成系统的安全问题。

（二）管理制度方面

传统会计系统非常强调对业务活动的使用授权批准和职责性、正确性与合法性，在会计信息系统下，原来使用的靠账簿之间互相核对实现的差错纠正控制已经不复存在，光、电、磁介质也不同于纸张介质，它所载信息能不留痕迹地被修改和删除，使企业内部会计控制面临失效的安全隐患。因此，在会计信息系统下管理制度方面的影响要素主要包括会计信息系统的建设组织、管理制度、人员配备、内部审计机制等。

1．建设组织

在组织方面，存在职责不分、没有监督机构等问题。

2．管理制度

在管理制度方面，存在没有健全的管理制度，或者是有章不循、有规不依等问题。

3．人员配备

在人员配备方面，存在企业没有对网络会计系统以足够的重视，没有配备足够的人员，尤其是没有配备足够的系统安全人员的问题。

4．内部审计机制

在内部审计机制方面，存在没有建立有效的内部审计机制，或者建立的内部审计机制没有坚持执行等问题。

（三）数据处理方面

在会计信息系统中，需要财务部门集中输入的记账凭证可由各部门的多台计算机同时输入。这虽然提高了整个账务处理的工作效率，也遵循了会计数据输入的及时性原则。但毕竟会计数据的数量是庞大的，数据处理会出现多种错误。一是输入环节录入错误信息，使用无效代码，击错功能键，丢失数据，重复输入，没有将数据存盘等。二是处理环节使用了错误程序，使用了错误的数据文件以及丢失数据文件和程序等。这些使会计档案面临保存失效的安全隐患。

（四）人员素质方面

其安全隐患主要包括：

第一，人员配备方面没有配备足够的系统安全人员。使用与管理人员培训不够，业务素质偏低，容易产生错误操作，从而对计算机会计信息系统安全构成威胁；

第二，责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能使安全风险增强；

第三，内部人员道德风险，主要指企业内部人员对会计信息的管理不善、非法篡改、破坏和不正当泄密等，造成资料损坏或丢失，为犯罪造成可乘之机。

三、针对数据有效性的威胁审计人员应当采取的措施

国际上知名的会计师事务所都已经意识到会计信息系统所带来的审计风险，并且让信息系统审计师协助审计小组工作。审计小组应该首先了解：会计信息系统的一般控制和应用控制，被审计单位是否配备了合格的系统安全管理人员。然后请专家（即信息系统审计师）根据审计对会计信息数据的需求，实施一定的信息系统审计方法来测试会计信息系统产生数据的有效性，以达到降低审计风险的目的。

（一）应当了解的情况

审计人员应该了解会计信息的一般控制和应用控制。

1．一般控制

一般控制作为会计信息系统的主要控制手段之一，涉及面很广，从人员管理到计算机软硬件及运行环境的管理等，具体包括以下几个方面：

（1）组织控制

指为保证会计信息系统责任和义务而采取的控制。具体包括：建立管理的组织机构，选择、监督、培训人员，职责分工并授权，计算机应用系统建立的组织，以及会计信息内控制度计划、引导、管理。

（2）系统开发与维护控制

具体包括：系统开发计划控制，编程与软件测试控制，系统维护及功能改进的控制以及日常运行管理维护，文档资料的控制。

（3）软件与硬件的控制

具体包括：硬件系统控制，软件系统控制，网络系统控制。

（4）安全控制

主要涉及计算机系统的环境安全、设备保护以及安全保密制度。

（5）操作控制

主要涉及使用计算机系统的一整套管理制度，包括计算机系统操作规程和守则，上机日记，保密制度等。

2．应用控制

应用控制的目的是保证计算机系统数据处理的完整性、一致性、准确性和安全性。一般分为输入控制，处理控制和输出控制。

（1）输入控制

其目的是保证经审批的经济业务数据准确输入计算机系统。输入控制与组织控制是相辅相成的，业务审批应在电算部门之外。

（2）处理控制

其目的是保证会计信息系统按程序设计的要求进行数据处理。一般通过计算机程序加以执行。

（3）输出控制

其目的是保证会计信息系统处理结果能正确的输出，任何未经授权的人不能取得计算机系统内的数据。来源于/

上述介绍的是在会计信息系统环境下系统完整的内部控制体系。对一个企业来说，实际情况是，其内控往往并不能包括全部，如一些单位的应用软件是购买的，对软件的开发过程的内控实际上是无法控制的。因此，审计人员在实际测试工作中，还要针对每个企业实际情况制定具体的测试方案，进行符合性测试和实质性测试，并对其会计信息系统的内控做出评价，然后根据测试结果决定是否依赖或部分依赖会计信息系统下的内控制度制定，并制定相应的审计策略，同时对内控制度存在的重大缺陷提出管理建议。

（二）信息系统审计师实施的主要测试方法

审计通过检查系统状态是否正常或是否符合包括系统和组织策略在内的安全需求来支持对操作的保障。

1．自动工具

对安全特征的人工检查是一项费时的重要工作。自动工具使得对大型计算机系统的各种安全错误的检查成为可能。它可以用来发现各种威胁和漏洞，如不适当的访问控制、脆弱口令、缺乏完整性的系统软件，或没有及时更新和修补的软件。有两种类型的自动工具：一种是主动工具，它是通过破解系统来发现系统缺陷的工具；另一种是被动工具，它是用来检查系统和通过系统状态推断系统所存在问题的工具。

2．内部控制审计

审计可以对己经部署的控制进行检查以确定它们是否有效。审计者通常会对计算机和非计算机的控制进行分析，其技术包括询问、观察、测试（包括控制本身及其数据）。审计还可以发现非法活动、错误、反常行为和法律法规的执行疏漏。

3．安全检查表

计算机安全可以通过检查表的方式对系统进行审计。安全计划对系统中包括管理、操作和技术在内的主要安全要求进行概括。审计者也可以自己开发出合适形式的检查表。

4．系统日志的检查

定期对系统产生的日志进行检查可以发现安全问题，包括超越系统权限的在非正常时间内访问系统的企图。

5．报警和阻断

报警子系统发现和警示非授权的操作或企图，并报知系统管理员。阻断响应则是对非授权的操作进行阻止，对非授权的操作所引起的操作结果进行恢复。

四、小结

综上所述，在会计信息系统条件下开展财务报表审计工作，必须要充分认识并考虑会计信息系统所潜在的风险，并且实施相应的审计程序，以合理保证会计信息系统产生数据的有效性，达到降低拟信赖该系统所带来的审计风险。

参考文献：

[1]李荣梅，陈良民．企业内部控制与审计[M]．经济科学出版社，2004，（8）．

[2]刘汝焯．计算机审计技术和方法［M］．清华大学出版社，2004，（6）．

[3]唐勇军，时薛原．网络环境下的会计信息内部控制研究［J］．财会通讯，2003，（10）．

第9篇

论文摘要:内部控制是社会经济发展到一定阶段的产物，其内容在不断的发展与变化，而内部审计是内部监督机制的重要组成部分。目前计算机信息系统已在企业中广泛使用，而在内部审计过程中如何加强计算机信息系统的风险防范，是企业内部控制过程中迫切需要解决的问题。

企业信息系统化的运用，原来的手工控制则变为手工与电脑控制相结合或全部由电脑自动进行控制。计算机信息系统的广泛使用，与技术管理相对薄弱和稽核监督的长期空白已形成了尖锐的矛盾。信息系统风险控制能力差的现状，迫切需要我们加强风险管理和监控。

一、发挥内部审计作用，加强企业内部控制

(一)企业应加强内部控制

随着市场经济的深入发展，企业逐步成为自主经营、自我约束、自我发展、自我完善的商品生产者和经营者。在“优胜劣汰、适者生存”的市场经济中，企业要想真正的做到“自主经营、自我约束、自我发展、自我完善”，必须要加强内部控制，建立有效、完善的内部控制制度，这样才能在一个绝对的高度上，对企业进行高瞻远瞩的控制，才能做出与时俱进的决策。

(二)内部审计是企业内部监督机制的重要组成部分

内部审计也是企业内部控制的一个重要的组成部分，是监督内部控制其他环节的主要力量。内部审计通过对控制环境和控制程序的有效性进行监督，评估企业的内部控制是否被执行，是否及时反馈有关执行结果的信息，是否帮助企业更有效地实现预期控制目标。同时，在监控过程中，内部审计可以促进控制环境的建立和改善，为改进控制制度提供建设性的意见，为企业建立健全所需要的内部控制水平服务。在内部控制的监督过程中，内部审计发挥着越来越重要的作用。

二、内部审计在防范信息系统风险中面临的问题

(一)信息系统安全管理机制不健全

企业信息系统风险的存在，很多是由于管理不善或控制不严造成的。一方面，缺乏一套统一的安全策略体系来指导安全管理工作，无法建立系统内部明确、全面的安全规范要求。从现有管理制度规范来看，主要存在的问题是可操作性差，条理不清、重叠或遗漏等;另一方面，现有安全管理制度的管理对象基本是网络系统管理员等技术部人员，管理对象没有全面涵盖所有信息系统技术相关人员，包括所有网络系统上的内部终端人员和外部人员。

(二)内部审计在信息系统风险防范中的角色缺乏独立性

内部审计的角色发生了转变。从传统的事后审计而逐渐转向事前和事中审计，主动参与内部控制系统的建立和完善。内部审计人员即承担着评价硬件和应用信息系统安全的任务，如果又同时有参与了系统的开发和实施过程，那么内部审计人员就却乏独立性。反之，如果处于对丧失独立性的担心，内部审计人员有可能会拒绝参与系统和软件的开发，那么系统开发过程中存在的风险又无法得到控制。

(三)内审部门技术力量薄弱造成对信息系统审计形成风险

审计稽核部门的技术力量薄弱，不熟悉业务系统的流程和功能，对信息系统缺乏必要的认证能力和标准。突出表现为以下几个方面:一是实施审计稽核的手段和方法没有得到及时更新，不适应信息系统管理的要求，大部分仍停留在手工审计阶段;二是审计稽核部门对计算机账务系统实施审计的依据仅依赖于被审计单位提供的打印资料或事后资料，计算机账务的真实性审计很难得到保证。

三、加强风险防范的措施和对策

(一)构建信息系统安全管理组织及规范体系

加强信息系统的自我风险评估体系，让信息系统的管理和技术人员在自身的职责范围之内正确识别和评估潜在操作风险，主要包括内控制度的查漏补缺、工作流程的整理和规范、应急预案完善和演练等。同时加强对操作人员的管理，规范操作程序。一是加强密码管理，明确规定操作人员的权限，操作员必须在规定的权限内办理业务，用户口令及密码必须专人专用，严禁公开口令及密码;二是要建立健全操作员岗位目标责任制，对网络操作人员要明确目标任务，规范操作程序，严格落实奖惩制度。三是要严格岗位设置，不相容职务进行分离。严禁系统管理人员、网络技术人员、程序开发人员和前台操作人员混岗、代岗或一人多岗。四是要加强系统内部的稽核监督检查。稽核监督应贯穿于网络操作的全过程，重点是加强对系统设计开发、内控管理制度落实、操作运行等方面的

(二)关注信息系统的稳定性、安全性和有效性审计

首先，审计人员应运用用一定的技术方法识别系统的完整性，该过程包括检查、测试、评估系统的内制，以保证系统的稳定性;其次，审计人员应评价系统存在的风险和可能产生的后果将成为审计的核心工作和基本内容，保证信息系统的安全性。应根据审计的标准和准则，评价控制环境的和IT基础设施的安全，确保系统满足组织的业务需要，保护信息资产的安全完整，以防非授权使用、泄露、修改、损坏或丢失;最后，还应鉴别信息系统的有效性。内部审计必须理解并熟悉操作环境，了解系统技术的复杂性及其对决策的影响;对来自内部的安全隐患，采用一定的方法进行系统诊断、检验、测试，评价其有效性及效率，以支持组织业务目标的实现

(三)改善内审机构，提高内审人员素质，培养信息系统审计师

为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价。信息系统审计师也称lS审计师或IT审计师，是指那些既通晓信息系统的软件和硬件(包括信息系统的开发、运营、维护、管理和安全等)，又熟悉经济管理的内部审计人才。

(四)聘请专家进行协助

内部审计人员的知识、技能和经验虽然有助于信息系统的风险防御，但现实中必须承认，在企业中同时具备计算机技术和审计专业知识的人才非常短缺。再出色的内部审计人员可能面临一些系统内的专业问题却无法解决，因此有必要聘请外部专家。可以通过专家的协助测试运用其专业技能测试系统安全，进一步防范和解决信息系统风险的存在。

第10篇

随着改革开放的深入，我国主义市场迅速，审计行业面临着严峻的挑战，审计对象迅速发生变化：由以会计账项为直接审计对象的账项基础审计，扩展为以内部控制制度为直接审查对象的制度基础审计；由以手工数据系统为审查对象的手工数据处理系统审计发展为以数据处理系统为审查对象的电子处理系统审计，已构成化审计的重要标志。需要采用现代化技术与的审计工具，改变现有的审计作业手段，使审计作业自动化，通用化，标准化，规范化，最终和国际接轨。

一、国产审计软件的现状

（一）当前主要的国产审计软件及其简要介绍

l．通审2000

通审2000系统的核心是解决审计系统的通用性，系统包含10大功能模块：审计机构管理模块。会计数据转换平台、审计计划管理模块、内控评估模块、抽样审计模块、审计查证模块、审计报告编辑模块、审计质量控制模块、审计法规查询模块及系统设置与维护模块；涉及审计工作的全过程。

2．审计之星

审计之星软件分为查证系统、单体系统及合并系统三部分。查证系统从被审计单位中直接获取会计信息，执行、抽查等部分审计程序，它是单体系统的基础；单体系统从未审定报表出发，检查相关的勾稽关系，并进行审计调整与重分类，最后得到审定后的报表；合并系统则从各单体审定报表出发，先进行加总，而后编制合并抵消分录，最后得到合并报表。

3．思博审计

思博审计软件相比较前面两种审计软件，其主要特点主要在项目管理及工作底稿的编制上。项目管理，先由项目经理进行项目登记，选择工作底稿模型，然后组成项目小组（可以在小组内进行人员分工），并进行电子数据采集；在工作底稿的编制上，可以进行自动取数及自动交叉索引，最后自动生成试算平衡表及审定报表。

（二）国产审计软件存在的不足

1．仍未摆脱传统手工审计模式

目前国产审计软件的开发仍主要以传统手工审计模式为基础，并按照传统手工审计的流程来进行审计软件的开发，在这一点上，审计软件的开发受会计软件的很大，继续走着会计软件走过的老路。

审计软件的开发以传统手工审计模式为基础将带来一些弊病：

（1）随着计算机的普遍，传统手工审计已不再适应现代会计和审计的发展，审计软件如果仍只是执行传统手工审计下应执行的审计程序，而忽视由于审计对象、审计方法等的变化而应执行的新的审计程序，这样的审计软件将是不完整的。

（2）与计算机相比较而言，人对于一些特殊业务的敏感性要强一些，职业判断在手工审计中起着决定性的作用。审计软件如果没有注意到手工审计中包含了审计人员的职业判断，而只是盲目执行手工审计的审计程序（如只是盲目执行大额抽样或随机抽样而不注重账目的性质），其后果将会是严重的。

2．仅仅执行一些查账的程序

目前国产审计软件的功能还比较简单，还仅仅是执行一些常用的查账程序。

就上面介绍的三种审计软件而言，三种审计软件都包含了一些常用的审计程序，如审计抽样、工作底稿的生成及生成试算平衡表等。这主晏是因为利用计算机来进行大额抽样及随机抽样，不仅速度快，而且随机性强；而通过电子表格（如Excel）的自动取数及汇总功能，又可以很容易实现工作底稿的自动生成及编制试算平衡表。

但查账不是审计的目的，审计的目的在于通过查账这一程序来评价被审计单位会计报表的公允性、合法性及一贯性，因此对所查的账目进行综合分析，进行合理地判断，才是审计的关键，而这又是当前国产审计软件所缺乏的。

3．仅适用于定期审计

目前的国产审计软件仍主要是为定期审计服务的，是以未审的定期会计报表为基础，通过执行一系列的审计程序，进行调整及重分类，最后生成审定的会计报表。但随着计算机技术和电子商务的发展，会计信息的变化不断加快，流动性不断增强，企业会计信息使用者对于会计信息实时性的要求也就不断提高，对企业会计信息进行实时审计的必要性也不断加强。另外，进行实时审计，还可以弥补事后审计线索不充分的缺陷，可以为定期审计服务。

二、造成我国审计软件现状的主要原因

造成我国国产审计软件仍存在许多不足的原因是多方面的，而且这些问题主要不是来自计算机技术方面，更主要是来自、准则法规的制定、人员的培养等一些配套环境还待改善。

（一）理论研究严重不足

目前，我国对于计算机审计方面的理论研究还很不足，而审计软件的开发却已经蓬勃发展起来，这

就造成了理论和实践的脱钩，审计软件的开发缺乏理论的指导，其发展和完善将受到严重地限制。

从发表的论文数量上看，在《会计研究》、《审计研究》、《财务与会计》等权威刊物上，关于计算机审计方面的论文几乎没有，而在以会计电算化为主要的《会计电算化》中，每年关于计算机审计的论文也不过十篇左右，更不要说关于审计软件开发的文章，简直就像大海捞针一样难，这足以说明学术界对于这方面的研究还很不足。

计算机审计是信息管、审计学、计算机等交叉的学科，是现代审计发展的一个重要方向；而审计软件则是计算机审计的基础，是计算机审计赖以实施的平台，缺乏理论的指导，审计软件的发展将步入歧途，将多走很多的弯路。

（二）会计数据接口标准未得到很好地贯彻执行

中国软件协会财务及企业管理软件分会曾了中国财务软件数据接口标准98－001号，上海西南会计电算化协会也起草了《上海市会计软件标准数据接口规范（试行稿）》，其目的都是为了不同的财务软件之间的交流，便于相互数据转换，以及适应用户的特殊需求，为二次开发提供数据接口。

该标准及规范均规定各个财务软件之间的数据交换以计算机文件为媒介，其中包括两类：一类是格式定义文件，一类是数据文件。

该标准及规范虽然还不成熟，但基本上都能适用于目前国内会计软件之间数据转换的需要，但由于种种原因，该标准及规范并没有得到很好地落实。

各会计软件厂商以保护数据安全为借口，将数据的

层层“保护”，使得会计软件之间的数据转换越来越难，这也给审计软件的开发加大了难度。

（三）计算机审计准则不完善，执行困难

由于会计系统的电算化及网络化，使得审计线索。审计内容、审计方法等方面都发生了重大的变化，人们以往在审计工作中间逐渐建立的一系列审计标准和准则越来越不适用于变化了的情况，需要制定新的审计标准和准则来指导审计的工作实践。1996年12月 19日的《审计机关计算机辅助审计方法》以及 1999年 7月1日正式实施的《独立审计具体准则第20号——计算机信息系统环境下的审计》都只是在一些计算机审计的基础方面进行了一些简单的规定，并无提出一些实质性的解决方案；而且这些方法及准则并没有在审计实践中得到很好地推广，大多数国内的会计师事务所的计算机审计的水平还偏低，执行业务时仍以传统手工审计模式为主，计算机在审计过程中很大程度上停留在文档编辑的水平上。

（四）有关计算机审计的立法工作仍有欠缺

计算机审计工作同样要依法进行，对业务活动是否合法合规的判断不单只是职业判断，而且还必须以有关的法规为依据。但是，目前的审计法规基本上是适应传统书面纪录形式的，许多由于计算机技术的发展而导致的新的审计问题尚无法律法规来加以规范。例如，电子证据的无形性和易篡改性造成了审计证据确定上的困难；电子签名因不同于手写签名而导致在法律上难以认定；电子合同的瞬间完成使得合同签订和生效时间的确定存在巨大的争议等等。这些都在一定程度上使得计算机审计工作，尤其是进行合法性审计是处于无法可依的局面，急需立法加以明确。

（五）企业信息系统的建设水平还比较低

随着计算机技术的发展，一些有一定规模的企业都纷纷建立起信息系统，用于规范企业内部的生产、经营的管理，从整体上看这是一件好事。但目前国内很多企业建立信息系统不是根据企业自身的情况，循序渐进，而是盲目跟风，一拥而上，在信息系统的建立上存在着严重的长官意识。由于这种情况，目前许多企业建立的信息系统在经济上、技术上不可行，往往建设到了一半由于成本过高而放弃；或者在系统设计阶段没有建立必要的内部控制措施，待系统运行以后再作修改，不仅影响系统的正常运行，而且花费的成本也相当高，有时甚至不能运作。企业信息系统作为计算机审计赖以依存的环境，其目前的现状严重制约了审计软件的发展。

（六）审计人员的计算机水平不高

在会计电算化条件下，由于审计线索、内部控制、审计内容和审计技术等方面的改变，决定了对审计人员要求的提高。不懂得计算机的审计人员，会因为审计线索的改变而无法跟踪审计；会因为不懂得电算化系统的特点和风险而不能识别和审查其内部控制；会因为不懂得使用计算机而无法对计算机系统进行审查或利用计算机进行审计。因此，提高审计人员的水平是利用计算机辅助审计的前提条件，也是审计软件赖以实施和推广的基础。

同时在审计软件的开发上，为了使审计软件有较好的实用性，要求审计软件的开发人员既掌握计算机软件开发方面的知识，又熟悉审计的流程，特别是在计算机化条件下应执行的审计程序。但这样复合型人才在我国还很缺乏，各高校对这样的人才培养还很不足。

三、审计软件障碍的解决建议

（一）广泛开展审计软件的

审计软件的理论研究，并不仅仅是学术界的责任，审计业界以及软件业界都应自觉承担起审计软件的理论研究工作。但三者在审计软件的理论研究方面所起的作用及所应完成的工作是不同的。

1．学术界主要责任是借鉴西方发达国家关于审计软件开发的先进经验，结合我国国情，制定审计软件开发的指导思想。

2．审计业界则主要是从审计目的和要求出发，结合机条件下对审计对象及审计范围的，制定出合乎计算机审计要求的审计流程。

3．软件业界则是结合审计软件的指导思想及计算机审计流程，设计运算机审计的审计软件结构及功能模块。

（二）完善并强制执行会计数据接口标准

会计数据接口标准之所以没有得到很好地贯彻执行，主要是因为软件协会本身是一个行业自律组织，没有行政权力，对会计软件开发商不构成实质上的约束。笔者认为，要解决这一，应该由财政部修订合计核算软件基本功能规范，将数据接口的标准写入会计核算软件基本功能规范，并在审批时严格把关，不符合数据接口标准的一律不得通过审批，以加强各会计软件开发商对数据接口的重视。

另外，由于各主要财务软件的发展都基本成型，再更改其数据存储结构成本很高；而且数据存储结构可能涉及各会计软件开发商的商业秘密，让其公开也不现实。对此，在审批时，可以要求各会计软件开发商在其会计软件中增加数据转化的小模块，将其会计数据转化成合乎会计数据接口标准的形式。

（三）完善计算机审计准则

由于我国计算机审计还处于初级阶段，应该积极借鉴国外先进的计算机审计理论和技术，并深入研究，然后制定出适合审计的计算机审计准则。

在计算机审计准则的制定可从以下几个方面考虑：

1．信息系统开发过程中的审计准则；

2．信息系统内部控制评价的准则；

3．信息系统输入——处理——输出的符合性和实质性测试准则；

4．软件的扩展和维护的审计准则；

5．审计软件的基本功能和基本要求的规范指南。

前三项是开发审计软件的前提，而后两项则用于指导审计软件开发。

（四）加强有关计算机审计的立法工作

由于商务技术的不断发展，电子数据、电子合同、电子货币、电子签名等的运用也越来越广泛，而对这些方面的审计又涉及到法规的问题。因此，立法部门在制定法律法规的过程重点要从以下几个方面考虑：

1．电子数据的有效性、可靠性及电子数据传递的安全性；

2．电子合同的有效性，包括合同的生效时间及合同上签名的有效性等；

3．电子货币流通的安全性、保密性等；

4．电子签名的确认，包括密钥的使用等。

（五）完善信息系统

企业信息系统作为计算机审计赖以依存的环境之一，其建设的好坏直接影响到计算机审计能否得以顺利地开展，直接影响到审计软件的开发及运用审计软件进行审计。

企业在建立自己的信息系统时，首先应进行可行性研究，以确定所要建立的信息系统在上。技术上是否可行，并决定所要建立的信息系统的规模及其预算；其次在系统设计阶段，根据倩息系统所要完成的功能及目的，设计好各主要的功能模块，并建立起必要的内部控制措施；最后在信息系统投入运行前应进行严格的测试，待系统能正常运行时再投入使用。

会计师事务所在企业建立信息系统时，应起到良好的咨询及审计的作用。咨询作用主要是在企业设计信息系统的过程中，对企业提出的一些有关的会计、审计问题进行咨询，使企业信息系统真正适合企业管理的需要；审计作用主要是在企业信息系统投入运行前，对企业信息系统的内部控制措施进行事前审计，防患于未然。

第11篇

关键词：信息系统审计信息技术现状

国内外学者对于信息系统审计及其相关概念缺乏统一的认识，因此有必要厘清信息系统审计及其相关概念。现代审计的主流是以财务报表审计为代表的对信息的检验，对信息系统审计研究的文献极其有限，且缺乏对信息系统审计研究的文献的梳理与评说。同财务审计相比，信息系统审计在审计目标、审计内容等方面存在着不同之处。

一、信息系统审计

信息系统审计（Information System Audit，ISA）是目前常常提到的概念，一般理解为对计算机系统的审计，信息系统审计的国际权威组织――国际信息系统审计和控制协会给信息系统审计作了如下定义：信息系统审计是收集和评估证据，以确定信息系统与相关资源能否适当地保护资产、维护数据完整、提供相关和可靠的信息、有效完成组织目标、高效率地利用资源并且存在有效的内部控制，以确保满足业务、运作和控制目标，在发生非期望事件的情况下，能够及时地阻止、检测或更正的过程。信息系统审计是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及高效地利用组织的资源并有效地实现组织目标的过程。对信息系统合法性、可靠性、安全性、有效性和效率性进行审计，对被审单位的信息系统做出科学、合理的评价。

信息技术在社会生产各个领域的广泛应用，也使得审计理论界与实务界出现了一系列相关术语。（1）计算机审计，国内学术界对计算机的叫法多种多样，例如信息系统审计、审计信息化、EDP审计等等；有的文献认为计算机审计包括：对计算机管理的数据进行检查；对管理数据的计算机进行检查。根据国内对“计算机审计”一词的使用情况，可以把计算机审计的含义总结如下：计算机审计是与传统审计相对称的概念，它是随着计算机技术的发展而产生的一种新的审计方式，其内容包括利用计算机进行审计和对计算机系统进行审计。由此可见，计算机审计的内涵和IT审计的内涵相似。（2）电子数据审计，电子数据审计是目前审计实务界使用较多的一个术语，对于电子数据审计，目前还没有给出明确的定义，根据目前对该术语的使用情况，电子数据审计一般可以理解为“对被审计单位信息系统中的电子数据进行采集、预处理以及分析，从而发现审计线索，获得审计证据的过程。”（3）电子数据处理审计，电子数据处理（Electronic Data Processing，EDP）审计和电子数据审计是两个不同的概念，电子数据处理审计是信息系统审计的初级阶段，它是指对计算机信息处理系统的开发及其软件、硬件和运行环境进行测试，并评价计算机信息系统数据处理是否准确、真实、安全、可靠、高效，满足企业经营管理的需要。对于电子数据审计和电子数据处理审计这两个不同的概念，在实际应用中，一定要加以区分。（4）持续审计，持续审计（Continuous Audit，CA）是指在相关事件发生的同时，或之后相当短的时间内产生审计结果的一种审计行为。持续审计是同传统期间审计相对应的概念，其本质是审计方法的创新，它强调审计过程的持续性、审计实施的即时性和审计活动的整合性，并且基于例外审计和战略系统审计的理念，要求审计师运用“自上而下”和“自下而上”相结合的手段，对审计对象做出合理的专业判断。（5）计算机辅助审计，如同CAM（Computer-aided Manufacturing，计算机辅助制造）、CAD（Computer-aided Design，计算机辅助设计）等概念一样，计算机在审计领域中的辅助应用被称为计算机辅助审计。中国国家审计署把计算机辅助审计理解为：“计算机辅助审计，是指审计机关、审计人员将计算机作为辅助审计的工具，对被审计单位财政、财务收支及其计算机应用系统实施的审计”。

通过以上的分析，笔者认为计算机审计覆盖了计算机辅助审计和信息系统审计两项内容，信息系统审计是计算机审计的组成内容之一。

二、国外信息系统审计研究现状

随着信息技术与审计理论的发展，国外信息系统审计大致经历了萌芽、发展、成熟和普及期四个时期。

20世纪80年代，计算机犯罪率急剧上升，信息系统的安全防范体制仍很不充分。为适应信息系统审计实务发展的要求，美国EDP审计师协会1981年举办了首次注册信息系统审计师（CISA）资格认证考试，1984年的《EDP控制的目标》提出了信息系统的系列控制标准，1987年了《信息系统审计的基本准则》（General Standards for Information Systems Auditing）；日本通产省在1982年设立了“计算机安全研究会”，而后发表了《有关计算机安全对策》，1985年发表了《IT审计标准》，提出了“随着信息系统网络化的进展，仅仅是系统内部的审计是不充分的，有必要尽早地引入由具有专门知识与技术的、与系统没有直接关系的第三方（信息系统审计师）对信息系统的安全、可靠等进行全面检查……”等观点，并在日本的软件水平考试中增添“系统审计师”考试，培养从事信息系统审计的专业队伍。上述审计理论与实务表明，国外信息系统审计发展已经进入成熟期，并走上了正规化和专业化的轨道。

进入20世纪90年代以后，国外信息系统审计研究进入普及期。1994年， EDPAA正式更名为信息系统审计与控制协会（ISACA），ISACA成立后主要致立于信息系统审计准则体系的制定工作。ISACA的信息系统审计规范类似于CPA审计准则体系，它由基本准则、审计指南和作业程序构成，其显着特点就是以COBIT为基本工具，并借以与ITGI的指南相联系，以弥补ISACA规范在审计细节方面关注的不足。截止到2010年12月，ISACA已经了16项基

本准则，41项审计指南和11项作业程序，为信息系统审计人员开展审计活动提供了指引。

三、国内信息系统审计的研究现状

随着我国信息化进程的推进，国内理论界与实务界也开展了针对信息系统审计的相关研究。中华人民共和国审计署京津冀特派办于2005年了《计算机审计操作规则》、《审计中间表创建和使用管理规则》和《数据分析报告撰写规则》等操作规则之后，又于2006年9月了《信息系统审计操作规则》、《网上审计操作规则》以及《审计数字化应用规则》等信息系统审计的规则。中国审计协会为了规范组织审计机构及人员开展信息系统审计活动，保证审计质量，于2008年根据《内部基本审计准则》的精神制定并颁布了《审计具体准则第28 号――信息系统审计》。尽管28号审计准则的出台受了很多学者的评论，但20号审计准则却是我国第一个真正意义上的信息系统审计准则，也为我国信息系统审计人员开展信息系统审计活动提供了法律依据。在政府或相关机构颁布信息系统审计准则的同时，国内学者也对信息系统审计开展了研究。对我国开展信息系统审计已经迫在眉睫，而开展信息系统审计将面临审计观念的转变、信息系统审计的专业人才以及行业准则与实务指南等问题，应加快行业准则与实务指南的制定。可以借鉴ISACA的做法,也采用三个层次体系结构，以基本准则为核心，统领审计指南和作业程序，从而使整个准则体系不断扩展。

参考文献：

[1]中华人民共和国审计署，《审计机关计算机辅助审计办法》，1997，第二条.

第12篇

关键词：计算机，数据文件，安全性，防护措施，研究

 

0.前言

随着计算机应用的普及，计算机数据安全问题成为了日益突出的问题，特别是在网络环境下，数据的安全问题不仅涉及到系统数据和用户数据遭到逻辑级别或物理级别的损坏威胁，而且涉及到敏感数据通过网络泄漏的威胁。如何保护计算机数据安全已经是重大的战略问题。

1.对计算机数据安全构成威胁的主要来源

用户误操作引起的数据丢失、系统崩溃等。免费论文参考网。病毒等恶意程序对数据的破坏。敏感数据(如财务报表等)和各种账号(如邮箱账号和密码；网上银行的账号和密码、网上股票交易的账号和密码等)的安全。

2.数据保护的基本原理

对于数据的保护，本质上是通过数据冗余方式来实现的，但不同的保护算法，产生的数据冗余程度会有很大的差别，如基于文件的备份方式，如果不使用压缩算法，文件的每个备份就会额外需要和原文件相同大小的存储空间。

在现代操作系统中，数据的逻辑存储方式是以文件形式进行组织和存放的，文件在存储介质上的组织和结构依赖于具体的文件系统，不同的文件系统在存储介质上的组织和结构会有不同的形式。

在计算机中，数据的访问方式主要以文件的形式进行，但也可绕过文件系统直接存取存储介质上的数据。计算机中数据的组织和存放形式决定了在计算机上实现数据保护的基本原理和方法，从实现的层次上，大致可以分为两大类：

2.1基于文件级的数据保护

目前市场上主流的加密软件多数是文件集的数据保护。以北京亿赛通文档安全管理系统CDG为代表。

基于文件级的数据保护，其算法的实现主要通过软件进行实现，具体实现的层次一般位于文件系统的内部或外部，一般以文件为单位对数据进行备份处理

2.2基于存储介质的数据保护

市场上磁盘级加密软件，以北京亿赛通磁盘全盘加密系统DiskSec为代表。基于存储介质的数据保护，其算法的实现可通过纯软件或硬件实现，也可软硬件结合进行实现，如常用的磁盘冗余阵列磁盘RAID，其实现方式有基于硬件的RAID卡，也有软件实现的软RAID。具体实现的层次一般位于存储介质控制器或存储介质驱动程序层中，由于在这一级别难以获得文件的有关概念，因此其实现基本上均以存储介质的基本单位为单位进行数据备份. 基于这一级别现实的算法主要有以容错为主的RAID0－RAID5，以系统保护为主的磁盘双工等。免费论文参考网。

3.计算机数据文件安全性的防护措施

3.1限制系统功能

可通过来取一些措施来限制系统可提供的服务功能和用户对系统的操作权限，以减少黑客利用这些服务功能和权限攻击系统的可能性。例如，通过增加软硬件，或者对系统进行配置如增强日志、记账等审计功能来保护系统的安全：限制用户对一些资源的访问权限，同时也要限制控制台的登陆。可以通过使用网络安全检测仪发现那些隐藏着安全漏洞的网络服务。或者采用数据加密的方式。加密指改变数据的表现形式。加密的目的是只让特定的人能解读密文，对一般人而言，其即使获得了密文，也不解其义。

加密旨在对第三者保密，如果信息由源点直达目的地，在传递过程中不会被任何人接触到，则无需加密。Internet是一个开放的系统，穿梭于其中的数据可能被任何人随意拦截，因此，将数据加密后再传送是进行秘密通信的最有效的方法。

3.2计算机信息系统必须使用正版软件

并及时进行系统升级或更新补丁；计算机信息系统必须装有防毒杀毒软件，并定期进行病毒检验；与互联网相联的计算机信息系统要有防止非法入侵措施。计算机信息系统必须有全面、规范、严格的用户管理策略或办法。重要的计算机信息系统必须有双人互备做为系统管理员，系统管理员必须对计算机信息系统的各种服务器加设口令，严禁采用系统默认超级管理员用户命或口令；由系统管理员对用户实行集中管理，对用户按职能分组管理，设定用户访问权限，严禁跨岗位越权操作；严防非法用户或非授权用户对非授权服务、数据及文件的访问、使用和修改等。

3.3对计算机信息系统的用户身份、主机身份、事件类型等应进行安全审计

并留存审计日志，审计日志应进行妥善保存。计算机信息系统的主要硬件设备、软件、数据等要有完整可靠的备份机制和手段，并具有在要求时间内恢复系统功能以及重要数据的能力。免费论文参考网。对重要计算机信息系统及设备要有应急处理预案，数据安全管理小组要对应急预案备案登记，并每年定期举行数据安全应急演习。

参考文献

[1]王俊. EDI数据安全性研究[J].现代电子技术, 2009,(05)：123-125.

[2] 向明浩, 杨黎, 黄金峰. 数据加密技术——人民银行信息安全的利剑[J]. 华南金融电脑, 2007,(08)：118-119.

[3] 施晶, 段朝晖. 浅谈数字签名技术的现状与应用[J]. 河南纺织高等专科学校学报, 2001,(01)：106-108.

[4]高恩林. Progress数据库管理系统是什么?[J].管理科学文摘, 2006,(01) ：120-123.

[5] 王军. 信息安全保障工作系列报道 北京将建成“信息安全城市”[J].信息网络安全, 2004,(05) ：108-109.

[6] 强化信息安全保障体系 夯实信息安全基础建设——全面推进首都信息化进程[J].网络安全技术与应用, 2003,(11)：110-115.

第13篇

关键词：农村合作医疗；信息系统；审计

中图分类号：TP311文献标识码：A文章编号：1009-3044(2011)30-7340-02

随着我国新型农村合作医疗的深入发展，加强新型农村合作医疗信息系统审计已经成为促进我国农村合作医疗发展的重要手段。虽然近几年来我国新型农村合作医疗信息系统审计已经取得了一定的发展但仍然存在着许多的问题，在这种情况下只有根据我国农村经济发展的状况进行医疗制度的改革才能推动我国新型农村合作医疗的发展和进步。这是提高我国农村医疗水平的必然要求。

1 我国新型农村合作医疗信息系统审计的现状

1.1 审计目标明确化欠缺，审计内容不够充实

我国新型农村合作医疗在发展的过程中要考虑到信息系统的建设，这是实现新型农村合作医疗发展的必然要求。但是在新型农村合作医疗信息系统审计的过程中还存在着许多问题，审计目标不明确和审计内容不够充实就是这当中的比较难以解决的问题。审计目标不太明确主要体现在，相关部门在进行审计的过程中主要以基础设施控制为重点审计目标而忽视了对运营维护控制的审计，这就使得新型农村合作医疗信息系统审计无法实现全面的审计，在对信息系统的审计中难以建立科学的审计制度从而导致相关工作无法正常的开展。除了审计目标没有明确外，审计内容不够充实也是我国新型农村合作医疗信息系统审计中的一大难题。审计内容不够充实主要是指新型农村合作医疗信息系统运行中出现的相关数据没有及时的进行审计。一方面是业务流程方面的控制审计没有从医疗体制本身的特点来进行审计分析，另一方面是数据控制本身还存在着相关的信息不全的问题因而审计难以进行。

1.2 审计方法较少，审计人才缺乏

对于新型农村合作医疗信息系统审计来说，合理科学的审计方法是促进审计工作正常开展的必要手段。但是，当前在合作医疗信息系统审计中存在着审计方法较少的问题。审计方法较少主要体现在对当前审计的特点没有充分的认识到位。座谈法是进行信息系统审计的一种科学合理的审计方法，但是其本身带有个人的主观思想倾向因而难以具有较强的说服力。系统文档审阅法是进行利用新型农村合作医疗信息系统本身的信息资料来进行审计的一种方法，这种方法考虑到了信息来源的可靠性但是难以通过联系实际和多方面的综合因素来进行全面的审计。审计人才缺乏则是新型农村合作医疗信息系统审计中出现的另一个难题。由于人才的缺乏审计工作无法有序高效的进行。审计人才往往需要对审计方面的多样的专业知识有比较清晰全面的认识，然而这正是大多数审计工作者所不具备的。由于人才的缺乏因而审计工作难以正常的开展。

1.3 审计技术落后，审计体系不太完备

我国新型农村合作医疗信息系统审计是一项非常复杂而又极其重要的工作。要做这方面的审计工作要特别重视审计技术，而我国的审计技术落后的问题却一直存在于审计工作的发展中。审计技术落后主要表现在审计没有充分的利用网络技术在信息和数据处理中的强大作用，由于在这方面的技术运用比较落后因而难以取得较大的发展。信息系统数据追踪分析法就是建立在对网络技术的运用的基础上形成的信息处理方法，这种方法在进行审计工作的过程中发挥了较大的作用，具有高效、安全、全面和自动化的优势。除了审计技术落后外，审计体系不太完备也是新型农村合作医疗信息系统审计工作中存在的一个十分重要的问题。审计系统不太完备是因为许多管理者对于审计工作并不重视而相关审计工作人员也没有积极的对审计工作进行科学的变革，因而难以形成较为科学的管理模式且存在着运行机制不合理的问题。审计系统不太完备还与审计目标不明确审计内容设置的不科学等因素联系在一起，由于审计系统不太完备因而新型农村合作医疗也难以有序的发展。

2 如何提高我国新型农村合作医疗信息系统审计水平

2.1 明确审计目标，充实审计内容

为了提高我国新型农村合作医疗信息系统审计水平应该要从明确审计目标入手。只有明确审计目标才能以合理化的手段进行有针对性的审计工作。基础设施控制方面的审计是审计工作中重点审计的目标但是对运营维护控制的审计也不容忽视，只有针对当前信息系统中审计的重要目标进行全面细致的进行审计才能促进审计工作的正常发展才能推动我国新型农村合作医疗事业的发展和进步。当然，在明确审计目标的过程中还应该要完善审计内容，只有通过运用多种手段对审计内容进行全面的分析才能促进审计工作的发展和进步。完善审计的内容首先要从业务流程方面的控制审计着手，要在审计工作的整个推进工作中对每个细节和每一种方式进行全面而又针对性的研究并加以充实。在推进新型农村合作医疗信息系统审计工作的过程中要以新农合管理文件为审计的核心内容要将模块维护控制审计作为审计内容不断充实的主要手段。只有通过审计目标的明确审计内容的完善才能促进新型农村合作医疗信息系统审计水平的提高。

2.2 改变审计方法，培养审计人才

针对审计方法较少的问题，相关人员应该要积极寻找科学且多样化的方法。对于比较常用的座谈法应该要利用其合理的一面，可以改善审计的思路并将审计的方向予以转换。观察法是一种比较基本的审计方法，其主要特征是利用对合作医疗信息系统的数据分析并根据经验来寻找审计的突破口。计算机系统文字描述法则是另一种比较理想的审计方法，其优势是利用了计算机强大的数据和信息分析能力对计算机的数据进行合理的分析并以此来开展审计工作。除了要改变审计方法外，培养审计人才也是非常重要的。在培养审计人才的过程中，一方面要加强对人才的专业知识的培养另一方面要对从事信息系统审计的工作人员进行具体的培训。高水平的审计人才往往要具备过硬的现代审计理论知识和丰富的审计经验。在培养审计人员的过程中还要结合我国新型农村合作医疗发展的现状来灵活的变通。

2.3 提高审计技术，重构审计体系

信息技术对于信息系统审计具有非常重要的作用。在提高新型农村合作医疗信息系统审计的过程中还应该要提高审计技术。特别是计算机技术对于审计水平的提高具有非常重要的作用。信息系统数据追踪分析法就是以计算机技术为基础的审计方法，这种审计方法在处理大量信息和数据方面具有极大的优势，相关人员在利用这种方法进行审计工作的过程中要有针对性的进行数据的分析。有些审计工作并不适合运用计算机技术进行操作，所以要灵活的变通。当然，重构审计体系也是非常重要的。重构审计体系要在各地形成相对统一的模式，不能使差异较大也不能过于僵化。在新型农村合作医疗的发展过程中，各地农村的实际情况是不同的因而信息系统审计也有着较大是差别，在这种情况下应该要合理的运用现有的信息与数据建立科学合理的信息管理系统以此来促进审计体系的完善和发展。

3 总结

总而言之，新型农村合作医疗信息系统审计是促进我国新型农村合作医疗发展与进步的重要手段，相关人员要积极采取措施根据我国农村医疗信息系统管理的特点来进行审计工作，只有这样才能促进信息系统审计工作的发展。虽然进行新型农村合作医疗信息系统审计工作面临着相当多的问题，但相信在相关人员的共同努力之下我国信息系统审计工作一定能去的较大的发展并推进新型农村合作医疗的发展。

参考文献：

[1] 钱群,郑佩玉,林雪松.从合作医疗基金审核中存在的问题看基金管理的重要性[A].浙江省第十二届农村医学暨乡镇卫生院管理学术会议论文汇编[C],2004.

第14篇

    论文摘要:回顾IS审计的发展历程,进而披露IS审计在我国的发展现状,并对产生问题的原因进行剖析,最后对如何构建完善的Is审计模型提出解决策略。

    Is审计,是指Informationsystemauditing,即信息系统审计,它是指审计组织以信息技术为手段,组织计划审计项目,实施审计的全过程,以判断该信息系统是否安全、可靠和有效,并对信息系统对财务报告的影响做出判断或单独提出信息系统审计报告的全过程。以确认审计风险或评价企业信息战略、优化组织运营为目标,对组织营运所依赖的信息系统进行独立、客观确认和咨询活动。信息系统审计的内容包括两个方面:一是以信息技术为手段所开展审计工作的全过程,即计算机辅助审计技术(CAAT);二是指审计部门以组织的信息系统为对象,以风险评估或内部控制检查为手段,对该系统所产生的会计信息系统的真实性、合法性做出确认或通过优化企业信息管理,增加企业核心竞争能力即信息系统的审计或EDP审计。信息系统审计与控制协会——ISACA成立于1969年,最初称为EDP审计师联合会,总部在美国的芝加哥。目前该组织在世界上100多个国家设有160多个分会,现有会员两万多人。是信息系统审计的专业人员唯一的国际性组织,CISA(CertiifedInformationSystemAuditor)也是这一领域的唯一职业资格。该组织通过制定和颁布信息系统审计准则、实务指南等专业标准来规范和指导信息系统审计师的工作;它还设立了信息系统审计与控制基金会,从事相关领域的研究工作,以使该组织的成员能够享用其最新研究成果;通过在世界各地举办各种形式的研讨会、培训班等活动,增进国际间同业人员的交流。ISACA每年还举办CISA资格考试,通过考试的人员可以申请CISA资格,符合ISACA规定的工作经验及其他相关要求的申请人会被授予CISA资格。

    1 IS审计发展历程回顾

    在信息系统审计的萌芽阶段,人们称之为电子数据处理审计(electronicdataprocessingauditing)或计算机审计,它是作为传统审计业务的扩展发展起来的。早期的计算机应用比较简单,相应地,计算机审计业务主要关注对被审计单位电子数据的取得、分析、计算等数据处理业务,还称不上信息系统审计。从财务报表审计的角度来看,这一阶段的主要业务内容是对交易金额和账户、报表余额进行检查,属于审计程序中的实质性测试环节。此时,它只是传统财务审计业务的一种辅助工具,对客户的电子化会计数据进行处理和分析,为财务报表审计人员提供服务。

    随着计算机技术应用范围的不断扩展,计算机对被审计单位各个业务环节的影响越来越大,计算机审计所关注的内容也从单纯的对电子的处理延伸到对计算机系统的可靠性、安全性进行了解和评价。在制度基础审计的模式下,计算机审计的业务内容已经扩展到了符合性测试领域。风险基础的审计模式的采用以及信息技术在被审计单位的各个领域的广泛应用,信息系统的安全性、可靠性与其所服务的组织所面临的各种风险的联系越来越紧密,并且直接或间接地影响到财务报表的真实、公允。在这种情况下,对被审计单位风险的评估必须将计算机信息系统纳入考虑范围。发展到这一阶段,计算机审计的业务范围已经覆盖了一项审计业务的全过程,计算机审计这一概念已经不能反映这一业务的全部内涵,信息系统审计的概念随之出现。

    1.1在建立信息系统审计制度,开展信息系统审计研究方面,美国走在前面

    早在计算机进入实用阶段时,美国就开始提出系统审计(SYSTEMAUDIT)。1969年在洛杉矶成立了电子数据处理审计师协会(EDPAA),1994年该协会更名为信息系统审计与控制协会(INFORMATIONSYSTEM AUDITANDCONTROLASSOCIATION)即ISACA。美国是首先对网上财务信息的审计直接颁布指导性文件的国家。注册会计师协会(AICPA)为指导其会计师事务所成员,于1997年1月颁布了名为《互联网上的财务报告》(FinnacialStatementsontheIntemet)的指导性文件。该文件于1999年8月15日更新,是现阶段的最新版本。该指导性文件详细表明了美国注册会计师协会审计和鉴证组成员的立场。他们指出网上财务报告的使用者不同于传统印刷版财务报告的使用者,网上披露财务信息只是一种营销手段,网络为企业提供了时常更新其信息的可能性。

    1.2 2001年1月,英国审计职业委员会(APB)颁布了

    《网上审计报告公告》(ElectmnicPublicationofAuditorsReports)该公告主要解决了以下几个问题:(1).检查电子版财务信息的生成。(2).审计报告的用词。在对应印刷版财务报表的审计报告中,审计报告往往通过页码范围来确认已审计的财务报表。然而在网站上所的财务报表和审计报告中,使用页码范围已不合时宜,因此APB建议直接使用财务报表名称来取代页码范围;同时需要在审计报告中指出所使用的通用会计准则和审计准则的国籍。(3).信息间的链接。APB非常关注已审计信息和未审计信息之间使用超链接的问题。APB建议审计师应要求“在信息使用者通过超链接从已审计信息跳到非审计信息时,网站应能向使用者发出警告信息”。

    13澳大利亚审计与鉴证准则委员会(AustralianAuditnadAssurnaceStnadardBoard,AASB)AASB是最先对网上财务信息审计作出指导的审计准则制定者。AASB于1999年颁布了审计指导声明(AGS)1050《与电子方式呈报财务报告相关的审计问题》。AGS1050的目的在于“当公司利用信息技术在公共网络如互联网上已审计财务信息时,就一些问题为审计师提供一定的指导”。AASB在AGS1050中重述了审计的基本准则,并强调“电子方式财务报告并没有改变管理当局和审计师的责任”,即财务报告的主要责任仍在管理当局。

    1.4日本的系统审计是从八十年代开始,1983年通产省公开发表了《系统审计标准》,并在全国软件水平考试中增加了“系统审计师”一级的考试,着手培养从事信息系统审计的骨干队伍

    2 IS审计在我国发展现状及存在问题剖析

    近年来,我国审计信息化建设在纳入国家信息化建设(即:金审工程)范围后,有了较快发展。在信息技术和网络技术方面逐渐形成体系,审计业务软件开发应用中也有了较快发展。但审计信息化建设在实际工作中,还存在一些不容忽视的问题,这些问题如不妥善解决将影响审计信息化建设和发展进程。

    2.1审计人员对信息系统审计理解偏差,信息系统审计水平匮乏

    在注册会计师的行业,由于我国CPA的市场化建设及推行较晚,现行的CPA的素质较低。同时在CPA的考试中也没有计算机方面的要求,因此绝大多数的CPA运用计算机的水平很低。CPA的审计工作仍然是传统的手工审计。计算机仅仅用作文字处理或者基本不用。有些单位计算机专业技术人员只占在职人员总数的5%左右,与审计信息化建设和发展的需要还有较大差距;同时由于计算机技术的飞速发展与知识更新培训的不足,许多审计人员的计算机应用水平及相关技能无法得到同步提高,计算机应用仍停留在较低水平上,计算机功能也没有得到充分发挥。主要体现在应用意识不强,操作技能还不熟练。因而审计系统计算机人材缺乏的问题,也是制约审计信息化建设和发展的因素之一。

    2.2信息系统审计理论研究几乎是空白

    信息系统审计工作目前还处于探索阶段,还没有形成一套成型的专业规范理论结构。会计、审计界所进行的一些信息系统审计的探索和尝试以及开发的一些信息系统审计软件,还大都停留在对被审计单位的电子数据进行处理的阶段。

    2.3信息系统审计硬件条件严重不足

    2.4信息系统审计软件条件严重欠缺

    虽然我国的网络财务软件较国际先进水平的差距不大,但是由于推出较晚,目前使用面还不广。同时网络财务软件的设计没有考虑审计软件设计的需要,使得审计软件的数据收集以及其功能的发挥受到很大的制约。

    2.5 IS审计信息化建设效益低

    2.6 IS审计成本不断攀升

    2.7 IS审计业务水平不满足信息化发展的的要求

    2.8 IS审计准则及专业规范不到位

    我国的信息系统审计工作目前还处于探索阶段,还没有形成一套成形的专业规范。目前我国会计审计界所进行的一些计算机审计的探索和尝试以及开发的一些计算机审计软件还大都停留在对被审计单位的电子数据进行处理的阶段。

    运用传统的会计审计知识已经不能对这样的客户进行风险评估、内控测试与评价,从而无法进行真正意义上的“风险基础模式”的审计业务,影响我国会计师行业审计业务质量。这一现状使得我国的注册会计师行业在与国外大型会计公司的竞争中处于不利地位。

    3基于新经济时代的完善的IS审计模型的构建策略

    新经济是建立在网络经济和技术创新基础上的一种经济形态,以信息网络为代表的高新技术产业,正在世界范围内,尤其是发达国家飞速发展。因此,审计信息化建设和发展关系到我国审计事业的兴衰,体现着我国审计事业发展水平。为此,构建完善的Is审计模式成为当务之急:

第15篇

随着21世纪互联网与电子商务的飞速发展，网络会计慢慢兴起，并逐渐得到推广和应用。会计网络化是采用现代信息技术，对传统的会计模型进行重整，在重整的现代会计基础上，建立信息技术与会计学科高度融合的，充分开放的现代会计信息系统。会计网络化是会计发展的必然趋势，是会计核算顺应信息化发展对传统会计进行变革的必然结果，而且是企业生存发展的迫切要求。会计网络化不仅能够促进企业重新考虑自己的信息化战略，还能提高企业各层管理人员信息化素养和会计知识管理的水平，并且为企业构建信息化管理平台提供参考，提高对竞争环境的快速反应的能力。在可预见的未来，会计网络化是会计发展的必然趋势。会计网络化对它所处社会的经济发展有很大的促进作用。

本文通过分析网络会计的特点及优势，阐述了网络会计的意义，重点分析了网络会计发展中存在的问题及解决对策，对网络会计前景的展望做了一些探讨。

二、毕业设计（论文）结构的初步设计和进度计划：

论文的初步设计：

一、网络会计的概述

二、我国网络会计发展的特点及优势

（一）核算的充分性和信息的无纸性 （二）信息处理、披露和使用的及时性

（三）会计信息的获取更具针对性

三、网络会计在发展中面临的问题

（一）信息在传递中存在问题 1。会计信息的真实性、可靠性

2。财务机密的保密性 3。会计信息是否被篡改

（二）计算机系统的安全性存在隐患

1。计算机硬件的安全性 2。网络系统的安全性

（三）对会计软件的新要求

1。对会计软件开发的要求 2。会计软件运行环境的要求

四、应对网络会计问题的对策

（一）加快立法工作 （二）健全内部控制 第一，建立会计电算化岗位责任制

第二，做好日常操作管理 第三，做好会计档案管理。

（三）从技术上，提高网络系统的安全性和保密性 第一，系统容错处理。

第二，安全管理体制。 第三，安全保密技术。 第四，为防止非法用户对网络环境下会计系统的入侵，可以采取端口技术和防火墙技术。 （四）加强网络会计信息安全控制措施 （五）加强人才培养，培养一大批复合型的会计人才

五、结论

六、致谢

三。毕业设计（论文）写作中存在的问题及解决措施：

1、选题困难：平时较少关注会计信息，对会计热点问题了解较少，对于论文题目的难易程度和范围自己不好控制。上网查找相关资料，了解各方面的信息，综合自己所学专业知识，大致上拟定几个题目，再请教老师，从中挑选一个适合的论文题目。

2、搜集资料：我国网络会计相对是一个比较新的会计领域，在这方面，会计界学者的研究还是比较有限的，资料搜集比较有难度，需要从多种渠道收集，上图书馆借阅相关图书，上中国知网搜索有关我国网络会计的相关资料，咨询专业老师获取相关建议。

3、毕业论文格式不熟悉：毕业论文对格式有着很高的要求，第一次写毕业论文，对格式很不熟悉，请教上一届的学长姐的同时上学校网上查找相关毕业论文格式的资料，另一方面在网上下载范文作为参考。

四、进度计划：（包括时间划分和各阶段主要工作内容）

总体安排：

首先与导师商定论文选题，之后就此选题到图书馆和网上进行资料收集，拟出论文提纲，再根据提纲完成论文初稿，并在导师的指导下进行论文修改，最后定稿。

具体安排：

第一阶段：准备阶段（2019—8—15至2019—11—8）

第二阶段：构建本论文的目标体系，设计内容，选择实施方法和途径（2019—11—9至2019—11—30）

第三阶段：完成初稿（2019—12—1——2019—12—31）

第四阶段：请指导教师审核初稿并征求意见（2019—1—1至2019—1—20）

第五阶段：修改论文初稿，完成二稿，请指导教师审核校阅（2019—1—20至2019—4—30）

第六阶段：毕业论文定稿并誊正（2019—5—1——2019—6—1）

第七阶段：毕业论文答辩（2019—6—8左右）

五、主要参考文献、资料：

[1]许永斌。电子商务会计。上海：立信会计出版社，2019。

[2]胡华。网络安全与会计控制。上海：立信会计出版社，2019。

[3]岳和平。网络化对未来会计工作产生的影响。太原科技，2019（3）。

[4]张英明。IT环境下会计信息系统内部控制研究。中国会计电算化，2019（1）。

[5]姚友胜。基于网络的企业内部控制及要素特征[J]。审计与经济研究，2019（6）。

[6]崔晓清。21世纪网络会计[J]。财务与会计，2019（4）。

[7]姚止海。网络时代挑战传统会计[J]。财务与会计，2019（4）。

[8]张前。网络环境下会计信息系统的特征[J]。广西会计，2019。