论信息系统审计准则在我国的需求与发展

［摘　 要］信息系统审计是计算机审计的两个发展方向之一。 我国信息系统审计准则的研究与规范尚处于起步阶段。 在关涉内容、详略程度、审计实质和完善程度方面，我国的信息系统审计准则与国外存在较大差距，需要大幅完善，以满足社会需求。 我国信息系统审计准则的发展策略主要有：合理借鉴国外成熟的准则体系，全面设计准则完善方案，科学建立准则内容框架。
［关键词］计算机审计；信息系统审计准则；ＩＳＡＣＡ；协调机制

近年来，审计署、中国注册会计师协会（中注协）等部门对信息系统审计的开展都极为重视。２０１１年 ７月出台的《审计署“十二五”审计工作发展规划》指出，“有步骤、分阶段地推进与重点中央企业信息系统的联网，试点实时审计”，“积极开展信息系统审计”［１］。 信息系统审计尽管遵循传统审计程序，但与财务审计有根本的区别，它本质上属于评价性、鉴定性审计。 信息系统审计的研究在西方国家较为成熟，在我国的研究与规范则尚处于起步阶段。 截至 ２０１２年 ２月，审计署、内审协会出台的有关信息系统审计方面的规范与标准仅 ２项，即审计署于 ２０１０年 ９月颁布的《中华人民共和国国家审计准则》（第 ８号令）［２］和内审协会于 ２００８年 ９月颁布的《内部审计具体准则第 ２８号———信息系统审计》（内审准则第 ２８号）［３］，而中注协至今还尚未颁布关于信息系统审计的规范。 我国亟待出台完善的信息系统审计系列标准，以此推进信息系统审计业务的开展。 结合近年的研究，本文就信息系统审计的特点、信息系统审计准则的国内外发展现状以及在我国的发展策略作一探讨。
一、计算机审计与信息系统审计
目前，我国出台的计算机辅助审计规范有 ７项，信息系统审计方面的规范却较少。 若要促进信息系统审计准则的建设，区分计算机审计与信息系统审计就十分必要，这将有助于消除我国学术研究中两者混淆不清的情况。 日本会计检察院计算机中心认为，计算机审计包括两个方面：一是对计算机系统本身的审计，如系统安装、使用成本，系统和数据、硬件和系统环境的审计；二是计算机辅助审计，包括用计算机手段进行传统审计，用计算机建立一个审计数据库，帮助专业部门进行审计［４］。 根据２０１０年修订的《中华人民共和国审计法实施条例》和 ２００１年发布的《国务院办公厅关于利用计算机信息系统开展审计工作有关问题的通知》，计算机审计包括对计算机管理的数据进行检查及对管理数据的计算机进行检查两个方面［５］。 我国学者李学柔与秦荣生在《国际审计》一书中，对计算机审计的特性表述为：“一是对执行经济业务和会计处理的计算机系统进行审计，即计算机系统作为审计的对象；二是利用计算机辅助审计，即计算机作为审计的工具。”［６］笔者认同上述关于计算机审计内涵的论述，并认为计算机审计向两个方向发展：其一是信息系统审计方向，其二是计算机辅助审计方向。
当前，国内外学者对信息系统审计的界定不尽一致，主流的观点有：Ｒｏｎ Ｗｅｂｅｒ于 １９９９年提出，“信息系统审计是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效地实现组织目标的过程”［７］；日本通产省情报协会于 １９９６年对信息系统审计的定义是“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导，提出问题与建议的一连串的活动”［７］。 信息系统是由计算机硬件、网络与通讯设备、计算机软件、信息资源、信息用户和规章协议组成的，以处理信息流为目的的集成化人机系统。 有效提高信息系统的安全管理与运行效率是信息系统审计的核心问题。 笔者认为，信息系统审计应该是 ＩＴ审计师根据特定的规范，运用科学的信息系统管理方法，对信息系统网络的运行规程与应用政策所实施的一种评价与鉴证活动，旨在增强复杂信息网络的有效性、安全性、机密性与一致性，以此保障信息系统的高效运行。
二、中外信息系统审计准则的发展状况
（一） 我国信息系统审计准则的发展情形
在传统审计业务方面我国已经形成了一套相对成熟的规范体系，然而，在信息系统审计理论方面，我国的相关研究几乎是空白［８］，至于对信息系统审计准则系列规定的构建，在我国更是无从谈起。 计算机审计包括信息系统审计与计算机辅助审计两方面，截至目前，我国出台的计算机审计规范或准则共计 ９项，其中，计算机辅助审计方面的规范 ７项，信息系统审计方面的准则 ２项，见表 １。
表 １　 当前我国已有的计算机审计规范
两项信息系统审计准则中，一项是内审协会于 ２００８年 ９月颁布的《内部审计具体准则第 ２８号———信息系统审计》（内审准则第 ２８号），另一项是审计署于 ２０１０年 ９月颁布的《中华人民共和国国家审计准则》（第 ８号令）中的 ５项具体条款。 内审准则第 ２８号总计 ８章 ３２项条款，该准则从总则、一般原则、信息技术风险评估、信息技术审计的内容与方法等方面对信息系统内审业务加以规范，它明确指出，“组织的信息技术管理目的是保证组织的信息技术战略充分反映该组织的业务战略目标，提高组织所依赖的信息系统的可靠性、稳定性、安全性及数据处理的完整性和准确性，提高信息系统运行的效果与效率，合理保证信息系统的运行符合法律法规及监管的相关要求”［３］。 审计署第 ８号令不是一项专业的信息系统审计准则，而是一项传统审计业务的新规范，但其某些具体条款涉及被审单位信息系统的检查方法与审计原则。 仅有的两项信息系统审计准则，前一项条款涉及范围相对全面，但是具体条款过于笼统，后一项所涉及的信息系统审计准则过于零散，难成体系，两项准则无法为我国信息系统审计业务的开展提供具体指导。

`NextPage` （二） 国外信息系统审计准则的发展情形
国外有关于信息系统审计准则的发展已经趋于成熟，其中较为典型的有信息系统审计与控制协会（ＩＳＡＣＡ）制定的《信息系统准则体系》与《信息系统和技术控制目标》（ＣＯＢＩＴ），美国审计署制定的《联邦信息系统控制审计手册》（ＦＩＳＣＡＭ），国际内部审计协会制定的《基于风险的信息系统控制评价指南》（ＧＡＩＴ），以及英国、法国、德国与荷兰共同制定的《信息技术安全评估准则》（ＩＴＳＥＣ），这些准则与规范均为多个国家所广泛应用［８ ９］。 上述准则与规范中最为典型的应为 ＩＳＡＣＡ机构制定的准则体系，该体系框架见表２。 ＩＳＡＣＡ是集信息系统控制、管理、审计于一体的专业机构，总部在芝加哥，在全世界 １６０个国家约有９５０００名会员。 ＩＳＡＣＡ的任务包括注册信息系统审计师（ＣＩＳＡ）资格认证、制定 ＩＳＡ准则、组织ＣＩＳＡ资格考试等七项内容。 七项内容相互辅助，融为一体，且 ＩＳＡ准则的制定以其他六项为有机支撑。表２所阐释的 ＩＳＡＣＡ信息系统审计准则体系来源于 ＩＳＡＣＡ机构出版的《ＩＴ Ｓｔａｎｄａｒｄｓ， Ｇｕｉｄｅｌｉｎｅｓ， ａｎｄＴｏｏｌｓ ａｎｄ Ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ Ａｕｄｉｔ ａｎｄ Ａｓｓｕｒａｎｃｅ ａｎｄ Ｃｏｎｔｒｏｌ Ｐｒｏｆｅｓｓｉｏｎａｌｓ》［９］。 该体系总计３３０页，将信息系统审计准则分为审计标准、审计指南与作业程序三个部分，其中审计标准表述为 Ｓ１—Ｓ１６，规定了审计章程及审计过程所必须达到的基本要求，是 ＣＩＳＡ的执业行为的基本规范；审计指南表述为 Ｇ１—Ｇ４２，明确规范了 ＣＩＳＡ实施审计业务的具体标准，为 ＣＩＳＡ如何遵守审计准则提供指引；作业程序的表述为 Ｐ１—Ｐ１１，提供了信息系统审计业务的一般步骤，为 ＣＩＳＡ提供了 ＩＳ审计工作的具体思路。

（二） 我国的信息系统审计准则无法满足广泛的社会需求
近年来，复杂的信息系统在我国得到广泛应用，如公安综合网络信息系统、集团信息管理系统等。由于受到特定经济环境以及网状信息系统复杂性等多种不确定因素的影响，信息系统安全问题日趋严重，社会对信息系统审计准则的需求亦日益迫切。 如，２００６年 １０月 １０日中国民航信息网络股份有限公司离港系统主机发生故障，包括北京、上海、广州在内的众多机场的离港系统整体性瘫痪；２００９年 ９月 １７日，知名券商申银万国交易系统突然瘫痪，其位于全国各地的一百余个营业部均受到影响，近半个小时未能进行证券交易；２０１０年 ２月 ３日，民生银行因信息系统故障，全国范围所有业务无法办理；２０１１年１０月２５日，北京东城区３９家社区卫生服务站出现信息系统故障，近一周的时间无法为患者提供正常门诊与取药服务。 若要解决上述问题，则亟须一套成熟的信息系统审计准则对信息系统进行事前预警、事中控制与事后评价，显然，目前我国仅有的两项准则无法满足社会的需求。 信息系统审计准则在我国的需求主要体现在三个方面：一是信息系统内部控制与审计的需求。 对此，内审协会需要出台全面的准则与规范，为组织中内部审计人员评价信息系统的安全提供参考标准。 二是公共机构中信息系统外部审计的需求。 对此，审计署需要出台系列的信息系统审计准则，为政府审计人员提供明确的审计流程与技术方法。 三是公共机构之外的组织中信息系统外部审计的需求。 对此，中注协需要出台规范的信息系统审计准则，为社会审计人员提供清晰的参照标准与风险控制思路。
（三） 我国的信息系统审计准则多方制定主体间缺乏默契的协调机制
政府审计准则、内部审计准则、社会审计准则的出台机构分别为审计署、内审协会与

以上是关于论信息系统审计准则在我国的需求与发展已公布的相关信息，请自考生们认真查看，如果你想获取最新的江苏自考新闻或者江苏自考问题答疑，可以扫描江苏自考网公众号二维码，我们会最第一时间内为你解答。

➤自考有疑惑或想进学习群，请联系江苏自考网客服