一、信息系统审计的定义
随着全球信息化和审计理论的发展，信息系统审计逐渐引起人们的关注。但是到目前为止，国际上对信息系统审计还没有固定、统一的定义。国际信息系统审计委员会(ISACA)定义为“信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率利用组织的资源并有效果地实现组织目标地过程”，该协会的专家
Ron Weber
定义为“搜集并评价证据，以判断一个计算机系统(信息系统)是否有效的做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”;1985年日本通产省情报处理开发协会信息系统审计委员会定义为“所谓信息系统审计是指由独立于审计对象的信息系统审计师站在客观的立场，对以计算机为核心的信息系统进行综合的检查、评价，向有关人员提出问题与劝告，追求系统的有效利用和故障排除，使系统更加健全”，11年后的1996年，该委员会对信息系统审计重新定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一连串的活动”。所以信息系统审计所关注的内容不单纯是对电子数据的处理，更不仅仅是财务信息，而是对企业整个信息系统的可靠性、安全性进行了解和评价，是一项通过审查与评价信息系统的规划、开发、实施、运行和维护等一系列活动，以确定信息系统运行是否安全、可靠、有效，信息系统得出的数据是否可靠准确以及数据是否能有效的存储的过程。
实施信息系统审计(ISA)的人员称为信息系统审计师(IS
Auditor),我国国内称为IT审计师。国际信息系统审计与控制协会(ISACA)是国际上唯一可授权信息系统审计师的权威机构，通过考试可获得注册信息系统审计师(CISA)证书，该证书被世界各国广泛认可。
二、信息系统审计的内容和特点
国际信息系统审计协会(ISACA)规定了信息系统审计主要内容：1.信息系统审计程序。依据信息系统审计标准、准则和最佳实务等提供信息系统审计服务，以帮助组织确保其信息技术和运营系统得到保护并受控;2.
IT治理(信息技术治理)。确保组织拥有适当的结构、政策、工作职责、运营管理机制和监督实务，以达到公司治理中对IT
方面的要求;3.系统和基础建设生命周期管理。系统的开发、采购、测试、实施(交付)、维护和(配置)使用，与基础框架，确保实现组织的目标;4. IT
服务的交付与支持。IT 服务管理实务可确保提供所要求的等级、类别的服务，来满足组织的目标;5.
信息资产的保护。通过适当的安全体系(如，安全政策、标准和控制)，保证信息资产的机密性、完整性和有效性;6.
灾难恢复和业务连续性计划。一旦连续的业务被(意外)中断(或破环)，灾难恢复计划确保(灾难)对业务影响最小化的同时，及时恢复(中断的)IT 服务。
从信息系统审计的上述定义和内容，大致归纳出信息系统审计的几个特征：一是独立性，为了确保信息系统审计的公正性与有效性，信息系统审计师必须以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价;二是综合性，信息系统审计不仅包括审计信息系统运行的有形设施，还包括运行环境以及内部控制;三是管理特征，信息系统审计通过对信息系统安全、可靠与有效性的评价，促使企业有效率的利用组织的资源并有效果地实现组织的目标。
三、信息系统审计与传统审计之间的区别与联系
信息系统审计是传统审计的一部分，是以传统审计理论为理论基础的，两者之间有紧密的联系，也存在一定的区别。两者的联系是：信息系统审计继承了传统审计的基本理论与方法，与传统的审计一样。在立场上，要求信息系统审计师站在独立的立场上，通过选择特定的审计对象，采用询问、检查、分析、模拟、测试等方法获得客观的审计证据，来判断其与既定标准的符合程度。在程序上，信息系统审计一般也要经过审计计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作，实现审计目标;两者的区别也比较明显，主要表现在：首先，信息系统的审计对象不同于传统审计的财务领域，而是信息系统，包括基础设施，软硬件管理，信息安全，网络管理合通信等;其次，信息系统审计提出了更多的审计法与审计程序，这都是传统审计所不具备的，比如对某软件进行审计时，要采用技术含量相当高的测试，对网络安全审计时要采用穿透性测试(模拟成黑客进行各种攻击以验证其安全性);第三，信息系统审计不光是事后审计，主要关注系统的运行现状，在某种情况下，直接参与项目的开发或变更过程，以保证足够的控制得以顺利实施;最后，信息系统审计的咨询价值显得更高，信息化的风险很高，信息系统审计师可凭借其专门知识和实践经验，受托或主动服务于被审计单位的管理者或其业务人员，在企业信息化过程中，帮助企业建立健全内部控制制度，进行系统诊断，根据企业需求，确定信息化的目标和内容，选择合适的信息系统。
四、尽快建立起符合我国实际的信息系统审计体系
我国在信息系统审计方面还没有形成一整套体系。但是近年来，在借鉴国外有关信息系统审计经验的基础上，审计署在利用计算机信息系统开展审计工作中已经取得了一定的成果：(一)全面开展对电子数据的审计，包括会计电子数据和业务管理电子数据。采取的具体方法是：1.精确复核。运用计算机，对各种数据进行精确复核，既可以对全辖并表机构的会计报表与汇总报表进行全面复核，又可以从会计流水账逐级核对至总账，还可以将业务管理数据与会计报表数据进行复核;2.编制计算机程序进行辅助计算。可以编制计算机程序对有比例关系的项目进行计算，然后与实际记录进行比较，找出产生差异的记录;3.对一些异常会计记录和交易进行筛选和查询，为审计人员提供审计线索，主要是根据某一特征进行筛选分析，从不同角度分析可疑问题线索。(二)对被审计单位的信息系统的可靠性和内部控制进行初步的评价。主要是：1.
主要调查信息系统的使用范围，网络安全和数据的备份等情况，以保证信息系统财务数据的安全、完整;2.对信息系统的内部控制情况进行初步的调查和评价，重点是权限管理、参数表的设置和修改控制等是否有效，信息系统的使用者和系统的开发者是否分离，被审计单位对交易录入的原始数据是否实施相应的控制，信息系统的数据流和业务流程是否吻合;3.通过系统日志等文件分析一些重大事件的原因，分析对整体信息系统的影响。但是我国在全面开展信息系统审计方面还处在探索阶段，为了能够为被审计单位提出更有价值的审计建议，更好地服务欲被审计单位，保证信息系统能有效地实现企业(单位)的目标，在我国也要尽快建立起符合我国实际的信息系统审计体系。
信息系统审计与传统审计的区别
科技的迅猛开展曾经给整个社会的经济管理活动形成了宏大影响。信息系统审计是在原来传统审计的财务审计和管理审计根底上，由于科学技术向经济管理范畴的浸透而产生的。但是，到目前为止，信息系统审计在实质上并不是独立于财务审计和管理审计的第三大审计分支，而是其中的一类审计形态，其缘由在于网络环境的复杂性、实践操作的复杂性、与传统审计的交融水平等要素都限制着信息系统审计的开展，本文旨经过比拟，将两者有机分离，从而进步信息系统审计质量，拓展信息系统审计技术办法在企业审计中应用的深度和广度，促进企业在审计上的革新。
一、 信息系统审计与传统审计在重大方面上是一致的
（一） 信息系统审计体系与传统审计体系构造根本一致
传统审计体系在逻辑构造上具有较强的紧密性，“根本原则―详细原则―实务指南”是由笼统到详细的逻辑规则，这是会计原则、注册会计师鉴证业务原则等专业规范标准的常用构造，这使审计后续的详细工作便于寻觅相应的原则条款，为审计工作提供便利之处。信息系统审计所表述的“规范―指南―程序”原则框架在字面上与传统审计体系没有太大差异。其规范反响了信息系统范畴的纲要性问题，指南是规范的详细化，程序则是一些工作标准，这与传统审计体系的三个层次是逐个对应的。
（二）信息系统审计与传统审计在根本概念及程序上大致一致
“独立性与客观性”、“权威性与公正性”等传统审计的根本概念在信息系统审计中得到了很好的表现。另外，信息系统审计独立于信息系统自身、信息系统相关开发、运用人员，由信息系统审计师根据法律规则，采用客观规范独立行使审计监视权，这与审计的“独立性与客观性”完整相同。同时，国际信息系统审计和控制协会（ISACA）对实行审计制度、树立审计机关以及审计机构的位置和权利都做了明白规则，这样使审计组织具有法律的权威性，其与公正性相辅相成。
二、 信息系统审计详细内容方面存在两点点创新
（一） 信息系统审计的软件测试办法与电子取证办法
审计办法贯串于整个审计过程当中，而不只是存在于某一审计阶段或某个环节。随着信息系统审计系统理论的丰厚与信息系统审计理论的开展，信息系统审计处置运用传统审计的办法外，还大量自创了计算机学科的一些办法为我所用。其中“软件测试办法”是信息系统审计的重要办法之一，较为经典的测试办法是黑盒测试与白盒测试。另外，某些会计数据和其他信息只能以电子方式存在，或只能在某一时点或期间得到①，在信息系统审计时关于这些电子数据的获取极为重要，需求确保信息系统审计人员开掘和搜集充足牢靠的电子证据，最终生成审计报告。
（二） 安全性审计
在传统审计中，关于被审计对象的安全问题鲜有触及，而信息的安全性问题关系到企业的生存与开展，是坚持企业安康可持续开展的重要保证。信息系统审计中关于安全性审计做了细致的标准。安全性审计的主要目的就是检查企业信息系统和电子数据的安全隐患。一个存在安全隐患的信息系统很难为审计人员提供真实牢靠的信息，因而安全性审计也是真实性审计的前提。
三、完善IT审计体系还应自创传统审计
（一）自创传统审计中的绩效审计，增强其理论可行性
传统审计将审计的真实性、合法性和效益性作为审计的目的。为顺应树立市场经济的需求，审计机关从2001年以前主要从事的真实、合法性审计到90年代初期，审计机关对国有企业的审计开端向检查内部控制和经济效益两方面的延伸，绩效审计的重要性逐渐凸显。②由于IT项目的功用复杂性、构造庞大性、周期延长性，使得IT绩效审计很难精确地评价如此综合性的信息系统项目效果，如何完善信息系统绩效审计在理论上的可行性是摆在我们面前的一项重要任务。
信息系统绩效审计应充沛自创传统绩效审计中的经济性、效果性、效率性特征，盘绕这“三性”停止展开。在“经济性”上，为了以最低的资源消耗取得一定数量和质量的产出，能够经过多方面的改进进步其节约水平。如美国Gartner Group Inc公司研发的ERP系统，其自动化水平很好，从而进步了信息系统绩效审计的科学性与可行性，防止不用要的开支。在“效果性”上，力图在信息系统项目上完成绩效监控动态化，为企业提供丰厚的管理信息，并在企业管理和决策过程中发挥作用，动态监控管理绩效变化，及时反应和纠正呈现的问题。在“效率性”上，进步企业物流、资金流、信息流一体化管理的效率并且要擅长管理信息系统，对信息系统应用价值的完成是IT绩效审计的最重要方面。
（二）自创传统审计的风险管理，发挥其限制性作用
《企业内部控制根本标准》把“应当关注研讨开发、技术投入、信息技术运用等自主创新要素”列为企业辨认内部风险时应当关注的六个要素之一。③随同信息系统而来的风险、利益和时机使得信息系统风险管理成为企业管理的重要内容，也是信息系统审计中应该完善的局部。
自创传统审计关于企业风险管理中风险评价、控制与防备的流程，分离IT风险管理的环境特殊性，程序复杂性和数据多样性等特性，对信息系统审计中的风险管理应依照“辨认信息资产―要挟的量化和定性―评价破绽―改良控制差距―管理剩余风险”的流程停止。首先，辨认组织业务职能并肯定每个流程的信息敏感度。然后辨认流程的每一个组成局部的现有控制措施，按重大水平将控制差距分类。最后，经过风险等级、本钱和有效性的选择，创立风险基准线，以便日后定期重新评价风险所用。
四、总结
经过对信息系统审计与传统审计的比拟研讨，我们发现：在根本内容、程序和体系构造等方面，传统审计与信息系统审计是谐和的。信息系统审计的软件测试办法与电子取证办法上，较传统审计来说更方便且具有先进性。
在信息技术向人们工作、生活的每一个角落发起全面冲击的大潮中，信息技术不仅改变着人们的行为方式，同时也改变着人们的思维方式。审计信息化使得审计人员所面临的审计对象不断变化，促使审计方式随之改变，信息系统审计在这种情况下应缘而生。信息系统审计是传统审计的一部分，两者究竟有哪些区别？信息系统审计专家时代新威来为您解答！
一、信息系统审计与传统审计在重大方面上是一致的
（一）信息系统审计体系与传统审计体系构造根本一致
传统审计体系在逻辑构造上具有较强的紧密性，“根本原则―详细原则―实务指南”是由笼统到详细的逻辑规则，这是会计原则、注册会计师鉴证业务原则等专业规范标准的常用构造，这使审计后续的详细工作便于寻觅相应的原则条款，为审计工作提供便利之处。信息系统审计所表述的“规范―指南―程序”原则框架在字面上与传统审计体系没有太大差异。其规范反响了信息系统范畴的纲要性问题，指南是规范的详细化，程序则是一些工作标准，这与传统审计体系的三个层次是逐个对应的。
（二）信息系统审计与传统审计在根本概念及程序上大致一致
“独立性与客观性”、“权威性与公正性”等传统审计的根本概念在信息系统审计中得到了很好的表现。另外，信息系统审计独立于信息系统自身、信息系统相关开发、运用人员，由信息系统审计师根据法律规则，采用客观规范独立行使审计监视权，这与审计的“独立性与客观性”完整相同。同时，国际信息系统审计和控制协会（ISACA）对实行审计制度、树立审计机关以及审计机构的位置和权利都做了明白规则，这样使审计组织具有法律的权威性，其与公正性相辅相成。
二、信息系统审计详细内容方面存在两点点创新
（一）信息系统审计的软件测试办法与电子取证办法
审计办法贯串于整个审计过程当中，而不只是存在于某一审计阶段或某个环节。随着信息系统审计系统理论的丰厚与信息系统审计理论的开展，信息系统审计处置运用传统审计的办法外，还大量自创了计算机学科的一些办法为我所用。其中“软件测试办法”是信息系统审计的重要办法之一，较为经典的测试办法是黑盒测试与白盒测试。另外，某些会计数据和其他信息只能以电子方式存在，或只能在某一时点或期间得到①，在信息系统审计时关于这些电子数据的获取极为重要，需求确保信息系统审计人员开掘和搜集充足牢靠的电子证据，最终生成审计报告。
（二）安全性审计
在传统审计中，关于被审计对象的安全问题鲜有触及，而信息的安全性问题关系到企业的生存与开展，是坚持企业安康可持续开展的重要保证。信息系统审计中关于安全性审计做了细致的标准。安全性审计的主要目的就是检查企业信息系统和电子数据的安全隐患。一个存在安全隐患的信息系统很难为审计人员提供真实牢靠的信息，因而安全性审计也是真实性审计的前提。
三、完善IT审计体系还应自创传统审计
（一）自创传统审计中的绩效审计，增强其理论可行性
传统审计将审计的真实性、合法性和效益性作为审计的目的。为顺应树立市场经济的需求，审计机关从2001年以前主要从事的真实、合法性审计到90年代初期，审计机关对国有企业的审计开端向检查内部控制和经济效益两方面的延伸，绩效审计的重要性逐渐凸显。②由于IT项目的功用复杂性、构造庞大性、周期延长性，使得IT绩效审计很难精确地评价如此综合性的信息系统项目效果，如何完善信息系统绩效审计在理论上的可行性是摆在我们面前的一项重要任务。
信息系统绩效审计应充沛自创传统绩效审计中的经济性、效果性、效率性特征，盘绕这“三性”停止展开。在“经济性”上，为了以最低的资源消耗取得一定数量和质量的产出，能够经过多方面的改进进步其节约水平。如美国Gartner Group Inc公司研发的ERP系统，其自动化水平很好，从而进步了信息系统绩效审计的科学性与可行性，防止不用要的开支。在“效果性”上，力图在信息系统项目上完成绩效监控动态化，为企业提供丰厚的管理信息，并在企业管理和决策过程中发挥作用，动态监控管理绩效变化，及时反应和纠正呈现的问题。在“效率性”上，进步企业物流、资金流、信息流一体化管理的效率并且要擅长管理信息系统，对信息系统应用价值的完成是IT绩效审计的最重要方面。
（二）自创传统审计的风险管理，发挥其限制性作用
《企业内部控制根本标准》把“应当关注研讨开发、技术投入、信息技术运用等自主创新要素”列为企业辨认内部风险时应当关注的六个要素之一。③随同信息系统而来的风险、利益和时机使得信息系统风险管理成为企业管理的重要内容，也是信息系统审计中应该完善的局部。
自创传统审计关于企业风险管理中风险评价、控制与防备的流程，分离IT风险管理的环境特殊性，程序复杂性和数据多样性等特性，对信息系统审计中的风险管理应依照“辨认信息资产―要挟的量化和定性―评价破绽―改良控制差距―管理剩余风险”的流程停止。首先，辨认组织业务职能并肯定每个流程的信息敏感度。然后辨认流程的每一个组成局部的现有控制措施，按重大水平将控制差距分类。最后，经过风险等级、本钱和有效性的选择，创立风险基准线，以便日后定期重新评价风险所用。
信息系统审计较传统审计来说更方便且具有先进性，新技术对于信息系统审计提出了新的要求，作为新一代信息系统审计专家，时代新威是您不错的选择。
