IT審計

出自 MBA智库百科(https://wiki.mbalib.com/)

IT審計（IT audit）

　　IT審計就是信息系統審計，也稱IT監查，是獨立於信息系統本身、信息系統相關開發、使用人員的第三方－IT審計師採用客觀的標準對信息系統的策劃、開發、使用維護等相關活動和產物進行完整地、有效地檢查和評估。

　　IT審計設計整個信息系統的生命周期，IT審計不是單純強調對軟硬體的審計。它的審計對象涵蓋整個信息系統所有活動和中間產物，並包括信息系統實施相關的外部環境。一般來說，對企業實施IT審計的對象有：本企業內的IT審計師、外部IT審計事務所委托審計師和國家審計機構。IT審計按照信息系統的生命周期分為業務計劃審計，業務開發審計、業務執行審計和業務維護審計以及涵蓋整個信息系統周期的共通業務審計。

　　1）業務計劃審計主要面向信息系統的企劃，對信息系統的投資可行性，系統規劃與公司戰略的相關性，系統開發計劃的可行性以及系統需求的完整性和正確性進行審核和驗證。

　　2）業務開發審計對信息系統開發的各個階段的相關人員的活動、信息、中間產物進行審核，確認這些活動、信息和中間產物的規範性、有效性和對於信息系統目標的針對性。

　　3）業務執行審計確認與信息系統運行相關的數據、軟硬體、安裝環境等是否符合信息系統的運營要求，同時對信息系統的功能、性能、易用度、可操作性等進行評估。

　　4）業務維護審計對信息系統的維護活動和維護結果實施審核和評價。發現在維護中可能出現的各種漏洞和信息系統維護中急待改善的問題。

　　5）共通業務審計涉及文檔管理、進度管理、人員管理、採購管理、風險管理等，檢查這些過程的規範性和有效性，並提出改良建議。

　　IT審計的實施需要制定相應的計劃，明確IT審計的任務、採用的方法和預期應當達到的效果。該計劃在提交經營層確認後得以實施。

　　IT審計的審計計劃分為兩種類型：基本計劃和詳細計劃（又稱分期計劃）。

　　1）基本計劃是一個審計年度內相關IT審計活動的計劃，確認年度內IT審計的各項任務及其大致時間安排。基本計劃需要提交經營層批准。它是對整個IT審計年度的活動指引方針。內容包括：審計對象、審計場所、審計原則、日程安排等。

　　2）詳細計劃（分期計劃）針對具體項目（系統）或任務，得到IT審計部門領導的許可即可，詳細計劃需要告知被審計對象。詳細計劃的內容包括：審計對象、目的、審計流程、審計要點、審計時間、相關人員、審計報告提交事項等內容。

　　IT審計的任務在於站在客觀公正的角度上，收集審計信息，生成審計報告，通過審計報告促成信息系統生命周期活動和成果物的改善。

　　作為企業，建立一個完善的IT審計制度需要做到以下幾點：

　　（1）IT審計師是跨信息技術和審計技術的複合型人才，要實施企業的IT審計制度，必須重視和培養合格的IT審計師；

　　（2）企業應該建立相應的IT審計部門或審計崗位，確定其部門和崗位職責，並將之置於企業經營者的直接管理之內；

　　（3）企業應該制定相應的IT審計準則、實施報表、報告等進行IT審計所必須的憑據；

　　企業在建立IT審計制度時應當遵循國家相關IT審計的法規並結合本企業的業務實際進行。企業的IT審計制度不是一成不變的，根據具體企業的營運情況可以在每個審計年度終結後新的審計年度開始前做相應的修改和增刪。

　　IT審計的出處源自60年代IBM出版的《Audit encounters Electronic Data Processing》等有關在EDI環境下進行審核和組織的論述。不久後有關該方面的研究結果不斷涌現， IT審計的雛形初步形成。但是由於信息系統在社會上尚未得到較為廣泛的應用，因此IT審計並未在社會上形成意識。

　　七十年代中後期到八十年代初由於電腦在發達國家的企業初步普及，利用電腦犯罪和電腦系統失效的事件頻頻出現，使得IT審計日益得到社會重視，美國、日本先後成立了IT審計方面的協會組織。從事對IT審計規則的制定和實施指導。值得註意的是1985年日本政府出台了《IT審計標準》並根據美國勞工部的《Skill Start》和Northwest Center for Emerging Technologies（NCET）對IT信息人員的從業技能的要求制訂了IT審計師（系統監查員）的技能標準並以之作為新的"IT審計師（系統監查員）"級考試的參考標準。

　　九十年代是IT審計的普及期，這主要歸功於互聯網的普及。互聯網的普及是利用電腦犯罪的人員溫床，此外日益嚴重的軟體項目失敗問題引發了是否要對信息系統的投資和開發進行審計的深思。IT審計得到了前所未有的重視。

　　實施IT審計能夠強化IT投資效果，提高信息系統的安全性，能夠客觀評價信息系統及信息系統開發，從社會經濟和企業、國家信息化投資、安全等方面都具有極大的意義。

　　1、IT審計是技術審計的一個典型，IT審計師標志著一個新的審計時代——“技術審計時代”的到來

　　隨著經濟管理與科學技術的不斷結合與日益滲透，現代審計已經遠遠超出了僅對財務會計進行審查的狹窄範圍，不斷向管理領域和技術領域滲透。IT審計是技術審計的一個典型。IT審計實質上是對電腦軟體和硬體及整個信息系統的審計，否則，就不能稱為IT審計。由於電腦的廣泛普及，審計環境發生了巨大變化。假如審計人員只懂傳統審計，不懂對電腦軟硬體的審計，必然面臨可怕的潛在審計風險。在無紙辦公條件下，會計及其他信息資料被存入電腦信息系統，審計人員如不考慮被審單位電腦軟體和硬體的安全程度，對被審單位的系統與設備盲目信任，即使懂得電腦的簡單應用，也極有可能誤入電腦陷講，後果相當危險。只有對電腦審計風險進行正確估計，根據實際情況決定是否採取相應的信息系統審計對策，並能夠在風險較大的情況下針對電腦信息系統（包括硬體與軟體）實施必要的技術性審計，才能最終保證審計結果的正確性，防止和降低信息技術條件下的審計風險。IT審計的重要程度由此可以想見。顯然，網路時代的到來已對審計人員提出了掌握過硬信息技術的要求。IT審計師不僅從事對財務會計、經濟管理活動的審計，更重要更關鍵的是對被審單位信息系統進行技術審計。IT審計師的產生是審計領域進一步擴大化的重要標誌，代表著新的審計時代——技術審計時代的到來。

　　實際上IT審計並不是最早的技術審計。早在IT審計之前，就已經出現了各種各樣的技術性審計，只不過這些技術審計的技術性不如IT審計那樣與科學技術緊密相關。例如，質量管理中的技術性審計——質量審計（包括產品質量審計、工序質量審計與體系質量審計等），要求對產品質量進行抽查試驗；清潔生產中的技術性審計——清潔生產審計，要求揭示生產技術的缺陷並提出預防和消減污染的機會與對策；能源管理中的技術性審計——能源審計，要求進行能源監測，提出能源技術改造方案；環境管理中的技術性審計——環境審計，要求實施環境質量監測，提出環境改進建議與降低污染方案；如此等等，都是具有不同技術程度的審計類型，從它們的技術性特點歸類，可以與IT審計並稱“技術審計”。

　　技術審計的產生是科學技術日益滲透、審計範圍進一步向技術領域拓展的必然結果。隨著科學技術如日新月異和現代審計的不斷發展，審計的技術領域將不斷延伸，未來的技術審計形式將更加豐富多彩。

　　2、從IT審計看現代審計學科的發展

　　王光遠教授在其名著《管理審計理論》中將審計學科劃分為“財務審計”與“管理審計”兩大分支，倡導發展管理審計，並認為管理審計以財務審計為基礎，前者是後者的發展與延伸。

　　技術審計是當代科技發展與審計發展相互融合的產物。當代社會是科學技術飛躍發展的社會，科技的迅猛發展已經給整個社會的經濟管理活動造成了巨大影響。正是在科技迅速發展的大背景下才產生了形形色色的技術性審計。技術性審計是在原來的財務審計和管理審計基礎上，由於科學技術向經濟管理領域的滲透而產生的。然而，到目前為止，技術審計在本質上並不是獨立於財務審計和管理審計的第三大審計分支，而是融於財務審計、管理審計之中的一類審計形態。即在財務審計與管理審計兩大分支當中都包含某些技術審計。比如，進行電腦財務審計，主要的或本質上是實施財務審計，但由於電腦軟體和硬體對財務信息的巨大影響，也往往不得不對使用的硬體和軟體進行審計，這又是技術審計；清潔生產審計實質上屬於環境（管理）審計中針對生產過程所實施的技術審計，但這種技術審計又是為進行管理審計服務的，依附於管理審計。

　　從受托責任理論分析，可以提出“受托技術責任”的概念。在財務審計分支中的技術審計，其受托技術責任屬於受托財務責任的二級責任，比如IT審計中，保證會計報表真實可靠，就必須要求信息系統的軟體系統和硬體系統同時可靠，後者從屬於前者，被審單位承擔的受托信息技術責任就是其所負受托財務責任的二級責任。在管理審計分支中的技術審計，其受托技術責任屬於受托管理責任的二級責任。例如，環境審計實質是對環境管理的審計，因此屬於管理審計。但進行企業環境審計，需要審查企業的生產工藝與生產技術，甚至審查產品的環保技術性能，此類技術方面的審計都是為了證實企業環境保護方面的受托管理責任。

　　總之，對財務會計的審計稱為財務審計；對管理進行的審計稱為管理審計；對技術方面的審計就應當稱為技術審計。從這個意義上說，技術審計應是現代審計的第三大領域。20世紀30年代以前財務審計一統天下，30年代以後80年代以前管理審計異軍突起，與財務審計並駕齊驅，80年代以來技術審計不斷涌現，90年代IT審計初視端倪，21世紀將是IT審計師獨領風騷的時代。

　　勿庸諱言，技術審計至今未能脫離財務審計和管理審計而單獨存在。然而，儘管技術審計尚未獨立為現代審計的第三分支，但“技術審計”概念的提出仍然極具積極意義。技術審計反映了科技與審計、科技與經濟管理相互融合與滲透的時代特點，要求審計人員既要掌握經濟管理知識，又要掌握科學技術。現代審計向管理領域和技術領域滲透，是不以人的意志為轉移的必然趨勢。也許將來技術審計會成為與財務審計和管理審計相併列的第三大分支。

　　在不久的將來，無論是國家審計、內部審計還是註冊會計師審計，不懂IT技術必然遭遇災難性風險，離開IT審計將寸步難行。國際著名會計公司德勤會計師行的高級合伙人鮑威爾先生指出，全世界即將迎來管理領域信息化的高潮。信息技術對傳統管理和控制的挑戰是空前的，主要表現在三個方面：一是內部控制環節的變化，許多傳統的控制手段已經失去意義，評價和改進內部控制必須以信息系統的運轉為基礎；二是管理的風險增加，由於企業經營越來越依賴於信息系統，除了傳統意義上的經營風險、控制風險和財務風險之外，企業信息系統安全性導致的信息技術風險日益增長；三是對複合性高級人才的需求驟增，要求管理者、審計師和咨詢人員必須在精通管理和專業的同時熟悉信息系統和網路技術。

　　信息技術的發展對中國註冊會計師和會計師事務所提出了更高的要求。國際同行的業務收入中，傳統的財務審計服務所占收入比例正在迅速下降，風險控制服務和管理咨詢服務收入的比重大大提高，而這些收入增長的部分往往又和IT環境審計、信息系統安全審計服務等技術性審計有關。可以斷言：在整個社會信息化程度迅速提高的今天，如果我國的會計師事務所不及早作好IT技術方面的人才準備，不僅談不上和五大著名的國際會計師事務所競爭，而且連國內的市場也會喪失殆盡。

• 李會太,史振生.從IT審計看審計學科發展與技術審計時代的到來
• 張華,IT審計的概念