浅谈信息系统审计研究论文
随着计算机技术的日益进步和信息产业的迅猛发展，信息系统审计应运而生，并且受到越来越广泛的重视。下面是学习啦小编为大家整理的浅谈信息系统审计研究论文，供大家参考。
浅谈信息系统审计研究论文篇一
《 浅谈信息系统审计研究 》
信息系统 审计是一种新的审计类型。国外对信息系统审计的研究很多，国内的研究与 应用在近年来也呈上升趋势。本文通过对信息系统审计的内涵、信息系统审计方法、信息系统审计过程和信息系统审计建议的阐述使读者对信息系统审计有个基本的了解。
一、信息系统审计的内涵
信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。
1.信息系统审计的定义
由于信息系统审计的 发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。(1)日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以 计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。(2)信息系统审计领域的著名专家威伯教授的定义(1999)是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成 组织目标，同时最 经济的使用资源”。(3)信息系统审计影响最大的国际组织——国际信息系统审计和控制协会(ISACA)的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。
通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标 发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计(计算机审计)包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等;而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。
2.信息系统审计的目标
审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计 工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。(1)真实性。信息系统中的数据要真实的反映企业的生产经营活动。
要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等 管理手段确保数据的真实性。(2)完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。(3)合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。(4)安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。
威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等;内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。(5)可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对 软件和硬件的破坏等。可靠性也是真实性的基础之一闭。(6)效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提供产品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。
3.信息系统审计的类型
根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：(l)信息系统的真实性审计是对传统审计的补充，防止“错”账真审。(2)信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。(3)信息系统的绩效审计是对信息系统投入产出比的审核。
二、信息系统审计的特点
信息系统审计具有其独特的特点，具体特点如下：
1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。
2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向(生命周期)看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务;从横向(信息系统构成)看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。
3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位 会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统 环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。
4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计;信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。
5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。
6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。
三、信息系统审计的过程
审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为 计划阶段、实施阶段和 报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。
1.计划阶段
计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制;初步评价审计风险;确定重要性水平;制定审计计划。(1)调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和 网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。(2)调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。(3)评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。(4)编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。
2.实施阶段
实施阶段是根据计划阶段确定的范围、重点、步骤和方法，进行有针对性的取评价，并形成审计结论的过程。主要由符合性测试和实质性测试两个阶段构成。(1)实施符合性测试。符合性测试的目的是检查内部控制措施是否健全有效。计人员需要对被审单位的控制系统进行识别、测试和评价。测试的性质、范围和程度。为了达到这个目的，审从而确定后续的实质性控制系统识别。审计人员通过与相关人员面谈、调查问卷以及查阅信息系统和控制系统说明文件等方，识别被审单位的控制系统以及控制环境，并将调查情况记录在审计工作底稿中。(2)实施实质性测试。实质性测试是对信息系统控制进行的详细测试，以获得这些控制在审计期间是否真实存在并合法有效的审计证据。实质性测试主要通过测试必要的数据，对信息系统达到特定的控制目标的程度进行评价。
3.报告阶段
审计报告阶段，审计人员应运用专业判断，综合所收集到的相关证据，已经过核实的审计证据为依据，形成审计意见，出具审计报告。审计报告中除了对被审单位信息系统的安全性、可靠性、有效性和效率性发表审计意见之外，还针对信息系统内部控制和管理等方面的问题提出相关的建议。在正式发布审计报告之前，审计人员还应考虑其后事项的影响。在现场审计工作结束日到发布审计报告日之间一般都会有一段时间，审计人员应考虑在此期间被审单位及其信息系统是否发生导致重大变化的事项。审计报告阶段的具体过程如下，审计组在现场审计工作完成之后，应编制审计报告初稿征求被审单位意见。被审单位反馈意见后，审计组应将审计报告初稿和被审单位的反馈意见一并报送审计机关，审计机关对审计组的审计报告进行审议并对被审单位的反馈意见进行研究后，提出审计机关的审计报告。
浅谈信息系统审计研究论文篇二
《信息系统监理与信息系统审计 》
[摘要]建立信息化建设的第三方监督对保证信息化建设的效益最大化至关重要。本文通过信息系统监理和信息系统 审计的概念、产生动因等进行比较， 分析 我国信息系统监理面临的新 问题 、新要求，并介绍美国信息系统审计的 实践 经验，在此基础上提出对我国信息系统监理事业 发展 的若干建议。
[关键词]信息系统信息系统监理信息系统审计比较独立性
引言
“信息化带动 工业 化”是我国长期的重要发展战略，江泽民同志在十六大的 报告中指出：“实现工业化仍然是我国 现代 化进程中艰巨的 历史 性任务。信息化是我国加快实现工业化和现代化的必然选择。坚持以信息化带动工业化，以工业化促进信息化，走出一条 科技 含量高、 经济 效益好、资源消耗低、 环境污染少、人力资源优势得到充分发挥的新型工业化路子。”这段论述表现了我们党对信息化建设的高度重视，也指明信息化带出一条新型工业化路子的光明前景。
目前 ，各地区、各部门都在认真贯彻十六大精神，十分重视推进信息化 工作，我国信息化建设已经进入新的阶段，我国信息化事业已发展到一个新的阶段。各级政府正在积极推进“ 电子 政务”，许多城市及 企业 也已着手整合与升级其信息化 应用 系统。可以预计，全国将有更多、更大的信息系统建设项目展开。但是，在信息化推进过程中，存在不同程度上的一些问题，主要表现在规划制订不够 科学 ，项目 管理不够严格，监理机制不够健全，系统运行效益不够明显。致使相当一部分信息化项目失败或未能实现预期目标，浪费了大量资源。究其根源主要原因之一是信息化建设第三方监管机制的缺失和标准的不健全。
国内外的实践表明：信息化是有风险的，信息系统规模越大，功能越复杂，风险也就越大。英国Kalido于英国时间2001年12月12日公布了有关企业信息管理的调查结果。调查显示，96%的企业对于本公司的信息管理系统感到不满。关于目前正在使用的信息系统，认为"所制作的报告缺乏一贯性"或者是"核对信息花费了太多时间"的企业约占70%。特别引人深思的是该调查是由美国HarteHanks以全球500强企业以及财富1000企业中的171家公司为对象通过问卷方式实施的。调查对象中，40%以上的企业年交易额超过20亿美元。其他主要调查结果如下∶回答目前的信息系统不能灵活因应变化的企业约占60%;对于数据的精度表示担心的企业约占60%;60%以上的企业正在策划有关数据及信息的整合 计划。这充分说明，信息系统的建设项目较之传统工业工程项目成功率更低，风险也更加突出。
中央领导同志在国家信息化领导小组第一次会议中特别强调：信息化建设一定要讲求效益，不能搞花架子。因此建立并逐步完善我国信息系统审计制度是健康、有序地推进信息化和落实领导小组会议精神的一项重要措施。
目前，在国内的信息化项目工程建设中，绝大多数用户(业主)无法 组织队伍对信息系统建设进行专业化管理，难以胜任从可行性分析、规划设计、招标、方案评审到工程监理和工程验收全过程的管理与组织协调工作，建设方和承建方在信息建设过程中存在严重的信息不对称问题。这表现为借助外援进行工程管理咨询的案例越来越多，一些省市的行业主管部门也开始在信息系统建设中推行由监理进行工程质量管理的做法。但是，监理介入信息系统在我国还处于一个探索的过程中。
我国加入WTO后，鉴于我国IT服务业未来巨大的增长空间，国际知名咨询顾问公司、专业技术服务提供商等纷纷抢滩我国市场。在信息系统第三方鉴证业务方面，他们提供符合国际标准的信息系统审计服务。因此当前监理事业的发展面临新的形势，监理工作外部环境发生了深刻变化，势将对我国监理企业形成严重冲击，本土监理企业面临前所未有的严峻挑战。监理事业往何处去?这是摆在每一个监理人面前的重大课题。每一个监理企业必须以发展的眼光、动态的观点、创新的思想和创新的 理论 正确认识和判断当前的监理形势，增强危机感和紧迫感，迎接新的挑战。
信息系统监理
信息系统监理概念
依据信息产业部《信息系统工程监理暂行规定》，信息系统工程监理是指依法设立且具备相应资质的信息系统工程监理单位，受业主单位委托，依据国家有关 法律 法规、技术标准和信息系统工程监理 合同，对信息系统工程项目实施的监督管理。
信息系统监理产生动因及其发展
1、信息系统监理产生动因分析
监理工作、监理企业是我国在计划经济向市场经济转变的过程中在建设领域中应运而生的，并取得了有目共睹的显著成效，直接促进了工程监理业的繁荣发展，这也导致在通信业工程建设、信息系统建设等方面监理的出现。因此，回顾建设工程监理的发展，将有助于对信息系统监理的认识。
1988年7月建设部发布了《关于开展建设监理工作的通知》，随后又于1988年11月印发了《关于开展建设监理试点问题的若干意见》，使得试点工作有章可循。1989年，根据初步试点取得的经验，建设部制定了《建设监理试行规定》，这是我国第一个比较完备的关于工程建设监理的法规文件，勾画出具有我国特色的工程建设监理制度的初步框架。1991年又分别制定颁发了《建设监理单位资质管理试行办法》和《监理工程师资格 考试 及注册试行办法》，建设监理法规制度进一步配套完善。1993年，上海市开始了工程设备监理制度的试点工作。
1998年，国务院机构改革后赋予了国家质量技术监督局“协调建立设备工程监理制度”的职能要求，随后，国家质量技术监督局拟定了《协调建立设备工程监理制度的方案》，在国家发展计划委员会的指导和具体参与下，会同国务院有关部门，在国内有关技术及咨询机构的帮助、支持下,完成了设备监理制度中有关规章的起草工作。
此间，世界银行、国家开发银行等亦曾规定，其贷款的有关项目要有监理公司监理，并作为 申请贷款的项目单位获得贷款的基本条件。由此开始推行建设工程监理制度，监理事业得到持续快速发展，从而积累了一定经验，取得了积极成效。发展至今建立了一套比较完整的监理法规体系，组成了一支规模较大的监理队伍，监理出一批优良的工程项目，监理工作在工程建设中发挥了重要作用，得到了各级领导的支持，得到了 社会 的普遍认可，正逐步向规范化、制度化、科学化方向迈进。
但同时我国工程监理事业经过十多年的发展，虽然取得了一定成绩，但也存在不少问题。如：监理人员整体素质不高、监理工作缺位、监理取费普遍较低、监理市场竞争机制不健全、监理企业缺乏自我积累和发展能力、监理责任不明确、监理工作缺乏系统的理论 研究 、宣传工作滞后等问题比较突出。
2、信息系统监理的 发展
目前 信息系统工程的现状类似于二十世纪八十年代以前 建筑工程的状态。自1988年建设部颁布《关于开展建设监理 工作的通知》以后，特别是1996年建设监理全面推行后，建筑工程的质量普遍提高，业主和承建商之间的纠纷普遍减少，凡是出 问题 的工程，监理也有问题。因此，要求 参考 建筑工程的 管理办法对信息工程实施监理的呼声日益高涨，这既是信息工程用户(业主)的愿望，也是系统集成商的愿望，信息工程市场呼唤“第三方”—信息系统工程监理的出现。
早在1995年，原 电子 工业 部就出台了《电子工程建设监理规定(试行)》。1996年，深圳市成立了全国第一家信息工程质量监督机构—信息工程质量监督检验总站。1998年，西安协同 软件股份有限公司经西安技术监督局和西安市科委批准，获得“ 计算 机管理信息系统工程监理”资质认证，成为国内第一家获此资格的公司。1999年6月，深圳市政府在国内率先出台了包括实施信息工程监理条款在内的《深圳市信息工程管理办法》，并要求首届我国国际高新技术成果交易会信息 网络 工程实施监理。2000年7月，深圳市信息化建设委员会办公室制订了《深圳市信息工程建设管理办法实施意见》，要求“市、区、镇人民政府及其所属部门使用 财政性资金(包括预算内资金、预算外资金、事业收入等)，投资规模在100万元以上的信息工程建设项目必须遵照本实施意见进行立项、招投标、监理、质量监督、验收”。
2002年7月，北京市信息化工作办公室制定了《北京市信息系统工程监理管理办法(试行)》，要求“本市推行信息系统工程监理制度，建设单位应当通过协议或者招标的方式优先选择具有相应资质等级的信息系统工程监理单位承担监理业务。各级财政全部补助或者部分补助以及为 社会 提供公共服务的重大信息化工程项目必须通过招标的方式选择信息系统工程监理单位，实行强制监理。”2002年11月，国家质量监督检验检疫总局公布《设备监理单位资格管理办法》，在该管理办法的21类设备工程专业中，涉及信息工程的共有三类，即信息网络系统、信息资源开发系统和信息 应用 系统。
最近，在国家信息办和国家标准管理委员会直接领导下，信息化系统监理规范化项目正在加紧制定中，并且是作为电子政务标准化项目的一个子项目而提出的。预计在今年年底，监理规范就要完成，经过试用和修改后，将上升为国家标准。2002年12月，信息产业部在广泛征求意见和开展试点工作的基础上，正式颁布《信息系统工程监理暂行规定》，这标志着我国信息工程监理开始迈向 科学 化、专业化和规范化，也预示着在我国即将出现一个新的中介服务行业，将很快涌现一批监理机构和执业人员，从此信息系统工程监理工程师也将逐步成为国民 经济 和社会信息化的“警察”。
但我国的信息系统工程监理目前仅仅是处在起步阶段，事实上根据对国内信息化应用程度较高的行业部门(如银行、证券、 保险、气象、社保、 旅游 等)和部分大型 企业 (如华北制药、哈尔滨轴承集团、哈尔滨飞机制造企业、跃进汽车集团、我国石化等)30个样本作为调查对象的调查结果显示，对于大多数企业来说，项目监理是个新概念。只有30%的被调查者表示在某些信息化项目中使用过监理服务。在70%未使用过项目监理的被调查者中，5%表示听说过，95%表示知道建筑工程有监理，但在IT信息化项目中引入监理还是第一次听说。
目前，我国还没有一套完善的IT项目监理制度，相应的监理法规、监理 内容 、收费标准等也都没有制定。特别是收费标准问题，大多数用户采用协商解决。以北京城域网项目的监理费为例，其采用了建筑行业的监理服务收费标准(2%10%)，支付的服务费占整个项目资金支出的2%。广大用户也反映，项目监理的标准如何才能做到公正、科学，项目监理的工作流程是否也应该规范，如何界定和权衡监理公司、用户、IT厂商三方利益?监理过程中出了问题，该怎么办?，这一系列问题都需要不断探索。原北京市信息中心主任华平澜表示，只有使监理更加规范化，才能更好地推进监理工作，才能使信息系统的建设更加顺利。事实上，与建筑等其他发展很成熟的行业的监理相比，对IT项目的监理要难得多。并且由于信息技术是一个新兴技术，它本身还在不断发展和完善，因此，即使制定出的监理的内容和标准也不能僵化，需要不断地变更和完善。
信息系统监理的基本 理论
信息系统监理的中心任务是科学地规划和控制工程项目的投资、进度和质量三大目标;监理的基本 方法 是目标规划、动态控制、 组织协调和 合同管理;监理工作贯穿规划、设计、实施和验收的全过程。信息工程监理正是通过投资控制、进度控制、质量控制以及合同管理和信息管理来对工程项目进行监督和管理，保证工程的顺利进行和工程质量。
1、成本控制
成本控制的任务，主要是在建设前期进行可行性 研究 ，协助建设单位正确地进行投资决策;在设计阶段对设计方案、设计标准、总概(预)算进行审查;在建设准备阶段协助确定标底和合同造价;在实施阶段审核设计变更，核实已完成的工程量，进行工程进度款签证和索赔控制;在工程竣工阶段审核工程结算。
2、进度控制
进度控制首先要在建设前期通过周密 分析 研究确定合理的工期目标，并在实施前将工期要求纳入承包合同;在建设实施期通过运筹学、网络 计划技术等科学手段，审查、修改实施组织设计和进度计划，做好协调与监督，排除干扰，使单项工程及其分阶段目标工期逐步实现，最终保证项目建设总工期的实现。
3、质量控制
质量控制要贯穿在项目建设从可行性研究、设计、建设准备、实施、竣工、启用及用后维护的全过程。主要包括组织设计方案评比，进行设计方案磋商及图纸审核，控制设计变更;在施工前通过审查承建单位资质等;在施工中通过多种控制手段检查监督标准、规范的贯彻;以及通过阶段验收和竣工验收把好质量关等。
3、合同管理
合同管理是进行投资控制、工期控制和质量控制的手段。因为合同是监理单位站在公正立场采取各种控制、协调与监督措施，履行纠纷调解职责的依据，也是实施三大目标控制的出发点和归宿。
4、信息管理
信息管理包括投资控制管理、设备控制管理、实施管理及软件管理。
5、协调
协调贯穿在整个信息系统工程从设计到实施再到验收的全过程。主要采用现场和会议方式进行协调。
总之，三控两管一协调，构成了监理工作的主要内容。为完满地完成监理基本任务，监理单位首先要协助建设单位确定合理、优化的三大目标，同时要充分估计项目实施过程中可能遇到的风险，进行细致的风险分析与评估，研究防止和排除干扰的措施以及风险补救对策。使三大目标及其实现过程建立在合理水平和科学预测基础之上。其次要将既定目标准确、完整、具体地体现在合同条款中，绝不能有含糊、笼统和有漏洞的表述。最后才是在信息工程建设实施中进行主动的、不间断的、动态的跟踪和纠偏管理。
有关浅谈信息系统审计研究论文推荐：
1.浅谈审计相关论文
5.审计研究论文范文
