ISACA信息系統(tǒng)審計(jì)準(zhǔn)則體系淺析

1、ISACA信息系統(tǒng)審計(jì)準(zhǔn)則體系淺析摘要鑒于ISACA頒布的信息系統(tǒng)審計(jì)準(zhǔn)則的權(quán)威性和代表性,本文指出ISA準(zhǔn)則體系中標(biāo)準(zhǔn)、指南和程序3個(gè)層次的結(jié)構(gòu)關(guān)系及標(biāo)準(zhǔn)與指南之間的交叉關(guān)聯(lián),并總結(jié)出最新的、有效的ISA相關(guān)準(zhǔn)則,以便更深刻地認(rèn)識(shí)ISA準(zhǔn)則。關(guān)鍵詞 ISACA;ISA準(zhǔn)則;標(biāo)準(zhǔn);指南;程序中圖分類(lèi)號(hào)F239.1文獻(xiàn)標(biāo)識(shí)碼A文章編號(hào)1673-0194(200703-0069-03國(guó)際上信息系統(tǒng)審計(jì)(ISA的概念起始于20世紀(jì)60年代,紙質(zhì)會(huì)計(jì)憑證的電子化使得審計(jì)人員在開(kāi)展傳統(tǒng)審計(jì)業(yè)務(wù)的過(guò)程中不得不關(guān)注電子數(shù)據(jù)的取得、分析、計(jì)算等數(shù)據(jù)處理業(yè)務(wù)。那時(shí)人們開(kāi)始稱(chēng)這種審計(jì)為計(jì)算機(jī)審計(jì)(Computer

2、 Audit或電子數(shù)據(jù)處理審計(jì)(EDP審計(jì)。20世紀(jì)90年代以來(lái),信息系統(tǒng)日趨復(fù)雜,網(wǎng)絡(luò)技術(shù)得到廣泛應(yīng)用,如何確保網(wǎng)絡(luò)平臺(tái)上的信息系統(tǒng)的安全、可靠和有效變得越來(lái)越重要,在發(fā)達(dá)國(guó)家ISA逐漸普及起來(lái),人們對(duì)ISA準(zhǔn)則的作用更加重視。在制定ISA準(zhǔn)則,開(kāi)展ISA研究方面,美國(guó)走在了前面。早在計(jì)算機(jī)進(jìn)入實(shí)用階段時(shí),美國(guó)就開(kāi)始提出系統(tǒng)審計(jì)(System Audit。1969年在洛杉磯成立了電子數(shù)據(jù)處理審計(jì)師協(xié)會(huì)(EDPAA,1994年該協(xié)會(huì)更名為信息系統(tǒng)審計(jì)與控制協(xié)會(huì)(Information System Audit and Control Association,ISACA,總部設(shè)在美國(guó)芝加哥,目前

3、已經(jīng)在世界上140多個(gè)國(guó)家設(shè)立了200多個(gè)分會(huì),現(xiàn)有會(huì)員5萬(wàn)多人。ISACA是從事信息系統(tǒng)審計(jì)的專(zhuān)業(yè)人員唯一的國(guó)際性組織,它通過(guò)制定和頒布ISA標(biāo)準(zhǔn)、實(shí)務(wù)指南等專(zhuān)業(yè)準(zhǔn)則來(lái)規(guī)范和指導(dǎo)CISA的工作;它還設(shè)立了信息系統(tǒng)審計(jì)與控制基金會(huì),從事相關(guān)領(lǐng)域的研究工作,以使該組織的成員能夠分享其最新研究成果;通過(guò)在世界各地舉辦各種形式的研討會(huì)、培訓(xùn)班等活動(dòng),增進(jìn)國(guó)際間同業(yè)人員的交流。ISACA還在許多國(guó)家舉行一年一度的注冊(cè)信息系統(tǒng)審計(jì)師(Certified Information System Auditor,CISA考試,考試合格并獲得執(zhí)業(yè)資格者可在全球范圍內(nèi)開(kāi)展ISA工作。信息系統(tǒng)審計(jì)準(zhǔn)則是由ISACA

4、協(xié)會(huì)下的準(zhǔn)則部(Standard Board制定的,準(zhǔn)則部成員每年通過(guò)選舉產(chǎn)生,任期一年,負(fù)責(zé)制定相關(guān)的標(biāo)準(zhǔn)、程序等。在準(zhǔn)則發(fā)布之前一般先予以公開(kāi),廣泛征求意見(jiàn),修改之后再發(fā)布生效。ISA準(zhǔn)則隨著環(huán)境的改變而不斷推出新的內(nèi)容,以適應(yīng)各個(gè)時(shí)期社會(huì)的要求和有關(guān)團(tuán)體的要求,保證在新的環(huán)境下ISA的質(zhì)量。ISACA的信息系統(tǒng)審計(jì)準(zhǔn)則由ISA標(biāo)準(zhǔn)、指南和程序(Standards,Guidelines and Procedures構(gòu)成,此框架為CISA執(zhí)業(yè)提供了多層次的指引,ISACA信息系統(tǒng)審計(jì)體系如圖1所示。 第一層次:信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)。ISA標(biāo)準(zhǔn)是整個(gè)ISA準(zhǔn)則體系的總綱,是制定ISA指南和ISA程

5、序的基礎(chǔ)依據(jù)。它規(guī)定了審計(jì)章程及審計(jì)過(guò)程(從計(jì)劃、實(shí)施、報(bào)告到跟蹤必須達(dá)到的基本要求,是CISA 的資格條件、執(zhí)業(yè)行為的基本規(guī)范,表明了管理層和其他利益方對(duì)執(zhí)業(yè)者在專(zhuān)業(yè)工作上的期待。最新的ISA 標(biāo)準(zhǔn)分為11大類(lèi),共43條,分別于2005年1月、9月和11月起實(shí)施(表1。只要是CISA執(zhí)行審計(jì)業(yè)務(wù),出具審計(jì)報(bào)告,都必須遵守執(zhí)行,具有強(qiáng)制性。如果CISA未能遵守執(zhí)行,ISACA董事會(huì)和相應(yīng)委員會(huì)將會(huì)對(duì)其進(jìn)行調(diào)查并給予紀(jì)律處分。 第二層次:信息系統(tǒng)審計(jì)指南。ISA指南是依據(jù)ISA標(biāo)準(zhǔn)制定的,是ISA標(biāo)準(zhǔn)的具體化,為ISA準(zhǔn)則體系中11大類(lèi)標(biāo)準(zhǔn)的實(shí)施提供了指引,圖1中虛線(xiàn)箭頭反映了此關(guān)系。它詳細(xì)規(guī)定

6、了CISA實(shí)施審計(jì)業(yè)務(wù)、出具審計(jì)報(bào)告的具體指引,為CISA在執(zhí)行審計(jì)業(yè)務(wù)中如何遵守審計(jì)準(zhǔn)則提供指導(dǎo)。CISA在執(zhí)業(yè)過(guò)程中參考這些指南時(shí)要運(yùn)用職業(yè)判斷,對(duì)任何偏離ISA標(biāo)準(zhǔn)的行為一定要有充分的理由。到目前為止有效的ISA 指南共有35項(xiàng),如表2所示。 第三層次:信息系統(tǒng)審計(jì)程序。ISA程序是依據(jù)ISA標(biāo)準(zhǔn)和ISA指南制定的。它為CISA提供了一般審計(jì)業(yè)務(wù)(尤其是審計(jì)計(jì)劃和審計(jì)實(shí)施階段業(yè)務(wù)的程序和步驟,是遵守標(biāo)準(zhǔn)和指南的一些通常審計(jì)程序,它為CISA提供了很好的工作范例。但這僅是CISA的一個(gè)參照而已,它所提供的只是CISA在審計(jì)時(shí)能滿(mǎn)足審計(jì)準(zhǔn)則要求的通常做法,并不要求強(qiáng)制執(zhí)行。CISA在執(zhí)行具體

7、的審計(jì)業(yè)務(wù)時(shí),要根據(jù)特定的信息系統(tǒng)和特定的技術(shù)環(huán)境做出自己的職業(yè)判斷,選擇適當(dāng)?shù)膶徲?jì)程序。到目前為止有效的ISA程序共有9項(xiàng),如表3所示。如圖 1 所示，ISA 標(biāo)準(zhǔn)中的 11 大類(lèi)可以分為 4 個(gè)部分：審計(jì)章程或?qū)徲?jì)業(yè)務(wù)約定書(shū)；對(duì)審計(jì)師職業(yè)資 格的要求，包括獨(dú)立性、職業(yè)道德和職業(yè)能力的要求；從計(jì)劃、實(shí)施、報(bào)告到跟蹤這 4 個(gè)審計(jì)過(guò)程；其他， 包括不正當(dāng)及非法行為、信息系統(tǒng)管理、審計(jì)計(jì)劃中風(fēng)險(xiǎn)評(píng)估的利用。隨著信息系統(tǒng)的廣泛使用與網(wǎng)絡(luò)技 術(shù)的飛速發(fā)展，ISACA 不斷更新和推出符合信息環(huán)境的 ISA 指南，現(xiàn)已生效的就有 35 項(xiàng)，還有一批計(jì)劃 提出的和計(jì)劃準(zhǔn)備將來(lái)提出的指南在廣泛征求意見(jiàn)。作為 ISA 標(biāo)準(zhǔn)的詳細(xì)規(guī)定和具體說(shuō)明，ISA 指南的更 新賦予了 ISA 標(biāo)準(zhǔn)新的內(nèi)涵和外延，按生效排序的 ISA 指南與 ISA 標(biāo)準(zhǔn)之間的交叉關(guān)聯(lián)如表 4 所示。 ISACA 的信息系統(tǒng)審計(jì)準(zhǔn)則體系提供了一套規(guī)范化、專(zhuān)業(yè)化的管理框架，規(guī)定了 CISA 的能力考核、 ISA 機(jī)構(gòu)的資質(zhì)認(rèn)定，指明了審計(jì)方、開(kāi)發(fā)方、用戶(hù)方的關(guān)系及各方的定位、權(quán)利、義務(wù)和職責(zé)，提供了 覆蓋信息系統(tǒng)全生命周期、可供 CISA 參照的實(shí)施 ISA 的標(biāo)準(zhǔn)和依據(jù)等。CISA 按審計(jì)準(zhǔn)則開(kāi)展 ISA 業(yè)務(wù)， 對(duì)信息系統(tǒng)進(jìn)行檢查和評(píng)價(jià)，提出勸告與改進(jìn)意見(jiàn)，有效地控制與信息系統(tǒng)有關(guān)的風(fēng)險(xiǎn)，指導(dǎo)用戶(hù)最大限 度地利用信息技術(shù)帶來(lái)