我国信息系统审计准则发展困境与对策,审计论文.docx

《我国信息系统审计准则发展困境与对策,审计论文.docx》由会员分享，可在线阅读，更多相关《我国信息系统审计准则发展困境与对策,审计论文.docx（9页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、我们国家信息系统审计准则发展困境与对策,审计论文 二 我们国家的信息系统审计准则无法知足广泛的社会需求 近年来，复杂的信息系统在我们国家得到广泛应用，如公安综合网络信息系统、集团信息管理系统等。由于遭到特定经济环境以及网状信息系统复杂性等多种不确定因素的影响，信息系统安全问题日趋严重，社会对信息系统审计准则的需求亦日益迫切。如，2006年10月10日中国民航信息网络股份有限公司离港系统主机发生故障，包括北京、上海、广州在内的诸多机场的离港系统整体性瘫痪；2018年9月17日，知名券商申银万国交易系统忽然瘫痪，其位于全国各地的一百余个营业部均遭到影响，近半个小时没有能进行证券交易；2018年2月

2、3日，民生银行因信息系统故障，全国范围所有业务无法办理；2018年10月25日，北京东城区39家社区卫生服务站出现信息系统故障，近一周的时间无法为患者提供正常门诊与取药服务。若要解决上述问题，则亟须一套成熟的信息系统审计准则对信息系统进行事前预警、事中控制与事后评价，显然，当前我们国家仅有的两项准则无法知足社会的需求。信息系统审计准则在我们国家的需求主要具体表现出在三个方面： 一是信息系统内部控制与审计的需求。对此，内审协会需要出台全面的准则与规范，为组织中内部审计人员评价信息系统的安全提供参考标准。二是公共机构中信息系统外部审计的需求。对此，审计署需要出台系列的信息系统审计准则，为审计人员提

3、供明确的审计流程与技术方式方法。三是公共机构之外的组织中信息系统外部审计的需求。对此，中注协需要出台规范的信息系统审计准则，为社会审计人员提供清楚明晰的参照标准与风险控制思路。 三 我们国家的信息系统审计准则多方制定主体间缺乏默契的协调机制 审计准则、内部审计准则、社会审计准则的出台机构分别为审计署、内审协会与中注协，它们应根据其本身服务范围制定相应的信息系统审计准则。然而，尽管三方均需制定各自的准则，但是由于在信息系统审计的目的、原则、方式方法与技术方面只是形式的不同，而内容并未有本质差异，因而，审计署、内审协会、中注协有必要就信息系统审计的原则与方式方法等同质的方面作出统一的规范，然后再根

4、据各自的特点进行修订。多年来，我们国家信息系统审计准则出台过于零散，其原因之一是审计署、内审协会、中注协各自缺少对外沟通机制，且相互之间缺乏协调机制。一项准则的出台，不仅仅需要制定主体之间互相协调，同时还需要集合制定主体之外的多方相关利益主体。信息系统审计准则所需集合的外部主体主要有信息系统审计师、信息系统管理工程师、信息安全工程师、信息系统项目管理师、学术界以及其他利益相关者。由于信息系统审计准则制定者的理性并非无限的，因此，将各利益主体有机协调于一体，将会尽可能地集合审计学学科、计算机科学学科以及信息安全学学科中理论界与实务界更多人的知识与经历体验，进而全面提高信息系统审计准则的质量。在我

5、们国家，尽管信息系统审计并非强迫性审计，且消耗损费人力、财力集合各方主体完善相关准则从当前来看并不会产生更多的社会效益，但是从长远来看，缺少必要的多方互动机制并非明智之举，准则制定者应在引入多方主体的基础上采取听证会等方式，多听反对意见，广纳民意，集中民智。 四、信息系统审计准则体系的构建策略探析 构建并完善信息系统审计准则体系是一项系统工程，它不是简单工作的叠加，而是详细工作的有机整合。我们国家的信息系统审计准则建设刚刚起步，准则制定主体将面临全新的挑战。在这里，笔者希望准则制定主体在信息系统审计准则制定上，尽可能坚持下面三个方向。 一 合理借鉴国外成熟的信息系统审计准则体系 国外信息系统审

6、计准则体系相对成熟，我们国家的准则制定机构能够直接引入国外先进的信息系统审计准则研究成果及实践经历体验，这样不仅能够避免开展重复性工作，而且能快速站于更高层次的起点。当然， 借鉴 并不意味着 照搬 ,准则制定机构在 借鉴 中应关注国际趋同、中华特点和自主创新三点。 1.国际趋同。当下，全球经济一体化趋势要求审计准则也趋向一体化。2018年11月10日，国际审计准则制定机构在与中国审计准则委员会的联合声明中高度评价中国审计准则的国际趋同成果。审计作为一门学科不分国界，大量 吸收 国外成熟的信息系统审计标准，走 国际趋同 道路，将是我们国家发展审计准则的大势所趋。信息系统审计准则的国际趋同是矛盾的

7、统一体，我们国家的准则制定机构需要实现 推动趋同的积极因素 与 阻碍趋同的消极因素 二者作用的平衡。 2.中华特点。由于各个国家的国情不尽一样，因除此之外国成熟的理念不尽适于中国。我们国家与国外审计文化的差异主要具体表现出于三个层次： 其一是物质文化差异，包括审计环境、审计条件等； 其二是制度文化差异，包括审计规范、审计机构组织方式等； 其三是精神文化差异，包括价值取向、行为方式等10.例如，国际审计准则由四部分组成，全部详细准则共计191项条款，然而我们国家审计准则共分为六个部分，全部准则共计47项条款2.造成国内外差异的原因有众多方面，华而不实一个是我们国家审计无论是实践经历还是理论研究都

8、起步较晚。正因如此，我们国家审计准则的制定与出台均是以实践经历为基础的，是紧紧围绕实践环节作出的程序性规定，在形式上和内容上拘泥于条条框框，难以到达 适度拓展性 与 适时适应性 等理论高度11.有鉴于此，我们国家的准则制定机构在 借鉴 中，需要充分认识国内外审计文化的差异，明确我们国家审计文化的特色，努力设计出适用于我们国家的高效的信息系统审计准则体系。 3.自主创新。我们国家对信息系统审计准则的制定不仅要做到中华特点，还要做到与时俱进并具有前瞻性。为知足上述要求，准则制定机构在借鉴国外的基础上，需要做到基于本身的不断创新。如ISACA采用的是会计师事务所的框架，美国审计署采用的是内部控制理论

9、，二者构建的信息系统审计准则体系都主要以内部控制为基础8,然而当下我们国家大部分被审单位的内控体系尚在建设之中。再如，国外有诸多有关信息化的法规为ISACA等体系做支撑，而我们国家尚缺11.类似问题的解决都有赖于我们国家信息系统审计准则制定机构的持续创新。为了实现 持续创新 ,我们国家有必要为信息系统审计准则的制定与组织设立专门的机构，加大人力、物力、财力的投入，加强准则制定的必要的动力机制，强化准则制定主体，最大限度地发挥相关机构的创新潜力。 二 全面设计信息系统审计准则的完善方案 信息系统审计准则的制定必须科学规划，建立切合实际的信息系统审计准则制订方案并非无法完成。笔者以为，全面的信息系

10、统审计准则完善方案至少包括四项内容： 一是确立准则制定相关主体的多方合作机制。信息系统审计准则制定主体的知识具有有限性，因而制定主体不可能制定出适用于任何情况的最优规范，故准则制定机构需要扩大准则制定主体的代表性，将信息系统审计师、信息安全工程师、软件工程师、资深学者等多方主体纳入准则制定团队，这样一方面能够群策群力，提升准则质量，另一方面能够向利益相关者增设利益诉求的通道，促进其对准则的遵从。二是融合信息技术与安全方面的法规及标准。信息系统审计牵涉信息管理等多门学科，仅以传统审计理论演绎信息系统审计理论还远远不够，因而，我们国家在制定信息系统审计准则经过中，还需要融合信息技术与安全方面的法规

11、与标准，如(中国计算机信息系统安全保卫条例、(信息系统通用安全技术要求、(网络基础安全技术要求、(操作系统安全技术要求等都将会对准则制定大有帮助。三是加强与信息系统审计有关的法规与准则确实立。信息系统服务于信息经济，制定信息系统审计准则就应以有关信息经济的法律规范为基础。当下，我们国家有关电子商务、电子政务的法律体系尚未完全建立，由此导致网上交易的安全问题、电子证据的篡改问题等在法律上难以认定，这些都将促使审计人员在信息系统业务运营的合法性审计工作中无法可循。四是做好与信息系统审计准则建设相配套的其他工作。ISACA机构的工作重点包括ISACA准则建设等七项内容，且这些内容互相支撑。我们国家在

12、制定信息系统审计准则的动态经过中，也有必要做好与其相配套的其他工作，以便为准则的制定打下良好的基础。信息系统审计准则制定的配套工作应该包括建立信息系统审计协会并明确会员的权利与义务，大力开展信息系统审计教育与培训等，只要如此，高水平的准则介队才能涌现，准则的制定质量与执行效果也才会大幅攀升。 三 科学建立信息系统审计准则的内容框架 信息系统审计准则取材于审计主体、审计经过、审计方式方法以及审计风险管理，反过来又对它们加以规范。结合ISACA准则，审计署、内审协会、中注协在确定信息系统审计准则体系框架时，有必要将该体系划分为三个层次 见图1 : 一是信息系统审计基本准则层次。信息系统审计基本准则

13、是信息系 统 审 计 准 则 的 总纲，是审计机构与审计人员进行信息系统审计时应遵循的基本规范，是制定信息系统审计详细准则与信息系统审计指南的根据。信息系统审计基本准则的主要内容应该包括总则、一般准则、作业准则、报告准则、不正当及非法行为、信息系统管理与附则等方面。二是信息系统审计详细准则层次。信息系统审计详细准则是审计机构和人员在进行信息系统审计时评价审计事项与作出审计决定应当遵循的详细规范。信息系统审计详细准则的主要内容应该包括职业道德准则、审计证据准则、审计工作底稿准则、审计报告准则、审计抽样准则、内部控制评价准则、审计结果沟通准则等多个方面。当然，在上述详细准则中需要融入有关信息系统技

14、术与安全的多方面的专业知识，应该列示信息系统风险评估，入侵检测，防火墙、病毒及其他恶意代码、加密技术的管理控制评价等多项审计流程。三是信息系统审计指南层次。信息系统审计指南是为审计机构与审计人员进行信息系统审计提供的具有可操作性的指导意见。由于当下网络经济的迅速发展与日趋复杂，我们国家出台的信息系统审计指南要尽可能全面细致，将来出台的信息系统审计操作指导性建议至少应该包括应用系统评审、访问控制、系统开发与维护、实物与环境安全、不正当及非法行为、B2B与B2C的电子商务审核、移动计算、系统开发生命周期审核以及虚拟专用网络等各个方面。科学的准则框架能够为信息系统审计准则的需求方 开发主体、用户主体、审计主体 提供规范化、专业化的管理框架，并能够明确它们的定位、权利与职责，笔者等待大家的共同努力。