建设外贸网站费用,机关网站建设方案,番禺南浦岛,做得好的网站传统的审计三方关系理论指明#xff0c;审计作为独立于会计记录之外的一项重要职能#xff0c;是公司财务信息公允可靠的有力保障#xff0c;制约着会计行为#xff0c;制衡了会计权力。 1. IS审计和保障标准、指南、工具 职业道德规范 信息技术保证框架#xff08;ITAF审计作为独立于会计记录之外的一项重要职能是公司财务信息公允可靠的有力保障制约着会计行为制衡了会计权力。 1. IS审计和保障标准、指南、工具 职业道德规范 信息技术保证框架ITAFInformation Technology Assurance Framework
a.审计准则强制性要求
● 一般准则基本的审计指导原理
● 执行准则涉及任务的执行和管理
● 报告准则落实报告类型、沟通方式和沟通信息
b.审计指南侧重于审计方法、理论
c.工具和技术也叫程序提供各种方法、工具和模版 三者之间的关系IS 审计师必须遵守审计准则审计指南帮助应用审计准则审计工具和技术提供了具体的流程和步骤范例 2.风险评估概念、工具及技术 风险的定义
“风险是特定的威胁利用资产的脆弱性从而对组织造成损害的可能性。”ISO/IEC PDTR13335-1
风险评估的五步过程
(1) 识别业务目标BOBusiness Object
(2) 识别信息资产IAInformation Asset
(3) 进行风险评估RARisk Assessment威胁→脆弱性→可能性→影响 (4) 进行风险减缓RMRisk Mitigation落实相关控制
(5) 进行风险处置RTRisk Treatment
基于风险的5步审计
(1) 搜集信息和计划
(2) 理解内部控制
(3) 执行符合性测试
(4) 执行实质性测试
(5) 完成审计和报告 审计风险
审计过程中未发现信息可能存在的重大错误的风险。 固有风险Inherent Risk业务自身风险不采取控制时的风险 控制风险Control Risk采取控制后仍具有的风险 检查风险Detection Risk得出错误检查结论的风险 整体审计风险Overall Audit Risk对每一个控制目标评估出的各类审计风险的综合 审计重大性Materiality
在问题程度上可被组织视为严重的错误。 抽样不能检查出样本总体的所有错误但可以将检查风险降低到可接受水平。小错误可能不严重但当他们组合到一起时可能使这些错误的性质变为重大。重大性需要 IS 审计师合理判断确定重大性是比较困难的。 风险的处置4种方法应首先确定风险的可接受标准
降低风险Mitigate采取适当的控制来降低风险 接受风险Accept在符合组织的风险接受标准下接受风险 避免风险Avoid停止产生风险的业务活动从而避免风险的产生 转移风险Transfer向其他组织转移风险 风险评估3种技术
评分机制 主观判断 二者结合
3.信息系统相关控制目标和控制措施内部控制的两个关键内容要达到什么、要避免什么。控制的3个分类预防性、检测性、纠正性COBIT5的5条关键原则 1.满足利益相关者需求 2.端到端覆盖企业 3.采用单一集成框架 4.启用一种整体的方法 5.区分管理和治理董事会负责治理管理层负责管理4. 审计规划以及审计项目管理技术4类审计计划 年度计划 短期计划年度内需实施的审计事项 长期计划考虑组织调整 IT 战略方针对 IT 环境造成的影响所带来的风险问题 单项审计任务审计流程与8个步骤 (1) 审计对象确定审计领域 (2) 审计目标明确审计目标 (3) 审计范围确定要检查的具体系统、职能或单元 (4) 初步审计计划确定所需技能与资源确定测试检查的信息来源确定审计地点和设施 (5) 审计程序和步骤选择测试的方法确定访谈对象搜集政策和标准开发审计工具 (6) 评价测试和检查结果 (7) 与管理人员沟通结果 (8) 审计报告5.抽样方法符合性测试与实质性测试 符合性测试测试组织对控制程序的符合性验证控制的执行是否符合管理政策和规程。测试包括用户访问权限、程序变更控制流程、文件流程、编程文档、例外跟踪、日志检查、软件许可审计等。 实质性测试评价交易、数据或其它信息的完整性验证财务报表数据及相关交易的有 效性和完整性。测试包括基于对账户或交易的抽样来证实复杂计算的结果等。 二者关系如果符合性测试表明存在充分的内部控制则可减少实质性测试反之如果符 合性测试表明内部控制存在缺陷就要执行较多的实质性测试。抽样根据样本的特征推断总体特征用于时间及成本都不允许对总体中所有交易和事件进行全面审计时。审计抽样的两种一般方法 统计抽样允许通过置信系数量化抽样风险即由样本得出错误结论的风险 非统计抽样判断抽样抽样的分类 属性抽样用于符合性测试结论用比率表示发生率 属性抽样Attribute Sampling估计总体中某种特性的发生比率有多少 停走抽样Stop-or-Go Sampling先部分抽样如果结果可接受则停止抽样否则扩大抽样。用于相信总体中只存在少量错误的情况防止过度抽样。 发现抽样Discovery Sampling预期明确错误发生率低的时候用于发现舞弊、违反法规或其它非法行为的情况。 变量抽样用于实质性测试结论是与正常值的偏差范围 分层单位平均估计抽样Stratified MeanPer Unit先对总体分层再从不同层抽取样本样本量较小。 不分层单位平均估计抽样Unstratified MeanPer Unit用样本均值估计总体。 差额估计Difference Estimation根据样本差额来估计总体差额。抽样术语 置信系数Confidence Coefficient样本特征能代表总体特征的概率置信系数越高样本量越大。 风险水平Level of Risk1-置信系数 精度Precision样本和总体之间的可接受误差范围。精度值越大样本量越小总体误差就越大精度值越小样本量越大总体误差就越小。 预期差错率Expected Error Rate预计可能存在的误差率预期差错率越高样本量越大。只能用于属性抽样不能用于变量抽样。 样本均值Sample Mean所有样本的平均值。 样本标准差Sample Standard Deviation样本值对于均值的变化衡量样本值的离散程度。 可容忍差错率Tolerable Error Rate可以存在的最大误报或差错值。 总体标准差Population StandardDeviation标准差越大样本量越大。用于变量抽样不能用于属性抽样。6.收集证据技术证据的两个特性适当性质量、充分性数量证据收集技术检查组织架构、IS 政策和规程、IS 标准、IS 文档访谈观察穿行测试走查计算机辅助审计技术CAAT通用审计软件GASGeneral AuditSoftware数学计算、统计分析、顺序检查、重复性检查和复算主要用于进行实质性测试。调试和扫描软件测试数据评价程序软件中是否存在逻辑错误用于检查数据的完整性。应用软件跟踪映像审计专家系统用于知识库查询提供指导信息持续审计采用自动化报告流程来测评控制的效果和效率及时发现风险或控制缺陷。应独立于持续控制或监控活动。7.报告和沟通技术在审计结束时进行的退场会议中应该 ● 确保审计报告中反映的情况是真实的 ● 确保建议的可行性并且是符合成本效益的 ● 确定协商好的实施日期审计报告 应当由 IS 审计师来最终决定审计报告中包括或者不包括哪些内容。 内部 IS 审计师应该有一个追踪程序来确认既定的整改措施是否已经落实。8.审计质量保障体系和框架 使用其他审计师和专家服务 当把 IS 审计服务整体或部分外包给其他审计或外部服务提供商时应监督外包服务的关系 以确保任务执行期间的客观性和独立性。控制自评估CSAControl Self Assessment用来对关键业务目标、实现目标所面临的风险及管理业务风险的内部控制进行检查的一系列正式的、书面化的程序。形式包括调查问卷、专题研讨会等等。CSA 的目标通过把一些控制监督职责分散到职能部门来充分发挥内部审计职能的作用不是替代审计的职责是一种加强。CSA的优缺点
