《《CISA_IT审计实务培训1-理论专题》.ppt

金融企业IT审计实务培训 —— 1. 重要概念与理论专题 杨洋 （yycisa@263.net） 主讲人简介 杨洋 管理学博士（信息管理与信息安全方向，同济大学） 会计学学士、硕士（东北财经大学） 高级程序员（1998），CISA（2002）, SCJP，IBM电子商务咨询师，IBM WSAD Developer 目前为同济大学电信学院博士后，主要研究领域：基于移动计算的安全接入关键技术 一、 IT审计概述 1. IT审计的概念 2. IT审计的目标 3. IT审计的形式 4. IT审计的发展历史 1. IT审计概念 “收集并评估证据，以判断一个信息系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。（Ron Weber） IS audit 注重应用系统审计，开发流程，已建立系统的应用，基于应用系统。 IT audit 注重基础设施安全，一般控制审计，侧重安全，不针对单个系统。 2. IT审计的四个目标 Asset Security（资产安全性） Effectivity（系统有效性） Efficiency（系统效率性） Data Integrity（数据完整性） Compliance （合规性） 3. IT审计的实施方式 定期全面审计 对委托单位的全部信息系统的整体情况进行评价和建议，包括在建项目的执行情况、已运行系统的安全和有效性、其他与信息化相关的方面（计划、组织、流程、培训）等情况。 具体项目审计 针对具体某个信息化项目的建设进行全周期（从规划到验收）或指定阶段（如单独的后评估）的监理与建议。 专项审计 根据委托单位的特别要求针对信息化的某个层面进行专门的评价和建议，比如对委托单位的信息系统安全审计。 IT审计的组织模式 作为内部审计部门的组成 成立单独的IT审计或评价部门 委托外部审计机构 混合模式 外审与内审 外审视角（签证目标）： 资产安全性 数据完整性 合规性 内审视角（管理目标）还包括： 系统有效性 系统效率性 4. IT审计的发展历史 EDP审计阶段——为财务审计的数据获取提供帮助 1969年在洛杉矶成立了电子数据处理审计师协会（EDPAA） 内控系统审计阶段——为财务审计的符合性测试提供帮助 独立的信息系统审计——完全超出财务报表范围，直接为企业信息系统的各方面情况进行审计 1994年该协会更名为信息系统审计与控制协会即ISACA，总部设在美国芝加哥。目前该组织在世界上100多个国家设有160多个分会，现有会员两万多人，是从事信息系统审计的专业人员唯一的国际性组织，CISA也是这一领域的唯一职业资格。 二、 IT审计发展现状与趋势 1. 总体发展趋势 2. 金融企业IT审计发展趋势 1. 总体发展现状与趋势 国外各类企业IT审计 典型国家简介：美国、澳大利亚 SOX法案对企业实施IT审计的影响 特点与趋势： 仍以内审为主 从关注安全向关注业务目标过渡 一般控制审计与应用控制审计并行 1. 总体发展现状与趋势 国外政府机构IT审计 英国绩效审计中的IT审计 日本对国家投资项目的IT审计 美国联邦政府的IT审计 特点与趋势： 外部审计与政府内部审计结合 融入绩效预算管理体系 关注系统最终效果 1. 总体发展现状与趋势 国内IT审计发展现状 国内IT审计的起步 地区性分布：珠三角——长三角——北京 从业人员与机构 特点与趋势： 目前以SOX审计为主 外审需求较低，内审已经开始发展 自上而下推动，以合规审计为主 1. 总体发展现状与趋势 国内相关机构简介 审计署与信息产业部对IT审计的理解和推动 各类审计、咨询公司对IT审计的理解和推动 相关学术团体及成果 国内IT审计案例简介 某国有通信服务企业IT审计概述 2. 金融企业IT审计发展现状与趋势 金融企业IT审计的特点 需求更急切，开展更早 更为关注安全性 业务变更频繁，直接影响风险 联网率高，风险扩散迅速 数据量大，审计成本高 岗位复杂，分权失效风险大 … … 2. 金融企业IT审计发展现状与趋势 国外金融企业IT审计典型案例 案例1：银行IT审计架构 案例2：银行一般控制审计与发现 案例3：银行业务系统审计与发现 2. 金融企业IT审计发展现状与趋势 国内金融企业IT审计典型案例 案例1：基于COBIT的IT审计架构 案例2：再贴现业务系统审计与发现 案例3：个人消费信贷系统审计案例 2. 金融企业IT审计发展现状与趋势 趋势展望 越发强调事前参与和事中控制，建设多重IT控制框架 应用控制审计与财务审计紧密结合 持续在线审计技术将深入应用 三、 执业资格与认证 1. IT审计师的能力和胜任 2. 行业协会简介 3. CISA考试简介 1.