信息系统审计方法浅谈
随着当前信息技术的发展，地方各级资金管理部门投入大量资金，开发了各种各样的信息系统软件，用于管理资金或实行会计电算化，信息系统的建设的合法性、软件开发的规范性、系统运行的安全性以及程序设置合规性等问题，成为审计关注的重点，开展信息系统审计成为审计机关避免“假账真审”、降低审计风险题中应有之义。
信息系统审计主要目标是确认信息系统的合法性、可靠性、机密性、有效性和安全性等，通过审查信息系统的运行状况，发现信息系统在使用和管理过程中存在的问题，确定是否存在漏洞和缺陷，有无非法和错误的处理和控制的薄弱环节，客观评价系统的现状，促进被审计调查单位进一步加强信息系统管理，完善信息系统功能，保证资金的安全与完整，防范利用计算机系统进行欺诈与舞弊，并提出具有建设性的建议。
信息系统审计重点内容主要有以下三个方面：
一、信息系统运行方面，主要包括：
1、系统安全性，审查信息系统的物理安全性，是否可以有效防止被非法使用，相关安全制度是否齐全，机房进出是否执行登记制度等；中心机房是否建设为标准机房，电源是否为单独供电或双路供电并配备UPS电源，服务器是否配置机柜；机房内是否摆放纸箱等可燃物品，墙体地板、天花等是否按防火标准建设或改造，是否配备防雷设施，地板是否经过防火、防静电处理，配备防静电设施；是否建有磁带库、虚拟带库等系统以备份系统数据，是否建有冗灾备份系统，以确保数据信息安全。
2、系统可靠性，审查硬件、软件是否有效能够保证业务的正常运行，操作系统和数据库是否为正版软件并及时更新，数据库是否能够满足运行需要，系统是否存在漏洞，是否易受病毒、木马、黑客等攻击，导致数据丢失、篡改等；杀毒软件病毒库及防火墙是否及时更新。
3、系统机密性，审查数据访问权限的保密性，是否存在数据被非法用户访问，不相容的权限是否设置单选或者禁用，是否存在同时操作前台和后台，既能办理业务，又能审核业务等，隐私数据的保密是否有力；操作系统及数据库是否加密存储用户口令，系统日志是否保留用户登录、操作系统模块和业务模块的相关信息；是否存在大量共享文件夹及文件，导致系统安全风险。
4、系统合法性，审查信息系统的开发、管理、运营是否符合法律、法规、规章的规定。重要信息是否为必填项或符合规范录入要求。
5、系统效益性，查信息化建设是否坚持成本节约原则，资源的利用是否坚持效率性原则，信息系统是否达到信息化建设目标。
二、信息系统管理方面，主要包括：
1、内部控制制度，主要审查信息系统是否建立相关内部控制及实际执行，关注各个控制
措施之间的相关性，业务运行结果是否与财务数据一致，某一控制是否存在补偿性或是重叠性的控制。
2、保障措施，主要审查各个环节、各个业务部门之间的联接、系统运营后勤保障、售后服务合同签订及后期实施情况等，查看是否存在薄弱环节，是否能有效保障系统的正常安全运行。
三、政策执行方面，主要包括：
1、政策执行，主要地方政策是否符合中央或省级政策的有关条目及法律法规的规定。
2、业务流程，主要审查信息系统是否严格按照流程进行运营，是否存在漏洞等。 信息系统审计主要采取的方法：
1、座谈及现场察看，采取与信息化部门、用户及相关人员进行座谈，查阅与信息系统相关的文档、程序等，实地查看机房、业务终端、器材等。
2、计算机辅助审计，利用AO软件的查询、计算、分类、抽样选择、排序、数据文件联结、比较、合并等功能进行审查。
3、测试数据，通过测试数据样本，评价信息系统是否能够正确处理所有业务数据，是否能够对处理过程实施一定控制。
4、应用程序检查，检查系统软件开发过程中是否设置相应控制措施。
5、聘请计算机专家，为审计师提供指导及其他有价值的信息。
6、整体测试，在软件系统内置入虚构实体，并以测试资料或正式资料，针对该实体进行处理，以验证其正确性。
