ＩＳＡＣＡ信息系統(tǒng)審計準(zhǔn)則體系淺析

［摘 要］ 鑒于ISACA頒布的信息系統(tǒng)審計準(zhǔn)則的權(quán)威性和代表性，本文指出ISA準(zhǔn)則體系中標(biāo)準(zhǔn)、指南和程序3個層次的結(jié)構(gòu)關(guān)系及標(biāo)準(zhǔn)與指南之間的交叉關(guān)聯(lián)，并總結(jié)出最新的、有效的ISA相關(guān)準(zhǔn)則，以便更深刻地認(rèn)識ISA準(zhǔn)則。

［關(guān)鍵詞］ ISACA；ISA準(zhǔn)則；標(biāo)準(zhǔn)；指南；程序

［中圖分類號］F239．１［文獻(xiàn)標(biāo)識碼］A［文章編號］1673-0194（2007）03-0069-03

國際上信息系統(tǒng)審計（ISA）的概念起始于20世紀(jì)60年代，紙質(zhì)會計憑證的電子化使得審計人員在開展傳統(tǒng)審計業(yè)務(wù)的過程中不得不關(guān)注電子數(shù)據(jù)的取得、分析、計算等數(shù)據(jù)處理業(yè)務(wù)。那時人們開始稱這種審計為計算機(jī)審計（Computer Audit）或電子數(shù)據(jù)處理審計（EDP審計）。20世紀(jì)90年代以來，信息系統(tǒng)日趨復(fù)雜，網(wǎng)絡(luò)技術(shù)得到廣泛應(yīng)用，如何確保網(wǎng)絡(luò)平臺上的信息系統(tǒng)的安全、可靠和有效變得越來越重要，在發(fā)達(dá)國家ISA逐漸普及起來，人們對ISA準(zhǔn)則的作用更加重視。

在制定ISA準(zhǔn)則，開展ISA研究方面，美國走在了前面。早在計算機(jī)進(jìn)入實用階段時，美國就開始提出系統(tǒng)審計（System Audit）。1969年在洛杉磯成立了電子數(shù)據(jù)處理審計師協(xié)會（EDPAA），1994年該協(xié)會更名為信息系統(tǒng)審計與控制協(xié)會（Information System Audit and Control Association，ISACA），總部設(shè)在美國芝加哥，目前已經(jīng)在世界上140多個國家設(shè)立了200多個分會，現(xiàn)有會員5萬多人。ISACA是從事信息系統(tǒng)審計的專業(yè)人員唯一的國際性組織，它通過制定和頒布ISA標(biāo)準(zhǔn)、實務(wù)指南等專業(yè)準(zhǔn)則來規(guī)范和指導(dǎo)CISA的工作；它還設(shè)立了信息系統(tǒng)審計與控制基金會，從事相關(guān)領(lǐng)域的研究工作，以使該組織的成員能夠分享其最新研究成果；通過在世界各地舉辦各種形式的研討會、培訓(xùn)班等活動，增進(jìn)國際間同業(yè)人員的交流。ISACA還在許多國家舉行一年一度的注冊信息系統(tǒng)審計師（Certified Information System Auditor，CISA）考試，考試合格并獲得執(zhí)業(yè)資格者可在全球范圍內(nèi)開展ISA工作。

信息系統(tǒng)審計準(zhǔn)則是由ISACA協(xié)會下的準(zhǔn)則部（Standard Board）制定的，準(zhǔn)則部成員每年通過選舉產(chǎn)生，任期一年，負(fù)責(zé)制定相關(guān)的標(biāo)準(zhǔn)、程序等。在準(zhǔn)則發(fā)布之前一般先予以公開，廣泛征求意見，修改之后再發(fā)布生效。ISA準(zhǔn)則隨著環(huán)境的改變而不斷推出新的內(nèi)容，以適應(yīng)各個時期社會的要求和有關(guān)團(tuán)體的要求，保證在新的環(huán)境下ISA的質(zhì)量。

ISACA的信息系統(tǒng)審計準(zhǔn)則由ISA標(biāo)準(zhǔn)、指南和程序（Standards，Guidelines and Procedures）構(gòu)成，此框架為CISA執(zhí)業(yè)提供了多層次的指引，ISACA信息系統(tǒng)審計體系如圖1所示。

第一層次：信息系統(tǒng)審計標(biāo)準(zhǔn)。ISA標(biāo)準(zhǔn)是整個ISA準(zhǔn)則體系的總綱，是制定ISA指南和ISA程序的基礎(chǔ)依據(jù)。它規(guī)定了審計章程及審計過程（從計劃、實施、報告到跟蹤）必須達(dá)到的基本要求，是CISA的資格條件、執(zhí)業(yè)行為的基本規(guī)范，表明了管理層和其他利益方對執(zhí)業(yè)者在專業(yè)工作上的期待。最新的ISA標(biāo)準(zhǔn)分為11大類，共43條，分別于2005年1月、9月和11月起實施（表1）。只要是CISA執(zhí)行審計業(yè)務(wù)，出具審計報告，都必須遵守執(zhí)行，具有強(qiáng)制性。如果CISA未能遵守執(zhí)行，ISACA董事會和相應(yīng)委員會將會對其進(jìn)行調(diào)查并給予紀(jì)律處分。

第二層次：信息系統(tǒng)審計指南。ISA指南是依據(jù)ISA標(biāo)準(zhǔn)制定的，是ISA標(biāo)準(zhǔn)的具體化，為ISA準(zhǔn)則體系中11大類標(biāo)準(zhǔn)的實施提供了指引，圖1中虛線箭頭反映了此關(guān)系。它詳細(xì)規(guī)定了CISA實施審計業(yè)務(wù)、出具審計報告的具體指引，為CISA在執(zhí)行審計業(yè)務(wù)中如何遵守審計準(zhǔn)則提供指導(dǎo)。CISA在執(zhí)業(yè)過程中參考這些指南時要運用職業(yè)判斷，對任何偏離ISA標(biāo)準(zhǔn)的行為一定要有充分的理由。到目前為止有效的ISA指南共有35項，如表2所示。

第三層次：信息系統(tǒng)審計程序。ISA程序是依據(jù)ISA標(biāo)準(zhǔn)和ISA指南制定的。它為CISA提供了一般審計業(yè)務(wù)（尤其是審計計劃和審計實施階段業(yè)務(wù)）的程序和步驟，是遵守標(biāo)準(zhǔn)和指南的一些通常審計程序，它為CISA提供了很好的工作范例。但這僅是CISA的一個參照而已，它所提供的只是CISA在審計時能滿足審計準(zhǔn)則要求的通常做法，并不要求強(qiáng)制執(zhí)行。CISA在執(zhí)行具體的審計業(yè)務(wù)時，要根據(jù)特定的信息系統(tǒng)和特定的技術(shù)環(huán)境做出自己的職業(yè)判斷，選擇適當(dāng)?shù)膶徲嫵绦颉５侥壳盀橹褂行У腎SA程序共有9項，如表3所示。

如圖1所示，ISA標(biāo)準(zhǔn)中的11大類可以分為4個部分：審計章程或?qū)徲嫎I(yè)務(wù)約定書；對審計師職業(yè)資格的要求，包括獨立性、職業(yè)道德和職業(yè)能力的要求；從計劃、實施、報告到跟蹤這4個審計過程；其他，包括不正當(dāng)及非法行為、信息系統(tǒng)管理、審計計劃中風(fēng)險評估的利用。隨著信息系統(tǒng)的廣泛使用與網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，ISACA不斷更新和推出符合信息環(huán)境的ISA指南，現(xiàn)已生效的就有35項，還有一批計劃提出的和計劃準(zhǔn)備將來提出的指南在廣泛征求意見。作為ISA標(biāo)準(zhǔn)的詳細(xì)規(guī)定和具體說明，ISA指南的更新賦予了ISA標(biāo)準(zhǔn)新的內(nèi)涵和外延，按生效排序的ISA指南與ISA標(biāo)準(zhǔn)之間的交叉關(guān)聯(lián)如表4所示。

ISACA的信息系統(tǒng)審計準(zhǔn)則體系提供了一套規(guī)范化、專業(yè)化的管理框架，規(guī)定了CISA的能力考核、ISA機(jī)構(gòu)的資質(zhì)認(rèn)定，指明了審計方、開發(fā)方、用戶方的關(guān)系及各方的定位、權(quán)利、義務(wù)和職責(zé)，提供了覆蓋信息系統(tǒng)全生命周期、可供CISA參照的實施ISA的標(biāo)準(zhǔn)和依據(jù)等。CISA按審計準(zhǔn)則開展ISA業(yè)務(wù)，對信息系統(tǒng)進(jìn)行檢查和評價，提出勸告與改進(jìn)意見，有效地控制與信息系統(tǒng)有關(guān)的風(fēng)險，指導(dǎo)用戶最大限度地利用信息技術(shù)帶來的好處。

主要參考文獻(xiàn)

［1］ Information Systems Audit and Control Association. IS Auditing Standards， Guidelines and Procedures. 2006.