淺議新時代基層審計機關如何加強信息系統審計

王 紅

（重慶市永川區審計局，重慶 402160）

0 引言

黨的十八大以來，以習近平同志為核心的黨中央從發展中國特色社會主義，實現中華民族偉大復興中國夢的戰略高度，全面部署和推進網絡安全和信息化工作。總書記指出抓住信息化發展歷史機遇，自主創新推進網絡強國建設。信息系統審計作為信息化環境下的一種嶄新審計模式，在信息化大力發展的今天，順應新時代要求，必將成為國家審計的重要組成部分。本文結合當前形勢及工作實踐，對基層審計機關加強信息系統審計提出以下幾點思考和建議。

1 積極推進基層審計機關信息系統審計工作的必要性

1.1 信息系統審計是智慧城市建設的基本保障

智慧城市是以物理設備、電腦網絡、人腦智慧為基本框架，智能政府、智能經濟、智能社會為基本內容的經濟結構、增長方式和城市形態，其由智能城市管理系統輔助管理城市。從信息化到智能化，再到智慧化，是建設智慧城市的必由之路，不斷擴大的信息系統是其核心載體。如果進一步全面開展智慧城市建設，政府部門的信息化水平將飛速提升，信息系統建設數量也必將呈現新高。一旦缺乏信息系統審計監督，信息系統的安全性、可靠性和效益性無法充分得到保障，即信息系統審計的開展將推動政府部門信息化建設，是城市治理現代化向智慧城市發展的基本保障。

1.2 信息系統審計是大數據審計質量的根本保障

信息系統審計是一個通過收集和評價審計證據，獨立于信息系統本身，并對信息系統保護資產的安全，維護數據的完整，使被審計單位的目標得以有效實現，組織的資源得到高效使用等方面做出判斷的過程。習近平總書記在中央審計委員會第一次會議上強調，要堅持科技強審，加強審計信息化建設，實現審計全覆蓋。要加強審計大數據建設，開展聯網監督，充分利用大數據查找問題、宏觀分析。審計人員開展大數據審計的業務數據和財務數據等基本資料均來源于被審計單位提供的信息系統備份數據。因此，數據的真實性和完整性直接影響到審計結果，也影響到一個審計項目的最終審計質量。

1.3 信息系統審計是防范數據網絡安全風險重要手段

隨著云平臺和數據中心的興起，數據的物理邊界越來越模糊，數據的高度集中讓數據安全防護壓力越來越大。網絡安全領域顯示出新轉變。一是信息安全向業務安全轉變。現在不光要關注信息安全，更要關注保障信息基礎設施和眾多物聯網設備的運行安全。二是個人安全向機構安全轉變。政府和企業的信息安全是要解決的重中之重。三是安全防護從外向內進化。網絡安全已由外網防護向內網轉移，網絡攻擊的目標更多是內網。近年來，基層政府內網被植入“后門”，個人信息集中泄露，網絡攻擊、網絡竊密頻頻出現。因此，加強信息系統審計，執行信息系統風險評估就顯得極其重要。

2 當前基層審計機關信息系統審計存在的問題

2.1 審計內容組織方式單一

目前開展的信息系統審計主要針對應用系統的開發、獲得、實施與維護方面所采用的方法和流程進行了評價，評判是否滿足了被審計單位的業務目標。對評價信息系統的管理計劃與組織的策略政策標準程序、信息系統技術基礎設施與操作實務、基礎設施的安全性、災難恢復與業務持續計劃、業務流程評價與風險管理等其他五個方面未進行有效評估。目前信息系統審計主要采取專項調查等方式，未與其他審計類型有效結合。

2.2 審計主體缺乏復合型人才

一是基層審計機關的專業水平和信息系統審計要求差距較大。信息系統審計執行主體除了需要掌握計算機硬件和軟件技術知識外，還需要對其控制措施和實際的內部控制措施相結合，同時還要熟悉審計業務本身。但是目前基層審計機關同時具備會計、審計、管理和計算機等方面專業知識的人才較為缺乏，對信息系統審計工作有心無力，專業敏感性差，經驗缺乏。二是基層審計機關信息系統審計理念與時代要求差距較大。部分老審計人員思維固化，沒有融入信息化高速發展的大潮中，具體審計工作局限于“一畝三分地”，缺乏學習的動力。

2.3 審計風險相對較大。

在信息系統的應用過程中，信息系統在被審計單位管理活動中已經是必不可少的工具，如果系統停止工作，就會影響被審計單位的管理活動，甚至帶來損失。因此在進行信息系統審計時，尤其是在系統取證過程中，存在被審計單位事后不承認的風險。信息系統審計的測試必須要在被審計單位信息系統上直接執行，一旦測試時間不當或測試設計不完善都可能影響到信息系統的正常運行。

3 新時代基層審計機關加強信息系統審計的幾點建議

3.1 強化審計項目計劃，突出審計重點

一是加強年度計劃的制定。審計信息系統的應用環境存在較多不確定因素，要在制定審計項目計劃時考慮到。同時，充分考慮審計技術力量，避免出現審計資源浪費等情況。充分了解本地信息系統分布實施情況，結合當地中心工作，做好年度計劃，包括短期計劃和長期計劃，確保審計結果能有效發揮作用。二是強化審計調查，確定好審計目標和重點。根據年度計劃，確定被審計領域，明確審計目標。全面熟悉相關法規及執行標準，了解信息系統網絡基礎設施、當前計算機犯罪與攻擊方法，熟悉被審計單位信息系統的邏輯訪問控制等，確定要檢查的具體系統、職能或單元，以確定審計重點。三是學習相關標準、準則，找準適宜的工具和技術。審計人員在信息系統審計項目計劃制定時，就應熟悉該準則，確保在項目實施中，能有章可依、有據可循。目前，中內協發布了《第3205 號內部審計實務指南——信息系統審計》，自2021 年3 月1 日施行，其中包括概述、組織層面信息管理控制審計、信息系統一般控制審計、信息系統應用控制審計、信息系統專項審計、信息系統審計質量控制及信息系統審計文檔和示例。

3.2 改進組織方式，實現提質增效

一是信息系統的購置、開發與實施的審計采用“預決算＋信息系統審計”“經責＋信息系統審計”“投資＋信息系統審計資”等融合式、嵌入式審計組織方式。每個項目將信息系統的購置、開發與實施納入重點審計內容版塊，作為常規審計內容與其他審計類型相結合，既充分調動審計力量，節約審計資源，又確保每個信息系統都能納入審計監督。二是對行業主管部門或信息系統較多、安全指數較高的重要部門，進行信息系統專項審計調查。根據信息系統審計內容的6 個方面，結合被審計單位的業務特點及安全防范要求，重點評估被審計單位信息系統資產的安全性、信息系統的效率效益性。三是對重大信息系統獲取、開發實施的審計，采取跟蹤審計方式。信息系統審計可以參照工程審計組織方式，從項目可行性分析、功能性要求、設計到測試，審計都參與其中。從最初設計方案開發，到模塊和組件的確定等，還要詳細考慮面臨的密碼控制不足、應用程序總體安全等風險。在開發應用中，審計應跟蹤評估該系統是否滿足被審計單位需求，是否符合預期的成本效益，能否實現建設目標，系統的安全性和穩定性是否達標，系統的可擴展性和互操作性是否科學等。最后，審計還要跟蹤其審計問題整改是否及時、是否合理、是否存在缺失浪費的現象。

3.3 加大人才培養，組建高素質復合型審計隊伍

一是強化教育培訓，多措并舉，提升干部綜合能力。分基礎班、提升班，積極開展網絡安全、計算機基礎知識、信息系統審計等講壇，結合審計案例，把理論講透、措施講細，便于基層審計干部對標落實。其次，鼓勵年輕審計人員參加國際注冊信息系統審計師考試，掌握相應的技術能力。同時信息系統審計師必須接受有關新審計技術和技術領域的定向培訓，積極提升自我能力和技術。二是加強實戰交流，強化上掛下派的良性流動機制，加快轉崗交流頻次，真正達到上下互動互聯、一體化發展。如選派部分基層審計干部參與上級的信息系統審計項目，鍛煉信息系統審計專業能力；推動上級信息系統審計骨干到基層任信息系統審計項目的審計組長，把先進的審計模式、嚴謹的安全意識傳遞到基層審計機關。三是建立專家庫，抽調各行業主管部門業務能手、計算機專家等到專家庫，充實審計隊伍。

3.4 加強系統管控，防范化解審計風險

一是在對被審計單位信息系統開展實質性測試時，審計人員全程監督檢查被審計單位技術人員當場完成相應測試工作，避免誤操作引起安全風險。二是實質性測試時現場必須要有2名以上被審計單位技術專家，2 名以上審計人員同時在場。三是盡量選擇非業務高峰期對系統進行實質性測試，測試數據要盡可能簡單、完善，對正常的業務數據不能產生影響。四是開展計算機信息系統審計時，要了解政府或其他相關外部單位對被審計單位電子數據、計算機系統操作和控制、信息技術服務等的相關要求，了解被審計單位與IT 服務提供商之間的合同或協議，確保提取數據流程合法合規。同時服務器與審計人員計算機以及計算機的數據進行傳導時，要使用注冊登記的U 盤。對使用的數據要注意保密，項目完成后要對數據及時進行處理。五是強化取證記錄質量。在發現信息系統薄弱環節和舞弊跡象時要及時取證，同時與在場的被審計單位技術人員充分溝通，當場取得他們簽字認可，避免事后對方不認賬，嚴格秉承謹慎的態度，審慎地履行職責。