澳大利亚审计署(ANAO)分为联邦审计署和州审计署，在各自审计长的领导下，对管辖范围内的单位进行审计。其政府审计分为财务审计和绩效审计两部分，这两种审计中都涉及到以计算机为基础的IT审计，所占比例达到20%至30%。ANAO的IT审计发展经历了三个阶段：第一阶段是技术层面(Technical Level)的审计，如程序代码、数据输入输出控制、数据备份；第二是操作层面(Operational Level)的审计，如计算机核心操作、软件应用、物理安全与逻辑安全；第三是管理层面(Management/Governance Level)的审计，如操作结构、商业可持续性、风险管理、项目管理、服务传输、安全管理、资源管理、执行矩阵、信息管理等。经过多年的研究和发展，澳大利亚已形成了较为完善的国家审计体系，并长期处于世界领先地位，尤其在IT审计理论与技术领域，积累了丰富的经验和成果，目前已进入到注重管理层面审计的阶段，重在把握对IT项目经济、效率、效果的评价和项目开发的合规、安全上，标志着澳大利亚IT审计已经非常成熟。笔者发现澳大利亚IT审计存在如下特点： 特点一：IT审计各个方面均执行相对规范的标准 ANAO开展IT审计，执行相对规范的标准，如在IT项目管理方面，执行国际通用的Gateway、Prince2(Projects In a Controlled Environment2)、PMBOK(Project Management Body of Knowledge)等标准；在IT服务传输与服务管理方面，执行COBIT(Control Objectives for Information and related Technology)、MOF(Microsoft Operations Framework)、ITIL(IT Infrastructure Library)等标准；在IT安全方面，执行信息安全标准ISO17799；在IT风险管理方面，则执行澳大利亚国家标准：AS/NZ4360:2005风险管理标准，等等。各类标准具体规定了审计人员在审计某一类型项目时的方法、程序步骤、工作重点，具有很强的可操作性。它既为没有经验的审计人员提供了一个翔实的可供参照的操作规程，又约束了审计人员的行为，减少和避免审计人员工作中的随意性。正是由于严格按照各类标准开展审计，ANAO的审计尤其是IT审计的质量都得到了可靠的保证。 特点二：IT审计综合运用各种信息技术 ANAO的审计人员在下列情况下，可应用计算机辅助审计技术：一种是在运用制度遵守性和数据真实性程序中缺少输入文件和缺乏可见的审计踪迹时；另一种是通过利用计算机辅助审计技术可以改进审计程序的效果和效率时。计算机辅助审计技术有多种，一是用于审计目的的审计软件和工具，用以处理来源于单位会计制度的重要审计数据。传统的CAAT(Computer Assisted Audit Techniques)工具有SQL（Structure Query Language，如MySQL）、Microsoft Access、Excel。其他一些风险分析与计划管理软件如Methodware、司法模式鉴定软件如Netmap、证据采集与镜像软件如Encase等，也被因地制宜地运用到审计中去。通过各种审计软件和工具，审计人员可以方便地对数据进行排序、求和、筛选等操作，并能生成审计人员需要的各类图表。二是数据测试技术，用以检验应用程序、控制程序和信息系统的可靠性。在执行审计程序时，将数据录入被审计单位的信息系统，跟踪某项业务直至数据输出，将获得结果同预期结果相比较，以检查访问权控制的有效性和输入有效性控制的执行情况。如对工资处理程序审计中，使用不同身份的人员登录，输入不同类型的数据测试。 特点三：IT审计围绕风险控制 ANAO一贯秉持。风险控制的理念，每年都对其风险管理计划的执行情况进行回顾，根据外部环境的变化，修改业务要求考虑战略层次和操作层次等不同层次的风险，开展了以识别和处理经营风险及舞弊风险为核心的风险导向审计，建立了全面的风险管理框架，规避与防范风险。这一框架既包括对ANAO整体的风险管理计划，也包括对每一工作领域的风险管理计划。它陈述了所有ANAO已识别的风险，从“确定风险存在的环境”、“识别风险”、“分析风险”、“评价风险”和“处理风险”等五个环节，合理地确定风险的控制措施，将风险减少到可以接受的水平。通过评估计算机设备、电子数据、信息通讯的安全性，以评估信息系统的固有风险；通过评估系统开发控制、内部管理控制、访问权限控制，以评估信息系统的控制风险；通过对数据输入控制的测试、数据通讯和数据处理控制的测试和数据输出控制的测试，以评估信息系统的检查风险。 特点四：IT审计统筹考虑成本与收益 ANAO开展IT审计，统筹考虑成本与收益，努力在审计时间、审计费用和审计质量三者之间寻求较好的平衡点，以求IT审计如同经济活动一样，达到效率性(Efficiency)、效果性(Effectiveness)与经济性(Economy)的完美结合。为此，他们对每一项IT审计工作都做出周密部署：在编制审计计划时，确定对信息系统控制的可信赖程度；制定关于何时、何处与如何检查信息系统功能的计划；制定关于利用IT审计技术进行的审计程序计划；分析IT审计技术的可行性、预期效果与效率；考虑时间因素。在实施审计时，收集与审计计划有关的信息系统环境的资料，包括信息系统的功能情况以及计算机处理的集中或分布程度、使用的计算机硬件和软件、数据重置情况等；注意传统审计技术和IT审计技术相结合、IT审计人员与非IT审计人员相结合，考虑审计人员的资质与背景；考虑被审计单位在哪些重要方面应用了IT技术，其程度如何，及其对审计的影响，以确定合适而恰当的审计方法。
