随着信息科技的进步和云端技术的渐趋成熟发展以及大型管理信息系统使用的普及，目前几乎所有的企业都已借助信息系统来提升自身的运营效率和管理水平。计算机对企业各个业务环节所产生的影响也越来越大，信息系统与生俱来的脆弱性使越来越多的企业开始重视对信息系统安全性和可靠性的控制。因此对信息系统的审计成为内部审计领域研究的重点。内部审计的管理目标不仅包括被审计信息系统保护资产安全及数据完整，而且还包括信息系统的有效性目标。内部审计师围绕该目标要以专业的素养和审视的眼光对企业信息系统开发、运行一直到维护进行综合的检查与评价。 一、组织信息系统审计概述 (一)信息系统审计定义 信息系统审计(Information System Audit,ISA)是目前常常提到的概念，一般理解为对计算机系统的审计，信息系统审计的国际权威组织——国际信息系统审计和控制协会给信息系统审计作了如下定义：信息系统审计是收集和评估证据，以确定信息系统与相关资源能否适当地保护资产、维护数据完整、提供相关和可靠的信息、有效完成组织目标、高效率地利用资源并且存在有效的内部控制，以确保满足业务、运作和控制目标，在发生非期望事件的情况下，能够及时地阻止、检测或更正的过程。信息系统审计是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及高效地利用组织的资源并有效地实现组织目标的过程。对信息系统合法性、可靠性、安全性、有效性和效率性进行审计，对被审计单位的信息系统做出科学、合理的评价。 信息技术在社会生产各个领域的广泛应用，也使得审计理论界与实务界出现了一系列相关术语。(1)计算机审计，国内学术界对计算机的叫法多种多样，例如信息系统审计、审计信息化、EDP审计等等；有的文献认为计算机审计包括：对计算机管理的数据进行检查；对管理数据的计算机进行检查。根据国内对“计算机审计”一词的使用情况，可以把计算机审计的含义总结如下：计算机审计是与传统审计相对称的概念，它是随着计算机技术的发展而产生的一种新的审计方式，其内容包括利用计算机进行审计和对计算机系统进行审计。由此可见，计算机审计的内涵和IT审计的内涵相似。(2)电子数据审计，电子数据审计是目前审计实务界使用较多的一个术语，对于电子数据审计，目前还没有给出明确的定义，根据目前对该术语的使用情况，电子数据审计一般可以理解为“对被审计单位信息系统中的电子数据进行采集、预处理以及分析，从而发现审计线索，获得审计证据的过程。”(3)电子数据处理审计，电子数据处理(Electronic Data Processing,EDP)审计和电子数据审计是两个不同的概念，电子数据处理审计是信息系统审计的初级阶段，它是指对计算机信息处理系统的开发及其软件、硬件和运行环境进行测试，并评价计算机信息系统数据处理是否准确、真实、安全、可靠、高效，满足企业经营管理的需要。对于电子数据审计和电子数据处理审计这两个不同的概念，在实际应用中，一定要加以区分。(4)持续审计，持续审计(Continuous Audit,CA)是指在相关事件发生的同时，或之后相当短的时间内产生审计结果的一种审计行为。持续审计是同传统期间审计相对应的概念，其本质是审计方法的创新，它强调审计过程的持续性、审计实施的即时性和审计活动的整合性，并且基于例外审计和战略系统审计的理念，要求审计师运用“自上而下”和“自下而上”相结合的手段，对审计对象做出合理的专业判断。(5)计算机辅助审计，如同CAM(Computer-aided Manufacturing,计算机辅助制造)、CAD(Computer－aided Design，计算机辅助设计)等概念一样，计算机在审计领域中的辅助应用被称为计算机辅助审计。中国国家审计署把计算机辅助审计理解为：“计算机辅助审计，是指审计机关、审计人员将计算机作为辅助审计的工具，对被审计单位财政、财务收支及其计算机应用系统实施的审计”。 (二)信息系统审计规范 国际内部审计协会(IIA)制定了基于风险的ITGC范围评估指南(GAIT)与全球技术审计指南(GTAG)，GAIT是一套原则和方法，用于帮助评价组织信息系统控制的成本收益以及效率效果。通过制定GAIT，IIA一方面帮助组织识别信息系统控制中的关键因素，避免财务数据错弊的发生；另一方面指导管理层和内部审计师识别信息系统的关键控制点，以满足企业遵守《萨班斯－奥克斯利法案》404条款的要求。GTAG的制定是为了满足CAE和审计主管人员的要求，解决董事会和高级经理关心的问题，及时提供有关信息技术管理、控制或安全方面的信息。我国2008年颁布的《企业内部控制基本规范》中明确规定企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。2008年9月中国内部审计协会颁布了《内部审计具体准则第28号——信息系统审计》，对信息系统审计的含义、目的、专业胜任能力内容、方法等进行了阐述。从以上信息系统审计规范来看，在信息系统审计实施阶段，内部审计师的主要工作包括搜集相关资料；确定审计的方式；根据需要列出需要访谈的人员名单；查阅相关部门的政策、标准及准则，以供审计使用；利用相关的审计方法对所有控制进行测试和评价。 (三)信息系统审计的特点 1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。 2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向(生命周期)看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向(信息系统构成)看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。 3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位财务报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号——计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行财务报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。
