笔者对广西教育系统部分高校调查了解，结果表明：只有一半的高校设立审计部门，这其中有三分之一是与纪检、监察合署办公；审计人员大部分是从财务岗位劝退转型的，一部分审计人员还兼任学校其他管理岗位。调查显示：某些校领导认为公立高校属于全额拨款预算单位，不象企业存在风险问题，内审工作可有可无，没必要设立独立部门和配备专职专业人员。
2.内部审计信息化水平过低。
由于受到环境、人才、硬件、软件等多种因素的制约，中国的审计信息化发展远远落后于会计信息化。比如广西教育系统的财务部门基本上采用会计电算化软件，业务部门采用信息管理系统，这些信息技术比较成熟，更新升级的速度快，但是相对应的审计部门主要采用手工审计，计算机起到辅助作用，并没有一个成熟的审计软件能赶得上审计对象的变化少数高校也采用审计软件，但事实证明实用性不强，使用效果不理想。原始的简单的审计方法适合于传统的制度导向的财务收支审计，根本无法满足现代风险社会和现代科学技术进步对内部审计的基本要求，无法进行涉及各种环境因素的综合风险分析及防范。
3.内部审计制度建设不到位。
尽管审计署2007年以来了《国家审计数据中心基本准则》和一系列专业审计数据规划，以及2008年通过建立审计方法目录体系和审计方法规范要素而完成了计算机审计方法体系的标准规范工作，但是各施各法的内部审计执法行为可能隐藏着会计信息真实性、完整性和审计作业安全性、科学性、审计证据可靠性及审计报告恰当性等背后的各种审计风险。信息化背景下内部审计工作环境发生了根本变化，工作中出现的新情况新问题，因计算机审计的范围、目标、程序、技术、方式等缺乏法律法规的明确规定而导致在审计实践中遇到了很多的障碍。
4.内部审计风险更趋复杂化。
在信息技术普及化、信息交流全球化和信息传输自动化的背景下催生了会计核算电算化以及内部审计信息化。这种背景下内部审计，审计环境更趋复杂化，审计数据采集难度、审计证据的充分性、信息系统的成熟度与安全性、审计人员掌握计算机专业知识与技能的熟练度等审计因素，均有可能使得审计风险在审计业务发生前就已经产生或存在。
二、内部审计风险防范措施建议
1.与时俱进，更新理念。
对于内部审计的负责部门，应做好内部审计制度建立和完善工作，形成完备的内部审计制度体系，避免出现以领导的意图作为内部审计工作的基本要求的情况。对于被审单位，要树立主动接受内部审计的意识。只有这样，才能不断提升从传统的查错防弊到现在的价值增值管理服务的内部审计内涵。
2.重视技术，坚持创新。
随着信息时代的迅猛发展，内部审计人员的工作理念必须随着内部审计标准、审计方式、审计手段、人员要求、审计目标等变化而与时俱进，必须从传统的手工作业转变为现代内部审计的办公自动化系统、审计项目管理系统的信息化轨道上来，实现由财务控制逐步向业务控制和信息系统控制转变，以计算机及其软件技术、网络通信技术、集成技术、数据管理为依托，重视科技知识与技能在创新内部审计方法上的作用。
3.完善制度，健全体系。
广西教育系统内部审计风险防范工作应尽快研究制订适应本地本系统发展现状的、统一的审计准则和标准，这些准则和标准应当包括内部审计工作标准、风险评估、系统评价、内控评价、人员资质以及审计技术、基础设施、系统流程等方面的规章制度、业务规范和管理体系。不仅仅从战术上对广西教育系统内部制制度进行健全性和符合性测试，继而识别风险并进行有效防控，而且要强调审计战略，应虑广西教育系统内部的各种环境因素，强调财务审计与绩效审计等多种审计模式融合成一个整体体系，以达到审计工作的效率性和效果性。
4.强化培训，打造队伍。
广西教育系统内部审计风险防范工作质量很大程度上取决于所打造的内审队伍的综合素质。培养满足广西教育系统内部审计风险防范工作要求的、财审专业知识与实践经验和计算机技能交融的复合型内部审计人才尤为重要。应通过多种途径培养和培训内审人员的综合素质与能力，诸如加强审计理论研究及其成果转化，以科研促进审计实践，理论研究指导审计实务，并进行考核评价，以适应时代对内审人员的基本要求。
5.注重分工，强调效率。
根据亚当.斯密（AdamSmith，1776）著名的劳动分工论，广西教育系统内部审计风险防范工作可以充分利用社会优质的专业审计资源如审计中介机构，将部分风险程度高以及我们力所不能及的业务项目（如大型基建审计项目或者是巨额融资项目等审计成本高相对较高、专业分工相对专业的审计业务实行内部审计外部化，外包给社会专业机构，不但可以转移和规避审计风险，增强内部审计的权威性和公信力，而且可有效提高审计质量与效率。
二、内部审计成果运用的现实作用及理论依据
（一）内部审计价值实现的客观要求
2013年修订的《中国内部审计准则》对内部审计的表述为“内部审计是一种独立客观的确认和咨询活动，它通过运用系统、规范的方法，审查和评价组织的业务活动、内部控制和风险管理的适当性和有效性，以促进组织完善治理、增加价值和实现目标”。确认、咨询、审查和评价是内部审计的工作内容及工作特征，完善治理、实现组织增值是内部审计的最终目标。对于事业单位来说，内部审计的价值增值功能主要体现在审计成果在未来的管理中使单位获得直接或间接的利益，给单位创造出预期之外的价值。如财务审计发现的不合理支出、工程审计的审减额；以及提供咨询服务，提示风险预警，减少损失发生。而将审计成果转化应用是实现内部审计工作目标必需的途径，是审计工作的最终环节，其作用直接关系着审计活动的完成与价值实现。近年来，随着医疗卫生体制改革的深入，政府对卫生事业经费的支持力度不断加大，如何进一步加强对卫生经费的监管显得尤为重要。根据原卫生部《卫生系统内部审计工作规定》的要求，卫生计生委直属事业单位和大型医疗机构相继成立了内部审计部门，开展了财务收支、经济合同、建设工程项目、内部控制、经济责任及绩效审计等工作。内审工作在卫生计生系统得到加强和发展，但审计成果的转化却还没有建立相应的制度体系，缺乏长效机制的保障。开展实施内部审计是内审工作的基础，审计成果的转化却是应用、提高和目标，是发挥内部审计免疫功能的关键环节。笔者认为，从内部审计工作功能发挥的有效性出发，疾控系统建立内部审计成果应用的制度与机制具有重要的现实意义。
（二）风险导向审计服务目标实现的基本途径
纵观历史演变，内部审计已经从传统的“控制为基础”转变为“风险为基础”。风险导向内部审计的一项重要职责是评价、改进风险管理和控制治理风险过程，而只有通过为管理层提供有价值的信息并服务于单位的管理、决策活动中，内部审计的风险导向职能才得以实现和履行。近几年，卫生计生系统加强了合同审计工作，中国疾控中心直属单位相继制定了合同管理制度，对外签订的合同都必须经审计部门审核。在合同审计中，评估经济合同的可执行性、合法合规性及履行的有效性，做出审计意见并使之得到落实，维护单位利益，规避潜在的经济纠纷，是内部审计风险导向服务的重要体现。
（三）建立健全内部控制制度的重要依据
财政部颁布了《行政事业单位内部控制规范》，从2014年1月1日起全面实施。建立有效地内部审计成果运用机制，将审计信息转化服务于事业单位的管理中，是建立完善事业内部控制制度，落实内控规范，提高事业单位管理水平的有效手段和重要依据。
（四）监督财务管理工作，规范财务行为的重要方式
事业单位的内部审计起到规范单位财务管理，保障国有资产安全，维护单位的合法利益的积极作用。通过定期的审计成果及信息的汇总报告，评价财务核算、会计信息及财务报告的真实性，防范舞弊发生，从而规范财务活动，强化财务管理。从疾控系统内部审计的工作来看，监督财务工作、规范财务行为、防范舞弊发生，保护财产安全是一直以来内部审计的最主要的目标。
（五）考评领导干部的重要依据
2014年中纪委等部门印发了《党政主要领导干部和国有企业领导人员经济责任审计规定实施细则》，其中第三十七条明确规定“经济责任审计结果应当作为干部考核、任免和奖惩的重要依据”。国家卫生计生委和中国疾控中心在2014年相继下发了直属和联系单位主要领导干部经济责任审计规定，内部审计成果已成为考评领导干部的重要依据。
三、内部审计成果在疾控系统事业单位中应用的制约因素
（一）内部审计成果质量不高
由于我国内部审计特别是事业单位的内部审计相对于政府审计和社会审计起步较晚，疾控系统从2009年开始才陆续成立了内部审计部门，内审工作发展时间尚短，加之工作内容广泛，从财务审计、内部控制审计到经济责任审计、建设工程项目审计等，对工作人员业务能力要求较高。因此内部审计普遍存在工作人员业务水平不高、工作经验不足、知识结构贫乏，审计方法和审计技术滞后，审计重点不突出，审计效率不高等问题。同时，内审人员对审计成果的总结与提炼不够，不善于针对单位管理中的风险和薄弱环节，提出有价值的意见及防范措施，从而导致审计成果无法获得认同与关注，难以获得重视与应用。
（二）单位管理层对审计成果重视不够
现实工作中，既有单位领导层不重视内审成果，也有被审计单位和部门对审计结论或意见认识不到位的情况存在。无论是领导还是被审计部门，大多数认识还停留在审计只是查找问题，出具审计报告、下达审计决定等，审计成果的运用只是附带产品，不是审计工作的主要职责和任务，因而存在重现有问题的整改，轻制度源头的建立；重审计决定的落实，轻审计建议的采纳；重审中监督，轻后续督查；重审计过程，轻审计成果的运用与转化现象的存在。
（三）工作成果运用机制不够健全
目前疾控系统普遍没有建立审计成果运用的工作制度与工作机制，审计成果产生与转化运用之间没有有效地衔接，后续审计监督工作力度普遍较弱。如果没有制度约束和机制作保障，只是依靠领导和部门的自觉，审计成果的转化运用不可能落到实处。同时也因为利用的随意性而使审计成果无法连续地发挥作用，导致实际运用效果较差。正因如此，本文旨在探索从建立疾控系统内部审计成果运用制度入手，为审计成果的转化提供机制保障。
四、建立内部审计成果运用长效机制的建议与对策
（一）切实提高审计质量，提升内部审计信息的价值
首先提高内审人员的能力素质，加强政策法规的学习，注重综合知识的积累，掌握现代计算机信息知识，更新审计理念，提高审计技术。其次，加强对审计问题的分析和研究，结合疾控工作实际，提高从繁杂的审计资料中提炼出具有全局性、前瞻性和权威性的信息的能力。第三,加强内部审计过程的质量控制，从审计计划和方案拟定到审计实施、报告撰写、建议的提出，使用统一的质量标准，使得审计成果更加规范。第四，审计内容向纵深发展。从传统的合规性审计向管理、效益、风险审计延伸，以为单位实现价值增值规避风险为出发点，提高内部审计的工作质量和审计成果运用的层次，提升审计成果的运用价值。从2003年以来，中国内审协会卫生分会每年都会分批组织卫生系统审计人员参加继续教育学习，聘请专家对工作中的热点难点、审计理论知识、审计法律法规进行讲授培训，对提高内审人员的业务水平和理论基础起到了积极的推动作用，但日常的自我学习和积累是非常重要的。
（二）单位内部为审计创造良好的工作环境
审计工作相对其他工作，更需要领导的支持与各部门的配合，良好、顺畅的工作环境是审计成果运用转化的前提和基础。首先，引起领导重视是审计成果得以应用的动力，有了领导层的批示和要求，各部门会认真整改审计问题、改善管理漏洞。其次，加强和被审计部门及其他部门的联络沟通，赢得对审计工作的尊重与理解，是审计成果转化的关键。内审人员对外多做宣传，要和领导、各级部门在审计工作的目标上寻求获得一致共识；向领导积极汇报审计要情；对外增加内审工作的透明度，及时和相关各部门通报审计结果。同时，在履行审查评价职责的同时，充实咨询服务工作内容，提高服务意识，将服务贯穿于审计工作之中来提高审计工作地位。
（三）开展后续审计，监督审计成果落实
通过后续审计，可以了解被审计部门是否对问题进行了纠正，对建议是否采纳，对管理的薄弱环节是否采取了相应的措施，是落实审计决定和审计建议的重要步骤。内审部门应强化后续跟踪审计，将其作为审计工作中的重要一环列入审计计划，这是发挥审计作用、树立审计权威的良好时机，通过后续审计确保审计成果得到真正的转化、应用。
（四）建立完善审计成果运用机制，保障审计成果的运用落到实处
1.建立成果运用工作机制，制定审计成果落实制度。制度是工作的保证，为了推动内部审计成果的转化应用，疾控系统应当建立相应的工作机制和领导体制。首先，事业单位应根据本单位实际情况制定关于内部审计工作成果落实转化的制度，建立起审计成果汇报和公告制度以及审计整改结果通报制度；健全后续跟踪审计制度等。同时还要建立内部审计工作质量分析和案例备查机制，以及审计结果及建议跟踪回访制度。其次，建立审计成果应用的组织领导机制，确定相应的主管领导、牵头部门和参与部门，明确职责，确定工作流程，使其逐渐成为单位的一项常规工作。卫生计生系统虽然制定了关于内部审计的工作规定，但还没有相应的审计建议落实应用的制度；委直属单位在预算编制、预算执行、财务检查、小金库检查、内控体系建设等工作中都建立了组织领导机构和工作办公室，但内部审计工作信息应用还缺乏领导体制的保障，一定程度上不利于甚至制约了审计成果的转化和应用。
一、计算机会计系统内部审计的特点
计算机会计系统内部审计的特点，首先是审计的系统性，要对数据、硬件、软件等各种要素进行系统的分析和检查，才能确定输出结果的正确性，作出可靠的审计结论。第二是审计的复杂性，这是由被审系统数据处理方式、数据贮存方式、系统控制方式、应用系统和电子计算机辅助审计技术的多样性和复杂性所决定的。第三是审计资料的隐蔽性、敏感性和易逝性，这是由于审计线索主要以两种形式存在：一种是肉眼可以看见的审计线索，如输入的原始凭证、记账凭证等原始文件、打印出来的会计账簿、会计报表等；另一种是肉眼看不见的，如存储在软盘或硬盘上的会计数据库资料等。第四是审计的运行性，即在不断运行的系统中进行审计和监督。
二、计算机会计系统内部审计的内容
内部审计可以从硬件和软件的系统控制和实质性审查两个方面来进行审计。
l、内控制度的审计。对内部控制制度的审查与评价，既是审计的基础，又是审计的前提。从实施的角度来看，内部控制有些是通过程序来实施的，有些则是通过制度约束来实现的。通过程序的设计和运行来实施控制的“程序化”控制，和通过建立管理工作制度来完成控制的“制度化”控制，必须通过内部审计来确保其实施，才能使计算机会计系统的安全、可靠和稳定得到双重保险。在电算化条件下，虽然仍要审查传统审计的一些内容，但重点主要在于系统软硬件及数据的内部控制。
内部审计人员应在本单位以上各方面制度的制定过程中，积极发挥参谋作用，并在以上制度的实施过程中，定期审计或突击检查，查找内部控制的弱点，提出改进措施，使制定的内部控制制度得以执行，以保证会计数据的安全性、有效性、完整性和准确性。
2、实质性审计。在手工条件下，审计主要是对书面资料进行审查。在电算化条件下，会计核算由计算机在程序的控制下完成，除了审查输入和输出数据，还要审查电子计算机程序和贮存在机内的数据文件。因此审计工作重点转移至对会计软件合法性、正确性的审查和对机内数据文件的审计方面。
三、计算机会计系统内部审计的方法
针对电算化会计系统审计的特点，结合本系统的工作实际，我们已由以前的“绕过计算机”的审计方法，转向在计算机辅助审计的基础上进行“通过计算机”的审计方法：计算机技术和经济管理的结合，极大地提高了管理工作的现代化水平。其中发展最快、应用效果最显著的，是计算机在会计工作中的应用。
随着会计电器化的广泛应用，传统内部审计面临着新的挑战，从而出现了电算化会计系统的内部审计。
一、计算机会计系统内部审计的特点
计算机会计系统内部审计的特点，首先是审计的系统性，要对数据、硬件、软件等各种要素进行系统的分析和检查，才能确定输出结果的正确性，作出可靠的审计结论。第二是审计的复杂性，这是由被审系统数据处理方式、数据贮存方式、系统控制方式、应用系统和电子计算机辅助审计技术的多样性和复杂性所决定的。第三是审计资料的隐蔽性、敏感性和易逝性，这是由于审计线索主要以两种形式存在：一种是肉眼可以看见的审计线索，如输入的原始凭证、记账凭证等原始文件、打印出来的会计账簿、会计报表等；另一种是肉眼看不见的，如存储在软盘或硬盘上的会计数据库资料等。第四是审计的运行性，即在不断运行的系统中进行审计和监督。
二、计算机会计系统内部审计的内容
内部审计可以从硬件和软件的系统控制和实质性审查两个方面来进行审计。
l、内控制度的审计。对内部控制制度的审查与评价，既是审计的基础，又是审计的前提。从实施的角度来看，内部控制有些是通过程序来实施的，有些则是通过制度约束来实现的。通过程序的设计和运行来实施控制的“程序化”控制，和通过建立管理工作制度来完成控制的“制度化”控制，必须通过内部审计来确保其实施，才能使计算机会计系统的安全、可靠和稳定得到双重保险。在电算化条件下，虽然仍要审查传统审计的一些内容，但重点主要在于系统软硬件及数据的内部控制。
内部审计人员应在本单位以上各方面制度的制定过程中，积极发挥参谋作用，并在以上制度的实施过程中，定期审计或突击检查，查找内部控制的弱点，提出改进措施，使制定的内部控制制度得以执行，以保证会计数据的安全性、有效性、完整性和准确性。
二、内部审计的系统管理模式分析
系统管理理论，把管理对象看成是特定的系统，以系统思想为指导，以系统功能最佳为目标，运用系统管理方法，把握住系统的组成要素及要素之间的联系，对各要素进行高效率的计划、组织、指导和控制，及时调整和控制系统的运行，以实现系统全过程的动态优化管理，最终实现系统目标。根据系统管理理论，设计系统管理模式的一般方法是先进行系统的总体设计，然后进行各子系统或具体问题的研究。内部审计系统主要包括目标、组织、行为和管理等要素，各要素之间存在着错综复杂的内在联系，且各要素本身又是由若干子要素组成的子系统，构成一个完整的内部审计系统。
1.内部审计目标系统。
目标系统是内部审计所要达到的最终状态的描述系统。由于内部审计是隶属于企业内部的一项职能，企业的每一项职能都要围绕企业的核心目标而用力，国际及中国内部审计协会对内部审计目标进行了恰当定位，即为了组织增加价值并提高组织的运作效率，帮助组织实现其目标。可见，内部审计根植于企业目标而存在，为最终实现企业目标保驾护航。内部审计目标系统包含系统目标、子目标和可执行目标三个层次，其中系统目标即企业目标；子目标即开展的每一项审计项目的总括性目标，向上与系统目标衔接一致；可执行目标用于确定审计项目的详细构成，向上与项目目标衔接一致，应具有可操作性，便于审计人员具体执行，通过“自上而下”及“自下而上”双向控制，最终达到实现整个内部审计目标的目的。
2.内部审计组织系统。
内部审计组织系统是由参与完成审计工作、实现内部审计目标的个人和机构组成。内部审计组织系统具有开放性，在进行内部审计组织系统设计时，应考虑以下几点：一是把握突出内部审计的独立性和权威性原则；二是内部审计机构与董事会或者最高管理层的关系，根据第2302号内部审计具体准则规定，内部审计机构与董事会或者最高管理层存在组织隶属关系，应当接受董事会或者最高管理层的领导并向其报告，保持良好的关系，积极寻求其对审计工作的理解与支持，增强内部审计的权威性及审计工作开展的便利性；三是内部审计机构及人员相对于同层级管理机构及人员应具有相对的独立性和权威性，便于审计工作开展。
3.内部审计行为系统。
内部审计行为系统是由完成内部审计项目或任务、实现内部审计目标所有必需的内部审计活动构成的，包括审计目标、审计制度、审计计划、审计工作方案制定、审计项目实施以及审计建议落实等。这些活动之间存在各种各样的逻辑联系，构成一个有序的动态系统，设计内部审计的行为系统，应注意以下几点：一是应包括实现内部审计目标系统必需的所有工作，并将它们纳入计划和控制过程中；二是按照内部审计准则及制度实施审计项目，保证审计项目实施程序化、规范化；三是保证内部审计行为系统与企业内其他机构、部门及个人行为之间良好的协调。
4.内部审计管理系统。
内部审计管理系统是指为使内部审计达到应有的效果，对内部审计的目标、组织及行为系统所采取的控制措施总和。为最终确保内部审计目标的实现，内部审计管理系统从总体上应完成如下工作：一是对内部审计的目标系统进行策划、论证和控制，使之与企业目标相统一；二是对内部审计的行为系统进行计划和控制，使之符合内部审计准则及制度的规定，保障审计质量；三是对内部审计的组织系统进行设置、协调和指挥，使之保持相对的独立性和权威性，利于审计工作开展及审计目标实现。
1）信息系统审计是一个获取并评价证据,以判断信息系统是否能够保证资产的安全、数据的完整,以及有效率地利用组织的资源并有效果地实现组织目标的过程(国际信息系统审计与控制协会ISACA的定义。
2）目前审计机关信息系统审计主要有两种方式,一种是将信息系统审计作为常规审计的一部分,为实现审计项目的总体目标服务,即数据审计、信息系统审计和系统内部控制审计"三位一体"的结合方式.信息系统审计和系统内部控制审计为数据审计服务,通过审计数据得出结论.另一种是独立立项的,直接审计信息系统本身的安全性、可靠性和有效性。
二、为什么要开展信息系统审计
信息系统审计作为国家审计机关的一项重要工作,是信息化发展到一定程度的必然产物。
(一)开展信息系统审计是控制审计风险的要求.近几年,审计纸质账目时,内部控制也要审计,不能假账真审.同样的道理也不能假电子数据真审,如果被审计单位运载电子数据的信息系统的安全性、可靠性和有效性出现了问题,计算机数据审计就会存在风险,系统的可信与可靠程度是数据审计得以进行的前提和最终实现的基本条件。
(二)开展信息系统审计是全面履行审计职责的要求.信息化环境下的审计,电子数据、信息系统、系统内部控制审计必须"三位一体",在审计过程中,这三项内容不能少.只有这样,我们才能完成审计署党组强调的"全面审计,突出重点"的要求,全面履行审计职责。
三、信息系统审计与常规审计之间的区别与联系
1）信息系统审计是常规审计的一部分，是以常规审计理论为理论基础的，两者之间有紧密的联系，也存在一定的区别。
2）两者的联系是：信息系统审计继承了常规审计的基本理论与方法，与常规的审计一样。在立场上，要求信息系统审计师站在独立的立场上，通过选择特定的审计对象，采用询问、检查、分析、模拟、测试等方法获得客观的审计证据，来判断其与既定标准的符合程度。在程序上，信息系统审计一般也要经过审计计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作，实现审计目标。
3）两者的区别也比较明显，主要表现在：首先，信息系统的审计对象不同于常规审计的财务领域，而是信息系统，包括基础设施，软硬件管理，信息安全，网络管理合通信等；其次，信息系统审计提出了更多的审计法与审计程序，这都是常规审计所不具备的，比如对某软件进行审计时，要采用技术含量相当高的测试，对网络安全审计时要采用穿透性测试（模拟成黑客进行各种攻击以验证其安全性）；第三，信息系统审计不光是事后审计，主要关注系统的运行现状，在某种情况下，直接参与项目的开发或变更过程，以保证足够的控制得以顺利实施；最后，信息系统审计的咨询价值显得更高，信息化的风险很高，信息系统审计师可凭借其专门知识和实践经验，受托或主动服务于被审计单位的管理者或其业务人员，在企业信息化过程中，帮助企业建立健全内部控制制度，进行系统诊断，根据企业需求，确定信息化的目标和内容，选择合适的信息系统。
四．如何使信息系统审计与常规审计有机结合
1）在项目计划上的相结合
信息系统通过选择特定的审计对象，采用询问、检查、分析、模拟、测试等方法获得客观的审计证据，来判断其与既定标准的符合程度。在程序上，经过信息系统审计，审计项目计划、符合性测试与实质性测试、审计报告等主要阶段来进行审计工作，实现审计目标。
2）在项目实施过程中相结合
（1）全面开展对项目实施过程中电子数据的审计，包括会计电子数据和业务管理电子数据。采取的具体方法是：1.精确复核。运用计算机，对各种项目数据进行精确复核，既可以对全辖并表机构的会计报表与汇总报表进行全面复核，又可以从会计流水账逐级核对至总账，还可以将业务管理数据与会计报表数据进行复核；2.编制计算机程序进行辅助计算。可以编制计算机程序对有比例关系的项目进行计算，然后与实际记录进行比较，找出产生差异的记录；3.对一些异常会计记录和交易进行筛选和查询，为审计人员提供审计线索，主要是根据某一特征进行筛选分析，从不同角度分析可疑问题线索。
（2）以信息系统审计对项目实施时，对项目管理系统的内部控制情况进行初步的调查和评价，重点是权限管理、参数表的设置和修改控制等是否有效，被审计单位对交易录入的原始数据是否实施相应的控制，信息系统的数据流和业务流程是否吻合；3.通过系统日志等文件分析一些重大事件的原因，避免在项目实施过程中发生不可预测影响。
3）在资源配制上相结合
常规审计在我国的审计实践中，对项目资源存在的漏端很难察觉，原因主要是以下三大困难：一是审计人员难以在短时间内透彻了解被审计单位的项目存在弊病。一般来说，小型的数据管理，由专业的软件公司开发后打包在市场销售，被审计单位人员仅仅是使用者，审计人员无法获得开发设计的细节；而定制的系统多用于大型的数据管理，由软件公司或内部的开发部门根据企业的应用量身定做，这类系统技术文档和技术支持比较完善，但是由于系统过于庞大，细节设计过于复杂，审计人员在有限的审计时间内难以对系统进行评估。二是难以发现系统内的瑕疵。从表面看，常规审计的各项令人眼花缭乱审计方法无论是从开发文档还是操作手册都不会直接察觉系统的瑕疵，而且在现场审计中，审计人员一般不允许对正在运行的系统进行测试，较难识别系统的问题。三是难以评估系统瑕疵所导致的后果。在审计实践中，即使审计人员发现了常规审计存在的某些瑕疵，但是未发现该瑕疵导致的已经存在的后果，常常使得审计结论缺乏直接证据。
信息系统审计作为一种全新的审计手段和审计理念，首先，审计人员可以通过整体评价被审计单位的项目管理系统重要性的基础上，确定审计重点。其次，审计人员应用内控测试和数据审计两种方式对选定的项目管理系统进行分析，一般能迅速找出项目管理信息系统存在的瑕疵，尤其是人为舞弊的线索。第三，根据已经发现的问题，对系统进行延伸，进一步追查系统存在问题所引致财务收支失真等方面的问题。可以较好地从信息系统的角度发现舞弊问题和内控漏洞，使得审计内容不断丰富完整，较好降低审计风险。
五、在常规审计后，开展信息系统审计的意义
1）信息系统审计是未来审计发展的必然，未来审计行业和审计技术的发展动力将主要来自于信息系统审计的发展。
2）维护信息时代的市场经济秩序
在商业活动实现网络化之前，采购是面对面或通过纸质文件进行的，有迹可查，即使是电子交易，其设备结构是专用的，一般只限于已知用户使用，任何外部用户必须是已知的、身份明确的、可追踪的；系统通常是主机结构方式，相对易于监督、控制和审计。与传统商业相比，万维网客户/服务器系统的特点是高度分散，资源共享、服务分散、顾客透明度高等，而电子商务的运作速度更快、业务循环周期更短、风险更大、更高程度地依赖于技术。电子商务系统的技术基础和市场的快速变化意味着传统的衡量方法已不再适用于企业的某些资产，财务报告不能充分提供企业的状况和价值方面的信息，特别是网络企业的无形资产，如商誉、客户忠诚度和满意程度等这些产生长期价值的关键资产。核实确认这类资产价值的困难在于缺乏足够的历史数据、合适的参照标准、先进的实践经验以及对网络的各种威胁和概率的准确估算。企业管理层以及公众都需要寻找能够用以表述网络企业的可信度、安全性及其他资产价值的方法，需要一些新的核查和审计方法，更有效地评价无形资产，如知识、品牌等。因此，电子商务系统审计就成为历史的必然。由于，电子商务的可靠性、适用性、安全性和性能等方面受到的威胁或存在的风险，都可能会影响其生存和发展。风险因素包括：商业信息的泄露、智能财产的不当使用、对版权的侵犯、对商标的侵犯、网络谣言和对信誉的损害等。因此，进行必要和客观的审计，才会使董事会、审计委员会、高级管理层对电子商务系统的安全运作和效益满意和放心。
二、网络风险和风险管理
网络风险如同自然灾害一样不可预见。风险管理的关键在于风险评估，风险评估就是要分析和衡量风险事件发生的概率及后果，引起风险的因素及其关联因素，出现风险的关键点采取什么方法能够减缓风险，风险出现造成后果如何，以及评价管理层是否履行了应有的职业审慎进行防范和控制。同时在评估中还要为各项因素设计评价比率，计算各种风险的影响后果，根据影响和后果排序，对高风险因素作进一步的分析。
通过风险评估，可以认识到潜在风险（威胁）及其影响，以便对高风险领域作一些防范、检测、控制、减缓和恢复的工作计划和安排。这些计划和安排应涵盖对各项控制成本，主要是指接受、避免、转移、监测成本的分析以及各项工作的先后次序。
三、电子商务系统审计中网站的合法性证明
网络终端用户都会关注网站是否来自一个真实的、可靠的机构，提供的信息是否准确真实，机构背景是否正当合法，个人信息的隐私权是否得到保护等。所谓隐私权是指对个人的数据/信息的搜集必须合法、公平，必须用于某一特定、公开的目的，必须取得该个人的同意并受到保护，本人必须有权进入系统进行修改或删除，信息的越域流动和将来的使用、披露必须予以安全保证和限制等。
解决这些网站合法性问题的途径之一就是由一公证机构提供可靠的证明，以使网络终端用户能对网站提供的电子商务放心。如Verisign，TRUSTe，BBBOnline，WebTrust，SysTurst等都是具有良好的信誉并且提供证明-查证服务的专业组织机构。网络终端用户可以通过查询这些公证机构的记录，获得确认被访问网站的名称、有效状态、服务器标识等信息。
四、内部审计和电子商务系统审计
美国注册会计师协会对“核实查证”的定义是“提高决策者所需要信息的质量或内容的独立性专业服务。”其审计原则是保证系统的可用性、安全性、真实完整性和持续性，建议对系统安全性和真实完整性方面存在的控制点进行检查、评价和测试。并尽量在今后采用合适的审计标准对信息技术进行审计。不同于以年度为基础的传统外部审计，电子商务的实时性要求审计人员应对其进行连续不断的评估，按特定的审核标准对已发生的交易进行追踪，而系统内设置的自动登录记录可作为相应的审计轨迹，在系统内部实施对事件监督和控制。
尽管当前许多人认为核实查证通常与外部审计人员相关，内部审计人员则在公司内部出具审计报告。然而，国际内部审计师协会对电子商务系统审计的要求则是：审计控制目标主要是审计财务报告制度、经营的效益和效率、合规性和保护财产安全等方面。审计模式应该建立在系统的可用性、容量、功能、保护和可靠性的基础上。例如，内部审计对网络企业控制水平的独立评价，使得客户了解到企业提供的数据将不会被有意或无意地滥用。再如，企业目标是建立电子商务以降低成本、提高市场占有率，那么电子商务风险是随着网络交易的增加而增加，以至于不能确保交易的安全性或分辨用户的可靠性，因此，所需要的控制就是对用户的真实性进行确认以及对通讯信息进行加密。
目前，我国信息系统审计仅有十几年的历史，尚处于探索阶段，既缺乏开展信息系统审计业务的人才队伍，也没有形成专业规范体系，所进行的一些计算机审计方面的探索和尝试以及计算机审计软件的开发和应用还大都停留在对被审计单位电子数据进行处理的阶段。存在的主要问题有：信息系统审计观念落后；信息系统审计相关的准则、标准和规范尚不完善；信息系统审计专业人才匮乏；信息系统审计软件开发工作滞后。1997年，广州地铁开始公司“信息化”建设。最初，广州地铁经营审计采用“绕过计算机审计”的方法，即对导出数据进行审计。审计过程中，其逐渐意识到了运用这种“黑箱原理”审计方法的风险。因此，2006年公司组建了专门的IT审计模块，探索“如何利用计算机审计”和“通过计算机审计”。其后，广州地铁信息系统审计发展经历了借力、助力和自立三个阶段。一是借力期：IT审计模块成立初期，公司与外部顾问共同开展IT审计项目，通过外部专业人员向审计人员传输IT审计技能，同时制定《IT审计实施细则》，在人员技能储备和制度上为IT审计模块的发展奠定了基础。二是助力期：审计人员参照审计手册，利用从外部顾问处学习到的审计技能，逐步开展信息系统审计工作，将IT审计工作模式调整为以自身力量为主，外部咨询服务为辅的模式。三是自立期：2009年，广州地铁IT审计已基本实现自主化，且IT审计模块逐步走向成熟，同时其还建立了具有自身特色的信息系统审计框架。目前，IT审计已经发展成为广州地铁内部审计的一根“支柱”，连同“内控审计”，作为基本的审计手段贯穿于各类专业审计工作中，支持审计体系的巩固与发展。
二、信息系统审计内容
1、国内外关于信息系统审计内容的研究
开展信息系统审计首先要明确审计内容。国际信息系统审计协会规定，信息系统审计的主要内容包括信息系统程序审计、信息技术（IT）治理、系统生命周期管理、IT服务的交付与支持、信息资产的保护、灾难恢复和业务连续性计划。近十几年来，国内的学者和组织也对信息系统审计的内容进行了探索和研究。审计署在2012年颁布的《信息系统审计指南———计算机审计实务公告第34号》中明确提出了：信息系统审计包括对应用控制、一般控制和项目管理的审计。其中，应用控制包括信息系统业务流程，数据输入、处理和输出的控制，信息共享和业务协同；一般控制包括信息系统总体控制、信息安全技术控制、信息安全管理控制；项目管理包括信息系统建设的经济性、信息系统建设管理、信息系统绩效。上述具有代表性的规定和研究成果对信息系统审计内容的划分，均是以对信息系统逻辑结构的分析为基础。全面分析信息系统的逻辑结构，可从信息系统的构成要素、信息系统生命周期和信息系统管理三个维度进行描述：从构成要素来看，信息系统由人员、应用（包括软件平台和应用系统）、所采用的技术、硬件设备、数据文件运行规则组成；信息系统生命周期可划分为信息系统的规划阶段、开发阶段、运行维护阶段和更新阶段；从信息系统管理的维度来看，对系统的管理与控制活动贯穿于信息系统生命周期的始终，主要是通过有效执行一系列健全有效的规章制度和管理规程来实现。
2、广州地铁信息系统审计实施框架
结合广州地铁信息化项目多、系统更新快、数据集成度高、系统控制与手工控制并重等特点，围绕信息系统构成要素、信息系统生命周期和信息系统管理三个维度，广州地铁将信息系统审计的内容划分为整体计算机控制审计、应用控制审计和系统建设效能评价三个方面。其中，整体计算机控制审计是对信息系统运行中的控制活动进行审计，目的是合理保证由信息系统支持的业务流程控制是可靠的、生成的数据和报告是可信的。应用系统控制审计是对业务流程中的自动化控制活动进行审计，以合理保证交易的有效性、经适当授权和记录、完成的完整性、准确性和及时性。项目及系统绩效审计是对信息化项目的过程及成果对企业和业务产生的效益进行审计，用来合理保证信息化项目的投资/产出比例符合建设的目标，以及信息系统对企业战略起到的预期的支撑作用。围绕上述三个方面，广州地铁内部审计确立了以下的实施框架。
（1）确立整体计算机控制安全、操作、变更的三个评价维度，围绕“信息系统全生命周期”，明确整体计算机控制十个流程。
广州地铁通过学习和借鉴国际信息系统技术管理和控制标准COBIT，建立起了一套自己的整体计算机控制审计框架。框架可按流程和控制类型两种方式进行划分，两种划分方式在本质上是一致的。在按流程划分出的每个子流程中，信息系统审计人员需要从变更、安全、操作的角度去确认和评估具体的控制点；在按控制职能所作的划分中，审计人员需要围绕信息系统的策略与计划、信息系统操作、与外部供应商关系、业务可持续计划、应用系统开发、数据库、软件支持、网络、硬件等十个子流程进行审计。围绕安全、变更、操作三个角度及十个子流程，广州地铁共梳理出有关整体计算机控制的41项审计内容，并针对每一项内容明确了控制目标和风险，建立起了一套完整的整体计算机控制矩阵。例如，信息系统策略和计划子流程中，广州地铁明确了整体计算机控制的三大目标———信息系统战略、规划和预算应与实际业务和战略目标保持一致，计算机处理环境应得到具有适当技能和经验的人员的充分支持和保证，以及计算机处理环境中的人员应接受适当的培训，审计人员在此基础上针对各控制目标，识别并归纳出广州地铁现行的9个控制活动。在具体开展信息系统整体计算机控制审计时，信息系统审计人员根据审计项目的特点和要求，选择需要评价的子流程，再对照子流程的控制活动进行评估及测试即可。
（2）从内部控制目标出发，将信息系统应用控制划分为访问控制、完整性控制及数据质量控制三大方面。
广州地铁将信息系统的应用控制划分为应用系统访问控制、流程和系统完整性控制以及数据质量控制三大类，并针对各类控制分别设计了不同的审计内容。一是应用系统授权访问控制审计包括对系统的认证方式、授权机制、权限的分配管理以及不相容职责分离在系统中的实现情况的审计，目的在于保证经过允许的人才能访问和操作系统。二是流程和系统完整性控制审计是对系统输入、处理、输出以及接口等各种系统运行规则的审计，用以保证所有经允许处理的数据均转换到介质上并被处理，且处理的结果可通过适当的方式加以输出，所有输入、转换、处理和输出均在正常的时间内准确地进行。三是数据质量控制审计则是指对信息系统中的数据的完整性、规范性和有效性所进行的审计，旨在保证所有系统的输出均反映为经批准的有效的经济业务，所有经过系统的数据真实、有效，且能满足企业各项业务的使用要求。
（3）围绕“信息化项目”和“信息系统”，综合评价信息化建设的效益。
在开展整体计算机控制审计和应用控制审计的基础上，广州地铁从企业经营和投资效益的视角出发，在信息系统审计中引入了3E审计的概念，尝试对信息系统建设项目的成效、建成后系统的应用效能以及信息化对战略的支撑效果进行审计。为了全面评价项目，广州地铁通常将对单个信息系统建设项目的合规性审计与项目效能审计结合在一起开展。一是信息系统建设成效审计旨在通过对系统建设全过程的审计，促进信息系统的建设规范性，提高信息系统建设的质量。二是信息系统应用效能审计包括对业务需求的实现情况、建成功能的使用情况的审计分析，以及对系统应用对业务管理规范化、标准化和精细化提升作用的综合评价，目的在于促进系统使用价值的最大化，减少系统建设的投资浪费。三是战略支撑效果审计是从支持战略实现的角度，评价信息系统的建设效益，保证信息化建设在符合业务管理要求的同时，符合公司战略的需要，支持公司战略的实现。
三、信息系统审计实施步骤
信息系统审计步骤（或流程），是审计工作从开始到结束的整个过程。信息系统审计流程一般可划分为四个阶段：计划阶段、实施阶段、报告阶段和后续阶段。计划阶段是信息系统审计流程的起点，此阶段的主要工作包括了解被审计系统的基本情况，初步评价被审计单位信息系统的内部控制和外部控制，识别重要性和编制审计计划。实施阶段是根据计划阶段确定的审计范围、重点、步骤和方法进行有针对性的取证、评价，并形成审计结论的过程。实施阶段是信息系统审计工作的核心，主要由符合性测试和实质性测试两个部分构成。在报告阶段，信息系统审计人员需运用专业判断，整理、评价收集到的审计证据，以经过核实的审计证据为依据，形成审计意见，出具审计报告。审计报告的出具并不意味着信息系统审计工作的终结。根据国际信息系统审计标准，信息系统审计人员对于系统中发现的重大问题和漏洞，需要对被审计单位所采取的纠正措施及其效果进行后续审计。审计人员需要将后续审计纳入计划，并安排必要的人员和时间进行后续审计。广州地铁IT审计模块成立之初，即明确了IT审计“对公司的系统流程与控制、项目进行审计”和“提供有益于增加公司价值的咨询服务”两项核心职责，并围绕公司战略，以“风险导向”、“服务战略”理念为指导，从信息系统审计战略规划和具体项目执行两个层面分别制定信息系统审计的流程。
1、以公司战略为导向，制定信息系统审计的战略规划
一直以来，广州地铁奉行“源于战略、服务于战略”的现代审计理念。这一理念主要体现在两个方面：一是在制定内审工作计划时，从公司战略出发，制定各个内审业务及各专业审计模块的战略，并以业务战略为指导，开展具体的审计工作；二是在开展审计项目的过程中，始终从保障公司战略执行的角度去发现问题、评价问题，提出整改意见和落实整改。信息系统审计的战略规划来源于公司的战略，以及以公司战略指导制定的公司信息系统战略规划和内部审计业务战略规划；同时还须结合公司信息化现状和IT审计模块定位，明确广州地铁IT审计发展战略目标。
2、通过风险评估，确定各信息系统风险等级，制定层次分明、重点突出的信息系统循环审计计划
为利用有限的审计资源掌握公司主要信息系统的建设、运营情况，保障信息资源的有效利用，降低公司信息系统的整体风险，广州地铁建立了一套“根据信息系统风险评级制定差异化的审计策略”。
（1）梳理信息系统脉络，全面掌握信息系统现状。
广州地铁结合信息系统规划、建设和运营的情况及系统分类梳理出被审计信息系统清单，并从系统构成要素的角度收集系统相关的信息。这些信息包括系统名称、功能模块、采用产品等基本信息，以及项目的建设信息、系统的使用状况和运维的基本情况。这些信息是风险评分的依据，也为后续开展具体审计工作时确定审计方案提供了指引。
（2）开展信息系统风险评级，制定风险导向型审计计划。
内审人员从通用风险、业务风险、项目风险、系统风险、数据风险和人员风险六大风险类别出发，全面识别信息系统各类构成要素中存在的风险；对信息系统进行风险评价，根据风险得分将信息系统按优先级分别划分为高、中、低三类。结合公司IT审计资源的情况，对优先等级高的系统采用三年一审策略，中等级系统5—6年一个审计周期，风险等级低的系统则根据需要安排审计。在此审计策略的基础上，再综合考虑公司业务的十大风险、领导关注事项、上一年度内控评价结果和审计项目成果、公司新一年的工作重点、公司信息系统的变动情况，并制定出本年度的信息系统审计计划。
3、以风险为导向，开展信息系统审计
在项目实施阶段，审计人员必须从公司整体信息系统控制环境和被审计系统的状况、流程与内部控制两个方面进一步收集被审计系统的相关资料，了解和确认被审计单位已建立的内部控制措施，并对这些控制措施的设计是否达到控制目标进行评估。
（1）以“轮流循环+以点带面”的方式开展整体计算机控制审计。
公司的信息化业务采用统一集中管理的模式，整体计算机控制对各个系统具有一定的通用性。因此，在实务操作中，广州地铁采用“以点带面”的策略，以单个信息系统整体计算机控制为切入点对整体计算机控制进行审计，评价整体信息系统的安全性；同时，考虑到信息系统在一定时间内相对稳定，因此在实施整体计算机控制审计时可采取轮流测试的方式，即每年从十个子流程中选取几个进行测试，经过一定周期后，完成对整体计算机控制的全面审计。例如，在2011年开展的信息安全审计项目中，审计人员就围绕信息安全这个审计主题，从十个子流程中选取了与信息安全直接相关的信息系统操作、信息系统安全、业务可持续计划、应用系统开发与实施、数据库开发与实施和系统软件支持等六个流程进行审计。分步、循环开展整体计算机审计，在审计风险可控的情况下，大大节省了审计资源，也使得审计人员能够更加深入地挖掘和分析整体计算机控制方面所存在问题以及问题的成因，提出更为切实可行、同时又符合公司信息化业务发展现状和要求的整改措施。
（2）以风险为着眼点，确定应用控制审计重点。
应用控制是各个信息系统内部所建立的控制机制，应用控制审计必须针对某个具体信息系统开展。在开展应用控制审计的过程中，审计人员应紧紧围绕“风险”这个着眼点，通过对原有业务成熟度和系统建设过程中风险的评估，选择不同的审计侧重点开展应用控制审计。例如，在合同管理系统审计项目中，由于合同管理系统是全新开发的系统，审计人员经分析，判定系统在应用系统访问控制方面的风险较高。而在进行控制评估和测试后，审计人员发现业务人员在创建系统权限设置机制时完全套用了公司办公自动化系统的权限机制，而未针对合同业务流程中不同于公司组织架构下的角色设立相应的用户组，导致系统无法实现合同经办人与审批人职责的分离，存在重大的内控风险。
四、信息系统审计方法
在信息系统审计中，可因地制宜，综合运用多种学科的技术方法，包括：传统审计中内部控制测评的基本方法和审计取证的基本方法（包括审阅、核对、监盘、观察、查询、函证、计算、分析性复核）；计算机科学的技术方法，如数据测试法、程序编码审查法、受控处理法、受控再处理法、整体测试法、平行模拟法、程序比较法、漏洞扫描、入侵检测、嵌入审计程序法等等；行为科学的技术方法，如运用组织发展的理论与方法、个体行为一般规律的理论和方法。这些方法与技术并不是孤立的，而是互相联系的。目前，广州地铁在信息系统审计中所运用的方法仍主要集中在传统的内控审计方法和信息系统管理的技术方法两个领域，具体包括询问、观察、文件复核、抽样、重新执行、使用计算机辅助软件等。在部分项目中，也采用了一些计算机科学的技术方法。受限于审计资源不足，广州地铁较少采用程序比较法、平行模拟法、程序编码审查法等高成本的审计方法，而倾向于选用一些较为高效的测试方法。但这些高效方法的运用不能完全消除审计风险，这就需要审计人员根据自身的经验尽量避免。
1、传统审计方法的运用
广州地铁在开展信息系统审计过程中较多运用传统审计的方法。例如，在对信息系统整体计算机控制进行审计时，通过对系统使用人员的访谈、调研和对系统各项操作的观察，梳理出整体计算机控制相关的各种控制活动。在没有测试环境的情况下对生产在用信息系统的人机交互界面和功能进行调查和确认时，审计人员大量运用了观察的方法。在对固定资产信息系统模块进行审计中，审计人员通过观察物资采购人员、资产管理人员、会计核算人员在系统中的操作界面、系统实现效果以及业务操作流程来了解系统功能的构造。发现采购中的供应商信息在跨系统流程过程中丢失，导致财务系统和实物管理的MAXIMO系统的资产台账中均缺少供应商信息，致使日后采购同类物资时，采购人员无法获取历史采购信息作为参考，增加了市场调研成本。除内控矩阵和访谈、观察等方法之外，编制流程图、数据流图和报表流图也是信息系统审计经常使用的方法。
2、计算机科学技术方法的运用
计算机科学技术方法是信息系统审计特有的方法，来源于IT行业的信息技术的转换应用，主要包括基于数据分析的方法和基于程序分析的方法，这些方法的综合使用使得对信息系统的审计更加有效。具体方法的选用需视被审计系统的实际情况而定。在一个审计项目中，广州地铁审计人员经常将多种方法结合使用。例如，在票务收入系统审计项目中，审计人员首先采用数据测试法，使用正常及非正常的测试地铁票搭乘地铁，在系统中跟踪测试票的处理情况，以验证系统处理与控制功能是否均有效；在对系统中后期内部开发的车站单程票售卖功能进行审计时，审计人员采用了程序编码审查法，对系统的源程序编码进行审查，审查后发现单程票售卖金额统计报表在进行数据处理时省略了小数点后的尾数，导致报表金额存在偏差；在对票务系统的清分报表进行验证时，审计人员又采用了平行模拟法，抽取系统中一段时间内的正式交易记录，在系统外模拟系统的处理规则对交易记录进行处理，并将处理结果与系统的报表数据进行核对，结果发现系统在数据传递和处理过程中，由于系统对于异常数据的审核过于严格，导致部分正常数据被当作垃圾数据丢进异常库，给公司造成票务损失。
3、计算机辅助审计软件的应用
计算机辅助审计软件的应用是信息系统审计的一个显著特点，也是审计人员准备阶段需要重点关注的问题之一。目前，广州地铁对计算机辅助审计软件的应用主要体现在以下两个方面。
（1）对系统中数据的准确性、完整性和一致性的检查。
例如，在合同管理系统审计项目中，为核对系统接口程序的可靠性，审计人员利用审计辅助软件快速完成了对合同系统和财务系统数据一致性的核对，迅速查找出两个系统中不一致的数据。经过深入分析，审计人员发现由于财务核算人员在财务系统中复核合同支付数据时发现错误，将支付申请退回给合同系统再由合同经办人重新填报时，合同系统未对已生成的支付信息进行更新，导致上述问题的出现。针对海量数据处理系统，数据验证是审计的重点，计算机辅助软件是“不可或缺”的审计工具。在地铁票务收入保障审计项目中，审计人需要通过数据验证的方式对业务处理的核心系统———自动售检票（AFC）系统中的系统传输和处理机制进行验证。为此，审计人员共设计了8大类29子类47个数据验证主题。审计时，审计人员运用计算机辅助审计技术，在两个月内完成了对AFC系统中10天总计超过3亿条运营数据的验证工作。
（2）利用计算机辅助软件进行对比测试。
即审计人员从信息系统中抽取某部门样本数据，将样本数据输入到与计算机辅助软件中进行处理，把审计软件输出的结果与业务系统产生的结果进行对比分析，以判定业务系统的可靠性与准确性。广州地铁在已开展的运营票务收入保障审计项目中大量地使用了此种方式。审计人员将各车站站务人员在票务系统中录入的售票数据导入到计算机辅助软件中，按照业务规则对数据进行处理，将处理结果和系统输出的结果进行对比。经对比，审计人员发现票务系统在处理异常数据时过于严格，导致部分非异常数据被系统当作异常数据丢入异常库中，给公司造成票务损失。
1引言
随着网络与信息系统的广泛使用，网络与信息系统安全问题逐渐成为人们关注的焦点。
网与因特网之间一般采取了物理隔离的安全措施，在一定程度上保证了内部网络的安全性。然而，网络安全管理人员仍然会对所管理网络的安全状况感到担忧，因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应，单个用户计算机的安全性不足时刻威胁着整个网络的安全[1]。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。
本文从系统的、整体的、动态的角度，参照国家对安全审计产品的技术要求和对部分主机审计软件的了解，结合实际的信息安全管理需求，讨论主机审计系统的设计，达到对终端用户的有效管理和控制。
2安全审计概念。
计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性，简称“五性”，安全审计是这“五性”的重要保障之一[2]。
凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以叫做安全审计[3]。
传统的安全审计多为“日志记录”，注重事后的审计，强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架（IATF）中提出在信息基础设置中进行所谓“深层防御策略（Defense2in2DepthStrategy）”，对安全审计系统提出了参与主动保护和主动响应的要求[4]。这就是现代网络安全审计的雏形，突破了以往“日志记录”
等浅层次的安全审计概念，是全方位、分布式、多层次的强审计概念，符合信息保障技术框架提出的保护、检测、反应和恢复（PDRR）动态过程的要求，在提高审计广度和深度的基础上，做到对信息的主动保护和主动响应。
3主机审计系统设计。
安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作，并从已有的主机系统审计记录中提取信息，依据审计规则分析判断是否有违规行为。
一般网络系统的主机审计多采用传统的审计，系统的主机审计应采用现代综合审计，做到对信息的主动保护和主动响应。因此，网络的主机审计在设计时就应该全方位进行考虑。
3.1体系架构。
主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/S架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限于Windows,浏览器也不是只有IE。管理端地位重要，应有一定保护措施，同时管理端和控制中心的通讯应有安全保障，可考虑隔离措施和SHTTP协议。
主机审计能够分不同的角色来使用，至少划分安全策略管理员、审计管理员、系统管理员。
安全策略管理员按照制定的监控审计策略进行实施；审计管理员负责定期审计收集的信息，根据策略判断用户行为（包括三个管理员的行为）是否违规，出审计报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控制中心。因此，控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警，提醒管理员及时备份并删除信息，保证审计系统能够采集新的信息。超级秘书网
3.2安全策略管理。
中图分类号：TP3 文献标识码：A 文章编号：1671-7597（2014）14-0023-02
近年来，信息技术公司作为大庆油田的最大的信息技术密集型单位，为了推进中国石油油气生产信息化建设，按照《中国石油“十二五”信息技术总体规划》要求，信息技术公司每年都会承载大量的信息项目的研发任务。在这些项目中，技术人员们付出了他们艰辛的劳动，同时也取得了众多技术革新成果。因此，为了切实贯彻落实信息技术公司科技发展战略，提升公司核心竞争力并稳步推进公司科技进步与技术水平，及时地将这些成果进行汇总、评审，能够更加有效地提高技术人员的劳动热情与科技创新精神。
技术论文评审是提升公司科技创新战略的一项重要工作，由于涉及到的人员、部门较多并且工作量较大，因此传统的人工评审方式已经很难适应现代化的管理要求。随着软件、网络技术的不断进步，设计出一套技术论文评审系统显得尤为必要，既提高了论文评审的工作效率和工作规范性，还保证了评审工作的公平、公正和公开。
1 系统整体设计
1.1 系统需求分析
1.1.1 技术可行性
随着中国石油油气生产信息化程度的不断推进、深入，大庆油田信息技术公司软件开发组近年来圆满完成了多个重大软件信息项目的开发任务并拥有众多优秀的程序研发人员和成熟的技术手段，所以在技术上完全可以胜任。
1.1.2 经济可行性
从项目所需费用和经济效益上看是可行的。论文评审系统无须再次投资相关硬件设备，完全可以依靠公司内部已有硬件环境作为平台支撑；系统所需的软件开发工具简单并且易于
维护。
另外，在以往的论文审核过程中需要提交大量的纸质的论文手稿，一旦在论文中出现一些不必要的失误，如：标点缺失，格式不符、语义不畅的情况，通常会重新修改论文并打印，这样就造成了打印纸的大量浪费，与我们党倡导的“建设节约型社会”相不符，同时也不利于环境保护。
因此对于信息技术公司来说，开发技术论文评审系统是可行的，同时也是必要的。
1.1.3 管理可行性
管理上的可行性是指，随着信息时代的不断发展、进步和人员的计算机素养的极大提高，对于计算机系统的基本操作和相应系统的维护都有了一定的基础，因此从管理角度来讲是可以做到的。
1.1.4 业务流程分析
业务流程图如图1所示。
1.2 系统总体架构
论文评审系统采用基于Web的B/S三层体系结构模式。客户端浏览器发出请求，由服务器端来完成如数据请求、加工、结果返回以及动态网页生成等全部工作。系统应用B/S结构，服务器将承载更多的工作，并且能够简化客户机的工作量。B/S三层体系结构将业务逻辑进行封装，提高软件的复用度和可维护性。
1.3 系统功能设计
根据对相关用户功能的解析，本系统主要划分为以下几个主要功能模块：①员工模块；②员工所在主管科技领导模块；③科技发展部管理人员模块；④评委模块。
1.3.1 系统初始化
1）科技发展部管理人员。
2）各级单位主管科技领导。
3）评委人员。
1.3.2 公共功能
1）用户登录（Web登录）。
2）修改个人信息。
1.3.3 员工模块
1）员工提交论文题目。
2）论文选题结果查看（选题结果是否与其他人冲突，是否选上论文题目）。
3）查询论文的最终评审结果。
1.3.4 各级单位主管科技领导模块
1）在本单位员工提交的论文题目系统审核通过后，在对论文的内容等方面进行初审（主要内容包括：文章是否紧紧围绕信息通信行业及公司发展战略；是否有实用性、针对性、革新性、前瞻性；字体、排版等是否符合要求）。
2）初审论文。
①初审通过，论文向信息技术公司科技发展部推荐提交；同时按照文章的内容对论文进行初次分类；
②初审未通过，提交备注意见，通知本单位员工修改并重新提交审核。
1.3.5 科技发展部模块
1）管理各级注册用户。
2）向各级单位主管科技领导下达公司进行“评审论文”的通知。
3）对各级单位推荐的论文在内容等方面进行二审。
4）二审论文。
①二审通过，论文设置成“进入待评审阶段”；②二审未通过，提交备注意见，通知各级单位主管科技领导修改并重新提交；③当所有论文都进入待评审阶段，通知评委组进行评审
打分。
5）所有评委评分结束后，系统会自动按分数高低将论文进行排列显示，按照名次先后设置不同的奖项，并通知论文作者获奖情况，同时将获奖文章存入数据库备案。
6）通过网站向全公司展示获奖论文，进行技术交流。
1.3.6 评委模块
1）论文按照匿名随机分配给评委组，由评委进行打分，打分后按照“去掉一个最高分，一个最低分，取平均值”的原则由系统即时计算出该论文的分数。
2）当论文有争议时，可以申请全体评委复评。
2 未来展望
大庆油田信息技术公司论文评审系统提高了论文评审的现代化管理水平，真正实现公开公平、简单易行、效能提升的论文评审管理。本次论文系统采用了先进的计算机软件技术与科学严谨的评审管理相结合的方式，实现了精简工作流程、提高工作效率、管理规范化的目标，对科技技术信息化建设等有着重要的意义和深远的影响。同时可向全油田推广这套系统，全面提升油田信息化水平。
参考文献
二、完善内部控制审计，提高审计质量
1.扩大重点审计范围由于我国内部控制系统审计开展的时间较晚，目前还处于实施的初步阶段，特别是在当前内部控制环境对内部控制系统审计实施不利的情况下，更应该加大对重点审计范围。我国企业内部控制实施的目的是为了起到对管理者监督的作用，从而确保企业能够健康的发展，所以内部控制系统审计的审计重点需要找出内部控制制度的漏洞和不足之处，同时还要根据行业和企业规模的不同，制定不同的审计计划，同时可以将与财务报表审计相关的内部控制作为内部控制系统审计的重点范围，同时还要对其他内部控制信息加强审计。
2.吸取别国经验与创新审计方法内部控制系统审计最早由美国开始实施，所以目前各国内部控制审计准则都是以美国为范本而制定的，这就需要我们在内部控制审计实施过程中要做好吸收和借鉴工作，趋利避害，做好提前预防工作。目前经济全球化的发展步伐不断加大，但这并不意味着全球内部控制控制或是内部控制系统审计准则都要具有一致性，其实在具体实务中，企业内部控制制度都是针对企业自身的特点制定的，所以差异性较大，这就决定了企业内部控制系统审计也不可能都如出一辙。所以在目前这种情况下，我国企业内部控制系统审计需要根据我国的实际国情，制定与我国社会主义市场经济相符合的内部控制系统审计准则，这亲不仅有利于我国企业内部控制制度的健康刀菜，而且对于降低社会成本也具有积极的意义。
2.信息系统审计专业人才比较缺乏我国国内的审计人员不仅在数量上存在欠缺，质量上更是有待提高。当前我国金融界审计队伍中，主要由财经类专业人员构成，严重缺乏既掌握现代审计理论与技术又精通计算机知识与技能的新型复合型人才。传统的审计人员虽在财会审计领域经验丰富，但对计算机网络技术了解不多，这使得他们难以对复杂的网络会计系统进行有效的评审，难以应付电子商务环境下的审计风险。
3.缺乏有效的通用信息系统审计软件通用的审计软件具有计算机辅助审计软件的各种功能，并且在计算机环境中，通过数据接口与被审计信息系统连接，同时将审计工作程序化，从而在很大程度上代替了手工审计。目前我国信息系统审计刚起步不久，在信息系统审计软件这方面还存在很大空缺，通用的信息系统审计软件几乎不存在。此外，我国现有的财务软件大多没有审计接口，审计软件无法获取所需系统的电子资料。
二、我国商业银行信息系统审计的发展策略
1.信息系统审计制度与准则制定方面根据国际趋同的要求，我国应建立国际标准框架下具有各行特色的标准和规范体系。因而,我国商业银行也可应把目前国际上公认的最先进、最权威的信息系统审计标准——COB信息系统作为核心标准，建立符合中国实际、顺应国际准则趋同化要求的内控、风险管理体系、信息系统监审机制和制度。同时借鉴巴塞尔协议、BS7799、COSO等其他国际标准和原则，进而确立适合各行的信息系统审计目标、对象、范围、方法、流程等，具体指导信息系统审计工作。
2.信息系统审计管理方面第一，建立全方位信息系统审计管理体系。一方面，商业银行要切实落实《金融机构计算机安全保护工作暂行规定》要求，合理安排基础设施和安全防范措施。另一方面，监管部门应加强对我国商业银行的信息系统审计的监管，将信息系统安全作为监管的重要内容，将信息系统审计作为评价其安全性的重要因素。第二，进行信息系统审计人员的技术角色划分,突出信息系统审计的技术特色。根据各商业银行自己的信息系统技术体系及信息系统审计资源,划分不同的信息系统审计技术角色,突出信息系统审计的技术特色,提升信息系统审计层次。
